CN108229162B - 一种云平台虚拟机完整性校验的实现方法 - Google Patents

Abstract

本发明涉及一种云平台虚拟机完整性校验的实现方法，包括如下步骤：S1：生成与更新镜像度量结果；S2：启动过程完整性校验，生成校验镜像度量结果，将校验镜像度量结果与步骤S1中关机时保存的最新的镜像度量结果比较；如果一致，则校验通过，使虚拟机正常启动；如果不一致，则校验失败，使虚拟机无法启动；所述镜像度量结果以及校验镜像度量结果均包括文件属性，若校验镜像度量结果中的文件属性与步骤S1中关机时保存的最新的镜像度量结果中的文件属性有变化，则校验失败；如果一致，则继续进行数据校验。本发明能够确保镜像的完整性没有遭到破坏，在镜像遭到恶意的篡改时，能够马上发现。

Description

一种云平台虚拟机完整性校验的实现方法

技术领域

本发明涉及计算机技术领域，具体涉及一种云平台虚拟机完整性校验的实现方法。

背景技术

近年来，云计算越来越普及。通过虚拟化技术，云计算可以让已有的计算、存储和网络资源得到充分利用，既能降低企业运营成本，又有易于维护的优点。同时，云计算可以提供资源的按需配置，使得企业对于不同的业务需求反应迅速。作为一种新兴的计算模式，云计算技术被越来越多的企事业单位采用。

但是企业或政府单位的关键数据托管在公有云上，存在较大的安全隐患。因此，企事业单位更倾向于建立自己的私有云来处理关键数据。私有云既可以提高安全性，也能提供更好的服务质量。

但不管是公有云还是私有云，都不能忽视信息安全的问题。形形色色的网络犯罪日渐猖獗，渗透攻击存放关键数据的网络服务，窃取和篡改数据，植入木马等。对于云计算服务，虚拟机是提供服务的核心角色，也因此成为黑客首要攻击的目标。

作为虚拟机的数据载体，虚拟机的镜像文件较容易受到攻击。虚拟机的镜像可能面临两种威胁：第一种威胁是镜像数据被黑客窃取，从而泄漏其中有价值的信息；第二种威胁是镜像数据被黑客篡改，植入木马或后门程序，当虚拟机运行的时候，植入的木马或后门程序对虚拟机上处理的关键信息进行窃取和隐蔽传输。

对于第一种威胁，应对方法是对虚拟机镜像进行加密，即使镜像被窃取，也需要密钥和解密运算才能得到其中的数据。对第二种威胁，应对方法是一种叫做启动过程完整性校验的防篡改技术。

启动过程完整性校验的大致原理是：虚拟机创建的时候，对虚拟机的镜像文件进行度量，将度量结果保存在安全的地方。当虚拟机启动时，要挂载镜像前，先对镜像文件再做一次度量，并将新的度量结果与原先保存的度量结果进行对比，如果一致则说明镜像文件是完整的，未被篡改过，如果不一致，则说明镜像文件从外部被篡改过。对于完整性遭到破坏的虚拟机，通常采用从备份恢复的方式，保证其安全性。

目前对于虚拟机的完整性校验技术包括如下两种：

1、基于全盘度量的完整性校验技术

如图1所示，为现有技术的一种启动过程完整性检验流程图，这种方法在生成度量结果的时候是对虚拟机的整个镜像文件进行度量，当虚拟机启动进行校验的时候，需要再对虚拟机的整个镜像文件进行度量，然后与原来保存的度量结果进行比较。

虚拟机的镜像数据在每次使用之后都可能发生变化，因此在虚拟机关机或掉电的时候要更新其度量值,并对虚拟机进行重新备份。

但是虚拟机的镜像文件很大，通常有10GB左右甚至几十GB。如果使用MD5方法对一个10GB大小的虚拟机镜像文件进行杂凑运算，需要几分钟的时间，导致虚拟机开机和关机的响应时间过长，难以满足日常使用需求。

