基于LSM的KVM虛擬機(jī)隔離系統(tǒng)設(shè)計(jì)與實(shí)現(xiàn).pdf

1、隨著計(jì)算機(jī)技術(shù)的不斷發(fā)展，云計(jì)算已經(jīng)越來越深刻的影響到各行各業(yè)。云計(jì)算將各種IT資源進(jìn)行池化，以服務(wù)的形式提供給用戶。作為典型的實(shí)現(xiàn)資源池化的技術(shù)，虛擬化技術(shù)支持在IT硬件資源之上部署多個(gè)虛擬機(jī)，動(dòng)態(tài)分配每臺(tái)虛擬機(jī)的CPU、內(nèi)存、網(wǎng)絡(luò)等資源。通過靈活分配虛擬機(jī)的數(shù)量以及配置虛擬機(jī)的性能，云計(jì)算能夠?qū)⑽锢碣Y源靈活、高效的分配給用戶。
　　在各種虛擬化解決方案中，KVM虛擬化解決方案憑借其架構(gòu)清晰，充分利用硬件虛擬化技術(shù)而成為 Lin

2、ux內(nèi)核原生的虛擬化技術(shù)。同其他虛擬化技術(shù)一樣，KVM虛擬化也面臨著各種新的安全問題，如虛擬機(jī)逃逸，虛擬機(jī)拒絕服務(wù)攻擊，基于虛擬化的Rootkit，虛擬機(jī)之間的安全通信等等。而多數(shù)問題都可以歸結(jié)為虛擬機(jī)與虛擬機(jī)之間的隔離以及虛擬機(jī)與宿主機(jī)之間的隔離。虛擬機(jī)之間既需要進(jìn)行有效的隔離，防止一個(gè)虛擬機(jī)的數(shù)據(jù)被其他虛擬機(jī)讀取，也需要進(jìn)行高效的數(shù)據(jù)交換，充分發(fā)揮虛擬化平臺(tái)的優(yōu)勢。因此，為了達(dá)到虛擬機(jī)之間安全高效的交換數(shù)據(jù)的目的，需要云計(jì)算平臺(tái)與底

3、層的虛擬化解決方案提高有效的安全隔離。
　　虛擬機(jī)之間的有效隔離自虛擬化技術(shù)誕生之日起就得到了研究者的廣泛關(guān)注。傳統(tǒng)的虛擬化安全的研究主要著眼于一個(gè)完整的虛擬化解決方案，包括BitVisor、Nova等一些實(shí)驗(yàn)性的完整VMM，雖然安全性比較高，但是還難以在成熟的云計(jì)算環(huán)境中使用，并且實(shí)現(xiàn)復(fù)雜、兼容性差，不能夠很好的適應(yīng)云計(jì)算環(huán)境下資源隔離，共享內(nèi)存隔離等特殊的安全需求。因此，虛擬化環(huán)境中，虛擬機(jī)之間的有效隔離以及高效安全的共享內(nèi)存

4、隔離是虛擬化解決方案的需要重點(diǎn)關(guān)注的問題。
　　本文在LSM的基礎(chǔ)上，實(shí)現(xiàn)了一個(gè) KVM環(huán)境下的強(qiáng)制訪問控制系統(tǒng)KMAC。其中，KMAC系統(tǒng)包括虛擬機(jī)進(jìn)程隔離以及共享內(nèi)存隔離兩部分。在虛擬機(jī)進(jìn)程隔離方面，KMAC實(shí)現(xiàn)了一個(gè)虛擬機(jī)只允許訪問自己所屬的磁盤鏡像，阻止虛擬機(jī)訪問其他虛擬機(jī)磁盤鏡像的訪問控制系統(tǒng)。在共享內(nèi)存隔離方面，KMAC針對(duì)一個(gè)具體的共享內(nèi)存方案 ivshmem提供一個(gè)強(qiáng)制訪問控制方案，通過對(duì)每一臺(tái)虛擬機(jī)賦予組id、組

5、內(nèi)等級(jí)id，構(gòu)成強(qiáng)制訪問控制的基礎(chǔ)，達(dá)到了共享內(nèi)存的保護(hù)與隔離的目標(biāo)。在此基礎(chǔ)上，本文給出了KMAC在虛擬化平臺(tái)KVM環(huán)境下的實(shí)現(xiàn)過程以及測試結(jié)果。
　　主要包括以下內(nèi)容：
　　1.針對(duì)目前虛擬化平臺(tái)存在的安全問題，在KVM虛擬化環(huán)境下，設(shè)計(jì)并實(shí)現(xiàn)了基于LSM的強(qiáng)制訪問控制系統(tǒng)KMAC，通過這個(gè)方案實(shí)現(xiàn)虛擬機(jī)進(jìn)程隔離和共享內(nèi)存的隔離。
　　2.在KVM虛擬化平臺(tái)下，給出了KMAC強(qiáng)制訪問控制系統(tǒng)的設(shè)計(jì)實(shí)現(xiàn)過程以及測試結(jié)