CN105320884A - 虚拟机的安全防护方法及*** - Google Patents

Abstract

本发明实施例提供一种虚拟机的安全防护方法及***，涉及计算机的安全防护领域。其中，所述方法包括：所述虚拟机截获文件读写事件或者网络事件，将所述文件读写事件或者网络事件指向的数据置入所述内存空间；所述主机从所述内存空间读取所述文件读写事件或者网络事件指向的数据；所述主机检测读取到的所述文件读写事件或者网络事件指向的数据，并得到检测结果。本方法对虚拟机的安全防护主要发生在主机，可以减少虚拟机用于安全防护的资源消耗，当一台主机部署多台虚拟机，该主机可以同时防护其所部署的多台虚拟机，减少了每台虚拟机安装安全软件所产生的叠加资源消耗。

Description

虚拟机的安全防护方法及***

技术领域

本发明涉及计算机互联网技术，尤其涉及计算机的安全防护领域，具体涉及一种虚拟机的安全防护方法及***。

背景技术

虚拟机指通过软件模拟的具有完整硬件***功能的、运行在一个完全隔离环境中的完整计算机***。虚拟机技术是一种虚拟化技术，目前，虚拟化环境下的安全防护问题成为一个新的关注焦点。现有技术中虚拟机的安全防护方法是在虚拟机内部部署安全软件，当一台主机上部署了多台虚拟机时，会叠加同一台主机上的用于安全防护的资源消耗，使得主机上部署的虚拟机数量大幅度减少，增加了虚拟化数据中心的建设成本。

发明内容

有鉴于此，本发明提供一种虚拟机的安全防护方法及***以避免在每台虚拟机部署安全软件所造成叠加的资源消耗。

一种虚拟机的安全防护方法，应用于虚拟机的安全防护***，所述***包括主机以及虚拟机，所述主机内设置有对应于所述虚拟机的内存空间，包括：所述虚拟机截获文件读写事件或者网络事件，将所述文件读写事件或者网络事件指向的数据置入所述内存空间；所述主机从所述内存空间读取所述文件读写事件或者网络事件指向的数据；所述主机检测读取到的所述文件读写事件或者网络事件指向的数据，并得到检测结果。

优选的，上述方法中，若所述检测结果为所述文件读写事件指向的数据中含有被病毒感染的数据，所述主机删除所述内存空间中所述被病毒感染的数据；所述虚拟机从所述内存空间读取所述内存空间中删除所述被病毒感染的数据后的保留数据，覆盖所述虚拟机中对应的原所述文件读写事件指向的数据。主机删除被病毒感染的数据后，虚拟机可以从内存空间获得删除后的安全数据，直接覆盖虚拟机内对应的原数据就可以，减少虚拟机的资源消耗。

优选的，上述方法中，若所述检测结果为所述文件读写事件指向的数据为木马数据，所述虚拟机删除虚拟机内对应的原所述文件读写事件指向的数据。

优选的，上述方法中，若所述检测结果为所述网络事件指向的数据为网络攻击数据，所述主机或者所述虚拟机中断所述网络事件。

优选的，上述方法中，所述内存空间为所述主机与所述虚拟机的共享内存。

优选的，上述方法中，所述***包括多个所述虚拟机，每个所述虚拟机与所述主机共同使用不同的所述共享内存。各个虚拟机与主机使用不同的共享内存，使虚拟机间数据隔离，不会产生数据交互，从而可以防止产生虚拟机间的攻击。

优选的，上述方法中，所述内存空间为主机内存，所述虚拟机通过网络协议访问所述主机内存。

一种虚拟机的安全防护***，包括主机以及虚拟机，所述主机内设置有对应于所述虚拟机的内存空间，包括：所述虚拟机用于截获文件读写事件或者网络事件，将所述文件读写事件或者网络事件指向的数据置入所述内存空间；所述主机用于从所述内存空间读取所述文件读写事件或者网络事件指向的数据；所述主机还用于检测读取到的所述文件读写事件或者网络事件指向的数据，并得到检测结果。

