CN115460106B - 网络靶场中提高资源利用率的虚拟机监控方法与系统 - Google Patents

Abstract

本发明公开了一种网络靶场中提高资源利用率的虚拟机监控方法与系统。本发明在终端虚拟机上部署监控代理客户端，定期向监控代理服务端上报监控信息，包括监控期间是否有用户操作事件、是否存在活跃进程以及是否有网卡流量；监控代理服务端根据接收到的监控信息，判断能否释放，能释放的则保存快照释放资源，并记录地址信息；监控代理客户端还检测不可达的流量数据包，并检测地址是否在黑名单中，若不在则上报；监控代理服务端根据上报信息进行恢复或判定加入黑名单。本发明有效解决了现有被攻击机器休眠后不能及时恢复的问题，并且优化了监控方式，能够更准确地确定终端虚拟机释放时机。

Description

网络靶场中提高资源利用率的虚拟机监控方法与系统

技术领域

本发明涉及一种网络靶场中提高资源利用率的虚拟机监控方法与系统，属于网络安全、软件技术领域。

背景技术

网络靶场是一种基于虚拟化技术，对真实网络环境的仿真，作为支撑网络空间安全技术验证，网络武器装备试验，攻防对抗演练和网络风险评估的平台。在实际使用过程中，启动场景的个数受到的硬件资源限制，并且部分使用频率不高的场景会占用大部分资源，人为判断哪些资源可以被释放较为困难，当资源被释放后，需要使用时得重新创建场景，不能恢复到释放前得状态。

发明专利ZL202010792959.9公开了一种网络靶场实战演练场景的操作机调度系统与方法，为了减少资源浪费，提升网络靶场可支持的操作机数量，通过流量监控模块分析操作机所在计算节点上虚拟交换机的IP数据包，根据IP数据包的协议类型过滤非业务流量，将持续设定时间内无业务流入流出记录的操作机信息发送至操作机管理模块；操作机管理模块再基于操作记录进行零业务操作机判断，对零业务操作机进行冻结；再次连接操作机时，恢复操作机冻结时的状态。

上述专利方案在实际使用时还存在如下问题：1. 虚拟交换机中不存在流量且无用户连接的操作机也会被误判，比如常驻在操作机的Web进程，在设定的时间内无人访问，则该操作机会被休眠，其后当有其它操作机访问Web进程时会失败，或者开启一个常驻本地漏洞扫描程序也会被判定为休眠。2. 虚拟机交换机中存在包括ICMP协议、ARP协议、RARP协议、DHCP协议和DNS协议的非业务流量时，将会出现误判，比如常见的ARP攻击阻塞网络，但是流量监控模块判定为非业务流量同时被攻击操作机器无用户操作被进行了休眠处理，则用户的攻击不可达；比如DHCP协议攻击也会被判断无业务流量。3. 操作机冻结后，恢复机制存在问题，操作机管理模块需要队员接入时才对操作机进行恢复，未接入的操作机将不进行恢复操作，这将导致场景无法正常使用，如：当场景中有5台机器，3台进行了休眠操作，其中有一个操作机被唤醒，进行攻击操作，由于被攻击的机器处于休眠中的状态，则影响攻击操作。

发明内容

发明目的：针对上述现有技术存在的问题，本发明目的在于提供一种网络靶场中提高资源利用率的虚拟机监控方法与系统，改进监控方式，能够更准确确定虚拟机的释放和恢复时机。

技术方案：为实现上述发明目的，本发明采用如下技术方案：

一种网络靶场中提高资源利用率的虚拟机监控方法，包括如下步骤：

在网络靶场场景中的各终端虚拟机上部署监控代理客户端；

各监控代理客户端记录终端虚拟机上用户启动的进程名称并检测相关进程是否活跃，定期向监控代理服务端上报监控信息，所述监控信息包括监控期间是否有用户操作事件、是否存在活跃进程以及是否有网卡流量；

监控代理服务端根据接收到的监控代理客户端上报的监控信息，判断终端虚拟机是否能够释放，对于能够释放的终端虚拟机保存快照，释放资源，并记录已释放终端虚拟机的IP地址和MAC地址；

场景中正常运行的监控代理客户端检测是否存在不可达的流量数据包，如果存在则解析流量数据包中目的IP地址和目的MAC地址，并检测是否在黑名单中，若不在则向监控代理服务端上报不可达的IP地址和MAC地址；

监控代理服务端根据接收到的监控代理客户端上报的IP地址和MAC地址，判断是否是已释放的终端虚拟机的IP地址或MAC地址，若是则恢复对应的终端虚拟机，否则通知监控代理客户端在指定的时间范围内将对应的IP地址和MAC地址加入黑名单中。

