CN110866245B - 一种维护虚拟机文件安全的检测方法及检测系统 - Google Patents

Abstract

本发明属于计算机安全的技术领域，具体涉及一种维护虚拟机文件安全的检测方法，包括运行虚拟机的文件驱动，对虚拟机的磁盘进行记录，提取虚拟机中的新增文件或修改文件，对新增文件或修改文件进行安全检测。本发明对新增文件和修改文件检测的安全性强，有效地提高了文件轮询检测的效率。此外，本发明还提供了一种维护虚拟机文件安全的检测系统。

Description

一种维护虚拟机文件安全的检测方法及检测系统

技术领域

本发明属于计算机安全的技术领域，具体涉及一种维护虚拟机文件安全的检测方法及检测系统。

背景技术

虚拟机文件安全对于云计算十分重要，攻击者往往首先上传恶意可执行文件，之后该执行文件成为新增文件，从而对虚拟机进行攻击，或者，攻击者对虚拟机中某些文件进行修改，使修改文件影响虚拟机的正常执行。为了检测虚拟机文件的安全，现有技术一般在虚拟机内部对虚拟机的文件进行安全监测，或对文件进行实时监控。

但是，申请人发现：当安全检测程序运行于虚拟机内部时，由于攻击者的执行文件同样运行于虚拟机内部，安全检测程序可能被攻击者探测甚至被攻破；而对文件进行实时监控会向正在运行的虚拟机引入实时负载，降低虚拟机文件的检测效率。

发明内容

本发明的目的之一在于：针对现有技术的不足，提供一种维护虚拟机文件安全的检测方法，使安全检测程序运行于虚拟机外部，并以轮询监控的方法检测虚拟机中的全部文件，虚拟机在轮询监控过程的新增文件和修改文件的数量相对较小,增强了对新增文件和修改文件检测的安全性，有效地提高了文件轮询检测的效率。

为了实现上述目的，本发明采用如下技术方案：

一种维护虚拟机文件安全的检测方法，包括：

步骤一：运行虚拟机的文件驱动，对所述虚拟机的磁盘进行记录；

步骤二：提取所述虚拟机中的新增文件或修改文件，对所述新增文件或所述修改文件进行安全检测。

进一步地，所述步骤一中，对所述虚拟机的磁盘进行记录的过程包括：所述文件驱动进入所述虚拟机的磁盘，并轮询所述虚拟机的全部文件；所述文件驱动读取所述磁盘的新增记录或修改记录，并将所述磁盘的所述新增记录或所述修改记录传递到记录模块。

进一步地，将所述磁盘的所述新增记录或所述修改记录传递到记录模块的过程包括：所述文件驱动将所述新增记录或所述修改记录放入共享内存循环队列的尾部，所述记录模块从所述共享内存循环队列的头部读取所述新增记录或所述修改记录的数据。

进一步地，所述步骤一中，对所述虚拟机的磁盘进行记录的过程还包括：所述记录模块接收所述磁盘的所述新增记录或所述修改记录后，形成所述虚拟机中的新增文件或修改文件，生成新增数据块的位图或修改数据块的位图。

进一步地，在所述新增数据块的位图或所述修改数据块的位图中，每个新增数据块或每个修改数据块均设置有一个标志位。

进一步地，当所述虚拟机的一个文件被新增或被修改时，所述标志位被所述记录模块标记。

进一步地，所述步骤二中，对所述新增文件或所述修改文件进行安全检测的过程包括：构建所述虚拟机的原始文件数据块，对所述原始文件进行备份；判断所述标志位的标记地址是否属于所述原始文件数据块的地址。

进一步地，若所述标志位的标记地址属于所述原始文件数据块的地址，无需进行所述虚拟机的文件的安全检测；若所述标志位的标记地址不属于所述原始文件数据块的地址，将所述新增文件的哈希值或所述修改文件的哈希值，与所述原始文件的哈希值进行比对。

进一步地，若所述新增文件的哈希值或所述修改文件的哈希值与所述原始文件的哈希值不同，存在所述虚拟机的文件被篡改的情况，立即将所述原始文件的备份文件恢复到所述虚拟机的磁盘中。

