一种虚拟化环境中二进制文件度量值统一管理和分发的方法和系统技术方案

本发明专利技术涉及一种虚拟化环境中二进制文件度量值统一管理和分发的方法和系统。该方法中，支持统一生成不同类型二进制文件的度量值；支持对不同类型二进制文件的度量值的存储；支持由虚拟化管理平台主动向各个虚拟机管理器推送二进制文件度量值，虚拟机管理器能够根据文件度量值对虚拟机中运行程序的完整性进行度量。采用本发明专利技术，管理人员/普通用户可以在虚拟化环境对不同类型二进制文件度量值进行管理和分发；虚拟机管理器能够根据文件度量值对虚拟机中运行程序的完整性进行度量。

【技术实现步骤摘要】
一种虚拟化环境中二进制文件度量值统一管理和分发的方法和系统
本专利技术属于计算机安全
，特别涉及一种虚拟化环境中二进制文件度量值统一管理和分发的方法和系统。
技术介绍
随着云计算的不断发展，虚拟化技术也越发得到广泛应用，越来越多的服务都在往云端迁移。虚拟化技术存在诸多优势，首先，虚拟化技术为了提高资源的利用率，将资源池和物理资源进行动态共享；其次，虚拟化技术对资源的供应做出了改进，虚拟化技术用小于单个物理资源单位的单元对资源进行分配；最后，虚拟化技术为了增加使用灵活性，将资源进行重配置和动态部署，用来符合日益更新的业务需求。如上所述使用虚拟化技术，为大批的互联网使用群体提供了迅速和方便的服务。云计算可以明显对网络服务提供商的维护和部署的成本进行缩减，已有越来越多的网络服务部署在云上。其中安全问题也备受关注，云计算的引入，引入了新的安全风险，希望能够保证部署在云端虚拟机中的服务不被篡改。尽管可以进行防病毒软件的部署、开启防火墙等方式来抵抗已知的漏洞，但未知漏洞恶意代码的注入对二进制文件的篡改对云计算的安全都造成了威胁，在虚拟机监控器中实现的二进制完整性校验机制能够为租户提供更强的安全保证。二进制完整性检验是根据其度量值进行校验，云计算的发展导致虚拟机的数量不断攀升，需要进行完整性校验的二进制文件的数量庞大类型多，虚拟机还可以对启动的操作系统进行切换。为了对大量的不同类型的二进制文件度量值统一生成、管理和分发，当前在云环境中没有任何一个二进制文件度量值的管理和分发的方法可以对不同类型的二进制文件度量值进行统一管理和分发。有必要设计二进制文件度量值的统一管理平台，实现二进制文件的度量值的集中生成、分发和管理。
技术实现思路
本专利技术提供了一种虚拟化环境中二进制文件度量值统一管理和分发的方法，该方法在虚拟化管理平台中集中管理不同类型二进制文件的度量值，支持向多个虚拟机管理器(VMM)进行统一推送。一方面，统一生成不同类型二进制文件的度量值，对不同类型二进制文件的度量值进行存储。另一方面，由虚拟化管理平台主动向各个虚拟机管理器推送二进制文件度量值；虚拟机管理器能够根据文件度量值对虚拟机中运行程序的完整性进行度量。具体来说，本方案的技术方案如下：一种虚拟化环境中二进制文件度量值统一管理和分发的方法，包括以下步骤：生成不同类型二进制文件的度量值；对不同类型二进制文件的度量值进行存储；虚拟化管理平台向各个虚拟机管理器推送二进制文件的度量值。进一步地，为操作系统内核文件生成度量值的步骤包括：根据操作系统内核系统文件、操作系统类型、内核版本、操作系统内核数据结构和符号地址映射关系，确定各个代码段的偏移和大小；对操作系统内核文件进行解压缩，并对解压缩后文件中的代码段按页进行Hash运算，不足一页时进行补零；记录操作系统类型、内核版本、各个代码页偏移、各个代码页大小、Hash值作为度量值，并标注入口点所在代码页。进一步地，为内核模块文件生成度量值的步骤包括：模拟目标平台中内核模块的加载过程，确定各个代码段的偏移和大小；对各个代码段按页进行Hash运算，计算过程中不足一页时进行补零并将代码中重定位地址设置为0；记录内核模块名称、版本、各代码页偏移、各个代码页大小、Hash值作为度量值，并标注各个代码段的在文件中的段偏移。