CN108563491B - 一种基于虚拟机的自省自动化管理、配置与自省方法 - Google Patents

一种基于虚拟机的自省自动化管理、配置与自省方法 Download PDF

Info

Publication number
CN108563491B
CN108563491B CN201810344939.8A CN201810344939A CN108563491B CN 108563491 B CN108563491 B CN 108563491B CN 201810344939 A CN201810344939 A CN 201810344939A CN 108563491 B CN108563491 B CN 108563491B
Authority
CN
China
Prior art keywords
virtual machine
puppet
call
target virtual
program
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201810344939.8A
Other languages
English (en)
Other versions
CN108563491A (zh
Inventor
邹学强
叶麟
余翔湛
袁庆升
詹东阳
包秀国
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Harbin Institute of Technology
National Computer Network and Information Security Management Center
Original Assignee
Harbin Institute of Technology
National Computer Network and Information Security Management Center
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Harbin Institute of Technology, National Computer Network and Information Security Management Center filed Critical Harbin Institute of Technology
Priority to CN201810344939.8A priority Critical patent/CN108563491B/zh
Publication of CN108563491A publication Critical patent/CN108563491A/zh
Application granted granted Critical
Publication of CN108563491B publication Critical patent/CN108563491B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Devices For Executing Special Programs (AREA)
  • Stored Programmes (AREA)
  • Storage Device Security (AREA)

Abstract

本发明提供一种基于虚拟机的自省自动化管理、配置与自省方法包括1)根据操作***的操作进程的调用执行过程，筛选出需复用的***调用从而形成傀儡***调用，所述傀儡***调用由目标虚拟机执行；所述目标虚拟机包括控制模块、数据交换模块以及***调用控制模块；2)注入目标虚拟机***调用3)保护虚拟机***调用执行，4)隔离虚拟机内存，包括：从目标虚拟机外部跟踪目标虚拟机的VCPU调度和操作目标虚拟机内存；本方法能更加加大加强安全性，目标虚拟机执行的傀儡***调用代码取自安全的内核镜像，复用的傀儡***不需要依赖目标虚拟机的内核完整性。

