CN104598842B - 一种虚拟机监控器信任域分割方法 - Google Patents

Abstract

本发明公开了一种虚拟机监控器信任域分割方法，按照事先功能的不同，将原有的控制虚拟机划分为九个服务虚拟机，每一个服务虚拟机都包含一个单一用途的控制逻辑，并将这个控制逻辑从原来的控制虚拟机中删除。每个服务虚拟机仅拥有完成本身功能的权限，限制每个组件以所需的最小权限接入Hypervisor，这使得风险明确化。本发明的积极效果是：在发生攻击事件后能有效的进行漏洞定位，从而进行补救，解决了原有的攻破一个组件就能获取全***的控制权的问题，提高虚拟机的安全性。

Description

一种虚拟机监控器信任域分割方法

技术领域

本发明涉及云计算安全技术领域，尤其是涉及一种虚拟机监控器信任域分割方法，涉及如何减小虚拟机控制器的可信计算基，从而提高虚拟机安全性的问题。

背景技术

传统的虚拟机信任域是一个规模较大的可信计算基，并集中体现在控制虚拟机上。现有的技术中有涉及提高虚拟机监控器安全性的技术，如：

发明专利“一种虚拟机的安全控制方法”(中华人民共和国专利申请号201210435354.X，公开日期2013年02月13日)，该发明公开了一种虚拟机的安全控制方法，通过使用公钥数据对虚拟机源文件进行加密得到虚拟机加密文件，并向云管理控制台和云安全认证服务器返回虚拟机信息及对应的用户信息。在创建虚拟机的用户访问该虚拟机时，只能通过申请虚拟机所属用户的私钥数据进行解密，达到了虚拟机与用户绑定的效果，以此提高虚拟机的安全性。但是该方法中云管理控制台依然拥有较高的权限，当黑客成功攻击控制台，获得权限后，虚拟机的安全也就受到威胁。同时，通过非对称加密方式来获取安全性，是以牺牲大量的性能为代价，在规模较大的云数据中心是不可取的安全手段。

发明专利“用于对虚拟计算环境进行隔离保护的方法及***”(中华人民共和国专利申请号201110176705.5，公开日期2013年01月02日)，提供一种用于对虚拟计算平台中的计算环境进行隔离保护的方法及***，通过将云安全管理器设置在虚拟计算平台中的硬件资源之上，用来管理与安全任务相关的硬件物理地址的映射，以及将虚拟机监视器设置在云安全管理器之上，用于管理与非安全任务相关的硬件物理地址的映射，并且虚拟机监视器对硬件物理地址的映射进行的操作由云安全管理器进行控制，从而可以使得虚拟架构上可能存在的攻击者无法入侵租客用户VM的计算环境，即无法对租客VM及其处理的用户数据造成隐私性与完整性方面的破坏，由此提高虚拟计算平台的计算环境的安全性。虽然该方法通过降低虚拟机监控器的权限来保证安全性，但是同时还是引入了一个高权限的云安全管理器，若攻击者转由攻击高权限的云安全管理器从而获得***的最高权限时，云平台上的大量租户的数据安全将处于危险之中。

发明专利“一种在虚拟机内部的驱动隔离***与方法”(中华人民共和国专利申请号201210442752.4，公开日期2013年02月20日)，该发明公开了一种在虚拟机内部的驱动隔离***与方法，它包括运行于虚拟机用户态的驱动隔离加载模块、虚拟机内核态的内存信息监视模块以及虚拟机管理器内部的内存访问控制模块，驱动隔离加载模块使特定驱动以隔离方式运行，被隔离驱动与内核间的调用必须通过内存信息监视模块，同时内存信息监视模块将被隔离驱动所使用内存信息、可信任的虚拟机内核的地址范围、建立被隔离驱动授权表的指令等信息递交给虚拟机管理器内部的内存访问控制模块，由内存访问控制模块判别是否建立或如何建立该虚拟机对应的授权表项及影子列表，以此控制被隔离驱动程序对内存的写操作，从而提高各虚拟机的安全性。但是，该发明所述***对于每个需要进行驱动隔离的虚拟机都要配备驱动隔离加载模块和内存信息监视模块，虚拟机管理器也必须对每个客户机都建立一个相应的影子页表和授权表，这将耗费大量***内存资源；每一个驱动加载进入内核的动作都会引起客户机向虚拟机管理器递交消息供其处理，尤其在多个客户机的情形下，这将使得虚拟机管理器处理数据量大且容易进入繁忙状态，甚至容易受到拒绝服务攻击；授权表的可写内存范围由虚拟机管理器为驱动程序预先分配，若过小则不能抵御溢出攻击，若过大则会造成内存空间的浪费。

