技术领域
[0001] 本
发明涉及信息安全的技术领域，尤其涉及一种针对
虚拟机监控器的安全加固系统与方法。
背景技术
[0002]
云计算把计算/存储/通讯资源集中在云端，通过互联网为用户提供各自服务。包括：
基础设施即服务(Infrastructure-as-a-Service，IaaS)，平台即服务(Platform-as-a-Service，PaaS)，
软件即服务(Software-as-a-Service，SaaS)。其中的基础设施方面的服务，为用户提供可伸缩性的计算/存储/通讯资源，是云计算的基础。
[0003]
硬件资源的虚拟化是云计算应用中的核心技术，虚拟机监控器自身的安全，是保障运行在它之上的虚拟机的安全性的一个基本前提，因此虚拟机监控器的安全是保障计算
节点安全，以及云计算安全的关键。
[0004] 如
专利申请201410371685.0公布了一种基于虚拟平台的安全可信运行保护方法，该申请在虚拟化平台中引入可信计算技术，通过LLVM的虚拟机监控器静态分析、TPM和IPMI的平台完整性远程验证、管理域虚拟机完整性度量、用户虚拟机完整性度量和基于软件行为的数据流一致性分析模
块组成实现虚拟平台的安全可信运行保证模型。然而该申请是以TPM技术为核心，对用户虚拟机和用户进行动态度量，而虚拟机监控器和管理域虚拟机则是在系统启动过程中，基于TPM原理做静态分析。但TPM静态分析存在检测与运行相分离的TOCTOU
缺陷，而攻击者所施行的攻击行为，往往是在系统运行过程中进行的，因此对虚拟机监控器的安全防护还需要加强。
[0005] 专利申请201510054416.6公布了一种虚拟机监控器信任域分割方法，该专利申请将虚拟机监控器的功能进行分解，按照功能的不同，将控制虚拟机划分为九个服务虚拟机，每一个服务虚拟机都包含一个单一用途的控制逻辑，每个服务虚拟机仅拥有完成本身功能的权限，限制每个组件以所需的最小权限接入Hypervisor，这使得
风险明确化。解决了原有的攻破一个组件就能获取全系统的控制权的问题，提高虚拟机的安全性。该申请通过减小虚拟机监控器的攻击面，可以降低被攻击的几率，但没有提出在本质上提升虚拟机监控器安全性的措施。
发明内容
[0006] 本发明的目的在于提供一种基于安全芯片的虚拟机监控器安全加固方法，该方法解决虚拟机监控器在系统运行中的完整性和安全性检测缺失的问题，达到虚拟机监控器安全加固的目的。
[0007] 本发明的另一个目的是提供一种基于安全芯片的虚拟机监控器安全加固方法，该方法选取虚拟机运行中的关键点进行安全检测，不但提高了检测的效率，同时也提高了检测的准确性，同时还能保证检测操作的独立性和有效性。
[0008] 本发明的目的是通过以下技术方案实现的。
[0009] 一种基于安全芯片的虚拟机监控器安全加固方法，其特征在于所述方法在虚拟机监控器中设置有安全监控器，同时在与计算节点相连接处设置有独立的硬件安全
监控系统，虚拟机监控器与所述硬件安全监控系统进行通信，通过安全监控器和硬件安全监控系统来实现对虚拟机监控器的安全加固。
[0010] 对于在虚拟机中所包含的
操作系统和
应用软件的运行而言，由于执行
进程的调度和对硬件资源的
访问都是通过虚拟机监控器的管理来实现的，因此安全监控器就可以采用和虚拟机监控器相同的粒度来监控相关的进程和操作，采集相关的进程和操作的运行参数供硬件安全监控系统做实时的分析，并对发现的攻击行为采取相关的对策和防护处理。
[0011] 进一步，同时也在采集相关的进程和操作的运行参数这些关键性的运行节点上，采集虚拟机监控器的实时存储映像，通过独立的硬件安全监控系统对其完整性进行快速检测，有效防御
恶意软件对虚拟机监控器的入侵，以及检测计算节点自身所隐藏的硬件木
马对虚拟机监控器所产生的破坏。
[0012] 进一步，采用安全微
内核的形式来实现虚拟机监控器和安全监控器。严格控制虚拟机监控器的代码规模，也有利于硬件安全监控系统快速获取其存储映像，并对其完整性进行快速检测，有效防御恶意软件的入侵。
