虚拟机监控器

摘要： 概述了基于Hypervisor的汽车域控制器方案出现的原因及其基本架构;介绍了虚拟机监控器的不同类别及其优缺点和适用场景;介绍了PikeOS Hypervisor虚拟化和分区间通信的原理及基本应用;设计了适用于PikeOS Hypervisor的RTOS和Linux体系;设计了PikeOS Hypervisor上RTOS分区和Linux分区间的通信程序和验证方法;设计了PikeOS实时性能的测试程序;并在赛灵思ZCU 104单片机上运行从而验证了设计方案的可行性.

摘要： Cloud computing is the future development direction of information system, and however the security evaluation of cloud computing inevitably faces many difficulties. The core technology of could compute lies in virtualization. Based on the main classification of virtualization technology and aiming at the principal security risk of cloud-computing application, the demand for virtualization security protection is analyzed, and around the design mechanism of virtualization security protection, the main contents and methodological frameworks of cloud-computing virtualization security evaluation are proposed, which may serve as an important reference for security evaluation of cloud-computing information system and device.%云计算是信息系统未来发展的方向,而云计算安全测评却面临着许多困难.虚拟化是云计算的核心技术.基于虚拟化技术的主要分类,针对云计算应用下的主要安全风险,分析虚拟化安全防护需求,围绕虚拟化安全防护设计机制,提出了云计算虚拟化安全测评的主要内容及方法框架,可作为云计算信息系统和设备安全测评的重要参考.

摘要： 文件是操作系统的一部分,也是恶意代码的主要攻击对象,如何有效管控文件的访问行为是保护操作系统安全的关键.针对当前文件保护方法容易被攻击或绕过的问题,提出一种基于VMM层内核函数分析的文件访问保护方法.该方法基于指令替换和仿真的思想,在VMM层监控与文件访问相关的关键内核函数,并结合虚拟机自省技术实现对文件访问行为的有效管控,还利用扩展页表增强了保护机制的安全性,降低了内核恶意程序绕过保护机制的可能性,提高了监控方法的安全性.经对比测试与分析,该方法能够监控到文件的访问行为,管控文件的流向,实现对重要文件的有效保护,开启监控系统引入的性能开销仅在BitVisor的基础上增加了4.5％.%Files are not only an indispensable part of the operating system,but also a major target of malware.The key of protecting the security of the operating system is to control file access behavior effectively.Existing file protection methods can easily be attacked and bypassed by kernel malware,so this paper proposes a file protection method based on VMM-level kernel functions analysis.Based on the idea of instruction replacing and simulation,the method monitors critical kernel functions corresponding to file access behaviors in VMM,achieves effective control over privacy file access behaviors combining with virtual machine introspection technology,enhances the security of the protection mechanism with extended page-table,reduces the probability that kernel malwares will bypass protection mechanism,and improves the security of the monitoring method.The comparison test and analysis show that this method can protect the security of important files by monitoring file access behaviors and controlling the file flow.Performance overhead introduced by the monitoring system only increased by 4.5 ％ over BitVisor.

摘要： 随着后信息化时代的飞速发展,计算机的应用范围也越来越广.我国在计算机技术的发展上相对于其他发达国家还有着很大的差距,为了更好地实现计算机的广泛应用,我们对计算虚拟化技术进行了有效地探索.

摘要： 针对现有剪贴板操作监控无法抵御内核层攻击,且所采取的单一保护策略无法满足现实需求的问题,提出一种基于虚拟机监控器(VMM)的文档内容剪贴板操作监控技术,并提出基于剪贴板操作监控的电子文档分级保护策略.首先,通过修改影子寄存器的方法在VMM层截获并识别系统调用;其次,监控文档打开操作建立进程标识符和文档路径之间的映射表,并在截获到剪贴板操作后通过进程标识符解析文档路径;最后,根据电子文档分级保护策略对剪贴板操作进行过滤.实验结果表明,监控系统给客户机文件系统带来的性能损耗随着文件读写块的增大而减小,当读写块大小达到64 KB以上时,客户机性能损耗在10％以内,对用户影响不大.

摘要： 随着计算机技术的高速发展,云计算这一计算模式得到迅速推广.尽管可通过VMM来对云服务安全状态进行监控与安全增强,但VMM自身的安全性往往是安全的前提.为了增强VMM的安全性,提出一种基于UEFI的VMM动态可信监控基的设计与实现方法,通过UEFI的固件运行特性,在VMM下增加一层安全监控层,实现在不增加新硬件成本的前提下对VMM的透明监测.实验表明,所提出的监控方案是安全有效的.