Description

一种基于虚拟机的自省自动化管理、配置与自省方法
技术领域
本发明涉及计算机技术领域，具体地说，是一种基于虚拟机的自省自动化管理、配置与自省方法。
背景技术
在云计算中虚拟机自省技术为云安全提供了安全保障手段。虚拟机自省技术(Virtual Machine Introspection，VMI)是基于虚拟机架构监控技术的典型代表。虚拟机自省技术的体系架构是通过在目标虚拟机外部获取虚拟机底层状态数据(CPU寄存器、I/O控制器寄存器、内存、大容量存储设备等)，可以在安全虚拟机中有效地监控或干预其内部运行状态。由于虚拟机管理层(Virtual Machine Monitor，VMM)具有最高权限，而且虚拟机之间有很强的隔离性，因此这种监控方式具有更高的安全性和透明性。由于这种方法能够保证监控工具的有效性和防攻击性，在入侵检测、内核完整性保护、文件保护等多方面发挥了重要作用。
但是，目前虚拟机监控技术面临着语义解析的挑战。由于监控器在虚拟化平台仅能获得虚拟机的二进制执行信息，无法获悉其高层语义信息，这种语义之间的差异称为“语义鸿沟”。由于不同虚拟机不同操作***和不同内核版本具有不同的语义知识，因此外部监控工具的通用性和可扩展性不好。尽管已经有自动化解析语义的工具如Volatility等，然而大部分VMI程序仅仅能够解析虚拟机的信息无法做到直接管理虚拟机。这是因为往往一个操作会引起虚拟众多内存和磁盘变化，在外部很难全面地模拟内核的所有操作。比如：当需要结束一个进程时，需要改变内核中的进程列表并且释放掉相关的所有内存，这是一***化地操作。
为了解决自动化处理语义鸿沟问题，Hypershell[1]、EXT[2]和PI[3]分别利用***调用重定向和将分析程序植入目标虚拟机的方法，从而达到管理或监控的目的。但是这些方法面临着安全性、自动化、可扩展性的问题。Hypershell与PI都是需要虚拟机辅助完成管理和解析，安全性与透明性有问题，一旦虚拟机内核被破坏则无法工作。EXT则是利用安全虚拟机(SVM)来代替目标虚拟机(TVM)处理数据，之后将结果复制到目标虚拟机中，但是面临着扩展性问题。因为各个***调用的待操作数据是不同的，需要分别处理，而Linux有众多种调用，因此难以覆盖所用功能。
发明内容
本发明提出了一种安全的基于虚拟机自省的自动化管理、配置与自省方法及***，使监控程序可以在虚拟机外部自动化地获取虚拟机运行信息和干预虚拟机的运行。核心思想是利用目标虚拟机辅助执行我们需要的傀儡***调用从而自动化地解析语义和干预虚拟机。采用复用***调用的策略是因为虚拟机中的大部分的重要的操作是通过***调用完成的。因此通过利用***调用可以自动化地处理语义鸿沟问题。
本发明可以采用如下方法来实现：
一种基于虚拟机的自省自动化管理、配置与自省方法，包括：
1)根据操作***的操作进程的调用执行过程，筛选出复用级***调用从而形成傀儡***调用，所述傀儡***调用由目标虚拟机执行；所述目标虚拟机包括控制模块、数据交换模块以及***调用控制模块；
2)注入目标虚拟机调用，包括
①在目标虚拟机中选取傀儡程序，并根据待处理语义，选取傀儡***调用并等待执行；调用控制模块获取当前调用执行过程且数据交换模块传递当前调用数据传递至控制模块并保存；
②控制模块操作数据交换模块，将需要执行的傀儡***调用的参数数据传递到目标虚拟机中，由目标虚拟机按照需求辅助完成傀儡***调用；
③数据交换模块将调用执行结果传递给控制模块，所述执行结果位于内核空间或用户空间；
④控制模块操作数据交换模块将傀儡程序原来调用的参数数据恢复到目标虚拟机中，之后调用控制模块会让目标虚拟机继续执行傀儡程序原来的调用；
⑤在原来调用执行后，完成傀儡***调用返回；操作***的控制流会返回到傀儡程序；
3)保护虚拟机***调用执行，包括：
①傀儡***调用开始执行后，设置目标虚拟机中所有内核页面权限为不可执行；
