專利名稱：虛擬機(jī)器監(jiān)控系統(tǒng)及方法
虛擬機(jī)器監(jiān)控系統(tǒng)及方法技術(shù)領(lǐng)域
本發(fā)明是有關(guān)于一種信息監(jiān)控技術(shù)，且特別是有關(guān)于一種虛擬機(jī)器監(jiān)控方法及系統(tǒng)。
背景技術(shù)：
在現(xiàn)代計(jì)算機(jī)技術(shù)的進(jìn)步下，軟件常常無(wú)法對(duì)過多的硬件資源做有效的利用。通過在硬件上建立虛擬環(huán)境以執(zhí)行數(shù)個(gè)虛擬機(jī)器，將可以使硬件資源獲得最有效的利用。
在虛擬環(huán)境的虛擬機(jī)器中，常會(huì)設(shè)置一個(gè)中央管控的虛擬機(jī)器，以將虛擬機(jī)器資源進(jìn)行集中管理。虛擬機(jī)器間的溝通需要經(jīng)過中央管控的虛擬機(jī)器進(jìn)行。因此，在已知的技術(shù)中，要判斷系統(tǒng)是否有異常的數(shù)據(jù)傳輸，只需要對(duì)中央管控的虛擬機(jī)器進(jìn)行監(jiān)控即可。 然而為了加速虛擬機(jī)器間的溝通，在新近的技術(shù)中也允許虛擬機(jī)器間在不透過中央管控的虛擬機(jī)器的情形下，直接建立私有的通道。因此，已知的監(jiān)控技術(shù)，將難以對(duì)這樣的私有通道進(jìn)行監(jiān)控，容易產(chǎn)生信息安全上的漏洞。
因此，如何設(shè)計(jì)一個(gè)新的虛擬機(jī)器監(jiān)控方法及系統(tǒng)，以克服上述的問題，乃為此一業(yè)界亟待解決的問題。發(fā)明內(nèi)容
本發(fā)明的目的在于提供一種虛擬機(jī)器監(jiān)控系統(tǒng)及方法。
因此，本發(fā)明的一方面是在提供一種虛擬機(jī)器監(jiān)控系統(tǒng)，包含虛擬層 (hypervisor)、多個(gè)虛擬機(jī)器、安全監(jiān)控模塊以及超級(jí)呼叫(hypercall)攔截模塊。虛擬機(jī)器通過虛擬層存取至少一實(shí)體運(yùn)算裝置的硬件資源，其中虛擬機(jī)器包含中央管控虛擬機(jī)器，以對(duì)虛擬機(jī)器進(jìn)行管控。超級(jí)呼叫攔截模塊位于虛擬層中，以擷取虛擬層中的中央管控虛擬機(jī)器代碼信息以及擷取虛擬機(jī)器其中之一所傳送的超級(jí)呼叫，其中超級(jí)呼叫用以建立來源虛擬機(jī)器以及目的虛擬機(jī)器間的通道，超級(jí)呼叫攔截模塊進(jìn)一步依據(jù)中央管控虛擬機(jī)器代碼信息及對(duì)應(yīng)超級(jí)呼叫的通道建立信息判斷通道的類型，以于通道為不透過中央管控虛擬機(jī)器所建立的私有通道時(shí)，使安全監(jiān)控模塊監(jiān)控私有通道。
依據(jù)本發(fā)明一實(shí)施例，其中通道建立信息包含對(duì)應(yīng)來源虛擬機(jī)器的來源虛擬機(jī)器代碼以及對(duì)應(yīng)目的虛擬機(jī)器的目的虛擬機(jī)器代碼。中央管控虛擬機(jī)器代碼信息包含中央管控虛擬機(jī)器的中央管控虛擬機(jī)器代碼，超級(jí)呼叫攔截模塊擷取中央管控虛擬機(jī)器代碼信息，以判斷來源虛擬機(jī)器代碼以及目的虛擬機(jī)器代碼是否包含中央管控虛擬機(jī)器代碼，以判斷通道的類型。當(dāng)來源虛擬機(jī)器代碼以及目的虛擬機(jī)器代碼不包含中央管控虛擬機(jī)器代碼，超級(jí)呼叫攔截模塊判斷通道的類型為私有通道。當(dāng)來源虛擬機(jī)器代碼以及目的虛擬機(jī)器代碼其中之一為中央管控虛擬機(jī)器代碼，超級(jí)呼叫攔截模塊判斷通道的類型為中央管控通道。