优选的，上述***中，若所述检测结果为所述文件读写事件指向的数据中含有被病毒感染的数据，所述主机删除所述内存空间中所述被病毒感染的数据，所述虚拟机从所述内存空间读取所述内存空间中删除所述被病毒感染的数据后的保留数据，覆盖所述虚拟机中对应的原所述文件读写事件指向的数据；若所述检测结果为所述文件读写事件指向的数据为木马数据，所述虚拟机删除虚拟机内对应的原所述文件读写事件指向的数据；若所述检测结果为所述网络事件指向的数据为网络攻击数据，所述主机或者所述虚拟机中断所述网络事件。

优选的，上述***中，所述内存空间为所述主机与所述虚拟机的共享内存。

本发明实施例提供的虚拟机的安全防护方法及***，虚拟机截获将要发生的文件读写事件或者网络事件，将所述文件读写事件或者网络事件指向的数据置入主机内的内存空间，主机从内存空间内读取该文件读写事件或者网络事件并对其进行检测，根据检测结果的不同，主机或者虚拟机对文件读写事件或者网络事件做不同的处理。本方法及***的安全防护的安全检测过程以及病毒清除过程主要发生在主机上，只需要在主机上部署安全软件，便可以对虚拟机进行安全防护。当一台主机上部署多台虚拟机时，该主机可以防护其部署的所有虚拟机，避免了在每台虚拟机内进行安全防护而叠加产生的巨额资源开销。

为让本发明的上述和其他目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附图式，作详细说明如下。

附图说明

图1示出了一种可应用于本发明实施例中的主机的结构框图。

图2示出了一种可应用于本发明第一实施例提供的虚拟机的安全防护方法流程图。

图3为本发明第二实施例提供的虚拟机的安全防护***的结构示意图。

图4为本发明第而实施例提供的虚拟机安全防护的***的工作原理架构图。

具体实施方式

本发明实施例中的主机可以包括膝上型便携计算机、台式机计算机、服务器等等。

图1示出了一种可应用于本发明实施例中的主机100的结构框图。如图1所示，主机100包括存储器102、存储控制器104，一个或多个(图中仅示出一个)处理器106、外设接口108、射频模块110等。这些组件通过一条或多条通讯总线/信号线116相互通讯。

存储器102可用于存储软件程序以及模块，处理器106通过运行存储在存储器102内的软件程序以及模块，从而执行各种功能应用以及数据处理。

外设接口108将各种输入/输出装置耦合至处理器106以及存储器102。在一些实施例中，外设接口108，处理器106以及存储控制器104可以在单个芯片中实现。在其他一些实例中，他们可以分别由独立的芯片实现。

射频模块110用于接收以及发送电磁波，实现电磁波与电信号的相互转换，从而与通讯网络或者其他设备进行通讯。

可以理解，图1所示的结构仅为示意，主机100还可包括比图1中所示更多或者更少的组件，或者具有与图1所示不同的配置。图1中所示的各组件可以采用硬件、软件或其组合实现。

本发明实施例中，主机上可以部署有一个或多个虚拟机。本发明实施例提供的虚拟机的安全防护方法，通过虚拟机将要发生的文件读写事件或者网络事件截获置于设置于主机内的内存空间，使主机可以从内存空间读取到该相应的文件读写事件或网络事件进行检测，再根据检测结果的不同，主机或虚拟机对文件读写事件或网络事件做相应的处理，使安全检测的过程发生于主机，虚拟机内不用安装安全软件，解决了在虚拟机内安装安全软件产生资源消耗的问题，特别是部署了多个虚拟机时在每个虚拟机内安装安全软件可能产生的巨大的叠加的资源消耗的问题。

为更进一步阐述本发明为实现预定发明目的所采取的技术手段及功效，以下结合附图及较佳实施例，对依据本发明的具体实施方式、结构、特征及其功效，详细说明如后。

第一实施例

图2为本发明第一实施例提供的虚拟机的安全防护方法的流程图，该虚拟机的安全防护方法应用于虚拟机的安全防护***，该***包括主机及部署在主机上的虚拟机，该主机内设置有对应于虚拟机的内存空间。如图2所示，本实施例的虚拟机的安全防护方法包括以下步骤：

