[发明专利]一种虚拟化环境中二进制文件度量值统一管理和分发的方法和系统

说明书

本发明涉及一种虚拟化环境中二进制文件度量值统一管理和分发的方法和系统。该方法中，支持统一生成不同类型二进制文件的度量值；支持对不同类型二进制文件的度量值的存储；支持由虚拟化管理平台主动向各个虚拟机管理器推送二进制文件度量值，虚拟机管理器能够根据文件度量值对虚拟机中运行程序的完整性进行度量。采用本发明，管理人员/普通用户可以在虚拟化环境对不同类型二进制文件度量值进行管理和分发；虚拟机管理器能够根据文件度量值对虚拟机中运行程序的完整性进行度量。

技术领域

本发明属于计算机安全技术领域，特别涉及一种虚拟化环境中二进制文件度量值统一管理和分发的方法和系统。

背景技术

随着云计算的不断发展，虚拟化技术也越发得到广泛应用，越来越多的服务都在往云端迁移。虚拟化技术存在诸多优势，首先，虚拟化技术为了提高资源的利用率，将资源池和物理资源进行动态共享；其次，虚拟化技术对资源的供应做出了改进，虚拟化技术用小于单个物理资源单位的单元对资源进行分配；最后，虚拟化技术为了增加使用灵活性，将资源进行重配置和动态部署，用来符合日益更新的业务需求。

如上所述使用虚拟化技术，为大批的互联网使用群体提供了迅速和方便的服务。云计算可以明显对网络服务提供商的维护和部署的成本进行缩减，已有越来越多的网络服务部署在云上。其中安全问题也备受关注，云计算的引入，引入了新的安全风险，希望能够保证部署在云端虚拟机中的服务不被篡改。尽管可以进行防病毒软件的部署、开启防火墙等方式来抵抗已知的漏洞，但未知漏洞恶意代码的注入对二进制文件的篡改对云计算的安全都造成了威胁，在虚拟机监控器中实现的二进制完整性校验机制能够为租户提供更强的安全保证。

二进制完整性检验是根据其度量值进行校验，云计算的发展导致虚拟机的数量不断攀升，需要进行完整性校验的二进制文件的数量庞大类型多，虚拟机还可以对启动的操作系统进行切换。为了对大量的不同类型的二进制文件度量值统一生成、管理和分发，当前在云环境中没有任何一个二进制文件度量值的管理和分发的方法可以对不同类型的二进制文件度量值进行统一管理和分发。有必要设计二进制文件度量值的统一管理平台，实现二进制文件的度量值的集中生成、分发和管理。

发明内容

本发明提供了一种虚拟化环境中二进制文件度量值统一管理和分发的方法，该方法在虚拟化管理平台中集中管理不同类型二进制文件的度量值，支持向多个虚拟机管理器(VMM)进行统一推送。一方面，统一生成不同类型二进制文件的度量值，对不同类型二进制文件的度量值进行存储。另一方面，由虚拟化管理平台主动向各个虚拟机管理器推送二进制文件度量值；虚拟机管理器能够根据文件度量值对虚拟机中运行程序的完整性进行度量。

具体来说，本方案的技术方案如下：

一种虚拟化环境中二进制文件度量值统一管理和分发的方法，包括以下步骤：

生成不同类型二进制文件的度量值；

对不同类型二进制文件的度量值进行存储；

虚拟化管理平台向各个虚拟机管理器推送二进制文件的度量值。

进一步地，为操作系统内核文件生成度量值的步骤包括：根据操作系统内核系统文件、操作系统类型、内核版本、操作系统内核数据结构和符号地址映射关系，确定各个代码段的偏移和大小；对操作系统内核文件进行解压缩，并对解压缩后文件中的代码段按页进行Hash运算，不足一页时进行补零；记录操作系统类型、内核版本、各个代码页偏移、各个代码页大小、Hash值作为度量值，并标注入口点所在代码页。

进一步地，为内核模块文件生成度量值的步骤包括：模拟目标平台中内核模块的加载过程，确定各个代码段的偏移和大小；对各个代码段按页进行Hash运算，计算过程中不足一页时进行补零并将代码中重定位地址设置为0；记录内核模块名称、版本、各代码页偏移、各个代码页大小、Hash值作为度量值，并标注各个代码段的在文件中的段偏移。