CN109063473A - 一种基于计算机网络的便捷式家用安全监控装置和方法 - Google Patents

Abstract

本发明公开了一种基于计算机网络的便捷式家用安全监控方法，包括如下步骤：步骤100、建立基于虚拟计算机环境的安全监控框架；步骤200、建立面向虚拟机中运行服务的分域规则配置和并行检测，根据虚拟域中运行服务来分域配置检测规则，并采用多线程进行并行检测；步骤300、对目标虚拟机中的文件实时监控；步骤400、采用不同的监控驱动来屏蔽客户操作系统的差异性，保证客户机的实时性，步骤500、建立基于Xen的可信任虚拟平台信任链，装置中所有的监控驱动为用户态的监控工具提供统一的监控接口，从而实现了监控机制的通用性，监控驱动以内核模块的形式按需加载，适应了虚拟机的动态性，该方法具有实时性、透明性和通用性的特点。

Description

一种基于计算机网络的便捷式家用安全监控装置和方法

技术领域

本发明涉及便捷式家用安全监控装置领域，具体为一种基于计算机网络的便捷式家用安全监控装置和方法。

背景技术

随着计算机的普及和信息化技术的发展，计算机系统已深入到关系国计民生的各行各业中，计算机系统安全性对于整个社会的正常运转显得愈发重要。各大公司也不断加大对于系统安全的投入，仅2009年微软公司用于系统安全的投入就超过了30亿美元，然而，目前计算机系统的安全形势仍不容乐观，频发的安全事件表明传统的安全保障技术已无法满足日益复杂的计算机系统和高速发展的网络软件的安全需求，而且单纯的依赖系统内部的安全机制难以保证信息系统的安全，因此，迫切需要打破系统本身的束缚，从系统外部寻求新的途径增强系统安全性，而现有的家用安全监控装置还存在以下不足之处问题：

例如，申请号为201310521456.8，专利名称为一种防丢失安全监控系统的发明专利：

其控制装置在从所述标签监控单元接收到所述多个识别标签之一的识别信息时，根据所述多个识别标签之一的识别信息向与所述多个识别标签之一相对应的所述多个主控单元之一发送提醒启动信号。

但是，现有的基于计算机网络的便捷式家用安全监控装置和方法存在以下缺陷：

(1)在传统的家用安全监控装置架构屮，应用程序通过进程的虚拟地址空间来进行隔离，进程之间可能会产生相互干扰。例如，某个进程出现故障可能导致整个操作系统崩溃，从而严重影响到其它正常运行的进程；

(2)传统的安全监控方法需要在客户操作系统中插入内核模块，对其不具有透明性，而且，内存保护模块和跳转模块是与目标虚拟机紧密相关的，不具有通用性。

发明内容

为了克服现有技术方案的不足，本发明提供一种基于计算机网络的便捷式家用安全监控装置和方法，能有效的解决背景技术提出的问题。

本发明解决其技术问题所采用的技术方案是：

一种基于计算机网络的便捷式家用安全监控方法，包括如下步骤：

步骤100、建立基于虚拟计算机环境的安全监控框架，在分布式计算环境下，每个物理节点均安装虚拟化管理器，且在每个节点上同时运行多个虚拟机，通过管理员权限动态的创建虚拟机；

步骤200、建立面向虚拟机中运行服务的分域规则配置和并行检测，根据虚拟域中运行服务来分域配置检测规则，并采用多线程进行并行检测；

步骤300、对目标虚拟机中的文件实时监控，通过在虚拟机管理器中实现对目标虚拟机中的文件操作进行实时拦截，管理域按照平台管理员配置的安全策略进行检测；

步骤400、采用不同的监控驱动来屏蔽客户操作系统的差异性，利用不同类型的监控驱动对客户操作系统进行语义重构，保证客户机的实时性；

步骤500、建立基于Xen的可信任虚拟平台信任链，根据虚拟平台的特性采用树状信任链的扩展方式，将信任链拓展成两层，第一层确保虚拟机监视器和特权域在启动过程的可信，度量值保存在TPM的PCR中；第二层确保客户虚拟机及上层应用服务的启动时的完整性，度量值保存在vTPM的vPCR中。

