導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 電力安全論文>>正文

虛擬機(jī)系統(tǒng)安全綜述

文檔作者：秦中元1 2 沈日勝1 張群芳狄予興站文檔來源： 1．東南大學(xué)信息科學(xué)與工程學(xué)院 2．信息網(wǎng)絡(luò)安全公安部重點(diǎn)實(shí)驗(yàn)室 3．南京炮兵學(xué)院		點(diǎn) 擊數(shù)：	更新時(shí)間： 2021年09月08日
下載地址：點(diǎn)擊這里	文件大?。?437.20 KB 共5頁	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共5頁]

本文件共5頁，如需編輯使用，請(qǐng)下載。

注：預(yù)覽效果可能會(huì)出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大?。?37.20 KB 共5頁文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會(huì)員免費(fèi)）

下一篇：基于二元事故樹電氣系統(tǒng)可靠性評(píng)價(jià)方法

上一篇：多插頭連接電纜硫化模設(shè)計(jì)

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

第29卷第5期
2012年5月
計(jì)算機(jī)應(yīng)用研究
Application Research of Compute礙
V01．29 No．5
Mav 2012
虛擬機(jī)系統(tǒng)安全綜述木
秦中元1’2，沈日勝1，張群芳h，狄予興站
(1．東南大學(xué)信息科學(xué)與工程學(xué)院，南京210096；2．信息網(wǎng)絡(luò)安全公安部重點(diǎn)實(shí)驗(yàn)室，上海201204；3．南京炮
兵學(xué)院a．計(jì)算機(jī)教研室；b．通信教研室，南京211132)
摘要：隨著云計(jì)算的廣泛應(yīng)用，虛擬機(jī)技術(shù)得到了復(fù)蘇和長足的發(fā)展，但同時(shí)也帶來了新的安全威脅，因此對(duì)
于虛擬機(jī)的安全威脅和防御的研究成為目前計(jì)算機(jī)安全界的研究熱．最。以目前廣泛應(yīng)用的虛擬機(jī)xen為例。針
對(duì)虛擬機(jī)的技術(shù)特征分析了所存在的漏洞和威脅，并從計(jì)算機(jī)安全學(xué)的角度提出了相應(yīng)的防御和保護(hù)方法。較
為全面地總結(jié)了目前國內(nèi)外針對(duì)虛擬機(jī)安全各方面相關(guān)的研究成果．通過系統(tǒng)的比較分析，指出了目前存在的
問題，探討了下一步的研究方向。
關(guān)鍵詞：虛擬機(jī)；xe“；安全；防御
中圖分類號(hào)：TP309 文獻(xiàn)標(biāo)志碼：A 文章編號(hào)：100l-3695(2012)05．1618．05
doi：10．3969／i issn．1001．3695．2012．05．004
Survey on Virhlal machine system seeurity
QIN zhong_yuanl”，sHEN Ri—shen91，zHANG Qun、脅93B，DI Yu一】【in936
(1．姒礎(chǔ)礦，咖冊(cè)Ⅱ勘n＆路啦世E昭i地e嘞，島H琥皤l踟“椰毋，№咖礙210096，吼加口；2．脅如6Dm幻可礦乜衙踟#溉^rel"磯s酣“一
n寸如脅n西‘_礦凡6如融礬砂，S^o，螄觚201204，m拋；3．o．c0腳咖腳?？眥，6，c。mm“n蛔#洳D甲Ⅱn拋m，Ⅳn，班凡g，瑚疵啪o，
A嘲l(fā)如叮co≯，№，耐增211132，吼伽口)
Abs￡陽ct：With the widely spread 0f cl鯽d e。mputing，vinu且l maehine拒ehnol。gy revjves and ge姆rapid development，mean—
whiIe，new threats are also introduced． Researches on the threats and defen8es of virtual肌achines have become a hoc t0Dic．
Thjs paper firstly analyzed the vulnerabilities and threats of virtual machines，taking xen as an ex砌ple． Secondly，it imr0一
duced the defense蛐d proted rIle山o(1s which put forwa柑t0 improve the securi竹．FurtIle瑚Dre，“reviewed the state-of．me—art
me￡hods 0n出e virtual machine secu血y．Fina】ly lhe pa{)er d王Bcussed the exlsted pmblems and presented如ture direc吐ons，
Key words： vinIlal machine；Xen；8ecurity；de如nse
虛擬化技術(shù)最早起源于20世紀(jì)60年代，是計(jì)算領(lǐng)域的一
項(xiàng)傳統(tǒng)技術(shù)，虛擬化技術(shù)支持在一個(gè)單一的服務(wù)器之上運(yùn)行多
個(gè)操作系統(tǒng)的服務(wù)器。虛擬機(jī)技術(shù)是虛擬化技術(shù)在計(jì)算機(jī)上
的一種體現(xiàn)，通過內(nèi)存、cPu、網(wǎng)絡(luò)等虛擬化技術(shù)實(shí)現(xiàn)資源的隔
離和可靠利用。目前有很多流行的虛擬機(jī)，如VMware、KV-Ⅵ、
xen”1“，通過研究分析對(duì)比，開源的Xen虛擬機(jī)在性能上十分
優(yōu)越，被認(rèn)為是未來最有前途的虛擬化解決方案之一-3 J。
虛擬化技術(shù)作為云計(jì)算的關(guān)鍵核心技術(shù)，使得云計(jì)算成為
能夠提供動(dòng)態(tài)資源池、虛擬化和高可用性的下一代計(jì)算平
