轻量级虚拟机管理器及其安全应用分析-lightweight virtual machine manager and its security application analysis.docxVIP

1绪论本章首先介绍了轻量级虚拟机管理器（Light-weightedVirtualMachineMonitor,LVMM）的研究背景和意义，概述了LVMM的设计特点，然后列举了国内外LVMM类似系统的实现方法和特点，并与本文的LVMM系统进行比较，最后介绍了本论文的组织结构。1.1研究背景根据IDC的权威报告，虚拟化技术已经成为IT基础架构中的核心技术。虚拟化软件市场在2009年已经超过27亿美元，并在未来5年还将继续激增。虚拟化技术已经成为计算机系统软件的发展趋势，并显著地改变着IT世界。图1-1说明了从传统架构到虚拟机架构的过渡过程。在传统架构中，操作系统对整个硬件具有管理权限；在虚拟机架构中，虚拟机管理器（VirtualMachineMonitor,VMM）代替了传统操作系统的管理功能，而为多个虚拟机提供了访问真实硬件的接口并保证相互之间隔离。虚拟机虚拟机进程1进程2……进程N操作系统（Windows,Linux...）进程1...进程N进程1...进程M……虚拟机管理器（VMM）硬件平台（CPU、内存、外设）硬件平台（CPU、内存、外设）传统架构虚拟机架构图1-1从传统架构到虚拟机架构的过渡虚拟化技术在服务器端和客户端都用相应的应用。虚拟化在服务器端应用主要包括资源共享（服务聚合、负载均衡、节能）和隔离性（性能隔离、安全隔离）；虚拟化在客户端的应用主要包括为用户提供多操作系统的使用环境和利用虚拟化技术的资源隔离性为用户提供不同安全级的隔离区域。虚拟化的安全技术主要包括两个方面：（1）虚拟化架构本身存在的安全问题。（2）利用虚拟化架构或者虚拟化技术来解决传统架构下所存在的安全问题。由于本文主要讨论客户端的应用安全，所以主要就第二点展开讨论。就系统监控的方面，虚拟化架构的出现可以提高监控系统自身的安全性。基于虚拟机架构的监控方法可以分为2大类：虚拟机外部监控和虚拟机内部监控。虚拟机外部监控是指将监控工具部署在被监控系统外部（通常是在虚拟机管理器中），然后在一个可信赖的虚拟机（TrustedVM）中观测被监控系统的行为。TalGarfinkel和MendelRosenblum首次在Livewire系统中提出在虚拟机外部进行入侵检测，这种方法被称为虚拟机自省机制（VirtualMachineIntrospection）[1]。VMscope是基于虚拟机的蜜罐（Honeypot），它通过在虚拟机外部部署感应器来分析系统内部行为[2]。VMwatcher则是通过在虚拟机外部观测恶意进程行为，从而实现检测工具与被监控系统相分离[3]。总之，虚拟机外部监控将安全工具完全部署在被监控系统外部，不会被恶意软件篡改，但是需要屏蔽在虚拟机管理器层观测的语义差距（SemanticGap）。虚拟机内部监控是指通过虚拟机管理器保护监控工具，从而提高监控工具自身的安全性。Lares是在被监控系统中插入一些钩子（Hook），当特定事件触发后跳转到安全虚拟机（SecureVM）中执行，这些钩子函数通过虚拟机管理器来保护[4]。SIM是将安全工具与被监控系统隔离在不同的地址空间，通过虚拟机管理器来保护安全工具的虚拟地址空间[5]。总之，这种方法获取的是操作系统级语义，方便监控工具进行有效地处理，但是需要插入内核模块或者修改内核代码，与被监控系统密切相关。通过进一步分析可以发现，上述系统均是在传统的虚拟机管理器上实现，并在服务器端可以得到广泛的应用。本文关注的是客户端的安全问题，而传统的虚拟机管理器用于客户端安全存在一些问题。如图1-1所示，在客户操作系统启动之前，需要在硬件之上假设虚拟机管理器，然后由虚拟机管理器启动客户操作系统。然后虚拟化技术的引入带来了不可避免的性能下降，特别是客户端用户大量使用的Windows操作系统，只能使用全虚拟化解决方案，其性能下降尤为明显（如编译程序和图形图像类程序），因此大大降低了客户端的用户体验。经过调研，客户端用户通常只在某些特殊的时刻需要高安全的环境，如网游登陆、网银付款、IM登陆等，因此也只需要对某些特殊的应用提供安全保护，对于其他应用程序用户更关注的是用户体验而不是安全性，如普通网页浏览、游戏等。因此本文研究的核心问题就是如何能利用虚拟化技术提高客户端用户的同时，又尽量不影响用户体验。1.2国内外研究现状BluePillProjectBluePill项目是基于x86虚拟化技术的首创的CPURootkit[6]。在2006年8月的黑帽大会上由InvisibleThingLab（sITL）的JoannaRutkowska首次提出[7-8]，并在WindowsVista64位版本上演示。该项目的目的是利用Intel或者AMD的硬件辅助虚拟化技术，证明并实现这样一种软件隐藏模型。其实现原理如图1-2所示。操作系统Hyper