CN104704472B - 防止侧信道攻击的系统、方法和装置 - Google Patents

Abstract

公开了用于防止侧信道攻击的方法、系统和计算机可读存储介质。运行在计算装置上或计算环境内的诸如虚拟机的计算资源可被复制。可监视与该计算资源和复制计算资源相关联的属性以看是否存在差异。所述差异可指示诸如病毒或侧信道攻击的安全事件。可通过用复制计算资源替换计算资源来处理检测到的安全事件。

Description

防止侧信道攻击的系统、方法和装置

背景技术

加密对于各个计算装置和网络系统来说是一个重要的安全组成部分。安全且有效的加密协议的成功实施已在普通大众中造成如下信心：诸如共享计算资源和个人信息应用的商业计算网络和应用是安全的。该信心已驱动了这两个行业的急剧增长。说明性的共享计算资源包括分布式计算系统(即，云计算环境)，而说明性的个人信息应用包括在线银行和电子商务(“e商务”)应用。

尽管如此，没有安全系统是绝对可靠的。虽然传统加密系统在阻碍被设计用以例如获取密钥或为加密数据的直接攻击方面是有效的，但是对于诸如侧信道攻击的某些间接攻击来说它们仍然是脆弱的。通常，侧信道攻击涉及基于可观察到的计算效果来得到密钥。侧信道攻击超出在加密过程期间使用的纯文本和加密文本，并且相反着重于涉及时刻(例如，执行操作所需的时间)、功率消耗、声音和电磁特性的信息。从该信息，侧信道攻击可以一次一个元素地确定整个密钥。现有的计算机和网络安全体系结构的设计不足以有效地检测和响应侧信道攻击，尤其是在不将高昂的成本和低效率引入它们被设计来保护的该系统的前提下。

发明内容

本公开不限于所描述的特定的系统、装置和方法，因为这些可变化。描述中所使用的术语仅仅是为了描述特别的版本或实施例，而并不旨在限制范围。

在一实施例中，用于防止侧信道攻击的系统可包括计算装置和被配置为与该计算装置进行通信的非暂态存储介质。所述存储介质可包含一个或多个程序指令，所述程序指令在被执行时使所述计算装置获取与在所述计算装置上运行的一个或多个虚拟机相关联的信息。所述一个或多个虚拟机可包括一个或多个属性。包括一个或多个复制属性的一个或多个复制虚拟机可在所述系统内被执行。一个或多个复制虚拟机可基于所述信息被配置为对应虚拟机的基本相同的实例。每个复制虚拟机可被提供有与被提供给对应虚拟机的基本相同的运行数据。每个复制虚拟机的所述一个或多个复制属性和所述对应虚拟机的所述一个或多个属性可被监视以看是否存在差异。所述系统为了一个或多个安全事件，可分析展示出的差异的任何对应虚拟机。

在另一实施例中，用于防止分布式计算系统中的侧信道攻击的系统可包括一个或多个计算装置和被配置为与所述一个或多个计算装置进行通信的非暂态存储介质。所述存储介质可包含一个或多个程序指令，所述程序指令在被执行时使所述一个或多个计算装置获取与在所述一个或多个计算装置上运行的一个或多个虚拟机相关联的信息。所述一个或多个虚拟机可包括一个或多个属性。包括一个或多个复制属性的一个或多个复制虚拟机可在所述系统内被执行。一个或多个复制虚拟机可基于所述信息被配置为对应虚拟机的基本相同的实例。每个复制虚拟机可被提供有与所述对应虚拟机基本相同的运行数据。每个复制虚拟机的所述一个或多个复制属性和所述对应虚拟机的所述一个或多个属性可被监视以看是否存在差异。所述系统可为了一个或多个安全事件，分析展示出差异的对应虚拟机。

在其他的实施例中，用于防止分布式计算系统中的侧信道攻击的方法可包括：获取与在被布置在分布式计算系统中的一个或多个计算装置上运行的一个或多个虚拟机相关联的信息。所述一个或多个虚拟机可包括一个或多个属性。包括一个或多个复制属性的一个或多个复制虚拟机可在所述一个或多个计算装置上被执行。一个或多个复制虚拟机可基于所述信息被配置为对应虚拟机的基本相同的实例。该方法可额外地包括：为每个复制虚拟机提供与所述对应虚拟机基本相同的运行数据。每个复制虚拟机的所述一个或多个复制属性和所述对应虚拟机的所述一个或多个属性可被监视以看是否存在差异。为了一个或多个安全事件，展示出差异的对应虚拟机可被分析。

在又一实施例中，具有被包含于其中、被配置为防止分布式计算系统的侧信道攻击的计算机可读程序代码的计算机可读存储介质可包括：被配置为获取与在被布置在分布式计算系统中的一个或多个计算装置上运行的一个或多个虚拟机相关联的信息的计算机程序代码。所述一个或多个虚拟机可包括一个或多个属性。所述计算机可读程序代码还可被配置为在所述一个或多个计算装置上执行包括一个或多个复制属性的一个或多个复制虚拟机。一个或多个复制虚拟机可基于所述信息被配置为对应虚拟机的基本相同的实例。另外，每个复制虚拟机可被提供有与所述对应虚拟机基本相同的运行数据。所述计算机可读存储介质还可具有被配置为监视每个复制虚拟机的所述一个或多个复制属性和所述对应虚拟机的所述一个或多个属性以看是否存在差异的计算机可读程序代码。为了一个或多个安全事件，对应虚拟机可响应于展示出差异而被分析。

前述概要仅仅是说明性的，而并不意图以任何方式是限制性的。除了说明性的方面，上述实施例和特征、另外的方面、实施例和特征将通过参考附图和下面的详细描述而变得显而易见。

附图说明

图1示出根据本文中所述的至少某些实施例布置的用于防止侧信道攻击的说明性系统的框图。

图2示出根据本文中所述的至少某些实施例布置的用于防止侧信道攻击的另一说明性系统的框图。

图3示出根据本文中所述的至少某些实施例布置的用于使用虚拟机计算资源防止侧信道攻击的说明性方法的流程图。

图4示出根据本文中所述的至少某些实施例布置的、可被用来包含或实施用于检测和缓解侧信道攻击的程序指令的说明性计算装置的框图。

具体实施方式

在以下详细描述中，对附图进行参考，所述附图形成详细描述的一部分。除非上下文另外指示，否则在附图中，相似的符号通常标识相似的部件。在详细描述、附图和权利要求中描述的说明性实施例并不意味着是限制性的。在不脱离本文所提供的主题的精神或范围的情况下，可以利用其它实施例，以及可以进行其它改变。将易于理解的是，如在本文中一般地描述的和在图中示出的那样，本公开的各方面可以以广泛多样的不同配置被布置、替代、组合、分割和设计，所有这些在本文中都被明确地构想。

