WO2022185626A1 - 監視システム - Google Patents

監視システム Download PDF

Info

Publication number
WO2022185626A1
WO2022185626A1 PCT/JP2021/042361 JP2021042361W WO2022185626A1 WO 2022185626 A1 WO2022185626 A1 WO 2022185626A1 JP 2021042361 W JP2021042361 W JP 2021042361W WO 2022185626 A1 WO2022185626 A1 WO 2022185626A1
Authority
WO
WIPO (PCT)
Prior art keywords
monitoring
unit
state
request
abnormal
Prior art date
Application number
PCT/JP2021/042361
Other languages
English (en)
French (fr)
Inventor
健人 田村
潤 安齋
稔久 中野
吉治 今本
Original Assignee
パナソニックＩｐマネジメント株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by パナソニックＩｐマネジメント株式会社 filed Critical パナソニックＩｐマネジメント株式会社
Priority to JP2023503377A priority Critical patent/JPWO2022185626A1/ja
Publication of WO2022185626A1 publication Critical patent/WO2022185626A1/ja
Priority to US18/236,031 priority patent/US20230394149A1/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45591—Monitoring or debugging support
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Definitions

  • Patent Document 1 techniques for stopping VMs
  • Patent Document 2 techniques for interrupting VM communications
  • the present disclosure provides a monitoring system that can determine the state of the entire virtualization system.
  • the monitoring system it is possible to determine the state of the entire virtualization system.
  • HV 10 is a functional component for realizing VMs, and manages VMs 20 and security VMs 30.
  • the HV 10 is also called a virtualization monitor or a virtualization OS.
  • the HV 10 has a request execution unit 11 , a request transfer unit 12 and a virtual communication unit 13 .
  • the request execution unit 11 acquires a request (for example, a communication request or a hypercall) from the VM 20 and executes the request.
  • the communication request includes information for specifying the communication partner.
  • the hypercall includes information indicating the content of processing to be executed by the HV 10, and the like.
  • the VM monitoring unit 21 monitors VMs 20 in the virtualization system. Specifically, the VM monitoring unit 21 monitors the operation of the application 23 in the VM 20, more specifically, access control violations, system call errors, and the like. The VM monitoring unit 21 notifies the HV 10 of the monitoring result.
  • the VM monitoring unit 21 is an example of a virtual environment monitoring unit that monitors a virtual environment in a virtualization system, and is one of a plurality of monitoring units that monitor the virtualization system and detect anomalies, each having a different authority. be.
  • the security VM 30 is a VM that performs security-related processing for the virtualization system.
  • the security VM 30 is accessible to the VM 20, but is inaccessible from the VM 20, making it less susceptible to attacks than the VM 20. Therefore, security-related functions are implemented in the security VM 30 .
  • the security VM 30 includes a request receiver 31 , a request monitor 32 , a communication receiver 33 , a VM monitoring information receiver 34 , a determiner 35 and a responder 36 .
  • the VM monitoring information receiving unit 34 receives the monitoring result of the VM monitoring unit 21.
  • the VM monitoring information receiving unit 34 notifies the monitoring result of the VM monitoring unit 21 to the determination unit 35 .
  • the monitoring result of the VM monitoring unit 21 was normal at 13:01:03. Also, although not shown, it is assumed that the monitoring result of the request monitoring unit 32 is also normal.
  • the determination unit 35 determines that the state of the virtualization system is normal according to a combination of the monitoring result of the VM monitoring unit 21 being normal and the monitoring result of the request monitoring unit 32 being normal.
  • the determination unit 35 may determine the state of the virtualization system according to a combination of detailed information on anomalies detected by a plurality of monitoring units, as a combination of monitoring results from a plurality of monitoring units.
  • the detailed information of the abnormality may be, for example, the application, VM 20, communication channel, or memory address in which the abnormality occurred, or may be the type of abnormality (for example, access control violation or communication frequency abnormality). Alternatively, it may be numerical information such as the degree of anomaly calculated by machine learning or the like.
  • the handling unit 36 may take action according to the degree of anomaly. For example, the response unit 36 may stop the application 23 when the degree of abnormality is low, and stop the VM 20 when the degree of abnormality is high.
  • the handling unit 36 carries out handling according to the determined state of the virtualization system (step S24). For example, the response unit 36 strengthens the monitoring of the VM monitoring unit 21 as a response to a state in which the VM 20 may be abnormal.
  • the VM monitoring unit 21 monitors the VM 20 to confirm that there is an abnormality (step S25), and notifies the determination unit 35 of the monitoring result indicating the abnormality (step S26).
  • the HV monitoring information transfer unit 14 acquires the monitoring result of the HV monitoring unit 41, which will be described later, and transfers it to the security VM 30a.
  • the determination unit 35a determines whether the state of the virtualization system is changed to the VM 20 according to the combination of the monitoring result of the VM monitoring unit 21 being abnormal, the monitoring result of the request monitoring unit 32 being abnormal, and the monitoring result of the HV monitoring unit 41 being normal. is determined to be abnormal.
  • FIG. 7B is a diagram showing an example of correspondence of the correspondence unit 36a in the second embodiment.
  • the state of the virtualization system changes and the VM 20 becomes abnormal. If it is determined that the VM 20 is present, the corresponding unit 36 restarts the VM 20 .
  • the determination unit 35a may determine the state of the virtualization system according to a combination of detailed information on anomalies detected by a plurality of monitoring units, as a combination of monitoring results from a plurality of monitoring units.
  • the detailed information of the abnormality may be, for example, the application, VM 20, communication channel, or memory address in which the abnormality occurred, or may be the type of abnormality (for example, access control violation or communication frequency abnormality). Alternatively, it may be numerical information such as the degree of anomaly calculated by machine learning or the like.
  • the request monitoring unit 32 monitors the request from the VM 20 to detect an abnormality in the hypercall (step S41), and notifies the determination unit 35a of the monitoring result indicating the abnormality (step S42). Although not shown, it is assumed that the determination unit 35a has obtained monitoring results indicating normality from the VM monitoring unit 21 and the HV monitoring unit 41. FIG.
  • the VM monitoring unit 21 monitors the VM 20 to confirm that it is normal (step S46), and notifies the determination unit 35a of the monitoring result indicating normality (step S47).
  • the handling unit 36a carries out handling according to the determined state of the virtualization system (step S71). For example, the response unit 36a restarts, updates, or stops the HV 10a as a response to the abnormal state of the HV 10a. For example, the response unit 36a restarts the HV 10a, and if the monitoring results of the request monitoring unit 32 and the HV monitoring unit 41 return to normal after the HV 10a has been restarted, end the strengthening of monitoring by each monitoring unit. do. After the HV 10a is restarted, if the monitoring results of the request monitoring unit 32 and the HV monitoring unit 41 remain abnormal, the response unit 36a updates the memory of the HV 10a.
  • the monitoring system is a system that monitors a virtualized system (a system consisting of HV, VM, etc.), and includes a plurality of monitoring units with different authority and a plurality of monitoring units that monitor the virtualized system and detect anomalies. and a determination unit that determines the state of the virtualization system based on the monitoring result of the.
  • the entire virtualization system is monitored by a plurality of monitoring units instead of a single monitoring unit, the state of the entire virtualization system can be determined based on the monitoring results of the plurality of monitoring units. .
  • a plurality of monitoring units with different authority are used, it is possible to improve the detection accuracy of anomalies, and to suppress erroneous detection or omission of detection.
  • the state of the virtualization system can be predicted to some extent by combining the monitoring results of multiple monitoring units. Therefore, the state of the virtualization system can be accurately determined by combining the monitoring results of the plurality of monitoring units.
  • the determining unit determines the state of the virtualization system according to a combination of monitoring results from multiple monitoring units, but the present invention is not limited to this.
  • the determination unit may determine the state of the virtualization system according to the duration of anomalies detected by multiple monitoring units. For example, when the monitoring results of the VM monitoring unit and the request monitoring unit are normal, but the monitoring result of the VM monitoring unit becomes abnormal, and the monitoring result of the VM monitoring unit becomes normal before the specified time elapses, Since there is a possibility that the abnormality monitoring result of the VM monitoring unit is an erroneous detection, the determination unit may determine that the state of the virtualization system is normal. Since the state of the virtualization system can be predicted to some extent based on the duration of anomalies detected by multiple monitoring units, the state of the virtualized system can be accurately determined based on the duration of anomalies detected by multiple monitoring units. be able to.
  • the present disclosure can be realized not only as a monitoring system, but also as a monitoring method including steps (processes) performed by each component constituting the monitoring system.
  • the present disclosure can be applied, for example, to a system that monitors a virtualization system installed in a vehicle.