步骤S100，所述虚拟机截获文件读写事件或者网络事件，将所述文件读写事件或者网络事件指向的数据置入所述内存空间；

在本发明实施例中，虚拟机内可以安装文件驱动及网络驱动，虚拟机通过文件驱动截获文件读写事件并将其指向的数据置入设置在主机的内存空间中，通过网络驱动截获网络事件并将该网络事件指向的数据置入内存空间中。

在本发明的一种具体实施方式中，内存空间可以是主机与虚拟机共同使用的共享内存，该共享内存设置在主机，主机与虚拟机都可以直接对其进行访问，虚拟机可以直接将数据放置在该共享内存中。

另外，在本发明的另一种实施方式中，内存空间可以是主机内存，主机可以直接访问该主机内存，虚拟机通过网络协议，如TCP、IP或者UDP等将数据传输到该主机内存。

另外，在本实施例中，虚拟机可以包括多个虚拟机，该多个虚拟机部署在同一台主机，当内存空间为共享内存时，各个虚拟机与主机使用的共享内存不同，即每个虚拟机与主机之间各对应一个独有的共享内存，每个虚拟机都只能访问自己与主机之间的共享内存，而不能访问其他虚拟机与主机之间的共享内存，以保证各个虚拟机之间完全隔离，不会发生数据交换，防止虚拟机之间的内部攻击。

当内存空间为主机内存时，多个虚拟机可以共同使用同一个主机内存，虚拟机可以通过网络协议与主机交换与该虚拟机相关的数据。

步骤S110，所述主机从所述内存空间读取所述文件读写事件或者网络事件指向的数据；

本实施例中，主机可以安装文件安全进程以及网络安全进程，当虚拟机将文件读写事件或者网络事件指向的数据放入内存空间后，主机通过文件安全进程从内存空间读取文件读写事件指向的数据，通过网络安全进程从内存空间读取网络事件指向的数据。

具体的，主机可以对内存空间进行扫描，当扫描到内存空间有虚拟机放入的相关数据时，对该数据进行读取。当然，主机也可以通过其他方式来获知内存空间内是否放入虚拟机的需要检测的数据。

步骤S120，所述主机检测读取到的所述文件读写事件或者网络事件指向的数据，并得到检测结果。

在本实施例中，主机内安装有安全软件，包括有恶意代码特征库，主机读取到文件读写事件或者网络事件指向的数据，可以利用主机内的恶意代码特征库，对该数据进行比对检测，并根据检测结果进行处理。具体检测结果及处理方式可以是：

若所述检测结果为所述文件读写事件指向的数据中含有被病毒感染的数据，所述主机删除所述内存空间中所述被病毒感染的数据，所述虚拟机从所述内存空间读取所述内存空间中删除所述被病毒感染的数据后的保留数据，覆盖所述虚拟机中对应的原所述文件读写事件指向的数据。

当删除病毒数据后的保留数据覆盖原文件读写事件指向的数据后，该文件读写事件指向的数据为安全数据，虚拟机可以执行该文件读写事件。

当然，主机也可以直接将检测结果通知虚拟机，由虚拟机来删除虚拟机内部对应的原文件读写事件指向的数据中的被病毒感染的数据。

若所述检测结果为所述文件读写事件指向的数据为木马数据，所述虚拟机删除虚拟机内对应的原所述文件读写事件指向的数据。

若检测结果表明所检测数据为木马数据，主机可以将内存空间中的该木马数据删除并将该检测结果放入内存空间以通知虚拟机删除该木马数据，虚拟机读取到该检测结果后将其对应的文件读写事件指向的数据删除。

若所述检测结果为所述网络事件指向的数据为网络攻击数据，所述主机或者所述虚拟机中断所述网络事件；

由于网络流是流经主机的，所以当检测到该网络事件指向的数据是网络攻击数据时，主机可以中断该网络事件，也可以将检测结果放入内存空间，以通知虚拟机中断该网络事件。

另外，若检测结果表明进行检测的文件读写事件或者网络事件为安全文件，虚拟机继续执行该文件读写事件或网络事件。

在本实施例中，主机的恶意代码特征库在联网后可以自动更新，或者提醒用户进行手动更新，以保证为最新的恶意代码特征库。

进一步的，在本实施例提供的方法应用的虚拟机的安全防护***还可以包括中央控制端，该中央控制端安装在虚拟机或者主机或者其他独立的机器上，可针对每台虚拟机配置不同的安全策略，并且可配置各个虚拟机文件检测的黑白名单，设置为白名单的文件在发生文件对应的事件时可不用检测而直接处理。

