[發明專利]基于Xen虛擬化的內核完整性檢測方法

有效

• 申請號: 201410062486.1
• 申請日: 2014-02-22
• 公開（公告）號: CN103793651A
• 公開（公告）日: 2014-05-14
• 發明（設計）人: 黃為;楊超;馬建峰;王照羽;侯琬婷;張馳
• 申請（專利權）人: 西安電子科技大學
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F9/455;G06F12/02
• 代理公司: 陜西電子工業專利中心 61205
• 代理人: 張問芬;王品華

1.一種基于Xen虛擬化的內核完整性檢測方法，利用內核完整性檢測系統對運行在Xen虛擬化平臺上的虛擬機的Linux或者類Unix操作系統進行內核完整性檢測，其特征在于：所述內核完整性檢測系統包括內存映射部分、信息獲取部分和安全檢測部分，這三個部分均部署在管理域Dom0，從管理域Dom0對客戶域DomU的操作系統內核完整性進行檢測，并有效利用了Xen提供的隔離性，避免內核完整性檢測系統受到客戶域DomU中的惡意軟件的攻擊；

所述內存映射部分提供獲取客戶域DomU中硬件層面的機器字節數據的接口，獲取客戶域DomU中寄存器二進制數據、物理地址空間對應的隨機存儲器中的二進制數據和內核態的邏輯地址空間對應的隨機存儲器的二進制數據，在管理域Dom0模擬客戶域DomU操作系統的分頁模型，利用libxc,libxs庫函數從管理域Dom0中獲取客戶域DomU內核態的邏輯地址空間對應的隨機存儲器二進制數據；

所述信息獲取部分利用內存映射部分提供的接口，獲取客戶域DomU中與系統內核狀態相關的關鍵數據即中斷描述符表、系統調用表和系統調用函數指令數據；

所述安全檢測部分以輪詢方式調用信息獲取部分獲得客戶域DomU的中斷向量表、系統調用表、系統函數指令數據并求哈希值，與管理域Dom0安全策略文件的中斷向量表、系統調用表和系統調用函數的SHA-1哈希值進行對比，檢測客戶域DomU中內核的完整性。

2.根據權利要求1所述的基于Xen虛擬化的內核完整性檢測方法，其特征在于：內存映射部分獲取DomU中內核態邏輯地址空間對應的隨機存儲器的二進制數據的過程如下：

(1)假設給定的客戶域DomU中的內核態邏輯地址為virtAddr；

(2)確定DomU中操作系統采用的分頁模型：

2.1)通過libxc的庫函數，獲取客戶域DomU中央處理器的CR4寄存器的值；

2.2)取CR4寄存器的PSE允許頁擴展標志位的值X，取CR4寄存器的PAE允許物理地址擴展標志位的值Y；

2.3)如果X等于0、Y等于0，則客戶域DomU中系統采用的是常規分頁模型；如果X等于1、Y等于0，則客戶域DomU中系統采用的是擴展分頁模型；如果X等于0、Y等于1，則客戶域DomU中系統采用的是物理地址擴展模型下的常規分頁模型；如果X等于1、Y等于1，則客戶域DomU中系統采用的是物理地址擴展模型下的擴展分頁模型；

(3)利用libxc的庫函數獲取客戶域DomU中CR3寄存器的值作為基地址，模擬步驟2.3)操作系統系統的四種分頁模型，將邏輯地址virtAddr轉換為物理地址phyAddr；

(4)利用libxc的庫函數獲取物理地址phyAddr對應的隨機存儲器中的二進制數據。