[發明專利]一種基于虛擬平臺的安全可信運行保護方法

有效

• 申請號: 201410371685.0
• 申請日: 2014-07-31
• 公開（公告）號: CN104134038B
• 公開（公告）日: 2016-11-23
• 發明（設計）人: 宋桂香
• 申請（專利權）人: 浪潮電子信息產業股份有限公司
• 主分類號: G06F21/53
• 分類號: G06F21/53
• 代理公司: 濟南信達專利事務所有限公司 37100
• 代理人: 姜明

1.一種基于虛擬平臺的安全可信運行保護方法,?其特征在于圍繞虛擬平臺存在的安全問題，通過LLVM的虛擬機監控器靜態分析模塊、TPM和IPMI的平臺完整性遠程驗證模塊、管理域虛擬機完整性度量模塊、用戶虛擬機完整性度量模塊和基于軟件行為的數據流一致性分析模塊組成實現虛擬平臺的安全可信運行保證，每個模塊特點如下：?

基于LLVM的虛擬機監控器靜態分析模塊，根據LLVM提供的的編譯優化、鏈接優化、在線編譯優化、代碼生成功能對虛擬機監控器進行重編譯，深入分析其控制流的邏輯不變性，在此基礎上度量控制流的完整性；

基于TPM和IPMI的平臺完整性遠程驗證模塊，IPMI良好的自治特性，其并不依賴于服務器的處理器、BIOS或操作系統進行工作，因此，結合TPM提供的可信計算服務設計一種使用硬件的方法構造最小可信基TCB，然后通過度量代理分別和IPMI以及TPM交互，最終使用隱藏的隔離模型實現了對虛擬機監控器的度量；

管理域虛擬機完整性度量模塊，該模塊位于虛擬機監控器內部，主要功能是對管理域的關鍵數據結構進行拆分，主要分析域創建、IDD、仿真設備模型三個部分關鍵數據結構的代碼段、系統調用表以及IDT，設計思想是捕獲系統調用、中斷、異常事件，當這些事件發生時，對系統的最新狀態實施動態度量；

用戶虛擬機完整性度量模塊，該模塊實現兩個功能：一是透明的對用戶操作系統Guest?OS的類型進行實時監測功能；二是對Guest?OS的寄存器、堆、棧、當前進程的頁基地址event的變量參數、運行進程的指令指針和棧指針進行監控，對于第一個功能，通過與IDT相關聯硬件狀態信息，包括IDTR登記，MSR-sysenter-cs，MSR-sysenter-eip和軟件數據結構信息包括系統調用表、進程鏈表使用迭代算法結合白名單實現，第二個功能實現方式是設置一個非法地址，導致保護失效陷入虛擬機監控器，然后由虛擬機監控器再進行度量，需要注意的是應采用調試寄存器保存該非法地址，以便虛擬機監控器檢查后能夠設置Context的正確返回地址；

基于軟件行為的數據流一致性分析模塊，該模塊由分析代理、管理代理、監控代理三個部分組成，分析代理對虛擬機監控器、管理域、客戶域的軟件行為軌跡進行評測，提取出預期行為特征，形成預期行為特征庫；監控代理對虛擬機監控器、管理域、客戶域的軟件行為運行實例進行實時監控，然后提取出實際行為特征；管理代理根據分析代理提供的預期行為特征與監控代理提供的實際行為特征，使用軟件行為分析自動機進行一個動態可信評測分析，最后得到虛擬機監控器、管理域、客戶域的軟件的可信評測結果；

客戶虛擬機網絡隔離模塊，對客戶虛擬機的網絡隔離是在該客戶虛擬機所在的宿主機上實現的，由于對不可信客戶虛擬機的網絡隔離是在客戶虛擬機平臺完整性實時檢測基礎上完成的，所以對不可信客戶虛擬機的網絡隔離的實現效果表現為：當檢測到客戶虛擬機的平臺完整性被破壞之后，立即隔離該虛擬機，而不是像對宿主機的網絡隔離一樣，在宿主機的平臺完整性被驗證處于可信狀態之后才允許宿主機接入網絡；

定位平臺完整性遭到破壞的客戶虛擬機不能夠依賴于客戶虛擬機的IP地址和MAC地址去完成，假如攻擊者獲取了該客戶虛擬機的root權限或者該客戶虛擬機是一臺惡意的客戶虛擬機，那么該客戶虛擬機的IP地址和MAC地址都有可能被修改，如果依然利用以太網橋防火墻去隔離平臺完整性遭到破壞的客戶虛擬機，那么這種隔離模型是很容易被繞過，所以，只能選擇其他有效信息來定位客戶虛擬機，并且該信息必須是客戶虛擬機的擁有者所不能修改的。