臺(tái)H1，給企業(yè)和用戶帶來了很多的益處；硬件和資源的共享既
節(jié)約r開銷，也為管理帶來了方便，同時(shí)也革新了許多傳統(tǒng)IT
技術(shù)。然而從安全角度來分析，卻又帶來了很多威脅，除傳統(tǒng)
的攻擊威脅之外，如隱蔽通道【5 J、基于VM的R刪bt攻擊
(VMBR)∞o以及新的惡意軟件等也隨之而來。虛擬化技術(shù)作
為云計(jì)算的核心技術(shù)，必須向其用戶提供安全性和隔離保
證“。。2009年，在IDc以虛擬化技術(shù)為基礎(chǔ)的云計(jì)算的用戶
調(diào)查中就顯示，安全是用戶最關(guān)心的關(guān)鍵點(diǎn)[8]。
本文從虛擬機(jī)系統(tǒng)的原理、架構(gòu)入手，從虛擬機(jī)系統(tǒng)的關(guān)
鍵技術(shù)如資源隔離、共享等方面研究系統(tǒng)可能存在的安全威
脅，然后，根據(jù)安全隱患提出理論上的保護(hù)方法。在總結(jié)前人
研究成果的基礎(chǔ)上，較為全面地總結(jié)了目前國內(nèi)外針對(duì)虛擬機(jī)
安全各方面相關(guān)的研究成果，指出了目前存在的問題．探討了
下一步的研究方向。
1虛擬機(jī)技術(shù)
虛擬機(jī)技術(shù)最早由IBM于20世紀(jì)60年代提出，被定義為
硬件設(shè)備的軟件模擬實(shí)現(xiàn)，通常的使用模式是分時(shí)共享昂貴的
大型機(jī)。目前，虛擬機(jī)中用到的虛擬化技術(shù)主要有網(wǎng)絡(luò)、內(nèi)存、
cPU、硬盤虛擬化技術(shù)。在虛擬機(jī)環(huán)境中，硬件層與虛擬機(jī)系
統(tǒng)之問存在一層虛擬機(jī)監(jiān)視器(vinual macbineⅡIomtor，
VMM)，是虛擬機(jī)的核心層，負(fù)責(zé)上層虛擬機(jī)系統(tǒng)的資源分配
和底層交接。
1．1虛擬機(jī)架構(gòu)
本文將以虛擬機(jī)xen為例，介紹虛擬機(jī)架構(gòu)和原理。xen
是由英國劍橋大學(xué)計(jì)算機(jī)實(shí)驗(yàn)室開發(fā)的一個(gè)開源項(xiàng)目歸]。
xen主要由兩個(gè)組成部分，一個(gè)是虛擬機(jī)監(jiān)控器VMM，也叫
HypewisoT。聊eⅣisor層在硬件與虛擬機(jī)之間，是最先載人到
硬件的第一層。在xen中，虛擬機(jī)稱為Domain，其中DorIlain 0
收襁日期：20】1一09—30：修回日期：2011 n—12 基金項(xiàng)目：信息網(wǎng)絡(luò)安全公安部重點(diǎn)實(shí)驗(yàn)室開放課題(cll605)；江蘇毒網(wǎng)絡(luò)與信息安
全重．董實(shí)驗(yàn)室開放課題基金資助項(xiàng)目(BM2003201)
作者簡介：秦中元(1974一)，男．河南安陽人，副教授，博士，主要研究方向?yàn)樵朴?jì)算安全(zyqin@8∞．耐u．cn)；沈B勝(1986一)，男，碩士研究生，主
要研究方向?yàn)樘摂M機(jī)安全；張群芳(198l一)，女，助教，碩士，主要研究方向?yàn)榫W(wǎng)絡(luò)安全；狄予興(1973．)。男，講師，碩士，主要研究方向?yàn)橥ㄐ啪W(wǎng)安奎．
萬方數(shù)據(jù)
第5期秦中元，等：虛擬機(jī)系統(tǒng)安全綜述·1619·
扮演著很重要的角色，負(fù)責(zé)其他虛擬機(jī)的控制管理和硬件驅(qū)動(dòng)
等，同時(shí)Domain 0還負(fù)責(zé)其他Domain的數(shù)據(jù)傳遞。xen的架
構(gòu)如圖1所示。
圈l X∞瘟擂沛請(qǐng)g櫥
在xen虛擬機(jī)系統(tǒng)中，在安全級(jí)別上分為四個(gè)等級(jí)(0—3一
riIlg)，VMM運(yùn)行在特權(quán)模式(0一ring)，負(fù)責(zé)控制資源的隔離、
共享、數(shù)據(jù)處理等，為每個(gè)虛擬機(jī)虛擬一套獨(dú)立于實(shí)際硬件的
虛擬硬件環(huán)境(包括處理器、內(nèi)存、L／O設(shè)備等)，并仲裁虛擬機(jī)
0s對(duì)底層硬件的訪問。
1．2虛擬機(jī)安全特征
將虛擬機(jī)架構(gòu)抽象化，那么虛擬機(jī)主要由硬件、vMM、vMs
及Domain O四部分組成。下面將列出這四部分的一些關(guān)鍵特
征，以及在安全角度上分析其可能帶來的安全影響。
1．2．1硬件
隨著虛擬機(jī)技術(shù)的廣泛應(yīng)用，目前，很多硬件針對(duì)虛擬化
技術(shù)進(jìn)行了拓展，如AMD和Intel相繼針對(duì)全虛擬化拓展了
AMD．V和htel vT【l叫技術(shù)，通過多余的指令集來控制虛擬過
程。除此之外，虛擬機(jī)技術(shù)的硬件特征體現(xiàn)在陷進(jìn)執(zhí)行””和
可信模塊上”?。
a)陷進(jìn)。在所有x86的硬件平臺(tái)下，陷進(jìn)執(zhí)行是支持虛擬
化的重要特征，虛擬域本身并不能直接訪問本虛擬域以外的物
理資源，但是虛擬域可以通過超級(jí)調(diào)用(hypercall)向腳ervisor
申請(qǐng)各種服務(wù)，如MMu更新、∥0處理、對(duì)虛擬域的管理等。，
b)可信模塊。它是可選硬件特征，目前可信計(jì)算已成為
了安全工具的一部分，而通過可信計(jì)算來確保VMM代碼上的
完整性也是保護(hù)虛擬機(jī)系統(tǒng)的重要方法之一。。
1．2．2虛擬機(jī)管理器
在虛擬機(jī)環(huán)境中，VMM是核心。VMM可以完成如下一些
功能：a)網(wǎng)絡(luò)管理，配置網(wǎng)絡(luò)及網(wǎng)絡(luò)數(shù)據(jù)包的轉(zhuǎn)發(fā)，而VMM的
這一特征也可以用于數(shù)據(jù)包過濾，如為上層的安全服務(wù)提供入
侵檢測阻“．b)安全日志管理，通過監(jiān)測，VMMs能對(duì)VM的事
件行為進(jìn)行記錄，并保存在VM的空間外，可以利用這些丑志
信息對(duì)VM進(jìn)行人侵分析”到；c)認(rèn)證，當(dāng)VM運(yùn)行時(shí)，對(duì)VM
