CN103077071B - 一种kvm虚拟机进程信息的获取方法及系统 - Google Patents

Abstract

本发明公开了一种KVM虚拟机进程信息的获取方法及系统，涉及信息安全技术领域。本发明公开的系统包括：系统调用截获模块，截获Qemu‑kvm发起的IOCTL系统调用，并将该调用的参数发送给内省API驱动模块；内省API驱动模块，替代Qemu‑kvm向KVM发起IOCTL系统调用，记录KVM响应调用的vcpu并返回给Qemu‑kvm，获取正在运行中的虚拟机中的进程和寄存器的相关信息，并对所获取的相关信息进行结构化处理后通过进程扫描接口暴露给外部程序，以及接收由外部程序发起的扫描命令，通过vcpu向KVM发起该请求。本发明还公开了一种KVM虚拟机进程信息的获取方法。本申请技术方案可以在不修改Qemu‑kvm和KVM代码的前提下，透明的实现对其上运行的虚拟机中的进程信息的内省。

Description

一种KVM虚拟机进程信息的获取方法及系统

技术领域

本发明涉及信息安全技术领域，尤其涉及云计算中的保护虚拟机安全的方案。

背景技术

云计算是计算机和互联网的又一次新的革命，它将计算和存储转移到了云端，用户可以通过使用轻量级的便携式终端来进行复杂的计算和大容量的存储。从技术的角度来看，云计算不仅仅是一种新的概念，并行计算和虚拟化是实现云计算应用的主要技术手段。由于硬件技术的快速发展，使得一台普通的物理服务器的所具有性能远远超过普通的单一用户对硬件性能的需求。因此，通过虚拟化的手段，将一台物理服务器虚拟为多台虚拟机，提供虚拟化服务成为了构建公有云和企业私有云的技术基础。

虚拟化在带来技术变革的同时，也提出了新的主机安全防护问题。如果按照传统方式部署主机杀毒或主机入侵防护产品，需要在每台虚拟机上安装相应的安全防护软件。每台虚拟机上的安全防护软件同时执行任务时，将会对内存和CPU的资源产生激烈的竞争。同时，在安全产品的规则库、病毒库的管理上也变得较为复杂。若不能保证所有虚拟机上安全防护产品的规则库同步更新，则会产生安全防护间隙的问题。比如，新建的未安装安全防护软件的虚拟机或在虚拟机休眠后，对其它未休眠的虚拟机上安全产品的规则库进行了更新，则重启后的休眠中的虚拟机都成为了容易被入侵的目标。

KVM(Kernel-based Virtual Machine，开源虚拟机)内省技术是一种由虚拟机监控器主动向外提供对其上运行的虚拟机进行扫描和监控的技术，包括如对虚拟机的内存扫描、IO截获、进程信息获取等。通过虚拟机监控器 内省技术提供的API接口，以一台独立的特权安全虚拟机的形态来实现对其上运行的虚拟机的安全防护，就不需要在业务虚拟机内安装安全防护软件，解决的资源竞争的问题，同时，由于只需要对这台安全虚拟机进行规则库和病毒库的维护管理，也能够很好的解决由于更新不同步所造成的安全防护间隙问题。

KVM是一种基于Linux内核的虚拟化监控器，由于其随着Linux内核的发布而进行更新，现已经成为很受第三方云计算解决方案提供商欢迎的虚拟化平台。有大量的基于KVM进行修改的云计算平台被部署到了互联网数据中心(IDC)中，成为云计算应用的基础设施。目前KVM还没有像VMWare那样提供官方的KVM内省API支持，虽然在Qemu-kvm和KVM模块中都存在有IOCTL的调用接口，但是如果想使用这些接口必须对其模块的源码进行修改和重新编译。这在商业应用中是很难达成的，因为通常云计算服务提供商和安全产品服务提供商不是同一家厂商，作为云计算服务提供商也不会允许安全产品服务提供商对其云计算平台的核心代码模块进行任意的修改。因此，本方法和系统主要解决如何在一个已经部署并稳定运行的以KVM为核心的云计算商业平台中，完全不修改虚拟化平台核心模块，并向外提供对虚拟机系统中运行的进程信息内省接口的技术问题。

发明内容

本发明所要解决的技术问题是，提供一种KVM虚拟机进程信息的获取方法及系统，以便在完全不修改虚拟化平台核心模块的基础上，向外提供对虚拟机系统中运行的进程信息内省接口。

