收藏本站
《武汉大学》 2016年
收藏 | 手机打开
二维码
手机客户端打开本文

基于系统虚拟化的软件安全保护关键技术研究

邹冰玉  
【摘要】:近年来,伴随着席卷全球的云计算热潮,系统虚拟化技术作为云计算的支撑技术得到了复苏和长足的发展。在虚拟化、云计算环境下,传统安全问题仍然存在,并随着云计算的广泛应用呈现越来越严重的态势。其中,软件是信息基础设施的灵魂,一方面,软件设计由于安全性欠缺的历史原因和功能需求日益复杂的现实原因,可能导致运行行为不符合设计者或用户的预期;另一方面,信息安全事件层出不穷,软件面临的外部安全威胁也日益严重,给社会和用户带来巨大损失。软件安全一直是信息安全中的一项中心议题,是很多其它安全问题的根本,不容小觑。而传统的安全工具,如沙盒、防病毒软件等,都存在致命缺陷:与目标软件在同一地址空间,与被保护软件(下称“目标软件”)面临同质的威胁和攻击,安全保护机制可能被恶意绕过甚至关闭;同时,传统安全工具在客户虚拟机数量庞大的虚拟云计算环境中部署和管理存在困难。而系统虚拟化因其隔离性、高特权性以及硬件与操作系统间新的抽象层次等特点备受安全领域的青睐。软件安全保护通常分为相辅相成的两个方面:一是防止软件的执行对系统软件栈中的其它软件造成破坏;二是保护软件的数据和执行不受不可信的计算环境的攻击。因此,本文从三个角度提出了基于系统虚拟化的软件安全保护系统,分别从目标软件用户态行为控制、目标软件数据保护、目标软件内核态行为监控三方面对目标软件进行控制和保护;安全策略与系统实现分离,将用户自定义安全策略作为输入,根据策略中定义的响应动作对监控到的异常情况进行响应;为避免全系统监控带来的性能开销,通过影子内存技术将客户虚拟机系统中的有效监控点限制在目标软件进程上下文范围内,不影响非目标软件的正常执行流。为掌握目标虚拟机的整体运行状态,在深入研究虚拟化自省(Virtual Machine Introspection)机制和技术的基础上,对虚拟化内存自省进行领域建模,并设计一种领域特定语言VmiDsl,以支持基于虚拟化自省机制的安全应用的快速开发和管理。基于以上四个关键技术进行了有针对性的研究和系统开发实现,并取得了一定的成果,具体包括:1.提出了一种对虚拟机自省VMI技术进行领域建模的方法,形式化地描述全面获取目标虚拟机可用于安全应用的运行状态信息的方法,分析了VMI的内存自省技术的底层数据获取方法、事件驱动类别,并设计了一种虚拟机自省的领域特定语言VmiDsl,使用户无需关注底层实现细节,以高于API设计的贴近自然语言的抽象层次快速构建各种VMI安全应用;利用Python自带的payparsing库实现了VmiDsl的语法解析器,并在KVM中实现了原型系统,通过两个用例进行了效率测试分析;2.提出了一种基于系统虚拟化的应用级沙盒系统VxBox,在目标虚拟机外部根据用户定制的安全策略控制目标软件系统调用行为。VxBox被部署在与目标虚拟机相隔离的一个管理虚拟域及底层VMM中,安全策略也由管理虚拟域进行管理,即使目标虚拟机中的特权软件被劫持,也无法绕过、破坏或关闭VxBox,无法篡改其安全策略。通过在x86及AMD64两种硬件平台的半虚拟化的xen中实现VxBox的原型系统,并对多种应用软件(例如Web服务器或病毒扫描工具等)进行控制证明了VxBox系统的有效性,VxBox的效率比直接在目标系统中利用ptrace监控目标软件的效率高;3.提出了一种根据安全策略保护客户虚拟机中目标软件内存数据和相关虚拟磁盘数据的安全系统VxWall。基于影子内存技术,VxWall为目标软件的不同运行模式分别提供不同的内存视图,当进程运行于用户态时,所访问的内存是原始的真是内存数据,而当内核代表进程在内核空间执行时,其所访问的内存是物理伪内存页,这样即使目标虚拟机被劫持,也可以有效防止目标软件的内存数据泄露;为保护与目标软件相关的虚拟磁盘数据,VxWall使用一个可信的管理虚拟域来管理这些文件,用经处理的伪文件代替目标虚拟机中的相关文件。当目标软件发起关于文件操作的系统调用时,VxWall在vmm中的核心模块Vx-core对文件操作系统调用进行模拟,作为中间人在管理虚拟域和目标虚拟域间交换数据。在AMD64平台上实现了原型系统并进行了攻击有效性和性能分析。4.针对传统的软件内核行为监控在操作系统内核有效执行点插入钩子函数引起系统性能严重下降,并且严格限制内核扩展机制的缺陷,提出软件可感知的内核行为控制系统VXeck,根据用户指定的安全策略对目标软件的内核控制流进行监控,并通过影子内存技术将对内核态行为的监控限制在目标进程上下文之内,与传统的全系统监控的方法相比,极大降低了对系统性能的损耗。在xen-AMD64中实现了原型系统并进行了有效性和效率分析。
【学位授予单位】:武汉大学
【学位级别】:博士
【学位授予年份】:2016
【分类号】:TP309