的關(guān)鍵數(shù)據(jù)和進(jìn)程進(jìn)行h“h存儲(chǔ)，當(dāng)VM系統(tǒng)發(fā)生數(shù)據(jù)改變
或者進(jìn)程調(diào)用時(shí)，可以用于認(rèn)證依據(jù)。這個(gè)功能在VM完整性
保護(hù)和可信模塊上可以得到很好的利用”“。
1．2。3 Domain 0
Domain 0是VM的控制域，相當(dāng)于所有VMs中擁有mot
權(quán)限的管理員，其他VM的創(chuàng)建、啟動(dòng)、掛起等操作都由Do—
mainO控制。除此之外，Domain 0還具有直接訪問硬件的權(quán)
利，在Domain O中安裝了硬件的原始驅(qū)動(dòng)，擔(dān)任著為Domain u
提供硬件服務(wù)的角色，如網(wǎng)絡(luò)數(shù)據(jù)通信(DMA傳輸除外)。D0一
main O在接收數(shù)據(jù)包后，通過虛擬網(wǎng)橋技術(shù)，根據(jù)虛擬網(wǎng)卡地
址將數(shù)據(jù)包轉(zhuǎn)發(fā)到目標(biāo)虛擬機(jī)系統(tǒng)中，因此，擁有Domian O的
控制權(quán)限就控制r上層所有虛擬機(jī)系統(tǒng)，這也致使Domain 0
成為了攻擊者的又一個(gè)主要目標(biāo)。
1．2．4 VM
vM的0s運(yùn)行與傳統(tǒng)意義上的操作系統(tǒng)并無兩樣，但是
因?yàn)閂MM的存在，VMM可以將VM當(dāng)做軟件一樣進(jìn)行鏡像存
儲(chǔ)和系統(tǒng)快照，以用于復(fù)制、備份、狀態(tài)保留等。
2虛擬機(jī)安全分析
在前面的章節(jié)中系統(tǒng)地介紹了虛擬機(jī)的一些關(guān)鍵特征，并
且從安全角度進(jìn)行了分析。本章中將從整個(gè)虛擬機(jī)的架構(gòu)上
對(duì)虛擬機(jī)存在的安全威脅進(jìn)行分析。
2．1攻擊威脅
虛擬機(jī)系統(tǒng)比起傳統(tǒng)的計(jì)算機(jī)系統(tǒng)存在更多的攻擊點(diǎn)及
安全隱患。通過分析，得到虛擬機(jī)的攻擊模型如圖2所示，圖
中箭頭表明所受攻擊威脅來源。本文只考慮虛擬機(jī)系統(tǒng)中存
在的安全分析，針對(duì)VM的傳統(tǒng)攻擊，諸如病毒攻擊和網(wǎng)絡(luò)攻
擊等將不再細(xì)述。
說鯽明M：劉①Ⅷ—l傳§統(tǒng)啵攻擊《(泌妒呻一l∞VM測弼h0V吼嗡攻擊
⑤一v姍的外部攻擊
圖2虛擬機(jī)威脅分析
2．1．1 VMM的外部攻擊
目前針對(duì)VMM的外部攻擊主要有兩種，一種是基于VM
的Rootbt攻擊，另一種是惡意代碼攻擊。
a)VMBR_】5’”J。攻擊者利用Rootkit隱藏自己的蹤跡，通
過保留mot訪問權(quán)限，留下后門的程序集。VMBR的攻擊會(huì)在
VMM的啟動(dòng)之前將程序代碼寫入內(nèi)存并運(yùn)行，一旦攻擊者得
逞，那么所有虛擬機(jī)系統(tǒng)都將在攻擊者的控制范圍之內(nèi)。目前
比較出名的VMBR攻擊有Blue pill等。檢測及防御VMBR攻
擊的方法分析如下：(a)通過計(jì)時(shí)的方法，有一些指令的執(zhí)行
是通過虛擬出來的，所占用的cPu周期會(huì)比真實(shí)的時(shí)間長，可
以通過這種方法來進(jìn)行檢測；(b)通過可信模塊11PM來進(jìn)行
VMM的保護(hù)川，通過啟動(dòng)過程的完整監(jiān)測，可以防止Rootkit
的隱蔽插入，TPM的設(shè)計(jì)不但可以抵御VMBR的攻擊，同時(shí)也
可以防御其他破壞VMM完整性的攻擊。
b)惡意代碼。攻擊者可以利用遠(yuǎn)程攻擊方法，虛擬機(jī)系
統(tǒng)的遠(yuǎn)程管理技術(shù)大多足用HTI下}／HⅡPs來連接控制的，因
此，VMM必須運(yùn)行服務(wù)器來接受H7rrP連接。那么攻擊者就
可以利用HTrP的漏洞來進(jìn)行惡意代碼的攻擊，如xen的xen
API H1frP接口就存在xSs(cross—sit scripting)漏洞，攻擊者可
以通過瀏覽器執(zhí)行惡意代碼腳本。
2．1．2 VM對(duì)Domain 0的攻擊
Domain 0具有管理其他VM的特權(quán)，VM到Domain O的攻
擊體現(xiàn)在殍l嘣一to—host的攻擊來獲取host的特權(quán)，而VM es—
capeu剮就是這種模式的攻擊。VM通過應(yīng)用程序，繞過VMM
的監(jiān)控而直接訪問Domain O，從而獲取Domain 0的特權(quán)，而一
旦獲取到了Domain 0的控制權(quán)后，就可以控制所有VM。這些
萬方數(shù)據(jù)
·1620· 計(jì)算機(jī)應(yīng)用研究第29卷
攻擊是利用所發(fā)現(xiàn)的bug來實(shí)施的，如VMware workstation 6
cVE-2007_4496-l?，通過用戶授權(quán)，進(jìn)行內(nèi)存訪問和運(yùn)行惡意
代碼。另外，VM還可以利用共享內(nèi)存通信方式對(duì)VMM進(jìn)行
病毒分析。
2．1．3 VM之間的攻擊
VMs之間的攻擊體現(xiàn)在通過共同訪問的資源來進(jìn)行惡意
攻擊。其中隱蔽通道是一個(gè)難以解決的問題，攻擊者通過進(jìn)
程、內(nèi)存共享或內(nèi)存錯(cuò)誤，甚至其他錯(cuò)誤信息來進(jìn)行代碼的植
入和攻擊”“，目前也尚未得到很好的解決。
2．2其他安全隱患
a)備份、快照及還原漏洞，在虛擬機(jī)中，VMM提供了備
份、快照和還原的功能，一旦系統(tǒng)崩潰了，可以通過快照進(jìn)行還
原，這為系統(tǒng)的維護(hù)帶來了方便且具有實(shí)效性。然而這也導(dǎo)致
了新的問題發(fā)生：(a)這種機(jī)制使得VMs容易受到新的攻擊，
因?yàn)樵S多安全攻擊是依賴于線性時(shí)間的，重新訪問以前的系統(tǒng)
狀態(tài)會(huì)違反這些協(xié)議；(b)還原后，系統(tǒng)以前存在的漏洞會(huì)全
部出現(xiàn)，可能沒有安全補(bǔ)丁，或舊的安全機(jī)制(防火墻規(guī)則、反