Abstract

監視システム（１）は、仮想化システムを監視するシステムであって、仮想化システムを監視して異常を検知する、それぞれ権限の異なるＶＭ監視部（２１）及び要求監視部（３２）と、ＶＭ監視部（２１）及び要求監視部（３２）の監視結果に基づいて、仮想化システムの状態を判定する判定部（３５）と、を備える。

Description

監視システム
　本開示は、仮想化システムを監視する監視システムに関する。
　従来、ハイパーバイザ（ＨＶ）などにより仮想化された仮想化システムでは、１つのチップ上で複数の機能のそれぞれを仮想マシン（ＶＭ）によって実現できる。しかしながら、ＶＭ間に物理的な障壁がないため、仮想化システムが攻撃者に攻撃された場合、攻撃の影響が広範囲に及ぶおそれがある。
　これに対して、ＶＭの異常を検知した際に、ＶＭを停止する技術（例えば特許文献１）や、ＶＭの通信を遮断する技術（例えば特許文献２）などが開示されている。
特開２０１９－１８５１３０号公報 特許第６０７９２１８号公報
　しかしながら、上記特許文献１及び２に開示された技術では、ＶＭの異常を検知した際に、そのＶＭの異常にのみ着目しており、仮想化システム全体の状態を判定していない。この場合、仮想化システム全体の機能、ひいては、仮想化システムを搭載する機器（例えば車両など）の機能に支障をきたす可能性がある。
　そこで、本開示は、仮想化システム全体の状態を判定できる監視システムを提供する。
　本開示の一態様に係る監視システムは、仮想化システムを監視する監視システムであって前記仮想化システムを監視して異常を検知する、それぞれ権限の異なる複数の監視部と、前記複数の監視部の監視結果に基づいて、前記仮想化システムの状態を判定する判定部と、を備える。
　本開示の一態様に係る監視システムによれば、仮想化システム全体の状態を判定できる。
図１は、実施の形態１における監視システムの一例を示す構成図である。 図２Ａは、実施の形態１における複数の監視部の監視結果の一例を示す図である。 図２Ｂは、実施の形態１における対応部の対応の一例を示す図である。 図３は、実施の形態１における、ＶＭ監視部がＶＭの異常を検知したときの監視システムの動作の一例を示すシーケンス図である。 図４は、実施の形態１における、要求監視部がＶＭ間通信の異常を検知したときの監視システムの動作の一例を示すシーケンス図である。 図５は、実施の形態１における、要求監視部がＶＭ間通信の異常を検知したときの監視システムの動作の他の一例を示すシーケンス図である。 図６は、実施の形態２における監視システムの一例を示す構成図である。 図７Ａは、実施の形態２における複数の監視部の監視結果の一例を示す図である。 図７Ｂは、実施の形態２における仮想化システムの状態に応じた対応の一例を示す図である。 図８は、実施の形態２における、要求監視部がハイパーコールの異常を検知したときの監視システムの動作の一例を示すシーケンス図である。 図９は、実施の形態２における、要求監視部がハイパーコールの異常を検知したときの監視システムの動作の他の一例を示すシーケンス図である。 図１０は、その他の実施の形態における判定部の判定及び対応部の対応の一例を示す図である。
　（実施の形態１）
　以下、実施の形態１における監視システムについて図面を参照しながら説明する。
　図１は、実施の形態１における監視システム１の一例を示す構成図である。
　監視システム１は、仮想化システムを監視するシステムであり、ＨＶ１０、ＶＭ２０及びセキュリティＶＭ３０を備える。仮想化システムとは、仮想化されたシステムであり、仮想化基盤によって管理される複数の仮想環境を有するシステムである。ここでは、仮想化基盤としてＨＶ１０を示し、複数の仮想環境としてＶＭ２０及びセキュリティＶＭ３０を示している。なお、仮想化システムは、例えば複数のＶＭ２０を備えるが、ここでは、複数のＶＭ２０のうちの１つのＶＭ２０に着目して説明する。例えば、仮想化システムが車両に搭載される場合に、ＶＭ２０をＥＣＵ（Ｅｌｅｃｔｒｏｎｉｃ　Ｃｏｎｔｒｏｌ　Ｕｎｉｔ）として動作させることができる。
　監視システム１は、プロセッサ及びメモリなどを含む。メモリは、ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）及びＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）などであり、プロセッサにより実行されるプログラムを記憶することができる。ＨＶ１０、ＶＭ２０及びセキュリティＶＭ３０は、メモリに格納されたプログラムを実行するプロセッサなどによって実現される。
　ＨＶ１０は、ＶＭを実現するための機能構成要素であり、ＶＭ２０及びセキュリティＶＭ３０を管理する。ＨＶ１０は、仮想化モニタ又は仮想化ＯＳとも呼ばれる。ＨＶ１０は、要求実行部１１、要求転送部１２及び仮想通信部１３を備える。
　要求実行部１１は、ＶＭ２０からの要求（例えば、通信の要求又はハイパーコールなど）を取得して、当該要求を実行する。通信の要求には、通信相手を特定するための情報などが含まれる。ハイパーコールには、ＨＶ１０に実行させる処理の内容を示す情報などが含まれる。
　要求転送部１２は、取得されたＶＭ２０からの要求をセキュリティＶＭ３０に転送する。
　仮想通信部１３は、ＶＭ２０及びセキュリティＶＭ３０などと通信を行う。仮想通信部１３は、例えば、後述するＶＭ監視部２１の監視結果をセキュリティＶＭ３０に転送する。
　ＶＭ２０は、ＨＶ１０により管理されるＶＭである。ＶＭ２０によってコンピュータの動作を再現することができ、ＨＶ１０によって複数のＶＭ２０が管理されることで、１つのコンピュータ上で複数の独立した機能を実現できる。例えば、１つのコンピュータで複数のＥＣＵを動作させることができる。ＶＭ２０は、ＶＭ監視部２１、要求生成部２２及びアプリケーション２３を備える。
　ＶＭ監視部２１は、仮想化システムにおけるＶＭ２０を監視する。具体的には、ＶＭ監視部２１は、ＶＭ２０におけるアプリケーション２３の動作、より具体的には、アクセス制御違反又はシステムコール異常などを監視する。ＶＭ監視部２１は、監視結果をＨＶ１０へ通知する。ＶＭ監視部２１は、仮想化システムにおける仮想環境を監視する仮想環境監視部の一例であり、仮想化システムを監視して異常を検知する、それぞれ権限の異なる複数の監視部のうちの１つである。
　要求生成部２２は、アプリケーション２３の動作に応じて、ＨＶ１０への要求を生成する。例えば、アプリケーション２３が他のＶＭ２０又は外部の装置との通信を行う場合には、要求生成部２２は、当該他のＶＭ２０との通信又は外部の装置との通信の要求を生成する。例えば、アプリケーション２３がＨＶ１０に所定の処理を実行させる場合には、要求生成部２２は、当該所定の処理の内容を含むハイパーコールを生成する。要求生成部２２は、生成した要求をＨＶ１０へ通知する。
　アプリケーション２３は、ＶＭ２０によって実現されるアプリケーションプログラムを実行する。例えば、ＶＭ２０がＥＣＵとして動作する場合、アプリケーション２３は、ＥＣＵに応じたアプリケーションプログラムを実行する。なお、１つのＶＭ２０が複数のアプリケーション２３を備えていてもよい。つまり、１つのＶＭ２０において複数のアプリケーションプログラムが実行されてもよい。
　セキュリティＶＭ３０は、仮想化システムのセキュリティ関連の処理を行うＶＭである。例えば、セキュリティＶＭ３０は、ＶＭ２０へアクセス可能であるが、ＶＭ２０からはアクセス不可となっており、ＶＭ２０よりも攻撃を受けにくくなっている。このため、セキュリティＶＭ３０に、セキュリティに関する機能が実装される。セキュリティＶＭ３０は、要求受信部３１、要求監視部３２、通信受信部３３、ＶＭ監視情報受信部３４、判定部３５及び対応部３６を備える。
　要求受信部３１は、ＨＶ１０から転送された、ＶＭ２０からＨＶ１０への要求を受信する。
　要求監視部３２は、仮想化システムにおけるＶＭ２０からＨＶ１０への要求を監視する。具体的には、要求監視部３２は、ＨＶ１０への要求の内容又はＨＶ１０への要求の頻度（すなわち要求受信部３１がＨＶ１０への要求を受信する頻度）を監視する。要求監視部３２は、監視結果を判定部３５へ通知する。要求監視部３２は、仮想化システムにおける仮想環境から仮想化基盤への要求を監視する要求監視部の一例であり、仮想化システムを監視して異常を検知する、それぞれ権限の異なる複数の監視部のうちの１つである。上述したように、セキュリティＶＭ３０は、ＶＭ２０へアクセス可能であるが、ＶＭ２０からはアクセス不可となっており、セキュリティＶＭ３０とＶＭ２０とは権限が異なっている。このため、セキュリティＶＭ３０が備える要求監視部３２とＶＭ２０が備えるＶＭ監視部２１とは、それぞれ権限が異なっている。
　通信受信部３３は、ＨＶ１０から転送された情報を受信する。通信受信部３３は、ＨＶ１０から転送された情報のうち、ＶＭ監視部２１の監視結果をＶＭ監視情報受信部３４へ通知する。
　ＶＭ監視情報受信部３４は、ＶＭ監視部２１の監視結果を受信する。ＶＭ監視情報受信部３４は、ＶＭ監視部２１の監視結果を判定部３５へ通知する。