摘要： 随着计算机技术的高速发展,云计算这一计算模式得到迅速推广。尽管可通过VMM来对云服务安全状态进行监控与安全增强,但VMM自身的安全性往往是安全的前提。为了增强VMM的安全性,提出一种基于UEFI的VMM动态可信监控基的设计与实现方法,通过UEFI的固件运行特性,在VMM下增加一层安全监控层,实现在不增加新硬件成本的前提下对VMM的透明监测。实验表明,所提出的监控方案是安全有效的。

摘要： 随着计算机技术的高速发展,云计算这一计算模式得到迅速推广。尽管可通过VMM来对云服务安全状态进行监控与安全增强,但VMM自身的安全性往往是安全的前提。为了增强VMM的安全性,提出一种基于UEFI的VMM动态可信监控基的设计与实现方法,通过UEFI的固件运行特性,在VMM下增加一层安全监控层,实现在不增加新硬件成本的前提下对VMM的透明监测。实验表明,所提出的监控方案是安全有效的。

摘要： 对于虚拟机监控器的动态完整性度量,由于其位于特权层,且复杂多变,一直是领域内的研究难点.提出了一种基于邻接点的动态完整性度量方法,利用邻接点作为度量模块的宿主,通过面向内存页的完整性模型和评估算法,实现了动态完整性度量.实验表明,能够准确地检测到完整性受到破坏,且仅对计算密集型任务造成适中的性能损耗.

摘要： NUMA内存技术在增加了计算机系统内存带宽的同时,其跨节点访存延迟高的特点也增加了虚拟化平台的内存管理难度.现有的多核虚拟机NUMA优化方法大多为静态方法,即无需动态调节虚拟机状态.这些方法大都限制了虚拟化监控器调度虚拟CPU的灵活性,降低了虚拟化平台负载均衡的能力,而影响虚拟机的运行效率.针对该问题,提出动态NUMA方法——在告知虚拟机NUMA拓扑结构的情况下,该方法通过调节虚拟机内操作系统NUMA相关数据结构方法,达到配合虚拟机监控器任务调度器的目的,实现虚拟机运行效率的提升.相较于静态方法,本文提出调节虚拟机NUMA数据结构,以适应虚拟机监控器调度器的动态方法.此方法提高了虚拟CPU的调度灵活性,提高了虚拟化平台负载均衡的能力,从而保证了多处理器虚拟机的运行效率.

摘要： 现有虚拟机监控器(VMM)动态完整性度量架构在度量信任根的安全性方面存在问题,同时没有综合考虑VMM中需要进行完整性度量的数据,为此提出了一种基于动态信任根的VMM动态完整性度量架构.采用基于AMD的安全虚拟机技术构建动态信任根,可以实现对度量程序加载执行前的完整性度量;同时构建封闭独立的执行环境,从而可以有效地解决度量信任根的问题.通过分析VMM运行时的内存状态,对所有需要进行完整性保护的静态持久化数据进行完整性度量,从而可以保证度量内容的完备性.同时给出该架构在Xen上的实现.实验结果表明,该架构可以有效地解决度量信任根的问题,并且对度量内容具有良好的扩展性,从而保证度量内容的完备性;此外,该度量架构与现有架构HyperCheck-SMM相比有23.3％的性能提升.

摘要： 虚拟化技术在云计算中广泛应用.传统虚拟化技术对操作系统的一些操作都进行了捕捉与封装,使其越来越复杂,同时也影响了操作系统的性能.针对众核平台的发展趋势和特点,面向众核平台设计并实现了一个轻量级的高性能虚拟机监控器——蜂鸟(Trochilidae).多操作系统可以同时运行在此虚拟机监控器之上,同时对操作系统性能无损失.在提供传统虚拟机监控器功能的基础上,蜂鸟的代码量仅4000行左右(包括汇编与C代码),降低了系统的复杂度,便于系统的维护与调试.