病毒簽名等)，重新激活先前那些封鎖的賬號(hào)和密碼，這都帶
來了很多的安全隱患。
b)DMA攻擊。在虛擬中有一種數(shù)據(jù)傳輸不受VMM控
制，這就是DMA傳輸。VM通過D0main o與硬件建立DMA連
接，而后將數(shù)據(jù)控制權(quán)交由VM進(jìn)行數(shù)據(jù)傳輸，在數(shù)據(jù)傳輸?shù)?
過程中，數(shù)據(jù)將直接從網(wǎng)卡傳輸?shù)侥康腣M中，在大數(shù)據(jù)量的
傳輸效率上有很大的提高。然而，這也為攻擊者提供了方便，
攻擊者將輕而易舉地利用DMA方式將惡意代碼或者病毒文
件等傳人沒有安全防范的目標(biāo)機(jī)中，從而達(dá)到攻擊的目的。
3虛擬機(jī)系統(tǒng)研究現(xiàn)狀
目前針對(duì)虛擬安全的研究可以分為如下幾類，如圖3所示。
a)安全Hypervisor。在保護(hù)Hypervisor的同時(shí)，保護(hù)VMs
資源隔離性、數(shù)據(jù)安全性、通信安全性以及代碼完整性等。
b_)針對(duì)專門攻擊的防御研究。針對(duì)特定攻擊，如VM—
BR_16。攻擊、網(wǎng)絡(luò)攻擊、通信數(shù)據(jù)保護(hù)等。
c)可信計(jì)算。以唧M為硬件基礎(chǔ)，建立可信Hypervisor、
可信安全域或通過可信鏈確保上層安全。
d)安全應(yīng)用。如通過入侵檢測和蜜罐等技術(shù)來進(jìn)行系統(tǒng)
保護(hù)。
圖3虛擬機(jī)安全研究分類
3．1 安全Hype嘶sor研究
HypenTisor是虛擬機(jī)的核心層，而虛擬機(jī)的安全研究也是
以Hypervisor為核心。很多研究人員提出了安全Hypervi80r的
概念，目前針對(duì)安全Hypemsor的研究較多。
IBM研究人員Sailer等人。20’提出了一種安全的Hypervisor
架構(gòu)sHype，利用安全模型，通過訪問控制模塊(acces8 control
modllle，AcM)來控制系統(tǒng)進(jìn)程、內(nèi)存的訪問，實(shí)現(xiàn)內(nèi)部資源安
全隔離。sHype町以實(shí)行多種安全模型，但只是針對(duì)明確數(shù)據(jù)
流進(jìn)行限制，而并未過多顧慮隱蔽通道∞1威脅。sailer等人【2lj
在虛擬機(jī)xen上進(jìn)行了sHype架構(gòu)的實(shí)現(xiàn)。目前在xen虛擬
機(jī)上，已經(jīng)可以配置AcM安全模塊。
G柚nkel等人H4l提出了基于虛擬機(jī)的可信架構(gòu)Tem，利
用TPM來保護(hù)H)rpervisor的啟動(dòng)，然后通過可信虛擬機(jī)監(jiān)視器
對(duì)VM進(jìn)行硬件資源隔離。這種設(shè)計(jì)保證了Hypentisor啟動(dòng)
的安全，同時(shí)可信鏈的存在可以對(duì)系統(tǒng)事件進(jìn)行認(rèn)證。但Te—
ra的提出只是在理論上進(jìn)行了研究分析，在實(shí)際中還未完成真
正的實(shí)現(xiàn)，這也是Tem架構(gòu)的一大主要問題。
wang等人“副提出了Hype商舶架構(gòu)，針對(duì)代碼和控制數(shù)
據(jù)的完整性保護(hù)提出了相關(guān)的模型研究。文中提到了兩種技
術(shù)：a)Non-bypassable memory lockdowIl，是一種內(nèi)存保護(hù)技術(shù)，
通過特殊位wP來控制是否能寫，除了安全史新之外，其他時(shí)
間都處于保護(hù)狀態(tài)，保證了執(zhí)行期間的數(shù)據(jù)和代碼完整性-b)
Restricted pointer indexirIg，通過將控制數(shù)據(jù)指針限制到一個(gè)自
己建立的表中進(jìn)行監(jiān)控。Hypersafe能靈活地控制數(shù)據(jù)流的完
整性。
一些研究人員針對(duì)當(dāng)前虛擬機(jī)中安全機(jī)制的一些漏洞進(jìn)
行了分析和改進(jìn)，Jansen等人“2。提出一種PEV(pmtection、en—
forcement、ve商cation)架構(gòu)，通過加密解封的協(xié)議、安全策略等
技術(shù)進(jìn)行數(shù)據(jù)檢測和保護(hù)，并使用TPM建立可信區(qū)域來保護(hù)
關(guān)鍵數(shù)據(jù)；但是其關(guān)鍵數(shù)據(jù)是通過數(shù)據(jù)類型日志形式來保存
的，對(duì)數(shù)據(jù)日志項(xiàng)的加／解密勢必影響整個(gè)虛擬機(jī)系統(tǒng)的性能。
針對(duì)DMA攻擊，shitK啪wa等人【2?通過先開辟內(nèi)存緩沖區(qū)進(jìn)
行數(shù)據(jù)檢測，然后從緩沖區(qū)將安全數(shù)據(jù)拷貝到目標(biāo)系統(tǒng)的物理
內(nèi)存區(qū)。他們提出了一個(gè)pa“pass—thmugh arcllitecture的架構(gòu)，
將很多設(shè)備的驅(qū)動(dòng)直接交由客戶系統(tǒng)本身，而自身只配置了一
個(gè)parapass·t}uDugll出vers驅(qū)動(dòng)集，通過在Hypervisor中對(duì)指令
和數(shù)據(jù)的截取來進(jìn)行安全監(jiān)控，從而提高了整個(gè)系統(tǒng)的可靠性。
Azab等人Ⅲo提出了HyperSentu。當(dāng)完整性檢測模塊在
激活時(shí)，如果VMM已經(jīng)被攻擊，那么在激活過程中會(huì)擦除以
往的攻擊痕跡，因此文章提出了一種隱蔽的激活方法，通過外
部的out—of-band信道IPMl來激活，并通過系統(tǒng)管理模塊sMM
來保護(hù)基本代碼和關(guān)鍵數(shù)據(jù)的安全性。同時(shí)在文獻(xiàn)[25]中，
他們還提出了一種基于Hvpenrisor的虛擬機(jī)系統(tǒng)VMs完整性
測試代理HIMA，可以實(shí)現(xiàn)客戶系統(tǒng)關(guān)鍵事件的動(dòng)態(tài)監(jiān)視和客
戶內(nèi)存的保護(hù)，在程序完整性測試上通過對(duì)加載到內(nèi)存的代碼