为了解决上述技术问题，本发明公开了一种KVM虚拟机进程信息的获取系统，至少包括系统调用截获模块和内省API驱动模块，其中：

所述系统调用截获模块，截获Qemu-kvm发起的IOCTL系统调用，并将该IOCTL系统调用的参数发送给所述内省API驱动模块；

所述内省应用程序接口(API)驱动模块，使用系统调用截获模块发送的参数替代Qemu-kvm向KVM发起IOCTL系统调用，记录KVM响应 IOCTL系统调用的虚拟CPU的文件描述符并返回给Qemu-kvm，获取正在运行中的虚拟机中的进程和寄存器的相关信息，并对所获取的相关信息进行结构化处理后通过进程扫描接口暴露给外部程序，以及接收由外部程序发起的扫描命令，通过所述虚拟CPU的文件描述符向KVM发起该请求。

较佳地，上述系统还包括：

策略管控模块，对所述内省API驱动模块获取的虚拟机内进程信息和寄存器信息进行扫描，并根据扫描结果进行分析，生成分析报告，并通过所述内省API驱动模块提供的IOCTL接口向外部程序下发对虚拟机进程信息的扫描命令。

较佳地，上述系统中，所述系统调用截获模块，监听主机的系统调用，若是由Qemu-kvm发起的创建虚拟CPU的IOCTL系统调用，则进行截获，并根据所截获的IOCTL系统调用的参数，构造一个新的创建虚拟CPU的IOCTL系统调用并向KVM进行调用，将KVM执行的IOCTL系统调用的返回值返回给Qemu-kvm，并将所述虚拟CPU的文件描述符传送给内省API驱动模块。

较佳地，上述系统中，所述内省API驱动模块，通过收到的vcpu_fd所提供的IOCTL接口封装KVM_GET_REGS、KVM_GET_SREGS、KVM_GET_MSRS命令对应的返回结果，以IOCTL的方式对外部程序提供读取该结果的接口。

较佳地，上述系统中，所述内省API驱动模块还通过封装IOCTL的KVM_TRANSLATE命令，实现在物理机系统中对虚拟机vcpu物理内存地址的读取。

本发明还公开了一种KVM虚拟机进程信息的获取方法，包括：

系统调用截获模块截获Qemu-kvm发起的IOCTL系统调用，将所截获的IOCTL系统调用的参数发送给内省应用程序接口(API)驱动模块；

内省API驱动模块使用系统调用截获模块发送的参数替代Qemu-kvm向KVM发起IOCTL系统调用，记录KVM响应IOCTL系统调用的虚拟CPU的 文件描述符并返回给Qemu-kvm，获取正在运行中的虚拟机中的进程和寄存器的相关信息，再对所获取的相关信息进行结构化处理后通过进程扫描接口暴露给外部程序；

当内省API驱动模块接收到外部程序发起的扫描命令，则通过所述vcpu_fd向KVM发起该扫描请求。

较佳地，上述方法还包括：

对所述内省API驱动模块获取的虚拟机内进程信息和寄存器信息进行扫描，根据扫描结果进行分析，生成分析报告，并通过所述内省API驱动模块提供的IOCTL接口向外部程序下发对虚拟机进程信息的扫描命令。

较佳地，上述方法中，所述系统调用截获模块截获Qemu-kvm发起的IOCTL系统调用的过程如下：

所述系统调用截获模块监听主机的系统调用，若是由Qemu-kvm发起的创建虚拟CPU的IOCTL系统调用，则进行截获，并根据所截获的IOCTL系统调用的参数，构造一个新的创建虚拟CPU的IOCTL系统调用并向KVM进行调用，将KVM执行的IOCTL系统调用的返回值返回给Qemu-kvm，并将虚拟CPU的文件描述符传送给内省API驱动模块。

较佳地，上述方法还包括：

所述内省API驱动模块通过收到的vcpu_fd所提供的IOCTL接口封装KVM_GET_REGS、KVM_GET_SREGS、KVM_GET_MSRS命令对应的返回结果，以IOCTL的方式对外部程序提供读取该结果的接口，以此实现对寄存器信息的内省。

