CN103365702B - IaaS云环境下轻量级虚拟机进程追踪系统和方法 - Google Patents

Abstract

本发明公开了IaaS云环境下轻量级虚拟机进程追踪系统和方法。所述追踪系统经由虚拟化平台从目标虚拟机外部实时追踪其内部进程，将进程追踪器分为进程追踪器后端和进程追踪器前端。在进程追踪启动前，预先构建进程追踪器后端进程信息库静态库。进程追踪开始后，在云平台虚拟化平台内部启动进程追踪器前端物理内存定位模块监视目标虚拟机内部事件，将从外部获得的硬件级字节信息还原为虚拟机内部的行为和事件特征，快速构建进程高级语义视图，实时捕获虚拟机内进程以及进程之间的关联关系。本发明无需在线解析操作系统内核，处理效率高，系统负荷小；当被监视虚拟机被入侵时，可保持对虚拟机的有效监控。

Description

IaaS云环境下轻量级虚拟机进程追踪系统和方法

技术领域

本发明涉及IaaS云计算领域，特别涉及一种IaaS云环境下轻量级虚拟机内部进程追踪系统和方法。

背景技术

IaaS云计算是一种将计算机基础设施资源通过互联网为用户提供服务的新型计算模式和商业模式。虚拟化作为支撑IaaS云模式的关键技术，通过对CPU、内存、硬盘存储器等硬件的聚合和再分配，构建一个物理上异地分布、逻辑上单一呈现、功能上弹性伸缩的云环境，以虚拟机的形式响应用户的业务需求。云计算降低了资源使用者和资源实体之间的耦合程度，便于维护和管理，可以降低基础设施的运营成本，受到学术界和产业界的广泛关注，并且在许多行业得到应用和推广。

IaaS云计算整合了大量计算机资源，为用户提供了资源无限利用的可能性。但是，资源规模的增大也产生了两个问题，即资源合理利用和资源安全利用的问题。

首先，大规模资源如果不能合理分配和管理必然导致云提供商经济效益降低。目前，大多数数据中心的资源分配都是静态的，在申请时预先配置一定数量的设备，容易造成过度配置资源和过低配置资源两种极端情况。要实现资源优化，必须能够监视和预测用户资源的实时动态变化，根据负载的轻重程度追加或释放相关资源以达到提高资源使用效率和提高服务质量并降低成本的目标。业界现已提供的监视工具都是虚拟机系统级别的，这些工具的检测、管理粒度太大，不能确切地反映虚拟机的行为，只有进行细粒度进程级别的监视，才能准确把握操作系统的具体行为，进而判断虚拟机正在执行和将要执行的作业，正在消费和将要消费的资源，为资源优化提供量化的判断依据。

其次，资源安全利用是云计算能否推广和普及的根本。那些规模庞大的基础设施除了被用于合法业务外，还同样可能为非法需求提供计算的可能性。例如，2011年4月侵入索尼PlayStation游戏网络的黑客使用了亚马逊弹性计算云来破解一些加密密钥，从而窃取了数万用户的信用卡信息。云计算系统使有关部门和企业难于追查数字犯罪，一个主要原因是由于使用虚拟化技术导致的。用户租用的虚拟机可能实际上分布在云提供商数据中心内十几个甚至更多实体内存和实体硬盘驱动器上。假如一台虚拟机被关闭，它占用的存储空间很快就会被回收，犯罪信息就被随后的合法用户数据抹去，对数字犯罪的追踪也无从进行。因此，迫切需要一套虚拟机实时安全监视的解决方案，为IaaS云环境下虚拟机安全问题提供理论与方法支持。

IaaS模式下关于虚拟机监视的技术和系统，主要集中在两个方面，即从虚拟机内部或外部进行检测。

内部检测工具运行在被监视系统的内部，能够直接获取内核结构、进程、系统调用等高级语义信息，拥有高可见性，便于分析资源使用情况或判断安全状况。缺点是不仅会加重虚拟机运行负荷，还会由于因系统被攻击导致内部监控工具会暴露在攻击者的控制之下，获取不到系统的任何信息，甚至根本无法启动任何监控程序,不能发挥正常的监视功能。