本发明的目的之二在于：针对现有技术的不足，提供一种维护虚拟机文件安全的检测系统，包括：

虚拟机管理层，用于运行虚拟机的文件驱动；

数据层，用于存储原始文件；

用户层，用于提供检测系统的API接口；

当所述虚拟机管理层的所述文件驱动发现了新增文件或修改文件后，将所述新增文件的哈希值或所述修改文件的哈希值与所述数据层的所述原始文件的哈希值进行比对。

本发明的有益效果在于：本发明的文件驱动运行于虚拟机管理层，并在虚拟机的外部运行，虚拟机管理层具有最高的权限，而且，虚拟机管理层中的若干个虚拟机之间的隔离性强，轮询监控不会引入实时负载，极大地提高了对虚拟机文件检测的安全性。此外，对虚拟机的文件进行扫描时可以根据所得到的位图实现仅针对新增文件和修改文件的安全检测，从而显著地提高了虚拟机文件的检测效率。

附图说明

图1为本发明的流程示意图。

具体实施方式

如在说明书及权利要求当中使用了某些词汇来指称特定组件，本领域技术人员应可理解，制造商可能会用不同名词来称呼同一个组件。本说明书及权利要求并不以名称的差异来作为区分组件的方式，而是以组件在功能上的差异来作为区分的准则。如在通篇说明书及权利要求当中所提及的“包含”为一开放式用语，故应解释成“包含但不限定于”。“大致”是指在可接受的误差范围内，本领域技术人员能够在一定误差范围内解决技术问题，基本达到技术效果。

在本发明的描述中，需要理解的是，术语“上”、“下”、“前”、“后”、“左”、“右”、水平”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。

在发明中，除非另有明确的规定和限定，术语“安装”、“相连”、“连接”、“固定”等术语应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以根据具体情况理解上述术语在本发明中的具体含义。

以下结合附图和具体实施例对本发明作进一步详细说明，但不作为对本发明的限定。

实施例1

如图1所示，一种维护虚拟机文件安全的检测方法，包括：

步骤一：运行虚拟机的文件驱动，对虚拟机的磁盘进行记录；

其中，对虚拟机的磁盘进行记录的过程包括：文件驱动进入虚拟机的磁盘，并轮询虚拟机的全部文件；文件驱动读取磁盘的新增记录或修改记录，并将磁盘的新增记录或修改记录传递到记录模块，记录模块接收磁盘的新增记录或修改记录后，形成虚拟机中的新增文件或修改文件，生成新增数据块的位图或修改数据块的位图。

步骤二：提取虚拟机中的新增文件或修改文件，对新增文件或修改文件进行安全检测。

优选地，将磁盘的新增记录或修改记录传递到记录模块的过程包括：文件驱动将新增记录或修改记录放入共享内存循环队列的尾部，记录模块从共享内存循环队列的头部读取新增记录或修改记录的数据。由于这种循环队列不是串行式的传递，不会影响虚拟机文件系统性能，循环队列能够显著提高虚拟机文件的检测效率。

优选地，在新增数据块的位图或修改数据块的位图中，每个新增数据块或每个修改数据块均设置有一个标志位，标志位用于锁定新增数据块的地址或锁定修改数据块的地址。

在文件驱动读取磁盘的新增记录或修改记录时，新增记录和修改记录均包含地址信息和数据量信息。

优选地，当虚拟机的一个文件被新增或被修改时，标志位被记录模块标记，从而获得标志位的标记地址。

优选地，步骤二中，对新增文件或修改文件进行安全检测的过程包括：构建虚拟机的原始文件数据块，使储存在虚拟机的原始文件构成原始文件数据块，整合原始文件的地址信息和数据量信息，再对原始文件进行备份，使原始文件的备份文件置于数据层的防护网中；由于原始文件数据块整合了若干个地址信息，而这些地址信息都是虚拟机的文件原有的地址信息，可以通过判断标志位的标记地址是否属于原始文件数据块的地址，从而获知标志位所对应的数据块是正常数据块还是外部异常数据块。其中，正常数据块指的是对虚拟机文件的正常修改。

若标志位的标记地址属于原始文件数据块的地址，标志位所对应的数据块是正常数据块，是对虚拟机文件的正常修改，无需进行虚拟机的文件的安全检测。

若标志位的标记地址不属于原始文件数据块的地址，标志位所对应的数据块是外部异常数据块，将新增文件的哈希值或修改文件的哈希值，与原始文件的哈希值进行比对，若新增文件的哈希值或修改文件的哈希值与原始文件的哈希值不同，则存在虚拟机的文件被篡改的情况，立即将原始文件的备份文件恢复到虚拟机的磁盘中，保障虚拟机原始文件的安全。

文件驱动为一种文件驱动程序，虚拟机的文件驱动程序能够获取虚拟机在轮询间隔中对磁盘的修改信息，并通过磁盘的修改信息还原出修改文件，防止修改文件替换虚拟机的原始文件。