依據(jù)本發(fā)明另一實(shí)施例,通道為虛擬層的共享內(nèi)存(share memory)
依據(jù)本發(fā)明又一實(shí)施例，中央管控虛擬機(jī)器代碼信息是通過核心地圖(kernelmap)查詢。
依據(jù)本發(fā)明再一實(shí)施例，當(dāng)通道的類型為私有通道時(shí)，超級(jí)呼叫攔截模塊將超級(jí)呼叫發(fā)布至目的虛擬機(jī)器以及安全監(jiān)控模塊，俾使安全監(jiān)控模塊存取私有通道的信息。超級(jí)呼叫攔截模塊更用以于接收到目的虛擬機(jī)器以及安全監(jiān)控模塊分別傳送的清除信號(hào)后， 使來源虛擬機(jī)器關(guān)閉私有通道。
本發(fā)明的一方面是在提供一種虛擬機(jī)器監(jiān)控方法，應(yīng)用于虛擬機(jī)器監(jiān)控系統(tǒng)中。 虛擬機(jī)器監(jiān)控方法包含下列步驟于虛擬機(jī)器監(jiān)控系統(tǒng)的虛擬層中擷取多個(gè)虛擬機(jī)器其中之一所傳送的超級(jí)呼叫，其中超級(jí)呼叫用以建立來源虛擬機(jī)器以及目的虛擬機(jī)器間的通道。擷取虛擬層中的中央管控虛擬機(jī)器代碼信息。依據(jù)中央管控虛擬機(jī)器代碼信息及對(duì)應(yīng)超級(jí)呼叫的通道建立信息判斷通道的類型。當(dāng)通道為不透過虛擬機(jī)器中的中央管控虛擬機(jī)器所建立的私有通道時(shí)，使安全監(jiān)控模塊監(jiān)控私有通道。
依據(jù)本發(fā)明一實(shí)施例，其中通道建立信息包含對(duì)應(yīng)來源虛擬機(jī)器的來源虛擬機(jī)器代碼以及對(duì)應(yīng)目的虛擬機(jī)器的目的虛擬機(jī)器代碼。中央管控虛擬機(jī)器代碼信息包含中央管控虛擬機(jī)器的中央管控虛擬機(jī)器代碼，依據(jù)中央管控虛擬機(jī)器代碼信息判斷通道的類型的步驟還包含判斷來源虛擬機(jī)器代碼以及目的虛擬機(jī)器代碼是否包含中央管控虛擬機(jī)器代碼，以判斷通道的類型。當(dāng)來源虛擬機(jī)器代碼以及目的虛擬機(jī)器代碼不包含中央管控虛擬機(jī)器代碼，通道的類型為私有通道。當(dāng)來源虛擬機(jī)器代碼以及目的虛擬機(jī)器代碼其中之一為中央管控虛擬機(jī)器代碼，通道的類型為中央管控通道。
依據(jù)本發(fā)明另一實(shí)施例，通道為虛擬層的共享內(nèi)存。
依據(jù)本發(fā)明又一實(shí)施例，中央管控虛擬機(jī)器代碼信息是通過核心地圖查詢。
依據(jù)本發(fā)明再一實(shí)施例，當(dāng)通道的類型為私有通道時(shí)，使安全監(jiān)控模塊監(jiān)控私有通道的步驟還包含將超級(jí)呼叫發(fā)布至目的虛擬機(jī)器以及安全監(jiān)控模塊以及使安全監(jiān)控模塊存取私有通道的信息。
依據(jù)本發(fā)明更具有的一實(shí)施例，虛擬機(jī)器監(jiān)控方法還包含判斷目的虛擬機(jī)器以及安全監(jiān)控模塊是否分別傳送清除信號(hào)以及當(dāng)目的虛擬機(jī)器以及安全監(jiān)控模塊分別傳送清除信號(hào)，使來源虛擬機(jī)器關(guān)閉私有通道。