进一步地，所述步骤100中，主要包括内部监控方法和外部监控方法：

步骤101、采用内部监控方法：

首先，在目标虚拟机内核中加入钩子函数，将钩子函数获取的监控信息传递到管理域中；

其次，设从目标虚拟机的内核态切换到虚拟机管理器层的时间T_k，v，以及从虚拟机管理器返回到管理域内核态的时间T_v，k，以及从管理域内核态到用户态监控工具的时间T_k，u；

最后，根据式C_t，intemal＝T_k，v+T_v，k+T_k，u，判断每次拦截的性能开销。

步骤102、采用外部监控方法：

首先，设语义重构需要的时间为mT_resolution，其中m表示解析的次数，T_resolution表示每次解析的时间，

其次，根据式C_t，intemal＝T_k，v+mT_resolution+T_v，k+T_k，u，判断语义重构的耗时与监控目标所需要解析的次数密切关系。

最后，根据式C_t，intemal＝T_k，v+m(T_k，v+T_resolution+T_v，k)+T_v，k+T_k，u，可以判断当语义重构时，每次解析的操作过程中。

进一步地，所述步骤200中检测和匹配的方法为：

步骤201、将Xen虛拟化平台和Snort作为守护进程来进行基本的控制和管理；

步骤202、主线程通过Xen的域间共享存储系统来获取当前节点的虚拟机列表，并通过Snort中ProcessPacket函数来进行数据包的检査，数据包首先按照虛拟域来迸行划分，然后再进行相应的处理；

步骤203、在Xen虛拟化平台上实现检测线程的状态描述；

步骤204、根据对不同的虚拟机设置的检测规则，启动多个检测线程进行并行检测。

进一步地，所述步骤300中文件监控方法：

步骤301、虚拟机管理层的事件截获模块，在被监控系统的底层截获文件操作相关的系统调用，当虚拟机中的应用程序产生系统调用时，执行流进入虚拟机管理器层；

步骤302、传输文件操作相关的参数，并传递到管理域中，它是事件截获模块和文件完整性监视器的桥梁；

步骤303、当对虚拟机中的某个文件进行操作时，根据文件分类方法对不同级别的文件进行不同的响应方式。

进一步地，所述步骤300还包括：

将步骤301中截获的文件进行分类，当设置某个文件为禁止读时，当虚拟机中进程对其进行操作吋，在虚拟机管理器层直接返回，从而不影响虚拟机中程序的正常运行，同时可以在管理域中看到操作记录。

进一步地，所述步骤400中还包括：

步骤401、当创建某一虚拟机或者从其它节点迁移到该节点上时，在该节点的管理域加载相应的监控驱动，并且，使用监控驱动为上层的监控和管理工具提供统一的接口，扩展现有监控工具的功能；

步骤402、采用基于驱动的通用监控架构，通过符号表导出全局函数，在虚拟机中运行不同的服务；

步骤403、通过内核模块的方式加载到管理域的内核，屏蔽了客户操作系统的差异性，并提供了细粒度的监控机制。

进一步地，所述步骤500中还包括：

步骤501、计算机启动时，由CRTM接管计算机系统的控制权，度量和验证BIOS的完整性，验证成功则将控制权交给BIOS；

步骤502、BIOS再加载各种硬件，对BootLoader进行度量和验证，验证通过则启动BootLoader；

步骤503、BootLoader依次度量和验证虚拟机监视器Xen-hypervisor、特权虚拟域Domain0以及工作在特权管理域中的管理器和创建器的完整性，验证成功则将控制权转交给Domain0，并将度量值扩展至物理TPM的PCR中；

步骤504、管理员在特权管理域中动态创建虚拟机时，vTPM管理器为客户虚拟机创建vTPM实例，Domian-Builder对客户虚拟机进行创建并初始化；同时Domian-Builder对客户虚拟机内核进行完整性度量；

