虚拟域内访问控制系统的保护机制分析-analysis on protection mechanism of access control system in virtual domain.docxVIP

1绪论本章首先简述了虚拟域内访问控制系统的保护机制研究的研究背景，接着介绍了国内外在虚拟机技术和访问控制系统保护方面的国内外研究现状，然后详细介绍了虚拟域内访问控制系统的保护机制研究的研究背景和主要研究内容，最后简单描述了文章的总体框架和组织结构。1.1问题提出十多年来，研究者们已近指出强制访问控制（MandatoryAccessControl，简称MAC）是保护计算机系统的一个非常有效的方法[1]。访问控制系统可以阻止恶意用户滥用计算机资源，特别是重要敏感的文件和内存数据，如商业机密文件。因为强制访问控制系统的安全策略只能被系统管理员或者特权用户修改，恶意软件没有系统的允许是不能访问的特定文件的，能够有效的阻止木马攻击。由于意识到强制访问控制模型的作用，强制访问控制模型被应用到各种各样的操作系统，如AppArmor，LIDS，SELinux，Trustees，Smack，TOMOYOLinux。SELinux是其中具有代表性的强制访问控制系统，拥有一个灵活而强制性的通用访问控制架构，能有效的提高Linux操作系统的安全性，提供健壮安全保障，能够检测和抵制未知的恶意攻击，安全级别可以达到B1级的军事安全等级，比MSNT所谓的C2等级要高出很多。然而，在过去几年里，恶意攻击软件变的越来越复杂，上述这些强制访问控制系统被恶意软件破坏并且失去作用的事件屡见不鲜，被业界认为拥有非常高安全级别的强制访问控制系统SELinux，也不能阻止恶意攻击者获取操作系统的root权限[2]。2009年8月11日，国外黑客taviso和julien公开了可以攻击所有新旧Linux系统的一个漏洞，包括但不限于RedHat,CentOS,Suse,Debian,Ubuntu,Slackware,Mandriva,Gentoo及其衍生系统，黑客只需要执行一个命令，就可以通过此漏洞获得操作系统的root权限，即使开启了SELinux也不能阻止此事发生。在传统架构下，强制访问控制系统的核心模块运行在内核模式。Rootkits和其它内核级的攻击，通常是运行在内核模式，拥有系统最高特权级，它可以阻止强制访问控制系统启动或者破坏系统的正常运行，使其不能正常工作。例如，在SELinux中，恶意软件可以通过策略管理工具修改相应的布尔值，可以允许恶意代码在系统中运行或引起拒绝服务（Denial-of-Service，简称DOS）攻击。更加严重的，攻击者可以通过替换系统的安全指针security_ops或者替换安全策略库，使其完全失效[2]。针对SELinux，还存在一种针对于主体或者客体安全标签的攻击，当主体或客体的安全标签被修改，程序将不能按照系统的要求正确的执行。这些问题在传统计算机架构下是无法解决的，需要新的架构和新的方法来解决。1.2国内外研究现状最近虚拟化技术迅速成为计算机科学研究的热点之一，并广泛运用于服务器集群系统和数据中心，成为云计算解决方案的必要技术之一。很早就出现了虚拟化技术，二十世纪六十年代IBM的7044大型机通过采用请求调页和系统管理程序，在同一物理平台上，实现了同时运行多个操作系统的功能，二十世纪七十年代IBM的VM/370大型机采用分时技术，也实现上述类似的功能，目前的单个物理平台上可以同时运行多个独立的操作系统实例，虽然实现形式有所不同，但是功能都是一样的。其实，在计算机领域各个层面上都在使用虚拟化技术，同时也出现了各种各样的虚拟化技术。虚拟化[3]根据所处在层面和特点可以分为：指令级虚拟化、硬件级虚拟化、操作系统级虚拟化、编程语言级虚拟化和程序库级虚拟化等五大类。目前市场上应用最广泛和最有使用价值的虚拟化技术是硬件级虚拟化。硬件级虚拟化，又称为平台虚拟化，硬件抽象层面虚拟化是客户执行环境和主机具有相同指令集合的情况，让绝大多数客户指令在主机上直接执行，大大地提高了执行的速度。这种虚拟化技术要能够正确工作，所构造的虚拟机（VirtualMachine，简称VM）必须对操作系统的某些特权指令（修改页表等操作）进行特殊处理，执行时产生陷入并将它传递给下层虚拟机管理器（VirtualMachineMonitor，简称VMM）进行执行。这是因为在VM中运行的未加修改的操作系统时，操作系统会利用特权指令访问处理器和物理内存资源。当某特权指令执行时产生一个陷入，便马上将指令发送给虚拟机监视器，这使得虚拟机监视器可以完全控制虚拟机，并保持虚拟域之间的隔离性。在此之后，虚拟机监视器在处理器中执行该指令，并将执行的结果及特权指令返回给VM中的操作系统。该虚拟化技术可以将虚拟资源映射到物理资源并在虚拟机计算中使用本地硬件。当VM需要访问关键物理资源时，虚拟机监视器接管其物理资源并妥善地进行多路复用，为多个模拟机提供硬件支持。硬件级虚拟化的虚拟机监视器主要具有以