應(yīng)用本發(fā)明的優(yōu)點(diǎn)在于通過擷取用以建立來源虛擬機(jī)器以及目的虛擬機(jī)器間的通道的超級(jí)呼叫，并于判斷為此通道為一私有通道時(shí)進(jìn)行監(jiān)控，可以偵測(cè)虛擬機(jī)器間未經(jīng)過中央控管虛擬機(jī)器的溝通行為，避免資安漏洞，而輕易地達(dá)到上述的目的。


為讓本發(fā)明的上述和其它目的、特征、優(yōu)點(diǎn)與實(shí)施例能更明顯易懂，所附附圖的說明如下
圖1為本發(fā)明一實(shí)施例中，虛擬機(jī)器監(jiān)控系統(tǒng)的方塊圖；以及
圖2為本發(fā)明一實(shí)施例中，一種虛擬機(jī)器監(jiān)控方法的流程圖。
主要組件符號(hào)說明
1:虛擬機(jī)器監(jiān)控系統(tǒng)10 :虛擬層
100:共享內(nèi)存120、122、124 :虛擬機(jī)器
14 :安全監(jiān)控模塊16 :超級(jí)呼叫攔截模塊
18 :實(shí)體運(yùn)算裝置200 :虛擬機(jī)器監(jiān)控方法
201-207 :步驟具體實(shí)施方式
請(qǐng)參照?qǐng)D1。圖1為本發(fā)明一實(shí)施例中，虛擬機(jī)器監(jiān)控系統(tǒng)I的方塊圖。虛擬機(jī)器監(jiān)控系統(tǒng)I包含虛擬層(hypervisor) 10、多個(gè)虛擬機(jī)器120、122及124、安全監(jiān)控模塊14 以及超級(jí)呼叫(hypercall)攔截模塊16。
虛擬機(jī)器監(jiān)控系統(tǒng)I是建立于實(shí)體運(yùn)算裝置18上的虛擬環(huán)境，以通過虛擬環(huán)境技術(shù)在虛擬層10上虛擬出數(shù)個(gè)虛擬機(jī)器，可以達(dá)到同時(shí)對(duì)實(shí)體運(yùn)算裝置18的硬件資源進(jìn)行存取的功效。舉例來說，虛擬機(jī)器監(jiān)控系統(tǒng)I可建立于一個(gè)個(gè)人計(jì)算機(jī)中，并通過虛擬環(huán)境技術(shù)在虛擬層10上虛擬出各執(zhí)行不同的操作系統(tǒng)的數(shù)個(gè)虛擬機(jī)器。因此，在現(xiàn)代計(jì)算機(jī)硬件技術(shù)愈來愈進(jìn)步的情形下，虛擬機(jī)器將可使硬件資源獲得最大的使用率。于不同實(shí)施例中，虛擬機(jī)器的數(shù)目可依需求調(diào)整，不為圖1中繪示所限。
虛擬機(jī)器各包含一個(gè)虛擬機(jī)器代碼。于一實(shí)施例中，虛擬機(jī)器代碼是以網(wǎng)域 (domain)編碼表示。舉例來說，虛擬機(jī)器122的虛擬機(jī)器代碼可為網(wǎng)域I (domain I)，而虛擬機(jī)器124的虛擬機(jī)器代碼可為網(wǎng)域2(domain 2)。于本實(shí)施例中，虛擬機(jī)器120為一個(gè)中央管控虛擬機(jī)器。中央管控虛擬機(jī)器在不同的實(shí)施例中，可以是虛擬機(jī)器代碼為網(wǎng)域 O (domain O)的管控虛擬機(jī)器,或是具有其它虛擬機(jī)器代碼的一驅(qū)動(dòng)網(wǎng)域(driver domain) 虛擬機(jī)器，以對(duì)其他虛擬機(jī)器122、124間的溝通進(jìn)行管控。