步骤505、Domian-Builder将控制权交给处于激活状态的虚拟机。

另外本发明还提供了一种用于权利要求1所述方法的家用安全监控装置，包括计算机安全智能监控平台、网络安全报警器和网络风险评估模块；

所述计算机安全智能监控平台的信号端与网络风险评估模块交互连接，所述网络风险评估模块的信号端通过无线网络与网络安全报警器相连接，所述网络安全报警器的控制端由计算机安全智能监控平台控制；

所述计算机安全智能监控平台的输出端连接有网络安全应急模块，所述计算机安全智能监控平台的信号端还连接有网络远程安全智能监控模块。

与现有技术相比，本发明的有益效果是：

(1)本发明的安全监控方法提出根据服务类型的不同，对各个虚拟机采取分域检测规则配置，当配置完成之后，采用多线程并行检测，此外，采用有限自动机模型对检测线程的状态进行描述，当虚拟机的状态发生变化时，检测线程的状态随之发生改变，能够有效、全面的监控计算机系统；

(2)本发明的安全监控方法针对目标虚拟机进行全面研究，并对虚拟计算环境提出一套有效的安全监控解决方案，通过采用该方案，管理员可以实时地监控目标虚拟机中进出的网络数据包、打开的文件、运行的进程和打开的网络连接等详细信息，可以全方位地了解目标虚拟机的运行状态，这对提高虚拟计算环境的安全性、可控制性和易管理性具有重要的应用价值；

(3)本发明的安全监控装置，其所有的监控驱动为用户态的监控工具提供统一的监控接口，从而实现了监控机制的通用性，监控驱动以内核模块的形式按需加载，适应了虚拟机的动态性，该方法具有实时性、透明性和通用性的特点。

附图说明

图1为本发明的方法流程图；

图2为本发明的结构框图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1和图2所示，本发明提供了一种基于计算机网络的便捷式家用安全监控装置，包括计算机安全智能监控平台、网络安全报警器和网络风险评估模块；所述计算机安全智能监控平台的信号端与网络风险评估模块交互连接，所述网络风险评估模块的信号端通过无线网络与网络安全报警器相连接，所述网络安全报警器的控制端由计算机安全智能监控平台控制；所述计算机安全智能监控平台的输出端连接有网络安全应急模块，所述计算机安全智能监控平台的信号端还连接有网络远程安全智能监控模块。

本实施例中，计算机安全智能监控平台细化了对计算机各个部分的监控，网络风险安全评估模块，该模块主要是对计算机中的风险安全因素进行评估，方便计算机智能监控的安全报警和安全应急；网络安全报警模块，该模块是对计算机网络中的不安全因素进行警示提醒，有利于计算机智能监控的实时可见；

本实施例中，网络安全应急模块，该模块是对计算机安全智能监控中突发安全问题进行应急处理，避免损害计算机的数据信息或导致计算机无法使用；网络远程安全智能监控模块，该模块是为了在额定条件下，计算机无法在本区域进行实时安全智能监控时，通过计算机的远程安全智能监控也可以对计算机进行安全智能监控。通过这4个模块对计算机安全智能监控建立计算机安全智能监控网，实现对计算机进行全方位，立体化的实时安全智能监控。

在本实施方式中，如图1所示，基于计算机网络的便捷式家用安全监控方法包括如下步骤：

步骤100、建立基于虚拟计算机环境的安全监控框架，在分布式计算环境下，每个物理节点均安装虚拟化管理器，且在每个节点上同时运行多个虚拟机，通过管理员权限动态的创建虚拟机；

步骤200、建立面向虚拟机中运行服务的分域规则配置和并行检测，根据虚拟域中运行服务来分域配置检测规则，并采用多线程进行并行检测；

步骤300、对目标虚拟机中的文件实时监控，通过在虚拟机管理器中实现对目标虚拟机中的文件操作进行实时拦截，管理域按照平台管理员配置的安全策略进行检测；

步骤400、采用不同的监控驱动来屏蔽客户操作系统的差异性，利用不同类型的监控驱动对客户操作系统进行语义重构，保证客户机的实时性；

步骤500、建立基于Xen的可信任虚拟平台信任链，根据虚拟平台的特性采用树状信任链的扩展方式，将信任链拓展成两层，第一层确保虚拟机监视器和特权域在启动过程的可信，度量值保存在TPM的PCR中；第二层确保客户虚拟机及上层应用服务的启动时的完整性，度量值保存在vTPM的vPCR中。

