基于系統(tǒng)調(diào)用的云計算平臺虛擬機安全監(jiān)控與增強.pdf

1、云計算是一種創(chuàng)新的基于資源使用量付費的應用模式。在云計算模式下，云服務提供商負責部署大型服務器并提供云服務相關的軟硬件資源，租戶則根據(jù)需求付費租用云平臺的資源和服務。云服務提供商借助虛擬化技術(shù)的發(fā)展提升了資源的利用效率，云平臺用戶能夠便捷地獲得充足的計算資源以及安全穩(wěn)定的平臺服務--云計算的出現(xiàn)為市場帶來了雙贏的效果。
　　如今大量的應用部署在云平臺上。出于性能和靈活性的考慮，云平臺也不斷開放著自己的接口，以提供更方便更優(yōu)質(zhì)的服務

2、。然而，開放在提升了易用性的同時，也帶來了潛在的風險。一個具有高權(quán)限的惡意應用往往可以利用操作系統(tǒng)提供的過于開放的接口破壞系統(tǒng)甚至讀取其他應用的數(shù)據(jù)。云平臺一直在遭受惡意應用的攻擊，其自身的安全問題亟待解決。另一方面，云平臺的安全問題也導致了信任危機，用戶無法相信云平臺能夠保證數(shù)據(jù)的安全性和隱私性，自然不愿意將應用部署在其上。如何提供更安全的運行環(huán)境，也是現(xiàn)有虛擬化云平臺研究工作中的重點之一。
　　針對上述兩個問題，本文的主要貢獻

3、有以下兩個方面。
　　第一，針對惡意應用攻擊云平臺的問題，本文利用系統(tǒng)虛擬化的特性，提出并實現(xiàn)了一種透明的虛擬機內(nèi)部系統(tǒng)調(diào)用截獲的方法。由于很多惡意行為都是由一系列典型的系統(tǒng)調(diào)用組成的，因此這種方法能夠在虛擬化層對虛擬機內(nèi)部應用的行為進行分析和監(jiān)控。在此基礎上本文實現(xiàn)了基于系統(tǒng)調(diào)用截獲的入侵檢測系統(tǒng)SysVMI，該系統(tǒng)既有足夠的識別能力，又具有較強的防繞過能力，可以在虛擬機監(jiān)控器中監(jiān)控虛擬機內(nèi)部應用的行為，避免應用程序?qū)Σ僮飨到y(tǒng)的

4、關鍵數(shù)據(jù)進行篡改。
　　SysVMI借助調(diào)試寄存器實現(xiàn)了系統(tǒng)調(diào)用的截獲功能，適用于Linux和Windows等多種操作系統(tǒng)，具有良好的靈活性和兼容性。經(jīng)過真實工作負載的測試，在監(jiān)控級別下該系統(tǒng)最高的運行開銷為10.7%，這一結(jié)果遠遠好于同類型系統(tǒng)Nitro。
　　第二，針對用戶對云平臺的信任問題，本文設計并實現(xiàn)了信任可配置的虛擬機域內(nèi)隔離系統(tǒng)ConfOS。ConfOS將系統(tǒng)調(diào)用劃分為安全敏感與非安全敏感兩種類型，應用程序可以

5、對某個系統(tǒng)調(diào)用安全敏感與否進行配置。ConfOS提供了公共和私有兩個操作系統(tǒng)，利用系統(tǒng)虛擬化的內(nèi)存隔離特性，將公共與私有操作系統(tǒng)置于不同的頁表中。被保護的應用運行在私有操作系統(tǒng)中，ConfOS可以根據(jù)用戶的配置決定系統(tǒng)調(diào)用應該在哪個系統(tǒng)中執(zhí)行，在提升應用數(shù)據(jù)安全的同時不影響被保護的應用程序與其他程序的交互。
　　在實現(xiàn)上ConfOS利用處理器的新特性VMFUNC指令實現(xiàn)了系統(tǒng)調(diào)用時兩個頁表的快速切換，使得系統(tǒng)運行開銷可以下降到非常