陈兴蜀，赵　成，陶术松

(四川大学计算机学院　成都　610065)

·计算机工程与应用·

基于KVM的Windows虚拟机用户进程防护

陈兴蜀，赵成，陶术松

(四川大学计算机学院成都610065)

为保护Windows虚拟机中进程的内存和系统调用执行路径免受恶意代码的威胁，提出了一种基于KVM的虚拟机用户进程防护方案。结合硬件虚拟化技术，为Windows虚拟机构造一份影子内核以绕过恶意代码对原内核系统调用路径的挂钩，保护进程系统调用路径的安全。同时，在监控代理中过滤跨进程系统调用，在KVM中拦截虚拟机页表切换行为并监控虚拟机断点异常与调试异常，保护进程内存的安全。另外，构造影子监控代理，实现对虚拟机监控代理内存的安全防护。最后，实现了基于KVM的虚拟机用户进程防护系统VMPPS，并对其有效性进行了系统测试与分析。实验结果表明，在性能损失可接受范围内，进程内存与进程系统调用执行路径能够得到有效防护。

监控代理;安全防护;用户进程;虚拟化;虚拟机

云计算的发展使业界更加关注云计算平台的安全性[1]。Windows是虚拟机主流操作系统之一，而目前Windows平台上存在多种恶意程序，如间谍软件[2]、后门程序[3]等，可通过远程代码注入等方式入侵系统进程。内核态恶意代码[4]具有更高特权级，能够劫持进程系统调用的执行路径，窃取进程内存数据。美国国家标准机构NIST发布的《完全虚拟化安全指南》[5]指出，传统主机所面临的安全威胁同样适用于云环境下的虚拟机。由于云平台上用户、信息、资源等高度集中，而进程是操作系统资源分配的基本单位[6]，若恶意代码对虚拟机进程进行攻击，则会严重威胁云平台的安全。……