【参考文献】
中国期刊全文数据库 前10条
1 王一川;马建峰;卢笛;张留美;孟宪佳;;面向云环境内部DDoS攻击检测的博弈论优化[J];计算机研究与发展;2015年08期
2 任建宝;齐勇;戴月华;王晓光;宣宇;史椸;;基于虚拟机监控器的隐私透明保护[J];软件学报;2015年08期
3 冯朝胜;秦志光;袁丁;;云数据安全存储技术[J];计算机学报;2015年01期
4 何进;范明钰;王光卫;;自动探测和保护确保内核完整性[J];电子科技大学学报;2014年04期
5 李小庆;赵晓东;曾庆凯;;基于硬件虚拟化的单向隔离执行模型[J];软件学报;2012年08期
6 李珣;黄皓;;一个基于硬件虚拟化的内核完整性监控方法[J];计算机科学;2011年12期
7 王丽娜;高汉军;刘炜;彭洋;;利用虚拟机监视器检测及管理隐藏进程[J];计算机研究与发展;2011年08期
8 张逢喆;陈进;陈海波;臧斌宇;;云计算中的数据隐私性保护与自我销毁[J];计算机研究与发展;2011年07期
9 侯清铧;武永卫;郑纬民;杨广文;;一种保护云存储平台上用户数据私密性的方法[J];计算机研究与发展;2011年07期
10 沈昌祥;张焕国;王怀民;王戟;赵波;严飞;余发江;张立强;徐明迪;;可信计算的研究与发展[J];中国科学:信息科学;2010年02期
【共引文献】
中国期刊全文数据库 前10条
1 朱率率;;基于随机演化算法的可信模块保护技术[J];武警工程大学学报;2016年04期
2 程代娣;;基于云存储技术的数据安全策略研究[J];齐鲁工业大学学报(自然科学版);2015年04期
3 万明;尚文利;赵剑明;曾鹏;;第五十四讲 面向工业嵌入式设备的可信安全防护体系[J];仪器仪表标准化与计量;2015年06期
4 冯贵兰;;一种保护用户数据私密性的云存储方法[J];软件导刊;2015年12期
5 丁睿;孔雷;赵慧;;基于USB3.0接口密码模块的单机可信平台设计[J];计算机工程与设计;2015年12期
6 陆光宇;孔祥营;刘云飞;凌云锋;;舰载信息化装备安全可信计算环境构建技术[J];指挥控制与仿真;2015年06期
7 王志刚;陈庶民;王进;;基于云存储的数据安全保护关键技术研究[J];网络安全技术与应用;2015年12期
8 林为民;余勇;梁云;韩海韵;;支撑全球能源互联网的信息通信技术研究[J];智能电网;2015年12期
9 邱胜海;江伟盛;杜文俊;杨铭;;融合移动互联网与云服务平台的应用系统设计[J];计算机技术与发展;2015年12期
10 杨同豪;李俊全;郁滨;;一种共享数据完整性验证方案的分析与改进[J];计算机工程与应用;2015年22期
【二级参考文献】
中国期刊全文数据库 前10条
1 王一川;马建峰;卢笛;张留美;孟宪佳;;云环境下的“云滴冻结”攻击[J];西安电子科技大学学报;2014年03期
2 项国富;金海;邹德清;陈学广;;基于虚拟化的安全监控[J];软件学报;2012年08期
3 刘正伟;文中领;张海涛;;云计算和云数据管理技术[J];计算机研究与发展;2012年S1期
4 黄汝维;桂小林;余思;庄威;;云环境中支持隐私保护的可计算加密方法[J];计算机学报;2011年12期
5 毛剑;李坤;徐先栋;;云计算环境下隐私保护方案[J];清华大学学报(自然科学版);2011年10期
6 吕志泉;张敏;冯登国;;云存储密文访问控制方案[J];计算机科学与探索;2011年09期
7 洪澄;张敏;冯登国;;面向云存储的高效动态密文访问控制方法[J];通信学报;2011年07期
8 徐剑;周福才;陈旭;朱志良;;云计算中基于认证数据结构的数据外包认证模型[J];通信学报;2011年07期
9 孙国梓;董宇;李云;;基于CP-ABE算法的云存储数据访问控制[J];通信学报;2011年07期
10 张逢喆;陈进;陈海波;臧斌宇;;云计算中的数据隐私性保护与自我销毁[J];计算机研究与发展;2011年07期
 快捷付款方式  订购知网充值卡  订购热线  帮助中心
  • 400-819-9993
  • 010-62791813
  • 010-62985026