CN103902885B - 面向多安全等级虚拟桌面系统虚拟机安全隔离系统及方法 - Google Patents

Abstract

本发明公开了一种面向多安全等级虚拟桌面系统虚拟机安全隔离系统及方法，属于信息安全领域，包括用户行为异常检测、虚拟机迁移、安全隔离三个实施阶段。首先，将相同密级网络的用户与虚拟机绑定起来，利用相同密级网络中用户操作行为之间的相似性构建用户行为特征库；其次，将实时用户行为特征与历史用户行为特征库匹配，计算用户当前操作威胁等级，选择迁移目标主机，将具有潜在威胁的虚拟机迁移到虚拟机安全隔离模型中执行；最后，虚拟机安全隔离模型代为执行虚拟机进程请求的系统调用。该方法避免了虚拟机进程直接访问宿主机系统资源，减少虚拟机进程对内核的依赖，提高了宿主机系统的安全性，达到了虚拟机安全隔离的目的。

Description

面向多安全等级虚拟桌面系统虚拟机安全隔离系统及方法

技术领域

本发明属于信息安全领域，涉及云计算中的虚拟化技术，尤其是一种面向多安全等级虚拟桌面系统中虚拟机安全隔离系统及方法。

背景技术

随着移动互联网应用的部署，系统资源在规模上不断扩展，当前计算机领域面临着如何保护数据中心信息安全以及充分利用硬件资源的重大问题。传统的桌面PC作为IT资源中最普遍也是最重要的办公设备，越来越暴露出它的弊端和不便，例如：系统安全性不高，信息易泄露，资源利用率低等问题。然而，云桌面解决方案的出现，让虚拟化技术又迎来了一个新的春天。虚拟化技术通过在一个物理平台上虚拟出更多的虚拟机，其中每一个虚拟机可以作为独立的终端加入到云端的分布式系统。因此，同直接使用物理平台相比较，使用虚拟化技术使得资源在有效利用、动态调配、高可靠性等方面有着巨大的优势。

近年来，云计算的兴起，支撑着云计算的虚拟化技术得到了飞速发展，利用虚拟化技术可以更加充分地利用原有的IT资源，并日益成为云桌面解决方案技术研究的热点。

可是，在安全性方面，虚拟桌面系统中虚拟机操作系统之间面临的一个挑战来自于互相之间存在的相互独立性和资源互操作性之间的矛盾，即每个虚拟机都希望能够运行在一个相对独立的系统环境下，不受其他虚拟机的影响，同时能够限制虚拟机对宿主机系统敏感资源的访问，以此防止恶意代码的执行，达到保护虚拟机寄宿主机操作系统资源安全的目的。云计算通常使用服务器虚拟化技术利用各个虚拟机之间天然的自然分离安全优势，在不同虚拟桌面用户之间形成某种程度的虚拟机安全隔离。虚拟机安全技术包括：监督模式执行保护(Supervision Mode Execution Protection，SMEP)，控制群组(ControlGroups，cgroups)，Linux内核安全特性SELinux(Security-Enhanced Linux)，RedHat公司的sVirt技术，Intel公司的可信执行技术(Trusted Execution Technology，TXT)，以及客户机镜像文件加密等。然而，凭借虚拟化安全技术自然实现的虚拟机与宿主机之间的隔离并不具有抵抗恶意攻击的强度。

目前，研究者们针对虚拟机的安全隔离机制，提出了基于虚拟化技术的虚拟安全隔离机制。Figueiredo，Santhanam，Krsul等人分别提出了基于虚拟机技术实现的Grid环境下的隔离执行机制。但是，此类基于虚拟机的安全隔离机制的研究主要集中于实现隔离系统的方式，无法实现对宿主机系统资源的直接重用。此外，一些研究者提出了平台安全的虚拟化方法，通过控制内存管理单元来对操作系统内核遮蔽应用程序内存，即使操作系统内核被恶意控制也不能访问被遮蔽的应用程序内存，然而此种由虚拟机监控器(VirtualMachine Monitor，VMM)以及管理虚拟机(Management VM，MVM)实现的虚拟机之间的隔离并不能有效抵御由系统管理员的数据中心内部攻击者发起的攻击。