②当页面被执行后，会触发异常，则暂停目标虚拟机的运行；并根据被执行内核页面的虚拟地址找到安全虚拟机的安全镜像中对应的内存页面；将该页面写入目标虚拟机的被执行页面中并保护该内存页；
③将该页面设置为可以执行后，恢复目标虚拟机运行；
4)隔离虚拟机内存，包括：从目标虚拟机外部跟踪目标虚拟机的VCPU调度和操作目标虚拟机内存；具体为：在注入目标虚拟机调用过程中，在向傀儡程序写入傀儡***调用的参数数据之前，保存即将被写入内存区域之前的数据，并通过跟踪目标虚拟机中的程序的上下文切换信息，得到目标虚拟机中VCPU的调度信息。
进一步地，所述注入目标虚拟机调用，在注入调用过程中，当VCPU正在执行傀儡程序时，傀儡程序的内存是注入后的状态，当傀儡程序被切换后，在目标虚拟机外部跟踪傀儡程序内存的读写信息。
本发明还提供了一种基于虚拟机的自省自动化管理、配置与自省***，包括傀儡***调用形成模块、目标虚拟机调用执行模块、虚拟机调用执行保护模块以及虚拟机内存隔离模块；
所述傀儡***调用形成模块用于根据操作***的操作进程的调用执行过程，筛选出需要复用的***调用从而形成傀儡***调用，所述傀儡***调用由目标虚拟机执行；所述目标虚拟机包括控制模块、数据交换模块以及***调用控制模块；
所述目标虚拟机调用执行模块用于注入目标虚拟机调用，包括
①在目标虚拟机中选取傀儡程序，并根据待处理语义，选取傀儡***调用并等待执行；调用控制模块获取当前调用执行过程且数据交换模块传递当前调用数据传递至控制模块并保存；
②控制模块操作数据交换模块，将需要执行的傀儡***调用的参数数据传递到目标虚拟机中，由目标虚拟机按照需求辅助完成傀儡***调用；
③数据交换模块将调用执行结果传递给控制模块，所述执行结果位于内核空间或用户空间；
④控制模块操作数据交换模块将傀儡程序原来调用的参数数据恢复到目标虚拟机中，之后调用控制模块会让目标虚拟机继续执行傀儡程序原来的调用；
⑤在原来调用执行后，完成傀儡***调用返回；操作***的控制流会返回到傀儡程序；
所述虚拟机调用执行保护模块用于保护虚拟机***调用执行，包括：
①傀儡***调用开始执行后，设置目标虚拟机中所有内核页面权限为不可执行；
②当页面被执行后，会触发异常，则暂停目标虚拟机的运行；并根据被执行内核页面的虚拟地址找到安全虚拟机的安全镜像中对应的内存页面；将该页面写入目标虚拟机的被执行页面中并保护该内存页；
③将该页面设置为可以执行后，恢复目标虚拟机运行；
所述虚拟机内存隔离模块隔离虚拟机内存，包括：从目标虚拟机外部跟踪目标虚拟机的VCPU调度和操作目标虚拟机内存；具体为：在注入目标虚拟机调用过程中，在向傀儡程序写入傀儡***调用的参数数据之前，保存即将被写入内存区域之前的数据，并通过跟踪目标虚拟机中的程序的上下文切换信息，得到目标虚拟机中VCPU的调度信息。
进一步地，所述注入目标虚拟机调用，在注入调用过程中，当VCPU正在执行傀儡程序时，傀儡程序的内存是注入后的状态，当傀儡程序被切换后，在目标虚拟机外部跟踪傀儡程序内存的读写信息。
综上，本发明包含了以下几点：
(1)基于跟踪的傀儡***调用选取方法，当域外的监控程序需要获取虚拟机信息或干预虚拟机时，能够自动选取地需要复用的傀儡***调用；
(2)透明化的虚拟机***调用注入，能够通过控制虚拟机***调用执行的方式，向运行的虚拟机中注入额外的傀儡***调用。
(3)虚拟机***调用执行保护技术，在***调用复用过程中，一旦虚拟机内核被攻破，将导致注入的***调用的执行结果不可信。因此，需要研究虚拟机***调用执行保护技术实时地保护注入***调用的执行安全。在复用虚拟机***调用时，监控器将在域外动态检查虚拟机执行代码的完整性和安全性。
(4)虚拟机内存隔离技术，在虚拟机注入调用执行过程中，其所执行的代码和暂存的数据都将被隔离。被隔离的内存无法被其他进程访问，保证了注入调用不会被虚拟机中恶意进程攻击。
有益效果为：
(1)使注入的***调用不会干扰虚拟机正常的业务逻辑；
