[发明专利]一种基于IO序列的虚拟机异常行为检测方法与系统

摘要

本发明公开了一种基于IO序列的虚拟机异常行为检测方法与系统，其中，检测系统包括异步采集模块、进程获取模块、通信模块和检测模块；异步虚拟机IO序列采集技术，通过在VMM中异步采集虚拟机IO序列来最大程度地减小虚拟机运行过程中的性能损耗；虚拟机IO序列进程语义动态获取技术，利用VMM层动态获取虚拟机进程语义来实现虚拟机IO序列与虚拟机进程的合理映射，从而有助于IO序列的规律分析和对检测结果的确认；基于马尔科夫链的虚拟机恶意行为检测技术，结合虚拟机IO短序列与马尔科夫链构造异常检测模型来完成虚拟机内部恶意行为检测。本发明准确发现基于虚拟机IO的异常攻击行为，保护云计算平台的安全。

主权项

1.一种基于IO序列的虚拟机异常行为检测方法，其特征在于，包括以下步骤：步骤1：截获虚拟机IO模拟操作，提取所需的虚拟机IO序列并保存于数据缓存区，唤醒自定义内核线程异步采集虚拟机IO序列，恢复VMM正常执行流程；步骤2：在VMM中实时透明地获取虚拟机进程信息，构造虚拟机进程信息与虚拟机IO序列的合理映射关系；步骤3：将自定义内核线程中采集到的虚拟机IO序列与对应的虚拟机进程信息保存到宿主机用户层的数据库中；步骤4：对正常情况下得到的虚拟机IO序列进行行为特征建模，生成正常特征库模型；步骤5：对待测情况下得到的待测虚拟机IO序列构造待测模型，比对正常特征库模型，将待测样本中的恶意虚拟机IO序列与对应的虚拟机进程信息输出到检测日志。