较佳地，上述方法中，所述内省API驱动模块还通过封装IOCTL的KVM_TRANSLATE命令，实现在物理机系统中对虚拟机虚拟CPU物理内存地址的读取。

本申请技术方案可以在不修改Qemu-kvm和KVM代码的前提下，透明的实现对其上运行的虚拟机中的进程信息的内省。

附图说明

图1为现有技术中Qemu-kvm通过IOCTL接口启动虚拟机的调用流程图；

图2为本实施例中KVM虚拟机进程信息的获取系统的结构框图；

图3为本实施例中通过截获IOCTL系统调用透明获得vcpu_fd的流程示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，下文将结合附图对本发明技术方案作进一步详细说明。需要说明的是，在不冲突的情况下，本申请的实施例和实施例中的特征可以任意相互组合。

实施例1

目前，KVM的IOCTL接口是其提供给Qemu-kvm模块进行调用的，具体的调用过程如图1所示。Qemu-kvm在使用时，需要先通过打开/dev/kvm来获取KVM的文件描述符，再通过该描述符对应的IOCTL接口获得虚拟机的文件描述符(vm_fd)，通过vm_fd得到虚拟CPU(vcpu)实例的文件描述符(vcpu_fd)，这样才能够对运行于该虚拟CPU上的进程以及对其所使用的寄存器信息进行监控。在不修改Qemu-kvm代码的情况下，通常是无法获得运行时的vcpu_fd，也就无法使用KVM自身对外提供的IOCTL接口来监控其上运行的虚拟机中的进程和寄存器信息。

申请人又考虑到通常提供云服务和虚拟化的服务商都不会接受安全厂商去修改虚拟化平台模块代码这一事实，因此，申请人提出通过截获创建vcpu的IOCTL调用，获得vcpu_fd这个关键的文件描述符，并通过它来直接向KVM获取与虚拟机进程执行信息相关内省信息。

基于上述思想，本实施例提供一种透明的KVM虚拟机进程信息的获取系统，至少包括系统调用截获模块和内省API驱动模块。

系统调用截获模块，负责通过截获物理主机系统调用，分析系统调用名称及参数，截获Qemu-kvm发起的创建虚拟CPU的IOCTL系统调用，将所截获的IOCTL系统调用的参数发送给内省API驱动模块，以便内省API驱动模块构造新的IOCTL系统调用，获得vcpu_fd。

具体地，上述系统调用截获模块监听主机的系统调用，若是由Qemu-kvm发起的创建vcpu的IOCTL系统调用，则进行截获，并获得截获的系统调用参数，构造一个新的创建vcpu的IOCTL系统调用并执行。系统调用截获模块获得执行的系统调用的返回值即vcpu_fd后，将vcpu_fd作为系统调用的返回值返回给Qemu-kvm以及内省API驱动模块。

内省API驱动模块，根据系统调用截获模块发送的参数替代Qemu-kvm向KVM模块发起IOCTL调用，记录KVM返回的vcpu_fd并发送给Qemu-kvm(以保证不改变KVM的工作流程)，获得正在运行中的虚拟机中的进程和寄存器的相关信息，并对这些信息进行结构化处理后通过进程扫描接口暴露给外部调用程序。同时提供接口负责接收由外部程序发起的扫描命令，并通过vcpu_fd向KVM发起该请求。

上述内省API驱动模块还可以通过vcpu_fd所提供的IOCTL接口封装其中KVM_GET_REGS、KVM_GET_SREGS、KVM_GET_MSRS等命令对应的返回结果，以IOCTL的方式对外部程序提供读取此结果的接口，以此实现对寄存器信息的内省。还可以通过封装IOCTL的KVM_TRANSLATE命令，实现在物理机系统中对虚拟机vcpu物理内存地址的读取。

优选方案中，上述KVM虚拟机进程信息的获取系统还可以包括一个策略管控模块，负责执行对虚拟机内进程信息和寄存器信息的扫描，并根据扫描结果进行分析，产生分析报告。通过内省API驱动模块提供的IOCTL接口下发对虚拟机进程信息的扫描命令。

