[發明專利]基于虛擬化環境下的安全防護方法及系統和物理主機

在審

• 申請號: 201611242693.0
• 申請日: 2016-12-29
• 公開（公告）號: CN106778275A
• 公開（公告）日: 2017-05-31
• 發明（設計）人: 王宇星
• 申請（專利權）人: 北京瑞星信息技術股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F9/455;G06F3/06;G06F12/109
• 代理公司: 北京華進京聯知識產權代理有限公司11606
• 代理人: 王程

1.一種基于虛擬化環境下的安全防護方法，其特征在于，所述方法包括：

從物理主機部署的多個虛擬機中選擇出預設個數的虛擬機，并將選擇出的虛擬機配置為安全虛擬機；

為所述物理主機中的每個虛擬機創建虛擬內存，各個所述虛擬機的虛擬內存對應同一物理內存空間；

當檢測到有安全防護事件發生時，獲取所述安全防護事件對應的待檢測數據，并將所述待檢測數據通過發生所述安全防護事件的虛擬機的虛擬內存寫入所述物理內存空間；

利用所述安全虛擬機對所述物理內存空間中的待檢測數據進行安全檢測，得到相應的檢測結果；

將所述檢測結果反饋給將要發生安全防護事件的虛擬機。

2.根據權利要求1所述的基于虛擬化環境下的安全防護方法，其特征在于，所述從物理主機部署的多個虛擬機中選擇出預設個數的虛擬機，并將選擇出的虛擬機配置為安全虛擬機的步驟之后，還包括：

獲取所述安全虛擬機的安全標記信息，并將所述安全標記信息分發給各個所述虛擬機；

當檢測到所述虛擬機有安全防護事件發生時，根據所述安全標記信息將發生所述安全防護事件的虛擬機的標記信息發送給所述安全虛擬機，以通知所述安全虛擬機對所述安全防護事件對應的待檢測數據進行安全檢測。

3.根據權利要求1所述的基于虛擬化環境下的安全防護方法，其特征在于，所述為所述物理主機中的每個虛擬機創建虛擬內存，各個所述虛擬機的虛擬內存對應同一物理內存空間步驟包括：

在所述物理主機的物理內存中劃分出預設內存作為所述共享內存空間；

建立各個所述虛擬機的虛擬內存與所述共享內存空間的映射關系；

利用所述映射關系將所述待檢測數據寫入或讀出所述共享內存空間；

其中，所述共享內存空間為各個所述虛擬機的虛擬內存對應的同一物理內存空間。

4.根據權利要求3所述的基于虛擬化環境下的安全防護方法，其特征在于，所述共享內存空間根據所述物理主機中所述虛擬機的開啟數量進行動態分配。

5.根據權利要求3所述的基于虛擬化環境下的安全防護方法，其特征在于，所述當檢測到有安全防護事件發生時，獲取所述安全防護事件對應的待檢測數據，并將所述待檢測數據通過發生所述安全防護事件的虛擬機的虛擬內存寫入所述物理內存空間的步驟包括：

當檢測到安全防護事件時，由所述安全防護事件中提取將要發生安全防護事件的虛擬機的第一標記信息，并由所述安全防護事件中提取所述待檢測數據；

將所述第一標記信息發送給所述安全虛擬機，將所述待檢測數據緩存到所述將要發生安全防護事件的虛擬機的第一虛擬內存中；

當接收到所述安全虛擬機反饋的安全檢測信號時，根據所述映射關系將緩存在所述第一虛擬內存中的待檢測數據寫入所述共享內存空間中。

6.根據權利要求5所述的基于虛擬化環境下的安全防護方法，其特征在于，所述利用所述安全虛擬機對所述物理內存空間中的待檢測數據進行安全檢測，得到相應的檢測結果，以及將所述檢測結果反饋給發生安全防護事件的虛擬機的步驟包括：

獲取所述安全虛擬機對所述物理內存空間中的待檢測數據進行安全檢測的檢測結果；

由所述檢測結果中提取與所述待檢測數據對應的虛擬機的第一標記信息和所述待檢測數據的安全信息；

根據所述第一標記信息將所述待檢測數據的安全信息反饋給與所述第一標記信息相對應的虛擬機。

7.一種基于虛擬化環境下的安全防護系統，其特征在于，所述系統包括：

配置模塊，用于從物理主機部署的多個虛擬機中選擇出預設個數的虛擬機，并將選擇出的虛擬機配置為安全虛擬機；

創建模塊，用于為所述物理主機中的每個虛擬機創建虛擬內存，各個所述虛擬機的虛擬內存對應同一物理內存空間；

寫入模塊，用于當檢測到有安全防護事件發生時，獲取所述安全防護事件對應的待檢測數據，并將所述待檢測數據通過發生所述安全防護事件的虛擬機的虛擬內存寫入所述物理內存空間；

檢測模塊，用于利用所述安全虛擬機對所述物理內存空間中的待檢測數據進行安全檢測，得到相應的檢測結果，并將所述檢測結果反饋給將要發生安全防護事件的虛擬機。