CN105975328B - 基于安全虚拟机的日志文件安全审计系统及方法 - Google Patents

Abstract

本发明提供了一种基于安全虚拟机的日志文件安全审计系统及方法，包括专业虚拟机，所述专业虚拟机内设置有虚拟机监控器和存储备份模块，所述虚拟机监控器，用于拦截所有客户虚拟机的I/O请求，判断是否是针对日志文件的修改或者删除操作，若否，则允许执行I/O请求；若是，则发出警告，并开启备份模块；所述备份模块，用于还原客户虚拟机中被修改或者删除的日志文件，并保存在专业虚拟机中。本发明相对现有虚拟机安全审计系统，能够在不修改客户虚拟机，不在客户虚拟机内部安装任何安全模块的情况下，为客户虚拟机提供可靠的审计服务，保证客户虚拟机的安全，进而促进虚拟机和云计算的广泛使用，带来可观的社会效益和经济效益。

Description

基于安全虚拟机的日志文件安全审计系统及方法

技术领域

本发明涉及系统虚拟化技术领域，具体地，涉及一种基于安全虚拟机的日志文件安全审计系统及方法。

背景技术

云计算和虚拟化为用户提供了更简单、更廉价的部署设备和应用的方式，受到了大量用户的信赖。云提供商为了节约成本，在同一台物理机部署了大量虚拟机，不同的用户可以访问同一台物理机。在这种情况下，云平台的安全和数据隐私显得十分重要。

工业界一直在寻求保护云平台安全的方法和策略。一种方法是安全监控，即由云提供商代替客户虚拟机提供安全防护措施，采用此方法的典型有VMware的VMsafe，McAfee的MOVE，和TrendMicro的Deep Security。目前还有很多关于VMI(虚拟机自省)的研究，来检测和防止对虚拟机的攻击。然而，当今的安全服务面临着三大问题：1)大部分安全服务要求客户虚拟机安装相应的安全模块。所以，用户需要帮忙更新和维护相应的安全模块。期间，该模块可能会被病毒或者恶意软件攻击，或者用户错误的配置可能导致该模块无法正常工作。2)有些服务严重依赖于客户操作系统的功能和语义，一旦客户操作系统升级，该服务就无法工作。3)一些安全服务会严重影响客户操作系统的性能。

发明内容

针对现有技术中的缺陷，本发明的目的是提供一种基于安全虚拟机的日志文件安全审计系统及方法。

根据本发明提供的基于安全虚拟机的日志文件安全审计系统，包括专业虚拟机，所述专业虚拟机内设置有虚拟机监控器和存储备份模块，其中：

所述虚拟机监控器，用于拦截所有客户虚拟机的I/O请求，判断是否是针对日志文件的修改或者删除操作，若否，则允许执行I/O请求；若是，则发出警告，并开启存储备份模块；

所述存储备份模块，用于还原客户虚拟机中被修改或者删除的日志文件，并保存在专业虚拟机中。

优选地，所述虚拟机监控器通过反向获取文件系统操作语义的方式，截取对日志文件的写操作，并通过存储备份模块还原出修改、删除前的日志文件，保存在专业虚拟机内部。

根据本发明提供的基于安全虚拟机的日志文件安全审计方法，包括如下步骤：

监控步骤：拦截所有客户虚拟机的I/O请求，判断是否是针对日志文件的修改或者删除操作，若否，则允许执行I/O请求；若是，则发出警告，并执行备份步骤；

备份步骤：还原客户虚拟机中被修改或者删除的日志文件，并保存在专业虚拟机中。

优选地，所述监控步骤包括：

步骤A1：拦截客户虚拟机I/O请求；

步骤A2：获取虚拟机I/O请求的地址、大小以及内容信息，将所述信息发送给语义分析引擎，通过语义分析引擎根据文件系统语义获得与虚拟机I/O请求对应的文件操作，并判断是否是针对日志文件的修改或者删除操作；若否，则允许执行I/O请求；若是，则发出警告。

优选地，所述备份步骤包括：

步骤B1：识别客户虚拟机内部使用的文件系统，并根据文件系统语义，获取当前文件系统包含的所有文件及对应的元数据信息；

步骤B2：当出现针对日志文件的修改或者删除操作时，根据元数据信息还原出日志文件；将还原出的日志文件备份在专业虚拟机中。

与现有技术相比，本发明具有如下的有益效果：

1、本发明相对现有虚拟机安全审计系统，能够在不修改客户虚拟机，不在客户虚拟机内部安装任何安全模块的情况下，为客户虚拟机提供可靠的审计服务，即不需要依赖客户虚拟机中的安全模块，在保障云平台的安全和数据隐私的同时，避免用户在客户虚拟机中对安全模块的维护，更好地保证客户虚拟机的安全，进而促进虚拟机和云计算的广泛使用，带来可观的社会效益和经济效益。

2、本发明通过反向获取文件系统操作语义的方式，截取对日志文件的写操作，从而在专业虚拟机中构造出日志文件的备份，能够更好保护日志数据安全；当发现对日志文件的修改操作时给出警告，从而保护日志文件不被恶意修改。

附图说明

通过阅读参照以下附图对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显：

图1为本发明提供的基于安全虚拟机的日志文件安全审计系统架构图。

图2为本发明提供的基于安全虚拟机的日志文件安全审计方法流程图。

具体实施方式

下面结合具体实施例对本发明进行详细说明。以下实施例将有助于本领域的技术人员进一步理解本发明，但不以任何形式限制本发明。应当指出的是，对本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变化和改进。这些都属于本发明的保护范围。