　判定部３５は、複数の監視部の監視結果に基づいて、仮想化システムの状態を判定する。実施の形態１では、判定部３５は、複数の監視部の監視結果として、ＶＭ監視部２１の監視結果及び要求監視部３２の監視結果に基づいて、仮想化システムの状態を判定する。例えば、判定部３５は、複数の監視部の監視結果の組み合わせに応じて、仮想化システムの状態を判定する。判定部３５は、判定した仮想化システムの状態を出力する。例えば、判定部３５は、判定した仮想化システムの状態を対応部３６へ通知する。なお、判定部３５は、判定した仮想化システムの状態を仮想化システムが搭載された機器を使用するユーザが有するコンピュータ又は携帯端末などに出力してもよいし、サーバなどに出力してもよい。
　対応部３６は、判定された仮想化システムの状態に応じた対応を実施する。対応の詳細については後述する。
　次に、複数の監視部の監視結果の一例及び判定部３５の動作について図２Ａを用いて説明する。
　図２Ａは、実施の形態１における複数の監視部の監視結果の一例を示す図である。実施の形態１では、複数の監視部としてＶＭ監視部２１及び要求監視部３２の監視結果を示している。
　図２Ａに示されるように、１３：０１：０３の時点では、ＶＭ監視部２１の監視結果が正常であったとする。また、図示していないが要求監視部３２の監視結果についても正常であったとする。例えば、判定部３５は、ＶＭ監視部２１の監視結果が正常、要求監視部３２の監視結果が正常という組み合わせに応じて、仮想化システムの状態が正常な状態と判定する。
　次に、１３：０１：１０の時点で、要求監視部３２の監視結果が異常になったとする。例えば、判定部３５は、ＶＭ監視部２１の監視結果が正常、要求監視部３２の監視結果が異常という組み合わせに応じて、仮想化システムの状態が、ＶＭ２０からの要求が異常となっており、ＶＭ２０が異常の可能性がある状態と判定する。
　次に、１３：０１：１３の時点で、ＶＭ監視部２１の監視結果が異常になったとする。例えば、判定部３５は、ＶＭ監視部２１の監視結果が異常、要求監視部３２の監視結果が異常という組み合わせに応じて、仮想化システムの状態が、ＶＭ２０が異常となっている状態と判定する。
　次に、１３：０１：１５の時点でも、要求監視部３２の監視結果が異常のままだとする。例えば、判定部３５は、ＶＭ監視部２１の監視結果が異常、要求監視部３２の監視結果が異常という組み合わせに応じて、仮想化システムの状態が、ＶＭ２０が異常となっている状態と判定する。
　次に、対応部３６の動作について図２Ｂを用いて説明する。
　図２Ｂは、実施の形態１における対応部３６の対応の一例を示す図である。
　例えば、ＶＭ監視部２１の監視結果が正常、要求監視部３２の監視結果が正常という組み合わせに応じて、仮想化システムの状態が正常な状態と判定された場合、対応部３６は、特に対応を実施しない。
　例えば、ＶＭ監視部２１の監視結果が異常、要求監視部３２の監視結果が正常という組み合わせに応じて、仮想化システムの状態が、ＶＭ２０が異常となっており、ＶＭ２０からの要求が異常の可能性がある状態と判定された場合、対応部３６は、ＶＭ２０を停止したり、要求監視部３２の監視を強化したりする（具体的には、要求監視部３２の監視の周期を短くしたり、要求監視部３２が異常と検知する際の閾値を調整したりする）。
　例えば、ＶＭ監視部２１の監視結果が正常、要求監視部３２の監視結果が異常という組み合わせに応じて、仮想化システムの状態が、ＶＭ２０からの要求（例えばＶＭ間通信の要求）が異常となっており、ＶＭ２０が異常の可能性がある状態と判定された場合、対応部３６は、ＶＭ間通信を遮断したり、ＶＭ監視部２１の監視を強化したりする（具体的には、ＶＭ監視部２１の監視の周期を短くしたり、ＶＭ監視部２１が異常と検知する際の閾値を調整したりする）。
　例えば、ＶＭ監視部２１の監視結果が異常、要求監視部３２の監視結果が異常という組み合わせに応じて、仮想化システムの状態が、ＶＭ２０が異常となっている状態と判定された場合、対応部３６は、ＶＭ２０を再起動する。
　なお、判定部３５は、複数の監視部の監視結果の組み合わせとして、複数の監視部が検知した異常の詳細な情報の組み合わせに応じて、仮想化システムの状態を判定してもよい。異常の詳細な情報とは、例えば、異常が発生したアプリケーション、ＶＭ２０、通信チャネル又はメモリアドレスなどであってもよいし、異常の種別（例えばアクセス制御違反又は通信頻度異常など）であってもよいし、例えば機械学習等により算出された異常度のような数値情報であってもよい。例えば、ＶＭ監視部２１の監視結果が正常、要求監視部３２の監視結果がＶＭ間通信の異常という組み合わせと、ＶＭ監視部２１の監視結果が正常、要求監視部３２の監視結果がハイパーコールの異常という組み合わせとで仮想化システムの状態の判定結果が異なっていてもよい。
　次に、監視システム１の動作について、具体例を挙げて説明する。
　まず、ＶＭ監視部２１がＶＭ２０の異常を検知したときの監視システム１の動作について、図３を用いて説明する。
　図３は、実施の形態１における、ＶＭ監視部２１がＶＭ２０の異常を検知したときの監視システム１の動作の一例を示すシーケンス図である。
　ＶＭ監視部２１は、ＶＭ２０を監視してＶＭ２０の異常を検知し（ステップＳ１１）、異常を示す監視結果を判定部３５へ通知する（ステップＳ１２）。なお、図示していないが、判定部３５は、要求監視部３２から正常を示す監視結果を取得しているとする。
　判定部３５は、仮想化システムの状態を判定する（ステップＳ１３）。例えば、ＶＭ監視部２１の監視結果が異常、要求監視部３２の監視結果が正常という組み合わせに応じて、仮想化システムの状態が、ＶＭ２０が異常となっており、ＶＭ２０からの要求が異常の可能性がある状態と判定する。
　対応部３６は、判定された仮想化システムの状態に応じた対応を実施する（ステップＳ１４）。例えば、対応部３６は、ＶＭ２０からの要求が異常の可能性がある状態に応じた対応として、要求監視部３２の監視の強化を実施する。このとき、異常が検知されたＶＭ２０を識別するＩＤなどを要求監視部３２へ通知する。要求監視部３２に対して、異常が検知されたＶＭ２０からの要求の監視を強化させるためである。
　要求監視部３２は、ＶＭ２０からの要求を監視して正常であることを確認し（ステップＳ１５）、正常を示す監視結果を判定部３５へ通知する（ステップＳ１６）。
　判定部３５は、仮想化システムの状態を判定する（ステップＳ１７）。例えば、ＶＭ監視部２１の監視結果が異常、監視強化後の要求監視部３２の監視結果が正常という組み合わせに応じて、仮想化システムの状態が、ＶＭ２０が異常となっており、ＶＭ２０からの要求が正常となっている状態と判定する。なお、判定部３５は、ＶＭ監視部２１と要求監視部３２の監視結果をもとに、機械学習等により仮想化システムの状態を異常度といった数値情報として判定してもよい。
　対応部３６は、判定された仮想化システムの状態に応じた対応を実施する（ステップＳ１８）。例えば、対応部３６は、ＶＭ２０が異常となっている状態に応じた対応として、ＶＭ２０における異常なアプリケーション２３を特定できるか否かを判定し、異常なアプリケーション２３を特定できる場合には異常なアプリケーション２３を停止する。対応部３６は、異常なアプリケーション２３を特定できない場合にはＶＭ２０を再起動する。異常なアプリケーション２３が停止した後、又は、ＶＭ２０が再起動した後、ＶＭ監視部２１の監視結果が正常に戻った場合には、対応部３６は、正常に戻ったＶＭ２０からの要求の監視の強化を終了する。一方で、ＶＭ監視部２１の監視結果が異常のまま変わらない場合には、対応部３６は、ＶＭ２０を停止する。なお、仮想化システムの状態が異常度といった数値情報により判定された場合、対応部３６は異常度に応じた対応を実施してもよい。例えば、対応部３６は、異常度が低い場合はアプリケーション２３を停止し、異常度が高い場合はＶＭ２０を停止してもよい。
　次に、要求監視部３２がＶＭ間通信の異常を検知したときの監視システムの動作について、図４及び図５を用いて説明する。
　図４は、実施の形態１における、要求監視部３２がＶＭ間通信の異常を検知したときの監視システム１の動作の一例を示すシーケンス図である。
　要求監視部３２は、ＶＭ２０からの要求を監視してＶＭ間通信の異常（例えば、監視しているＶＭ２０の通信の宛先の異常又は監視しているＶＭ２０からの通信の要求の頻度の異常など）を検知し（ステップＳ２１）、異常を示す監視結果を判定部３５へ通知する（ステップＳ２２）。なお、図示していないが、判定部３５は、ＶＭ監視部２１から正常を示す監視結果を取得しているとする。
　判定部３５は、仮想化システムの状態を判定する（ステップＳ２３）。例えば、ＶＭ監視部２１の監視結果が正常、要求監視部３２の監視結果がＶＭ間通信の異常という組み合わせに応じて、仮想化システムの状態が、ＶＭ間通信が異常となっており、ＶＭ２０が異常の可能性がある状態と判定する。
　対応部３６は、判定された仮想化システムの状態に応じた対応を実施する（ステップＳ２４）。例えば、対応部３６は、ＶＭ２０が異常の可能性がある状態に応じた対応として、ＶＭ監視部２１の監視の強化を実施する。