外部检测工具运行在特权虚拟机或虚拟化平台上。现有技术中，有针对虚拟机进程识别的方法。2007年，中国专利200710118186.0公开了一种虚拟机监视器识别客户操作系统中进程的方法和装置，它通过在进程切换时，由虚拟机监视器记录待运行进程页表信息和当前运行进程的标识信息来识别进程。该方法在实现过程中需要记录待运行进程和当前运行进程的上下文信息，如果面向云计算环境下数量庞大的用户和频繁的多任务作业时，这一方法会产生巨大的系统消耗，从而影响云平台的整体性能。2008年，中国专利200910237996.7提供了一种通过虚拟机运行中应用程序的同步感知对虚拟机进行分类的技术，其中同步感知的方法也可以用于进程识别。但是，该方法在虚拟机进程识别时，需要反复解析每台虚拟机内核中的task_struct结构来获取进程信息，实时操作性差；而且这一方法在多用户多任务IaaS客户机时，重复解析task_struct结构会加重云平台的整体负荷。

目前现有技术中，从虚拟机外部进行进程追踪的技术，功能上都可以识别运行中进程信息，但都需要实时解析不同操作系统内核数据结构，因此进程追踪不仅系统开销都很大，而且可移植性也不强。如果将这些技术用在IaaS云环境下的虚拟机监视，不仅要面对成千上万的虚拟客户机实例，还必须考虑不同类型不同版本的虚拟机操作系统内核结构，频繁进行在线实时内核解析将成为一项繁重而耗时的工作，必然会影响云平台的整体运行性能。因此这些技术都不易被接受和推广。

发明内容

本发明正是针对现有技术的不足，提供一种IaaS云环境下轻量级虚拟机内部进程追踪的系统和方法。

本发明是这样实现的，基于IaaS云环境下轻量级虚拟机进程追踪系统，包括进程监视终端、虚拟化平台和进程追踪器，所述进程监视终端通过有线或无线和云平台连接，其中，所述进程监视终端，包括通信模块和进程显示模块；所述进程追踪器，包括进程追踪器前端和进程追踪器后端，功能上相互依存，实现上相互独立；所述进程追踪器前端，嵌入到虚拟化平台内部，包括进程物理内存定位模块和进程高级语义视图构建模块；所述进程追踪器后端，包括进程信息静态获取模块和进程信息静态库；所述进程物理内存定位模块，用于在进程追踪任务启动之后，通过客户虚拟机的内核栈指针，定位当前进程控制块在所述客户虚拟机所依托宿主实体机的物理内存地址；所述进程高级语义视图构建模块，用于根据所述进程物理内存定位模块获得的实体机物理内存地址，参照所述进程追踪器后端的进程信息静态库，解析物理内存，构建进程高级语义视图，还原所述客户虚拟机内部进程的语义内容；所述进程信息静态获取模块，用于在所述进程追踪器前端启动之前执行并完成，解析客户虚拟机使用的操作系统的内核数据结构和进程控制块PCB，获取描述进程的具体信息，并生成进程信息静态库，提供进程信息访问接口，所述描述进程的具体信息包括进程表示符、处理器状态、进程调度、进程控制；所述进程信息静态库，用于接收来自所述进程追踪器前端传递的进程语义信息调用请求，并将请求处理结果（即进程特定信息）向所述进程追踪器前端回复；所述通信模块，用于向所述进程追踪器前端发出启动、挂起和停止的请求；接收所述进程追踪器前端返回的进程高级语义视图信息；所述进程显示模块，用于显示所述进程追踪器前端返回的进程高级语义视图信息。

作为上述方案的进一步改进，所述进程追踪器后端所在的操作系统为Windows或者Linux。

作为上述方案的进一步改进，所述进程监视终端还包括进程分析模块，用于分析进程对云平台整体以及客户机本身运行带来的影响。

本发明还提供上述IaaS云环境下轻量级虚拟机进程追踪系统的追踪方法，所述追踪方法包括进程监终端追踪IaaS云平台上客户虚拟机操作系统中任务所对应的进程的步骤：

步骤101，启动进程追踪器的进程追踪器后端，针对客户虚拟机被采用的操作系统，解析所述操作系统的内核数据结构及进程控制块，生成描述进程信息的访问函数，构建进程信息静态库，该描述进程信息的访问函数包括进程描述信息调用接口、系统变量访问接口、系统调用和中断访问接口；

