基于硬件虛擬化技術(shù)的跨平臺安全保護研究.pdf

1、許多操作系統(tǒng)被設(shè)計用來管理和控制系統(tǒng)資源,他們往往都具有龐大和復(fù)雜的特征,所以他們需要高等級的安全保護。但是先前的安全保護應(yīng)用程序由于處于不可信的執(zhí)行環(huán)境,所以不能提供足夠的保護。并且不同的商業(yè)操作系統(tǒng)以及不同的開源操作系統(tǒng),都擁有自己的設(shè)計架構(gòu)和實現(xiàn)方法,所以傳統(tǒng)的安全保護方法需要適應(yīng)不同的操作系統(tǒng)。針對現(xiàn)有安全保護上的不足,本次課題采用硬件虛擬化技術(shù)來達到輕量級的有效的跨平臺的系統(tǒng)保護。虛擬化技術(shù)可以使得虛擬機和監(jiān)控層運行環(huán)境之間高

2、度隔離,所以即使虛擬機處于不可信的執(zhí)行環(huán)境也不會影響到監(jiān)控程序的運行。并且虛擬機監(jiān)控程序處于相對虛擬機操作系統(tǒng)更高的特權(quán)級,使得它能夠監(jiān)控虛擬機運行以及獲得更多硬件資源的權(quán)利。無論惡意代碼在操作系統(tǒng)哪個特權(quán)級下運行,監(jiān)控程序都能夠有探測以及阻止它們運行的權(quán)力,而處于操作系統(tǒng)運行的程序都無法檢測到該安全監(jiān)控程序的存在。本論文提出了一個基于硬件虛擬化并提供可信執(zhí)行環(huán)境的虛擬機監(jiān)控程序來監(jiān)控在操作系統(tǒng)下各種不同的惡意行為,稱為VASP。該平臺

3、主要體現(xiàn)了三大創(chuàng)新優(yōu)點。首先,該保護平臺是一個輕量級的低系統(tǒng)開銷的虛擬機監(jiān)控平臺。利用了代碼優(yōu)化,最大限度地降低了虛擬機監(jiān)控程序的大小,從而減小了可信計算基礎(chǔ)的體積,使得監(jiān)控層更加安全有效。并且在保護過程中盡量減少對操作系統(tǒng)執(zhí)行過程的影響,使得監(jiān)控開銷降到最低。其次,本課題實現(xiàn)的保護機制提供了跨操作系統(tǒng)平臺的支持,并且在多數(shù)保護過程中無需修改操作系統(tǒng)源代碼。在實現(xiàn)過程中,VASP僅僅需要根據(jù)操作系統(tǒng)中調(diào)用鎖機制以及內(nèi)存分配機制的相關(guān)AP

4、I函數(shù)進行匹配執(zhí)行,其余的代碼都和操作系統(tǒng)平臺無關(guān)。在監(jiān)控攔截過程中得益于x86的硬件虛擬化技術(shù),使得攔截行為都由CPU硬件完成,無需軟件參與。最后,VASP保護平臺可以提供對多種系統(tǒng)保護的支持,包括I/O訪問保護、系統(tǒng)反調(diào)試保護以及內(nèi)存訪問保護等。并且還可以在這個基礎(chǔ)上通過增加系統(tǒng)功能的形式,擴展添加更多的系統(tǒng)保護機制。同時,VASP也實現(xiàn)了自我保護機制,即內(nèi)存自透明技術(shù)。該機制可以使得虛擬機監(jiān)控程序無法被虛擬機操作系統(tǒng)通過虛擬內(nèi)存訪