如在本文中所使用的，单数形式“一”、“一个”和“该”包括复数指代物，除非上下文另外明确地指示。除非被定义，否则本文中所使用的所有技术和科学术语具有与本领域普通技术人员通常理解的相同的含义。在本公开中没有什么应当被解释为承认由于先有发明在本公开中所描述的实施例没有资格预期这样的公开。如在本文中使用的，术语“包括”意味着“包括但不限于”。

以下术语为了本申请的目的将具有在下边阐明的相应含义。

“分布式计算系统”指的是其中计算任务和过程在各种计算装置和资源中被执行的计算机网络体系架构。计算装置可访问该分布式计算系统并使用应用和诸如网络服务器的计算装置，而并不指定或知道应用可在哪里运行或数据可能位于哪里。例如，在一分布式计算系统中，与一应用相关联的过程的执行可以同时被诸如多个服务器、处理器或处理器核的多个资源处理。说明性的分布式计算系统是云计算环境。

“侧信道攻击”指的是经由侧信道从计算系统获取信息的未被授权的尝试。通常，侧信道攻击是可观察的计算效果，诸如声音、时间、电磁属性、功率消耗或资源利用。在加密系统中，侧信道攻击可尝试基于既不是被加密的纯文本也不是通过加密过程生成的加密文本的侧信道信息获取密码或其它安全信息。例如，可基于解码消息所需的时间来确定密钥。

“计算资源”指的是计算装置或计算系统的物理或虚拟的组件。计算资源可被用来执行计算或者联网任务，诸如获取数据、执行计算以及发送数据或接收数据。可选地，计算资源可被用来处理计算装置输入/输出。说明性的计算资源包括计算装置、处理器、处理器核、存储器、存储装置和通信装置。

“虚拟机”指的是被配置为像单独的计算系统那样起作用的计算环境的独立软件实施。虚拟机使用支持其执行的基础计算装置的物理硬件和软件而运行。然而，虚拟机模拟硬件和软件，使得它可以看起来好像是运行其自己的操作系统且使用其自己的硬件装置的单独的计算装置。

“配置信息”指代被用来启动计算资源的信息。配置信息可包括有关计算资源标识符、任务、虚拟网络、资源要求、操作系统、应用以及与特定计算资源相关联的硬件的信息。例如，配置信息可指定一虚拟机使用特定操作系统运行且必须被分配某个最小量的处理器资源。计算系统可在启动计算资源的执行时使用配置信息来确保计算资源在适用的运行环境中执行。

“属性”指的是与运行环境中活动的计算资源相关联的数据或运行参数。示例属性包括：处理器周期数、存储器访问、输入/输出(I/O)使用、所需功率、网络通信、原始数据、目标地址、分组数量、线程数量、执行的速度、延迟、错误信息、错误信号、输入数据和输出数据。属性的值可在计算资源的执行期间被生成并且可提供关于计算资源的运行的信息，诸如资源使用或数据输出是否在预期内。

“复制计算资源”指的是在计算环境中被启动的、与运行在该计算环境内的对应计算资源相同或基本相同的计算资源。复制计算资源可基于对应计算资源的配置信息被配置。可将和对应计算资源的属性组一致的一组复制属性与每个复制计算资源相关联。按这种方式，可将计算资源的属性与任何复制计算资源的复制属性相比较。复制计算资源可被配置为整体地或部分地运行在与对应计算资源相同的或者基本相同的计算系统硬件和软件上。

“运行数据”指的是被诸如虚拟机的计算过程在计算环境中运行时所消耗的数据。运行数据可包括执行一定功能或在计算环境内运行所需的信息。例如，与电子商务应用相关联的虚拟机的运行数据可包括在计算环境内运行所必需的数据(例如，硬件和网络装置标识符)、安全信息、代码、页面、表格和与电子商务相关的数据，诸如产品和消费者信息、信用卡信息和地址。

“安全事件”指的是对于计算系统的察觉到的或者实际的安全威胁的发生。安全威胁可以是访问或监视数据或计算资源的任何未被授权的尝试。说明性的安全事件包括病毒、蠕虫、Trojan木马、恶意代码、拒绝服务(DoS)攻击和未被授权的监视、登录或文件系统访问。

“安全事件响应”指的是对实际或者潜在安全事件的反应。安全事件响应可被配置为防止安全事件和/或处理因安全事件而产生的任何负面影响，例如保护用户计算装置和数据。例如，响应可包括将可疑的网络流量从用户可访问的计算资源路由到不会影响连接到计算系统的计算装置的被隔离的计算资源。在另一个示例中，响应可包括使用诸如反病毒应用的安全工具来分析可疑的计算资源。

除其它以外，本公开一般地被牵引至包括用于检测和缓解侧信道攻击的方法、系统和计算机可读存储介质的技术。在各种实施例中，可生成被配置为实际计算资源的相同或基本相同的副本的复制计算资源。复制计算资源和实际计算资源可被比较以看是否存在运行差异。例如，复制计算资源可包括基于与活动的虚拟机相关联的信息和属性被配置的复制虚拟机。诸如输出数据或资源使用差异的差异的检测可指示诸如侧信道攻击的安全事件。

图1示出根据本文中所述的至少某些实施例布置的用于防止侧信道攻击的说明性系统100的框图。如图1中所示，系统100可以与诸如云计算系统的分布式计算系统105相关联。一个或多个计算装置110、115、120可被布置在分布式计算系统105内。在一实施例中，计算装置110、115、120可包括网络服务器，例如被配置为处理请求，包括应用、互联网、网络通信和数据请求。计算装置110、115、120可以是物理的、虚拟的或它们的一些组合。数据库145可被布置在分布式计算系统105内用于存储、处理以及以其它方式管理数据。分布式计算系统105此外可额外地包括一个或多个联网设备150，诸如路由器、交换机、网关计算装置和被配置为管理网络流量和/或数据的其他虚拟或物理的装置。

如图1中所示，一个或多个计算资源125、135在分布式计算系统105内可以是活动的。例如，计算资源125、135可包括(没有限制地)应用、数据库、虚拟机、虚拟处理器、虚拟网络连接、虚拟服务器或虚拟存储器。计算资源125、135可运行在计算装置110、115上或与其相关联。

根据某些实施例，一个或多个复制计算资源130、140在分布式计算系统105内可以是可运行的。复制计算资源130、140可被配置作为计算资源125、135的系统相同或基本相同的副本。例如，复制计算资源130可以是计算资源125的副本，而复制计算资源140可以是计算资源135的副本。

在一实施例中，复制计算资源130、140可被配置为在与它们的对应计算资源125、135不同的计算环境中运行。某些实施例提供：不同的计算环境包括使用不同于对应计算资源125、135的至少一个单独的计算元件的复制计算资源130、140。例如，单独的计算元件可包括(没有限制地)处理器、处理器核、网络通信装置、存储器或存储器区域、执行时间、互联网协议(IP)地址及其虚拟版本。例如，复制计算资源140及其对应计算资源135可在不同的计算装置115、120上被执行。在另一个示例中，复制计算资源130及其对应计算资源125可在相同的计算装置110上被执行，但是可使用不同的处理器或相同处理器中的不同核。