虛擬機(jī)器122、124間常見的溝通方式，是透過中央管控虛擬機(jī)器120所進(jìn)行。亦即，虛擬機(jī)器122、124間進(jìn)行溝通時(shí)，是在虛擬層10中建立一個(gè)共享內(nèi)存，并經(jīng)由中央管控虛擬機(jī)器120來對(duì)共享內(nèi)存進(jìn)行數(shù)據(jù)的傳輸。因此，通過這樣的中央管控通道，其傳輸?shù)臄?shù)據(jù) 均會(huì)經(jīng)由中央管控虛擬機(jī)器120的轉(zhuǎn)發(fā)。在這樣的情形下，安全監(jiān)控模塊14可直接在中央管控虛擬機(jī)器120進(jìn)行數(shù)據(jù)的攔截，以監(jiān)控是否有危及信息安全的事情發(fā)生。需注意的是，上述的安全監(jiān)控模塊14于一實(shí)施例中，可為一獨(dú)立于中央管控虛擬機(jī)器120的安全監(jiān)控虛擬機(jī)器。于其它實(shí)施例中，安全監(jiān)控模塊14亦可設(shè)置于中央管控虛擬機(jī)器120之中， 而不需獨(dú)立設(shè)置。
然而，不透過中央管控虛擬機(jī)器120而直接通過超級(jí)呼叫所建立在虛擬機(jī)器122、 124間的私有通道，雖然可以加快虛擬機(jī)器122、124間的數(shù)據(jù)傳遞，但也使得安全監(jiān)控模塊 14無(wú)法通過在中央管控虛擬機(jī)器120進(jìn)行數(shù)據(jù)攔截的方式來監(jiān)控，因此容易造成信息安全上的漏洞。
本發(fā)明的虛擬機(jī)器監(jiān)控系統(tǒng)I中的超級(jí)呼叫攔截模塊16位于虛擬層10，可用以擷取虛擬機(jī)器其中之一所傳送的超級(jí)呼叫。舉例來說，虛擬機(jī)器122在欲與虛擬機(jī)器124進(jìn)行溝通時(shí)，將通過圖1中所繪示的實(shí)線路徑傳送超級(jí)呼叫至虛擬層10中。于本實(shí)施例中， 超級(jí)呼叫的來源為虛擬機(jī)器122，而目的則是虛擬機(jī)器124。在虛擬層10中，將產(chǎn)生對(duì)應(yīng)此超級(jí)呼叫的通道建立信息(未繪示)。于一實(shí)施例中，通道建立信息包含事件(event)相關(guān)數(shù)據(jù)結(jié)構(gòu)及網(wǎng)域相關(guān)數(shù)據(jù)結(jié)構(gòu)，分別記錄有來源虛擬機(jī)器代碼及目的虛擬機(jī)器代碼。
表I
權(quán)利要求
1.一種虛擬機(jī)器監(jiān)控系統(tǒng)，其特征在于，包含 一虛擬層； 多個(gè)虛擬機(jī)器，通過該虛擬層存取至少一實(shí)體運(yùn)算裝置的一硬件資源，其中所述多個(gè)虛擬機(jī)器包含一中央管控虛擬機(jī)器，以對(duì)所述多個(gè)虛擬機(jī)器進(jìn)行管控； 一安全監(jiān)控模塊；以及 一超級(jí)呼叫攔截模塊，位于該虛擬層中，以擷取該虛擬層中的一中央管控虛擬機(jī)器代碼信息以及擷取所述多個(gè)虛擬機(jī)器其中之一所傳送的一超級(jí)呼叫，其中該超級(jí)呼叫用以建立一來源虛擬機(jī)器以及一目的虛擬機(jī)器間的一通道，該超級(jí)呼叫攔截模塊進(jìn)一步依據(jù)該中央管控虛擬機(jī)器代碼信息及對(duì)應(yīng)該超級(jí)呼叫的一通道建立信息判斷該通道的類型，以于該通道為不透過該中央管控虛擬機(jī)器所建立的一私有通道時(shí)，使該安全監(jiān)控模塊監(jiān)控該私有通道。