根据本发明提供的基于安全虚拟机的日志文件安全审计系统及方法，主要利用专业虚拟机，对客户虚拟机内部的日志文件进行保护，通过反向获取文件系统操作语义的方式，截取对日志文件的写操作，从而在专业虚拟机中构造出日志文件的备份。

具体地，包括两个功能：

1、当发现对日志文件的修改操作时给出警告，从而保护日志文件不被恶意修改

当发现对日志文件的修改操作时给出警告，从而保护日志文件不被恶意修改的方法，避免了用户在客户虚拟机内安装安全模块，消除了用户维护客户虚拟机内安全模块的麻烦。同时，由于无需在每个客户虚拟机中安装安全模块，该方法降低了总的系统负担(如，节省磁盘和内存空间)。

当发现对日志文件的修改操作时给出警告，从而保护日志文件不被恶意修改的方法包含三个基本流程：(1)拦截虚拟机I/O请求；(2)分析虚拟机I/O请求，判断是否日志文件操作；(3)对于日志文件删除或者修改内容操作，给出警告。

本发明在虚拟机监控器模拟I/O设备层拦截虚拟机I/O请求，获取虚拟机I/O请求的地址、大小和内容信息。该信息发送给语义分析引擎。语义分析引擎根据文件系统语义，获得I/O请求对应的文件操作，判断是否是日志文件的删除和修改内容操作，对于日志文件的删除和修改内容操作，给出相应警报。

2、专业虚拟机的日志文件作为备份，保护日志数据本身

在虚拟机监控器层中拦截的I/O请求都是块粒度的，仅包含I/O请求的地址，大小和内容，而专业虚拟机需要备份日志文件。因此，本发明提出虚拟化I/O逆向语义推导方法，将块粒度的I/O请求逆向成文件操作，并还原出对应的虚拟机内部文件。

专业虚拟机的日志文件作为备份，保护日志数据本身包含四个基本流程：(1)初始化工作。初始化过程中，该方法会识别虚拟机内部使用的文件系统，并根据文件系统语义，获取当前文件系统包含的所有文件及其对应的元数据信息；(2)接受虚拟化I/O请求，并分析处理。根据初始化过程中收集的信息，判断是否针对日志文件的I/O；(3)对于合理的日志修改操作，根据元数据信息还原出日志文件；(4)将还原出的日志文件备份在专业虚拟机中。

综上所述，本发明可以利用专业虚拟机，对客户虚拟机内部的日志文件进行保护，并通过反向获取文件系统操作语义的方式，截取对日志文件的写操作，从而在专业虚拟机中构造出日志文件的备份。该方法对客户虚拟机透明，避免了在客户虚拟机内部安装和维护安全模块。

以上对本发明的具体实施例进行了描述。需要理解的是，本发明并不局限于上述特定实施方式，本领域技术人员可以在权利要求的范围内做出各种变化或修改，这并不影响本发明的实质内容。在不冲突的情况下，本申请的实施例和实施例中的特征可以任意相互组合。

Claims (4)

1.一种基于安全虚拟机的日志文件安全审计系统，其特征在于，包括专业虚拟机，所述专业虚拟机内设置有虚拟机监控器和存储备份模块，其中：

所述虚拟机监控器，用于拦截所有客户虚拟机的I/O请求，判断是否是针对日志文件的修改或者删除操作，若否，则允许执行I/O请求；若是，则发出警告，并开启存储备份模块；

所述存储备份模块，用于还原客户虚拟机中被修改或者删除的日志文件，并保存在专业虚拟机中；

所述虚拟机监控器通过反向获取文件系统操作语义的方式，截取对日志文件的写操作，并通过存储备份模块还原出修改、删除前的日志文件，保存在专业虚拟机内部。

2.一种基于安全虚拟机的日志文件安全审计方法，其特征在于，包括如下步骤：

监控步骤：拦截所有客户虚拟机的I/O请求，判断是否是针对日志文件的修改或者删除操作，若否，则允许执行I/O请求；若是，则发出警告，并执行备份步骤；

备份步骤：还原客户虚拟机中被修改或者删除的日志文件，并保存在专业虚拟机中；

所述监控步骤通过反向获取文件系统操作语义的方式，截取对日志文件的写操作，并通过备份步骤还原出修改、删除前的日志文件，保存在专业虚拟机内部。

3.根据权利要求2所述的基于安全虚拟机的日志文件安全审计方法，其特征在于，所述监控步骤包括：

步骤A1：拦截客户虚拟机I/O请求；

步骤A2：获取虚拟机I/O请求的地址、大小以及内容信息，将所述信息发送给语义分析引擎，通过语义分析引擎根据文件系统语义获得与虚拟机I/O请求对应的文件操作，并判断是否是针对日志文件的修改或者删除操作；若否，则允许执行I/O请求；若是，则发出警告。

4.根据权利要求2所述的基于安全虚拟机的日志文件安全审计方法，其特征在于，所述备份步骤包括：

步骤B1：识别客户虚拟机内部使用的文件系统，并根据文件系统语义，获取当前文件系统包含的所有文件及对应的元数据信息；

步骤B2：当出现针对日志文件的修改或者删除操作时，根据元数据信息还原出日志文件；将还原出的日志文件备份在专业虚拟机中。