摘要： 虚拟化技术在云计算中广泛应用.通过虚拟机监控器,可以让多个操作系统在一台服务器同时上运行,满足不同应用的需求,并且具有良好的隔离性.传统虚拟化技术通过对资源的虚拟化达到多操作系统的同时运行,并且对操作系统的一些操作都进行了捕捉与封装,使其越来越复杂,同时也影响了操作系统的性能.本文针对众核平台的发展趋势和特点,面向众核平台设计并实现了一个轻量级的高性能虚拟机监控器——蜂鸟(Trochilidae).多操作系统可以同时运行在此虚拟机监控器之上,同时对操作系统性能无损失.在提供传统虚拟机监控器功能的基础上,蜂鸟的代码量仅4000行左右(包括汇编与C代码),降低了系统的复杂度,便于系统的维护与调试.

摘要： 在目前网络越来越开放的计算环境中,避免计算机中用户隐私数据的泄漏是研究人员关注的焦点.当前操作系统越来越复杂,恶意程序很容易通过其漏洞劫持操作系统,从而获取用户正在运行的应用程序所访问的数据,导致用户隐私数据的泄漏.本文以安全轻量虚拟机监控器OSV为基础,设计了一个用户隐私保护系统PriVisor(Privacy Visor).通过对操作系统内存访问进行限制,使操作系统在未经授权的情况下无法对用户隐私数据进行访问,从而保证用户隐私数据的完整性.同时通过对设备配置空间的监控,保证被污染的操作系统无法通过对硬件设备的重配置来获取用户与计算机进行交互时的敏感数据.本文对PriVisor的内存保护系统建立了模型,并对其进行了验证保,证了系统设计在理论上的安全可靠性.通过具体攻击实例的分析,验证了PriVisor可以有效地保护用户隐私不被攻击者窃取.

摘要： 在目前网络越来越复杂的计算环境中,避免计算机中用户隐私数据的泄漏是研究人员关注的焦点。当前操作系统越来越复杂,恶意程序很容易通过其漏洞劫持操作系统,从而获取用户正在运行的应用程序所访问的数据,导致用户隐私数据的泄漏。本文以安全轻量虚拟机监控器OSV为基础,设计了一个用户隐私保护系统PriVisor(Privacy Visor).通过对操作系统内存访问进行限制,使操作系统在未经授权的情况下无法对用户隐私数据进行访问,从而保证用户隐私数据的完整性。同时通过对设备配置空间的监控,建立安全I/O通道,保证被污染的操作系统无法通过对硬件设备的重配置来获取用户与计算机进行交互时的敏感数据。本文对PriVisor的内存保护系统建立了模型,并对其进行了验证,保证了系统设计在理论上的安全可靠性。通过具体攻击实例的分析,验证了PriVisor可以有效地保护用户隐私不被攻击者窃取。

摘要： 针对虚拟化技术给计算平台带来的一些新的安全问题,提出一种以虚拟机应用安全为核心的虚拟可信计算平台安会体系结构,为计算平台建立一种层次化的可信计算基(TCB):由硬件信任根TPM/TCM支持、可信虚拟机监控器(TVMM)以及安全管理器(SM)由底至上3个层次共同组成.基于开源XEN,设计了一种可保证虚拟机(VMs)及其应用安全的虚拟可信平台实例,它支持远程证实、信息流控制、安全迁移和私密性保护等安全机制.分析结果表明,实例系统可灵活支持其上虚拟机应用实现不同安全目标.

摘要： 针对现存入侵检测系统存在的问题，提出一个运行于虚拟机监控器之上的入侵检测系统。由虚拟机监控器来虚拟硬件接口，在单一的硬件实体上运行多个系统实例，因为虚拟机监控器处于操作系统和硬件之间，从而使得这个入侵检测系统位于监控所有对操作系统的入侵事件的最佳位置，并处于一个独立于操作系统之外的受保护的空间内，增强了入侵检测系统的独立性和检测能力，是传统的基于主机和网络的入侵检测系统优点的完美结合。

摘要： ARINC653是美国航电委员会针对新一代航空电子综合化要求提出的应用程序接口标准.其定义了标准的API接口和系统服务(APEX层),提出了分区的概念,提供分区间通信和分区监控等服务,要求通过时间分区、空间分区实现不同应用之间的隔离.但是它提出的分区间通信机制只考虑的分区间通信的safety特性,还存在分区间通信的security问题.本文在嵌入式Hypervisor(Xvisor)内核上扩展ARINC653分区间通信服务,并对security问题提出了改进的方案.最后,在树莓派ARM处理器上编译并运行内核,进行分区间安全通信的实验.