　ＶＭ監視部２１は、ＶＭ２０を監視して異常であることを確認し（ステップＳ２５）、異常を示す監視結果を判定部３５へ通知する（ステップＳ２６）。
　判定部３５は、仮想化システムの状態を判定する（ステップＳ２７）。例えば、監視強化後のＶＭ監視部２１の監視結果が異常、要求監視部３２の監視結果がＶＭ間通信の異常という組み合わせに応じて、仮想化システムの状態が、ＶＭ２０が異常となっている状態と判定する。
　対応部３６は、判定された仮想化システムの状態に応じた対応を実施する（ステップＳ２８）。ステップＳ２８での処理は、ステップＳ１８と同じであるため説明は省略する。
　図５は、実施の形態１における、要求監視部３２がＶＭ間通信の異常を検知したときの監視システム１の動作の他の一例を示すシーケンス図である。図５におけるステップＳ３１からステップＳ３４までの処理は、図４におけるステップＳ２１からステップＳ２４までの処理と同じであるため説明は省略する。
　ＶＭ監視部２１は、ＶＭ２０を監視して正常であることを確認し（ステップＳ３５）、正常を示す監視結果を判定部３５へ通知する（ステップＳ３６）。
　判定部３５は、仮想化システムの状態を判定する（ステップＳ３７）。例えば、監視強化後のＶＭ監視部２１の監視結果が正常、要求監視部３２の監視結果がＶＭ間通信の異常という組み合わせに応じて、仮想化システムの状態が、ＶＭ間通信が異常となっている状態と判定する。
　対応部３６は、判定された仮想化システムの状態に応じた対応を実施する（ステップＳ３８）。例えば、対応部３６は、ＶＭ間通信が異常となっている状態に応じた対応として、異常が検知された通信チャネルを遮断する。なお、ＶＭ監視部２１の監視結果が正常であるため、ＶＭ間通信の異常が誤検知の可能性がある。そこで、対応部３６は、過去にも今回と同じ異常が発生している場合に、異常が検知された通信チャネルを遮断してもよい。言い換えると、対応部３６は、過去に今回と同じ異常が発生していない場合には、異常が検知された通信チャネルを遮断しなくてもよく、今後同じ異常が発生したときに、異常が検知された通信チャネルを遮断してもよい。或いは、対応部３６は、一定時間以上ＶＭ間通信の異常が継続している場合に、異常が検知された通信チャネルを遮断してもよい。
　（実施の形態２）
　以下、実施の形態２における監視システムについて図面を参照しながら説明する。
　図６は、実施の形態２における監視システム１ａの一例を示す構成図である。
　監視システム１ａは、ＨＶ１０の代わりにＨＶ１０ａを備え、セキュリティＶＭ３０の代わりにセキュリティＶＭ３０ａを備え、さらに、セキュアＯＳ４０を備える点が、実施の形態１における監視システム１と異なる。その他の点は、実施の形態１におけるものと同じであるため、詳細な説明は省略又は簡略化する。
　監視システム１ａは、仮想化システムを監視するシステムであり、ＨＶ１０ａ、ＶＭ２０、セキュリティＶＭ３０ａ及びセキュアＯＳ４０を備える。仮想化システムとは、仮想化されたシステムであり、仮想化基盤によって管理される複数の仮想環境を有するシステムである。ここでは、仮想化基盤としてＨＶ１０ａを示し、複数の仮想環境としてＶＭ２０及びセキュリティＶＭ３０ａを示している。
　監視システム１ａは、プロセッサ及びメモリなどを含む。メモリは、ＲＯＭ及びＲＡＭなどであり、プロセッサにより実行されるプログラムを記憶することができる。ＨＶ１０ａ、ＶＭ２０、セキュリティＶＭ３０ａ及びセキュアＯＳ４０は、メモリに格納されたプログラムを実行するプロセッサ等によって実現される。
　ＨＶ１０ａは、ＶＭを実現するための機能構成要素であり、ＶＭ２０及びセキュリティＶＭ３０ａを管理する。ＨＶ１０ａは、仮想化モニタ又は仮想化ＯＳとも呼ばれる。ＨＶ１０ａは、要求実行部１１、要求転送部１２、仮想通信部１３及びＨＶ監視情報転送部１４を備える。要求実行部１１、要求転送部１２及び仮想通信部１３は、実施の形態１におけるものと同じであるため説明は省略する。
　ＨＶ監視情報転送部１４は、後述するＨＶ監視部４１の監視結果を取得して、セキュリティＶＭ３０ａに転送する。
　ＶＭ２０は、実施の形態１におけるものと同じであるため説明は省略する。
　セキュリティＶＭ３０ａは、仮想化システムのセキュリティ関連の処理を行うＶＭである。例えば、セキュリティＶＭ３０ａは、ＶＭ２０へアクセス可能であるが、ＶＭ２０からはアクセス不可となっており、ＶＭ２０よりも攻撃を受けにくくなっている。このため、セキュリティＶＭ３０ａに、セキュリティに関する機能が実装される。セキュリティＶＭ３０ａは、要求受信部３１、要求監視部３２、通信受信部３３、ＶＭ監視情報受信部３４、判定部３５ａ、対応部３６ａ及びＨＶ監視情報受信部３７を備える。要求受信部３１、要求監視部３２、通信受信部３３及びＶＭ監視情報受信部３４は、実施の形態１におけるものと同じであるため説明は省略する。
　ＨＶ監視情報受信部３７は、ＨＶ監視部４１の監視結果を受信する。ＨＶ監視情報受信部３７は、ＨＶ監視部４１の監視結果を判定部３５ａへ通知する。
　判定部３５ａは、複数の監視部の監視結果に基づいて、仮想化システムの状態を判定する。実施の形態２では、判定部３５ａは、複数の監視部の監視結果として、ＶＭ監視部２１の監視結果、要求監視部３２及びＨＶ監視部４１の監視結果に基づいて、仮想化システムの状態を判定する。例えば、判定部３５ａは、複数の監視部の監視結果の組み合わせに応じて、仮想化システムの状態を判定する。判定部３５ａは、判定した仮想化システムの状態を出力する。例えば、判定部３５ａは、判定した仮想化システムの状態を対応部３６ａへ通知する。なお、判定部３５ａは、判定した仮想化システムの状態を仮想化システムが搭載された機器を使用するユーザが有するコンピュータ又は携帯端末などに出力してもよいし、サーバなどに出力してもよい。
　対応部３６ａは、判定された仮想化システムの状態に応じた対応を実施する。対応の詳細については後述する。
　セキュアＯＳ４０は、ＨＶ１０ａのセキュリティ関連の処理を行うＯＳである。例えば、セキュアＯＳ４０は、仮想化システムへアクセス可能であるが、仮想化システムからはアクセス不可となっており、仮想化システムよりも攻撃を受けにくくなっている。このため、セキュアＯＳ４０に、仮想化システムを実現するＨＶ１０ａのセキュリティに関する機能が実装される。セキュアＯＳ４０は、ＨＶ監視部４１及びＨＶ監視情報送信部４２を備える。
　ＨＶ監視部４１は、仮想化システムにおけるＨＶ１０ａを監視する。具体的には、ＨＶ監視部４１は、ＨＶ１０ａのメモリが改ざんされていないかなどを監視する。ＨＶ監視部４１は、監視結果をＨＶ監視情報送信部４２へ通知する。ＨＶ監視部４１は、仮想化システムにおける仮想化基盤を監視する仮想化基盤監視部の一例であり、仮想化システムを監視して異常を検知する、それぞれ権限の異なる複数の監視部のうちの１つである。上述したように、セキュアＯＳ４０は、仮想化システムへアクセス可能であるが、仮想化システムからはアクセス不可となっており、セキュアＯＳ４０と仮想化システムとは権限が異なっている。このため、セキュアＯＳ４０が備えるＨＶ監視部４１と仮想化システムが備えるＶＭ監視部２１及び要求監視部３２とは、それぞれ権限が異なっている。
　ＨＶ監視情報送信部４２は、ＨＶ監視部４１の監視結果をＨＶ１０ａへ送信する。
　次に、複数の監視部の監視結果の一例及び判定部３５ａの動作について図７Ａを用いて説明する。
　図７Ａは、実施の形態２における複数の監視部の監視結果の一例を示す図である。実施の形態２では、複数の監視部としてＶＭ監視部２１、要求監視部３２及びＨＶ監視部４１の監視結果を示している。
　図７Ａに示されるように、１３：０１：０３の時点では、ＶＭ監視部２１の監視結果が正常であったとする。また、図示していないが要求監視部３２及びＨＶ監視部４１の監視結果についても正常であったとする。例えば、判定部３５ａは、ＶＭ監視部２１の監視結果が正常、要求監視部３２の監視結果が正常、ＨＶ監視部４１の監視結果が正常という組み合わせに応じて、仮想化システムの状態が正常な状態と判定する。
　次に、１３：０１：１０の時点で、要求監視部３２の監視結果が異常になったとする。例えば、判定部３５ａは、ＶＭ監視部２１の監視結果が正常、要求監視部３２の監視結果が異常、ＨＶ監視部４１の監視結果が正常という組み合わせに応じて、仮想化システムの状態が、ＶＭ２０からの要求が異常となっており、ＶＭ２０が異常の可能性があり、ＨＶ１０ａが異常の可能性がある状態と判定する。
　次に、１３：０１：１３の時点で、ＶＭ監視部２１の監視結果が異常になったとする。例えば、判定部３５ａは、ＶＭ監視部２１の監視結果が異常、要求監視部３２の監視結果が異常、ＨＶ監視部４１の監視結果が正常という組み合わせに応じて、仮想化システムの状態が、ＶＭ２０が異常となっている状態と判定する。
　次に、１３：０１：１５の時点でも、要求監視部３２の監視結果が異常のままだとする。例えば、判定部３５ａは、ＶＭ監視部２１の監視結果が異常、要求監視部３２の監視結果が異常、ＨＶ監視部４１の監視結果が正常という組み合わせに応じて、仮想化システムの状態が、ＶＭ２０が異常となっている状態と判定する。