简而言之，目前所有数据中心虚拟机安全隔离解决方案还没有针对多安全等级虚拟桌面系统的情况，以及现有的虚拟机安全隔离机制无法解决宿主机系统资源重用、超权限者内部发起攻击等问题。综上所述，提出一种面向多安全等级虚拟桌面系统中虚拟机安全隔离系统及方法。

发明内容

针对以上现有技术中的不足，本发明的目的在于提供一种有效地保护宿主机操作系统资源安全面向多安全等级虚拟桌面系统虚拟机安全隔离系统及方法，本发明的技术方案如下：

一种面向多安全等级虚拟桌面系统虚拟机安全隔离系统，其包括用户行为采集模块、用户行为建模模块、用户行为分析模块、响应模块、虚拟机迁移模块以及虚拟机隔离模块；其中

用户行为采集模块:用于获取用户所对应虚拟机的流量消耗值、内存占用率、存储增长量以及系统调用时间值，并对获得的流量消耗值、内存占用率、存储增长量以及系统调用时间值进行过滤预处理；

用户行为建模模块:用于根据用户行为采集模块预处理后的训练数据建立用户行为特征库；

用户行为分析模块:用于根据用户行为采集模块实时采集的用户对应虚拟机的数据作为输入量，并以用户行为特征库作为参考量分析用户的行为正常或是异常；

响应模块：用于对所述用户行为分析模块的分析结果进行响应，当监测到异常时，根据用户日志库中记录的用户行为威胁等级进行停机处理或迁移处理；

虚拟机迁移模块：用于当响应模块发出迁移处理指令时，选择迁移目的主机，进行虚拟机的迁移；

虚拟机隔离模块：用于建立装载待迁移虚拟机的安全隔离模型。

一种基于所述系统的面向多安全等级虚拟桌面系统中虚拟机的安全隔离方法，其包括以下步骤：

201、获取用户所对应虚拟机的流量消耗值、内存占用率、存储增长量以及系统调用时间值，并对获得的流量消耗值、内存占用率、存储增长量以及系统调用时间值进行过滤预处理；

202、将正常用户的数据作为训练数据，根据预处理后的训练数据建立用户行为特征库；

203、根据实时采集的用户对应虚拟机的数据作为输入量，并以用户行为特征库作为参考量分析用户的行为正常或是异常；

204、对步骤203中的分析结果进行监测，当监测到异常时，根据用户日志库中记录的用户行为威胁等级进行停机处理或迁移处理；

205、当响应模块发出迁移处理指令时，选择迁移目的主机，进行虚拟机的迁移；并将待迁移虚拟机装载进安全隔离模型，实现虚拟机的安全隔离。

步骤203中运用k-means聚类算法来检测当前用户行为，判断当前用户操作行为是否异常。

步骤205中迁移目的主机的选择步骤包括：

A1、限定宿主机负载的上限阈值L_{vm_max}和下限阈值L_{vm_min};

A2、对宿主机后续时间节点负载趋势进行预测，在负载呈下降趋势的宿主机中选择迁移目的主机。

本发明的优点及有益效果如下：

本发明的方法通过对KVM自身的安全机制研究，从目前虚拟机隔离研究存在的问题入手提出一种集异常检测技术、迁移技术和沙箱技术为一体的虚拟机安全隔离方法。该方法运用可信计算平台，将相同密级网络的用户行为和虚拟机关联起来，在用户日志库中，记录了每个虚拟机用户的操作历史资料，并且计算出每个虚拟机所对应的用户实时操作行为的威胁等级，虚拟机迁移模块则根据计算出的威胁等级做出迁移响应，将具有潜在威胁的虚拟机迁移至虚拟机安全隔离模型，当运行于虚拟机安全隔离模型中的虚拟机请求执行系统调用时，由虚拟机安全隔离模型代为执行，即将模拟处理器QEMU模拟产生的系统调用转化成进程间通信(Inter-Process Communication，IPC)请求，传送到虚拟机安全隔离模型，最后虚拟机安全隔离模型根据制定的强关联访问策略访问系统资源，最后把运算结果返回给虚拟机。该虚拟机安全隔离方法引入了相同密级网络用户操作行为的相似性，将用户行为和特定虚拟机绑定形成强关联访问控制策略，由虚拟机安全隔离模型代为执行系统调用访问宿主机系统资源，中转计算结果给虚拟机，避免了虚拟机直接访问宿主机系统资源，减少虚拟机对内核的依赖，提高了宿主机系统的安全性。

