[發明專利]一種虛擬機安全監控方法

在審

• 申請號: 201611241724.0
• 申請日: 2016-12-29
• 公開（公告）號: CN106844144A
• 公開（公告）日: 2017-06-13
• 發明（設計）人: 曹蕊
• 申請（專利權）人: 廣州凱耀資產管理有限公司
• 主分類號: G06F11/30
• 分類號: G06F11/30;G06F9/455
• 代理公司: 北京聯瑞聯豐知識產權代理事務所(普通合伙)11411
• 代理人: 張清彥

技術領域

本發明涉及服務器虛擬化和虛擬機監控的技術領域，具體涉及一種虛擬機安全監控方法。

背景技術

目前，計算機等終端設備在使用過程中往往會出現運行速度越來越慢的情況，這時，為了提高運行速度，就需要對其進行系統優化。現有的優化方式一般是通過文件清理或垃圾清理的方法，例如，清理系統中無用的緩存文件、查找并移動占用磁盤空間的文件等，以便釋放空間，讓系統保持清潔，使整體運行更加流暢。

但是，現有的一些服務和應用程序，執行后通常不會自動退出進程，而這些進程依然會占用大量的系統資源，用戶往往無法感知，直到系統或者程序出現了卡死甚至崩潰的情況。現有的系統優化方式只能進行一些基本的文件清理工作，對于系統的卡死，以及后臺程序占用過多流量等情況則無法有效處理，不能有效地釋放系統中可用的內存和其他系統資源等。

發明內容

鑒于上述問題，提出了本發明以便提供一種克服上述問題或者至少部分地解決上述問題的一種虛擬機安全監控方法，包括如下步驟：

S1，配置虛擬機網絡的運行參數，所述虛擬機網絡包括虛擬機系統與外部網絡；所述虛擬機系統包括虛擬機監控器和至少1個虛擬機；

S2，配置虛擬機監控器的安全監控策略；

S3，捕獲虛擬機之間或虛擬機與外部網絡之間通信的數據包；

S4，解析所述數據包，根據所述安全監控策略對相應虛擬機進行安全控制，并在客戶端頁面對監控過程和結果進行顯示。

優選的，所述步驟S2中的安全監控策略具體為：建立入侵檢測域，設置策略模塊，所述策略模塊中配置多種安全策略，所述策略模塊與策略框架連接，所述策略框架用于對操作系統接口的請求進行響應。

優選的，所述步驟S2還包括：利用網絡計數器群組對虛擬交換機端口的數據包進行監控；并采用基于虛擬機內核安全驅動的內部監控和基于虛擬機監控器中監控點的外部監控相結合的監控方式。

優選的，所述步驟S3具體為：由虛擬交換機堆棧對數據包進行緩沖，在虛擬交換機堆棧中對虛擬機之間或虛擬機與外部網絡之間通信的數據包進行檢查和捕獲。

優選的，采用鉤子機制對所述數據包進行捕獲，具體為：創建全局鉤子，將所述全局鉤子加入全局共享數據變量，創建鉤子可執行程序捕獲所述數據包。

優選的，所述安全控制具體為內存保護、內核代碼保護和訪問控制中的一種或多種。

優選的，所述步驟S2中的安全監控策略具體為：對所述虛擬機系統中正常進程的數據建立有限自動狀態機，用所述虛擬機系統調用相關函數作為狀態，然后對被檢測進程的數據包進行監控，將所述虛擬機系統調用相關函數與有限狀態機中的狀態進行對比，如果匹配則當前進程安全，否則當前進程已被感染。

本發明通過建立與虛擬機系統關聯的安全策略用于進行虛擬機的管理，有效解決了虛擬機占用內存過大，造成的系統卡死等問題；且配置有多種安全策略，并建立鉤子機制對虛擬機的數據包進行捕獲，采用內部監控和外部監控相結合的監控方式，大大提高了虛擬機監控的效率，保證了虛擬機系統的安全高效運行。

上述說明僅是本發明技術方案的概述，為了能夠更清楚了解本發明的技術手段，而可依照說明書的內容予以實施，并且為了讓本發明的上述和其它目的、特征和優點能夠更明顯易懂，以下列舉本發明的具體實施方式。

根據下文結合附圖對本發明具體實施例的詳細描述，本領域技術人員將會更加明了本發明的上述以及其他目的、優點和特征。

附圖說明

圖1是本發明的虛擬機安全監控方法對應的系統結構示意圖。

具體實施方式

下面將參照附圖更詳細地描述本發明公開的示例性實施例。雖然附圖中顯示了本發明公開的示例性實施例，然而應當理解，可以以各種形式實現本公開而不應該被這里闡述的實施例所限制。相反，提供這些實施例是為了能夠透徹地理解本公開，并且能夠將本公開的范圍完整的傳達給本領域的技術人員。

如圖1所示，本發明的虛擬機安全監控方法對應的系統結構示意圖。該虛擬機網絡包括：外部網絡、硬件層、操作系統層、虛擬機層；由硬件層、操作系統層和虛擬機層共同構成虛擬機系統；虛擬機系統與外部網絡連接；操作系統運行有虛擬機監控器，虛擬機層運行有多個虛擬機。

與該虛擬機網絡系統向對應的，提供一種虛擬機安全監控方法，包括如下步驟：

S1，配置虛擬機網絡的運行參數，所述虛擬機網絡包括虛擬機系統與外部網絡；所述虛擬機系統包括虛擬機監控器和至少1個虛擬機；

S2，配置虛擬機監控器的安全監控策略；