[发明专利]一种基于虚拟机自省函数级虚拟机内核动态检测系统与方法

摘要

本发明一种基于虚拟机自省函数级虚拟机内核动态检测系统与方法属于云安全领域；装置包括硬件为安全虚拟机、目标虚拟机和虚拟机管理层提供硬件基础，安全虚拟机包括监控框架，安全虚拟机与目标虚拟机通过虚拟机管理层交互，虚拟机管理层连接提取模块,提取模块通过页面执行信息分别连接学习模块和监控模块；方法包括监控开启；提取模块对目标虚拟机注入监控点从而让虚拟机管理层能够监听调用中的子函数，利用静态内存分析的方法和动态跟踪，再次进行静态分析得到其后的子函数地址进行监听，循环执行，直到系统调用返回；通过三种学习方法对执行信息进行建模；从而检测内核控制流的完整性，防止被攻击者检测到甚至于攻破。

主权项

1.一种基于虚拟机自省函数级虚拟机内核动态检测系统，其特征在于，包括安全虚拟机(1)、目标虚拟机(2)、虚拟机管理层(3)和硬件(4)；所述硬件(4)为安全虚拟机(1)、目标虚拟机(2)和虚拟机管理层(3)提供硬件(4)基础，所述安全虚拟机(1)包括监控框架(11)，所述监控框架(11)包括提取模块(111)、学习模块(112)和监控模块(113)；所述安全虚拟机(1)与目标虚拟机(2)通过虚拟机管理层(3)交互，利用VMI技术，所述安全虚拟机(1)通过虚拟机管理层(3)对目标虚拟机(2)中想要处理的部分进行操控，目标虚拟机(2)也能够通过虚拟机管理层(3)接收在安全虚拟机(1)中所关注的目标对象的状态数值和变化事件，所述虚拟机管理层(3)连接提取模块(111),所述提取模块(111)通过页面执行信息分别连接学习模块(112)和监控模块(113)，所述学习模块(112)通过控制流模型连接监控模块(113)，所述监控模块(113)通过控制流模型反向连接学习模块(112)；提取模块(111)、用于将目标虚拟机(2)内核中的控制流进行显式的处理并采集过程中生成的相关数据，承担与虚拟机管理层(3)进行交互的全部工作；学习模块(112)、用于将假设前提下的正常内核产生的控制流数据作为合法控制流数据，按照提供的学习方法进行处理，将学习结果添加至合法数据库中，将所述数据库作为安全标准提供安全技术；监控模块(113)、用于将假设前提下无法判断是否正常的内核中的控制流数据作为待检测对象，按照指定的检测方法处理所述控制流数据，判断是否合法。