基于虚拟机的实时文件保护机制研究(3)

第五章对本文所作的工作进行了总结，并指出未来的工作方向。

最后是致谢和参考文献。

2 基于虚拟机的实时文件保护机制的设计

本章首先对基于虚拟机的实时文件保护系统的父系统基于虚拟机的安全防御系统进行简单说明，接着讨论基于虚拟机的实时文件保护机制的设计思路，然后对其体系结构和功能模块进行详细地阐述，并且从用户的角度论述该机制中实时文件保护的工作机制和处理流程，最后指出实现该文件保护机制所需要解决的关键问题和解决思路。

2.1 基于虚拟机的安全防御系统简介

基于虚拟机的安全防御系统（VMFence）[37]是在Xen上实现的基于主机和网络的安全防御系统，其目的是为虚拟计算平台提供实时网络入侵检测和入侵响应机制，以及基于主机的实时文件保护机制。VMFence的应用场景如图2.1所示[37]。

图2.1 VMFence的应用场景

根据系统的功能需求，VMFence的总体结构如图2.2所示，主要包括三个子系统：基于虚拟机的网络入侵检测系统，基于虚拟机的网络防火墙系统，实时文件保护系统，这三个子系统主要针对虚拟机安全防御的三个不同阶段进行保护。

1. 基于虚拟机的网络入侵检测系统：在虚拟计算环境的每个节点上，Dom0具有管理和控制权限。在Dom0中，虚拟网桥（Virtual Bridge）能够监控到所有的DomU的网络数据流量。因此所有的控制和管理功能都在Dom0中实现，并与其他DomU

相隔离。由于每个虚拟机上的服务具有不同的类型和安全级别，需要为每个虚拟机配置不同的入侵检测规则。在分布式环境下，单个虚拟机可能在多个物理节点之间自由地迁移，而传统检测工具无法适应这种变化。根据每个虚拟机的服务类型和安全级别，VMFence提供对整个物理平台上的多个虚拟机分别配置检测规则，进行并行检测。同时，当虚拟机的状态发生变化时（创建、删除、迁移等），检测工具能够及时进行相应。当检测到可疑的网络数据包时，通知管理员防御更新规则。

图2.2 VMFence的体系结构

2. 基于虚拟机的网络防火墙：虚拟计算环境下，为每个客户操作系统配置网络防火墙，是保护客户操作系统的一个重要措施。防火墙对流经它的网络通信进行扫描，过滤掉一部分网络攻击，避免其在目标计算机上被执行。防火墙还可以关闭不使用的端口，禁止特定端口的流出通信，封锁特洛伊木马，禁止来自特殊站点的访问，从而防止来自不明入侵者的通信。在虚拟机的特殊架构下，主要针对防火墙策略发布机制进行修改，VMFence的网络防火墙的工作包括以下几点：首先，用户可以配置默认的防火墙规则，并随着虚拟机的启动自动加载这些规则；其次，在虚拟机的运行中，用户可以通过友好的图形界面手动配置一些动态的规则；最后，也是虚拟机架构独特之处，即当位于Dom0的入侵检测系统检测到攻击时，可以自动地生成防火墙规则，同时将此规则通过共享内存的通信方式发送给DomU，保证了通信的速度和可靠性，DomU的守护进程自动将接收到的新规则添加到防火墙规则库中。

3. 基于虚拟机的实时文件保护子系统（VRFPS）：位于Dom0中的VRFPS根据管理员的配置的策略文件，对其中指定客户操作系统中的文件或目录进行实时监控并确保用户重要文件的安全性，利用blktap块设备管理工具[38]实现对DomU中文件操作的实时捕获，并在Dom0中实现文件沙箱对重要文件实施保护，具体的功能模块和实现机制将在后续章节详细讨论。

2.2实时文件保护机制设计思路

基于虚拟机的文件保护机制结合了传统文件保护机制和虚拟机技术的优点，为用户保存在客户虚拟机中的重要文件提供有效保护，同时也对操作系统的关键文件作了适当的保护。从设计的观点来看，VRFP应从以下两点来考虑：