和數(shù)據(jù)段進(jìn)行哈希計(jì)算來確認(rèn)完整性；在內(nèi)存保護(hù)上，HIMA
通過訪問權(quán)限限制來保護(hù)客戶內(nèi)存，并使用測試虛擬域內(nèi)存地
址的哈希方法來確保頁映射中發(fā)生的安全問題。wu等人。2副
研究了基于Hypewisor的系統(tǒng)控制和監(jiān)視機(jī)制，利用Hypenisor
來進(jìn)行客戶系統(tǒng)的安全保護(hù)，提出了BMcs(behavior moni—
toring aIld controUing system)的模塊來完成系統(tǒng)中的行為監(jiān)控。
xu等人舊“提出了一種基于VMM的0s內(nèi)核保護(hù)模型uc0N，
通過基于事件的策略持續(xù)而實(shí)時(shí)地檢測系統(tǒng)。
3．2針對(duì)特定攻擊的安全研究
隨著虛擬機(jī)的廣泛應(yīng)用，日前針對(duì)虛擬機(jī)的漏洞攻擊也有
很多種，主要體現(xiàn)在VMBR攻擊¨“、內(nèi)存錯(cuò)誤等隱蔽通道攻
擊H’”J、網(wǎng)絡(luò)攻擊等。有很多安全研究人員針對(duì)這些攻擊進(jìn)
行了研究，并提出了相關(guān)的解決方法。
針對(duì)VMBR的攻擊，Rhee等人。291利用一些安全策略，通
過監(jiān)視內(nèi)核的內(nèi)存訪問來防御動(dòng)態(tài)數(shù)據(jù)內(nèi)核Rootkit攻擊，Ri-
萬方數(shù)據(jù)
第5期秦中元，等：虛擬機(jī)系統(tǒng)安全綜述·1621·
ley等人m1提出了通過內(nèi)存影子來檢測內(nèi)核Rootkit攻擊。Ge—
bh“dtd等人舊川提出了利用可信計(jì)算來防御Hypervisor的Ro—
o蚰t攻擊。
針對(duì)虛擬機(jī)系統(tǒng)中存在的網(wǎng)絡(luò)方面的威脅，如拒絕服務(wù)攻
擊(Dos)，IJakshmi等人”2’提出了一種新的I／0虛擬架構(gòu)，為
每個(gè)VM配置一個(gè)虛擬網(wǎng)卡，VM可以通過自身的網(wǎng)卡驅(qū)動(dòng)與
虛擬網(wǎng)卡直接進(jìn)行通信，然后通過VMM監(jiān)視每個(gè)VM的數(shù)據(jù)
流，在防御諸如DMA的無控制漏洞和Dos攻擊等威脅的同
時(shí)，也可以提高網(wǎng)絡(luò)性能。
隱蔽通道是較難解決的安全問題之一，因?yàn)榇嬖诘碾[蔽通
道通常是用戶和系統(tǒng)不可知的傳輸通道，如基于CPu負(fù)載的
隱蔽通道凹”，攻擊者利用cPu的負(fù)載傳輸私密數(shù)據(jù)流，既能
很隱蔽地傳輸數(shù)據(jù)，又能成功地避免檢測。salaunbo研究了虛
擬機(jī)xen上可能存在的隱蔽通道，從xenstore的機(jī)制、共享協(xié)
議、驅(qū)動(dòng)加載、數(shù)據(jù)傳輸?shù)确矫娣治隽丝赡艽嬖诘碾[蔽通道。
隱蔽通道的建立和數(shù)據(jù)傳輸通常是需要“同伙的存在”，即接
收者和發(fā)送者的存在。cheng等人Ⅲo根據(jù)這一特征，在chj—
nese wall的安全模型上進(jìn)行了改進(jìn)，利用限制沖突集數(shù)據(jù)傳輸
來防御隱蔽通道。
3．3可信計(jì)算
在前面的介紹中已經(jīng)提到了，一些研究人員提出用可信計(jì)
算來保護(hù)系統(tǒng)的完整性。catuogllo等人¨糾研究了一個(gè)基于
TcB的可信虛擬域的設(shè)計(jì)和執(zhí)行，通過安全策略和TVD協(xié)議
實(shí)現(xiàn)可靠性。BeEger等人m1則通過軟件方法設(shè)計(jì)了基于硬件
TPM的虛擬1PM來保證多個(gè)VM的可靠性。而Ruan等人口“
設(shè)計(jì)了一個(gè)一般的可信虛擬平臺(tái)架構(gòu)c下vP，將控制域分為管
理、安全、設(shè)備、Os成員、通信五個(gè)域，每個(gè)域都完成相應(yīng)的功
能，從而達(dá)到了安全、負(fù)載均衡和易用等目的。，程川舊81提出了
一種基于xen的信任虛擬機(jī)安全訪問機(jī)制，為用戶提供了一
種有效的安全訪問敏感數(shù)據(jù)的模式。其核心思想是利用虛擬
機(jī)的隔離性，為數(shù)據(jù)信息應(yīng)用提供一個(gè)專用的隔離環(huán)境，同時(shí)
利用可信計(jì)算技術(shù)保證該虛擬平臺(tái)配置狀態(tài)的可信性。
3．4安全應(yīng)用
中間層VMM的存在使得一些傳統(tǒng)的安全技術(shù)能得到更
好的利用，因此，一些研究人員利用傳統(tǒng)的安全技術(shù)如入侵檢
測技術(shù)來提升系統(tǒng)的安全性。Jansen等人b叫提出了通過虛擬
化來提高系統(tǒng)的安全性和獨(dú)立性。首先在安全主域配置入侵
檢測系統(tǒng)，通過對(duì)客戶機(jī)的用戶命令所獲取的信息和內(nèi)核內(nèi)存
所獲取的信息比較來進(jìn)行人侵分析；然后通過設(shè)置保護(hù)模塊獲
取客戶機(jī)系統(tǒng)調(diào)用，進(jìn)行進(jìn)程等事件管理，實(shí)現(xiàn)完整性保護(hù)。
張志新等人Ⅲ1提出了基于xen的入侵檢測服務(wù)，通過在VMM
層設(shè)置入侵檢測系統(tǒng)，使得這個(gè)入侵檢測系統(tǒng)位于監(jiān)控所有對(duì)
操作系統(tǒng)的人侵事件的最佳位置，并處于一個(gè)獨(dú)立于操作系統(tǒng)
之外的受保護(hù)的空間內(nèi)，增強(qiáng)了入侵檢測系統(tǒng)的獨(dú)立性和檢測
能力，是傳統(tǒng)的基于主機(jī)和網(wǎng)絡(luò)入侵檢測系統(tǒng)優(yōu)點(diǎn)的完美
結(jié)合。
3．5尚存在的問題
通過上文的分析可以發(fā)現(xiàn)，在國內(nèi)外針對(duì)虛擬機(jī)系統(tǒng)的安
全研究已陸續(xù)出現(xiàn)很多，針對(duì)不同角度的安全研究都存在，從
整體分析來說，尚且存在如下一些問題：
a)沒有從整體安全上進(jìn)行設(shè)計(jì)，只是從單一的一方面進(jìn)