(2)在虚拟机执行被注入的***调用时，域外程序实时地跟踪其执行过程，从而实时地提取注入调用的执行结果；
(3)能够及时发现执行的代码被篡改，且实时地在其执行前进行恢复。同时，还将检测被保护代码执行过程中所依赖的内存的完整性，包括***调用表、内核结构体等；
(4)执行保护技术能够在虚拟机内核被篡改和攻击的情况下，保证复用的***调用的安全运行；
除了上述以外，本方法能更加加大加强安全性，目标虚拟机执行的傀儡***调用代码取自安全的内核镜像(存储于安全虚拟机中)，复用的傀儡***不需要依赖目标虚拟机的内核完整性。
附图说明
图1为本发明提供的一种基于虚拟机的自省自动化管理、配置与自省方法实施例流程图；
图2为本发明提供的一种基于虚拟机的自省自动化管理、配置与自省***实施例结构图；
图3为本发明提供的***调用执行过程举例图；
图4为本发明提供的傀儡调用注入流程图；
图5为本发明提供的内存多视图示意图。
具体实施方式
本发明给出了一种基于虚拟机的自省自动化管理、配置与自省方法及***实施例，为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明中技术方案作进一步详细的说明：
本发明首先提供了基于虚拟机的自省自动化管理、配置与自省方法，如图1所示，包括：
S101、1)根据操作***的操作进程的调用执行过程，筛选出复用级***调用从而形成傀儡***调用，所述傀儡***调用由目标虚拟机执行；所述目标虚拟机包括控制模块、数据交换模块以及***调用控制模块；
更详细地：如图3所示，Linux***kill命令的***调用执行过程，作用是Kill***中运行的进程。这个执行的序列是在目标虚拟机内部通过strace捕获的，而***的目的是在目标虚拟机外部实现这些干预功能。在外部仿照操作***内部kill的执行过程，只是将其中重要的调用作为傀儡***调用让目标虚拟机来完成。在Kill程序执行过程中有很多调用被执行，在这些调用中仅仅kill调用是真正用来完成kill操作，***仅会选择语义相关的***调用进行复用。
S102、2)注入目标虚拟机调用，包括
①在目标虚拟机中选取傀儡程序，并根据待处理语义，选取傀儡***调用并等待执行；调用控制模块获取当前调用执行过程且交换模块传递当前调用数据传递至控制模块并保存；
②控制模块操作数据交换模块，将需要执行的傀儡***调用的参数数据传递到目标虚拟机中，由目标虚拟机按照需求辅助完成傀儡***调用；
③数据交换模块将调用执行结果传递给控制模块，所述执行结果位于内核空间或用户空间；
④控制模块操作数据交换模块将傀儡程序原来调用的参数数据恢复到目标虚拟机中，之后调用控制模块会让目标虚拟机继续执行傀儡程序原来的调用；
⑤在原来调用执行后，完成傀儡***调用返回；操作***的控制流会返回到傀儡程序；
更详细地：***架流程图如图4所示。左边是安全的虚拟机，右边是***作的目标虚拟机。它们都运行于虚拟机管理层(VMM)之上，VMM为虚拟机提供虚拟化服务。***有控制模块、数据交换模块和***调用控制模块分别位于安全虚拟机和虚拟机管理层中。其中控制模块负责总体控制数据交换和***调用控制模块。调用控制模块负责监听和控制VM中的调用执行。数据交换模块负责在控制模块和VM之间传递***调用执行的参数和结果。***流程如下：
Step 0：在TVM中选取一个傀儡程序，作为发出调用请求的程序。根据管理配置过程中语义处理的需要，选取需要TVM运行的***调用并且准备所需的参数数据。
Step 1：等待傀儡程序执行***调用时，调用控制模块会得到当前调用执行情况，之后通知控制模块。同时交换模块会将当前调用执行数据等传递给控制模块并保存。
Step 2：控制模块操作数据交换模块，将需要执行的傀儡***调用的参数数据传递到目标虚拟机中。之后由目标虚拟机按照需求辅助完成傀儡***调用。在调用执行过程中，调用的代码完全取自位于安全虚拟机中的安全镜像中，保证***即使在内核调用被破坏的情况下也可以正常运行。