发明内容

为了克服现有技术的上述缺点，本发明提供了一种虚拟机监控器信任域分割方法，将传统的控制虚拟机分解为各个组件组成，每个组件执行单一的功能。这样可以带来一些好处：客户共享的服务组件是可配置和可审计的；限制每个组件以所需的最小权限接入Hypervisor，这使得风险明确化；通过配置组件的微重置的频率，可减小单个组件的时间攻击面。

本发明解决其技术问题所采用的技术方案是：一种虚拟机监控器信任域分割方法，按照控制虚拟机的功能将其分解成九个服务虚拟机，每个服务虚拟机包含一个单一用途的控制逻辑并执行单一的功能，其中：

1)一号服务虚拟机负责控制PCI总线和管理外部设备中断寻路；

2)二号服务虚拟机用于初始化各服务虚拟机，与其他新建的服务虚拟机同时启动，并在启动后被销毁；

3)三号服务虚拟机仅根据六号服务虚拟机为各虚拟机建立的信任列表工作；

4)XenStore组件拆分为两个独立的服务虚拟机四号服务虚拟机和五号服务虚拟机，其中：四号服务虚拟机包含事务逻辑和连接管理代码，在每一次响应完成后进行重置；五号服务虚拟机包含实际的存储内容，保持长期活动状态；

5)六号服务虚拟机能够在正在运行的***上创建新的虚拟机，具有高级权限，负责为每个新创建的虚拟机建立内存访问白名单；

6)七号服务虚拟机和八号服务虚拟机分别为各个虚拟机建立从硬件网络、存储设备到虚拟设备的映射，对***设备具有直接访问权限，并依靠现有驱动支持Linux硬件接口；七号服务虚拟机和八号服务虚拟机分别直接对一个网络或存储控制器进行虚拟化，并提供相关驱动程序和后端虚拟化驱动；

7)九号服务虚拟机对采用非开源操作***的客户虚拟机进行仿真。

与现有技术相比，本发明的积极效果是：能够减小可信计算基、减小***受攻击面、减小***被攻击成功后的受影响范围以提高***本身的安全性，还能够降低内存使用、降低启动时间、提高网络到磁盘的吞吐量以提高***性能。传统的控制虚拟机拥有同Hypervisor类似的高级权限，并通过众多的接口为各客户虚拟机提供服务，控制虚拟机和Hypervisor一起构成单片信任域，这样做使得控制虚拟机容易受到黑客的攻击，若其一旦被攻破，整个***将陷入瘫痪。本发明是在Xen平台上用九个不同功能的服务虚拟机组成的***替代原控制虚拟机，打破了传统的单片可信计算基结构。这九类服务虚拟机以组件的形式构成了一个新的控制虚拟机。每类服务虚拟机都执行单一的功能，仅拥有满足其功能所必需的最低***权限，且其使用的接口仅由各虚拟机和***其他组件所决定。本发明严格限制每类服务虚拟机之间共享，对于必须共享的内容采取了简单的共享策略，并且是易于配置和审计的。此外，各个服务虚拟机在完成其任务后立即停止运行，运行中的服务虚拟机也有定时重启恢复机制，以使其还原到一个默认的良好运行状态，可以有效地抵御黑客攻击或有效地降低受攻击影响程度。

附图说明

本发明将通过例子并参照附图的方式说明，其中：

图1为传统单片信任域示意图；

图2为九类服务虚拟机***结构图；

图3为各服务虚拟机生成关系图；

图4为运行时各***组件信息交互路径图。

具体实施方式

附图1为传统单片信任域示意图，图中所示控制虚拟机自身具有完整的操作***，拥有与Hypervisor相似的高级***权限，并通过众多接口与客户虚拟机相连，为各客户虚拟机提供服务。这样的结构将控制虚拟机和Hypervisor一起构成了单片信任域，这使得控制虚拟机容易受到黑客的攻击，且一旦被攻破，整个***会遭受巨大损失。

