基于Xen虚拟化的内核完整性检测方法

摘要

一种基于Xen虚拟化的内核完整性检测方法，利用内核完整性检测系统对运行在Xen虚拟化平台上的虚拟机操作系统进行内核完整性检测。系统在Dom0设置内存映射、信息获取和安全检测三个部分，内存映射部分提供获取DomU中硬件层面的机器字节数据接口，信息获取部分部署通过内存映射部分提供的接口获取DomU中硬件层面的机器字节数据，根据DomU中的操作系统版本将硬件层面的机器字节数据转化成操作系统级别的信息。安全检测部分以轮询方式调用信息获取部分获得DomU中操作系统内核关键数据，并根据系统安全策略，判断DomU中操作系统内核的完整性是否受到破坏。本发明系统将检测系统部署在被监控系统外部，在保证检测系统安全的同时对被监控系统的内核进行完整性检测。

主权项

一种基于Xen虚拟化的内核完整性检测方法，利用内核完整性检测系统对运行在Xen虚拟化平台上的虚拟机的Linux或者类Unix操作系统进行内核完整性检测，其特征在于：所述内核完整性检测系统包括内存映射部分、信息获取部分和安全检测部分，这三个部分均部署在管理域Dom0，从管理域Dom0对客户域DomU的操作系统内核完整性进行检测，并有效利用了Xen提供的隔离性，避免内核完整性检测系统受到客户域DomU中的恶意软件的攻击；所述内存映射部分提供获取客户域DomU中硬件层面的机器字节数据的接口，获取客户域DomU中寄存器二进制数据、物理地址空间对应的随机存储器中的二进制数据和内核态的逻辑地址空间对应的随机存储器的二进制数据，在管理域Dom0模拟客户域DomU操作系统的分页模型，利用libxc,libxs库函数从管理域Dom0中获取客户域DomU内核态的逻辑地址空间对应的随机存储器二进制数据；所述信息获取部分利用内存映射部分提供的接口，获取客户域DomU中与系统内核状态相关的关键数据即中断描述符表、系统调用表和系统调用函数指令数据；所述安全检测部分以轮询方式调用信息获取部分获得客户域DomU的中断向量表、系统调用表、系统函数指令数据并求哈希值，与管理域Dom0安全策略文件的中断向量表、系统调用表和系统调用函数的SHA‑1哈希值进行对比，检测客户域DomU中内核的完整性。