Step 3：目标虚拟机完成傀儡调用后，调用控制模块将捕获到调用执行完成，通知控制模块。
Step 4：数据交换模块将调用执行结果传递给控制模块。执行结果分别可能位于内核空间和用户空间。当执行的是语义解析类的调用时(如SYS_READ等)，传递的结果则是需要调用为解析的语义结果。如果执行的是管理类调用时(如SYS_CHOMD等)结果就是调用的执行是否成功等信息。
Step 5：首先，控制模块操作数据交换模块将傀儡程序原来调用的参数数据恢复到目标虚拟机中。之后调用控制模块会让目标虚拟机继续执行傀儡程序原来的调用。
Step 6：在原来调用执行后，完成***调用返回。操作***的控制流会返回到傀儡程序。
S103、3)保护虚拟机***调用执行，包括：
①傀儡***调用开始执行后，设置目标虚拟机中所有内核页面权限为不可执行；
②当页面被执行后，暂停目标虚拟机的运行；并根据被执行内核页面的虚拟地址找到安全虚拟机的安全镜像中对应的内存页面；将该页面写入目标虚拟机的被执行页面中并保护该内存页；
③将该页面设置为可以执行后，恢复目标虚拟机运行；
举例说明：为了保证目标虚拟机的傀儡调用指令的安全性，让目标虚拟机在执行傀儡调用期间的指令来自安全虚拟机中的安全代码库。为了实现这个目标，在傀儡调用执行期间将安全的调用指令动态地覆盖到TVM中。通过这种动态覆盖，能够让目标虚拟机在执行期间的执行的指令全部来自于安全虚拟机中的安全库。为了提高这个覆盖过程的效率，将替换的层次定在页面级。当目标虚拟机中某个页面被执行时则从安全虚拟机页面中取出与之对应的页面覆盖到目标虚拟机中。指令替换流程如下：
Step0，傀儡***调用开始执行后，设置目标虚拟机中所有内核页面权限为不可执行，当该指令被虚拟机执行时会触发VMExit异常；
Step1，当页面被执行后，暂停目标虚拟机的运行。根据被执行页面的虚拟地址找到安全虚拟机的安全镜像中找到对应的内存页面，然后将该页面写入目标虚拟机的被执行页面中。之后保护该内存页，当这一页再次被执行时就不需要重新写入了，同时也可以保护该内存防止其被篡改或者攻击。
Step2，将该页面设置为可以执行后，恢复目标虚拟机运行，这样目标虚拟机就可以继续执行调用了。当目标虚拟机中其他页面被执行时由于其页面权限是不可执行会重复执行Step1。
还需要注意目标虚拟机调用过程中间接寻址的问题。跳转指令会改变操作***中的控制流。其中直接寻址指令的跳转地址是写在指令区域的，通过保护代码的方法就可以保证其控制流的正确性。更详细地，攻击者将CALL 0xc15ac75c这条指令篡改，可以通过代码覆盖恢复原来的指令。而间接寻址的指令的跳转地址存储于其他内存区域，仅仅确保代码完整是不够的。采取动态指令解析的方法解决这个问题。利用安全虚拟机的安全镜像覆盖间接寻址过程中所依赖的内存区域。当执行Step1中将安全虚拟机中安全页面写入目标虚拟机时，利用Distorm解析该内存页，找到其中所有的间接寻址指令。然后将其替换为Int3中断，这样就可以在外部跟踪它的执行。当Int3引发VMExit时，恢复对应的间接寻址指令，然后根据当前的寄存器和指令信息找到该指令依赖的内存区域地址。最后在安全镜像库中根据地址找到安全的内存内容将其覆盖到TVM中。
S104、4)隔离虚拟机内存，包括：从目标虚拟机外部跟踪目标虚拟机的VCPU调度和操作目标虚拟机内存；具体为：在注入目标虚拟机调用过程中，在向傀儡程序写入傀儡***调用的参数数据之前，保存即将被写入内存区域之前的数据，并通过跟踪目标虚拟机中的程序的上下文切换信息，得到目标虚拟机中VCPU的调度信息。
更详细地：为了保护数据安全采取了一种基于多视图的内存保护措施。使注入的调用的内存视图与其他程序的所看到的视图不同，注入调用的数据只对傀儡程序可见，其他程序是不可见的，如图5所示。通过从目标虚拟机外部跟踪目标虚拟机的VCPU调度和操作目标虚拟机内存实现多视图机制。
