CN107256368A - 基于写时复制特性的虚拟机内文件完整性度量方法 - Google Patents

Abstract

传统针对虚拟机内文件的完整性度量方法都基于信息摘要算法，存在使用数据量大、计算复杂度高等缺点。本发明提出一种基于写时复制特性的虚拟机内文件完整性度量方法，在虚拟机使用基础镜像和增量镜像、镜像的镜像块与文件系统的文件系统逻辑块大小相同且一一对应、需要完整性度量的文件存放在基础镜像中时，首先从基础镜像中，获取文件头部内容和文件头部、索引、内容使用文件系统逻辑块对应的镜像索引项；然后在增量镜像中，分别检查文件头部、索引和内容的完整性。该方法可以减小所需的数据量，降低计算的复杂度，从而加快完整性度量的速度。

Description

基于写时复制特性的虚拟机内文件完整性度量方法

技术领域

本发明是一种针对虚拟机内文件的完整性度量方法，尤其涉及虚拟机的安全防护，属于计算机科学技术领域。

背景技术

在云计算的IaaS层，利用虚拟化技术，可以将计算、存储资源虚拟化并封装为虚拟机，为用户提供基础设施服务，从而最大限度的提高资源的利用率和可靠性，使资源便于管理，降低维护成本。

虚拟机使用镜像文件作为存储载体，镜像格式有很多种，如qcow2、vmdk、vdi、raw等。部分镜像格式，如qcow2、vmdk、vdi，能够通过一个较小的文件表示一个较大的固定大小的虚拟地址空间。它们的镜像由多个固定大小的镜像块组成，镜像块承载的内容主要分为三类，分别是头部、数据、索引。镜像头部用于保存镜像的基本属性，如镜像格式版本、虚拟空间大小等内容，占用一个或连续多个镜像块。镜像数据部分用于存储实际的数据，使用多个镜像块，每个镜像块都表示一段与镜像块大小相同的地址空间，只有存储有实际数据的镜像块才会包含在镜像文件中。镜像索引部分用于记录镜像数据部分使用的镜像块在虚拟空间中的顺序和在镜像文件中的位置，通常为树形结构，索引项与镜像数据部分使用的镜像块一一对应，使用多个镜像块。如果索引项中存储的地址为空，则说明其对应的镜像块内不存储任何实际的数据，该镜像块在镜像文件中不存在。为了尽可能的节约存储资源、简化虚拟机的部署，虚拟机监控器支持将虚拟机的镜像划分为两个部分，分别为基础镜像和增量镜像。基础镜像是只读的，可以被多个增量镜像同时使用，用于存储具有共性的部分，如相同的操作系统、相同的软件等。增量镜像在基础镜像的基础上创建，是可写的，以镜像块为单位，保存对基础镜像原有内容的修改和新增内容。根据写时复制特性，如果表示相同地址空间的镜像块同时出现在基础镜像和增量镜像中，说明基础镜像中表示该段地址空间的镜像块内存储的数据一定被修改过。因为镜像索引项与镜像数据部分使用的镜像块一一对应，所以在基础镜像和增量镜像的索引中，当与表示相同地址空间的镜像块对应的索引项内都存储有实际的地址时，说明基础镜像中表示该段地址空间的镜像块内存储的数据一定被修改过。

虚拟机内的软件和数据以文件为载体，存储在以文件系统逻辑块为单位的文件系统中。如图2所示，文件在逻辑上分为三个部分，分别为文件头部、索引和内容。头部用于存储文件的属性信息，文件权限、创建时间、修改时间等，头部的长度小于文件系统逻辑块的长度，多个文件头部共享一个文件系统逻辑块。内容用来保存文件内的实际数据，占用多个完整的文件系统逻辑块。索引用于记录内容使用的文件系统逻辑块在分区内的位置和顺序，通常为树形结构，其根存放在头部中，占用多个完整的文件系统逻辑块。在判断文件完整性方面，对文件的三个部分的判断方法是不同的。对于文件头部，需要将头部中的属性可以分为两类，分别为可变部分和不可变部分，可变部分包括文件最后一次被读取时间等，这部分信息的改变不影响文件的完整性；不可变部分包括文件权限、文件大小等，如果这部分信息被改变，文件不完整。对于文件内容，如果文件内容发生变化，文件不完整。对于文件索引，由于记录内容使用的文件系统逻辑块在分区内的位置和顺序，所以索引结构发生改变，文件不完整；索引结构不改变，文件也有可能是不完整，例如文件内容使用的某个文件系统逻辑块的内容发生改变。

