本发明专利技术提供一种虚拟机的度量方法及装置，该方法包括：配置待度量文件及白名单；构建位于所述白名单中的各个白名单软件对应的行为信息基；通过在虚拟机启动过程中对其内核文件及所述待度量文件进行度量，判断所述内核文件及待度量文件是否可信；每隔设定的第一间隔时间，获取所述虚拟机中当前处于运行状态的进程及内存信息；根据所述当前处于运行状态的进程及内存信息，判断所述虚拟机上是否有位于所述白名单之外的软件运行；每隔设定的第二间隔时间，获取处于运行状态的各个所述白名单软件的软件行为，通过与对应的行为信息基进行比对，判断所述各个白名单软件是否运行正常。该装置包括：配置单元、构建单元、第一度量单元、获取单元、第二度量单元及第三度量单元。本方案能够提高虚拟机的安全性。
【技术实现步骤摘要】
本专利技术涉及计算机安全领域，特别涉及一种虚拟机的度量方法及装置。
技术介绍
随着计算机技术的不断发展与壮大，服务器的应用范围越来越广泛，服务器一般通过虚拟化技术，在一个服务器主机上构建多个虚拟机，多个虚拟机公用服务器主机上的物理设备，供多个用户进行使用，用户通过虚拟机进行相应的数据计算及处理。由于虚拟机具有安全威胁多样化、遭受攻击频率高以及难以检测与预防等特点，所以虚拟机的安全性是亟待解决的一个技术问题。目前，针对虚拟机的度量方法，主要是通过在虚拟机创建过程中对虚拟机镜像文件进行度量，保证虚拟机镜像文件未被篡改。针对于现有技术对虚拟机进行度量的方法，仅在虚拟机运行前对其完整性进行度量，这样只能保证虚拟机的正常启动，但是在虚拟机启动后，在运行过程中，虚拟机中运行软件的种类及各个软件的运行状况不受控制，恶意软件很可能对虚拟机进行破坏，或盗取用户的关键信息，因此，虚拟机的安全性较低。
技术实现思路
本专利技术提供一种虚拟机的度量方法及装置，能够提高虚拟机的安全性。本专利技术实施例提供了一种虚拟机的度量方法，该方法包括:配置待度量文件及白名单；构建位于所述白名单中的各个白名单软件对应的行为信息基；通过在虚拟机启动过程中对其内核文件及所述待度量文件进行度量，判断所述内核文件及待度量文件是否可信；每隔设定的第一间隔时间，获取所述虚拟机中当前处于运行状态的进程及内存信息;根据所述当前处于运行状态的进程及内存信息，判断所述虚拟机上是否有位于所述白名单之外的软件运行；每隔设定的第二间隔时间，获取处于运行状态的各个所述白名单软件的软件行为，通过与对应的行为信息基进行比对，判断所述各个白名单软件是否运行正常。优选地，所述构建位于所述白名单内的中个白名单软件对应的行为信息基包括:通过收集所述各个白名单软件的行为信息，构建位于所述白名单中的各个白名单软件对应的行为信息基，其中，所述行为信息基包括软件行为标识、行为主机、行为客体、行为输入输出中的任意一个或多个。优选地，所述通过在虚拟机启动过程中对其内核文件及所述待度量文件进行度量，判断所述内核文件及待度量文件是否可信包括:在所述虚拟机启动过程中，对所述虚拟机的内核文件及所述待度量文件进行哈希计算，将计算结果与各自对应的基线值进行比对，如果所述计算结果与对应的基线值相同，则所述内核文件及待度量文件是可信的，否则不可信。优选地，所述获取所述虚拟机中当前处于运行状态的进程及内存信息包括:通过虚拟机自省技术VMI的程序库LibVMI，利用系统的system, map文件找到所述虚拟机的内核虚拟地址，内核页目录映射到正确的页表Page Table，Page Table映射到正确的数据页地址Date Page，虚拟机VMM组件将数据页返回给LibVMI，最后由LibVMI将数据表指针及偏移量返回给VMI组件，获取到所述虚拟机中当前运行的进程及内存信息。优选地，所述根据所述当前处于运行状态的进程及内存信息，判断所述虚拟机上是否有位于所述白名单之外的软件运行包括:通过对所述虚拟机当前运行的各个进程及内存信息进行哈希计算，获取各个进程及内存信息对应的当前计算结果，分别将各个所述当前计算结果与获取的所述各个白名单软件对应的进程及内存信息的哈希计算基线值进行对比，如果至少存在一个所述当前计算结果，与任意一个所述白名单软件对应的进程及内存信息的哈希计算基线值均不相同，则所述虚拟机上有位于所述白名单之外的软件运行，否则所述虚拟机上没有位于所述白名单之外的软件运行。