在一实施例中，计算资源125、135中的每个可以与用于启动计算资源125、135的配置信息相关联。例如，配置信息可包括但不限于：计算资源标识符、资源要求、任务、操作系统、应用和相关联的硬件。系统100可使用配置信息来启动在与对应计算资源相同或基本相同的运行条件下运行的复制计算资源。例如，用于虚拟机的配置信息可指定虚拟机将执行的操作系统和虚拟机将运行于其中的物理硬件。虽然复制虚拟机和对应虚拟机可运行在不同的物理硬件上，但配置信息可被用来确保复制虚拟机运行在等同的硬件上、诸如具有等同的处理能力、速度和可用性的处理器。

在一实施例中，计算资源125、135和复制计算资源130、140可以与一个或多个属性相关联。所述属性可提供与计算资源相关联的运行信息。属性的说明性且非限制性的示例包括处理器周期数、存储器访问、输入/输出(I/O)使用、所需的功率、网络通信、输入数据和输出数据。属性的值可在计算资源的执行期间被生成并且可提供关于计算资源的运行的信息(诸如资源使用或数据输出)以及所述信息是否在预期内。

在一实施例中，复制计算资源130、140可以与和对应计算资源125、135相关联的属性相同或基本相同的属性相关联。例如，虚拟机可与可提供有关由该虚拟机产生的数据和与该虚拟机相关联的任何网络流量的信息的输出数据和网络通信属性相关联。被配置作为虚拟机的副本的复制虚拟机也可与被配置为提供有关复制虚拟机的相同或者基本相同的信息的输出数据和网络通信属性相关联。

图2示出根据本文中所述的至少某些实施例布置的用于防止侧信道攻击的另一说明性系统的框图。如图2中所示，部署控制模块205可被配置为或运行为部署计算资源225、230、235。复制管理模块210可被配置为或运行为启动复制计算资源240、245。例如，复制管理模块210可访问与计算资源225、230、235相关联的信息，诸如属性和配置信息。根据属性和配置信息，复制管理模块210可生成计算资源230、235中的一个或多个的副本并将所述副本部署为复制计算资源240、245。在图2中示出的示例实施例中，计算资源230是复制计算资源240的对应物，并且计算资源235是复制计算资源245的对应物。实施例并不限于每个计算资源一个复制计算资源，因为每个计算资源可与多个复制计算资源相关联。在一实施例中，复制管理模块210可以运行为确保复制计算资源240、245中的每个收到与它们的对应计算资源230、235相同的信息，诸如数据、网络流量和/或计算资源能力。

如在图2中示出的，监视模块215、220可与复制计算资源240、245中的每个以及对应计算资源230、235中的每个相关联。例如，如图2中所示，监视模块215与复制计算资源240和对应计算资源230相关联，并且监视模块220与复制计算资源245和对应计算资源235相关联。监视模块215、220可被配置为或运行为观察、跟踪、记录、检查、比较、处理、分析与复制计算资源240、245和对应计算资源230、235相关联的活动和/或信息，或与之相交互。虽然图2示出监视模块215、220中的每个与复制计算资源240、245中的一个以及对应计算资源230、235中的一个相关联，但实施例并不被如此限制，因为监视模块可监视多个复制计算资源和/或多个对应计算资源。

在一实施例中，复制计算资源240、245可以与对应计算资源230、235基本同时地被启动。然而，复制管理模块210可在与对应计算资源230、245相比稍后的时间启动复制计算资源240、245。例如，在比对应计算资源230、245稍后的时间启动复制计算资源240、245可允许监视模块215、220观察可被计算环境随着时间的变化(例如，高网络流量、数据传输的数量，等等)直接地或间接地影响的属性或复制属性的差异。

在一实施例中，监视模块215、220可监视与复制计算资源240、245相关联的复制属性以及与对应计算资源230、235相关联的属性。由于复制计算资源240、245被配置为对应计算资源230、235的基本相同的副本，与复制属性相关联的值和/或数据应当基本匹配与属性相关联的值和/或数据。监视模块215、220可以比较复制属性和属性以便例如确定在与复制属性和属性相关联的值和/或数据之间是否存在任何差异。

在一实施例中，与复制属性和属性相关联的值和/或数据之间的差异可指示在载有计算资源230、235的计算环境内安全事件正在发生或已经发生。例如，与输出数据相关联的特定属性可被配置为具有低于指定阈值的值。如果与复制计算资源240、245之一相关联的相应复制属性的值低于阈值，而针对对应计算资源230、235之一该属性的值高于阈值,那么监视模块215、220中的一个或多个可将该不同分类为差异。在一实施例中，复制计算资源240、245可收到模拟的(例如，“安全的”)网络流量和/或数据，而对应计算资源230、235可收到实际的网络流量和/或数据。因此，监视模块215、220可基于高于阈值的属性值(而作为对比，相应的复制属性的值低于阈值)确定对应计算资源230、235可能已被实际的网络流量和/或数据危及了。

图3示出根据本文中所述的至少某些实施例布置的用于使用虚拟机计算资源防止侧信道攻击的说明性方法的流程图。图3的说明性方法可由例如图4中示出的计算装置400来执行，在下面参考图4更详细地描述计算装置400。另外，图3的说明性方法可包括如块305、310、315、320和/或325中的一个或多个所示的一个或多个操作、功能或动作。块305至325中所述的操作也可被存储作为诸如图4中所示的计算装置400的系统存储器406的计算机可读介质中的计算机可执行指令。虽然被示出为离散的块，但取决于期望的实施方式各种块可被分割成附加的块，被组合成更少的块或被删除。

在块305处开始，计算装置可获取与虚拟机相关联的信息。例如，用来启动虚拟机的配置信息可从与该虚拟机相关联的一个或多个其它计算装置、诸如载有该虚拟机或启动该虚拟机的一个或多个其它计算装置(例如，图1中所示的计算装置110和115)被获得。该信息可被存储在载有该虚拟机的分布式计算环境内例如作为文件、数据库记录或其他电子数据存储单元。在块305处获得的信息可以是用来配置虚拟机以供在分布式计算环境中运行的信息，包括与虚拟机相关联的操作系统、应用、数据或硬件。块305之后可跟随有块310。

在块310，计算装置可基于在块305处获取的信息将复制虚拟机执行作为该虚拟机的基本相同的实例。例如，图2中示出的复制管理模块210可请求和获取有关虚拟机的信息。该信息可被用来生成可在诸如图1所示的分布式计算系统105的分布式计算环境内被启动以供执行的虚拟机的相同或基本相同的实例。因此，每个复制虚拟机可与作为复制虚拟机的补体(complement)的对应虚拟机相关联。例如，复制虚拟机和对应虚拟机关于某些运行特性可以是相同的或基本相同的，所述运行特性包括但不限于：操作系统、计算服务(例如，互联网服务、电子商务服务)、应用、数据运算、安全配置、虚拟硬件资源、物理硬件资源(例如，两个都可基于相同的物理存储装置或功能等效的存储装置提供虚拟的存储空间)、网络通信以及它们的组合。块310之后可跟随有块315。