作为优选，所述监控代理服务端在接收到监控代理客户端上报的用户操作事件后，标记监控代理客户端所在的终端虚拟机在指定的时间内不允许释放。

作为优选，所述监控代理服务端在接收到监控代理客户端上报的存在活跃进程的消息后，标记监控代理客户端所在的终端虚拟机在指定的时间内不允许释放。

作为优选，所述监控代理服务端，判断终端虚拟机能够被释放的条件是：在连续指定上报次数范围内，上报的监控信息均是不存在用户操作事件、不存在活跃进程以及没有网卡流量。

作为优选，所述监控代理服务端，在判断出终端虚拟机能够被释放后，还判断终端虚拟机对应的物理机上的磁盘资源是否具备释放条件，不具备释放条件的将进行等待，等待期间若检测到有用户操作事件、活跃进程或网卡流量，则解除终端虚拟机能够被释放的标记。

作为优选，对终端虚拟机进行释放时，将虚拟机内存中的数据全部保存在终端虚拟机所在物理节点上的磁盘中。

作为优选，所述监控代理客户端在虚拟机启动时自动启动。

一种网络靶场中提高资源利用率的虚拟机监控系统，包括部署在网络靶场控制节点的监控代理服务端，部署在网络靶场场景中的各终端虚拟机上的监控代理客户端；

所述监控代理客户端，用于记录终端虚拟机上用户启动的进程名称并检测相关进程是否活跃，定期向监控代理服务端上报监控信息，所述监控信息包括监控期间是否有用户操作事件、是否存在活跃进程以及是否有网卡流量；以及，用于检测是否存在不可达的流量数据包，如果存在则解析流量数据包中目的IP地址和目的MAC地址，并检测是否在黑名单中，若不在则向监控代理服务端上报不可达的IP地址和MAC地址；

所述监控代理服务端，用于根据接收到的监控代理客户端上报的监控信息，判断终端虚拟机是否能够释放，对于能够释放的终端虚拟机保存快照，释放资源，并记录已释放终端虚拟机的IP地址和MAC地址；以及，用于根据接收到的监控代理客户端上报的IP地址和MAC地址，判断是否是已释放的终端虚拟机的IP地址或MAC地址，若是则恢复对应的终端虚拟机，否则通知监控代理客户端在指定的时间范围内将对应的IP地址和MAC地址加入黑名单中。

作为优选，所述系统还包括快照存储模块，用于终端虚拟机释放时，将虚拟机内存中的数据全部保存在终端虚拟机所在物理节点上的磁盘中。

一种能够提高资源利用率的网络靶场系统，包括作为网络靶场控制节点的第一服务器，作为网络靶场计算节点的第二服务器，以运行在第二服务器上的终端虚拟机，所述第一服务器、第二服务器和终端虚拟机均包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序；终端虚拟机上的计算机程序被加载至处理器时实现如下步骤：

记录终端虚拟机上用户启动的进程名称并检测相关进程是否活跃，定期向第一服务器上的计算机程序上报监控信息，所述监控信息包括监控期间是否有用户操作事件、是否存在活跃进程以及是否有网卡流量；

检测是否存在不可达的流量数据包，如果存在则解析流量数据包中目的IP地址和目的MAC地址，并检测是否在黑名单中，若不在则向第一服务器上的计算机程序上报不可达的IP地址和MAC地址；

第一服务器上的计算机程序被加载至处理器时实现如下步骤：

根据接收到的终端虚拟机上的计算机程序上报的监控信息，判断终端虚拟机是否能够释放，对于能够释放的终端虚拟机保存快照，释放资源，并记录已释放终端虚拟机的IP地址和MAC地址；以及，用于根据接收到的终端虚拟机上的计算机程序上报的IP地址和MAC地址，判断是否是已释放的终端虚拟机的IP地址或MAC地址，若是则恢复对应的终端虚拟机，否则通知终端虚拟机上的计算机程序在指定的时间范围内将对应的IP地址和MAC地址加入黑名单中。

有益效果：与现有技术相比，本发明具有如下优点：本发明有效解决了现有被攻击机器休眠后不能及时恢复的问题，并且优化了监控方式，解决了现有通过协议过滤非业务流量时有误差的问题，能够更准确地确定终端虚拟机释放时机。本发明释放和恢复虚拟机，对用户使用无感，有效节约了资源，减少运维成本。

