[发明专利]虚拟化安全管理方法、运行内核驱动的设备及存储介质

说明书

本发明公开了一种虚拟化安全管理方法，包括：内核驱动接收进程的访问请求；内核驱动获取进程的访问权限和/或请求类型；内核驱动根据访问权限和/或请求类型，向进程分配访问策略；内核驱动根据访问策略，从宿主机处获取访问资源；内核驱动将访问资源发送给进程；本申请实施例还提供一种设备及存储介质；本申请所提供的实施例在虚拟机和宿主机之间设置内核驱动作为信号传递中介，虚拟机作为宿主机中的访问进程，内核模块识别该进程的访问权限和访问类型，进行强制访问控制以及系统调用的挂钩，从而针对性地向进程分配访问策略；防止虚拟机逃逸造成的攻击宿主机，攻击虚拟化软件或通过宿主机攻击其他虚拟机的问题，保障了虚拟化系统的安全。

技术领域

本发明涉及虚拟化技术领域，具体涉及一种虚拟化安全管理方法、运行内核驱动的设备及存储介质。

背景技术

云计算能够提供强大服务的原因之一要归功于虚拟化技术(Virtualization)的发展。虚拟化技术为云计算提供高资源利用率、低能耗、动态资源调度等等优点。在虚拟化技术中，每个虚拟机(virtual machine,VM)作为一个进程运行在宿主机之上，宿主机统一对虚拟机进行资源的调度和管理。宿主机以及虚拟化软件的安全稳定运行是云计算能够提供强大服务的基础。所以必须要保证宿主机以及其上虚拟化软件的安全。

宿主机操作系统直接运行在服务器硬件之上，作为一个操作系统，它就有着普通操作系统具有的安全问题，虚拟化软件作为一个软件同样具有普通软件的安全问题。但是作为云计算的基础，它承担了更大的责任，并面临更多的安全威胁。虚拟机之间看似隔离，实际上他是宿主机上不同的进程，所以虚拟机之间，虚拟机与宿主机之间都存在着一定的安全风险。最主要的安全风险即虚拟机逃逸。虚拟机逃逸是指利用虚拟机软件或者虚拟机中运行的软件的漏洞进行攻击，以达到攻击或控制虚拟机或者宿主机操作系统的目的。由于技术的潜在缺陷，这种攻击的可能性很大。虚拟机逃逸后的主要威胁如下：

1)、攻击宿主机。虚拟机在逃逸后可能会对宿主机系统进行破坏，如植入病毒影响系统运行，植入rootkit完全控制系统等；

2)、攻击虚拟化软件。虚拟机逃逸后可能会对虚拟化软件进行破坏，如关闭虚拟化软件，修改和删除虚拟化软件相关文件等。

3)、攻击其他虚拟机。虚拟机逃逸后可能会攻击其他的虚拟机。如直接操作其他虚拟机的文件，关闭虚拟机，窃取虚拟机内部信息，或者控制其他虚拟机作为矿机等等。

因此，虚拟机和管理系统的安全性能还有待提升，进而保障整个虚拟化系统的安全。

发明内容

本发明实施例提供一种虚拟化安全管理方法、运行内核驱动的设备及存储介质，能够在虚拟化系统运行的过程中，通过设置内核驱动，在虚拟机和宿主机信息交互的过程中担任信息传递的中介，对交互信息进行安全控制，从而控制虚拟机逃逸带来的威胁，保障虚拟化系统的安全。

有鉴于此，本申请第一方面提供一种虚拟化安全管理方法，该方法包括：内核驱动接收进程的访问请求；其中，该进程可以是虚拟机；该内核驱动获取该进程的访问权限和/或请求类型；其中，该访问权限可以是预设的访问权限与进程的对应关系列表，也可以是在该进程和所访问资源之间分配的标签；该请求类型可以是请求访问CPUID调用接口，也可以是请求访问宿主机的ioctl系统调用；该内核驱动根据该访问权限和/或该请求类型，向该进程分配访问策略；其中，该访问策略可以是拒绝访问、允许部分访问或完全开放访问；该内核驱动根据该访问策略，从宿主机处获取访问资源；该内核驱动将该访问资源发送给该进程。由以上第一方面可见，在虚拟机和宿主机之间设置内核驱动，作为信号传递的中介，从而使得内核驱动实现虚拟机对宿主机访问的强制访问控制，虚拟机本质上是宿主机上的一个进程，其中，对进程访问权限进行控制，可以防止虚拟机逃逸后攻击宿主机和虚拟化软件，对进程访问的请求类型进行控制，可以防止虚拟机逃逸后通过宿主机攻击其他虚拟机。