在块315，计算装置可为复制虚拟机提供与对应虚拟机基本相同的运行数据。例如，复制虚拟机和对应虚拟机可收到基本相同的输入数据和/或网络流量。在一实施例中，复制虚拟机可收到基本相同的运行数据、模拟的运行数据(例如，为仿真对应虚拟机收到的运行数据而生成的数据)以及真实的和模拟的数据的组合。在块315中为复制虚拟机提供基本相同的运行数据除了其它之外还促进在诸如基本相同的输入数据和/或网络流量的基本相同的运行条件中将复制虚拟机与其对应虚拟机相比较。

在一实施例中，在块315中被提供给复制虚拟机的运行数据可以在时间上有延迟。按这种方式，可以通过例如监视模块、诸如监视图2中所示的模块215和220来评估时间对与复制虚拟机相关联的属性(例如，数据参数、网络通信)的影响。在一实施例中，一个虚拟机可与多个复制虚拟机相关联。此外，每个复制虚拟机可以选择性地被选择为接收时间上有延迟的运行数据。在另一实施例中，对用以接收时间上有延迟的运行数据的虚拟机的选择可以是随机的、依次的或者它们的组合。块315之后可跟随有块320。

在块320，计算装置可监视与复制虚拟机相关联的复制属性以及与对应虚拟机相关联的属性以确定是否存在差异。每个虚拟机可与和其运行相关的一个或多个属性相关联。属性的说明性且非限制性示例可包括：处理器周期数、存储器访问的数量和/或位置、输入/输出(I/O)使用、功率消耗、硬件交互数据(例如，与处理器、处理器中的相邻核、存储装置、存储器、计算装置及其组合有关的数据)、网络传输数据、输出数据、应用数据(例如，哪些应用是活动的以及与每个应用的执行相关联的信息)和操作系统数据。按照本文中所述的至少一些实施例，复制虚拟机可被配置为具有与其对应虚拟机相同的或基本相同的属性(即，“复制属性”)组。属性和复制属性在块320处可被监视以确定它们之间是否存在任何差异。

在一实施例中，属性和复制属性之间的差异可指示诸如侧信道攻击的一个或多个安全事件的存在。安全事件的非限制性示例包括Trojan木马、病毒、蠕虫、恶意代码、内部或者外部解码或监视以及拒绝服务(DoS)攻击。

诸如侧信道攻击的安全事件可导致诸如虚拟机的计算资源的运行方面的可检测的变化。这样，如果复制虚拟机被配置为在运行上与对应虚拟机是相同的或基本相同的且在相同的或基本相同的计算环境中运行，那么复制虚拟机和对应虚拟机之间的任何差异可指示正在影响一个或另一个的安全事件的存在。例如，在虚拟机和/或复制虚拟机的激活之前被放置到核中的Trojan木马可以影响处理器周期、I/O、存储器访问。在另一个示例中，尝试解码或攻击当前核的相邻处理器核可能出现在复制虚拟机中但不会在虚拟机中出现，或相反。在又一示例中，外部解码或监视的尝试可能出现在I/O或虚拟机部署控制中。块320之后可跟随有块325。

在块325，计算装置可分析针对安全事件展示出差异的虚拟机。例如，与差异相关联的虚拟机可被仔细观察以看是否涉及病毒、Trojan木马、蠕虫、其他恶意代码、拒绝服务(DoS)攻击、监视或者其它未被授权的使用或访问。如果发现安全事件，则一个或多个安全事件响应可被计算装置启动。例如，嫌疑虚拟机可被监视是否存在可疑的网络流量并且可疑的流量可被重新路由到诸如被发动以处理可疑的流量的一个或多个复制虚拟机。在另一个示例中，诸如反病毒软件的安全工具可扫描嫌疑虚拟机以判断是否存在恶意代码或其他未被授权的活动。

在一实施例中，嫌疑虚拟机可被未被安全事件危及或未被怀疑被安全事件危及的复制虚拟机代替。按这种方式，与嫌疑虚拟机进行交互的计算装置可在不减少或丢失服务的情况下继续运行，而嫌疑虚拟机在安全事件分析期间可被隔离并且是不可用的。

图4是根据本文中所述的至少某些实施例布置的、可被用来包含或实施用于检测和缓解侧信道攻击的程序指令的说明性计算装置400的框图。在非常基本的配置402中，计算装置400通常包括一个或多个处理器404和系统存储器406。存储器总线408可被用于处理器404和系统存储器406之间的通信。

取决于期望的配置，处理器404可以是任何类型，包括但不限于微处理器机(μP)、微控制器(μC)、数字信号处理器(DSP)或它们的任何组合。处理器404可包括诸如等级一的高速缓存410和等级二的高速缓存412的一个或多个等级的高速缓存、处理器核414和寄存器416。示例处理器核414可包括算术逻辑单元(ALU)、浮点单元(FPU)、数字信号处理核(DSP核)或它们的任何组合。示例存储器控制器418也可与处理器404一起被使用，或在一些实施方式中存储器控制器418可以是处理器404的内部部分。

取决于期望的配置，系统存储器406可以是任何类型，包括但不限于易失性存储器(诸如RAM)、非易失性存储器(诸如ROM、闪存等)或它们的任何组合。系统存储器406可包括操作系统420、一个或多个应用422以及程序数据424。应用422可包括复制管理器426，其被布置为如参考图1-3所述的那样启动和管理复制计算资源。程序数据424可包括对于如本文中所述的那样比较复制计算资源和对应计算资源的运行来说可能有用的计算资源和复制计算资源的计算资源属性428。在一些实施例中，应用422可被布置为利用程序数据424在操作系统420上运行，使得复制计算资源和对应计算资源之间的运行差异可如本文中所提供的那样被确定和分析。该所述的基本配置402在图4中通过内部虚线内的那些部件被示出。

计算装置400可具有其它特征或功能以及用于促进基本配置402和任何所需的装置和接口之间的通信的附加接口。例如，总线/接口控制器430可被用来促进基本配置402与一个或多个数据存储装置432之间经由存储接口总线434的通信。数据存储装置432可以是可移除存储装置436、不可移除存储装置438或它们的组合。可移除存储装置和不可移除存储装置的示例举几个例子来说包括诸如软盘驱动器和硬盘驱动器(HDD)的磁盘装置、诸如压缩盘(CD)驱动器或数字通用盘(DVD)驱动器的光盘驱动器、固态驱动器(SSD)和磁带驱动器。示例计算机存储介质可包括在信息存储的任何方法或技术中被实施的易失性和非易失性、可移除和不可移除的介质，诸如计算机可读指令、数据结构、程序模块或其它数据。