行了研究，如sH)rpe洶1只是針對(duì)明確數(shù)據(jù)流，沒有考慮到隱蔽
通道等安全。
b)一些研究設(shè)計(jì)過于復(fù)雜。在實(shí)施上存在問題，如Tem
架構(gòu)u4l，雖然作者的設(shè)計(jì)理念十分突出，但是至今沒能設(shè)計(jì)出
合適的實(shí)現(xiàn)平臺(tái)。
c)忽略了性能的因素。出于安全的考慮，通過策略來進(jìn)
行系統(tǒng)的完整性保護(hù)，如uc0N保護(hù)模型‘2”，但是在Linux系
統(tǒng)中，由于資源眾多，將存在50 000種策略狀態(tài)，那么在實(shí)際
中將嚴(yán)重影響系統(tǒng)的性能。有些研究人員針對(duì)存在的一些系
統(tǒng)復(fù)雜性進(jìn)行了改進(jìn)，如Pa”e等人H“提出了分層的訪問控制
模型，在很大程度上簡化了訪問控制模塊中的主客體關(guān)系鏈。
d)忽略了安全模塊自身的安全，一旦安全模塊自身被攻
擊，那么相關(guān)的安全將得不到保障，如HIMA∞1、Bitvisor口?。
4結(jié)束語
本文旨在進(jìn)行虛擬機(jī)系統(tǒng)的安全分析，總結(jié)目前已有的研
究成果，并指出其中存在的問題。首先以虛擬機(jī)Xen為例，介
紹了虛擬機(jī)的架構(gòu)和關(guān)鍵技術(shù)，并從安全的角度對(duì)虛擬機(jī)中的
這些特征和存在的漏洞進(jìn)行了分析，然后系統(tǒng)地介紹了虛擬機(jī)
環(huán)境中存在的攻擊模型，分析了目前存在的一些攻擊方式，并
針對(duì)這些攻擊方式提出了相應(yīng)的防御方法。其次還對(duì)目前針
對(duì)虛擬機(jī)安全的研究現(xiàn)狀進(jìn)行了概括總結(jié)，主要體現(xiàn)在安全
H)，pervisor、安全虛擬機(jī)架構(gòu)、特定攻擊安全研究、可信計(jì)算等
幾個(gè)方面。同時(shí)，本文還分析了目前研究存在的一些問題。在
后續(xù)研究中，筆者將在前人研究的基礎(chǔ)上進(jìn)行安全虛擬機(jī)管理
器的研究，設(shè)計(jì)一個(gè)安全可靠的虛擬機(jī)管理器架構(gòu)。
參考文獻(xiàn)：
[1] BINu A，KIJMAR G s．vi咖alj勰tion techniques：a m砒0dical review
“xen aIld KVM[c]／／Proc 0f tlle l st Intemahonal conference on
Adva工lces in Cor“puti“g and Cmnmunic8tions．Bedhl：SpIi“ger-Vedag，
2011 1399-4lO．
[2]wANG xi，CHENG Chuall．Acoe88 contr01 using tnlsted virnlal ma_
chille b船ed on x蚰[c]／／Proc of Intemation日l confer衄ce on Applied
Informatics aIld Com刪nic“on．Berlin：Spri“ger-Vedag，201l：94-
101．
[3]石磊，鄒德清，金海．xen虛擬化技術(shù)[M]．武漢：華中科技大學(xué)
出版社．2009．
[4]陳康，鄭緯民．云計(jì)算：系統(tǒng)實(shí)例與研究現(xiàn)狀[J]．軟件學(xué)報(bào)，
2009，20(5)：1337．1348．
[5]sALAuN M．Practical 0veⅣiew of axeIl covert channel[J]．JoumaI
In Computer Virology，2010，6(4)：317-328
[6] PRIcE M．。nl。paradoxof securi‘y iⅡvinual envjmnⅡlents[J]．Computer，
2008，41(11)：22-28．
[7]馮登國，張敏，張妍，等．云計(jì)算安全研究[J]．軟件學(xué)報(bào)，20ll，
22(11：22—28．
[8] IDc．New IDc IT c1刪d se州ce8 suw8y：t叩b朗e6ts aIld challe“ges
[EB／oL] (2009-11-15)．hnp：／／b109s．idc．corn／ie／?p=730．
[9] BA上i【HAM P，DRAGOVlc B，F(xiàn)RAsER s，d d．xen卸d the an of
vinualiza60n[c]／／Proc of tIIe 19th ACM Sy瑚p∞ium吼Opemting
Systems Principles．New York：ACM脅ss，2003：l“一177．
[10]zHANG xiao—tao：DONG Y加-zu．Opdmjzi“g xen VMM based on hltel@
virhl“zation technolo盯[c]／／Proc 0f Inkm撕onaI conkence
衄Intemet C0mpu血g in Sci衄ce卸d E“glne面“g．Washi“gLon DC：
IEEE Conlpu【er Society，2008：367-374．
[11]BRATus s，L0cAsTO M E，RAMASwAMY A，椰口f．Thps，events，
emula60n，and enfjrcement：mana百“g出e Yin a工ld Y鋤g 0f virtualiza—
萬方數(shù)據(jù)
·1622· 計(jì)算機(jī)應(yīng)用研究第29卷
tion_based sectlrity[c]／／Proc of the 1st AcM workshop on Vinual
Machine Security．New Y講t：ACM Press，2008：49-58，
[12]uu DoⅡg-]【i，皿E J，JANG JuJi明，鐘耐．A cl傭d architect山七of vir_
tllal tnlsted pl甜疏l module8[C]／／Proc of IEEE／IHP ktemational
Conference帆Embedded鋤d Ubiquitous Compud“g．W船hin乎on
DC：IEEE Computer Sf比iety，2010：804-811．
