云环境的监控方法及物理节点的制作方法
【专利摘要】本发明适用于通信领域，提供了一种云环境的监控方法及物理节点，该方法包括：当云环境的可信链扩张到扩展到管理域时，管理域在开启监控域时，虚拟管理器VMM通过迷你可信平台模块mini?TPM驱动度量所述监控域的内存布局；所述mini?TPM驱动具体包括：TPM驱动中的可信扩展和度量子功能；VMM并根据所述监控域的内存布局是否符合要求判断所述监控域是否可信。本发明提供的技术方案具有能够对监控域的可信度进行监控的优点。
【专利说明】云环境的监控方法及物理节点【技术领域】
[0001]本发明属于通信领域，尤其涉及一种云环境的监控方法及物理节点。
【背景技术】
[0002]虚拟化技术是一种新型的计算模式，它支持在单一硬件平台上同时运行多个隔离的虚拟环境，通过将不同的服务部署在这些虚拟环境中，实现多个服务聚合在单一物理结点，在2008和2009连续两年公布的Gartner技术发展趋势报告中，虚拟化技术都成为十大IT关键技术之一，作为计算机体系结构的发展趋势以及近年来研究的热点，虚拟化技术取得了长足的发展，随之带动了云计算的普和发展，基于虚拟计划技术的云平台具有强大的资源聚合和服务迁移能力，它能够按需使用和动态伸缩、显著提高资源利用率、简化服务部署，这些优点吸引了越来越多的厂商在云环境中部署服务、提供服务，然而，由于云平台服务提供商与云用户的信任问题，大大阻碍了云计算的发展。[0003]为了解决云环境中的信任问题，现有技术提供了一种Ether的技术方案，Ether是一种透明的、在虚拟机外部的恶意代码分析方法，通过硬件辅助虚拟化技术，它实现了指令执行监控、内存写、系统调用截获和限制特定进程的内存访问。Ether系统架构如图1所示，如图1所示，其中，Ether系统架构包括:管理域(DomO)和用户域(DomU)，现有的云环境的可信度监控是通过可信平台模块(Trusted Platform Module, TPM)可信启动来实现的，其具体的步骤包括:可信根一基本输入输出系统(Basic Input Output System, BIOS)—统一引导程序(GRand Unified Bootloader, GRUB)—虚拟机管理器(Virtual MachineManagement, VMM)—管理域一监控域，Ether由超级访问(Hypervisor)部分模块与用户部分模块组成，Hypervisor部分负责截获目标虚拟机中发生的事件，这些事件包括系统调用、指令执行、内存写、上下文切换等。用户部分模块负责控制目标虚拟机中哪些信息需要被监控，同时也负责监控信息的语义恢复，如将系统调用号转化为系统调用名，根据系统调用的参数类型恢复出具体的参数。
[0004]现有技术的技术方案的管理域与用户均由监控域监控，但监控域本身的可信度无法监控。
【发明内容】
[0005]本发明实施例的目的在于提供一种云环境的监控方法，旨在解决现有技术监控域本身的可信度无法监控的问题。
[0006]一方面，本发明提供一种云环境的监控方法，所述方法包括:
[0007]当云环境的可信链扩张到扩展到管理域时，管理域在开启监控域时，虚拟管理器VMM通过迷你可信平台模块mini TPM驱动度量所述监控域的内存布局；所述mini TPM驱动具体包括=TPM驱动中的可信扩展和度量子功能；
[0008]VMM并根据所述监控域的内存布局是否符合要求判断所述监控域是否可信。
[0009]进一步，本发明的实施例还提供一种云环境的物理节点，包括:管理域、监控域和虚拟管理器VMM;其中
[0010]所述管理域，用于当云环境的可信链扩张到扩展到管理域时，开启监控域，并通知所述VMM ；
[0011 ] 所述VMM，用于通过mini TPM驱动度量所述监控域的内存布局，并根据所述监控域的内存布局是否符合要求判断所述监控域是否可信；
[0012]所述mini TPM驱动具体包括:TPM驱动中的可信扩展和度量子功能。