系统存储器406、可移除存储装置436和不可移除存储装置438是计算机存储介质的示例。计算机存储介质包括但不限于：RAM、ROM、EEPROM、闪存或其它存储技术、CD-ROM、数字通用盘(DVD)或其它光学存储装置、磁带盒、磁带、磁盘存储装置或其它磁存储装置或可用于存储期望的信息以及可被计算装置400访问的任何其它介质。任何这样的计算机存储介质可以是计算装置400的一部分。

计算装置400也可包括用于促进从各种接口装置(例如，输出装置442、外围接口444和通信装置446)到基本配置402的经由总线/接口控制器430的通信的接口总线440。示例输出装置442包括图形处理单元448和音频处理单元450，其可被配置为与诸如显示器或扬声器的各种外部装置经由一个或多个A/V端口452进行通信。示例外围接口444包括串行接口控制器454或并行接口控制器456，其可被配置为与诸如输入装置(例如，键盘、鼠标、笔、声音输入装置，触摸输入装置等)或其它外围装置(例如，打印机、扫描仪等)的外部装置经由一个或多个I/O端口458进行通信。示例通信装置446包括网络控制器460，其可被布置为促进与一个或多个其它计算装置462经由一个或多个通信端口464在网络通信链路上的通信。

网络通信链路可以是通信介质的一个示例。通信介质通常可以被体现为计算机可读指令、数据结构、程序模块或诸如载波或其它传输机制的调制数据信号中的其它数据，并且可包括任何信息递送介质。“调制数据信号”可以是具有其特性集合中的一个或多个或者被更改为对信号中的信息进行编码的信号。举例来说，而非限制，通信介质可包括诸如有线网络或有线直接连接的有线介质、诸如声学、射频(RF)、微波、红外(IR)和其它无线介质的无线介质。如本文中所使用的术语计算机可读介质可包括存储介质和通信介质两者。

计算装置400也可被实施作为小型便携式(或移动)电子装置的一部分，所述电子装置诸如蜂窝电话、个人数据助理(PDA)、个人媒体播放器装置、无线网表装置、个人耳机装置、专用装置或包括以上功能中的任何功能的混合装置。计算装置400也可被实施作为包括笔记本计算机和非笔记本计算机配置两者的个人计算机。

示例

示例1：检测侧信道攻击并分析怀疑正被侧信道攻击危及的虚拟机

服务器计算装置将具有复制物理硬件资源，包括处理器、存储装置、存储器和网络装置。服务器计算装置将把虚拟机作为电子商务软件平台的一部分来执行。虚拟机将被配置为执行用于电子商务软件平台的功能，诸如处理产品数据和客户交易。每个虚拟机将具有提供有关虚拟机在服务器计算装置上的执行的信息的如下属性：输入/输出(I/O)使用、存储器访问和所需的功率。电子商务软件平台将使用配置信息以初始化带有操作系统、应用、数据源和虚拟硬件资源的虚拟机。

虚拟机将经由使用操作系统运行且执行用于管理用于电子商务网站的可用产品的VMWare被实施。虚拟机将与服务器计算装置的处理器相关联。虚拟机将收到与被购买的产品和产品库存相关的操作数据。

安全事件管理应用将运行在服务器计算装置上，用于处理与虚拟机相关联的安全事件。安全事件管理应用将获取用于由电子商务软件平台启动的每个虚拟机的配置信息。复制虚拟机将被安全事件管理应用部署用于根据配置信息而运行的每个虚拟机，除了每个复制机器将使用至少一个独立于其对应虚拟机的硬件装置而运行以外。

在安全事件管理应用中运行的复制管理模块将获取用于虚拟机的配置信息。配置信息将被复制管理模块用来启动与虚拟机相比使用相同的操作系统运行且执行相同的数据应用的复制虚拟机。复制虚拟机将使用与配置信息中指定的处理器不同的处理器运行。复制管理应用将运行以向复制虚拟机提供相同的运行数据。在安全事件管理应用中运行的监视模块将监视与虚拟机和复制虚拟机相关联的属性输入/输出(I/O)使用、存储器访问和所需的功率。

监视模块将检测复制虚拟机和虚拟机之间涉及存储器访问和I/O使用的差异。更具体地说，用于虚拟机的存储器访问是在存储器的不同位置并且用于虚拟机的I/O使用与复制虚拟机相比要高得多。监视模块将会把虚拟机标记为具有差异并且将通过请求利用在服务器计算装置上运行的反病毒应用扫描虚拟机来响应。

示例2：检测和缓解云计算环境中的拒绝服务(DoS)侧信道攻击

多个服务器计算装置将运行在云计算环境(在下文中称为“云”)中。云计算环境将虚拟机作为基于互联网的数据存储平台的一部分执行。虚拟机将被配置为执行用于数据存储平台的功能，诸如处理数据存储、获取和显示请求。每个虚拟机将具有提供有关虚拟机在服务器计算装置上的执行的信息的如下属性：输入/输出(I/O)使用、存储器访问、所需的功率和处理器周期数。数据存储平台将使用配置信息初始化带有操作系统、应用、数据源和虚拟硬件资源的虚拟机。

虚拟机将经由使用Microsoft Windows操作系统运行且执行用于基于用户数据请求获取数据的数据应用的Elastic Compute Cloud(EC2)被实施。数据应用将运行作为供用户获取存储在云中的数据的网站接口。虚拟机将与云的服务器计算装置相关联。虚拟机将收到与用户数据请求、数据存储位置和用户数据访问特权相关的运行数据。

安全事件管理应用将运行在云中的服务器计算装置之一上，用于处理与虚拟机相关联的安全事件。安全事件管理应用将获取用于由数据存储平台启动的每个虚拟机的配置信息。复制虚拟机将根据配置信息针对每个虚拟机运行而被部署，除了每个复制虚拟机将使用与其对应虚拟机不同的服务器计算装置运行以外。

在安全事件管理应用中运行的复制管理模块将获取用于虚拟机的配置信息。配置信息将被复制管理模块用来启动与虚拟机相比使用相同的操作系统运行且执行相同的数据应用的复制虚拟机。复制虚拟机将使用不同于配置信息中指定的服务器计算装置的服务器计算装置运行。复制管理应用将运行以向复制虚拟机提供相同的运行数据。在安全事件管理应用中运行的监视模块将监视与虚拟机和复制虚拟机相关联的属性包括输入/输出(I/O)使用、存储器访问、处理器访问数量和所需的功率。