所述步骤100中，主要包括内部监控方法和外部监控方法：

步骤101、采用内部监控方法：

首先，在目标虚拟机内核中加入钩子函数，将钩子函数获取的监控信息传递到管理域中；

其次，设从目标虚拟机的内核态切换到虚拟机管理器层的时间T_k，v，以及从虚拟机管理器返回到管理域内核态的时间T_v，k，以及从管理域内核态到用户态监控工具的时间T_k，u；

最后，根据式C_t，intemal＝T_k，v+T_v，k+T_k，u，判断每次拦截的性能开销。

步骤102、采用外部监控方法：

首先，设语义重构需要的时间为mT_resolution，其中m表示解析的次数，T_resolution表示每次解析的时间，

其次，根据式C_t，intemal＝T_k，v+mT_resolution+T_v，k+T_k，u，判断语义重构的耗时与监控目标所需要解析的次数密切关系。

最后，根据式C_t，intemal＝T_k，v+m(T_k，v+T_resolution+T_v，k)+T_v，k+T_k，u，可以判断当语义重构时，每次解析的操作过程中。

本实施例中，语义重构的过程是在虚拟机管理器层完成的，语义重构获取的信息比在目标虚拟机中获取的信息更多，而且获取的信息更加真实。

所述步骤200中检测和匹配的方法为：

步骤201、将Xen虛拟化平台和Snort作为守护进程来进行基本的控制和管理；

步骤202、主线程通过Xen的域间共享存储系统来获取当前节点的虚拟机列表，并通过Snort中ProcessPacket函数来进行数据包的检査，数据包首先按照虛拟域来迸行划分，然后再进行相应的处理；

步骤203、在Xen虛拟化平台上实现检测线程的状态描述；

步骤204、根据对不同的虚拟机设置的检测规则，启动多个检测线程进行并行检测。

本实施例中，可以获得单个进程信息和进程真正操作文件的信息，通过双向链表结构获取进程列表，除了获取单个进程信息、进程列表和文件操作信息之外，本发明还可以根据文件来获取系统中打开的网络连接。

所述步骤300中文件监控方法：

步骤301、虚拟机管理层的事件截获模块，在被监控系统的底层截获文件操作相关的系统调用，当虚拟机中的应用程序产生系统调用时，执行流进入虚拟机管理器层；

步骤302、传输文件操作相关的参数，并传递到管理域中，它是事件截获模块和文件完整性监视器的桥梁；

步骤303、当对虚拟机中的某个文件进行操作时，根据文件分类方法对不同级别的文件进行不同的响应方式。

所述步骤300还包括：

将步骤301中截获的文件进行分类，当设置某个文件为禁止读时，当虚拟机中进程对其进行操作吋，在虚拟机管理器层直接返回，从而不影响虚拟机中程序的正常运行，同时可以在管理域中看到操作记录。

本实施例中，针对不同的文件，采用不同的访问方式，重要文件不能被虛拟机中的所有用户所修改，即使虚拟机中的管理员也不行；敏感文件的操作记录都在管理域中；普通文件的操作信息将不进行处理；整个节点的平台管理员可以自由地设置重要文件和敏感文件的集合，并在当某个虚拟机启动监控后生效。

本实施例中，当在Xen中拦截系统调用之后，需要将虚拟机的某些内存页面拷贝到管理域中进行分析，具体实现步骤如下：

(1)位于管理域的监控驱动通过kmalloc函数创建缓冲区，并通过超级调用(kmalloc)的方式把缓冲区首地址和长度通知Xen，让Xen辅助其完成数据拷贝过程；

(2)Xen通过自身提供的_hvm_copy_foreign函数将虚拟机的某些页面拷贝到管理域分配的缓冲区；

(3)Xen通知管理域对缓冲区中的页面进行解析；

当监控驱动对虚拟机的某个页面进行解析之后，可以获得某项数据结构的内容，当对该数据结构的某项进行解析时，需要重复地利用上述3个步骤。

所述步骤400中还包括：

步骤401、当创建某一虚拟机或者从其它节点迁移到该节点上时，在该节点的管理域加载相应的监控驱动，并且，使用监控驱动为上层的监控和管理工具提供统一的接口，扩展现有监控工具的功能；

