[發明專利]一種虛擬機安全監控方法及系統

在審

• 申請號: 201710316584.7
• 申請日: 2017-05-08
• 公開（公告）號: CN107797895A
• 公開（公告）日: 2018-03-13
• 發明（設計）人: 楊岳湘;施江勇;曾迎之;唐川;王曉磊
• 申請（專利權）人: 中國人民解放軍國防科學技術大學
• 主分類號: G06F11/30
• 分類號: G06F11/30;G06F9/455;G06F11/34
• 代理公司: 長沙正奇專利事務所有限責任公司43113
• 代理人: 馬強,王娟

1.一種虛擬機安全監控方法，其特征在于，包括以下步驟：

1)對hypervisor初始化，在hypervisor初始化時配置好硬件提供的EPT、#VE和VMFUNC功能環境；

2)使用多EPT頁表實現監控程序和監控目標的安全隔離，通過設置待監控目標的EPT頁表項的權限，并且在虛擬機內核初始化時加載跳轉代碼實現虛擬機內部的安全監控；

3)當進行保護的EPT頁表被寫或執行時，觸發#VE異常，此時，通過跳轉代碼將執行轉移到監控程序，監控程序利用異常信息對異常事件進行分析，并作出進一步的響應，完成#VE異常處理；

4)在完成#VE異常處理后，恢復觸發#VE異常的指令的執行，同時在執行完成后重新設置相應的EPT頁表權限，繼續安全監控。

2.根據權利要求1所述的虛擬機安全監控方法，其特征在于，hypervisor初始化包括：設置VMCS結構中的一些特征使能位為1，具體包括Enable EPT位、Enable VMFUNC位和Enable#VE位；同時在VMCS中指定#VE信息頁的地址，該地址用于存儲#VE異常發生后的異常信息；此外，在VMCS中指定EPTP列表的位置，在#VE異常發生時，處理器將當前EPTP保存在#VE信息頁的對應區域；VMFUNC功能的EPTP切換子函數從EPTP列表中選擇新的EPTP，從而實現EPT頁表的切換。

3.根據權利要求1所述的虛擬機安全監控方法，其特征在于，步驟2)中，目標虛擬機初始化時，在內核啟動初期為不同組件設置不同的EPT頁表權限；具體設置方法為：設置監控目標對應的EPT頁表為不可執行，并設置其#VE抑制位為0，以觸發#VE異常；設置跳轉代碼和監控程序對應的EPT頁表為不可讀、不可寫，以防監控目標檢測到EPT頁表存在并對EPT頁表進行篡改。

4.根據權利要求1所述的虛擬機安全監控方法，其特征在于，步驟3)中通過跳轉代碼將執行轉移到監控程序的過程為：內核#VE異常處理例程中的跳轉代碼通過VMFUNC功能切換EPT頁表，加載監控程序的EPT頁表的指針到EPTP寄存器中，從而實現#VE異常處理。

5.根據權利要求1所述的虛擬機安全監控方法，其特征在于，步驟3)中，#VE異常處理的具體過程為：監控程序讀取#VE信息頁中保存的的異常發生的虛擬機物理地址，并對照符號表找到對應的函數名，通過一系列#VE事件的捕獲得到一個函數調用序列，基于對函數調用序列分析，發現異常調用序列并發出警報信息。

6.根據權利要求1所述的虛擬機安全監控方法，其特征在于，步驟4)中，恢復觸發#VE異常的指令的執行的過程為：通過VMFUNC功能加載保存在#VE信息頁中的監控目標所在EPT頁表的指針到EPTP寄存器中，同時恢復發送#VE異常時的寄存器狀態，從而切換回監控目標繼續執行。

7.根據權利要求6所述的虛擬機安全監控方法，其特征在于，步驟4)中，繼續安全監控的具體實現過程為：在切換回監控目標時，首先移除對應監控點的EPT頁表的不可執行限制，以使得觸發#VE的指令能夠繼續執行，同時在執行完該條指令后重設EPT頁表的權限限制，以實現持續的監控。

8.根據權利要求7所述的虛擬機安全監控方法，其特征在于，實現持續的監控的過程為：監控程序通過VMCALL指令強制虛擬機退出，即VMEXIT事件；Hypervisor捕獲VMEXIT事件，重設監控點的EPT頁表權限，以避免觸發#VE；Hypervisor通過VMENTRY恢復虛擬機的執行；目標虛擬機設置EFLAGS寄存器的TP標志位為1，開啟CPU單步執行模式；虛擬機執行觸發#VE異常的指令后產生調試異常并被虛擬機內核捕獲；目標虛擬機設置EFLAGS寄存器的TP標志位為0關閉CPU單步執行模式；監控程序通過VMCALL指令強制虛擬機退出；Hypervisor重設監控點的EPT頁表權限，以滿足觸發#VE的條件。