步骤102，通过进程监视终端提交进程追踪请求；

步骤103，嵌入虚拟化平台内部的进程追踪器前端接到请求，启动追踪任务，扫描IaaS云平台上所有的客户虚拟机；

步骤104，进程追踪器前端的进程物理内存定位模块通过客户虚拟机CPU的控制寄存器，获取当前客户虚拟机操作系统的内核堆栈指针ESP；进而定位当前客户虚拟机当前进程的进程控制块PCB的客户虚拟机的虚拟地址GVA；

步骤105，根据通过虚拟化平台的影子页表将客户机虚拟机的虚拟地址GVA转化为宿主机物理地址HPA；

步骤106，函数API实时调用进程追踪器后端进程信息静态库中的数据，进程追踪器前端进程高级语义视图构建模块开始解析HPA，将HPA对应的硬件字节信息还原为客户虚拟机内部进程描述信息，该解析过程需要遍历进程控制块链表和进程树，将进程控制块PCB所对应的HPA传递给进程追踪器后端预先生成的进程信息静态库，获取当前进程所对应的进程号、进程名称；

步骤107，搜索当前客户虚拟机的相邻的进程节点，判断是否存在相邻进程节点，若存在，进入步骤104；若不存在，进入步骤108；解析一台虚拟机的正在运行和待运行的所有进程信息；

步骤108，搜索IaaS云平台上的其他客户虚拟机，判断是否存其他客户虚拟机，进入步骤104；若不存在，进入步骤109，解析IaaS云平台上的所有虚拟机的正在运行和待运行进程信息；

步骤109，进程追踪器前端根据进程监视终端的请求，将解析结果传递到进程监视终端，供进程监视终端分析或显示用。

本发明相较于现有技术具有下列突出的优点和效果：

本发明一种IaaS云环境下轻量级虚拟机内部进程追踪系统，将解析物理内存页和解析操作系统内核分开，进程追踪器分为进程追踪器前端和进程追踪器后端，进程追踪器后端用于预处理解析操作系统内核数据结构，进程追踪器前端用于实时解析宿主机物理内存，通过调用由进程追踪器后端生成的进程信息静态库，动态构建进程高级语义视图，进程追踪器前端在解析物理内存时，无需在线解析操作系统内核，处理效率高，系统负荷小，是一种轻量级的追踪系统。

本发明一种IaaS云环境下轻量级虚拟机内部进程追踪系统是一种细粒度的进程追踪系统，为IaaS云平台更准确的监控提供了可能。业界现已提供的成熟工具主要是虚拟机系统级别的，粒度大以至于不能够及时根据虚拟机的行为来采取补偿性甚至预测性的动作，如Xen、KVM、VMware只能监测到虚拟机操作系统类型、版本、运行状态机对应物理资源的信息，而不能提供虚拟机内部的任何信息。因此迫切需要一套细粒度，如模块、进程级别的虚拟机运维系统及工具。

本发明的一种IaaS云环境下轻量级虚拟机内部进程追踪系统是一种从虚拟机外部监视虚拟机内部进程的系统，进程追踪模块嵌入到虚拟化平台中，在保持对被监视虚拟客户机高可见性的同时，保持着与被监控系统很好的隔离度。即使在被监控虚拟机被攻击者成功入侵的情况下，依然能够免于受到攻击的影响，保持对虚拟机有效的监控。

本发明的一种IaaS云环境下轻量级虚拟机内部进程追踪方法是一种进程追踪模块化设计方法，进程追踪器后端预处理模块可针对任何操作系统，如Windows、Linux等，和任何虚拟化平台，如Xen、KVM、Vmware等，可移植性强，不仅可用于小型虚拟化平台，也可用于IaaS大型云平台，如Eucalyptus、OpenStack等架构，特别是用在大型IaaS平台下，更能体现出本发明的效果和效率。

本发明的一种IaaS云环境下轻量级虚拟机内部进程追踪系统，提出”分别编译、组合链接”的实现方式，采用模块设计方案，在实施时避免了代码融合带来的定义冲突，限定了排错范围，使得进程追踪器的可移植性和复用性大大增强。