[0013] 本发明通过在虚拟机监控器中加入安全监控器，同时加入一个与计算节点相连接的独立的硬件安全监控系统来实现对虚拟机监控器的安全加固。
[0014] 所述硬件安全监控系统一方面可以存储虚拟机监控器和安全监控器的程序代码，另一方面用来存储高安全应用所需的精简操作系统、
中间件和应用程序。根据不同应用环境的功能需求和安全需求，可以通过虚拟机监控器配置特定的安全分区，并从硬件安全监控系统上载高安全应用所需的精简操作系统、中间件和应用程序到安全分区，适时启动分区上集成的虚拟机，完成高安全应用预期的操作，并在操作完成后撤销对应的虚拟机和分区。高安全应用运行过程中涉及的重要中间数据以及最终结果将保存到硬件安全监控系统中，有效防止数据和信息的外泄。
[0015] 进一步，硬件安全监控系统是由一个
接口与路由芯片和一组安全监控
芯片组成，所述安全监控芯片具有多个，通过接口与路由芯片与虚拟机监控器进行通信，同时，芯片之间的通讯均采用安全加密的形式进行，保证了攻击者即使能够侦听和获取芯片间的通讯内容，也无法破解这些加密的通讯数据。
[0016] 所述硬件安全监控系统和计算节点之间通过密码安全通道进行代码和检测数据的双向传输，采用安全校验的方式来保证传输内容的完整性。
[0017] 本发明
实施例与
现有技术相比，本发明具有以下优点：
[0018] 1、通过安全监控器能够有效地选取虚拟机运行中的关键点进行安全检测，不但提高了检测的效率，同时也提高了检测的准确性。
[0019] 2、采用独立的硬件安全监控系统来对
采样数据和虚拟机监控器的实时存储映像进行检测，有效规避了计算节点硬件系统自身的安全缺陷、硬件木马/
逻辑炸弹，保证了检测操作的独立性和有效性。
[0020] 3、硬件安全监控系统上执行的安全检测操作是与计算节点的系统运行并行执行的，因此，这样的处理也降低了安全检测运算在计算节点上执行所带来的性能损耗。
附图说明
[0022] 图2是本发明所实施的独立硬件安全监控系统的结构框图。
具体实施方式
[0023] 为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
[0024] 本发明所实现的计算节点安全加固如图1所示，在虚拟机监控器中加入安全监控器，同时在与计算节点相连接处设置有独立的硬件安全监控系统，虚拟机监控器与所述硬件安全监控系统进行通信，虚拟机监控器连接了用于安全监控和安全检测的独立的硬件安全监控系统。
[0025] 由此，本发明的具体实施分为以下三部分：
[0026] (1)虚拟机监控器与安全监控器的功能融合
[0027] 由于虚拟机监控器位于操作系统之下，硬件系统之上，它对软件和硬件的调度具有最高的优先权，基于虚拟机监控器就可以实现方便、高效的安全监控机制。如图1所示，我们在虚拟机监控器的基础上加入了一个安全监控器。
[0028] 对于虚拟机中的操作系统和应用软件的运行而言，由于执行进程的调度和对硬件资源的访问都是通过虚拟机监控器的管理来实现的，因此安全监控器就可以采用和虚拟机监控器相同的粒度来监控相关的进程和操作，采集相关的进程和操作的运行参数供安全监控系统做实时的分析，并对发现的攻击行为采取相关的对策和防护处理。
[0029] (2)虚拟机监控器的安全加固
[0030] 由于虚拟机监控器在安全防护体系中起到的重要作用，虚拟机监控器自身也逐步成为了恶意软件攻击的对象。对虚拟机监控器和安全监控器进行安全加固的一个重要手段是严格控制它们的代码规模，以便于用数学证明的方式来检验和证明其完备性和安全性。
[0031] 采用安全微内核的形式来实现虚拟机监控器和安全监控器。严格控制虚拟机监控器的代码规模，也有利于硬件安全监控系统快速获取其存储映像，并对其完整性进行快速检测，有效防御恶意软件的入侵。
[0032] (3)独立的硬件安全监控系统
[0033] 不同于目前业界广泛采用的以软件形式实现的虚拟机安全监控器，我们设计并实现独立的硬件安全监控系统，主要基于以下三方面的考虑：