随着云计算的发展，虚拟机被广泛使用，虚拟机也成为黑客的主要攻击对象之一，承载数据和程序的虚拟机内文件，面临日益严峻的安全威胁。完整性检测技术是增强虚拟机安全性的一种非常重要的方法，它通过检测内容不可变的文件是否被篡改，判断虚拟机是否受到攻击，如果需要度量的文件被篡改，则虚拟机一定受到攻击。传统的完整性检测技术都基于信息摘要算法，如MD5、SHA等。信息摘要算法以整个文件的内容为输入，通过复杂的计算，生成固定长度的信息摘要。在对某个文件进行完整性检测时，首先度量该文件，得到一个基准的信息摘要，然后在以后的某个时刻，重新对该文件进行度量，产生新的信息摘要，最后对比新生成的信息摘要与基准的信息摘要，如果两个信息摘要不同，则文件必定被篡改。

基于信息摘要算法的虚拟机内文件完整性度量方法主要存在以下两个问题：(1)使用的数据量大：信息摘要算法以文件的整个内容为输入，输入的数据量等于文件大小；为了获取文件的内容，操作系统还需要解析文件头部和索引。所以，整个度量过程使用的数据量大。(2)计算复杂度高：为了保证不同的文件生成不同的信息摘要，计算过程会进行矩阵转置、求和等操作，计算复杂度高。

发明内容

为了解决上述问题，本发明提出一种基于写时复制特性的虚拟机内文件完整性度量方法，在虚拟机使用基础镜像和增量镜像、镜像的镜像块与文件系统的文件系统逻辑块大小相同且一一对应、需要完整性度量的文件存放在基础镜像中时，首先从基础镜像中，获取文件头部内容和文件头部、索引、内容使用文件系统逻辑块对应的镜像索引项；然后在增量镜像中，分别检查文件头部、索引和内容的完整性。该方法可以减小所需的数据量，降低计算的复杂度，从而加快完整性度量的速度。

本发明提出的基于写时复制特性的虚拟机内文件完整性度量方法与基于信息摘要算法的虚拟机内文件完整性度量方法的区别在于：

(1)适用的场景不同：该方法在虚拟机使用基础镜像和增量镜像、镜像的镜像块与虚拟机的文件系统逻辑块大小相同且一一对应、需要度量的文件存放在基础镜像中时，才能使用。在该场景下，镜像索引项与文件系统逻辑块一一对应。

(2)用于判断文件被篡改的方法不同：将文件分为头部、索引和内容三个部分，在(1)描述的场景下，首先从基础镜像中，获取文件头部内容和文件头部、索引、内容使用文件系统逻辑块对应的镜像索引项；然后在增量镜像中，分别检查文件头部、索引和内容的完整性。其原理是：若整个文件系统逻辑块被存储在基础镜像中的文件使用，当增量镜像索引中，与该文件系统逻辑块对应的索引项内存储有实际的地址时，文件必定被改动。在文件的三个逻辑部分中，文件索引和内容占据多个完整的文件系统逻辑块，多个文件头部共享一个文件系统逻辑块。所以，判断文件索引和内容是否被篡改，仅通过增量镜像索引即可；判断文件头部是否被篡改，除了需要增量镜像索引外，还可能需要比对增量镜像和基础镜像中存储的文件头部内容。