附图说明

图1为本发明较佳实施方式提供的IaaS云环境下轻量级虚拟机内部进程追踪系统的体系结构框图。

图2为本发明进程追踪器的进程追踪器前端和进程追踪器后端实施例示意图。

图3为本发明的进程追踪器的扫描流程图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

如图1所示的较佳实施方式提供的IaaS云环境下轻量级虚拟机内部进程追踪系统的体系结构框图。

所述基于IaaS云环境下轻量级虚拟机进程追踪系统包括进程追踪器、虚拟化平台3和进程监视终端1。

虚拟化平台3对IaaS云平台物理硬件5的物理内存页2进行管理，负责对对虚拟机提供硬件资源抽象，分配和管理这些资源，同时为其上运行的虚拟机6的操作系统提供硬件环境。虚拟化平台3根据实际需要将IaaS云平台物理硬件集合成一台虚拟机6，或分配成多台虚拟机6，虚拟机6有独立的系统进程61和至少一个用户进程62。

进程监视终端1包括通信模块13、进程分析模块12和进程显示模块11。

进程追踪器包括进程追踪器前端42和进程追踪器后端41，功能上相互依存，实现上相互独立。

进程追踪器前端42嵌入虚拟化平台3的内部，利用虚拟化平台3对硬件和虚拟机的控制实现物理内存定位和解析。进程追踪器前端42包括进程物理内存定位模块422和进程高级语义视图构建模块421。

进程追踪器后端41位于虚拟化平台3的外部，架构上独立于虚拟化平台3包括进程信息静态获取模块411和进程信息静态库412。

所述进程物理内存定位模块422用于在进程追踪任务启动之后，通过虚拟机6的内核栈指针，定位当前进程控制块在虚拟机6所依托宿主实体机的物理内存页地址。

进程高级语义视图构建模块421用于根据进程物理内存定位模块获得的实体机物理内存地址，参照进程追踪器后端41的进程信息静态库412，解析物理内存，构建进程高级语义视图，还原虚拟机6内部进程的语义内容。

进程信息静态获取模块411用于在进程追踪器前端42启动之前执行并完成，解析虚拟机6使用的操作系统的内核数据结构和进程控制块PCB，获取进程表示符、处理器状态、进程调度、进程控制等描述进程的具体信息，并生成进程信息静态库，提供进程信息访问接口。

进程信息静态库412用于接收和处理来自进程追踪器前端42传递的进程语义信息调用请求，并将进程号、进程状态等进程特定信息反馈给进程追踪器前端42。

通信模块13用于向进程追踪器前端42发送启动、挂起和停止的业务请求，并接收其实时构建的进程高级语义视图；进程分析模块12用于解析进程描述信息，如针对资源优化策略和系统安全策略等具体需求，分析进程对云平台整体以及客户机本身运行带来的影响；进程显示模块11用于显示所述进程追踪器前端42返回的进程高级语义视图信息，如进程ID、进程名称、运行状态以及进程上下文信息等内容。

IaaS云环境下轻量级虚拟机内部进程追踪系统实现从虚拟化平台3外部实时追踪虚拟化平台3内部虚拟机6的进程，将进程追踪器分为进程追踪器后端41和进程追踪器前端42，在进程追踪启动前，预先构建进程追踪器后端41进程信息库静态库412。进程追踪开始后，在云虚拟化平台3内部启动进程追踪器前端42物理内存定位模块422监视虚拟机6内部事件，将从外部获得的硬件级字节信息还原为虚拟机内部的行为和事件特征，快速构建进程高级语义视图，实时捕获虚拟机6的进程以及进程之间的关联关系。

如图2所示的进程追踪器的进程追踪器前端和进程追踪器后端实施例示意图。

进程追踪器的进程追踪器前端包括进程物理内存定位模块（hpa_location.c）、进程高级语义视图构建模块（hpa_analyzer.c）、用来声明在进程追踪器前端中要使用到的接口服务函数的一个feedback.h头文件、Makefile和Xen。Xen源码没有引入任何来自操作系统内核源代码，进程追踪器前端嵌入虚拟化平台，完全不影响虚拟化平台的任何功能。

进程追踪器的进程追踪器后端，有一个或多个“Feedback_X.c”，如Feedback_Ubuntu.c、Feedback_Debian.c、Feedback_Fedora.c、Feedback_Centos.c、Feedback_Opensuse.c、Feedback_WinXP.c、Feedback_X.c等。根据虚拟机的特定操作系统种类和内核版本来单独编译，按需作为进程追踪器前端的服务容器，数量上按需增减且不影响已有其它进程追踪器后端模块的工作，即该方法具有一定程度上的普适性和可扩展性；