因此，此种完整性校验技术时间开销太大，并且随镜像文件的尺寸线性增长，响应性差，不能满足用户的应用需求。

2、基于文件属性的完整性校验技术。

通过inode结点对文件的完整性进行监控。通过系统调用得到文件的大小、拥有者、最后修改时间等属性。度量的时候对这些属性进行记录，校验的时候把这些属性与原来的记录对比，如果一致则认为文件未被修改，如果不一致，则认为文件被从外部篡改。

基于文件属性的完整性校验技术虽然时间开销几乎可以忽略不计，但可以被轻松绕过。比如破坏者对文件中某块数据进行了替换，保持文件大小不变。同时，他修改了系统时间，使得文件的最后修改时间也和原来保持一致。基于文件属性的完整性校验技术检测不到这样的恶意修改。

发明内容

为解决现有技术的不足，提供一种更安全的虚拟机的完整性校验的方法，本发明提供了一种云平台虚拟机完整性校验的实现方法，包括如下步骤：

S1：生成与更新镜像度量结果：新的虚拟机创建后，默认没有存储；为虚拟机添加存储时，请求度量服务器对虚拟机的磁盘镜像进行镜像度量，生成镜像度量结果；虚拟机关机时，请求度量服务器更新该虚拟机的镜像度量结果；

S2：启动过程完整性校验：

S21：启动虚拟机时，如果虚拟机有存储，则启动虚拟机镜像校验过程，把步骤S1中关机时保存的最新的镜像度量结果发送给度量服务器；

S22：度量服务器重新对指定的虚拟机的磁盘镜像进行镜像度量，生成校验镜像度量结果，将校验镜像度量结果与步骤S1中关机时保存的最新的镜像度量结果比较；如果一致，则校验通过，使虚拟机正常启动；如果不一致，则校验失败，使虚拟机无法启动；

其中，所述镜像度量结果以及校验镜像度量结果均包括文件属性，在步骤S22中，度量服务器首先读取校验镜像度量结果中的文件属性，若校验镜像度量结果中的文件属性与步骤S1中关机时保存的最新的镜像度量结果中的文件属性有变化，则校验失败；如果一致，则继续进行数据校验。

其中，所述文件属性包括文件所有者、文件大小、文件最后修改时间及文件inode的修改时间。

其中，所述镜像度量结果以及校验镜像度量结果均还包括采样位置及度量值，在校验镜像度量结果以及步骤S1中关机时保存的最新的镜像度量结果中的文件属性一致的情况下，度量服务器再读取校验镜像度量结果中的第二度量值，若该第二度量值与步骤S1中关机时保存的最新的镜像度量结果中的第一度量值有变化，则校验失败；如果一致，则校验通过。

其中，所述采样位置为，在操作步骤S1时，在虚拟机中随机生成的均匀分布的预定数目的文件位置。

其中，所述第一度量值的生成方法为：

S11：从各文件位置处读取第一预定大小数据块；

S12：将各文件位置处读取的第一预定大小数据块一起进行度量，生成第一度量值。

其中，所述镜像度量结果还包括第一预定大小数据块的第一预定大小值。

其中，所述第二度量值的生成方法为：

S221：根据步骤S1中随机生成的均匀分布的预定数目的文件位置，从校验镜像度量结果中提取同样的均匀分布的预定数目的文件位置的信息；

S222：从各文件位置处读取第二预定大小数据块；

S223：将各文件位置处读取的第二预定大小数据块一起度量，生成第二度量值；

其中，第二预定大小数据块的第二预定大小值与第一预定大小数据块的第一预定大小值相等。

其中，所述校验镜像度量结果还包括第二预定大小数据块的第二预定大小值。

本发明中，所谓的“完整性校验”，是指一种检验文件完整性的方法。

本发明中，所谓的“度量”，是指对文件内容进行摘要，度量值用于标识文件的完整性。

本发明提供的云平台虚拟机完整性校验的实现方法，能够确保镜像的完整性没有遭到破坏，在镜像遭到恶意的篡改时，能够马上发现。

附图说明

图1：现有技术的一种启动过程完整性校验流程图；

图2：本发明中镜像度量结果生成示意图；

图3：本发明中的镜像度量结果与校验镜像度量结果的检验示意图；

图4：本发明的实施环境示意图。

具体实施方式

为了对本发明的技术方案及有益效果有更进一步的了解，下面配合附图详细说明本发明的技术方案及其产生的有益效果。

本发明提供了一种云平台虚拟机完整性校验的实现方法，包括如下步骤：

S1：生成与更新镜像度量结果：新的虚拟机创建后，默认没有存储；为虚拟机添加存储时，请求度量服务器对虚拟机的磁盘镜像进行镜像度量，生成镜像度量结果；虚拟机关机时，请求度量服务器更新该虚拟机的镜像度量结果；