附图说明

图1为本发明实施例的场景拓扑结构图。

图2为本发明实施例中释放终端虚拟机的流程图。

图3为本发明实施例中恢复终端虚拟机的流程图。

具体实施方式

下面将结合附图和具体实施例，对本发明的技术方案进行清楚、完整的描述。

如图1所示，本发明实施例公开的一种网络靶场中提高资源利用率的虚拟机监控方法，在网络靶场场景中的各终端虚拟机（操作机、无用户连接的靶机等）上部署监控代理客户端（简称agent客户端）；各监控代理客户端记录终端虚拟机上用户启动的进程名称并检测相关进程是否活跃，定期向监控代理服务端（简称agent服务端）上报监控信息；agent服务端根据接收到的agent客户端上报的监控信息，判断终端虚拟机是否能够释放，对于能够释放的终端虚拟机保存快照，释放资源，并记录已释放终端虚拟机的IP地址和MAC地址。场景中正常运行的agent客户端检测是否存在不可达的流量数据包，如果存在则解析流量数据包中目的IP地址和目的MAC地址，并检测是否在黑名单中，若不在则向agent服务端上报不可达的IP地址和MAC地址；agent服务端根据接收到的agent客户端上报的IP地址和MAC地址，判断是否是已释放的终端虚拟机的IP地址或MAC地址，若是则恢复对应的终端虚拟机，否则通知agent客户端在指定的时间范围内将对应的IP地址和MAC地址加入黑名单中。

基于相同的发明构思，本发明实施例公开的一种网络靶场中提高资源利用率的虚拟机监控系统，包括部署在网络靶场控制节点的监控代理服务端，部署在网络靶场场景中的各终端虚拟机上的监控代理客户端；监控代理客户端，用于记录终端虚拟机上用户启动的进程名称并检测相关进程是否活跃，定期向监控代理服务端上报监控信息，监控信息包括监控期间是否有用户操作事件、是否存在活跃进程以及是否有网卡流量；以及，用于检测是否存在不可达的流量数据包，如果存在则解析流量数据包中目的IP地址和目的MAC地址，并检测是否在黑名单中，若不在则向监控代理服务端上报不可达的IP地址和MAC地址；监控代理服务端，用于根据接收到的监控代理客户端上报的监控信息，判断终端虚拟机是否能够释放，对于能够释放的终端虚拟机保存快照，释放资源，并记录已释放终端虚拟机的IP地址和MAC地址；以及，用于根据接收到的监控代理客户端上报的IP地址和MAC地址，判断是否是已释放的终端虚拟机的IP地址或MAC地址，若是则恢复对应的终端虚拟机，否则通知监控代理客户端在指定的时间范围内将对应的IP地址和MAC地址加入黑名单中。

此外系统还包括快照存储模块，用于终端虚拟机释放时，将虚拟机内存中的数据全部保存在终端虚拟机所在物理节点上的磁盘中，方便下一次进行恢复操作。

下面结合图2和图3说明本发明实施例的系统及方法的详细实施过程。

1. 通过控制节点上的网络靶场管理平台编辑靶场场景，并启动虚拟场景。

2. 启动场景中各终端虚拟机节点过程中，通过cloud-init服务在每个终端节点初始化时添加agent客户端，用来探测虚拟机节点上的用户操作和网卡流量。

3. 各agent客户端会记录用户启动的进程名称并检测相关进程是否活跃，将每隔一段时间（如3分钟）上报一次信息，包含鼠标移动事件、键盘事件、是否存在活跃进程，是否有网卡流量。

4. 控制节点的agent服务端收到agent客户端发送的消息，进行分析判断，如果上报的信息中存在鼠标、键盘事件则为活动机器，并标记在指定时间（如30分钟）内不允许释放。

5. 如上报信息中不存在鼠标、键盘事件，则判断是否存在活跃进程，如果存在则标记指定时间内不允许释放，如用户启动一个长期本地漏洞扫描进程为活跃进程。

6. 连续在指定上报次数（如10次）范围内不存在活跃进程，且该段时间内虚拟机节点网卡上没有流量信息（排除agent客户端上报产生的流量信息），则判断该节点属于非活动机器。

7. agent服务端将虚拟机节点标记为可被释放，agent服务端定位该虚拟机节点对应的物理节点上的磁盘资源是否具备释放条件(将虚拟机中的信息保存在磁盘中，需要检查对应宿主机节点存在空闲的磁盘空间)，不具备资源条件的将进行等待，重复步骤4，期间检测到客户端的用户操作信息和流量信息，将该节点标记解除。

8. 如具备释放条件，对虚拟机节点进行释放，释放可以是一种快照操作，会将虚拟机内存中的数据全部保存到磁盘中，释放后虚拟机将不占用任何cup和内存资源，该释放的资源可被其他场景利用。