附图说明

图1是本发明的一个优选实施例系统结构示意图；

图2是本发明的优选实施例实施结构示意图；

图3是本发明的用户行为异常检测结构示意图；

图4是本发明的虚拟机迁移结构示意图；

图5是本发明的虚拟机安全隔离模型执行流程示意图。

具体实施方式

下面结合附图给出一个非限定性的实施例对本发明作进一步的阐述。

如图1所示为本发明的实施例系统结构图，包括：客户端、安全认证网关、服务器端三大模块。其中，面向用户的客户端可以是普通电脑，也可以是瘦客户端或者专用小型机终端；安全认证网关功能是提供一个完整的多密级网络统一身份认证，实现对多密级网络用户的统一认证和管理；服务器端硬件可以采用中端或者高端配置服务器，通过服务器虚拟化技术在宿主机系统上按需创建虚拟机，每个虚拟机对应一个终端桌面用户。

如图2所示为本发明的实施结构示意图。面向多安全等级虚拟桌面系统虚拟机安全隔离系统，其包括用户行为采集模块、用户行为建模模块、用户行为分析模块、响应模块、虚拟机迁移模块以及虚拟机隔离模块；其中

用户行为采集模块:用于获取用户所对应虚拟机的流量消耗值、内存占用率、存储增长量及系统调用时间值，并对获得的流量消耗值、内存占用率、存储增长量及系统调用时间值进行过滤预处理；

用户行为建模模块:用于根据用户行为采集模块预处理后的训练数据建立用户行为特征库；

用户行为分析模块:用于根据用户行为采集模块实时采集的用户对应虚拟机的数据作为输入量，并以用户行为特征库作为参考量分析用户的行为正常或是异常；

响应模块：用于对所述用户行为分析模块的分析结果进行响应，当监测到异常时，根据用户日志库中记录的用户行为威胁等级进行停机处理或迁移处理；

虚拟机迁移模块：用于当响应模块发出迁移处理指令时，选择迁移目的主机，进行虚拟机的迁移；

虚拟机隔离模块：用于建立装载待迁移虚拟机的安全隔离模型。

具体说明本发明的详细实施过程，主要包括如下3个步骤：

S1：对绑定用户身份虚拟机的用户行为进行统计和分析，即异常检测；

S2：根据用户行为威胁等级触发相应的虚拟机迁移操作，即虚拟机迁移；

S3：对迁移到安全隔离模型中的虚拟机进行系统调用中转执行，即虚拟机隔离。

上述步骤S1用户行为异常检测操作参照图3所示，具体可以分为如下3个步骤：

S11：用户行为采集模块是获取用户所对应虚拟机的流量消耗、内存占用、存储增长、系统调用时间等数据，并对该多维数据进行预处理，然后把处理过的数据传送给用户行为建模模块来对用户行为进行建模。其中，需要收集的数据为用户正常情况下使用虚拟桌面服务的数据。

S12：用户行为建模模块的主要任务是负责建立多密级网络系统中用户的正常行为特征库。用户行为特征库是指用户特定数据的一个记录，具体描述了用户是如何使用虚拟桌面服务的，包括每天不同时段内的流量使用序列、系统调用序列等。

S13：用户行为分析模块实时接收用户对应虚拟机的流量消耗、内存占用、存储增长、系统调用时间这四维特征向量，将其作为分析模块输入特征向量，并计算检测结果。新的用户行为X_i归属于用户特征库x，当判断为正常行为时需要对用户特征库x进行更新，丰富特征库样本容量。同时，将得到的异常结果更新到用户日志库，以便响应模块查询。