首先在注入调用过程中在向傀儡程序写入傀儡调用数据之前保存被写入内存区域之前的数据。通过跟踪目标虚拟机中的程序上下文切换情况，得到目标虚拟机中VCPU的调度情况。当VCPU正在执行傀儡程序时，傀儡程序的内存是注入后的状态。而当傀儡程序被切换下去后，在目标虚拟机外部跟踪傀儡程序内存的读写情况。当傀儡程序的内存被读取时，这表明其他程序需要读取傀儡程序的数据。将傀儡程序内存重置为原来未注入数据的状态，这样保证其他程序读取到了其原来所需的数据，保证了透明性。当傀儡程序的内存被修改时，这表明有程序正在尝试修改傀儡程序的内存。如果这些修改与注入调用无关，则不做任何操作。如果是有关的，则不能让这些修改影响到注入的傀儡调用。对此，先将内存恢复为原来的样子，然后允许写入。写完后重新保存原内存数据。这样就保证了读写的是原来的内存视图，不影响注入调用的视图。
优选地，所述注入目标虚拟机调用，在注入调用过程中，当VCPU正在执行傀儡程序时，傀儡程序的内存是注入后的状态，当傀儡程序被切换后，在目标虚拟机外部跟踪傀儡程序内存的读写信息。
本发明还提供了一种基于虚拟机的自省自动化管理、配置与自省***，包括傀儡***调用形成模块201、目标虚拟机调用执行模202、虚拟机调用执行保护模块203以及虚拟机内存隔离模块204；
所述傀儡***调用形成模块201用于根据操作***的操作进程的调用执行过程，筛选出复用级***调用从而形成傀儡***调用，所述傀儡***调用由目标虚拟机执行；所述目标虚拟机包括控制模块2011、数据交换模块2012以及***调用控制模块2013；
所述目标虚拟机调用执行模块202用于注入目标虚拟机调用，包括
①在目标虚拟机中选取傀儡程序，并根据待处理语义，选取傀儡***调用并等待执行；调用控制模块2013获取当前调用执行过程且数据交换模块2012传递当前调用数据传递至控制模块2011并保存；
②控制模块2011操作数据交换模块2012，将需要执行的傀儡***调用的参数数据传递到目标虚拟机中，由目标虚拟机按照需求辅助完成傀儡***调用；
③数据交换模块2012将调用执行结果传递给控制模块2011，所述执行结果位于内核空间或用户空间；
④控制模块2011操作数据交换模块将傀儡程序原来调用的参数数据恢复到目标虚拟机中，之后调用控制模块2011会让目标虚拟机继续执行傀儡程序原来的调用；
⑤在原来调用执行后，完成傀儡***调用返回；操作***的控制流会返回到傀儡程序；
所述虚拟机调用执行保护模块用于保护虚拟机***调用执行，包括：
①傀儡***调用开始执行后，设置目标虚拟机中所有内核页面权限为不可执行；
②当页面被执行后，暂停目标虚拟机的运行；并根据被执行内核页面的虚拟地址找到安全虚拟机的安全镜像中对应的内存页面；将该页面写入目标虚拟机的被执行页面中并保护该内存页；
③将该页面设置为可以执行后，恢复目标虚拟机运行；
所述虚拟机内存隔离模块隔离虚拟机内存，包括：从目标虚拟机外部跟踪目标虚拟机的VCPU调度和操作目标虚拟机内存；具体为：在注入目标虚拟机调用过程中，在向傀儡程序写入傀儡***调用的参数数据之前，保存即将被写入内存区域之前的数据，并通过跟踪目标虚拟机中的程序的上下文切换信息，得到目标虚拟机中VCPU的调度信息。
优选地，所述注入目标虚拟机调用，在注入调用过程中，当VCPU正在执行傀儡程序时，傀儡程序的内存是注入后的状态，当傀儡程序被切换后，在目标虚拟机外部跟踪傀儡程序内存的读写信息。
本发明提出了一种安全的基于虚拟机自省的自动化管理、配置与自省方法及***，使监控程序可以在虚拟机外部自动化地获取虚拟机运行信息和干预虚拟机的运行。核心思想是利用目标虚拟机辅助执行我们需要的傀儡***调用从而自动化地解析语义和干预虚拟机。采用复用***调用的策略是因为虚拟机中的大部分的重要的操作是通过***调用完成的。因此通过利用***调用可以自动化地处理语义鸿沟问题。
以上实施例用以说明而非限制本发明的技术方案。不脱离本发明精神和范围的任何修改或局部替换，均应涵盖在本发明的权利要求范围当中。