　次に、１３：０１：２０の時点でも、ＨＶ監視部４１の監視結果が正常のままだとする。例えば、判定部３５ａは、ＶＭ監視部２１の監視結果が異常、要求監視部３２の監視結果が異常、ＨＶ監視部４１の監視結果が正常という組み合わせに応じて、仮想化システムの状態が、ＶＭ２０が異常となっている状態と判定する。
　次に、対応部３６ａの動作について図７Ｂを用いて説明する。
　図７Ｂは、実施の形態２における対応部３６ａの対応の一例を示す図である。
　例えば、ＶＭ監視部２１の監視結果が正常、要求監視部３２の監視結果が正常、ＨＶ監視部４１の監視結果が正常という組み合わせに応じて、仮想化システムの状態が正常な状態と判定された場合、対応部３６ａは、特に対応を実施しない。
　例えば、ＶＭ監視部２１の監視結果が異常、要求監視部３２の監視結果が正常、ＨＶ監視部４１の監視結果が正常という組み合わせに応じて、仮想化システムの状態が、ＶＭ２０が異常となっており、ＶＭ２０からの要求が異常の可能性がある状態と判定された場合、対応部３６ａは、ＶＭ２０を停止したり、要求監視部３２の監視を強化したりする。また、仮想化システムの状態が、ＨＶ１０ａが異常の可能性がある状態と判定された場合には、対応部３６ａは、ＨＶ監視部４１の監視を強化してもよい（具体的には、ＨＶ監視部４１の監視の周期を短くしたり、ＨＶ監視部４１が異常と検知する際の閾値を調整したりしてもよい）。
　例えば、ＶＭ監視部２１の監視結果が正常、要求監視部３２の監視結果が異常、ＨＶ監視部４１の監視結果が正常という組み合わせに応じて、仮想化システムの状態が、ＶＭ２０からの要求（例えばＶＭ間通信の要求）が異常となっており、ＶＭ２０が異常の可能性がある状態と判定された場合、対応部３６ａは、ＶＭ間通信を遮断したり、ＶＭ監視部２１の監視を強化したりする。また、仮想化システムの状態が、ＨＶ１０ａが異常の可能性がある状態と判定された場合には、対応部３６ａは、ＨＶ監視部４１の監視を強化してもよい。
　例えば、ＶＭ監視部２１の監視結果が正常、要求監視部３２の監視結果が正常、ＨＶ監視部４１の監視結果が異常という組み合わせに応じて、仮想化システムの状態が、ＨＶ１０ａが異常となっている状態と判定された場合、対応部３６ａは、仮想化システムの再起動（すなわちＨＶ１０ａの再起動）をする。
　例えば、ＶＭ監視部２１の監視結果が異常、要求監視部３２の監視結果が異常、ＨＶ監視部４１の監視結果が正常という組み合わせに応じて、仮想化システムの状態が、ＶＭ２０が異常となっている状態と判定された場合、対応部３６は、ＶＭ２０を再起動する。
　なお、判定部３５ａは、複数の監視部の監視結果の組み合わせとして、複数の監視部が検知した異常の詳細な情報の組み合わせに応じて、仮想化システムの状態を判定してもよい。異常の詳細な情報とは、例えば、異常が発生したアプリケーション、ＶＭ２０、通信チャネル又はメモリアドレスなどであってもよいし、異常の種別（例えばアクセス制御違反又は通信頻度異常など）であってもよいし、例えば機械学習等により算出された異常度のような数値情報であってもよい。
　次に、要求監視部３２がハイパーコールの異常を検知したときの監視システム１ａの動作について、図８及び図９を用いて説明する。
　図８は、実施の形態２における、要求監視部３２がハイパーコールの異常を検知したときの監視システム１ａの動作の一例を示すシーケンス図である。
　要求監視部３２は、ＶＭ２０からの要求を監視してハイパーコールの異常を検知し（ステップＳ４１）、異常を示す監視結果を判定部３５ａへ通知する（ステップＳ４２）。なお、図示していないが、判定部３５ａは、ＶＭ監視部２１及びＨＶ監視部４１から正常を示す監視結果を取得しているとする。
　判定部３５ａは、仮想化システムの状態を判定する（ステップＳ４３）。例えば、ＶＭ監視部２１の監視結果が正常、要求監視部３２の監視結果がハイパーコールの異常、ＨＶ監視部４１の監視結果が正常という組み合わせに応じて、仮想化システムの状態が、ハイパーコールが異常となっており、ＶＭ２０が異常の可能性があり、ＨＶ１０ａが異常の可能性がある状態と判定する。なお、判定部３５ａは、ＶＭ監視部２１と要求監視部３２の監視結果をもとに、機械学習等により仮想化システムの状態を異常度といった数値情報として判定してもよい。
　対応部３６ａは、判定された仮想化システムの状態に応じた対応を実施する（ステップＳ４４及びステップＳ４５）。例えば、対応部３６ａは、ＶＭ２０が異常の可能性がある状態に応じた対応として、ＶＭ監視部２１の監視の強化を実施し、ＨＶ１０ａが異常の可能性がある状態に応じた対応として、ＨＶ監視部４１の監視の強化を実施する。なお、仮想化システムの状態が異常度といった数値情報により判定された場合、対応部３６ａは異常度に応じた対応を実施してもよい。例えば、対応部３６ａは、異常度が低い場合はＶＭ監視部２１の監視を強化し、異常度が高い場合はＨＶ監視部４１の監視を強化してもよい。
　ＶＭ監視部２１は、ＶＭ２０を監視して正常であることを確認し（ステップＳ４６）、正常を示す監視結果を判定部３５ａへ通知する（ステップＳ４７）。
　ＨＶ監視部４１は、ＨＶ１０ａを監視して正常であることを確認し（ステップＳ４８）、正常を示す監視結果を判定部３５ａへ通知する（ステップＳ４９）。
　判定部３５ａは、仮想化システムの状態を判定する（ステップＳ５０）。例えば、監視強化後のＶＭ監視部２１の監視結果が正常、要求監視部３２の監視結果がハイパーコールの異常、監視強化後のＨＶ監視部４１の監視結果が正常という組み合わせに応じて、仮想化システムの状態が、ハイパーコールが異常となっている状態と判定する。
　対応部３６ａは、判定された仮想化システムの状態に応じた対応を実施する（ステップＳ５１）。例えば、対応部３６ａは、ハイパーコールが異常となっている状態に応じた対応として、ハイパーコールを要求したＶＭ２０を再起動したり、停止したりする。なお、ＶＭ監視部２１の監視結果が正常であるため、ハイパーコールの異常が誤検知の可能性がある。そこで、対応部３６ａは、過去にも今回と同じ異常が発生している場合に、ハイパーコールを要求したＶＭ２０を再起動したり、停止したりしてもよい。言い換えると、対応部３６ａは、過去に今回と同じ異常が発生していない場合には、ハイパーコールを要求したＶＭ２０を再起動したり、停止したりしなくてもよく、今後同じ異常が発生したときに、ハイパーコールを要求したＶＭ２０を再起動したり、停止したりしてもよい。或いは、対応部３６ａは、一定時間以上ハイパーコールの異常が継続している場合に、ハイパーコールを要求したＶＭ２０を再起動したり、停止したりしてもよい。
　図９は、実施の形態２における、要求監視部３２がハイパーコールの異常を検知したときの監視システム１ａの動作の他の一例を示すシーケンス図である。図９におけるステップＳ６１からステップＳ６７までの処理は、図８におけるステップＳ４１からステップＳ４７までの処理と同じであるため説明は省略する。
　ＨＶ監視部４１は、ＨＶ１０ａを監視して異常であることを確認し（ステップＳ６８）、異常を示す監視結果を判定部３５ａへ通知する（ステップＳ６９）。
　判定部３５ａは、仮想化システムの状態を判定する（ステップＳ７０）。例えば、監視強化後のＶＭ監視部２１の監視結果が正常、要求監視部３２の監視結果がハイパーコールの異常、監視強化後のＨＶ監視部４１の監視結果が異常という組み合わせに応じて、仮想化システムの状態が、ＨＶ１０ａが異常となっている状態と判定する。
　対応部３６ａは、判定された仮想化システムの状態に応じた対応を実施する（ステップＳ７１）。例えば、対応部３６ａは、ＨＶ１０ａが異常となっている状態に応じた対応として、ＨＶ１０ａを再起動したり、更新したり、停止したりする。例えば、対応部３６ａは、ＨＶ１０ａを再起動し、ＨＶ１０ａが再起動した後、要求監視部３２及びＨＶ監視部４１の監視結果が正常に戻った場合には、各監視部の監視の強化を終了する。ＨＶ１０ａが再起動した後、要求監視部３２及びＨＶ監視部４１の監視結果が異常のまま変わらない場合には、対応部３６ａは、ＨＶ１０ａのメモリを更新する。例えば、対応部３６ａは、ＨＶ１０ａのメモリを更新した後、要求監視部３２及びＨＶ監視部４１の監視結果が正常に戻った場合には、各監視部の監視の強化を終了する。ＨＶ１０ａのメモリを更新した後、要求監視部３２及びＨＶ監視部４１の監視結果が異常のまま変わらない場合には、対応部３６ａは、ＨＶ１０ａを停止する。
　（まとめ）
　監視システムは、仮想化システム（ＨＶ及びＶＭなどからなるシステム）を監視するシステムであって、仮想化システムを監視して異常を検知する、それぞれ権限の異なる複数の監視部と、複数の監視部の監視結果に基づいて、仮想化システムの状態を判定する判定部と、を備える。
　これによれば、１つの監視部ではなく、複数の監視部によって仮想化システム全体が監視されるため、複数の監視部の監視結果に基づいて、仮想化システム全体の状態を判定することができる。また、それぞれ権限の異なる複数の監視部が用いられるため、異常の検知精度を高めることができ、誤検知又は検知漏れを抑制できる。