9. agent服务端通知快照管理模块，将虚拟机进行快照动作，同时agent服务端记录该虚拟机的网络配置信息，包含IP地址和MAC地址。

10. 场景中被释放的虚拟机的agent客户端将不再上报监控信息，正常使用的终端虚拟机节点中agent客户端将继续上报网络流量信息，agent客户端检测到流量数据包中含有：port unreachable，no response found ，tcp retransmission等报文信息，判定该流量是不可达流量，则解析流量中目的IP地址和目的MAC地址，并检测是否在黑名单中，不在则上报，在则不上报。

11. agent服务端根据上报的不可达流量信息和已释放的操作机IP和MAC记录进行匹配；其中任意一个IP地址或者MAC地址匹配上，则判断该节点需要恢复，则通过快照存储模块将匹配上的虚拟机进行恢复，对该虚拟节点进行恢复操作可以恢复到释放前的状态，保留了节点中内容的延续性，并解除节点标记记录。

12. 如果未匹配上则将这条数据丢弃，并告知agent客户端在一定时间范围内相同IP地址或者MAC地址数据加入黑名单中，有效避免agent客户端在短时间内重复发送相同的数据，同时可以避免用户通过IP扫描等工具产生的重复数据。

重复步骤3到12，终端虚拟机将自行释放，遇到使用时将自行恢复，对用户而言并不知道场景中的节点被释放了。当靶场中场景使用频率不高的时候，将会有大量的终端虚拟机节点被释放，缓解资源压力，从而可以构建更多的场景。

本发明实施例公开的一种能够提高资源利用率的网络靶场系统，包括作为网络靶场控制节点的第一服务器，作为网络靶场计算节点的第二服务器，以运行在第二服务器上的终端虚拟机，所述第一服务器、第二服务器和终端虚拟机均包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序。

终端虚拟机上的计算机程序被加载至处理器时实现如下步骤：记录终端虚拟机上用户启动的进程名称并检测相关进程是否活跃，定期向第一服务器上的计算机程序上报监控信息，所述监控信息包括监控期间是否有用户操作事件、是否存在活跃进程以及是否有网卡流量；检测是否存在不可达的流量数据包，如果存在则解析流量数据包中目的IP地址和目的MAC地址，并检测是否在黑名单中，若不在则向第一服务器上的计算机程序上报不可达的IP地址和MAC地址。

第一服务器上的计算机程序被加载至处理器时实现如下步骤：根据接收到的终端虚拟机上的计算机程序上报的监控信息，判断终端虚拟机是否能够释放，对于能够释放的终端虚拟机保存快照，释放资源，并记录已释放终端虚拟机的IP地址和MAC地址；以及，用于根据接收到的终端虚拟机上的计算机程序上报的IP地址和MAC地址，判断是否是已释放的终端虚拟机的IP地址或MAC地址，若是则恢复对应的终端虚拟机，否则通知终端虚拟机上的计算机程序在指定的时间范围内将对应的IP地址和MAC地址加入黑名单中。

Claims (10)

1.一种网络靶场中提高资源利用率的虚拟机监控方法，其特征在于，包括如下步骤：

在网络靶场场景中的各终端虚拟机上部署监控代理客户端；

各监控代理客户端记录终端虚拟机上用户启动的进程名称并检测相关进程是否活跃，定期向监控代理服务端上报监控信息，所述监控信息包括监控期间是否有用户操作事件、是否存在活跃进程以及是否有网卡流量；

监控代理服务端根据接收到的监控代理客户端上报的监控信息，判断终端虚拟机是否能够释放，对于能够释放的终端虚拟机保存快照，释放资源，并记录已释放终端虚拟机的IP地址和MAC地址；

场景中正常运行的监控代理客户端检测是否存在不可达的流量数据包，如果存在则解析流量数据包中目的IP地址和目的MAC地址，并检测是否在黑名单中，若不在则向监控代理服务端上报不可达的IP地址和MAC地址；

监控代理服务端根据接收到的监控代理客户端上报的IP地址和MAC地址，判断是否是已释放的终端虚拟机的IP地址或MAC地址，若是则恢复对应的终端虚拟机，否则通知监控代理客户端在指定的时间范围内将对应的IP地址和MAC地址加入黑名单中。

2.根据权利要求1所述的网络靶场中提高资源利用率的虚拟机监控方法，其特征在于，所述监控代理服务端在接收到监控代理客户端上报的用户操作事件后，标记监控代理客户端所在的终端虚拟机在指定的时间内不允许释放。