摘要： ARINC653是美国航电委员会针对新一代航空电子综合化要求提出的应用程序接口标准.其定义了标准的API接口和系统服务(APEX层),提出了分区的概念,提供分区间通信和分区监控等服务,要求通过时间分区、空间分区实现不同应用之间的隔离.但是它提出的分区间通信机制只考虑的分区间通信的safety特性,还存在分区间通信的security问题.本文在嵌入式Hypervisor(Xvisor)内核上扩展ARINC653分区间通信服务,并对security问题提出了改进的方案.最后,在树莓派ARM处理器上编译并运行内核,进行分区间安全通信的实验.

摘要： ARINC653是美国航电委员会针对新一代航空电子综合化要求提出的应用程序接口标准.其定义了标准的API接口和系统服务(APEX层),提出了分区的概念,提供分区间通信和分区监控等服务,要求通过时间分区、空间分区实现不同应用之间的隔离.但是它提出的分区间通信机制只考虑的分区间通信的safety特性,还存在分区间通信的security问题.本文在嵌入式Hypervisor(Xvisor)内核上扩展ARINC653分区间通信服务,并对security问题提出了改进的方案.最后,在树莓派ARM处理器上编译并运行内核,进行分区间安全通信的实验.

摘要： 本发明实施例提供了一种创建虚拟机的方法、虚拟机监控器及虚拟机系统，该方法包括：将虚拟机的伪物理内存对应的客户机页框号GFN映射到一共享零页，所述共享零页为物理内存中页面内容全为零的页；当所述虚拟机写所述GFN时，如果产生页面异常则分配物理内存页以解除所述客户机页框号GFN与所述共享零页的映射关系，并建立所述客户机页框号GFN与所述物理内存页的机器页框号MFN的映射关系。该方法可以减少虚拟机启动过程中的内存使用量，提高虚拟机密度，支持并发启动Memory Overcommitted数量的虚拟机。

摘要： 本发明提供一种在虚拟机监控器外进行输入输出虚拟化的虚拟机系统，包括虚拟机监控器，虚拟机监控器设有若干个输入输出虚拟机，由输入输出虚拟机来处理客户机的所有I/O操作和设备共享；若干个输入输出虚拟机由虚拟机监控器来管理和调度；输入输出虚拟机和虚拟机监控器之间设有域间通信机制和内存共享机制。本发明基于硬件辅助型的虚拟化技术的处理器平台，把输入输出的处理和共享这部分的功能从虚拟机监控器中提取出来，在运行于虚拟机监控器之上的特权客户虚拟机中进行输入输出的处理、共享、调度，完成I/O虚拟化的功能，这样可以获得更好的隔离性和安全性，同时能降低虚拟机监控器的负担。

摘要： 本发明实施例提供一种虚拟机网络通信实现方法和虚拟机监控器以及物理主机。本发明虚拟机网络通信实现方法，包括：VMM将至少两个物理网卡分别对应的各虚拟网卡构建为虚拟网卡组；通过虚拟聚合网卡驱动接收虚拟机的网络传输请求信息，并通过统一的虚拟网卡驱动从所述虚拟网卡组中调用虚拟网卡，以确定待分配虚拟聚合网卡，其中，所述待分配虚拟聚合网卡为一个所述虚拟网卡映射的虚拟聚合网卡，或为从至少两个所述虚拟网卡组中分别选择一个虚拟网卡并采用聚合技术聚合的虚拟聚合网卡；通过虚拟聚合网卡驱动调用所述待分配虚拟聚合网卡，控制所述待分配虚拟聚合网卡执行所述网络传输请求信息。实现了虚拟机在不同硬件设备之间的迁移调用。

摘要： 本发明公开了一种虚拟机提供Web服务的方法、虚拟机监控器与虚拟机系统，其中，该方法包括虚拟机监控器接收HTTP请求包，HTTP请求包中携带待访问的虚拟机域名；根据预设的虚拟机域名与私有地址之间的映射关系将待访问的虚拟机域名解析为待访问的虚拟机私有地址；根据待访问的虚拟机私有地址访问对应虚拟机上的Web服务。本发明在多个虚拟机共享一个公有IP地址的情况下，通过虚拟机域名与私有地址之间的映射关系，将各虚拟机域名分别映射到不同虚拟机上，从而实现了对不同虚拟机的访问。本发明具有部署简单和高可用性的特点，能够有效解决目前IPV4地址枯竭带来的问题。