　例えば、複数の監視部は、仮想化システムにおけるＶＭを監視するＶＭ監視部、仮想化システムにおけるＶＭからＨＶへの要求を監視する要求監視部、及び、仮想化システムにおけるＨＶを監視するＨＶ監視部の少なくとも１つを含んでいてもよい。
　これによれば、ＶＭの監視結果、ＶＭからＨＶへの要求の監視結果、又は、ＨＶの監視結果に基づいて、仮想化システム全体の状態を詳細に判定することができる。
　例えば、判定部は、複数の監視部の監視結果の組み合わせに応じて、仮想化システムの状態を判定してもよい。
　これによれば、複数の監視部の監視結果の組み合わせによって、仮想化システムの状態をある程度予想することができる。このため、複数の監視部の監視結果の組み合わせによって、仮想化システムの状態を精度よく判定することができる。
　例えば、監視システムは、さらに、判定された仮想化システムの状態に応じた対応を実施する対応部を備えていてもよい。
　これによれば、仮想化システム全体の状態に応じた対応をすることができ、例えば、仮想化システムを搭載する機器（例えば車両など）の機能への影響を抑制した対応ができる。
　（その他の実施の形態）
　以上のように、本開示に係る技術の例示として実施の形態を説明した。しかしながら、本開示に係る技術は、これに限定されず、適宜、変更、置き換え、付加、省略等を行った実施の形態にも適用可能である。例えば、以下のような変形例も本開示の一実施の形態に含まれる。
　例えば、上記実施の形態では、仮想化システムがＨＶ型のシステムである例について説明したが、コンテナやホストＯＳ型のシステムであってもよい。
　例えば、上記実施の形態では、ＶＭ間通信の異常をＶＭからＨＶへの要求を監視することで検知する例について説明したが、これに限らない。例えば、仮想化システムは、ＶＭ間の通信を仲介するゲートウェイＶＭを備えていてもよく、ゲートウェイＶＭにおいてＶＭ間通信の通信内容が監視されて、通信内容に応じてＶＭ間通信の異常が検知されてもよい。
　例えば、上記実施の形態では、判定部は、複数の監視部の監視結果の組み合わせに応じて、仮想化システムの状態を判定する例について説明したが、これに限らない。
　例えば、判定部は、複数の監視部が検知した異常の検知順序に応じて、仮想化システムの状態を判定してもよい。例えば、ＶＭ監視部及び要求監視部の監視結果がそれぞれ正常であった場合に、まずＶＭ監視部の監視結果が異常となり、続いて要求監視部の監視結果が異常となったときと、まず要求監視部の監視結果が異常となり、続いてＶＭ監視部の監視結果が異常となったときとで仮想化システムの状態の判定結果が異なっていてもよい。ここで、複数の監視部が検知した異常の検知順序に応じた仮想化システムの状態の判定および対応の具体例について、図１０を用いて説明する。
　図１０は、その他の実施の形態における判定部の判定及び対応部の対応の一例を示す図である。例えば、複数の監視部として、ＶＭ監視部、要求監視部及びＨＶ監視部を備える監視システムにおける、複数の監視部が検知した異常の検知順序に応じた仮想化システムの状態の判定および対応について説明する。なお、ここで説明する監視システムは、ＶＭ監視部を備えるＶＭの他に、ＶＭ監視部を備えていないＶＭも備えているとする。以下では、ＶＭ監視部を備えるＶＭをＶＭ＿Ａと呼び、ＶＭ監視部を備えていないＶＭをＶＭ＿Ｂと呼ぶ。
　例えば、ＶＭ監視部の監視結果が異常となり、続いて要求監視部の監視結果が異常となった場合、判定部は、仮想化システムの状態が、ＶＭ＿Ａで異常が発生した後、ＶＭ＿Ａの外部へ異常が展開されている可能性がある状態であると判定し、対応部は、当該状態に応じてＶＭ＿Ａを再起動する。例えば、要求監視部の監視結果が異常となり、続いてＶＭ監視部の監視結果が異常となった場合、判定部は、仮想化システムの状態が、ＶＭ＿Ｂで異常が発生した後、ＶＭ＿Ａへ異常が展開された可能性がある状態であると判定し、対応部は、当該状態に応じてＶＭ＿Ａ及びＶＭ＿Ｂを再起動する。例えば、ＶＭ監視部の監視結果が異常となり、続いて要求監視部の監視結果が異常となり、続いてＨＶ監視部の監視結果が異常となった場合、判定部は、仮想化システムの状態が、ＶＭ＿Ａで異常が発生した後、ＨＶへ異常が展開された可能性がある状態であると判定し、対応部は、当該状態に応じてＨＶを再起動し、ＶＭ監視部の監視を強化する。例えば、要求監視部の監視結果が異常となり、続いてＨＶ監視部の監視結果が異常となり、続いてＶＭ監視部の監視結果が異常となった場合、判定部は、仮想化システムの状態が、ＶＭ＿Ｂで異常が発生した後、ＨＶ及びＶＭ＿Ａへ異常が展開された可能性がある状態であると判定し、対応部は、当該状態に応じてＨＶを再起動し、要求監視部の監視を強化する。
　このように、複数の監視部が検知した異常の検知順序によって、仮想化システムの状態をある程度予想することができるため、複数の監視部が検知した異常の検知順序によって、仮想化システムの状態を精度よく判定することができる。
　例えば、判定部は、複数の監視部が検知した異常の継続時間に応じて、仮想化システムの状態を判定してもよい。例えば、ＶＭ監視部及び要求監視部の監視結果がそれぞれ正常であった場合に、ＶＭ監視部の監視結果が異常となり、規定時間経過する前にＶＭ監視部の監視結果が正常となったときには、ＶＭ監視部の異常の監視結果は誤検知である可能性があるため、判定部は、仮想化システムの状態が正常と判定してもよい。複数の監視部が検知した異常の継続時間によって、仮想化システムの状態をある程度予想することができるため、複数の監視部が検知した異常の継続時間によって、仮想化システムの状態を精度よく判定することができる。
　例えば、判定部は、仮想化システムの状態を判定する際に、複数の監視部のそれぞれの権限等に応じて、複数の監視部のそれぞれの監視結果に重み付けしてもよい。その際に、上位の権限を有する監視部の監視結果が優先的に判定に用いられてもよい。例えば、ＶＭ監視部の監視結果が正常であっても、ＨＶ監視部の監視結果が異常の場合には、ＨＶ監視部の監視結果を優先した判定及び対応が実施されてもよい。
　なお、本開示は、監視システムとして実現できるだけでなく、監視システムを構成する各構成要素が行うステップ（処理）を含む監視方法として実現できる。
　例えば、監視方法におけるステップは、コンピュータ（コンピュータシステム）によって実行されてもよい。そして、本開示は、監視方法に含まれるステップを、コンピュータに実行させるためのプログラムとして実現できる。
　さらに、本開示は、そのプログラムを記録したＣＤ－ＲＯＭ等である非一時的なコンピュータ読み取り可能な記録媒体として実現できる。
　例えば、本開示が、プログラム（ソフトウェア）で実現される場合には、コンピュータのＣＰＵ、メモリ及び入出力回路等のハードウェア資源を利用してプログラムが実行されることによって、各ステップが実行される。つまり、ＣＰＵがデータをメモリ又は入出力回路等から取得して演算したり、演算結果をメモリ又は入出力回路等に出力したりすることによって、各ステップが実行される。
　また、上記実施の形態の監視システムに含まれる各構成要素は、専用又は汎用の回路として実現されてもよい。
　また、上記実施の形態の監視システムに含まれる各構成要素は、集積回路（ＩＣ：Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔ）であるＬＳＩ（Ｌａｒｇｅ　Ｓｃａｌｅ　Ｉｎｔｅｇｒａｔｉｏｎ）として実現されてもよい。
　また、集積回路はＬＳＩに限られず、専用回路又は汎用プロセッサで実現されてもよい。プログラム可能なＦＰＧＡ（Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙ）、又は、ＬＳＩ内部の回路セルの接続及び設定が再構成可能なリコンフィギュラブル・プロセッサが、利用されてもよい。
　さらに、半導体技術の進歩又は派生する別技術によりＬＳＩに置き換わる集積回路化の技術が登場すれば、当然、その技術を用いて、監視システムに含まれる各構成要素の集積回路化が行われてもよい。
　その他、実施の形態に対して当業者が思いつく各種変形を施して得られる形態、本開示の趣旨を逸脱しない範囲で各実施の形態における構成要素及び機能を任意に組み合わせることで実現される形態も本開示に含まれる。
　本開示は、例えば車両に搭載される仮想化システムを監視するシステムなどに適用できる。
　１、１ａ　監視システム
　１０、１０ａ　ＨＶ
　１１　要求実行部
　１２　要求転送部
　１３　仮想通信部
　１４　ＨＶ監視情報転送部
　２０　ＶＭ
　２１　ＶＭ監視部
　２２　要求生成部
　２３　アプリケーション
　３０、３０ａ　セキュリティＶＭ
　３１　要求受信部
　３２　要求監視部
　３３　通信受信部
　３４　ＶＭ監視情報受信部
　３５、３５ａ　判定部
　３６、３６ａ　対応部
　３７　ＨＶ監視情報受信部
　４０　セキュアＯＳ
　４１　ＨＶ監視部
　４２　ＨＶ監視情報送信部