S2：启动过程完整性校验：

S21：启动虚拟机时，如果虚拟机有存储，则启动虚拟机镜像校验过程，把步骤S1中关机时保存的最新的镜像度量结果发送给度量服务器；

S22：度量服务器重新对指定的虚拟机的磁盘镜像进行镜像度量，生成校验镜像度量结果，将校验镜像度量结果与步骤S1中关机时保存的最新的镜像度量结果比较；如果一致，则校验通过，使虚拟机正常启动；如果不一致，则校验失败，使虚拟机无法启动；

为了提高本发明的检验方法的安全性，所述镜像度量结果以及校验镜像度量结果均包括文件属性，以便于对虚拟机的镜像文件进行记录和对比，也即，在步骤S22中，度量服务器首先读取校验镜像度量结果中的文件属性，若校验镜像度量结果中的文件属性与步骤S1中关机时保存的最新的镜像度量结果中的文件属性有变化，则校验失败；如果一致，则继续进行数据校验。

具体实施时，所述文件属性可以包括文件所有者、文件大小、文件最后修改时间及文件inode的修改时间。

因此，本发明中，通过设定文件属性的检验，能够确保镜像的完整性没有遭到破坏，当镜像遭到恶意篡改时，能够马上发现。

较优的，所述镜像度量结果以及校验镜像度量结果均还包括采样位置及度量值，在校验镜像度量结果以及步骤S1中关机时保存的最新的镜像度量结果中的文件属性一致的情况下，度量服务器再读取校验镜像度量结果中的第二度量值，若该第二度量值与步骤S1中关机时保存的最新的镜像度量结果中的第一度量值有变化，则校验失败；如果一致，则校验通过。

较优的，所述采样位置为，在操作步骤S1时，在虚拟机中随机生成的均匀分布的预定数目的文件位置。也即，在生成校验镜像度量结果的过程中，采样位置与生成镜像度量结果的采样位置一致。

为了缩短虚拟机镜像度量耗费的时间，本发明中，度量方法较佳采用随机抽样的方法，其具体的实现方法如下：

所述第一度量值的生成方法为：

S11：从各文件位置处读取第一预定大小数据块；

S12：将各文件位置处读取的第一预定大小数据块一起进行度量，生成第一度量值。

较优的，所述镜像度量结果还包括第一预定大小数据块的第一预定大小值。

所述第二度量值的生成方法为：

S221：根据步骤S1中随机生成的均匀分布的预定数目的文件位置，从校验镜像度量结果中提取同样的均匀分布的预定数目的文件位置的信息；

S222：从各文件位置处读取第二预定大小数据块；

S223：将各文件位置处读取的第二预定大小数据块一起度量，生成第二度量值；

其中，第二预定大小数据块的第二预定大小值与第一预定大小数据块的第一预定大小值相等。

较优的，所述校验镜像度量结果还包括第二预定大小数据块的第二预定大小值。

具体实施时，例如可通过下述方法实现度量值的生成：

（1）每次进行镜像度量时，随机生成均匀分布的N个文件位置，从每个位置读取M大小的数据块，把从N个文件位置读取的数据一起进行度量，生成第一度量值。

保存镜像度量结果的时候，把N个文件位置的信息以及M的值和生成的第一度量值一起保存。

（2）当校验时，在文件属性一致的情况下，度量服务器首先从校验镜像度量结果中提取N个文件位置的信息，然后从N个文件位置各读取M大小的数据块，对读取的数据一起做度量，生成第二度量值，与原来保存的镜像度量结果中的第一度量值进行对比，如果一致，则校验通过；否则校验失败。