2.根據(jù)權(quán)利要求1所述的虛擬機(jī)器監(jiān)控系統(tǒng)，其特征在于，該通道建立信息包含對(duì)應(yīng)該來源虛擬機(jī)器的一來源虛擬機(jī)器代碼以及對(duì)應(yīng)該目的虛擬機(jī)器的一目的虛擬機(jī)器代碼。
3.根據(jù)權(quán)利要求2所述的虛擬機(jī)器監(jiān)控系統(tǒng)，其特征在于，該中央管控虛擬機(jī)器代碼信息包含該中央管控虛擬機(jī)器的一中央管控虛擬機(jī)器代碼，該超級(jí)呼叫攔截模塊擷取該中央管控虛擬機(jī)器代碼信息，以判斷該來源虛擬機(jī)器代碼以及該目的虛擬機(jī)器代碼是否包含該中央管控虛擬機(jī)器代碼，以判斷該通道的類型。
4.根據(jù)權(quán)利要求3所述的虛擬機(jī)器監(jiān)控系統(tǒng)，其特征在于，當(dāng)該來源虛擬機(jī)器代碼以及該目的虛擬機(jī)器代碼不包含該中央管控虛擬機(jī)器代碼，該超級(jí)呼叫攔截模塊判斷該通道的類型為該私有通道。
5.根據(jù)權(quán)利要求3所述的虛擬機(jī)器監(jiān)控系統(tǒng)，其特征在于，當(dāng)該來源虛擬機(jī)器代碼以及該目的虛擬機(jī)器代碼其中之一為該中央管控虛擬機(jī)器代碼，該超級(jí)呼叫攔截模塊判斷該通道的類型為一中央管控通道。
6.根據(jù)權(quán)利要求1所述的虛擬機(jī)器監(jiān)控系統(tǒng)，其特征在于，該通道為該虛擬層的一共享內(nèi)存。
7.根據(jù)權(quán)利要求1所述的虛擬機(jī)器監(jiān)控系統(tǒng)，其特征在于，該虛擬機(jī)器代碼信息是通過一核心地圖查詢。
8.根據(jù)權(quán)利要求1所述的虛擬機(jī)器監(jiān)控系統(tǒng)，其特征在于，當(dāng)該通道的類型為該私有通道時(shí)，該超級(jí)呼叫攔截模塊將該超級(jí)呼叫發(fā)布至該目的虛擬機(jī)器以及該安全監(jiān)控模塊，以使該安全監(jiān)控模塊存取該私有通道的信息。
9.根據(jù)權(quán)利要求8所述的虛擬機(jī)器監(jiān)控系統(tǒng)，其特征在于，該超級(jí)呼叫攔截模塊還用以于接收到該目的虛擬機(jī)器以及該安全監(jiān)控模塊分別傳送的一清除信號(hào)后，使該來源虛擬機(jī)器關(guān)閉該私有通道。
10.一種虛擬機(jī)器監(jiān)控方法,其特征在于，應(yīng)用于一虛擬機(jī)器監(jiān)控系統(tǒng)中，該虛擬機(jī)器監(jiān)控方法包含下列步驟 于該虛擬機(jī)器監(jiān)控系統(tǒng)的一虛擬層中擷取多個(gè)虛擬機(jī)器其中之一所傳送的一超級(jí)呼口L其中該超級(jí)呼叫用以建立一來源虛擬機(jī)器以及一目的虛擬機(jī)器間的一通道； 擷取該虛擬層中的一中央管控虛擬機(jī)器代碼信息； 依據(jù)該中央管控虛擬機(jī)器代碼信息及對(duì)應(yīng)該超級(jí)呼叫的一通道建立信息判斷該通道的類型；以及當(dāng)該通道為不透過所述多個(gè)虛擬機(jī)器中的一中央管控虛擬機(jī)器所建立的一私有通道時(shí)，使一安全監(jiān)控模塊監(jiān)控該私有通道。
11.根據(jù)權(quán)利要求10所述的虛擬機(jī)器監(jiān)控方法，其特征在于，該通道建立信息包含對(duì)應(yīng)該來源虛擬機(jī)器的一來源虛擬機(jī)器代碼以及對(duì)應(yīng)該目的虛擬機(jī)器的一目的虛擬機(jī)器代碼。