具体地，此策略管控模块中包括扫描策略模块、扫描执行模块、结果分析报告模块和规则库。

其中，扫描策略模块，根据扫描策略发起执行扫描的调用；

扫描执行模块，调用内省API驱动模块提供的IOCTL系统调用接口，以驱动内省API驱动模块调用KVM的内省接口获得虚拟机当前vcpu的寄存器信息；

结果分析报告模块，根据外部程序发送的内省信息扫描结果，查询规则库当前进程信息的状态，即是否需要报警等。

规则库维护模块，对规则库中的规则进行维护。

此优选方案中，KVM虚拟机进程信息的获取系统的架构如图2所示。

实施例2

本实施例提供一种虚拟机进程信息和寄存器信息的扫描系统，包括：

扫描执行模块、扫描策略模块、结果分析和报告模块、规则库维护模块。

所述扫描执行模块用于通过IOCTL接口获得内省API驱动模块提供的对虚拟机进程和寄存器信息的扫描结果。

所述扫描策略模块用于自定义扫描计划，考虑到扫描会对虚拟化平台造成一定的资源消耗，因此该模块提供可自定义的扫描计划，以确保扫描不会和业务虚拟机的运行造成资源竞争。

结果分析和报告模块用于对扫描到的结果进行分析，根据规则库中给出的匹配规则给出相应的虚拟机进程运行状态的评估，标记可疑进程。分析结果被格式化后以文本方式进行保存。

所述规则库维护模块用于维护一个简单的文件型数据库。数据库用于存放对进程和寄存器信息扫描结果的评估规则，规则库模块提供对该数据库内项目的增删改查。

实施例3

本实施例提供一种透明的KVM虚拟机进程信息的获取方法，该方法包 括：

A、系统调用截获模块截获Qemu-kvm发起的IOCTL调用；

B、当发现该IOCTL系统调用为CREATE_VCPU时，由内省API驱动模块重新发起该系统调用，并记录返回的虚拟CPU的文件描述符(vcpu_fd)值；

该步骤中，系统调用截获模块监听主机的系统调用，若是由Qemu-kvm发起的创建vcpu的IOCTL系统调用，则进行截获，内省API驱动模块根据所截获的IOCTL系统调用的参数，构造一个新的创建vcpu的IOCTL系统调用并向KVM进行调用，将KVM执行的IOCTL系统调用的返回值返回给Qemu-kvm。

具体地，系统调用截获模块通过截获IOCTL系统调用透明获得vcpu_fd的过程如图3所示。

C、内省API驱动模块通过截获的IOCTL系统调用的参数直接调用KVM提供的IOCTL接口，获取运行在KVM平台上的虚拟机的进程信息和寄存器信息，再对所获取的相关信息进行结构化处理后通过进程扫描接口暴露给外部程序；

D、当内省API驱动模块接收到外部程序发起的扫描命令时，通过系统调用截获模块发送的vcpu_fd向KVM发起该扫描请求。

在上述方法的基础上，优选方案提出对内省API驱动模块获取的虚拟机内进程信息和寄存器信息可以进行扫描，根据扫描结果进行分析，生成分析报告，并通过内省API驱动模块提供的IOCTL接口向外部程序下发对虚拟机进程信息的扫描命令。

要说明的是，内省API驱动模块还可以通过收到的vcpu_fd所提供的IOCTL接口封装KVM_GET_REGS、KVM_GET_SREGS、KVM_GET_MSRS命令对应的返回结果，以IOCTL的方式对外部程序提供读取该返回结果的接口，以此实现对寄存器信息的内省。另外，内省API驱动模块还可以通过封装IOCTL的KVM_TRANSLATE命令，实现在物理机系统中对虚拟机vcpu物理内存地址的读取。

从上述实施例可以看出，本申请技术方案实现了在完全不修改KVM虚拟化平台模块的情况下，对虚拟化平台和虚拟机都完全透明的虚拟机内省API接口，并基于该接口实现了对虚拟机内的进程和寄存器信息的扫描和分析。本申请技术方案与其它在KVM虚拟化平台上实现的提供类似功能的系统的主要区别在于完全不需要修改Qemu-kvm和KVM的源码，这是一种更容易被用户接受的实现和部署方式，因为通常情况下，提供云计算和虚拟化服务的服务商和提供安全服务的服务商并不是同一厂家，若安全服务商对虚拟化服务提供商的产品进行源码级别的修改和重编译可能会造成虚拟化的基础平台的稳定性受到影响同时也不易被用户所接受。

本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序来指令相关硬件完成，所述程序可以存储于计算机可读存储介质中，如只读存储器、磁盘或光盘等。可选地，上述实施例的全部或部分步骤也可以使用一个或多个集成电路来实现。相应地，上述实施例中的各模块/单元可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。本申请不限制于任何特定形式的硬件和软件的结合。

以上所述，仅为本发明的较佳实例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种KVM虚拟机进程信息的获取系统，其特征在于，该系统至少包括系统调用截获模块和内省API驱动模块，其中：