N和M的值是可以预先定义的，N*M的值越大，越能更好地保证虚拟机镜像的完整性，但度量耗费的时间也越长。N*M的值越小，度量的时间代价越小。N的值越大，越能有效预防破坏者替换镜像中的大块连续数据。

本发明在具体实施时，可通过下述的一个实施例进行：请参照图2，为本发明中镜像度量结果生成示意图，如图2所示，本发明提供的云平台虚拟机完整性校验的实现方法，所述步骤S1中所生成与更新的镜像度量结果由三部分组成：文件属性、采样位置及度量值；

首先，读取虚拟机的磁盘镜像的文件属性，文件属性可以包括文件所有者、文件大小、文件最后修改时间及文件inode的修改时间；将所读取的虚拟机的磁盘镜像的文件属性存入镜像度量结果；

其次，生成N个均匀分布的随机的采样位置（文件位置），从磁盘镜像的每个随机的采样位置（文件位置），读取大小为M的数据块。N和M的值自定义。把随机的采样位置（文件位置）也保存到镜像度量结果中；

最后，对从磁盘镜像读取的数据做md5的运算，生成一个摘要值，即第一度量值，把第一度量值也存入镜像度量结果中。

镜像度量结果被保存到数据库中，供以后检验使用。

一个度量结果是一个词典，类似于{owner: john, size: 3097325568, c_time:1479346109, m_time: 1479346109, locations: [199, 112352, 2458923, 3558990,...], md5sum: 2a55df7de6b968c97f5c66fff8d70c84}。其中，owner, size, c_time, m_time分别代表文件的所有者、大小、修改时间、inode为被修改的时间等属性，locations是随机抽样读取镜像数据的位置集合，md5sum是从镜像中读取的数据经过md5运算后的结果。

请继续参照图3所示，为本发明的中的镜像度量结果与校验镜像度量结果的检验示意图，如图3所示，本发明在进行过程完整性检验时，

首先从数据库中读取以前保存的镜像度量结果；

之后读取对指定的虚拟机的磁盘镜像重新进行镜像度量，所生成的校验镜像度量结果，首先读取校验镜像度量结果的文件属性，与镜像度量结果的文件属性对比，如果一致，则继续进行数据校验；如果不一致，则校验失败，使虚拟机无法启动；

文件属性一致的情况下，从校验镜像度量结果中读取采样位置信息,并从虚拟机镜像文件各个采样位置读取大小为M的数据块，依照与生成镜像度量结果相同的方法，对所读取的镜像数据也做一次md5的运算，生成第二度量值，将第二度量值与镜像度量结果的第一度量值进行对比，如果一致，则校验通过，使虚拟机正常启动；如果不一致，则校验失败，使虚拟机无法启动。

图4为本发明的实施环境示意图，为一个典型的私有云环境，由管理结点、计算结点、存储域、登录终端构成。其中，计算结点负责具体的虚拟化任务，负责计算、存储、网络资源的虚拟化。通过管理结点可以调度和管理计算结点提供的物理资源以及虚拟化资源。管理员可以通过登录终端机访问管理结点提供的人机界面，发送访问资源的请求。

因为计算结点可以访问数据中心内所有虚拟机的磁盘镜像，因此度量服务器可以部署在一个计算结点上。

管理员登录终端机之后，通过管理结点提供的人机界面，发送启动虚拟机的请求。管理结点会首先向度量服务器发送虚拟机完整性校验请求。度量服务器读取该虚拟机的校验镜像度量结果，首先校验虚拟机镜像的文件属性，如果属性有变化，则校验失败；如果文件属性和原来一致，则从检验镜像度量结果的度量记录中读取N个位置信息和M值，从N个文件位置各读取大小为M的数据块，生成度量值，和镜像度量结果的度量记录中的度量值比较，如果一致，则完整性校验通过，否则，校验失败。

如果完整性校验通过，则管理结点向计算结点发送启动虚拟机的请求。否则管理结点向终端返回校验失败的结果。

本发明所能实现的有益效果为：

1、通过对虚拟机数据进行随机采样，极大地缩短了虚拟机完整性校验需要的时间，将生成度量值和校验的时间控制在秒级，使虚拟机的开关机的响应时间不会明显增加，降低了其对计算资源的消耗。