优选地，所述配置待度量文件及白名单包括:在远程证明服务器上配置所述待度量文件及所述白名单；所述构建位于所述白名单中的各个白名单软件对应的行为信息基包括:在所述远程证明服务器上构建所述白名单中的各个白名单软件对应的行为信息基；所述分别将各个所述当前计算结果与构建的所述各个白名单软件对应的进程及内存信息的哈希计算基线值进行对比包括:将所述当前计算结果发送至所述远程证明服务器上，分别与在所述远程证明服务器上预先计算获取的所述各个白名单软件对应的进程及内存信息的哈希计算基线值进行对比。本专利技术实施例还提供了一种虚拟机的度量装置，该装置包括:配置单元，用于配置待度量文件及白名单；构建单元，用于构建位于所述配置单元配置的白名单中的各个白名单软件对应的行为信息基；第一度量单元，用于通过在虚拟机启动过程中对其内核文件及所述配置单元配置的待度量文件进行度量，判断所述内核文件及待度量文件是否可信；获取单元，用于每隔设定的第一间隔时间，获取所述虚拟机中当前处于运行状态的进程及内存信息；第二度量单元，用于根据所述获取单元获取的当前处于运行状态的进程及内存信息，判断所述虚拟机上是否有位于所述配置单元配置的白名单之外的软件运行；第三度量单元，用于每隔设定的第二间隔时间，获取处于运行状态的各个所述白名单软件的软件行为，通过与对应的行为信息基进行比对，判断所述各个白名单软件是否运行正常。优选地，所述构建单元，用于通过收集所述各个白名单软件的行为信息，构建位于所述白名单中的各个白名单软件对应的行为信息基，其中，所述行为信息基包括软件行为标识、行为主机、行为客体、行为输入输出中的任意一个或多个。优选地，所述第一度量单元，用于在所述虚拟机启动过程中，对所述虚拟机的内核文件及所述待度量文件进行哈希计算，将计算结果与各自对应的基线值进行比对，如果所述计算结果与对应的基线值相同，则所述内核文件及待度量文件是可信的，否则不可信。优选地，所述获取单元，用于通过虚拟机自省技术VMI的程序库LibVMI，利用系统的system, map文件找到所述虚拟机的内核虚拟地址，内核页目录映射到正确的页表PageTable，Page Table映射到正确的数据页地址Date Page，虚拟机VMM组件将数据页返回给LibVMI，最后由LibVMI将数据表指针及偏移量返回给VMI组件，获取到所述虚拟机中当前运行的进程及内存信息。优选地，所述第二度量单元，用于通过对所述虚拟机当前运行的各个进程及内存信息进行哈希计算，获取各个进程及内存信息对应的当前计算结果，分别将各个所述当前计算结果与获取的所述各个白名单软件对应的进程及内存信息的哈希计算基线值进行对比，如果至少存在一个所述当前计算结果，与任意一个所述白名单软件对应的进程及内存信息的哈希计算基线值均不相同，则所述虚拟机上有位于所述白名单之外的软件运行，否则所述虚拟机上没有位于所述白名单之外的软件运行。优选地，所述配置单元，用于在远程证明服务器上配置所述待度量文件及所述白名单；所述构建单元，用于在所述远程证明服务器上构建所述白名单中的各个白名单软件对应的行为信息基；所述第二度量单元，用于将所述当前计算结果发送至所述远程证明服务器上，分别与在所述远程证明服务器上预先计算获取的所述各个白名单软件对应的进程及内存信息的哈希计算基线值进行对比。本专利技术实施例提供了一种虚拟机的度量方法及装置，通过配置待度量文件和白名单，在虚拟器启动过程中，对虚拟机的内核文件及待度量文件进行度量，判断虚拟机的内核文件及待度量文件是否可信；在虚拟机运行过程中，每隔一个设定的第一间隔时间，获取虚拟机中当前处于运行状态的进程及内存信息，通过获取的进程及内存信息，判断虚拟机上是否存在位于本文档来自技高网...
【技术保护点】
一种虚拟机的度量方法，其特征在于，包括：配置待度量文件及白名单；构建位于所述白名单中的各个白名单软件对应的行为信息基；通过在虚拟机启动过程中对其内核文件及所述待度量文件进行度量，判断所述内核文件及待度量文件是否可信；每隔设定的第一间隔时间，获取所述虚拟机中当前处于运行状态的进程及内存信息；根据所述当前处于运行状态的进程及内存信息，判断所述虚拟机上是否有位于所述白名单之外的软件运行；每隔设定的第二间隔时间，获取处于运行状态的各个所述白名单软件的软件行为，通过与对应的行为信息基进行比对，判断所述各个白名单软件是否运行正常。
【技术特征摘要】
【专利技术属性】
技术研发人员：宋洪涛，
申请(专利权)人：浪潮电子信息产业股份有限公司，
类型：发明
国别省市：山东;37
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。