摘要： 本发明实施例提供了一种创建虚拟机的方法、虚拟机监控器及虚拟机系统，该方法包括：将虚拟机的伪物理内存对应的客户机页框号GFN映射到一共享零页，所述共享零页为物理内存中页面内容全为零的页；当所述虚拟机写所述GFN时，如果产生页面异常则分配物理内存页以解除所述客户机页框号GFN与所述共享零页的映射关系，并建立所述客户机页框号GFN与所述物理内存页的机器页框号MFN的映射关系。该方法可以减少虚拟机启动过程中的内存使用量，提高虚拟机密度，支持并发启动Memory Overcommitted数量的虚拟机。

摘要： 本发明提供一种在虚拟机监控器外进行输入输出虚拟化的虚拟机系统，包括虚拟机监控器，虚拟机监控器设有若干个输入输出虚拟机，由输入输出虚拟机来处理客户机的所有I/O操作和设备共享；若干个输入输出虚拟机由虚拟机监控器来管理和调度；输入输出虚拟机和虚拟机监控器之间设有域间通信机制和内存共享机制。本发明基于硬件辅助型的虚拟化技术的处理器平台，把输入输出的处理和共享这部分的功能从虚拟机监控器中提取出来，在运行于虚拟机监控器之上的特权客户虚拟机中进行输入输出的处理、共享、调度，完成I/O虚拟化的功能，这样可以获得更好的隔离性和安全性，同时能降低虚拟机监控器的负担。

摘要： 本发明实施例提供一种虚拟机网络通信实现方法和虚拟机监控器以及物理主机。本发明虚拟机网络通信实现方法，包括：VMM将至少两个物理网卡分别对应的各虚拟网卡构建为虚拟网卡组；通过虚拟聚合网卡驱动接收虚拟机的网络传输请求信息，并通过统一的虚拟网卡驱动从所述虚拟网卡组中调用虚拟网卡，以确定待分配虚拟聚合网卡，其中，所述待分配虚拟聚合网卡为一个所述虚拟网卡映射的虚拟聚合网卡，或为从至少两个所述虚拟网卡组中分别选择一个虚拟网卡并采用聚合技术聚合的虚拟聚合网卡；通过虚拟聚合网卡驱动调用所述待分配虚拟聚合网卡，控制所述待分配虚拟聚合网卡执行所述网络传输请求信息。实现了虚拟机在不同硬件设备之间的迁移调用。

摘要： 本发明公开了一种虚拟机提供Web服务的方法、虚拟机监控器与虚拟机系统，其中，该方法包括虚拟机监控器接收HTTP请求包，HTTP请求包中携带待访问的虚拟机域名；根据预设的虚拟机域名与私有地址之间的映射关系将待访问的虚拟机域名解析为待访问的虚拟机私有地址；根据待访问的虚拟机私有地址访问对应虚拟机上的Web服务。本发明在多个虚拟机共享一个公有IP地址的情况下，通过虚拟机域名与私有地址之间的映射关系，将各虚拟机域名分别映射到不同虚拟机上，从而实现了对不同虚拟机的访问。本发明具有部署简单和高可用性的特点，能够有效解决目前IPV4地址枯竭带来的问题。

摘要： 本发明实施例公开了一种分布式虚拟机访问异常的处理方法以及虚拟机监控器，涉及计算机技术领域，能够减少假共享的产生，从而提高了分布式虚拟机内存的性能。本发明实施例的分布式虚拟机访问异常的处理方法，包括：根据虚拟机执行当前指令并访问虚拟机内存时出现访问异常的物理页的地址，找到出现访问异常的子页；判断虚拟机是否具有出现访问异常的子页的访问权限，若虚拟机没有访问权限，修复出现访问异常的子页，使虚拟机内存能够访问出现访问异常的子页并重新执行当前指令，若所述虚拟机具有访问权限，执行当前指令，并将执行结果返回给虚拟机执行上下文，使虚拟机完成所述当前指令的执行。

摘要： 在一个实施例中，为客户软件提供了一种处理器模式。处理器模式允许客户软件以由客户软件预定的特权级别进行操作。当客户软件试图执行一个受处理器模式限制的操作时，退出处理器模式，以把在该操作上的控制转移到在这个处理器模式外运行的一个虚拟机监控器。