[发明专利]一种基于VMI的文件系统细粒度监控方法

摘要

本发明公开了一种基于VMI的文件系统细粒度监控方法，当虚拟机内程序发生了文件系统调用时，涉及特权指令或物理硬件的访问，会陷入虚拟机管理器，并将控制权返还虚拟机管理器，然后对这些指令进行模拟。在模拟过程中，虚拟机管理器能够获得虚拟机操作系统的内存页面和寄存器信息。依据虚拟机操作系统数据结构信息，本发明能够对这些内存和寄存器信息进行细粒度的语义还原，最终获得虚拟机内部视图，具有良好的可视性。解决了现有技术中VMI系统无法提供对虚拟机文件系统的细粒度监控功能的问题，本发明用于实时监控Linux文件系统的活动，可以保护Linux文件系统的安全。

主权项

一种基于VMI的文件系统细粒度监控方法，其特征在于，包括以下步骤：(1)用虚拟机管理器启动虚拟机；(2)在虚拟机管理器层面向虚拟机添加系统调用监控规则，传入与文件操作相关的系统调用号作为监控参数；(3)在虚拟机管理器层面开启系统调用监控功能；(4)虚拟机正常运行中出现操作码异常，虚拟机产生系统中断，产生操作码异常的程序陷入虚拟机管理器，虚拟机将控制权移交虚拟机管理器；(5)虚拟机管理器判定引起异常的指令类型，如果是SYSCALL指令，跳转到步骤(6)，否则跳转到步骤(12)；(6)虚拟机管理器搜集跟系统调用相关的VCPU上下文信息，虚拟机管理器模拟虚拟机SYSCALL指令执行，并获得系统调用相关信息；(7)虚拟机管理器读取RAX寄存器的值并记录系统调用发生的时刻，判定RAX的值，如果是与文件操作相关的系统调用，则解析系统调用相关参数；(8)虚拟机管理器解析发出系统调用程序的PID号；(9)虚拟机管理器解析发出系统调用程序所在的目录；(10)虚拟机管理器解析发出系统调用程序的名称；(11)虚拟机管理器读取寄存器RAX的值，解析系统调用的返回值；(12)虚拟机管理器将控制权交还虚拟机；(13)虚拟机管理器判断文件系统调用监控是否关闭，如果是，跳转到步骤(14)，否则跳转到步骤(5)；(14)用户发出关闭系统调用监控的指令，由虚拟机管理器执行。