Claims (6)

1.一种基于虚拟机的自省自动化管理、配置与自省方法，其特征在于，包括：
1)根据操作***的操作进程的调用执行过程，筛选出需复用的***调用从而形成傀儡***调用，所述傀儡***调用由目标虚拟机执行；控制模块、数据交换模块和***调用控制模块分别位于安全虚拟机和虚拟机管理层中；
2)注入目标虚拟机***调用，包括
①在目标虚拟机中选取傀儡程序，并根据待处理语义，选取傀儡***调用并等待执行；调用控制模块获取当前调用执行过程且数据交换模块传递当前调用数据传递至控制模块并保存；
②控制模块操作数据交换模块，将需要执行的傀儡***调用的参数数据传递到目标虚拟机中，由目标虚拟机按照需求辅助完成傀儡***调用；
③数据交换模块将调用执行结果传递给控制模块，所述执行结果位于内核空间或用户空间；
④控制模块操作数据交换模块将傀儡程序原来调用的参数数据恢复到目标虚拟机中，之后调用控制模块会让目标虚拟机继续执行傀儡程序原来的调用；
⑤在原来调用执行后，完成傀儡***调用返回；操作***的控制流会返回到傀儡程序；
3)保护虚拟机***调用执行，包括：
①傀儡***调用开始执行后，设置目标虚拟机中所有内核页面权限为不可执行；
②当页面被执行后，暂停目标虚拟机的运行；并根据被执行内核页面的虚拟地址找到安全虚拟机的安全镜像中对应的内存页面；将该页面写入目标虚拟机的被执行页面中并保护该内存页；
③将该页面设置为可以执行后，恢复目标虚拟机运行；
4)隔离虚拟机内存，包括：从目标虚拟机外部跟踪目标虚拟机的VCPU调度和操作目标虚拟机内存；具体为：在注入目标虚拟机调用过程中，在向傀儡程序写入傀儡***调用的参数数据之前，保存即将被写入内存区域之前的数据，并通过跟踪目标虚拟机中的程序的上下文切换信息，从而防止傀儡调用的数据信息被其他进程读取或篡改。
2.如权利要求1所述的一种基于虚拟机的自省自动化管理、配置与自省方法，其特征在于，所述目标虚拟机调用的调用过程中从虚拟机外部修改寄存器和内存内容改变操作***中的控制流。
3.如权利要求1所述的一种基于虚拟机的自省自动化管理、配置与自省方法，其特征在于，所述注入目标虚拟机调用，在注入调用过程中，当VCPU正在执行傀儡程序时，傀儡程序的内存是注入后的状态，当傀儡程序被切换后，在目标虚拟机外部跟踪傀儡程序内存的读写信息。
4.一种基于虚拟机的自省自动化管理、配置与自省***，其特征在于，包括傀儡***调用形成模块、目标虚拟机调用执行模块、虚拟机调用执行保护模块以及虚拟机内存隔离模块；
所述傀儡***调用形成模块用于根据操作***的操作进程的调用执行过程，筛选出复用的***调用从而形成傀儡***调用，所述傀儡***调用由目标虚拟机执行；控制模块、数据交换模块和***调用控制模块分别位于安全虚拟机和虚拟机管理层中；
所述目标虚拟机调用执行模块用于注入目标虚拟机调用，包括
①在目标虚拟机中选取傀儡程序，并根据待处理语义，选取傀儡***调用并等待执行；调用控制模块获取当前调用执行过程且数据交换模块传递当前调用数据传递至控制模块并保存；
②控制模块操作数据交换模块，将需要执行的傀儡***调用的参数数据传递到目标虚拟机中，由目标虚拟机按照需求辅助完成傀儡***调用；
③数据交换模块将调用执行结果传递给控制模块，所述执行结果位于内核空间或用户空间；
④控制模块操作数据交换模块将傀儡程序原来调用的参数数据恢复到目标虚拟机中，之后调用控制模块会让目标虚拟机继续执行傀儡程序原来的调用；
⑤在原来调用执行后，完成傀儡***调用返回；操作***的控制流会返回到傀儡程序；所述虚拟机调用执行保护模块用于保护虚拟机***调用执行，包括：
①傀儡***调用开始执行后，设置目标虚拟机中所有内核页面权限为不可执行；
②当页面被执行时，会触发异常，则暂停目标虚拟机的运行；并根据被执行内核页面的虚拟地址找到安全虚拟机的安全镜像中对应的内存页面；将该页面写入目标虚拟机的被执行页面中并保护该内存页；
③将该页面设置为可以执行后，恢复目标虚拟机运行；
所述虚拟机内存隔离模块隔离虚拟机内存，包括：从目标虚拟机外部跟踪目标虚拟机的VCPU调度和操作目标虚拟机内存；具体为：在注入目标虚拟机调用过程中，在向傀儡程序写入傀儡***调用的参数数据之前，保存即将被写入内存区域之前的数据，并通过跟踪目标虚拟机中的程序的上下文切换信息，得到目标虚拟机中VCPU的调度信息；当其他进程访问被保护的内存区域时，将数据恢复为原来的数据，防止傀儡调用数据被读取和篡改。
5.如权利要求4所述的一种基于虚拟机的自省自动化管理、配置与自省***，其特征在于，所述目标虚拟机调用的调用过程中采用修改虚拟机寄存器中的内容从而改变操作***中的控制流。
6.如权利要求4所述的一种基于虚拟机的自省自动化管理、配置与自省***，其特征在于，所述注入目标虚拟机调用，在注入调用过程中，当VCPU正在执行傀儡程序时，傀儡程序的内存是注入后的状态，当傀儡程序被切换后，在目标虚拟机外部跟踪傀儡程序内存的读写信息。
CN201810344939.8A 2018-04-17 2018-04-17 一种基于虚拟机的自省自动化管理、配置与自省方法 Active CN108563491B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201810344939.8A CN108563491B (zh) 2018-04-17 2018-04-17 一种基于虚拟机的自省自动化管理、配置与自省方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201810344939.8A CN108563491B (zh) 2018-04-17 2018-04-17 一种基于虚拟机的自省自动化管理、配置与自省方法