进程追踪器前端和进程追踪器后端的分工明确，进程追踪器前端模块只有一个，进程追踪器后端模块离线生成且按需增减，该方法保证进程追踪器轻量性的前提条件。

如图3所示的较佳实施方式提供的IaaS云环境下轻量级虚拟机的进程追踪器扫描流程图。

进程追踪器后端流程必须在执行虚拟机扫描前启动并完成相关操作。进程追踪器后端开始301-结束305中间包括流程：步骤302，解析客户虚拟机操作系统内核数据结构；步骤303，获取进程描述信息；步骤304建立进程信息静态库。生成的进程信息静态库供进程追踪器前端调用。

进程追踪器前端开始的步骤311-结束的步骤323是进程追踪器前端接到进程监视终端的指令后，开始扫描虚拟机的详细过程。步骤312-322扫描Iaas云平台下所有虚拟机；步骤313-317首先定位包含进程详细信息的进程描述符所对应的物理内存页；步骤313-321是构建进程高级语义视图的详细过程；步骤319通过当前进程节点task_struct的成员tasks搜索与与其相邻的进程节点，获取其相邻节点task_struct的客户机虚拟地址，以此遍历所有进程。

本实施例展示了虚拟机操作系统为Linux的进程追踪。追踪步骤具体如下：

1、启动进程追踪器后端41的步骤301-305，针对虚拟机6被采用的操作系统，解析其内核数据结构及进程控制块，生成进程描述信息调用接口、系统变量访问接口、系统调用和中断访问接口等描述进程信息的访问函数，构建进程信息静态库412。

2、云管理员通过进程监视终端1提交进程追踪请求；

3、嵌入虚拟化平台3内部的进程追踪器前端42接到请求，执行步骤311，启动追踪任务；执行步骤312，扫描IaaS云平台上所有的虚拟机6；

4、即执行步骤313，读取目标虚拟机内核堆栈指针ESP，进程追踪器前端42的进程物理内存定位模块422通过虚拟机6的CPU的控制寄存器，获取当前虚拟机操作系统的内核堆栈指针ESP；执行步骤314，换算出结构体thread_info的客户机虚拟地址；执行步骤315，定位thread_info的宿主机物理地址。thread_info是位于进程内核栈栈底或栈顶（根据栈的增长方向）的一个结构体，它的成员task指向进程描述符task_struct，进而定位当前虚拟机6的当前进程的进程控制块PCB的虚拟机6的虚拟地址GVA；

5、执行步骤316获取task_struct虚拟机机虚拟地址GVA；执行步骤317定位task_struct物理地址，根据通过虚拟化平台3的影子页表将虚拟机6的虚拟地址GVA转化为宿主机物理地址HPA；

6、执行步骤318，进程追踪器后端41调用函数API实时调用步骤304进程追踪器后端41生成的进程信息静态库412中的数据，进程追踪器前端42的进程高级语义视图构建模块421开始解析HPA，将HPA对应的硬件字节信息还原为虚拟机6内部进程描述信息，该解析过程需要遍历进程控制块链表和进程树，将进程控制块PCB所对应的HPA传递给进程追踪器后端41预先生成的进程信息静态库412，获取当前进程所对应的进程号、进程名称等；

7、执行步骤319，通过成员tasks搜索相进程节点，执行步骤320，获取相进程节点task_struct的虚拟机6地址；执行步骤321，判断是否完成所有节点搜素；若完成，执行步骤322；若未完成，返回步骤317；解析一台虚拟机的正在运行和待运行的所有进程信息；

8、搜索IaaS云平台上的其他虚拟机，执行步骤322，判断是否完成所有虚拟机扫描，若完成，进入步骤9；若未完成，返回步骤317，解析IaaS云平台上的所有客户虚拟机的正在运行和待运行进程信息；

9、当步骤322判断完成所有虚拟机扫描时，进程追踪器前端42根据进程监视终端1的请求，将解析结果传递到进程监视终端1，供进程监视终端1分析或显示用。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (4)