本发明按照控制虚拟机的功能将其分解成九类服务虚拟机，每个服务虚拟机都包含一个单一用途的控制逻辑并执行单一的功能，这样做的实质是对虚拟机监控器的信任域进行了分割。这九类服务虚拟机包括：PCIBack(一号服务虚拟机)，Bootstrapper(二号服务虚拟机)，Toolstack(三号服务虚拟机)，XenStore-Logic(四号服务虚拟机)，XenStore-State(五号服务虚拟机)，Builder(六号服务虚拟机)，BlkBack(七号服务虚拟机)，NetBack(八号服务虚拟机)，Qemu(九号服务虚拟机)。附图2为九类服务虚拟机***结构图，这样结构不是唯一的，图中表示出了所有服务类型的虚拟机和它们之间在运行过程中的相互依赖关系，为了简洁，没有将一次性关联关系(Builder和它所建立的虚拟机之间的关系)表示出来，正如图中所示，提供Qemu服务的虚拟机伴随着客户虚拟机的整个生命周期。各组件实现的功能如下：

PCIBack组件负责控制PCI总线和管理外部设备中断寻路。这个配置空间只有在设备初始化的时候会被使用，此后不再与PCIBack交互。在***完成启动后，我们可以将PCIBack从可信计算基上完全移除并销毁以减少***共享组件的数量。

Bootstrapper同Builder一样具有最简化的操作***，其作用是初始化各服务虚拟机，因此它与其他新建的服务虚拟机同时启动，并在启动后被销毁，这一点与PCIBack组件类似。

在传统的***中，Toolstack组件为各个虚拟机提供管理功能，它负责创建、销毁、管理各虚拟机公共资源和特权，负责建立虚拟机与客户机内存之间的映射，具有0级特权。本发明所述***中的Toolstack组件有所不同，它只能根据Builder为各虚拟机建立的信任列表工作。

与传统的XenStore组件不同，本发明所述XenStore组件经过了重构，这一点是最具意义的改变，本发明将XenStore组件拆分为两个独立的服务虚拟机：XenStore-Logic，包含事务逻辑和连接管理代码；XenStore-State，包含实际的存储内容，是关键的存储器也是唯一长时间运行的服务虚拟机。为了保障***其他组件的正常运行，传统的XenStore组件往往要长期维持在活动状态。在本发明中，将XenStore一分为二，XenStore-State保持长期活动状态，而负责处理各种事务以及响应处理的XenStore-Logic则在每一次响应完成后进行重置。由于XenStore直接关系着***的安全，通过这样的机制，能够使得XenStore回滚到一个良好的运行状态。

Builder组件是创建其他虚拟机的工具，并且它是唯一能够在正在运行的***上创建新的虚拟机的组件。Builder具有高级权限，它负责为每个新创建的虚拟机建立内存访问白名单，以使得XenStore等组件仅作为管理工具并没有特殊权限。此外，Builder可以为每个虚拟机的Toolstack分配权限。

BlkBack和NetBack组件都是驱动虚拟机，它们分别为各个虚拟机建立从硬件网络、存储设备到虚拟设备的映射，对诸如网卡和磁盘控制器之类的***设备具有直接访问权限，并依靠现有驱动支持Linux硬件接口。每个NetBack或BlkBack直接对一个网络或存储控制器进行虚拟化，并提供相关驱动程序和后端虚拟化驱动。在客户虚拟机创建期间，Toolstack通过适当的前后端进入XenStore，使一个与之相应的驱动虚拟机同客户机相连。待客户虚拟机创建完毕以后，客户机和XenStore后端间的通信直接利用共享内存环路，不再通过XenStore。此外，NetBack和BlkBack会在***发生故障或重启时自行配置设备状态和前端连接，以使得它们在每次重启时都恢复到默认。

Qemu：对于那些采用诸如windows之类的非开源操作***的虚拟机，其操作***不允许进行修改的，Qemu的作用就是用来对这样的客户虚拟机进行仿真。

附图3为各服务虚拟机生成关系图，在***启动时，Bootstrapper直接由Xen授权创建PCIBack，XenStore-Logic，XenStore-State，Builder，Toolstack等，在每一次创建完成后立即自行销毁，在这一点上PCIBack与之相似，它负责驱动虚拟机NetBack和BlkBack的创建，当创建客户虚拟机的请求到达时，Toolstack视客户虚拟机操作***情况决定是否生成Qemu组件，此外，图中的生成关系在一定程度上体现了各组件的启动顺序，但值得注意的是，虽然PCIBack在逻辑上是最先启动的组件，但是它实际上是在XenStore和Builder后被创建的。这是因为，Xenstore用于虚拟化PCI总线，Builder则是唯一能够在正在运行的***上创建新的虚拟机的组件。PCIBack需要使用这些组件来创建虚拟机的驱动程序。

