[發明專利]一種虛擬化環境中二進制文件度量值統一管理和分發的方法和系統

在審

• 申請號: 202010559247.2
• 申請日: 2020-06-18
• 公開（公告）號: CN111831609A
• 公開（公告）日: 2020-10-27
• 發明（設計）人: 蔡權偉;林璟鏘;范浩玲;劉廣祺;王瓊霄;王偉
• 申請（專利權）人: 中國科學院數據與通信保護研究教育中心;中國科學院信息工程研究所
• 主分類號: G06F16/13
• 分類號: G06F16/13;G06F9/455
• 代理公司: 北京君尚知識產權代理有限公司 11200
• 代理人: 邱曉鋒

1.一種虛擬化環境中二進制文件度量值統一管理和分發的方法，其特征在于，包括以下步驟：

生成不同類型二進制文件的度量值；

對不同類型二進制文件的度量值進行存儲；

虛擬化管理平臺向各個虛擬機管理器推送二進制文件的度量值。

2.根據權利要求1所述的方法，其特征在于，所述不同類型二進制文件，包括操作系統內核文件、內核模塊文件、應用態程序文件和動態鏈接庫文件，根據二進制文件格式自動地生成二進制文件的度量值。

3.根據權利要求2所述的方法，其特征在于，為操作系統內核文件生成度量值的步驟包括：根據操作系統內核系統文件、操作系統類型、內核版本、操作系統內核數據結構和符號地址映射關系，確定各個代碼段的偏移和大小；對操作系統內核文件進行解壓縮，并對解壓縮后文件中的代碼段按頁進行Hash運算，不足一頁時進行補零；記錄操作系統類型、內核版本、各個代碼頁偏移、各個代碼頁大小、Hash值作為度量值，并標注入口點所在代碼頁。

4.根據權利要求2所述的方法，其特征在于，為內核模塊文件生成度量值的步驟包括：模擬目標平臺中內核模塊的加載過程，確定各個代碼段的偏移和大小；對各個代碼段按頁進行Hash運算，計算過程中不足一頁時進行補零并將代碼中重定位地址設置為0；記錄內核模塊名稱、版本、各代碼頁偏移、各個代碼頁大小、Hash值作為度量值，并標注各個代碼段的在文件中的段偏移。

5.根據權利要求2所述的方法，其特征在于，為應用態程序文件生成度量值的步驟包括：模擬目標平臺中應用態程序的加載過程，記錄其確定其所使用的動態鏈接庫名稱和版本；根據應用態程序中包含的入口點地址、節大小、對齊大小和偏移地址，按頁為單位計算Hash值，計算過程根據對齊規則對代碼頁進行填充、不足一頁的進行補零，并將重定位地址設置為0；記錄應用態程序名稱、版本、各代碼頁偏移、各個代碼頁大小、Hash值作為度量值，并標注各個代碼段的在文件中的段偏移。

6.根據權利要求2所述的方法，其特征在于，為動態鏈接庫文件生成度量值的步驟包括：按頁為單位計算Hash值，計算過程根據對齊規則對代碼頁進行填充、不足一頁的進行補零，并將重定位地址設置為0；記錄動態鏈接庫名稱、版本、各代碼頁偏移、各個代碼頁大小、Hash值作為度量值。

7.根據權利要求1所述的方法，其特征在于，虛擬化管理平臺直接集成二進制文件度量值生成功能，并將相應的二進制文件度量值相關信息存儲在存儲系統中；或者，虛擬化管理平臺提供二進制文件度量值導入功能，將外部提供的二進制文件度量值相關信息導入到存儲系統。

8.根據權利要求1所述的方法，其特征在于，虛擬化管理平臺能夠將度量值通過管理通道向各個虛擬機管理器主動推送，或者根據虛擬機信息按需推送；

所述主動推送包括：將所有或部分二進制文件度量值向全部虛擬機管理器推送；將新增二進制文件度量值向全部虛擬機管理器推送；將不再允許執行的二進制文件度量值從相應的虛擬機管理器中刪除；

所述按需推送包括：根據人工設置或者根據虛擬機操作系統信息向指定虛擬機管理器推送；在虛擬機管理器注冊、虛擬機啟動、虛擬機遷移階段向虛擬機管理器進行推送。

9.一種二進制文件完整性度量方法，應用于虛擬機管理器，其特征在于，包括以下步驟：

接收虛擬化管理平臺采用權利要求1～8中任一權利要求所述方法推送的二進制文件度量值；

根據二進制文件度量值，對虛擬機中運行程序的完整性進行度量。

10.根據權利要求9所述的方法，其特征在于，虛擬機管理器在對操作系統內核進行完整性度量的步驟包括：虛擬機管理器根據操作系統信息，獲取相關的入口點代碼頁度量值，進行完整性度量，并確定隨后對應的代碼頁度量值，完成對操作系統內核的完整性度量；若在查詢時未發現度量值或者代碼頁的hash值與完整性度量值不一致，則報錯。