[13]ALsHAwABKEH M，MOFFIE M，AzMANDlAN F，酣。f．E伍ecdve
virtual machjneⅡ10nit0T intnlsion detection usinB feature selec旺on嘰
hi圳y iIIlbal觚ced d咖[c]／／P10c of tlle 9th Intem撕onal co凼rence
on Maclline karIling and Applications．Washington DC：I既E C哪一
pmer S0ci嘟，20加：823—827．
[14]GARFlNKEL T，PFAFF B，CHOw J，耐df．Ter阻：a virtual machine_
based pla曲nn for tmsled computing[c]／／PIoc of the 19tIl AcM
SymposiuⅢ(m Operati“g Systems Pdnciples New Yurk：ACM Press，
2003 193·2()6．
[15]KING s T，cHEN P M，wANG Yi—min，毗口f．SubVin：implementi“g
m凸上ware誦￡b訂m血腳achines[c]／／noe 0f IEEE symp蚰ium 0n se—
cu—ty and P—Vaoy．Wa8hin殍on DC：IEEE Computer Society，2006：
314．327．
[16]wEN Y粕，HuANG Min—huan，zHAO Jin．jing，以耐．hnphcit detecti
徹0f stealtll 8dtware w“h a 10cal．booted virtlId m∞hine[c]／／I’oc
of tlle 3rd Intem8吐帥al CoIlfjrence 0n IrlfoⅡnadon Scienee8粕d Interaction
Seience8．W勰hinglon DC：IEEE Computer Society，2010：152—
157．
[17]zHANG shi_bin，xu chun—xiaJlg，LONG Ya—xillg．study on te瑚inal
tmsted啪del based on trIlsted compud“g[c]／／Proc of Intemational
Cor如rence on Intemet Tecllnology a11d Applicahons．W鼬hin殍on DC：
IEEE Computer Society，2011：1-4．
[18]wANC Zlli，JIANC Xu-xi鋤．Hypers出：aliglltweight印pr0牝hto pr0·
videli觚me hyp硎80r contIol—n洲inte函ty[C]／／Proc 0fIEEE Sylll—
p∞ium on Secu^ty and確vacy．W＆shingIon DC：IEEE C0mpu婦s0-
cie竹，2010：380-395．
[19]MrrRE corp盯ad曲．common vIlln盯abihhes alld expo蚍res list[EB／
0L]．2009-03-16(20n)．ht‘p：／／cve．Ⅲitre．or∥cve／．
[20]SAILER R，VALDEz E。JAEGER T，酣“．sHype：8ecure hypeⅣi80r
8ppmach t0 tm8ted virtualized gys把ms，Rc2351 1[R]．New York：
IBM Research．2()05
[21]sAILER R，JAEGERT，VALDEz E，硝df．Building aMAc．based sec
皿ty arc婦ecture for血e x曲叩肌_source hypeni∞f[c]／／P10c of
the 2l st Annual Corllputer Secudty Appbca嘶ns Conference．W鵲hington
DC：IEEE Computer Society，2005：276—285．
[22]JANSEN B，RAMASAMY H V，sCHUNTER M．Pohey enfoTc鋤em
粕d compli鋤c。p瑚f8forxen、rirtllalmacllines[c]／／Proc oftlle 4th
Intema60nal C0nfeTence 0n Virtual Executi伽En“ronmen協(xié)．New
Yorl【：ACM Pre鷂，2008：lOl—llO．
[23]sHINAGAwA T，EIRAKu H，TANlMoTO K，e￡Ⅱf．Bitvisor：a thin
hypervisorfor enforcingI／O device sec謝ty[C]／／Proc ofAcM sIGP·
LAN，／SIGoPS hnema6加丑I Conference on Vi咖al Execution Environ—
ment8．NewYork：ACM Pre鷦．2009：121—130．
[24]AzAB A M，NING Pe“g，wANG珊，以8f．Hypersentry：enabb“g
g【eal吐ly ln-context measurement 0f hyP盯visor inte酊ty[c]／／Proc 0f
the 17tll ACM C叩fer即ce 0n CoInputer aIld Con蚰uIlic撕ons secu血y．
New York：ACM Pres8．2010：38-49．
[25]AzAB A M，NING Peng，SEzER E C，耐Ⅱ￡．HIMA：a hype而sor_based
inte鰣ty me舯lⅡement 89ent[c]／／Pmc 0f the 25tIl A珊ual computer
securi‘y Applicali衄s co出rence．Washington Dc：IEEE computer
Socle【y，2009：461-470
[26]wu Qing-bo，wANG chun—gLlang，TAN Yu·song．system nlonit06“g
∞d cont枷ing lllechallim ba∞d 0n hypenisor[c]／／№0fⅢEE
Intema“onal syⅢpo苗um on P烈lel and Distributed Ihessi“g with