3.根据权利要求1所述的网络靶场中提高资源利用率的虚拟机监控方法，其特征在于，所述监控代理服务端在接收到监控代理客户端上报的存在活跃进程的消息后，标记监控代理客户端所在的终端虚拟机在指定的时间内不允许释放。

4.根据权利要求1所述的网络靶场中提高资源利用率的虚拟机监控方法，其特征在于，所述监控代理服务端，判断终端虚拟机能够被释放的条件是：在连续指定上报次数范围内，上报的监控信息均是不存在用户操作事件、不存在活跃进程以及没有网卡流量。

5.根据权利要求1所述的网络靶场中提高资源利用率的虚拟机监控方法，其特征在于，所述监控代理服务端，在判断出终端虚拟机能够被释放后，还判断终端虚拟机对应的物理机上的磁盘资源是否具备释放条件，不具备释放条件的将进行等待，等待期间若检测到有用户操作事件、活跃进程或网卡流量，则解除终端虚拟机能够被释放的标记；其中虚拟机对应的物理机上的磁盘资源的释放条件是空闲磁盘空间能够存储虚拟机的信息。

6.根据权利要求1所述的网络靶场中提高资源利用率的虚拟机监控方法，其特征在于，对终端虚拟机进行释放时，将虚拟机内存中的数据全部保存在终端虚拟机所在物理节点上的磁盘中。

7.根据权利要求1所述的网络靶场中提高资源利用率的虚拟机监控方法，其特征在于，所述监控代理客户端在虚拟机启动时自动启动。

8.一种网络靶场中提高资源利用率的虚拟机监控系统，其特征在于，包括部署在网络靶场控制节点的监控代理服务端，部署在网络靶场场景中的各终端虚拟机上的监控代理客户端；

所述监控代理客户端，用于记录终端虚拟机上用户启动的进程名称并检测相关进程是否活跃，定期向监控代理服务端上报监控信息，所述监控信息包括监控期间是否有用户操作事件、是否存在活跃进程以及是否有网卡流量；以及，用于检测是否存在不可达的流量数据包，如果存在则解析流量数据包中目的IP地址和目的MAC地址，并检测是否在黑名单中，若不在则向监控代理服务端上报不可达的IP地址和MAC地址；

所述监控代理服务端，用于根据接收到的监控代理客户端上报的监控信息，判断终端虚拟机是否能够释放，对于能够释放的终端虚拟机保存快照，释放资源，并记录已释放终端虚拟机的IP地址和MAC地址；以及，用于根据接收到的监控代理客户端上报的IP地址和MAC地址，判断是否是已释放的终端虚拟机的IP地址或MAC地址，若是则恢复对应的终端虚拟机，否则通知监控代理客户端在指定的时间范围内将对应的IP地址和MAC地址加入黑名单中。

9.根据权利要求8所述的网络靶场中提高资源利用率的虚拟机监控系统，其特征在于，还包括快照存储模块，用于终端虚拟机释放时，将虚拟机内存中的数据全部保存在终端虚拟机所在物理节点上的磁盘中。

10.一种能够提高资源利用率的网络靶场系统，包括作为网络靶场控制节点的第一服务器，作为网络靶场计算节点的第二服务器，以运行在第二服务器上的终端虚拟机，所述第一服务器、第二服务器和终端虚拟机均包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序；其特征在于，

终端虚拟机上的计算机程序被加载至处理器时实现如下步骤：

记录终端虚拟机上用户启动的进程名称并检测相关进程是否活跃，定期向第一服务器上的计算机程序上报监控信息，所述监控信息包括监控期间是否有用户操作事件、是否存在活跃进程以及是否有网卡流量；

检测是否存在不可达的流量数据包，如果存在则解析流量数据包中目的IP地址和目的MAC地址，并检测是否在黑名单中，若不在则向第一服务器上的计算机程序上报不可达的IP地址和MAC地址；

第一服务器上的计算机程序被加载至处理器时实现如下步骤：

根据接收到的终端虚拟机上的计算机程序上报的监控信息，判断终端虚拟机是否能够释放，对于能够释放的终端虚拟机保存快照，释放资源，并记录已释放终端虚拟机的IP地址和MAC地址；以及，用于根据接收到的终端虚拟机上的计算机程序上报的IP地址和MAC地址，判断是否是已释放的终端虚拟机的IP地址或MAC地址，若是则恢复对应的终端虚拟机，否则通知终端虚拟机上的计算机程序在指定的时间范围内将对应的IP地址和MAC地址加入黑名单中。

Images