进一步地，为应用态程序文件生成度量值的步骤包括：模拟目标平台中应用态程序的加载过程，记录其确定其所使用的动态链接库名称和版本；根据应用态程序中包含的入口点地址、节大小、对齐大小和偏移地址，按页为单位计算Hash值，计算过程根据对齐规则对代码页进行填充、不足一页的进行补零，并将重定位地址设置为0；记录应用态程序名称、版本、各代码页偏移、各个代码页大小、Hash值作为度量值，并标注各个代码段的在文件中的段偏移。进一步地，为动态链接库文件生成度量值的步骤包括：按页为单位计算Hash值，计算过程根据对齐规则对代码页进行填充、不足一页的进行补零，并将重定位地址设置为0；记录动态链接库名称、版本、各代码页偏移、各个代码页大小、Hash值作为度量值。进一步地，虚拟化管理平台直接集成二进制文件度量值生成功能，并将相应的二进制文件度量值相关信息存储在存储系统中；或者，虚拟化管理平台提供二进制文件度量值导入功能，将外部提供的二进制文件度量值相关信息导入到存储系统。进一步地，虚拟化管理平台能够将度量值通过管理通道向各个虚拟机管理器主动推送，或者根据虚拟机信息按需推送；所述主动推送包括：将所有或部分二进制文件度量值向全部虚拟机管理器推送；将新增二进制文件度量值向全部虚拟机管理器推送；将不再允许执行的二进制文件度量值从相应的虚拟机管理器中删除；所述按需推送包括：根据人工设置或者根据虚拟机操作系统信息向指定虚拟机管理器推送；在虚拟机管理器注册、虚拟机启动、虚拟机迁移阶段向虚拟机管理器进行推送。一种虚拟化环境中二进制文件度量值统一管理和分发的系统，该系统包括以下三个部分：度量值生成子系统、度量值存储子系统、度量值分发子系统。度量值生成子系统：部署于虚拟化管理平台的中心，对于不同类型的二进制文件，操作系统内核文件、内核模块、应用态程序和动态链接库，设计了度量值生成子系统，对不同类型的二进制文件生成标准散列值库。度量值生成子系统根据二进制文件类型的不同分为四种方法：(1)针对操作系统内核文件生成度量值。在为操作系统内核文件生成度量值时，对内核文件进行两步的工作：第一个步骤，根据操作系统内核系统文件、操作系统类型、内核版本、操作系统内核数据结构和符号地址映射关系，根据操作系统内核文件中的段表成员段偏移和段长度确定各个代码段的偏移和大小。第二个步骤，对操作系统内核文件进行解压缩，并对解压缩后文件中的代码段按页进行Hash运算，不足一页时进行补零，记录操作系统类型、内核版本、各个代码页偏移、各个代码页大小、Hash值作为度量值，并标注入口点所在代码页。(2)针对内核模块文件生成度量值。在为内核模块生成度量值时，模拟目标平台中内核模块的加载过程，确定各个代码段的偏移和大小；对各个代码段按页进行Hash运算，计算过程中不足一页时进行补零并将代码中重定位地址设置为0，记录内核模块名称、版本、各代码页偏移、各个代码页大小、Hash值作为度量值，并标注入口点所在代码页。(3)针对应用态程序生成度量值。在为应用态程序进行完整性度量时，模拟目标平台中应用态程序的加载过程，记录其确定其所使用的动态链接库名称和版本，在其程序源文件中读取其节表头信息。在节表头信息中获取二进制节的信息，包括加载到内存中的入口点地址，节大小，对齐大小和在程序源文件中的偏移。然后根据这些信息，将.text整个节内容读出，按页为单位计算Hash值，计算过程根据对齐规则对代码页进行填充、不足一页的进行补零，并将重定位地址设置为0，记录应用态程序名称、版本、各代码页偏移、各个代码页大小、Hash值作为度量值，并标注各个代码段的在文件中的段偏移。记录该应用程序所本文档来自技高网...