Applic砒ions．W∞hiIlgton DC：IEEE Computer Socie【y，2009：549—
554．
[27]xu Min，JIANG xu-xi蚰，sANDHu R，越越．Towards a VMM_b船ed
us89e con打ol h獅ewoIl【for 0s kernel inte—ty pmtecnon[c]／／№
0f the 12tll ACM symp_0sium on Access C佃trol Models鋤d Tecllnologies．
New York：ACM Plress，2【K)7：7l一80．
[28]wu Jing-zheng，DING Ij—piⅡg，WANG Y嘰g講，甜口f．Identi&amp;amp;ation
鋤d evalua6蚰0f sb蚵ng m咖ory covert 6皿ng channel in Xen virtual
machines『C]／／n優(yōu)0f the 4tIl hltem缸0nal C0nfbrence∞CIoud
Computi“g W髂hin咖n DC：IEEE Co呷uter S∞i唧，2011：283—
291
[29]RHEE J．RILEY R，xu D帥g_y蚰，村以D出aIjng dyll帥ic data ker．
nel IDotkit anack8 via VMM-b鵲ed guestdr鋤sparBnt瑚nit撕ng[c]／／
PrDc 0f Intemational CoIdhence on Availahility，Reliability，明d Se—
cu矗ty．2009：74-81．
[30]RILEY R，JIANG xu一】(ian，xu脅lg-y孤．Guest．t瑚印arent preveⅡ一
tion 0f kemel Rootl【its w油VMM-b船ed melnory 8hadowing[C]／／
Proc 0f the ll th Intemational Symposium on Recent Advanc瞄in Intmsi
嘰Detecti嘰．Berlin：S面“ger，2008：1-20．
[31]GEBHARDT C，DAITON C I，BROWN R．Preventing llyperviso卜
based R00tkits w油tmsted execution tecbnology[J]．Ne“『ork Security，
2008，2008(11)：7-12．
[32]LAKSHMI J，NANDY S K．I／0 virtualizadon刪litecture for secu血y
[c]／／Proc of the 10th IEEE Intemadon8l conference on computer
鋤d Inf抽nalj∞Technology Washin殍佃DC：IEEE C0mputer society，
2010：2267．2272．
[33]0KAMuRA K，0YAMA Y．L0ad-b船ed covert ch踮nels be附een xen
virhlal machines[c]／／Proc of the 25th Annual AcM synlposium on
Apphed C叫l(wèi)puting．Hew York：ACM Press，2010：173一180．
[34]CHENG Ge，JIN Hai，Z0u De—qing，甜耐．A prioridzed Chine8e waU
modd for瑚ana醇“g the cdveTt inf0珊ationⅡdws in virtual machjne
systems[c]／／Proc 0f the 9tll Intemabonal c鋤ference h Yo硼g
computer Scientists．w鷦hington DC：碓EE Comput盯S0ciety，2008：
1481．1487．
[35]cATu0GNo L，DMITRIENKo A，ERⅨss0N K．樣nz．Trusted virtual
domaiⅡs：design，imple珈en詛ti帆蚰d kssons l鋤ed[c]／／Proc of
btem“0n丑l co出rence 0n Tr|lsted systems [s．1_]：spIi“鏟r，
20lO：156-179．
[36]BERGER s，cAcEREs R，GoLDMAN K A，“Ⅱ』．v7ITM：virtualizi“g
the tmsted pla怕m module[C】／／hoc of t11e 15th USENⅨSecudty
Syrnposium．Berkeley：USENⅨAssociation，20106：305-320
[37]Ru州ArI-b粕g，sHl￡N Qing-ni，YIⅣYuan·you．A鏟neRdi嬲d tms州
virtualized pl“響珊aTchitectIlre[C]／／Proc of tlle 9tll Int咖adonal
Confbrence for You“g Computer Sci吼tists．W舾hin粵on DC：IEEE
Computer Society．2008：2340-2346．
[38]程川．一種基于Xen的信任虛擬機(jī)安全訪問設(shè)計(jì)與實(shí)現(xiàn)[J]．計(jì)
算機(jī)與數(shù)字工程，2010，38(3)：109—111．
[39]JANsEN B，RAMAsAMYHV，scHuNTERM，酊缸，Architecti“g dependable
跚d secllre systems Ilsing virtualiz撕佃[M]／／Architecting
Dependable Systems V．Heidelbe瑪：Sp血ger—Vedag，2008：124一149．
[40]張志新，彭新光．基于Xen的入侵檢測服務(wù)研究[J]．杭州電子科
技大學(xué)學(xué)報(bào)，2008(6)：9l-94．
[4l】PAYNE B D，SAII點(diǎn)R R，CACERES R，稅矗．A 1dyered appmach t0
simpli6ed access contml in virtualized syste鵬[J]．ACM SlGOPS
Ope陷t．ng Systems Rev{ew，2007，41(4)：12-19．

網(wǎng)友評(píng)論 more

電力安全論文最新內(nèi)容

03-05