实施例2

一种维护虚拟机文件安全的检测系统，包括：

虚拟机管理层，用于运行虚拟机的文件驱动；

数据层，用于存储原始文件；

用户层，用于提供检测系统的API接口；

当虚拟机管理层的文件驱动发现了新增文件或修改文件后，将新增文件的哈希值或修改文件的哈希值与数据层的原始文件的哈希值进行比对，从而高效地检测出虚拟机的文件是否被篡改的情况。

由上述实施例可知，本发明的检测方法和检测系统均具有很高的安全性，大大提高了对新增文件和修改文件的检测效果，使攻击者无法影响虚拟机的正常运行。

根据上述说明书的揭示和教导，本发明所属领域的技术人员还能够对上述实施方式进行变更和修改。因此，本发明并不局限于上述的具体实施方式，凡是本领域技术人员在本发明的基础上所作出的任何显而易见的改进、替换或变型均属于本发明的保护范围。此外，尽管本说明书中使用了一些特定的术语，但这些术语只是为了方便说明，并不对本发明构成任何限制。

Claims (10)

1.一种维护虚拟机文件安全的检测方法，其特征在于，包括：

步骤一：运行虚拟机的文件驱动，对所述虚拟机的磁盘进行记录；

步骤二：提取所述虚拟机中的新增文件或修改文件，对所述新增文件或所述修改文件进行安全检测；

其中，安全检测运行于虚拟机外部，并以轮询监控的方法检测虚拟机中的全部文件；文件驱动运行于虚拟机管理层，并在虚拟机的外部运行，虚拟机管理层具有最高的权限，而且，虚拟机管理层中的若干个虚拟机之间的隔离性强，轮询监控不会引入实时负载。

2.如权利要求1所述的维护虚拟机文件安全的检测方法，其特征在于，所述步骤一中，对所述虚拟机的磁盘进行记录的过程包括：

所述文件驱动进入所述虚拟机的磁盘，并轮询所述虚拟机的全部文件；

所述文件驱动读取所述磁盘的新增记录或修改记录，并将所述磁盘的所述新增记录或所述修改记录传递到记录模块。

3.如权利要求2所述的维护虚拟机文件安全的检测方法，其特征在于，将所述磁盘的所述新增记录或所述修改记录传递到记录模块的过程包括：

所述文件驱动将所述新增记录或所述修改记录放入共享内存循环队列的尾部，所述记录模块从所述共享内存循环队列的头部读取所述新增记录或所述修改记录的数据。

4.如权利要求2所述的维护虚拟机文件安全的检测方法，其特征在于，所述步骤一中，对所述虚拟机的磁盘进行记录的过程还包括：

所述记录模块接收所述磁盘的所述新增记录或所述修改记录后，形成所述虚拟机中的新增文件或修改文件，生成新增数据块的位图或修改数据块的位图。

5.如权利要求4所述的维护虚拟机文件安全的检测方法，其特征在于：

在所述新增数据块的位图或所述修改数据块的位图中，每个新增数据块或每个修改数据块均设置有一个标志位。

6.如权利要求5所述的维护虚拟机文件安全的检测方法，其特征在于：

当所述虚拟机的一个文件被新增或被修改时，所述标志位被所述记录模块标记。

7.如权利要求6所述的维护虚拟机文件安全的检测方法，其特征在于，所述步骤二中，对所述新增文件或所述修改文件进行安全检测的过程包括：

构建所述虚拟机的原始文件数据块，对所述原始文件进行备份；

判断所述标志位的标记地址是否属于所述原始文件数据块的地址。

8.如权利要求7所述的维护虚拟机文件安全的检测方法，其特征在于：

若所述标志位的标记地址属于所述原始文件数据块的地址，无需进行所述虚拟机的文件的安全检测；

若所述标志位的标记地址不属于所述原始文件数据块的地址，将所述新增文件的哈希值或所述修改文件的哈希值，与所述原始文件的哈希值进行比对。

9.如权利要求8所述的维护虚拟机文件安全的检测方法，其特征在于：

若所述新增文件的哈希值或所述修改文件的哈希值与所述原始文件的哈希值不同，存在所述虚拟机的文件被篡改的情况，立即将所述原始文件的备份文件恢复到所述虚拟机的磁盘中。

10.一种维护虚拟机文件安全的检测系统，其特征在于，具有权利要求1-9中任一项所述的维护虚拟机文件安全的检测方法，包括：

虚拟机管理层，用于运行虚拟机的文件驱动；

数据层，用于存储原始文件；

用户层，用于提供检测系统的API接口；

当所述虚拟机管理层的所述文件驱动发现了新增文件或修改文件后，将所述新增文件的哈希值或所述修改文件的哈希值与所述数据层的所述原始文件的哈希值进行比对。