[发明专利]一种基于动态库的虚拟机进程行为监控方法与系统

说明书

本发明公开了一种基于动态库的虚拟机进程行为监控方法，包括：基于动态链接库，在二进制的基础上，在API函数入口处设置钩子，实现对虚拟机进程调用API函数的截获；利用虚拟化隔离特性和内存保护技术，保护钩子不被虚拟机和虚拟机里的进程感知，达到透明监控的目的。本发明在对虚拟机完全透明的情形下，截获虚拟机进程的API函数调用，实现了对虚拟机进程行为细粒度的透明监控。本发明还提供了相应的基于动态库的虚拟机进程行为监控系统。

技术领域

本发明属于虚拟机安全技术领域，更具体地，涉及一种基于动态库的虚拟机进程行为监控方法与系统。

背景技术

以虚拟化技术为基础的云计算兴起，改变了计算资源的配置与利用。虚拟化技术具有隔离性、高效性和灵活性等特点，云虚拟机得到了大量的部署。随着云计算的普及，云安全问题的日益受到关注，能否对虚拟机系统里进程行为进行实时监控，成为制约云计算安全技术发展的关键因素。

传统的监控方法是在虚拟机内部部署监控系统，对系统行为进行监控，但是由于监控系统与恶意程序处于同一个运行环境，恶意程序能够攻击或者绕过监控系统。

随着虚拟化技术的发展，借助虚拟化技术安全隔离的特点，研究人员提出了利用虚拟机管理器隔离或者保护特定的安全工具，监控虚拟机的行为。从安全监控实现架构的角度来看，基于虚拟化安全监控的相关研究工作可以分为两大类：内部监控和外部监控。

内部监控：在虚拟机客户机内部部署设置钩子函数的事件截获模块来截获操作系统的事件比如系统调用、API函数等，然后将截获后的事件通过事件通道或者共享内存等通讯方式发往安全域中进行安全分析并采取相应的安全策略。采用这种架构，事件截获模块部署在被监控的目标虚拟机中，而安全工具部署在安全域中。内部监控支持在虚拟机的客户操作系统的任何位置部署钩子函数，这些钩子函数可以拦截某些事件，例如进程创建、文件读写等。事件截获模块部署在不可信客户操作系统中，因此容易被恶意篡改或者攻击，所以必须得到特殊的保护。当这些钩子函数加载到客户操作系统中时，向虚拟机管理器通知其占据的内存空间。内存保护模块根据钩子函数所在的内存页面对其进行保护，从而防止恶意攻击者篡改。当事件截获模块截获到虚拟机中发生某些事件时，将虚拟机中发生的事件传递到安全域的安全驱动。安全工具执行某种安全策略，然后将响应发送到安全驱动,从而对虚拟机中的事件采取响应措施。

外部监控：指在虚拟机外部部署事件截获模块，截获被监控虚拟机事件，然后由位于安全域的安全工具按照某种策略对目标虚拟机系统进行安全分析、处理。事件截获模块部署在虚拟机管理器中，它是安全域中的安全工具和目标虚拟机之间通信的桥梁。位于虚拟机管理器的事件截获模块截获目标虚拟机发生的事件，通过事件通道、共享内存的通知安全域的安全工具。事件截获模块位于虚拟机管理器层,它需要根据观测到的低级语义(例如CPU信息、内存页面等)信息来重构出高级语义(例如进程、文件等)。安全工具根据事件截获模块获取的系统信息以及重构出来的高级语义，按照安全策略控制目标虚拟机。由于事件截获模块和安全工具部署在被监控的目标虚拟机外部，将安全工具与目标虚拟机隔离开来，目标虚拟机无法篡改攻击相关的监控程序增强了安全工具自身的安全性。同时在虚拟机管理器的辅助下,安全工具能够对目标虚拟机进行全面的、真实的检测。

综上所述，现有的虚拟机监控系统的方案存在如下不足：

内部监控：通过设置钩子函数来截获操作系统的事件比如系统调用，API函数等，监控力度细。但是由于在虚拟机里暴漏了自身存在，容易被恶意程序检测到。

外部监控：因为监控模块处于虚拟机外面，保证了对虚拟机系统的透明不可见，但是只能截获系统调用，不能截获API函数调用，实现细粒度监控。

发明内容

针对现有相关监控研究工作的以上缺陷或改进需求，本发明提供了一种基于动态库的虚拟机进程行为监控方法，其目的在于，透明地、细粒度地对虚拟机进程行为进行监控，使得安全监控模块部署在虚拟机外部也能细粒度监控进程调用API函数的行为。