其中，所述步骤S13中用户行为特征库更新操作分为如下3个步骤：

S131：若那么

S132：x中同密级网络用户行为类中心

S133：更新完毕。

S14：当响应模块查询到用户行为分析模块分析到当前虚拟机用户操作存在异常以后，则采取响应措施，包括停机处理和迁移处理。

上述步骤S2虚拟机迁移操作参照图4所示，具体可以分为如下2个步骤：

S21：虚拟机迁移模块接收异常检测响应模块的迁移指令后将进行迁移准备工作。首先，对该虚拟机所处密级网络服务器集群中宿主机和虚拟机的负载进行监测；其次，利用基于云模型的预测技术进行迁移目的主机选择，即通过限定宿主机的负载上下限阈值，对宿主机后续时间节点负载趋势进行预测，在负载呈下降趋势的宿主机中选择迁移目的主机；最后，发出迁移就绪指令。

上述基于云模型的预测技术中，为了确定虚拟机迁移的目的主机，定义影响虚拟机迁移的上限负载阈值和下限负载阈值，即宿主机上下限负载阈值为L_{pm_max}和L_{pm_min}，虚拟机上下限负载阈值为L_{vm_max}和L_{vm_min}，它们的取值在不同的环境下具有差异，根据具体情况由管理员设定它们的数值大小。此外，负载为CPU、内存、带宽、存储组成的多维复合属性向量(CPU,Memory,Bandwidth,Storager)，虚拟机的负载资源需求量计算公式如下：

式(1)中，N_vm为虚拟机负载的资源需求量，R_vm为虚拟机被分配的资源，L_vm为虚拟机的资源负载。

S22：开始进行虚拟机迁移工作，根据云模型预测技术，宿主机B负载在后续时间节点呈下降趋势。因此，将宿主机A中存在异常的虚拟机迁移到宿主机B上运行。此外，在虚拟机迁移之前宿主机B中已经构建好了一个虚拟机安全隔离模型。

上述步骤S3虚拟机安全隔离操作参照图5所示，具体可以分为如下5个步骤：

S31：虚拟机中运行着用户应用程序线程，当虚拟机执行I/O操作时，触发VM-exit操作，此时虚拟机VCPU状态由客户模式切换到内核模式。

S32：虚拟机VCPU在KVM线程上下文中处理运行和退出操作。

S33：KVM内核模块检查导致VM-exit事件触发的原因，假如VM-exit由I/O操作导致，则执行ioctl系统调用返回操作，否则，由KVM内核模块负责处理，并在处理后切换VCPU状态到客户模式，恢复虚拟机的运行。

S34：接收执行ioctl系统调用返回操作，退出KVM内核模式，将I/O操作指令传递给用户模式的虚拟机安全隔离模块执行。

S35：虚拟机安全隔离模块接收到ioctl系统调用操作，首先去查询用户日志库中用户身份，将用户身份和虚拟机绑定起来，得到用户签名标识T_sgin。接下来，虚拟机安全隔离模块再调用QEMU来完成这些I/O模拟操作。最后，虚拟机安全隔离模块执行ioctl(T_sgin)系统调用，接着指示KVM将VCPU状态切换到客户模式，恢复虚拟机的运行。

本发明所述的一种面向多安全等级虚拟桌面系统中虚拟机安全隔离系统及方法，其特点在于，传统异常检测只是从单个用户角度进行检测，但是在多密级虚拟桌面系统中处于相同密级的虚拟机行为与用户行为密切相连，并且相同密级中所有用户操作具有一定的关联性。因此，针对虚拟机进程的基于用户行为分析的异常检测，不仅需要考虑用户自身行为还要考虑相同密级下其他用户的行为，这样就降低了异常检测的误检率，提高了异常检测的准确率。基于云模型的虚拟机负载预测迁移策略，避免了瞬时负载峰值或谷值触发虚拟机迁移造成的虚拟机迁移开销，将具有潜在威胁的虚拟机进行迁移，实现了宿主机资源的有效利用。虚拟机安全隔离模型引入了相同密级网络用户操作行为的相似性，将用户身份和特定虚拟机绑定形成强关联访问控制策略，由虚拟机安全隔离模型代为执行虚拟机进程请求的系统调用，并中转计算结果给虚拟机，这样虚拟机进程就避免了直接访问宿主机系统资源，减少虚拟机进程对内核的依赖，提高了宿主机系统的安全性，达到了虚拟机安全隔离的目的。