在本实施例中，还可以在虚拟机内置网络应用分析模块，该网络应用分析模块可以准确识别1000多种网络应用协议。用户可以在中央控制端了解每个虚拟机的网络应用状况、带宽的使用情况以及流量的趋势，并可对网络流量进行精细化的管理。

本发明实施例提供的虚拟机的安全防护方法中，对虚拟机内的文件读写事件及网络事件的检测发生在主机，因此可以只在主机安装一套安全软件用以检测各种事件对应的数据，虚拟机内不用安装安全软件。由于安全软件的运行需要耗费大量的***资源，所以当一台主机部署多台虚拟机时，该多台虚拟机的安全防护检测均可以发生在主机，避免了每台虚拟机部署安全软件叠加产生的巨额资源开销，从而可以大幅度节约主机资源，进而可以更有效的对主机上的资源进行管理和调度，并且可以提高一台主机可以部署的虚拟机的数量，甚至可以是传统的在虚拟机安装安全软件的情况下主机可以部署的虚拟机的数量的三倍。

进一步的，在本实施例中，由于各个虚拟机的文件读写事件及网络事件指向的数据均是在主机进行检测，主机可以判断该进行检测的数据是否是和某些已经被检测过的数据一样，如果是，则参照检测过的数据的处理方法进行处理，不管该数据是在哪一个虚拟机，都不再进行检测，避免了不同虚拟机内的相同文件或者同一虚拟机的相同文件被重复检测，减少了检测过程中可能产生的资源消耗，提高了防护效率。

另外，利用主机对虚拟机进行安全防护，可以有效应对一些针对虚拟化的新型攻击方式，如同一主机上不同虚拟机间的相互攻击、利用虚拟机启动间隙的攻击等，以及可以避免全***扫描和恶意代码特征库更新时出现常见的防病毒风暴等问题。

需要说明的是，在本实施例中，根据检测结果进行处理的步骤不分先后顺序，只要满足相应的处理条件即对其进行相应处理。

第二实施例

请参见图3，为本发明第二实施例提供的虚拟机的安全防护***10的结构示意图，***可以包括主机100以及部署于主机100的虚拟机400，其中：

虚拟机400用于截获文件读写事件或者网络事件，将所述文件读写事件或者网络事件指向的数据置入所述内存空间；

所述主机100用于从所述内存空间读取所述文件读写事件或者网络事件指向的数据；

所述主机100还用于检测读取到的所述文件读写事件或者网络事件指向的数据，并得到检测结果。

如图4示出了本实施例提供的***的工作原理架构图。

进一步的，若所述检测结果为所述文件读写事件指向的数据中含有被病毒感染的数据，所述主机100删除所述内存空间中所述被病毒感染的数据。

所述虚拟机400从所述内存空间读取所述内存空间中删除所述被病毒感染的数据后的保留数据，覆盖所述虚拟机400中对应的原所述文件读写事件指向的数据。

若所述检测结果为所述文件读写事件指向的数据为木马数据，所述虚拟机400删除虚拟机400内对应的原所述文件读写事件指向的数据。

若所述检测结果为所述网络事件指向的数据为网络攻击数据，所述主机100或者所述虚拟机400中断所述网络事件。

若所述文件读写事件或者网络事件为安全文件，所述虚拟机400执行所述文件读写事件或网络事件。

进一步的，所述内存空间为所述主机100与所述虚拟机400的共享内存，当所述***包括多个所述虚拟机400，每个所述虚拟机400与所述主机100共同使用不同的所述共享内存。

另外，所述内存空间也可以为主机内存，所述虚拟机400通过网络协议访问所述主机内存。

本领域技术人员以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-OnlyMemory，ROM)或随机存储记忆体(RandomAccessMemory，RAM)等。