12.根據(jù)權(quán)利要求11所述的虛擬機(jī)器監(jiān)控方法，其特征在于，該中央管控虛擬機(jī)器代碼信息包含該中央管控虛擬機(jī)器的一中央管控虛擬機(jī)器代碼，依據(jù)該中央管控虛擬機(jī)器代碼信息及該超級(jí)呼叫的該通道建立信息判斷該通道的類型的步驟還包含判斷該來源虛擬機(jī)器代碼以及該目的虛擬機(jī)器代碼是否包含該中央管控虛擬機(jī)器代碼，以判斷該通道的類型。
13.根據(jù)權(quán)利要求12所述的虛擬機(jī)器監(jiān)控方法，其特征在于，當(dāng)該來源虛擬機(jī)器代碼以及該目的虛擬機(jī)器代碼不包含該中央管控虛擬機(jī)器代碼，該通道的類型為該私有通道。
14.根據(jù)權(quán)利要求12所述的虛擬機(jī)器監(jiān)控方法，其特征在于，當(dāng)該來源虛擬機(jī)器代碼以及該目的虛擬機(jī)器代碼其中之一為該中央管控虛擬機(jī)器代碼，該通道的類型為一中央管控通道。
15.根據(jù)權(quán)利要求10所述的虛擬機(jī)器監(jiān)控方法，其特征在于，該通道為該虛擬層的一共享內(nèi)存。
16.根據(jù)權(quán)利要求10所述的虛擬機(jī)器監(jiān)控方法，其特征在于，該中央管控虛擬機(jī)器代碼信息是通過一核心地圖查詢。
17.根據(jù)權(quán)利要求10所述的虛擬機(jī)器監(jiān)控方法，其特征在于，當(dāng)該通道的類型為該私有通道時(shí)，使該安全監(jiān)控模塊監(jiān)控該私有通道的步驟還包含 將該超級(jí)呼叫發(fā)布至該目的虛擬機(jī)器以及該安全監(jiān)控模塊；以及使該安全監(jiān)控模塊存取該私有通道的信息。
18.根據(jù)權(quán)利要求17所述的虛擬機(jī)器監(jiān)控方法，其特征在于，還包含判斷該目的虛擬機(jī)器以及該安全監(jiān)控模塊是否分別傳送一清除信號(hào)；以及當(dāng)該目的虛擬機(jī)器以及該安全監(jiān)控模塊分別傳送該清除信號(hào)，使該來源虛擬機(jī)器關(guān)閉該私有通道。
全文摘要
本發(fā)明提供一種虛擬機(jī)器監(jiān)控系統(tǒng)及方法，虛擬機(jī)器監(jiān)控方法應(yīng)用于虛擬機(jī)器監(jiān)控系統(tǒng)中。虛擬機(jī)器監(jiān)控方法包含下列步驟于虛擬機(jī)器監(jiān)控系統(tǒng)的虛擬層中擷取多個(gè)虛擬機(jī)器其中之一所傳送的超級(jí)呼叫，其中超級(jí)呼叫用以建立來源虛擬機(jī)器以及目的虛擬機(jī)器間的通道。擷取虛擬層中的中央管控虛擬機(jī)器代碼信息。依據(jù)中央管控虛擬機(jī)器代碼信息及對(duì)應(yīng)超級(jí)呼叫的通道建立信息判斷通道的類型。當(dāng)通道為不透過虛擬機(jī)器中的中央管控虛擬機(jī)器所建立的私有通道時(shí)，使安全監(jiān)控模塊監(jiān)控私有通道。
文檔編號(hào)G06F9/455GK102999716SQ20111032713
公開日2013年3月27日 申請(qǐng)日期2011年10月19日 優(yōu)先權(quán)日2011年9月14日
發(fā)明者陳智偉, 田家瑋, 田謹(jǐn)維, 林志鴻 申請(qǐng)人:財(cái)團(tuán)法人資訊工業(yè)策進(jìn)會(huì)