Claims (6)

  1. 　仮想化システムを監視する監視システムであって
    　前記仮想化システムを監視して異常を検知する、それぞれ権限の異なる複数の監視部と、
    　前記複数の監視部の監視結果に基づいて、前記仮想化システムの状態を判定する判定部と、を備える、
    　監視システム。
  2. 　前記複数の監視部は、前記仮想化システムにおける仮想環境を監視する仮想環境監視部、前記仮想化システムにおける仮想環境から仮想化基盤への要求を監視する要求監視部、及び、前記仮想化システムにおける仮想化基盤を監視する仮想化基盤監視部の少なくとも１つを含む、
    　請求項１に記載の監視システム。
  3. 　前記判定部は、前記複数の監視部の監視結果の組み合わせに応じて、前記仮想化システムの状態を判定する、
    　請求項１又は２に記載の監視システム。
  4. 　前記判定部は、前記複数の監視部が検知した異常の検知順序に応じて、前記仮想化システムの状態を判定する、
    　請求項１～３のいずれか１項に記載の監視システム。
  5. 　前記判定部は、前記複数の監視部が検知した異常の継続時間に応じて、前記仮想化システムの状態を判定する、
    　請求項１～４のいずれか１項に記載の監視システム。
  6. 　さらに、判定された前記仮想化システムの状態に応じた対応を実施する対応部を備える、
    　請求項１～５のいずれか１項に記載の監視システム。
PCT/JP2021/042361 2021-03-01 2021-11-18 監視システム WO2022185626A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2023503377A JPWO2022185626A1 (ja) 2021-03-01 2021-11-18
US18/236,031 US20230394149A1 (en) 2021-03-01 2023-08-21 Monitoring system

