[發明專利]離線虛擬機安全管理方法和裝置

有效

• 申請號: 201510217434.1
• 申請日: 2015-04-30
• 公開（公告）號: CN104811941B
• 公開（公告）日: 2018-09-11
• 發明（設計）人: 劉桂源
• 申請（專利權）人: 福建星網銳捷網絡有限公司
• 主分類號: H04W12/06
• 分類號: H04W12/06;G06F21/33;H04L29/08
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 黃志華

1.一種離線虛擬機安全管理方法，其特征在于，所述方法包括：

宿主機預裝宿主操作系統；

宿主操作系統中預植入CA根證書；

宿主機開機時讀取用戶UKEY中公鑰證書內容，并通過預置的所述CA根證書來驗證用戶UKEY中公鑰證書的合法性，所述用戶UKEY中公鑰證書為用戶向CA申請公鑰證書和私鑰時獲得的，公鑰證書和私鑰預先寫入用戶UKEY中；

所述方法還包括：宿主機預裝VM虛擬機基礎鏡像；

所述公鑰證書中還包括管理員授予用戶操作VM的權限規則，所述虛擬機基礎鏡像中包括VM監控代理程序；

所述方法還包括：用戶UKEY中公鑰證書驗證合法后，用戶開啟虛擬機，所述監控代理程序將虛擬機內的運行狀態傳遞給宿主機，宿主機根據所述權限規則監管虛擬機。

2.根據權利要求1所述的方法，其特征在于，

所述權限規則包括：VM進程白名單或VM進程黑名單，其中VM進程白名單為VM進程黑名單集合之外的名單，

所述宿主機根據所述權限規則監管虛擬機包括：宿主機監測到虛擬機開啟所述進程黑名單時，對虛擬機進行管控操作；

和/或，所述權限規則包括：VM允許安裝的程序或VM禁止安裝的程序，其中VM允許安裝的程序為VM禁止安裝的程序集合之外的程序，

所述宿主機根據所述權限規則監管虛擬機包括：宿主機監測到虛擬機安裝禁止安裝的程序時，對虛擬機進行管控操作；

和/或，所述權限規則包括：VM允許訪問的外網IP或VM禁止訪問的外網IP，其中VM允許訪問的外網IP為VM禁止訪問的外網IP集合之外的外網IP，

所述宿主機根據所述權限規則監管虛擬機包括：宿主機監測到虛擬機訪問禁止訪問的外網IP時，對虛擬機進行管控操作；

和/或，所述權限規則包括：VM允許使用的外設或VM禁止使用的外設，其中VM允許使用的外設為VM禁止使用的外設集合之外的外設，

所述宿主機根據所述權限規則監管虛擬機包括：宿主機監測到虛擬機使用禁止使用的外設時，對虛擬機進行管控操作。

3.根據權利要求1所述的方法，其特征在于，所述方法還包括：

所述方法還包括：宿主機預裝VM虛擬機基礎鏡像；

用戶UKEY中公鑰證書驗證合法后，宿主機生成文件加密密鑰加密存儲用戶的虛擬機鏡像文件。

4.根據權利要求3所述的方法，其特征在于，所述虛擬機鏡像文件為增量鏡像文件。

5.根據權利要求3～4任一項所述的方法，其特征在于，所述文件加密密鑰與宿主機硬件和用戶一一對應。

6.根據權利要求5所述的方法，其特征在于，文件加密密鑰通過以下方法生成：

根據基礎鏡像特征值VALUE1和宿主機硬件特征碼VALUE2生成VALUE3，使用用戶UKEY中的私鑰加密VALUE3生成文件加密密鑰VALUE4；

或者，使用用戶UKEY中的私鑰加密宿主機硬件特征碼VALUE2生成文件加密密鑰VALUE4。

7.一種離線虛擬機安全管理裝置，其特征在于，所述裝置包括：

初始化模塊，用于宿主機中預裝宿主操作系統；

證書設置模塊，用于在宿主操作系統中預植入CA根證書；

檢驗模塊，用于在宿主機開機時讀取用戶UKEY中公鑰證書內容，并通過預置的所述CA根證書來驗證UKEY中公鑰證書的合法性，所述用戶UKEY中公鑰證書為用戶向CA申請公鑰證書和私鑰時獲得的，公鑰證書和私鑰預先寫入用戶UKEY中；

所述初始化模塊還用于宿主機中預裝VM虛擬機基礎鏡像；

所述公鑰證書中還包括管理員授予用戶操作VM的權限規則，所述虛擬機基礎鏡像中包括VM監控代理程序；

所述裝置還包括：

監控模塊，用于在用戶UKEY中公鑰證書驗證合法后，用戶開啟虛擬機，所述監控代理程序將虛擬機內的運行狀態傳遞給宿主機，宿主機根據所述權限規則監管虛擬機。