虚拟化安全防护关键技术研究-信息通信学术期刊网.PDF

电信 科 学 2014 年第 Z2 期 大数据与云计算 虚拟化安全防护关键技术研究 汪来 富 ，金 华敏 ，沈 军 （ 中国电信 股份 有 限公 司广 东研 究 院 广 州 510630 ） 摘 要 ：虚 拟 化 是 云计 算 的基 础 技 术 之 一 ，资 源 共 享 带 来 的安 全 问题 始 终 是 虚 拟 化 环 境 安 全 的核 心 问题 。 在 分 析 虚 拟 化 面 临 的安 全 风 险 与 挑 战 问题 的基 础 上 ，深 入 研 究 了虚 拟 化 安 全 防护 关 键 技 术 ，并 提 出 了一 种 虚 拟 化 环 境 下 的软 件 定 义 安 全 服 务 框 架 ，其 具 有 良好 的开 放 性 和 可 扩 展 性 。 关 键 词 ：云计 算 安 全 ；虚 拟 化 安 全 ；软 件 定 义 安 全 doi： 10.3969／j .issn.1000-080 1.20 14.Z2.022 虚 拟 机 跳 跃 攻 击 和 隐信 道 攻 击 等 ，使 其 面 临一 些 新 的安 全 1 引言 风 险 和挑 战 。 虚 拟 化 技 术 是 云计 算 的基 础 技 术 之 一 ，其 本 质 是 实 现 （1）虚 拟 机 逃 逸 底 层 设 备 与逻 辑 资 源 的去 耦 合 。 虚 拟 化 技 术 发 展 至 今 ，已 虚 拟 机 逃 逸 被 认 为 是 对 虚 拟 机 最 严 重 的安 全 威 胁 ，虚 经 成 为 一 个 内涵 广 泛 的概 念 ，当前 的虚 拟 化 技 术 主要 包 括 拟 机 逃 逸 是 指 攻 击 者 突 破 虚 拟 机 管 理 器 Hypervisor ， 获 得 服 务 器 虚 拟 化 、桌 面 虚 拟 化 、 网络 虚 拟 化 、应 用 虚 拟 化 和存 宿 主 机 操 作 系 统 管 理 权 限 ，并 控 制 宿 主 机 上 运 行 的其 他 虚 储 虚 拟 化 等 多 个 方 面 ，并 适 用 于 硬 件 层 、操 作 系 统 层 和 应 拟 机 ，如 图 1 所 示 。 由此 ，攻 击 者 既 可 以攻 击 同一 宿 主 机 上 用 层 等 各 个 层 次 的服 务 。 而 资 源 共 享 带 来 的安 全 问题 始 终 的其 他 虚 拟 机 ，也 可 控 制 所 有 虚 拟 机 对 外 发 起 攻 击 。 是 虚 拟 化 环 境 安 全 的核 心 问题 ，由此 引 发 的 网络 安 全 边 界 （2 ）虚 拟 机 跳 跃 攻 击 模 糊 、 虚 拟 机 间流 量 不 可 见 等 问题 将 带 来 新 的安 全 风 险 。 一 些 虚 拟 化 技 术 为 了方 便 应 用 且 提 高 性 能 ，虚 拟 机 之 本 文 在 分 析 虚 拟 化 面 临 的安 全 问题 与 挑 战 的基 础 上 ，深 入 间 的通 信 可 以通 过 共 享 内存 交 换 方 式 进 行 ，使 得 入 侵 者 可 研 究 了虚 拟 化 安 全 防护 关 键 技 术 ，并 提 出 了一 种 虚 拟 化 环 以通 过 原 本 掌 握 的某 台虚 拟 机 A 监 控 到 在 同一 宿 主 机 上 境 下 的软 件 定 义 安 全 服 务 框 架 。 的另 一 台 虚 拟 机 B ，当入 侵 者 劫 持 了虚 拟 机 B 后 ，还 可 能 以 B 为 跳 板 ，再 以 同样 方 式