步骤402、采用基于驱动的通用监控架构，通过符号表导出全局函数，在虚拟机中运行不同的服务，虚拟机管理器层的事件截获模块截获各个虚拟机中发生的事件，在管理域中，不同的形状表示对应不同类型操作系统的监控驱动，监控驱动为上层监控工具或者应用程序提供标准的调用接口，当虚拟机中发生某个事件时，监控驱动通过与客户操作系统相关的信总进行语义重构，因此监控工具可以与客户操作系统相对独立；

步骤403、通过内核模块的方式加载到管理域的内核，屏蔽了客户操作系统的差异性，并提供了细粒度的监控机制，管现域中的调度理模块控制所有的监控驱动，当需要对某个虛拟机进行监控时，调度管理模块将其对应的监控驱动加载到管理域的内核态。

所述步骤500中还包括：

步骤501、计算机启动时，由CRTM接管计算机系统的控制权，度量和验证BIOS的完整性，验证成功则将控制权交给BIOS；

步骤502、BIOS再加载各种硬件，对BootLoader进行度量和验证，验证通过则启动BootLoader；

步骤503、BootLoader依次度量和验证虚拟机监视器Xen-hypervisor、特权虚拟域Domain0以及工作在特权管理域中的管理器和创建器的完整性，验证成功则将控制权转交给Domain0，并将度量值扩展至物理TPM的PCR中；

步骤504、管理员在特权管理域中动态创建虚拟机时，vTPM管理器为客户虚拟机创建vTPM实例，Domian-Builder对客户虚拟机进行创建并初始化；同时Domian-Builder对客户虚拟机内核进行完整性度量；

步骤505、Domian-Builder将控制权交给处于激活状态的虚拟机。

对于本领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化囊括在本发明内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。

Claims (8)

1.一种基于计算机网络的便捷式家用安全监控方法，其特征在于：包括如下步骤：

步骤100、建立基于虚拟计算机环境的安全监控框架，在分布式计算环境下，每个物理节点均安装虚拟化管理器，且在每个节点上同时运行多个虚拟机，通过管理员权限动态的创建虚拟机；

步骤200、建立面向虚拟机中运行服务的分域规则配置和并行检测，根据虚拟域中运行服务来分域配置检测规则，并采用多线程进行并行检测；

步骤300、对目标虚拟机中的文件实时监控，通过在虚拟机管理器中实现对目标虚拟机中的文件操作进行实时拦截，管理域按照平台管理员配置的安全策略进行检测；

步骤400、采用不同的监控驱动来屏蔽客户操作系统的差异性，利用不同类型的监控驱动对客户操作系统进行语义重构，保证客户机的实时性；

步骤500、建立基于Xen的可信任虚拟平台信任链，根据虚拟平台的特性采用树状信任链的扩展方式，将信任链拓展成两层，第一层确保虚拟机监视器和特权域在启动过程的可信，度量值保存在TPM的PCR中；第二层确保客户虚拟机及上层应用服务的启动时的完整性，度量值保存在vTPM的vPCR中。

2.根据权利要求1所述的一种基于计算机网络的便捷式家用安全监控方法，其特征在于：所述步骤100中，主要包括内部监控方法和外部监控方法：

步骤101、采用内部监控方法：

首先，在目标虚拟机内核中加入钩子函数，将钩子函数获取的监控信息传递到管理域中；

其次，设从目标虚拟机的内核态切换到虚拟机管理器层的时间T_k，v，以及从虚拟机管理器返回到管理域内核态的时间T_v，k，以及从管理域内核态到用户态监控工具的时间T_k，u；

最后，根据式C_t，intemal＝T_k，v+T_v，k+T_k，u，判断每次拦截的性能开销。

步骤102、采用外部监控方法：

首先，设语义重构需要的时间为mT_resolution，其中m表示解析的次数，T_resolution表示每次解析的时间，

其次，根据式C_t，intemal＝T_k，v+mT_resolution+T_v，k+T_k，u，判断语义重构的耗时与监控目标所需要解析的次数密切关系。

最后，根据式C_t，intemal＝T_k，v+m(T_k，v+T_resolution+T_v，k)+T_v，k+T_k，u，可以判断当语义重构时，每次解析的操作过程中。