监视模块将检测涉及复制虚拟机和虚拟机之间的I/O使用的差异。更具体地说，用于虚拟机的I/O使用与复制虚拟机相比极其高，使得虚拟机不能足够地响应用户请求。监视模块将会把虚拟机标记作为具有差异并将分析该虚拟机。监视模块将根据虚拟机的数据请求的不寻常的次数和模式确定虚拟机正在经受拒绝服务(DoS)攻击。作为响应，安全事件管理应用将重新路由可疑的流量并将生成第二复制虚拟机。第二复制虚拟机将替代虚拟机并处理以前由虚拟机处理的用户请求。按这种方式，DoS攻击将被解决，因为用户将以与虚拟机相同的方式与第二虚拟机交互。

就本申请中所述的特定实施例(意图使其作为各方面的例证)而言本公开不是受限的。如对本领域技术人员来说将显而易见的，在不脱离其精神和范围的情况下可以做出许多修改和改变。通过前述描述，本公开范围内的功能等价的方法和设备(除本文中所列举的那些之外)对于本领域技术人员来说将是显而易见的。意图使这样的修改和改变落在所附权利要求的范围内。本公开仅由所附权利要求的各项以及这样的权利要求所赋予的等同物的全部范围一起来限定。应当理解，本公开并不限于特定的方法、试剂、化合物成分或生物系统(当然其可以变化)。还应当理解，本文中所使用的术语仅仅是为了描述特定实施例的目的，且并不意图是限制性的。

关于基本上任何复数和/或单数术语在本文中的使用，本领域技术人员可以按照其适用于的情景和/或应用而从复数转化到单数和/或从单数转化到复数。为了清楚起见，在本文中可能明确地阐述了各种单数/复数变换。

本领域技术人员将理解的是，总之，本文中且尤其是所附权利要求(例如所附权利要求的主体)中所使用的术语通常意图是“开放的”术语(例如术语“包括”应当被解释为“包括但不限于”，术语“具有”应当被解释为“至少具有”，术语“包含”应当被解释为“包含但不限于”，等等)。虽然就“包括”各种部件或步骤(被解释为意味着“包括但不限于”)而言描述了各种组成成分、方法和装置，但是所述组成成分、方法和装置也可“基本由”或“由”各种部件和步骤“构成”，并且这样的词语应当被解释为定义成员基本上封闭的群组。本领域技术人员将进一步理解的是，如果所引入的权利要求叙述的特定数字是有意的，这样的意图将被明确叙述在权利要求中，并且在没有这样的叙述的情况下不存在这样的意图。例如，作为理解的辅助，下面所附的权利要求可以包含引入性短语“至少一个”和“一个或多个”的使用以引入权利要求叙述。然而，这样的短语的使用不应被解释为暗示着通过不定冠词“一”或“一个”引入权利要求叙述将包含这样引入的权利要求叙述的任何特定权利要求限定到包含只有一个这样的叙述的实施例，即使当该同一权利要求包括引入性短语“一个或多个”或“至少一个”以及诸如“一”或“一个”的不定冠词时也是这样(例如，“一”和/或“一个”应当被解释为意味着“至少一个”或“一个或多个”)；对于用来引入权利要求叙述的定冠词的使用来说情况是同样的。此外，即使明确记载了所引入的权利要求叙述的特定数字，本领域技术人员也将认识到，这样的记载应当被解释为意味着至少所记载的数字(例如，在没有其它修饰的情况下，“两个叙述”的直率叙述意味着至少两个叙述或者两个或更多叙述)。此外，在其中使用类似于“A、B和C等中的至少一个”的惯例的那些实例中，通常这样的构造意图是本领域技术人员将理解该惯例的意义(例如，“具有A、B和C等中的至少一个的系统”将包括但不限于单独具有A、单独具有B、单独具有C、具有A和B一起、具有A和C一起、具有B和C一起以及/或者具有A、B和C一起等的系统)。在其中使用类似于“A、B或C等中的至少一个”的惯例的那些实例中，通常这样的构造意图是本领域技术人员将理解该惯例的意义(例如，“具有A、B或C等中的至少一个的系统”将包括但不限于单独具有A、单独具有B、单独具有C、具有A和B一起、具有A和C一起、具有B和C一起以及/或者具有A、B和C一起等的系统)。本领域技术人员将进一步理解的是，实际上任何转折性词语和/或提供两个或更多替换术语的短语无论是在说明书、权利要求中还是在附图中都应当被理解为构想包括这些术语中的一个、这些术语中的任一个或这些术语两个的可能性。例如，短语“A或B”将被理解为包括“A”或“B”或“A和B”的可能性。

此外，在就马库什群组描述公开的特征或方面的情况下，本领域技术人员将认识到，由此也就马库什群组的任何单个成员或成员的子群组描述了公开。

如本领域技术人员将理解的，处于任何和所有目的，诸如在提供书面描述方面，本文中所公开的所有范围也涵盖任何和所有可能的子范围以及其子范围的组合。任何所列出的范围可被容易地理解为足以描述该范围并允许该同一范围被分解为至少相等的两半、三份、四份、五份、十份，等等。作为非限制性示例，本文中所讨论的每个范围可以容易地被分解成欣然地于此被分散为下三分之一、中三分之一和上三分之一，等等。如也将被本领域技术人员理解的那样，诸如“高达”“至少”等的所有语言包括所述的数字并且指的是随后可以如上面所讨论的那样被分解成子范围的范围。最后，如本领域技术人员将理解的，范围包括每个单个成员。因此，例如，具有1-3个单元的群组指代具有1个、2个或3个单元的群组。相似地，具有1-5个单元的群组指代具有1个、2个、3个、4个或5个单元的群组，以此类推。

各种上面公开的和其它的特征和功能或它们的替代可被组合到很多其它不同的系统或应用中。各种当前无法预料或者未预期的替代、更改、变化或对其的改进随后可由本领域技术人员做出，意图使它们中的每个被所公开的实施例包括。

Claims (71)

1.一种用于防止侧信道攻击的系统，所述系统包括：

计算装置；

被配置为与所述计算装置进行通信的非暂态存储介质，

其中所述存储介质包含一个或多个编程指令，所述一个或多个编程指令在被执行时使所述计算装置：

获取与所述计算装置上运行的一个或多个虚拟机相关联的信息，所述一个或多个虚拟机包括一个或多个属性，

执行包括一个或多个复制属性的一个或多个复制虚拟机，每个复制虚拟机基于所述信息被配置为对应虚拟机的实例，每个复制虚拟机与和所述对应虚拟机的属性组对应的一组复制属性相关联，

向每个复制虚拟机提供与所述对应虚拟机的运行数据对应的运行数据，

将每个复制虚拟机的所述一个或多个复制属性与所述对应虚拟机的所述一个或多个属性进行比较以看是否存在差异，以及

为了一个或多个安全事件，分析展示出差异的对应虚拟机。

2.根据权利要求1所述的系统，其中所述信息包括虚拟机配置信息。

3.根据权利要求2所述的系统，其中所述虚拟机配置信息包括以下中的一个或多个：标识符、任务、虚拟网络信息和操作系统信息。

4.根据权利要求1所述的系统，其中所述存储介质包含一个或多个编程指令，所述一个或多个编程指令在被执行时使所述计算装置在与所述对应虚拟机不同的计算环境中执行每个复制虚拟机，其中每个复制虚拟机和所述对应虚拟机使用至少一个单独的计算资源运行。

