李嘉鑫 马征兆 张叶舟 唐远新 翟继强

摘要：针对云计算中的大多数实时取证工具可能会被受感染的操作系统（OS）欺骗造成取证信息不可靠，或传统的通用虚拟机监视器由于代码量巨大而容易受到攻击的问题，提出了一种专用的虚拟机监视器程序ForenMoni。通过利用轻量级体系结构来减小可信计算基（TCB）的大小，直接从硬件收集证据，使用Filesafe模块保护证据和其他敏感文件，并在Windows平台上实现了概念验证原型。实验结果表明，ForenMoni的TCB大小相对较小，约为13 KLOC，并且只会导致目标系统的性能下降不到10%，即使客户机OS受到Worm.WhBoy等病毒的入侵，ForenMoni仍可以保证受保护文件不受干扰，提高了可靠性。

关键词：云取证；可信计算基；虚拟机监视器

中图分类号：TP316文献标志码：A文章编号：1008-1739（2020）23-61-4

0引言

云计算已被广泛用来提供计算服务，云计算环境中采用了一些复杂的技术，例如虚拟化技术[1]。数字取证用于收集、分析和复现网络犯罪的证据，当前基于虚拟化技术的数字取证面临一些新的挑战[2]。大多数虚拟机监视器（例如Xen和VMware）的源代码量非常庞大，从而可能导致各种代码漏洞。同时，对于大多数虚拟机监视器而言，设置虚拟化环境需要重新启动甚至重新安装目标系统，不可避免地破坏了易失性证据，与实时分析的目的相矛盾。

为了解决安全问题，本文提出了一种轻量级的虚拟机监视器ForenMoni，减小了TCB的大小，增加了实时数据采集和存储的可靠性。同时ForenMoni作为驱动程序加载，而无需重新启动目标OS，只会对内存布局造成很小的影响。……