附图4为运行时各***组件信息交互路径图，当需要创建客户虚拟机时Toolstack会向Builder提出创建客户虚拟机的请求，同时，Toolstack负责管理各虚拟机，处理管理请求，直接作用于XenStore-Logic组件，XenStore-Logic除了承担各客户虚拟机之间的通信任务外，还在客户虚拟机创建时对其进行配置，这个动作是通过控制驱动组件NetBack和BlkBack进行的，这两个组件分别为各客户虚拟机虚拟化磁盘和网络接口，而Qemu则是为那些装有不允许修改的操作***的客户虚拟机进行仿真准备的。

本发明的原理是：按照实现功能的不同，将原有的控制虚拟机划分为九个服务虚拟机，每一个服务虚拟机都包含一个单一用途的控制逻辑，并将这个控制逻辑从原来的控制虚拟机中删除。每个服务虚拟机仅拥有完成本身功能权限，限制每个组件以所需的最小权限接入Hypervisor，这使得风险明确化。在发生攻击事件后能有效地进行漏洞定位，从而进行补救。解决了原有的攻破一个组件就能获取全***的控制权的问题，提高虚拟机的安全性。

Claims (6)

1.一种虚拟机监控器信任域分割方法，其特征在于：按照控制虚拟机的功能将其分解成九个服务虚拟机，每个服务虚拟机包含一个单一用途的控制逻辑并执行单一的功能，其中：

1）一号服务虚拟机负责控制PCI总线和管理外部设备中断寻路；

2）二号服务虚拟机用于初始化各服务虚拟机，与其他新建的服务虚拟机同时启动，并在启动后被销毁；

3）三号服务虚拟机仅根据六号服务虚拟机为各客户虚拟机建立的信任列表工作；

4）XenStore组件拆分为两个独立的服务虚拟机四号服务虚拟机和五号服务虚拟机，其中：四号服务虚拟机包含事务逻辑和连接管理代码，在每一次响应完成后进行重置；五号服务虚拟机包含实际的存储内容，保持长期活动状态；

5）六号服务虚拟机能够在正在运行的***上创建新的客户虚拟机，具有高级权限，负责为每个新创建的客户虚拟机建立内存访问白名单；

6）七号服务虚拟机和八号服务虚拟机分别为各个客户虚拟机建立从硬件网络、存储设备到虚拟设备的映射，对***设备具有直接访问权限，并依靠现有驱动支持Linux硬件接口；七号服务虚拟机和八号服务虚拟机分别直接对一个网络或存储控制器进行虚拟化，并提供相关驱动程序和后端虚拟化驱动；

7）九号服务虚拟机对采用非开源操作***的客户虚拟机进行仿真。

2.根据权利要求1所述的一种虚拟机监控器信任域分割方法，其特征在于：在***完成启动后，将一号服务虚拟机从可信计算基上完全移除并销毁。

3.根据权利要求1所述的一种虚拟机监控器信任域分割方法，其特征在于：六号服务虚拟机为每个虚拟机的三号服务虚拟机分配权限。

4.根据权利要求1所述的一种虚拟机监控器信任域分割方法，其特征在于：在客户虚拟机创建期间，三号服务虚拟机通过前后端进入XenStore，使一个与之相应的驱动虚拟机同客户机相连；待客户虚拟机创建完毕后，客户机和XenStore后端间的通信直接利用共享内存环路，不再通过XenStore。

5.根据权利要求1所述的一种虚拟机监控器信任域分割方法，其特征在于：七号服务虚拟机和八号服务虚拟机在***发生故障或重启时自行配置设备状态和前端连接，以便在每次重启时都恢复到默认。

6.根据权利要求1所述的一种虚拟机监控器信任域分割方法，其特征在于：各服务虚拟机的生成关系为：在***启动时，二号服务虚拟机直接由Xen授权创建一号、三号、四号、五号和六号服务虚拟机；一号服务虚拟机负责驱动虚拟机七号服务虚拟机和八号服务虚拟机的创建，当创建客户虚拟机的请求到达时，三号服务虚拟机视客户虚拟机操作***情况决定是否生成九号服务虚拟机；一号和二号服务虚拟机在每一次创建完成后立即自行销毁。