5.根据权利要求4所述的系统，其中所述至少一个单独的计算资源包括以下中的至少一个：处理器、处理器核、执行时间和互联网协议(IP)地址。

6.根据权利要求1所述的系统，其中所述一个或多个属性和所述一个或多个复制属性每个均包括以下中的一个或多个：处理器周期数、处理器步骤、通信信息、存储器访问、输入/输出使用、所需的功率、输入数据、输出数据和计算装置硬件交互数据。

7.根据权利要求1所述的系统，其中所述安全事件包括以下中的至少一个：Trojan木马、病毒、蠕虫、恶意代码、未被授权的监视、黑客攻击尝试、不期望的虚拟机操作、拒绝服务攻击和外部解码尝试。

8.根据权利要求1所述的系统，其中所述差异包括复制虚拟机的复制属性与对应虚拟机的对应属性不匹配。

9.根据权利要求1所述的系统，其中所述存储介质包含一个或多个编程指令，所述一个或多个编程指令在被执行时使所述计算装置响应于所述安全事件启动安全事件反应。

10.根据权利要求9所述的系统，其中所述安全事件反应包括将被寻址到虚拟机的可疑流量路由到复制虚拟机。

11.根据权利要求10所述的系统，其中所述安全事件响应还包括执行其它的复制虚拟机以处理所述可疑流量。

12.根据权利要求9所述的系统，其中所述安全事件响应包括经由一个或多个安全事件源工具来分析所述安全事件。

13.根据权利要求1所述的系统，其中所述存储介质包含一个或多个编程指令，所述一个或多个编程指令在被执行时使所述计算装置延迟所述运行数据到复制虚拟机的递送。

14.根据权利要求13所述的系统，其中所述存储介质包含一个或多个编程指令，所述一个或多个编程指令在被执行时使所述计算装置分析延迟所述运行数据到复制虚拟机的递送的影响以评估一个或多个时间延迟的安全事件的影响。

15.根据权利要求14所述的系统，其中所述一个或多个时间延迟的安全事件包括时间激活的Trojan木马。

16.根据权利要求1所述的系统，其中将每个复制虚拟机的所述一个或多个复制属性进行比较包括使所述比较在每个复制虚拟机之间轮流进行。

17.根据权利要求16所述的系统，其中使所述比较在每个复制虚拟机之间轮流进行包括使所述比较随机地在每个复制虚拟机之间轮流进行。

18.一种用于防止分布式计算系统中的侧信道攻击的系统，所述系统包括：

布置在分布式计算系统中的一个或多个计算装置；

被配置为与所述一个或多个计算装置进行通信的非暂态存储介质，

其中所述存储介质包含一个或多个编程指令，所述一个或多个编程指令在被执行时使所述一个或多个计算装置：

获取与所述一个或多个计算装置上运行的一个或多个虚拟机相关联的信息，所述一个或多个虚拟机包括一个或多个属性，

执行包括一个或多个复制属性的一个或多个复制虚拟机，每个复制虚拟机基于所述信息被配置为对应虚拟机的实例，每个复制虚拟机与和所述对应虚拟机的属性组对应的一组复制属性相关联，

向每个复制虚拟机提供与所述对应虚拟机的运行数据对应的运行数据，

将每个复制虚拟机的所述一个或多个复制属性与所述对应虚拟机的所述一个或多个属性进行比较以看是否存在差异，以及

为了一个或多个安全事件，分析展示出差异的对应虚拟机。

19.根据权利要求18所述的系统，其中所述分布式计算系统包括云计算系统。

20.根据权利要求18所述的系统，其中所述信息包括虚拟机配置信息。

21.根据权利要求20所述的系统，其中所述虚拟机配置信息包括以下中的一个或多个：标识符、任务、虚拟网络信息和操作系统信息。

22.根据权利要求18所述的系统，其中所述存储介质包含一个或多个编程指令，所述一个或多个编程指令在被执行时使所述一个或多个计算装置在与所述对应虚拟机不同的计算环境中执行每个复制虚拟机，其中每个复制虚拟机和所述对应虚拟机使用至少一个单独的计算资源运行。

23.根据权利要求22所述的系统，其中所述至少一个单独的计算资源包括以下中的至少一个：处理器、处理器核、执行时间和互联网协议(IP)地址。

24.根据权利要求18所述的系统，其中所述一个或多个属性和所述一个或多个复制属性每个均包括以下中的一个或多个：处理器周期数、处理器步骤、通信信息、存储器访问、输入/输出使用、所需的功率、输入数据以及输出数据和计算装置硬件交互数据。

25.根据权利要求18所述的系统，其中所述安全事件包括以下中的至少一个：Trojan木马、病毒、蠕虫、恶意代码、未被授权的监视、黑客攻击尝试、不期望的虚拟机操作、拒绝服务攻击以及外部解码尝试。

26.根据权利要求18所述的系统，其中所述差异包括复制虚拟机的复制属性与对应虚拟机的对应属性不匹配。

27.根据权利要求18所述的系统，其中所述存储介质包含一个或多个编程指令，所述一个或多个编程指令在被执行时使所述计算装置响应于所述安全事件启动安全事件反应。

28.根据权利要求27所述的系统，其中所述安全事件反应包括将被寻址到虚拟机的可疑流量路由到复制虚拟机。

29.根据权利要求28所述的系统，其中所述安全事件响应还包括执行其它的复制虚拟机以处理所述可疑流量。

30.根据权利要求27所述的系统，其中所述安全事件响应包括经由一个或多个安全事件源工具来分析所述安全事件。

31.根据权利要求18所述的系统，其中所述存储介质包含一个或多个编程指令，所述一个或多个编程指令在被执行时使所述一个或多个计算装置延迟所述运行数据到复制虚拟机的递送。

32.根据权利要求31所述的系统，其中所述存储介质包含一个或多个编程指令，所述一个或多个编程指令在被执行时使所述一个或多个计算装置分析延迟所述运行数据到复制虚拟机的递送的影响以评估一个或多个时间延迟的安全事件的影响。

33.根据权利要求32所述的系统，其中所述一个或多个时间延迟的安全事件包括时间激活的Trojan木马。

34.根据权利要求18所述的系统，其中将每个复制虚拟机的所述一个或多个复制属性进行比较包括使所述比较在每个复制虚拟机之间轮流进行。

35.根据权利要求34所述的系统，其中使所述比较在每个复制虚拟机之间轮流进行包括使所述比较随机地在每个复制虚拟机之间轮流进行。

36.一种用于防止分布式计算系统中的侧信道攻击的方法，所述方法包括：

获取与在被布置在分布式计算系统中的一个或多个计算装置上运行的一个或多个虚拟机相关联的信息，所述一个或多个虚拟机包括一个或多个属性；

在所述一个或多个计算装置上执行包括一个或多个复制属性的一个或多个复制虚拟机，每个复制虚拟机基于所述信息被配置为对应虚拟机的实例，每个复制虚拟机与和所述对应虚拟机的属性组对应的一组复制属性相关联；