2、通过检查虚拟机文件属性的变化，能够防范黑客对镜像文件做出有效的篡改，确保镜像文件的完整性没有遭到破坏，当镜像文件遭到恶意的篡改时，能够马上发现。

3、解决了传统的完整性度量和校验技术对大文件花费时间长、响应时间难以满足应用需求的问题，在保证安全性的情况下，节省了完整性度量与校验需要的计算资源，将完整性度量与校验需要的时间从几分钟减少到几秒钟，使得完整性保护措施对用户使用体验的影响降到最低。

虽然本发明已利用上述较佳实施例进行说明，然其并非用以限定本发明的保护范围，任何本领域技术人员在不脱离本发明的精神和范围之内，相对上述实施例进行各种变动与修改仍属本发明所保护的范围，因此本发明的保护范围以权利要求书所界定的为准。

Claims (6)

1.一种云平台虚拟机完整性校验的实现方法，其特征在于，包括如下步骤：

S1：生成与更新镜像度量结果：新的虚拟机创建后，默认没有存储；为虚拟机添加存储时，请求度量服务器对虚拟机的磁盘镜像进行镜像度量，生成镜像度量结果；虚拟机关机时，请求度量服务器更新该虚拟机的镜像度量结果；

S2：启动过程完整性校验：

S21：启动虚拟机时，如果虚拟机有存储，则启动虚拟机镜像校验过程，把步骤S1中关机时保存的最新的镜像度量结果发送给度量服务器；

S22：度量服务器重新对指定的虚拟机的磁盘镜像进行镜像度量，生成校验镜像度量结果，将校验镜像度量结果与步骤S1中关机时保存的最新的镜像度量结果比较；如果一致，则校验通过，使虚拟机正常启动；如果不一致，则校验失败，使虚拟机无法启动；

其中，所述镜像度量结果以及校验镜像度量结果均包括文件属性，在步骤S22中，度量服务器首先读取校验镜像度量结果中的文件属性，若校验镜像度量结果中的文件属性与步骤S1中关机时保存的最新的镜像度量结果中的文件属性有变化，则校验失败；如果一致，则继续进行数据校验；

所述镜像度量结果以及校验镜像度量结果均还包括采样位置及度量值，在校验镜像度量结果以及步骤S1中关机时保存的最新的镜像度量结果中的文件属性一致的情况下，度量服务器再读取校验镜像度量结果中的第二度量值，若该第二度量值与步骤S1中关机时保存的最新的镜像度量结果中的第一度量值有变化，则校验失败；如果一致，则校验通过；

所述采样位置为，在操作步骤S1时，在虚拟机中随机生成的均匀分布的预定数目的文件位置。

2.如权利要求1所述的云平台虚拟机完整性校验的实现方法，其特征在于：所述文件属性包括文件所有者、文件大小、文件最后修改时间及文件inode的修改时间。

3.如权利要求1所述的云平台虚拟机完整性校验的实现方法，其特征在于，所述第一度量值的生成方法为：

S11：从各文件位置处读取第一预定大小数据块；

S12：将各文件位置处读取的第一预定大小数据块一起进行度量，生成第一度量值。

4.如权利要求3所述的云平台虚拟机完整性校验的实现方法，其特征在于：所述镜像度量结果还包括第一预定大小数据块的第一预定大小值。

5.如权利要求1所述的云平台虚拟机完整性校验的实现方法，其特征在于，所述第二度量值的生成方法为：

S221：根据步骤S1中随机生成的均匀分布的预定数目的文件位置，从校验镜像度量结果中提取同样的均匀分布的预定数目的文件位置的信息；

S222：从各文件位置处读取第二预定大小数据块；

S223：将各文件位置处读取的第二预定大小数据块一起度量，生成第二度量值；

其中，第二预定大小数据块的第二预定大小值与第一预定大小数据块的第一预定大小值相等。

6.如权利要求5所述的云平台虚拟机完整性校验的实现方法，其特征在于：所述校验镜像度量结果还包括第二预定大小数据块的第二预定大小值。

Images