[0034] 首先，是提升安全防护等级的需要。目前业界广泛采用解决方案是以软件的形式实现来实现虚拟机安全监控器，其预设的前提是计算节点的硬件系统是安全可信的。针对我国所面临的信息安全环境的特点，这样的预设前提是不适用的，即计算节点的硬件系统也可能存在逻辑炸弹，需要将执行安全监控和安全检测操作的硬件系统和计算节点自身的硬件系统进行分离，从而达到更高的隔离性和安全性。
[0035] 其次，是提升安全监控操作自身的安全性和效率的需要。对于以软件形式实现的虚拟机安全监控器，由于安全监控行为和系统正常操作都是在同一个CPU上分时执行的，不但安全监控软件的自身安全性得不到保障，而且插入到系统时间片中的安全监控和安全检测操作也会导致整个计算节点的运行效率下降。引入一个与计算节点并行运行的独立的硬件安全监控系统是安全与效率问题化繁为简的一个重要手段。通过专用硬件
电路来处理相关的安全监控和检测操作，不但提升了安全监控系统自身的安全性，同时可以有效地释放计算节点的硬件资源，提升操作系统和应用程序的处理能
力。
[0036] 最后，是实现高安全应用灵活部署的需要。独立的硬件安全监控系统可以用来模拟网络环境下远端
服务器的客户端软件发布功能。硬件安全监控系统一方面可以存储虚拟机监控器和安全监控器的程序代码，同时也可以用来存储高安全应用所需的精简操作系统、中间件和应用程序。根据不同应用环境的功能需求和安全需求，可以通过虚拟机监控器配置特定的安全分区，并从硬件安全监控系统上载高安全应用所需的精简操作系统、中间件和应用程序到安全分区，适时启动分区上集成的虚拟机，完成高安全应用预期的操作，并在操作完成后撤销对应的虚拟机和分区。高安全应用运行过程中涉及的重要中间数据以及最终结果将保存到硬件安全监控系统中，有效防止数据和信息的外泄。
[0037] 硬件安全监控系统的组成如附图2所示，它由一个接口与路由芯片和一组安全监控芯片组成，这些芯片均采用最高等级的安全防护设计，保证这些芯片即使落入攻击者手里，攻击者也无法破解这些芯片。同时这些芯片之间的通讯均采用安全加密的形式进行，保证了攻击者即使能够侦听和获取芯片间的通讯内容，也无法破解这些加密的通讯数据。
[0038] 硬件安全监控系统和计算节点之间通过密码安全通道进行代码和检测数据的双向传输，采用安全校验的方式来保证传输内容的完整性。
[0039] 由于受到当前安全芯片所能够集成的Flash
存储器容量的限制，一个安全监控芯片可能无法存储高安全应用所需的全部操作系统、中间件和应用程序的内容，需要采用安全监控芯片组的形式来灵活地扩展系统存储容量；同时由于当前安全芯片的运行速度不够高，为了实时地监控计算节点的运行，并在受到攻击时及时做出反应，也需要采用多个安全监控芯片并行工作的方式，来匹配计算节点的速度。
[0040] 硬件安全监控系统的升级维护。为了应对手段和花样不断
翻新的攻击手段，硬件安全监控系统也需要具有动态维护和动态升级的能力。这主要是通过远端的安全服务器对安全监控系统中的安全监控芯片组进行动态维护和升级来实现的。
[0041] 安全监控芯片组利用计算节点中的通讯端口和互连网络与远端的安全服务器进行通讯，将本地发现的安全攻击情况上报给安全服务器。安全服务器综合一个时间段所发现的安全攻击情况，调整相关的安全监控策略，安全容错策略，并对虚拟机监控器、安全监控器、高安全应用所包含的精简操作系统、中间件和应用程序进行安全升级。安全服务器将上述内容进行加密，通过互连网络发送到与计算节点配套的硬件安全监控系统中的安全监控芯片组，实现计算节点安全加固系统的动态维护和升级。
[0042] 因此，本发明通过安全监控器能够有效地选取虚拟机运行中的关键点进行安全检测，不但提高了检测的效率，同时也提高了检测的准确性。
[0043] 而且独立的硬件安全监控系统来对采样数据和虚拟机监控器的实时存储映像进行检测，有效规避了计算节点硬件系统自身的安全缺陷、硬件木马/逻辑炸弹，保证了检测操作的独立性和有效性。
[0044] 以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何
修改、等同替换和改进等，均应包含在本发明的保护范围之内。