向每个复制虚拟机提供与所述对应虚拟机的运行数据对应的运行数据；

将每个复制虚拟机的所述一个或多个复制属性与所述对应虚拟机的所述一个或多个属性进行比较以看是否存在差异；以及

为了一个或多个安全事件，分析展示出差异的对应虚拟机。

37.根据权利要求36所述的方法，其中所述分布式计算系统包括云计算系统。

38.根据权利要求36所述的方法，其中所述信息包括虚拟机配置信息。

39.根据权利要求38所述的方法，其中所述虚拟机配置信息包括以下中的一个或多个：标识符、任务、虚拟网络信息和操作系统信息。

40.根据权利要求36所述的方法，还包括：在与所述对应虚拟机不同的计算环境中执行每个复制虚拟机，其中每个复制虚拟机和所述对应虚拟机使用至少一个单独的计算资源运行。

41.根据权利要求40所述的方法，其中所述至少一个单独的计算资源包括以下中的至少一个：处理器、处理器核、执行时间和互联网协议(IP)地址。

42.根据权利要求36所述的方法，其中所述一个或多个属性和所述一个或多个复制属性每个均包括以下中的一个或多个：处理器周期数、处理器步骤、通信信息、存储器访问、输入/输出使用、所需的功率、输入数据以及输出数据和计算装置硬件交互数据。

43.根据权利要求36所述的方法，其中所述安全事件包括以下中的至少一个：Trojan木马、病毒、蠕虫、恶意代码、未被授权的监视、黑客攻击尝试、不期望的虚拟机操作、拒绝服务攻击以及外部解码尝试。

44.根据权利要求36所述的方法，其中所述差异包括复制虚拟机的复制属性与对应虚拟机的对应属性不匹配。

45.根据权利要求36所述的方法，还包括：响应于所述安全事件启动安全事件反应。

46.根据权利要求45所述的方法，其中所述安全事件反应包括将被寻址到虚拟机的可疑流量路由到复制虚拟机。

47.根据权利要求46所述的方法，其中所述安全事件响应还包括执行其它的复制虚拟机以处理所述可疑流量。

48.根据权利要求45所述的方法，其中所述安全事件响应包括经由一个或多个安全事件源工具来分析所述安全事件。

49.根据权利要求36所述的方法，还包括：延迟所述运行数据到复制虚拟机的递送。

50.根据权利要求49所述的方法，还包括：分析延迟所述运行数据到复制虚拟机的递送的影响以评估一个或多个时间延迟的安全事件的影响。

51.根据权利要求50所述的方法，其中所述一个或多个时间延迟的安全事件包括时间激活的Trojan木马。

52.根据权利要求36所述的方法，其中将每个复制虚拟机的所述一个或多个复制属性进行比较包括使所述比较在每个复制虚拟机之间轮流进行。

53.根据权利要求52所述的方法，其中使所述比较在每个复制虚拟机之间轮流进行包括使所述比较随机地在每个复制虚拟机之间轮流进行。

54.一种用于防止分布式计算系统的侧信道攻击的设备，所述设备包括：

用于获取与在被布置在分布式计算系统中的一个或多个计算装置上运行的一个或多个虚拟机相关联的信息的装置，所述一个或多个虚拟机包括一个或多个属性；

用于在所述一个或多个计算装置上执行包括一个或多个复制属性的一个或多个复制虚拟机的装置，每个复制虚拟机基于所述信息被配置为对应虚拟机的实例，每个复制虚拟机与和所述对应虚拟机的属性组对应的一组复制属性相关联；

用于向每个复制虚拟机提供与所述对应虚拟机的运行数据对应的运行数据的装置；

用于将每个复制虚拟机的所述一个或多个复制属性与所述对应虚拟机的所述一个或多个属性进行比较以看是否存在差异的装置；以及

用于为了一个或多个安全事件、分析展示出差异的对应虚拟机的装置。

55.根据权利要求54所述的设备，其中所述分布式计算系统包括云计算系统。

56.根据权利要求54所述的设备，其中所述信息包括虚拟机配置信息。

57.根据权利要求56所述的设备，其中所述虚拟机配置信息包括以下中的一个或多个：标识符、任务、虚拟网络信息和操作系统信息。

58.根据权利要求54所述的设备，还包括：用于在与所述对应虚拟机不同的计算环境中执行每个复制虚拟机的装置，其中每个复制虚拟机和所述对应虚拟机使用至少一个单独的计算资源运行。

59.根据权利要求58所述的设备，其中所述至少一个单独的计算资源包括以下中的至少一个：处理器、处理器核、执行时间和互联网协议(IP)地址。

60.根据权利要求54所述的设备，其中所述一个或多个属性和所述一个或多个复制属性每个均包括以下中的一个或多个：处理器周期数、处理器步骤、通信信息、存储器访问、输入/输出使用、所需的功率、输入数据、输出数据以及计算装置硬件交互数据。

61.根据权利要求54所述的设备，其中所述安全事件包括以下中的至少一个：Trojan木马、病毒、蠕虫、恶意代码、未被授权的监视、黑客攻击尝试、不期望的虚拟机操作、拒绝服务攻击以及外部解码尝试。

62.根据权利要求54所述的设备，其中所述差异包括复制虚拟机的复制属性与对应虚拟机的对应属性不匹配。

63.根据权利要求54所述的设备，还包括：用于响应于所述安全事件发起安全事件反应的装置。

64.根据权利要求63所述的设备，其中所述安全事件反应包括将被寻址到虚拟机的可疑流量路由到复制虚拟机。

65.根据权利要求64所述的设备，其中所述安全事件响应还包括执行其它的复制虚拟机以处理所述可疑流量。

66.根据权利要求63所述的设备，其中所述安全事件响应包括经由一个或多个安全事件源工具来分析所述安全事件。

67.根据权利要求54所述的设备，还包括：用于延迟所述运行数据到复制虚拟机的递送的装置。

68.根据权利要求67所述的设备，还包括：用于分析延迟所述运行数据到复制虚拟机的递送的影响以评估一个或多个时间延迟的安全事件的影响的装置。

69.根据权利要求68所述的设备，其中所述一个或多个时间延迟的安全事件包括时间激活的Trojan木马。

70.根据权利要求54所述的设备，其中用于将每个复制虚拟机的所述一个或多个复制属性进行比较的装置包括用于使所述比较在每个复制虚拟机之间轮流进行的装置。

71.根据权利要求70所述的设备，其中用于使所述比较在每个复制虚拟机之间轮流进行的装置包括用于使所述比较在每个复制虚拟机之间随机地轮流进行的装置。