【技术保护点】
1.一种虚拟化环境中二进制文件度量值统一管理和分发的方法，其特征在于，包括以下步骤：/n生成不同类型二进制文件的度量值；/n对不同类型二进制文件的度量值进行存储；/n虚拟化管理平台向各个虚拟机管理器推送二进制文件的度量值。/n

【技术特征摘要】
1.一种虚拟化环境中二进制文件度量值统一管理和分发的方法，其特征在于，包括以下步骤：
生成不同类型二进制文件的度量值；
对不同类型二进制文件的度量值进行存储；
虚拟化管理平台向各个虚拟机管理器推送二进制文件的度量值。


2.根据权利要求1所述的方法，其特征在于，所述不同类型二进制文件，包括操作系统内核文件、内核模块文件、应用态程序文件和动态链接库文件，根据二进制文件格式自动地生成二进制文件的度量值。


3.根据权利要求2所述的方法，其特征在于，为操作系统内核文件生成度量值的步骤包括：根据操作系统内核系统文件、操作系统类型、内核版本、操作系统内核数据结构和符号地址映射关系，确定各个代码段的偏移和大小；对操作系统内核文件进行解压缩，并对解压缩后文件中的代码段按页进行Hash运算，不足一页时进行补零；记录操作系统类型、内核版本、各个代码页偏移、各个代码页大小、Hash值作为度量值，并标注入口点所在代码页。


4.根据权利要求2所述的方法，其特征在于，为内核模块文件生成度量值的步骤包括：模拟目标平台中内核模块的加载过程，确定各个代码段的偏移和大小；对各个代码段按页进行Hash运算，计算过程中不足一页时进行补零并将代码中重定位地址设置为0；记录内核模块名称、版本、各代码页偏移、各个代码页大小、Hash值作为度量值，并标注各个代码段的在文件中的段偏移。


5.根据权利要求2所述的方法，其特征在于，为应用态程序文件生成度量值的步骤包括：模拟目标平台中应用态程序的加载过程，记录其确定其所使用的动态链接库名称和版本；根据应用态程序中包含的入口点地址、节大小、对齐大小和偏移地址，按页为单位计算Hash值，计算过程根据对齐规则对代码页进行填充、不足一页的进行补零，并将重定位地址设置为0；记录应用态程序名称、版本、各代码页偏移、各个代码页大小、Hash值作为度量值，并标注各个代码段的在文件中的段偏移。


6.根据权利要求2所述的方法，其特征在于，为动态链接库文件生成度量值的步骤包括：按页为单位计算Hash值，计算过程根据对齐规则对代码页进行填充、不足一页的进行补零，并将重定位地址设置为0；记录动态链接库名称、版本、各代码页偏移、各个代码页大小、Hash值作为度量值。


7.根据权利要求1所述的方法，其特征在于，虚拟化管理平台直接集成二进制文件度量值生成功能，并将相应的二进制文件度量值相关信息存储在存储系统中；或者，虚拟化管理平台提供二进制文件度量值导入功能，将外部提供的二进制文件度量值相关信息导入到存储系统。


8.根据权利要求1所述的方法，其特征在于，虚拟化管理平台能够将度量值通过管理通道向各个虚拟机管理器主动推送，或者根据虚拟机信息...

【专利技术属性】
技术研发人员：蔡权伟，林璟锵，范浩玲，刘广祺，王琼霄，王伟，
申请(专利权)人：中国科学院数据与通信保护研究教育中心，中国科学院信息工程研究所，
类型：发明
国别省市：北京;11