本实施例对虚拟机的安全防护***的功能的具体过程，请参见上述图2所示实施例中描述的具体内容，此处不再赘述。

本发明实施例提供的虚拟机的安全防护***，虚拟机的安全防护主要发生在主机，即将虚拟机中的文件读写事件及网络事件指向的数据传递给主机进行安全性检测，主机再将检测结果及相应的处理方式反馈给虚拟机。由于一般情况下，一台主机上会部署多个虚拟机，共享物理机的硬件资源，而可以进行安全防护的安全防护软件的运行需要消耗大量的资源，所以一台主机上的所有虚拟机都通过主机进行安全防护，即只在主机上安装一个安全防护软件达到对所有虚拟机的防护，极大地减少了防护软件可能产生的资源消耗，提高了同一台主机上可以部署的虚拟机的数量。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、物品或者装置中还存在另外的相同要素。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上，仅是本发明的较佳实施例而已，并非对本发明作任何形式上的限制，虽然本发明已以较佳实施例揭露如上，然而并非用以限定本发明，任何熟悉本专业的技术人员，在不脱离本发明技术方案范围内，当可利用上述揭示的技术内容做出些许更动或修饰为等同变化的等效实施例，但凡是未脱离本发明技术方案内容，依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化与修饰，均仍属于本发明技术方案的范围内。

Claims (10)

1.一种虚拟机的安全防护方法，应用于虚拟机的安全防护***，其特征在于，所述***包括主机以及虚拟机，所述主机内设置有对应于所述虚拟机的内存空间，包括：

所述虚拟机截获文件读写事件或者网络事件，将所述文件读写事件或者网络事件指向的数据置入所述内存空间；

所述主机从所述内存空间读取所述文件读写事件或者网络事件指向的数据；

所述主机检测读取到的所述文件读写事件或者网络事件指向的数据，并得到检测结果。

2.根据权利要求1所述的方法，其特征在于，进一步包括：

若所述检测结果为所述文件读写事件指向的数据中含有被病毒感染的数据，所述主机删除所述内存空间中所述被病毒感染的数据；

所述虚拟机从所述内存空间读取所述内存空间中删除所述被病毒感染的数据后的保留数据，覆盖所述虚拟机中对应的原所述文件读写事件指向的数据。

3.根据权利要求1所述的方法，其特征在于，进一步包括：

若所述检测结果为所述文件读写事件指向的数据为木马数据，所述虚拟机删除虚拟机内对应的原所述文件读写事件指向的数据。

4.根据权利要求1所述的方法，其特征在于，进一步包括：

若所述检测结果为所述网络事件指向的数据为网络攻击数据，所述主机或者所述虚拟机中断所述网络事件。

5.根据权利要求1至4任一项所述的方法，其特征在于，所述内存空间为所述主机与所述虚拟机的共享内存。

6.根据权利要求5所述的方法，其特征在于，所述***包括多个所述虚拟机，每个所述虚拟机与所述主机共同使用不同的所述共享内存。

7.根据权利要求1至4任一项所述的方法，其特征在于，所述内存空间为主机内存，所述虚拟机通过网络协议访问所述主机内存。

8.一种虚拟机的安全防护***，其特征在于，包括主机以及虚拟机，所述主机内设置有对应于所述虚拟机的内存空间，包括：

所述虚拟机用于截获文件读写事件或者网络事件，将所述文件读写事件或者网络事件指向的数据置入所述内存空间；

所述主机用于从所述内存空间读取所述文件读写事件或者网络事件指向的数据；

所述主机还用于检测读取到的所述文件读写事件或者网络事件指向的数据，并得到检测结果。

9.根据权利要求8所述的***，其特征在于，进一步包括：

若所述检测结果为所述文件读写事件指向的数据中含有被病毒感染的数据，所述主机删除所述内存空间中所述被病毒感染的数据，所述虚拟机从所述内存空间读取所述内存空间中删除所述被病毒感染的数据后的保留数据，覆盖所述虚拟机中对应的原所述文件读写事件指向的数据；

若所述检测结果为所述文件读写事件指向的数据为木马数据，所述虚拟机删除虚拟机内对应的原所述文件读写事件指向的数据；

若所述检测结果为所述网络事件指向的数据为网络攻击数据，所述主机或者所述虚拟机中断所述网络事件。

10.根据权利要求8或者9所述的***，其特征在于，所述内存空间为所述主机与所述虚拟机的共享内存。