[发明专利]高效的基于嵌套虚拟化的虚拟机安全保护方法及系统

权利要求书

1.一种高效的基于嵌套虚拟化的虚拟机安全保护方法，其特征在于，包括如下步骤：

步骤1：将虚拟机与虚拟化层进行隔离；

步骤2：实现虚拟化层软件与虚拟机的直接交互；

所述步骤1包括：

步骤1.1：将虚拟机和虚拟机监控器运行在非特权级的环境中；

步骤1.2：对非特权级环境中的实体进行内存隔离配置；所述实体包括：虚拟机、虚拟机监控器以及安全门，当虚拟机监控器恶意访问虚拟机内存时，会触发下陷，由嵌套虚拟化层进行检查并禁止；

步骤1.3：在嵌套虚拟化层为虚拟机和虚拟机监控器分别配置相关的虚拟机控制结构中特定的域，所述域用于控制虚拟机和虚拟机监控器运行时的行为；

所述步骤2包括：

步骤2.1：在虚拟机和虚拟机监控器之间建立非特权级环境中的代理，所述代理为虚拟机和虚拟机监控器之间的安全门，并设置相应的跳板函数，对安全门和跳板函数进行安全性的验证；

步骤2.2：虚拟机在运行时如果产生了需要虚拟机监控器处理的事件，则通过安全门中的代码直接向虚拟机监控器发出请求，由虚拟机监控器提供的服务进行相应的处理，包括处理内存分配，异常处理，中断处理和I/O处理，并在处理结束之后通过安全门返回，并进行隐私性和完整性的检查。

2.根据权利要求1所述的高效的基于嵌套虚拟化的虚拟机安全保护方法，其特征在于，所述步骤1包括：利用嵌套虚拟化技术防止恶意的虚拟化层软件窃取和篡改虚拟机内存和磁盘的数据；对虚拟化层的操作进行检查和监控，以及对嵌套虚拟化层的软件进行安全性验证，防止恶意的虚拟化层软件纂改虚拟机的控制流。

3.根据权利要求1所述的高效的基于嵌套虚拟化的虚拟机安全保护方法，其特征在于，所述步骤2包括：在虚拟机和虚拟化层之间设置安全通道，所述安全通道用于实现虚拟机与虚拟化层软件的直接交互。

4.一种高效的基于嵌套虚拟化的虚拟机安全保护系统，用来执行权利要求1-3任一权利要求所述的高效的基于嵌套虚拟化的虚拟机安全保护方法，其特征在于，包括：嵌套虚拟化层模块、虚拟机自处理事件模块、虚拟机监控器服务模块以及通信模块；

所述嵌套虚拟化层模块用于对控制层的非特权级实体内存进行配置，使得各个非特权级实体之间相互隔离，并配置通信模块，保证安全门和跳板函数代码的安全性，使得在运行时的数据层交互直接通过通信模块，而不需要下陷到嵌套虚拟化层；所述非特权级实体包括：虚拟机、虚拟机监控器和虚拟机与虚拟机监控器之间的安全门；

所述虚拟机自处理事件模块用于在发生特定事件时对相关事件进行自行处理，并触发上下文切换，通过嵌套虚拟化层之前配置好的通信模块和虚拟机监控器进行交互；

所述虚拟机监控器服务模块用于提供相应的服务，当控制流从通信模块中进入虚拟机监控器时，对特定的请求进行处理；所述服务包括：分配页表、进行中断处理、部分异常处理以及I/O处理；虚拟机通过通信模块将请求发送给虚拟机监控器，而虚拟机监控器在处理完之后，再通过通信模块返回相应结果；

所述通信模块用于实现虚拟机和虚拟机监控器之间的交互；虚拟机监控器返回之后需要对虚拟机监控器提供的服务结果进行检查，防止虚拟机监控器盗取和篡改虚拟机的数据；

嵌套虚拟化层模块需要配置相应的控制层，包括：(1)将虚拟机和虚拟机监控器运行在非特权级的环境中；(2)建立其在非特权级环境中的代理，代理为虚拟机和虚拟机监控器之间的安全门，以及相应的跳板函数，并对安全门和跳板函数进行安全性的验证；(3)对非特权级环境中的三个实体进行内存隔离的配置；(4)需要为虚拟机和虚拟机监控器分别配置相关的虚拟机控制结构中特定的域，从而决定在运行时哪些事件会造成VMExit，哪些事件由虚拟机或者虚拟机监控器直接处理；(5)对于需要下陷的事件进行相应的处理；

所述虚拟机自处理事件模块对于所有不产生下陷的事件，由虚拟机自处理模块自行处理，处理过程包括：如果不产生下陷的事件能够在虚拟机直接解决，则在虚拟机自处理模块中进行，否则，对于需要经由虚拟机监控器完成的操作，则需要通过通信模块和虚拟机监控机进行通信，并调用相应的服务。