[0013]本发明实施例提供的方法在监控域启动时，就通过mini TPM驱动来监控该监控域是否可信以实现监控域的监控，所以本发明实施例提供的方法具有对监控域进行可信监控的优点。
【专利附图】
【附图说明】
[0014]图1是现有技术提供的Ether系统架构图；
[0015]图2是本发明实施例提供的云环境的监控方法的流程图；
[0016]图3是本发明实施例提供的监控域监控管理域的操作流程图；
【具体实施方式】
[0017]为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
[0018]本发明实施例提供一种云环境的监控方法，该方法由云平台内的客户虚拟机执行，该方法如图2所示,包括:
[0019]S21、当云环境的可信链扩张到扩展到管理域时，管理域在开启监控域时，虚拟管理器VMM通过mini TPM驱动度量所述监控域的内存布局；
[0020]所述mini TPM驱动具体包括:TPM驱动中的可信扩展和度量子功能；
[0021]S22、VMM并根据所述监控域的内存布局是否符合要求判断所述监控域是否可信。
[0022]需要说明的是，上述是否符合要求的具体标准可以通过TPM的可信度量来验证其完整性,根据其完整性是否符合要求。
[0023]本发明具体实施例提供的方法在监控域启动时，就通过mini TPM驱动来监控该监控域是否可信以实现监控域的监控，所以本发明实施例提供的方法具有对监控域进行可信监控的优点。
[0024]可选的，当S22判断出监控域可信时，上述方法还可以包括:
[0025]VMM将监控域的内存页面锁定。其实现的方式具体可以为；屏蔽虚拟客户机的其他域对监控域内存页面的映射，这样就能够防止监控域的内存页面在运行时被其他域修改，从而保证了在运行时对监控域监控的完整性。
[0026]可选的，在判断出监控域可信时，所述监控域包括:不同类型的操作系统的语义解析模块，所述语义解析模块包括:封装有不同类型操作系统对应的设备驱动；上述方法还可以包括:
[0027]在进行语义解析时，所述监控域根据所述语义对应的操作系统的类型调用与该操作系统对应的语义解析模块对该语义进行解析。需要说明的是，上述不同类型的操作系统具体可以为，例如微软的windows操作系统、苹果公司的ios操作系统等。通过不同操作系统的类型的语义解析模块可以屏蔽多操作系统的差异，不会出现语义无法解析的问题。
[0028]可选的，在判断出监控域可信时，上述还包括:
[0029]当进行系统调用时，确定所述系统调用为传统系统调用或快速系统调用；
[0030]当确定是传统系统调用时，将自定义的函数入口写入所述监控域的中断描述符表以拦截所述传统系统调用，在拦截成功后，进入语义解析流程；
[0031]当确定是快速系统调用时，将用户域的系统调用入口函数地址寄存器设置为不存在的值，将所述快速系统调用转化为缺页异常，并将缺页地址发送给VMM，VMM通过缺页地址判断是否为正常的缺页异常，如否，拦截所述快速系统调用，并进入监控流程；
[0032]监控流程包括:获取客户虚拟机在系统调用时的低级语义，根据该低级语义解析出高级语义以实现在系统调用时的客户虚拟机的监控。
[0033]通过上述系统调用时进行系统调用的拦截和监控可以达到透明监控的作用，即整个系统调用的监控客户虚拟机并不能获知，所以其具有透明监控的优点。
[0034]本发明具体实施例还提供一种云环境的物理节点，上述物理节点具体可以为:在云环境的物理装置30，例如服务器，计算机等，该节点如图3所示，包括:管理域31、监控域32和虚拟管理器VMM33 ;其中
[0035]管理域31，用于当云环境的可信链扩张到扩展到管理域时，开启监控域32，并通知 VMM33 ；
[0036]VMM33，用于通过mini TPM驱动度量监控域32的内存布局，并根据监控域33的内存布局是否符合要求判断监控域33是否可信；
[0037]上述mini TPM驱动具体包括:TPM驱动中的可信扩展和度量子功能。
[0038]本发明具体实施例提供的物理节点在监控域启动时，就通过mini TPM驱动来监控该监控域是否可信以实现监控域的监控，所以本发明实施例提供的物理节点具有对监控域进行可信监控的优点。
[0039]可选的，在VMM 33在判断出监控域可信时，VMM33进一步用于将监控域32的内存页面锁定。
[0040]可选的，监控域32包括:不同类型的操作系统的语义解析模块321，语义解析模块321包括:封装有不同类型操作系统对应的设备驱动；
[0041]监控域32，用于在VMM33判断出监控域可信且在进行语义解析时，根据所述语义对应的操作系统的类型调用与所述操作系统对应的语义解析模块321对该语义进行解析。
[0042]可选的，在VMM在判断出监控域可信时，上述物理节点还包括:用户域34 ；
[0043]用户域34，用于执行系统调用，并在进行系统调用时，触发判断模块351 ；
[0044]判断模块351，用于判断所述系统调用为传统系统调用或快速系统调用，并将判断结果发送给第一拦截模块352和第二拦截模块353 ；
[0045]第一拦截模块352，用于在判断结果为传统系统调用时，将自定义的函数入口写入监控域32的中断描述符表以拦截所述传统系统调用，在拦截成功后，触发监控模块354进入监控流程；
[0046]第二拦截模块353，用于在判断结果为快速系统调用时，将用户域34的系统调用A 口函数地址寄存器设置为不存在的值，将所述快速系统调用转化为缺页异常，并将缺页地址发送给VMM33以使所述VMM33通过缺页地址判断是否为正常的缺页异常，如否，拦截所述快速系统调用，并触发监控模块354进入监控流程；
[0047]监控模块354，用于执行监控流程，所述监控流程包括:获取该物理节点的客户虚拟机在系统调用时的低级语义，根据该低级语义解析出高级语义以实现在系统调用时的客户虚拟机的监控；所述系统调用包括:传统系统调用或快速系统调用。
[0048]本发明具体实施例还提供一种物理节点，该物理节点包括:处理器；
[0049]该处理器，用于当云环境的可信链扩张到扩展到管理域时，管理域在开启监控域时，控制虚拟管理器VMM通过mini TPM驱动度量所述监控域的内存布局；所述mini TPM驱动具体包括=TPM驱动中的可信扩展和度量子功能；控制VMM并根据所述监控域的内存布局是否符合要求判断所述监控域是否可信。
[0050]可选的，该处理器进一步用于，控制VMM将监控域的内存页面锁定。
[0051]可选的，上述物理节点还包括:存储器，该存储器用于存储不同类型的操作系统的语义解析模块，所述语义解析模块包括:封装有不同类型操作系统对应的设备驱动；上述处理器用于在进行语义解析时，控制监控域根据所述语义对应的操作系统的类型调用与该操作系统对应的语义解析模块对该语义进行解析。
[0052]可选的，上述处理器进一步用于，当进行系统调用时，确定所述系统调用为传统系统调用或快速系统调用；当确定是传统系统调用时，将自定义的函数入口写入所述监控域的中断描述符表以拦截所述传统系统调用，在拦截成功后，进入语义解析流程；当确定是快速系统调用时，将用户域的系统调用入口函数地址寄存器设置为不存在的值，将所述快速系统调用转化为缺页异常，并将缺页地址发送给VMM，VMM通过缺页地址判断是否为正常的缺页异常，如否，拦截所述快速系统调用，并进入监控流程；所述监控流程包括:获取客户虚拟机在系统调用时的低级语义，根据该低级语义解析出高级语义以实现在系统调用时的客户虚拟机的监控。
[0053]上述单元和系统实施例中，所包括的各个模块或单元只是按照功能逻辑进行划分的，但并不局限于上述的划分，只要能够实现相应的功能即可；另外，各功能模块的具体名称也只是为了便于相互区分，并不用于限制本发明的保护范围。
[0054]本领域技术人员可以理解，本发明实施例提供的技术方案全部或部分步骤是可以通过程序指令相关的硬件来完成。比如可以通过计算机运行程来完成。该程序可以存储在可读取存储介质，例如，随机存储器、磁盘、光盘等。
[0055]以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。
【权利要求】
1.一种云环境的监控方法,其特征在于,所述方法包括: 当云环境的可信链扩张到扩展到管理域时，管理域在开启监控域时，虚拟管理器VMM通过迷你可信平台模块mini TPM驱动度量所述监控域的内存布局；所述mini TPM驱动具体包括:TPM驱动中的可信扩展和度量子功能； VMM并根据所述监控域的内存布局是否符合要求判断所述监控域是否可信。
2.根据权利要求1所述的方法，其特征在于，所述方法在判断出监控域可信时还包括: VMM将监控域的内存页面锁定。
3.根据权利要求1所述的方法，其特征在于，所述监控域包括:不同类型的操作系统的语义解析模块，所述语义解析模块包括:封装有不同类型操作系统对应的设备驱动；所述在判断出监控域可信时还包括: 在进行语义解析时，所述监控域根据所述语义对应的操作系统的类型调用与该操作系统对应的语义解析模块对该语义进行解析。
4.根据权利要求1所述的方法，其特征在于，所述在判断出监控域可信时还包括: 当进行系统调用时，确定所述系统调用为传统系统调用或快速系统调用； 当确定是传统系统调用时，将自定义的函数入口写入所述监控域的中断描述符表以拦截所述传统系统调用，在拦截成功后，进入语义解析流程； 当确定是快速系统调用时，将用户域的系统调用入口函数地址寄存器设置为不存在的值，将所述快速系统调用转化为缺页异常，并将缺页地址发送给VMM，VMM通过缺页地址判断是否为正常的缺页异常，如否，拦截所述快速系统调用，并进入监控流程； 所述监控流程包括:获取客户虚拟机在系统调用时的低级语义，根据该低级语义解析出高级语义以实现在系统调用时的客户虚拟机的监控。
5.一种云环境的物理节点，其特征在于，所述节点包括:管理域、监控域和虚拟管理器VMM ;其中 所述管理域，用于当云环境的可信链扩张到扩展到管理域时，开启监控域，并通知所述VMM ； 所述VMM，用于通过mini TPM驱动度量所述监控域的内存布局，并根据所述监控域的内存布局是否符合要求判断所述监控域是否可信； 所述mini TPM驱动具体包括:TPM驱动中的可信扩展和度量子功能。
6.根据权利要求5所述的物理节点，其特征在于，所述VMM在判断出监控域可信时，所述VMM进一步用于将监控域的内存页面锁定。
7.根据权利要求5所述的物理节点，其特征在于，所述监控域包括:不同类型的操作系统的语义解析模块，所述语义解析模块包括:封装有不同类型操作系统对应的设备驱动； 所述监控域，用于在所述VMM在判断出监控域可信且在进行语义解析时，根据所述语义对应的操作系统的类型调用与所述操作系统对应的语义解析模块对该语义进行解析。
8.根据权利要求5所述的物理节点，其特征在于，所述VMM在判断出监控域可信时，所述物理节点还包括:用户域； 所述用户域，用于执行系统调用，并在进行系统调用时，触发判断模块； 所述判断模块，用于判断所述系统调用为传统系统调用或快速系统调用，并将判断结果发送给第一拦截模块和第二拦截模块；第一拦截模块，用于在所述判断结果为传统系统调用时，将自定义的函数入口写入所述监控域的中断描述符表以拦截所述传统系统调用，在拦截成功后，触发监控模块进入监控流程； 第二拦截模块，用于在所述判断结果为快速系统调用时，将用户域的系统调用入口函数地址寄存器设置为不存在的值，将所述快速系统调用转化为缺页异常，并将缺页地址发送给VMM以使所述VMM通过缺页地址判断是否为正常的缺页异常，如否，拦截所述快速系统调用，并触发监控模块进入监控流程； 所述监控模块，用于执行监控流程， 所述监控流程包括:获取客户虚拟机在系统调用时的低级语义，根据该低级语义解析出高级语义以实现在系统调用时的客户虚拟机的监控；所述系统调用包括:传统系统调用或快速系统调用。
【文档编号】H04L29/08GK103580885SQ201210252209
【公开日】2014年2月12日 申请日期:2012年7月20日 优先权日:2012年7月20日
【发明者】金海 , 邹德清, 吴晓昕 申请人:华为技术有限公司