本发明提供一种基于写时复制特性的虚拟机内文件完整性度量方法，包括9个步骤，具体如下：

步骤1：创建基础镜像和安装操作系统；

步骤2：将需要完整性度量的内容不可变的文件放在基础镜像的某个分区中；

步骤3：在基础镜像中获取文件头部信息，包括文件头部存储的内容、文件头部使用的文件系统逻辑块在分区内的起始地址，文件头部在文件系统逻辑块中的起始位置；

步骤4：在基础镜像中获取文件索引和内容信息，包括文件索引和内容使用的所有文件系统逻辑块在分区内的起始地址；

步骤5：获取与文件使用的文件系统逻辑块对应的镜像索引项信息；

步骤6：创建与基础镜像的镜像块大小相同的增量镜像；

步骤7：在增量镜像中检查文件头部的完整性；

步骤8：在增量镜像中检查文件索引和内容的完整性；

步骤9：根据文件头部、索引和内容的完整性判断整个文件的完整性，如果都完整，则文件完整，如果其中任意一个不完整，则文件不完整。

其中，步骤1创建基础镜像和安装操作系统,为了确保用于存储数据的镜像块与文件系统逻辑块大小相同且一一对应，需要满足两个条件(1)镜像的镜像块大小与文件系统的文件系统逻辑块大小相同，(2)分区大小为文件系统逻辑块大小的整数倍。

其中，步骤5包括：

步骤51：将文件头部、索引和内容使用的文件系统逻辑块在分区内的起始地址转换为镜像的虚拟空间起始地址；

步骤52：根据镜像格式中存储数据的镜像块与镜像索引项的对应关系，获取与文件使用的文件系统逻辑块的虚拟空间起始地址对应的镜像索引项。

其中，步骤7包括：

步骤71：根据获取的文件头部使用的文件系统逻辑块对应的镜像索引项信息，检查对应的增量镜像索引项中是否存储有实际的地址，如果没有，则说明文件头部使用的文件系统逻辑块不在增量镜像中，文件头部完整，转到步骤8；否则，根据对应的增量镜像索引项中存储的地址，读取增量镜像中文件头部使用的文件系统逻辑块，转到步骤72；

步骤72：从文件头部在文件系统逻辑块中的起始位置开始，逐字节与获取的基础镜像中的文件头部信息内不可变部分做比较。如果不可变部分相同，则说明文件头部完整，转到步骤8；否则，文件头部不完整，转到步骤9。

其中，步骤8在增量镜像中检查文件索引和内容的完整性，需要根据获取的文件索引和内容使用的文件系统逻辑块对应的镜像索引项信息，逐个检查每个对应的增量镜像索引项内是否存储有实际的地址，如果都没有，说明文件索引和内容完整；否则，说明文件索引或内容不完整。

本发明的优点包括：

本发明所提出的基于写时复制特性的虚拟机内文件完整性度量方法，与现有技术相比，其主要优点是：

(1)减小了完整性度量所需的数据量：信息摘要算法以文件的整个内容为输入，输入的数据量等于文件大小；为了获取文件的内容，操作系统还需要解析文件头部和索引，所以，整个度量过程使用的数据量大。但是在该方法中，在设定的条件下，利用写时复制特性、镜像索引项与文件系统块的对应关系，使得算法的输入为文件头部内容和头部、索引、内容使用的文件系统逻辑块对应的镜像索引项，从而大幅度减小文件完整性度量所需的数据量。

(2)减小了完整性度量算法的计算复杂度：信息摘要算法为了保证不同的文件生成的信息摘要不同，计算过程会进行矩阵转置、求和等操作，计算复杂度高。但是在该算法中，只有字节的比对和从字节到地址数字的转换，计算复杂度低。

附图说明

图1是本发明的流程图。

图2是本发明的文件逻辑结构与物理结构对应关系图。

图3是本发明的文件系统逻辑块与镜像索引项的对应关系转换图。

图4是本发明的通过镜像索引检查文件使用的文件系统逻辑块是否被篡改图。

具体实施方式

为使本发明的目的、技术方案和优点表达得更加清楚明白，以下结合附图和具体实施例对本发明进行详细描述，但不作为对本发明的限定。在实例中，使用的镜像格式为Qcow2格式，镜像的虚拟空间大小为10GB，操作系统为Linux，文件系统为ext4,具体内容如下所示：

步骤1：创建基础镜像和安装操作系统，首先，创建镜像块大小为4KB、虚拟空间为10GB的基础镜像，然后，在安装Linux操作系统时，创建大小为4KB的整数倍的三个分区(partition)，分别为1GB的boot分区、8GB的根分区和1GB的SWAP分区，在boot和根分区内安装ext4文件系统，文件系统逻辑块(logic block)大小为4KB。从而保证镜像块与文件系统逻辑块大小相同且一一对应。