所述系统调用截获模块，截获Qemu-kvm发起的IOCTL系统调用，并将该IOCTL系统调用的参数发送给所述内省API驱动模块；

所述内省API驱动模块，使用系统调用截获模块发送的参数替代Qemu-kvm向KVM发起IOCTL系统调用，记录KVM响应IOCTL系统调用的虚拟CPU的文件描述符并返回给Qemu-kvm，获取正在运行中的虚拟机中的进程和寄存器的相关信息，并对所获取的相关信息进行结构化处理后通过进程扫描接口暴露给外部程序，以及接收由外部程序发起的扫描命令，通过所述虚拟CPU的文件描述符向KVM发起扫描请求。

2.如权利要求1所述的系统，其特征在于，该系统还包括：

策略管控模块，对所述内省API驱动模块获取的虚拟机内进程信息和寄存器信息进行扫描，并根据扫描结果进行分析，生成分析报告，并通过所述内省API驱动模块提供的IOCTL接口向外部程序下发对虚拟机进程信息的扫描命令。

3.如权利要求1或2所述的系统，其特征在于，

所述系统调用截获模块，监听主机的系统调用，若是由Qemu-kvm发起的创建虚拟CPU的IOCTL系统调用，则进行截获，并根据所截获的IOCTL系统调用的参数，构造一个新的创建虚拟CPU的IOCTL系统调用并向KVM进行调用，将KVM执行的IOCTL系统调用的返回值返回给Qemu-kvm，并将所述虚拟CPU的文件描述符传送给内省API驱动模块。

4.如权利要求3所述的系统，其特征在于，

所述内省API驱动模块，通过收到的所述虚拟CPU的文件描述符所提供的IOCTL接口封装KVM_GET_REGS、KVM_GET_SREGS、KVM_GET_MSRS命令对应的返回结果，以IOCTL的方式对外部程序提供读取该结果的接口。

5.如权利要求4所述的系统，其特征在于，

所述内省API驱动模块还通过封装IOCTL的KVM_TRANSLATE命令，实现在物理机系统中对虚拟机虚拟CPU物理内存地址的读取。

6.一种KVM虚拟机进程信息的获取方法，其特征在于，该方法包括：

系统调用截获模块截获Qemu-kvm发起的IOCTL系统调用，将所截获的IOCTL系统调用的参数发送给内省API驱动模块；

所述内省API驱动模块使用系统调用截获模块发送的参数替代Qemu-kvm向KVM发起IOCTL系统调用，记录KVM响应IOCTL系统调用的虚拟CPU的文件描述符并返回给Qemu-kvm，获取正在运行中的虚拟机中的进程和寄存器的相关信息，再对所获取的相关信息进行结构化处理后通过进程扫描接口暴露给外部程序；

当所述内省API驱动模块接收到外部程序发起的扫描命令，则通过所述虚拟CPU的文件描述符向KVM发起扫描请求。

7.如权利要求6所述的方法，其特征在于，该方法还包括：

对所述内省API驱动模块获取的虚拟机内进程信息和寄存器信息进行扫描，根据扫描结果进行分析，生成分析报告，并通过所述内省API驱动模块提供的IOCTL接口向外部程序下发对虚拟机进程信息的扫描命令。

8.如权利要求6或7所述的方法，其特征在于，所述系统调用截获模块截获Qemu-kvm发起的IOCTL系统调用的过程如下：

所述系统调用截获模块监听主机的系统调用，若是由Qemu-kvm发起的创建虚拟CPU的IOCTL系统调用，则进行截获，并根据所截获的IOCTL系统调用的参数，构造一个新的创建虚拟CPU的IOCTL系统调用并向KVM进行调用，将KVM执行的IOCTL系统调用的返回值返回给Qemu-kvm，并将所述虚拟CPU的文件描述符传送给内省API驱动模块。

9.如权利要求8所述的方法，其特征在于，该方法还包括：

所述内省API驱动模块通过收到的所述虚拟CPU的文件描述符所提供的IOCTL接口封装KVM_GET_REGS、KVM_GET_SREGS、KVM_GET_MSRS命令对应的返回结果，以IOCTL的方式对外部程序提供读取该结果的接口。

10.如权利要求9所述的方法，其特征在于，

所述内省API驱动模块还通过封装IOCTL的KVM_TRANSLATE命令，实现在物理机系统中对虚拟机虚拟CPU物理内存地址的读取。