3.根据权利要求1所述的一种基于计算机网络的便捷式家用安全监控方法，其特征在于：所述步骤200中检测和匹配的方法为：

步骤201、将Xen虛拟化平台和Snort作为守护进程来进行基本的控制和管理；

步骤202、主线程通过Xen的域间共享存储系统来获取当前节点的虚拟机列表，并通过Snort中ProcessPacket函数来进行数据包的检査，数据包首先按照虛拟域来迸行划分，然后再进行相应的处理；

步骤203、在Xen虛拟化平台上实现检测线程的状态描述；

步骤204、根据对不同的虚拟机设置的检测规则，启动多个检测线程进行并行检测。

4.根据权利要求1所述的一种基于计算机网络的便捷式家用安全监控方法，其特征在于：所述步骤300中文件监控方法：

步骤301、虚拟机管理层的事件截获模块，在被监控系统的底层截获文件操作相关的系统调用，当虚拟机中的应用程序产生系统调用时，执行流进入虚拟机管理器层；

步骤302、传输文件操作相关的参数，并传递到管理域中，它是事件截获模块和文件完整性监视器的桥梁；

步骤303、当对虚拟机中的某个文件进行操作时，根据文件分类方法对不同级别的文件进行不同的响应方式。

5.根据权利要求1所述的一种基于计算机网络的便捷式家用安全监控方法，其特征在于：所述步骤300还包括：

将步骤301中截获的文件进行分类，当设置某个文件为禁止读时，当虚拟机中进程对其进行操作吋，在虚拟机管理器层直接返回，从而不影响虚拟机中程序的正常运行，同时可以在管理域中看到操作记录。

6.根据权利要求1所述的一种基于计算机网络的便捷式家用安全监控方法，其特征在于：所述步骤400中还包括：

步骤401、当创建某一虚拟机或者从其它节点迁移到该节点上时，在该节点的管理域加载相应的监控驱动，并且，使用监控驱动为上层的监控和管理工具提供统一的接口，扩展现有监控工具的功能；

步骤402、采用基于驱动的通用监控架构，通过符号表导出全局函数，在虚拟机中运行不同的服务；

步骤403、通过内核模块的方式加载到管理域的内核，屏蔽了客户操作系统的差异性，并提供了细粒度的监控机制。

7.根据权利要求1所述的一种基于计算机网络的便捷式家用安全监控方法，其特征在于：所述步骤500中还包括：

步骤501、计算机启动时，由CRTM接管计算机系统的控制权，度量和验证BIOS的完整性，验证成功则将控制权交给BIOS；

步骤502、BIOS再加载各种硬件，对BootLoader进行度量和验证，验证通过则启动BootLoader；

步骤503、BootLoader依次度量和验证虚拟机监视器Xen-hypervisor、特权虚拟域Domain0以及工作在特权管理域中的管理器和创建器的完整性，验证成功则将控制权转交给Domain0，并将度量值扩展至物理TPM的PCR中；

步骤504、管理员在特权管理域中动态创建虚拟机时，vTPM管理器为客户虚拟机创建vTPM实例，Domian-Builder对客户虚拟机进行创建并初始化；同时Domian-Builder对客户虚拟机内核进行完整性度量；

步骤505、Domian-Builder将控制权交给处于激活状态的虚拟机。

8.一种用于权利要求1所述方法的家用安全监控装置，其特征在于：包括计算机安全智能监控平台、网络安全报警器和网络风险评估模块；

所述计算机安全智能监控平台的信号端与网络风险评估模块交互连接，所述网络风险评估模块的信号端通过无线网络与网络安全报警器相连接，所述网络安全报警器的控制端由计算机安全智能监控平台控制；

所述计算机安全智能监控平台的输出端连接有网络安全应急模块，所述计算机安全智能监控平台的信号端还连接有网络远程安全智能监控模块。