步骤2：将需要完整性度量的内容不可变的文件放在基础镜像的某个分区中。

步骤3：在基础镜像中,获取文件头部(inode)信息，包括文件头部存储的内容，设为inode_content、文件头部使用的文件逻辑块在分区内的起始地址，设为inode_in_partition,文件头部使用的文件逻辑块中的位置，设为inode_in_logicblock。将inode_content和inode_in_logicblock存储到数据库中。

步骤4：在基础镜像中获取文件索引和内容信息，包括文件索引和内容使用的所有文件系统逻辑块在分区内的起始地址。如图2所示，由于Ext4文件系统的索引是树形结构。根在inode中，不占用任何文件系统逻辑块。叶子结点占用多个完整的文件系统逻辑块，叶子结点中的项保存了文件内容使用的文件系统逻辑块在分区内的起始地址；其它索引结点占用多个完整的文件系统逻辑块，其中的项保存了下一级的节点使用的文件系统逻辑块在分区内的起始地址。设文件索引使用的文件系统逻辑块的集合为index[X1,X2,…]，则可以从存储在inode中的根开始搜索，得到文件索引使用的每个文件系统逻辑块在分区内的起始地址集合,设为index_in_partition[X1，X2,…]。设文件内容使用的文件系统逻辑块集合为content[Y1,Y2,…]，可以从文件索引的叶子结点中，得到文件内容使用的文件系统逻辑块在分区内的起始地址集合，设为content_in_partition[Y1，Y2,…]。

步骤5：获取与文件使用的文件系统逻辑块对应的镜像索引项信息。

步骤51：将文件头部、索引和内容使用的文件系统逻辑块在分区内的起始地址转换为镜像的虚拟空间起始地址，如图3所示，计算方法为分区内地址+分区起始位置。所以，文件头部的虚拟空间起始地址为inode_in_virtualspace＝inode_in_partition+1GB,文件索引使用的文件系统逻辑块集合的虚拟空间起始地址集合为index_in_virtualspace[X1，X2,…]＝index_in_partition[X1，X2,…]+1GB，文件内容使用的文件系统逻辑块集合的虚拟空间起始地址为content_in_virtualspace[Y1，Y2,…]＝content_in_partition[Y1，Y2,…]+1GB。

步骤52：根据镜像格式中存储数据的镜像块与镜像索引项的对应关系，获取与文件使用的文件系统逻辑块的虚拟空间起始地址对应的镜像索引项。如图3所示，在Qcwo2镜像格式中，使用两级索引，第一级索引(L1Table)由连续的一个或多个镜像块组成,其中的项指向第二级索引使用的镜像块；第二级索引(L2Table)由多个按需创建镜像块组成，每个镜像块中存储部分第二级索引项，每个项中存储有用于存储数据的镜像块在镜像文件中的地址。所以，用于存储数据的镜像块对应的镜像索引中的项，可以使用二元组<L1Table_index，L2Table_index>表示，其中L1Table_index为在L1Table中的位置，L2Table_index为在L2Table使用的某个镜像块中的位置。设某个用于存储数据的镜像块的起始地址为offset，镜像块大小为cluster_size，L2Table使用的某个镜像块中项的数量为L2_entries,则转换公式为：

L2_entries＝(cluster_size/sizeof(uint64_t))

L1Table_index＝(offset/cluster_size)/L2_entries

L2Tabel_index＝(offset/cluster_size)％L2_entries

通过转换公式，计算出文件头部、索引和内容使用的文件系统逻辑块的虚拟空间起始地址对应的镜像索引项。文件头部使用的文件系统逻辑块对应的镜像索引项为inode_entry,文件索引使用的文件系统逻辑块集合对应的镜像索引项集合为index_entries[X1,X2,…],文件内容使用的文件系统逻辑块集合对应的镜像索引项集合为content_entries[Y1,Y2,…]。

步骤6：创建与基础镜像的镜像块大小相同的增量镜像，其镜像块大小为4KB。

步骤7：在增量镜像中检查文件头部的完整性。

步骤71：从数据库中读取inode_entry信息，如图4所示，检查增量镜像中镜像索引项inode_entry中是否存储有实际的地址，根据写时复制特性，如果没有，则说明文件头部使用的文件系统逻辑块不在增量镜像中，文件头部完整，转到步骤8；否则，根据镜像索引项inode_entry中存储的地址，读取增量镜像中文件头部使用的文件系统逻辑块，转到步骤72；

步骤72：从数据库中读取inode_content和inode_in_logicblock信息，然后从增量镜像中读取到文件头部使用的文件系统逻辑块的inode_in_logicblock位置开始，逐字节与inode_content中不可变部分对比，如果不可变部分相同，则说明文件头部完整，转到步骤8；否则，文件头部不完整，转到步骤9。

步骤8：在增量镜像中检查文件索引和内容的完整性，首先从数据库中读取index_entries[X1,X2,…]和content_entries[Y1,Y2,…]信息，如图4所示，然后逐个检查增量镜像索引项index_entries[X1,X2,…]和content_entries[Y1,Y2,…]中，是否存储有实际的地址，如果都没有，说明文件索引和内容完整；否则，说明文件索引或内容不完整。

步骤9：根据文件头部、索引和内容的完整性判断整个文件的完整性，如果都完整，则文件完整，如果其中任意一个不完整，则文件不完整。

当然，本发明还可有其它多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员当可根据本发明做出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims (5)

1.基于写时复制特性的虚拟机内文件完整性度量方法，其特征在于，包括以下步骤：

步骤1：创建基础镜像和安装操作系统；

步骤2：将需要完整性度量的内容不可变的文件放在基础镜像的某个分区中；

步骤3：在基础镜像中获取文件头部信息，包括文件头部存储的内容、文件头部使用的文件系统逻辑块在分区内的起始地址，文件头部在文件系统逻辑块中的起始位置；

步骤4：在基础镜像中获取文件索引和内容信息，包括文件索引和内容使用的所有文件系统逻辑块在分区内的起始地址；

步骤5：获取与文件使用的文件系统逻辑块对应的镜像索引项信息；

步骤6：创建与基础镜像的镜像块大小相同的增量镜像；

步骤7：在增量镜像中检查文件头部的完整性；

步骤8：在增量镜像中检查文件索引和内容的完整性；

步骤9：根据文件头部、索引和内容的完整性判断整个文件的完整性，如果都完整，则文件完整，如果其中任意一个不完整，则文件不完整。

2.根据权利要求1所示的方法，其中，步骤1创建基础镜像和安装操作系统,为了确保用于存储数据的镜像块与文件系统逻辑块大小相同且一一对应，需要满足两个条件(1)镜像的镜像块大小与文件系统的文件系统逻辑块大小相同，(2)分区大小为文件系统逻辑块大小的整数倍。

3.根据权利要求1所述的方法，其中，步骤5包括：

步骤51：将文件头部、索引和内容使用的文件系统逻辑块在分区内的起始地址转换为镜像的虚拟空间起始地址；

步骤52：根据镜像格式中存储数据的镜像块与镜像索引项的对应关系，获取与文件使用的文件系统逻辑块的虚拟空间起始地址对应的镜像索引项。

4.根据权利要求1所述的方法，其中，步骤7包括：

步骤71：根据获取的文件头部使用的文件系统逻辑块对应的镜像索引项信息，检查对应的增量镜像索引项中是否存储有实际的地址，如果没有，则说明文件头部使用的文件系统逻辑块不在增量镜像中，文件头部完整，转到步骤8；否则，根据对应的增量镜像索引项中存储的地址，读取增量镜像中文件头部使用的文件系统逻辑块，转到步骤72；

步骤72：从文件头部在文件系统逻辑块中的起始位置开始，逐字节与获取的基础镜像中的文件头部信息内不可变部分做比较。如果不可变部分相同，则说明文件头部完整，转到步骤8；否则，文件头部不完整，转到步骤9。

5.根据权利要求1所述的方法，其中，步骤8在增量镜像中检查文件索引和内容的完整性，需要根据获取的文件索引和内容使用的文件系统逻辑块对应的镜像索引项信息，逐个检查每个对应的增量镜像索引项内是否存储有实际的地址，如果都没有，说明文件索引和内容完整；否则，说明文件索引或内容不完整。