[发明专利]一种基于行为识别的虚拟机安全监控方法

摘要

本发明提供一种基于行为识别的虚拟机安全监控方法，设置一系列的虚拟机及相关程序运行过程行为关键监测点、虚拟机资源状态临界鉴别点，进而设定相应的特征参数规范。在此基础上对虚拟机及相关资源进行监测，当发现虚拟机及虚拟机应用程序的行为或虚拟机相关资源状态发生异常时，即发出异常告警。虚拟机运行环境的底层操作系统或监控系统，可根据这些异常告警信息采取相应的防护措施，从而有效地保护虚拟机和虚拟化系统运行安全。

主权项

一种基于行为识别的虚拟机安全监控方法, 其特征在于虚拟机运行环境之底层公共操作系统或监控系统，是基于明获得的异常告警采取相应的防护措施，保证系统运行安全，包括如下内容：设置一系列的虚拟机及相关程序运行过程行为关键监测点，简称关键点；虚拟机资源状态的临界鉴别点，简称临界点，并对这些关键点和临界点的特征参数设定规范值，在此基础上对虚拟机及相关资源进行行为监测，当发现虚拟机、虚拟机操作系统或应用程序在关键点和临界点的操作行为不符合特征规范时，即发出异常告警，其中：    虚拟机及相关程序行为关键监测点的操作对虚拟机或虚拟化系统存在的较大安全风险，包括：虚拟机内敏感数据/文件访问点；出虚拟机边界点；入虚拟机边界点；与底层主操作系统或其他虚拟机和程序的共享数据临界点；对底层操作系统和资源包括：CPU、存储、网络、数据库操作访问的接口；虚拟机迁移源边界点；虚拟迁移宿主边界点；    虚拟机相关资源的状态临界点设置，资源状态越过临界点即会引起虚拟机或虚拟化系统运行异常，包括：虚拟机对应的物理资源临界点包括：CPU、存储、网络；虚拟机权限临界点；虚拟机本身在底层操作系统中的数据存储区边界；应用进程在虚拟机中的数据存储区边界；虚拟机I/O参数临界值；    关键点和临界点特征参数规范：由一系列关键点和临界点的行为特征参数及其规范值组成；独立于底层操作系统的带外监控方式，为防止行为监测被基于操作系统内核的高级攻击者欺骗，直接在硬件虚拟资源层上运行监控实体，与应用程序相隔离，防止被应用层的病毒木马或来自网络的黑客直接攻击。