基于用户行为和迁移技术结合的虚拟机安全隔离方法，对用户的非可信操作更敏感，该虚拟机安全隔离方法在安全性、灵活性、兼容性、可部署性方面都有着一定的优势。本方法可以广泛应用于云计算、虚拟化等相关领域。

以上这些实施例应理解为仅用于说明本发明而不用于限制本发明的保护范围。在阅读了本发明的记载的内容之后，技术人员可以对本发明作各种改动或修改，这些等效变化和修饰同样落入本发明权利要求所限定的范围。

Claims (4)

1.一种面向多安全等级虚拟桌面系统虚拟机安全隔离系统，其特征在于：包括用户行为采集模块、用户行为建模模块、用户行为分析模块、响应模块、虚拟机迁移模块以及虚拟机隔离模块；其中

用户行为采集模块:用于获取用户所对应虚拟机的流量消耗值、内存占用率、存储增长量以及系统调用时间值，并对获得的流量消耗值、内存占用率、存储增长量以及系统调用时间值进行过滤预处理；

用户行为建模模块:用于根据用户行为采集模块预处理后的训练数据建立用户行为特征库；

用户行为分析模块:用于根据用户行为采集模块实时采集的用户对应虚拟机的数据作为输入量，并以用户行为特征库作为参考量分析用户的行为正常或是异常；

响应模块：用于对所述用户行为分析模块的分析结果进行响应，当监测到异常时，根据用户日志库中记录的用户行为威胁等级进行停机处理或迁移处理；

虚拟机迁移模块：用于当响应模块发出迁移处理指令时，采用基于多维复合属性云模型的预测技术进行迁移目的主机选择，进行虚拟机的迁移，所述多维复合属性包括CPU、内存、带宽及存储在内的属性；

虚拟机隔离模块：用于建立装载待迁移虚拟机的安全隔离模型，其中采用相同密级网络用户操作行为的相似性，将用户行为和特定虚拟机绑定形成强关联访问控制策略，由虚拟机安全隔离模型代为执行系统调用访问宿主机系统资源，中转计算结果给虚拟机，引入了相同密级网络用户操作行为的相似性，将用户行为和特定虚拟机绑定形成强关联访问控制策略。

2.一种基于权利要求1所述系统的面向多安全等级虚拟桌面系统中虚拟机的安全隔离方法，其特征在于包括以下步骤：

201、获取用户所对应虚拟机的流量消耗值、内存占用率、存储增长量以及系统调用时间值，并对获得的流量消耗值、内存占用率、存储增长量以及系统调用时间值进行过滤预处理；

202、将正常用户的数据作为训练数据，根据预处理后的训练数据建立用户行为特征库；

203、根据实时采集的用户对应虚拟机的数据作为输入量，并以用户行为特征库作为参考量分析用户的行为正常或是异常；

204、对步骤203中的分析结果进行监测，当监测到异常时，根据用户日志库中记录的用户行为威胁等级进行停机处理或迁移处理；异常检测步骤侧重根据人类行为规律对特定虚拟机用户操作行为进行检测，并建立了用户行为日志库，采用数据分析的方法对用户操作行为进行划分威胁等级，

205、当响应模块发出迁移处理指令时，采用基于多维复合属性云模型的预测技术进行迁移目的主机选择，进行虚拟机的迁移；并将待迁移虚拟机装载进安全隔离模型，实现虚拟机的安全隔离。

3.根据权利要求2所述的面向多安全等级虚拟桌面系统虚拟机安全隔离方法，其特征在于，步骤203中运用k-means聚类算法对结合了个体用户行为和其他用户行为的两层用户行为进行检测，判断当前用户操作行为是否异常。

4.根据权利要求2所述的面向多安全等级虚拟桌面系统虚拟机安全隔离方法，其特征在于，步骤205中采用多维复合属性云模型选择迁移目的主机的步骤包括：

A1、限定宿主机负载的上限阈值L_{vm_max}和下限阈值L_{vm_min}；

A2、对宿主机后续时间节点负载趋势进行预测，在负载呈下降趋势的宿主机中选择迁移目的主机。