首先是如何从客户操作系统中获取文件操作的问题，Xen中为客户虚拟机访问虚拟磁盘提供了一系列访问授权机制。对于客户虚拟机来讲，他不能直接访问物理设备，如磁盘，网络设备等，而是通过前后端设备驱动相互通信来实现的，所以要实现基于虚拟机的实时文件保护机制必须从Xen分离设备驱动模型入手。

其次，为了防止对系统计算和安全性能造成较大的影响，VRFP最好在Dom0的用户态中实现且能够实时地检测到文件的操作信息。Xen的blktap块设备管理工具集在用户态实现了对DomU磁盘操作的管理，为VRFP捕获磁盘操作信息提供了很大的便利。

下面来分析一下Xen的分离设备驱动模型和Xen提供的用户态的磁盘管理工具集blktap。

2.2.1分离设备驱动模型

Xen的半虚拟化设备模型[9-10,34]是一种分离设备驱动（Split Device Driver）架构，分为前端设备驱动 （FrontEnd Device Driver）和后端设备驱动 （BackEnd Device Driver），如图2.3所示[34]。前端设备驱动为DomU中的客户虚拟机提供虚拟硬件设备，它不可以直接访问真实硬件，只能通过事件通道共享内存等通信机制将读写请求提交给Dom0中的后端设备驱动。在收到前端的请求后，后端设备驱动验证该请求的合法性，并将请求提交给本地设备驱动执行。请求操作执行完成后，本地设备驱动将返回一个完成信号给后端驱动，由后端驱动提交给前端通知应用程序操作已完成。在块设备的访问过程中，后端设备驱动作为前端设备驱动和本地驱动的中转

站。Xen为前后端设备驱动的通信提供一套完整的机制支持，包括授权表（Grant Tables），事件通道（Event Channel），I/O描述符环 （I/O Descriptor Rings），以及XenStore和XenBus。

授权表是一种页面访问授权机制，在前后端需要传输大量数据时使用。通常情况下，每个虚拟机属于自己的页面，使用授权表可以将一个虚拟机的内存页映射到另一个虚拟机的内存空间供其自由访问。访问完成后，该虚拟机将收回授权。 事件通道是Xen提供的一种异步的域间事件通知（Event Notification）机制。在Xen中，事件通道机制类似于传统操作系统中的硬件中断，通过一位来表示，当某个事件发生时，与该事件对应的位从0变为1。

Dom0

图2.3 Xen的半虚拟化分离设备模型 I/O描述符环是位于虚拟域共享内存区中的环状消息队列，由两对生产者-消费者（Producer-Consumer）指针实现，其结构如图2.4所示[34]。当前端驱动提交一个访问请求时，该请求被放入请求生产者列表中，当后端得到返回结果，将该结果放入响应生产者列表中等待前端读取。在请求和相应的过程中，前端和后端轮换生产者和消费者的角色。I/O描述符环为实现了前后端的异步通信，提高了硬件设备的访问效率。

XenStore是一个域间共享的存储系统，由Dom0管理、维持，并通过共享页面的方式读写。XenStore中存储了每个虚拟机的配置信息，包括：虚拟域号、虚拟域

名、启动时间、虚拟机状态等。XenStore作为前后端设备通信的中介，保证其通信的顺利完成。

请求消费者

请求生产者

响应生产者响应消费者

请求生产者（Request Producer）：由客户虚拟机更新的共享指针

请求消费者（Request Consumer）：Xen中的私有指针

响应生产者（Response Producer）：由Xen更新的共享指针

响应消费者（Response Consumer）：客户虚拟机中的私有指针

图2.4 I/O描述符环的结构

XenBus相当于Xen的数据交换中心，所有常规的虚拟设备在初始化时都必须向XenBus注册。在半虚拟化的构架中，XenBus作为前后端通信的安全通道。

2.2.2用户态设备管理工具集

上节中讨论到Dom0中的后端设备驱动接受前端发来的操作请求，并将请求直接发向磁盘。从Xen3.0.3之 …… 此处隐藏：3113字，全部文档内容请下载后查看。喜欢就下载吧 ……