Publications (2)

Publication Number Publication Date
CN108563491A CN108563491A (zh) 2018-09-21
CN108563491B true CN108563491B (zh) 2022-03-29

Family

ID=63535241

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810344939.8A Active CN108563491B (zh) 2018-04-17 2018-04-17 一种基于虚拟机的自省自动化管理、配置与自省方法

Country Status (1)

Country Link
CN (1) CN108563491B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115248718A (zh) * 2021-04-26 2022-10-28 华为技术有限公司 内存数据获取方法、装置及存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102129531A (zh) * 2011-03-22 2011-07-20 北京工业大学 一种基于Xen的主动防御方法
US9596261B1 (en) * 2015-03-23 2017-03-14 Bitdefender IPR Management Ltd. Systems and methods for delivering context-specific introspection notifications
CN107203410A (zh) * 2017-04-14 2017-09-26 华中科技大学 一种基于***调用重定向的vmi方法及***
CN107239700A (zh) * 2017-06-28 2017-10-10 郑州云海信息技术有限公司 一种基于xen虚拟化平台的安全防护方法
CN107608758A (zh) * 2017-08-31 2018-01-19 郑州云海信息技术有限公司 一种虚拟机文件完整性监控方法及***

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102129531A (zh) * 2011-03-22 2011-07-20 北京工业大学 一种基于Xen的主动防御方法
US9596261B1 (en) * 2015-03-23 2017-03-14 Bitdefender IPR Management Ltd. Systems and methods for delivering context-specific introspection notifications
CN107203410A (zh) * 2017-04-14 2017-09-26 华中科技大学 一种基于***调用重定向的vmi方法及***
CN107239700A (zh) * 2017-06-28 2017-10-10 郑州云海信息技术有限公司 一种基于xen虚拟化平台的安全防护方法
CN107608758A (zh) * 2017-08-31 2018-01-19 郑州云海信息技术有限公司 一种虚拟机文件完整性监控方法及***

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
Protecting Critical Files Using Target-Based Virtual Machine;Dongyang ZHAN等;《IEICE Transactions on Information and Systems》;20171001;第E100.D卷(第10期);2307-2318 *

Also Published As

Publication number Publication date
CN108563491A (zh) 2018-09-21

Similar Documents

Publication Publication Date Title
KR102189296B1 (ko) 가상 머신 보안 어플리케이션을 위한 이벤트 필터링
CN109558211B (zh) 保护可信应用与普通应用的交互完整性和保密性的方法
US8595487B2 (en) Virtualization hardware for device driver isolation
US10296470B2 (en) Systems and methods for dynamically protecting a stack from below the operating system
CN105022956B (zh) 一种抵御代码重用攻击的方法
EP3022648B1 (en) Page fault injection in virtual machines to cause mapping of swapped-out memory pages into vm virtualized memory
CN108292272A (zh) 用于管理有界指针的装置和方法
US20160210069A1 (en) Systems and Methods For Overriding Memory Access Permissions In A Virtual Machine
US8910155B1 (en) Methods and systems for injecting endpoint management agents into virtual machines
KR20170042602A (ko) 가상 머신을 나가자 마자 현재 프로세서 명령을 노출하기 위한 시스템 및 방법
KR20160019454A (ko) 데이터 처리장치에서의 소프트웨어 라이브러리들의 보안 보호
JP2023038361A (ja) 命令セット内の変更を制御する装置及び方法
TW202030634A (zh) 轉換禁用指示符
US20150379265A1 (en) Systems And Methods For Preventing Code Injection In Virtualized Environments
JP2009009232A (ja) コンピュータとカーネル保護方法並びにコンピュータソフトウエア
CN108563491B (zh) 一种基于虚拟机的自省自动化管理、配置与自省方法
CN107203410B (zh) 一种基于***调用重定向的vmi方法及***
US10019576B1 (en) Security control system for protection of multi-core processors
EP4073635B1 (en) Intermodal calling branch instruction
CN113268726A (zh) 程序代码执行行为的监控方法、计算机设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant