[发明专利]虚拟机数据保护系统和方法

权利要求书

1.一种虚拟机数据保护系统，包括虚拟机特权域Domain0和一个以上非特权域，其特征在于，包括：

位于所述特权域Domain0的:

安全策略模块，用于根据安全策略设置安全规则，对用户身份和角色进行认证；

数据标记模块，用于根据所述安全策略对用户数据进行标记；

网络隔离模块，用于对非法数据行为和流向进行控制和操作；

和

位于所述非特权域的：

数据审查模块，用于关联所有虚拟机内的资源，监控数据的操作行为和流向，将确定的非法数据行为和流向发送给所述网络隔离模块以便进行控制和操作。

2.根据权利要求1所述的系统，其特征在于，所述数据标记模块将数据流打上标记或者唯一标识符。

3.根据权利要求2所述的系统，其特征在于，标记内容的编码规则根据安全策略层级确定。

4.根据权利要求1所述的系统，其特征在于，所述网络隔离模块干扰对共享硬件资源的虚拟机的探测，对做出非法动作的虚拟机进行网络隔离控制。

5.根据权利要求4所述的系统，其特征在于，所述网络隔离控制包括中断网络访问或关闭虚拟机；

或

干扰策略包括转到沙箱运行命令、杀死命令线程、或反馈伪数据。

6.一种虚拟机数据保护方法，其特征在于，包括：

在虚拟机特权域Domain0内根据安全策略设置安全规则，对用户身份和角色进行认证；

在所述虚拟机特权域Domain0根据所述安全策略对用户数据进行标记；

在所述虚拟机特权域Domain0对非法数据行为和流向进行控制和操作；

以及，

在各个虚拟机的非特权域内关联所有虚拟机内的资源，监控数据的操作行为和流向，将确定的非法数据行为和流向发送给所述虚拟机特权域Domain0以便进行控制和操作。

7.根据权利要求6所述的方法，其特征在于，所述根据所述安全策略对用户数据进行标记包括：

根据所述安全策略将数据流打上标记或者唯一标识符，标记内容的编码规则根据安全策略层级确定。

8.根据权利要求6所述的方法，其特征在于，所述对非法数据行为和流向进行控制和操作包括：

干扰对共享硬件资源的虚拟机的探测；

对做出非法动作的虚拟机进行网络隔离控制。

9.根据权利要求8所述的方法，其特征在于。干扰策略包括转到沙箱运行命令、杀死命令线程、或反馈伪数据。

10.根据权利要求8所述的方法，其特征在于，所述网络隔离控制包括中断网络访问或关闭虚拟机。