基于自适应机制的虚拟机进程实时监视方法

• 作者: 乌云 孙丙宇 崔超远 李勇钢
• 来源期刊: 计算机学报
• 学科: 工学
• 关键词: 虚拟机 实时监视 进程检测 rootkit 隐藏性监测 自适应机制
• 年，卷（期）: 2019,（4）
• 所属期刊栏目: 云计算与安全
• 页码范围: 896-912
• 页数: 17页
• 分类号: TP309
• 字数: 13297字
• 语种: 中文
• DOI: 10.11897/SP.J.1016.2019.00896

摘要

系统虚拟化作为支撑云计算的关键技术,其安全问题显得尤为重要.在虚拟机外部对虚拟机内部的进程进行监视,可以使监视工具与不受信任的虚拟机隔离,能够有效地监视虚拟机行为.当前的虚拟机外部监视技术大多是基于周期或某一时间点上的内存快照技术展开的.但是,由于进程执行具有随机性、突发性的特点,而基于周期性或时间点的内存快照类方法监视过程不连续,容易造成漏检率较高的问题.为此,提出了一种基于自适应机制的虚拟机进程实时监视技术RTMonitor.RTMonitor利用虚拟机管理器(Virtual Machine Manager,VMM)在虚拟机外部实时捕获内核栈基址的切换,以此确定进程的切换动作.之后,获取与当前进程相关的硬件信息流,通过解析硬件信息得到当前运行进程的高层语义.针对进程执行的随机性和突发性特点,RTMonitor通过缓存进程内容并创建多任务的方法提高执行速率,采用自适应调度机制实现存储节点数量、执行任务数量与进程执行情形的动态匹配.与基于时间点的内存快照类方法相比,RTMonitor将进程监视扩展到了整个时间轴上,使得监视过程具有连续性的特点.最后,通过对进程的捕捉率、捕捉延时及隐藏性检测实验,证明了系统的可行性和有效性.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	崔超远	中国科学院合肥智能机械研究所	15	107	5.0	10.0
2	孙丙宇	中国科学院合肥智能机械研究所	31	121	7.0	9.0
3	李勇钢	中国科学院合肥智能机械研究所	7	16	3.0	3.0
7	乌云	中国科学院合肥物质科学研究院应用技术研究所	12	72	5.0	8.0