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2021031994 2021-03-01
JP2021-031994 2021-03-01

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US18/236,031 Continuation US20230394149A1 (en) 2021-03-01 2023-08-21 Monitoring system

Publications (1)

Publication Number Publication Date
WO2022185626A1 true WO2022185626A1 (ja) 2022-09-09

Family

ID=83154281

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/042361 WO2022185626A1 (ja) 2021-03-01 2021-11-18 監視システム

Country Status (3)

Country Link
US (1) US20230394149A1 (ja)
JP (1) JPWO2022185626A1 (ja)
WO (1) WO2022185626A1 (ja)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008269194A (ja) * 2007-04-19 2008-11-06 Hitachi Ltd 仮想計算機システム
JP2019066995A (ja) * 2017-09-29 2019-04-25 株式会社Ｓｅｌｔｅｃｈ セキュアモードとノンセキュアモードとを選択的に切り替え可能なシステム
JP2019144785A (ja) * 2018-02-20 2019-08-29 富士通株式会社 監視プログラム、監視装置及び監視方法
JP2020123307A (ja) * 2019-01-29 2020-08-13 オムロン株式会社 セキュリティ装置、攻撃特定方法、及びプログラム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008269194A (ja) * 2007-04-19 2008-11-06 Hitachi Ltd 仮想計算機システム
JP2019066995A (ja) * 2017-09-29 2019-04-25 株式会社Ｓｅｌｔｅｃｈ セキュアモードとノンセキュアモードとを選択的に切り替え可能なシステム
JP2019144785A (ja) * 2018-02-20 2019-08-29 富士通株式会社 監視プログラム、監視装置及び監視方法
JP2020123307A (ja) * 2019-01-29 2020-08-13 オムロン株式会社 セキュリティ装置、攻撃特定方法、及びプログラム

Also Published As

Publication number Publication date
US20230394149A1 (en) 2023-12-07
JPWO2022185626A1 (ja) 2022-09-09

Similar Documents

Publication Publication Date Title
US10469512B1 (en) Optimized resource allocation for virtual machines within a malware content detection system
US11075945B2 (en) System, apparatus and method for reconfiguring virtual machines
US10083302B1 (en) System and method for detecting time-bomb malware
CN107430662B (zh) 识别进程的恶意运行
US8356285B2 (en) Facilitated introspection of virtualized environments
US10747872B1 (en) System and method for preventing malware evasion
US8677484B2 (en) Providing protection against unauthorized network access
US8621337B1 (en) Detecting memory corruption
US11714910B2 (en) Measuring integrity of computing system
KR101701014B1 (ko) 운영 체제에의 악성 활동 보고
CN114254304A (zh) 容器安全入侵检测方法、装置、计算机设备及存储介质
US11775649B2 (en) Perform verification check in response to change in page table base register
WO2022185626A1 (ja) 監視システム
CN113448682B (zh) 一种虚拟机监控器加载方法、装置及电子设备
US11301282B2 (en) Information protection method and apparatus
CN111194447B (zh) 监视控制流完整性
CN111177726A (zh) 一种系统漏洞检测方法、装置、设备及介质
WO2022181020A1 (ja) 情報処理装置および情報処理方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21929185

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2023503377

Country of ref document: JP

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 21929185

Country of ref document: EP

Kind code of ref document: A1