[发明专利]一种基于硬件虚拟化的云平台受控侧信道攻击检测方法

说明书

本发明公开了一种基于硬件虚拟化的云平台受控侧信道攻击检测方法；本发明通过操作扩展页表EPT锁定客户虚拟机内存，保护客户中断描述符表IDT内容不被恶意操作系统OS修改，并对页面操作序列进行模式分析，从而自动区分正常内存请求与恶意操作。本方法能有效检测受控侧信道攻击，与现有的纯软件实现的防御方法相比，降低了时间开销，且无需修改被保护程序代码。

技术领域

本发明属于计算机信息安全技术领域，涉及一种云计算环境中受控侧信道攻击检测方法，具体涉及一种基于硬件虚拟化的云平台受控侧信道攻击检测方法，用于解决云平台应用敏感信息泄露问题。

背景技术

云计算安全已成为阻碍云计算应用与发展的重要瓶颈，是当前网络空间安全的热点。应用虚拟化作为一种云计算极为广泛的部署方式，使云租户的敏感应用运行于云平台操作系统容器中，然而操作系统通常被认为是不可信，致使其应用面临敏感信息泄露风险。如Iago攻击恶意控制操作系统权限，通过修改系统调用返回地址，进而获取进程的敏感数据。已有研究利用更高特权级的Hypervisor和可信硬件，实现了InkTag和Haven等高级安全防护系统，有利于改善不可信OS导致的应用敏感信息泄露，然而受控侧信道攻击作为一种新攻击方式，可以成功绕过以上安全防护系统，攻击者利用可控的缺页错误(Page Fault,PF)异常可能泄露的信息，进而推测出敏感数据的内容。

目前，受控侧信道攻击防御有两种类型：基于修改进程内存分布的方法和重分发系统处理例程的方法。基于修改进程内存分布的方法以纯软件方式实现，通过内存拷贝或加解密，将页面内容重新布局，混淆了信道泄露的信息，但同时也会引入巨大的时间开销；另一类方案实现了重分发系统处理例程，在加入新的硬件特性支持后，操作系统不再单独处理缺页错误等中断事件，而是分发给硬件进一步处理，虽然能成功阻断攻击者获取信息的途径，但需要对现有传统程序源码进行人工分析与重编译。因此，如何在不可信云平台上实现云应用的敏感信息安全保护也成为当前信息安全领域亟待解决的关键问题。

发明内容

为了解决在OS不可信的条件下，如何利用虚拟化功能来检测缺页错误侧信道攻击，解决云平台应用的敏感信息泄露问题，本发明提供了一种基于硬件虚拟化的云平台受控侧信道攻击检测方法。

本发明所采用的技术方案是：1.一种基于硬件虚拟化的云平台受控侧信道攻击检测方法，其特征在于，包括以下步骤：

步骤1：虚拟机监视VMM(Virtual Machine Monitor)利用内存管理单元MMU对客户虚拟机的进程页表进行虚拟化扩展，获得扩展页表EPT；

步骤2：确定扩展页表EPT中客户页表结构；

在虚拟机监视VMM控制下仅在处理器工作处于非根模式时才参与地址转换，内存管理单元MMU虚拟化扩展；EPT直接在硬件上支持从客户机虚拟地址GVA(Guest VirtualAddress)到宿主机物理地址HPA(Host Physical Address)之间的映射，直接在硬件上支持客户虚拟地址-客户物理地址-主机物理地址的两次转换；

步骤3：修改EPT页表项的读写权限位，限制受保护进程页表的修改，从而锁定内存；

步骤4：虚拟机监视VMM通过读取虚拟机控制块VMCS中的中断描述符表IDT表地址，获取其完整内容，保证中断描述符表IDT表不会被修改，虚拟机监视VMM保留所有系统例程地址变化和页表内容写操作的相关记录；

步骤5：根据受控信道攻击的攻击模型，通过区分恶意OS对系统结构的特殊修改行为，虚拟机监视VMM判断出OS对受保护进程的恶意操作。

本发明解决的技术挑战：

1.不再注重于在VMM层拦截异常，而是开启EPT功能，直接监控页表内容，避免页表错误异常陷入VMM带来的过大系统开销。