1.IaaS云环境下轻量级虚拟机进程追踪系统，包括进程监视终端（1）和进程追踪器，所述进程监视终端通过有线或无线和云平台连接，其特征在于：

所述进程监视终端包括通信模块（13）和进程显示模块（11）；

所述进程追踪器包括嵌入到虚拟化平台（3）内部的进程追踪器前端（42）和位于虚拟化平台外部且架构上独立于虚拟化平台的进程追踪器后端（41）；

所述进程追踪器前端（42），包括进程物理内存定位模块（422）和进程高级语义视图构建模块（421）；所述进程物理内存定位模块（422），用于在进程追踪任务启动之后，通过客户虚拟机的内核栈指针，定位当前进程控制块在所述客户虚拟机所依托宿主实体机的物理内存地址；

所述进程追踪器后端（41）包括进程信息静态获取模块（411）和进程信息静态库（412）；所述进程信息静态获取模块，用于在所述进程追踪器前端启动之前执行并完成，解析客户虚拟机使用的操作系统的内核数据结构和进程控制块PCB，获取描述进程的具体信息，并生成进程信息静态库，提供进程信息访问接口，所述描述进程的具体信息包括进程表示符、处理器状态、进程调度、进程控制；所述进程追踪器后端根据虚拟机的特定操作系统和内核版本单独离线编译生成，且数量上按需增减；

所述进程高级语义视图构建模块（421），用于根据所述进程物理内存定位模块（422)获得的实体机物理内存地址，参照所述进程追踪器后端的进程信息静态库，解析物理内存，构建进程高级语义视图，还原所述客户虚拟机内部进程的语义内容；

所述进程信息静态库，用于接收来自所述进程追踪器前端传递的进程语义信息调用请求，并将请求处理结果向所述进程追踪器前端回复；

所述通信模块（13），用于向所述进程追踪器前端发出启动、挂起和停止的请求；接收所述进程追踪器前端返回的进程高级语义视图信息；

所述进程显示模块（11），用于显示所述进程追踪器前端返回的进程高级语义视图信息。

2.根据权利要求1所述的IaaS云环境下轻量级虚拟机进程追踪系统：所述进程追踪器后端所在的操作系统为Windows或者Linux。

3.根据权利要求1所述的IaaS云环境下轻量级虚拟机进程追踪系统：所述进程监视终端还包括进程分析模块，用于分析进程对云平台整体以及客户机本身运行带来的影响。

4.如权利要求1-3任一所述的IaaS云环境下轻量级虚拟机进程追踪系统的追踪方法，其特征在于：

所述追踪方法包括进程监视终端追踪IaaS云平台上客户虚拟机操作系统中任务所对应的进程的步骤：

步骤101，启动进程追踪器的进程追踪器后端，针对虚拟机被采用的操作系统，解析所述操作系统的内核数据结构及进程控制块，生成描述进程信息的访问函数，构建进程信息静态库，该描述进程信息的访问函数包括进程描述信息调用接口、系统变量访问接口、系统调用和中断访问接口；

步骤102，通过进程监视终端提交进程追踪请求；

步骤103，嵌入虚拟化平台内部的进程追踪器前端接到请求，启动追踪任务，扫描IaaS云平台上所有的虚拟机；

步骤104，进程追踪器前端的进程物理内存定位模块通过客户虚拟机CPU的控制寄存器，获取当前虚拟机操作系统的内核堆栈指针ESP；进而定位当前客户虚拟机当前进程的进程控制块PCB的虚拟机的虚拟地址GVA；

步骤105，根据通过虚拟化平台的影子页表将虚拟机的虚拟地址GVA转化为宿主机物理地址HPA；

步骤106，函数API实时调用进程追踪器后端进程信息静态库中的数据，进程追踪器前端进程高级语义视图构建模块开始解析HPA，将HPA对应的硬件字节信息还原为客户虚拟机内部进程描述信息，该解析过程需要遍历进程控制块链表和进程树，将进程控制块PCB所对应的HPA传递给进程追踪器后端预先生成的进程信息静态库，获取当前进程所对应的进程号、进程名称；

步骤107，搜索当前客户虚拟机的相邻的进程节点，判断是否存在相邻进程节点，若存在，进入步骤104；若不存在，进入步骤108；解析一台虚拟机的正在运行和待运行的所有进程信息；

步骤108，搜索IaaS云平台上的其他客户虚拟机，判断是否存在其他客户虚拟机，若存在，进入步骤104；若不存在，进入步骤109，解析IaaS云平台上的所有客户虚拟机的正在运行和待运行进程信息；

步骤109，进程追踪器前端根据进程监视终端的请求，将解析结果传递到进程监视终端，供进程监视终端分析或显示用。