增强存储保护的可信计算架构设计

通过对可信执行技术和虚拟化技术的研究,提出了一种增强存储保护的可信计算架构.通过对平台地址空间的划分,加入了支持动态度量启动的专用配置空间,保证了平台配置的正确性和加载过程的安全性;通过动态地度量加载可信虚拟机管理器,保证虚拟执行环境的安全性;利用虚拟化技术实现内存多域的安全隔离,分割域独立运行,从而保证了软件的安全运行环境;加入了直接存取访问(direct memory access,DMA)保护硬件,从而从硬件上实现了DMA访问的合法性认证.     

KVM虚拟化动态迁移技术的安全防护模型

虚拟机动态迁移技术是在用户不知情的情况下使得虚拟机在不同宿主机之间动态地转移,保证计算任务的完成,具有负载均衡、解除硬件依赖、高效利用资源等优点,但此技术应用过程中会将虚拟机信息和用户信息暴露到网络通信中,其在虚拟化环境下的安全性成为广大用户担心的问题,逐渐成为学术界讨论和研究的热点问题.本文从研究虚拟化机制、虚拟化操作系统源代码出发,以虚拟机动态迁移的安全问题作为突破点,首先分析了虚拟机动态迁移时的内存泄漏安全隐患;其次结合KVM(Kernel-based Virtual Machine)虚拟化技术原理、通信机制、迁移机制,设计并提出一种新的基于混合随机变换编码方式的安全防护模型,该模型在虚拟机动态迁移时的迁出端和迁入端增加数据监控模块和安全模块,保证虚拟机动态迁移时的数据安全;最后通过大量实验,仿真测试了该模型的安全防护能力和对虚拟机运行性能的影响,仿真结果表明,该安全防护模型可以在KVM虚拟化环境下保证虚拟机动态迁移的安全,并实现了虚拟机安全性和动态迁移性能的平衡.     

虚拟机动态迁移远程属性证明简

随着互联网和企业提高资源利用率,其基础技术虚拟化技术发展迅速。同时虚拟化的动态迁移,是实现资源调度灵活性和可行性必要条件。动态迁移涉及方面广,导致安全问题突出。在Xen虚拟化的平台下,引入了虚拟PCR（vPCR）和属性的概念,利用可信属性认证协议将数据与系统安全属性封装起来保护,同时保护多个虚拟机系统中数据的安全,不受虚拟机系统配置变化的影响,保证虚拟机动态迁移安全性。     

CON-MVX：一种基于容器技术的多变体执行系统

多变体执行是一种网络安全防御技术,其利用软件多样性生成等价异构的执行体,将程序输入分发至多个执行体并行执行,通过监控和比较执行体的状态来达到攻击检测的目的。相较于传统的补丁式被动防御技术,多变体执行不依赖于具体的攻击威胁特征进行分析,而是通过构建系统的内生安全能力来对大多数已知、甚至未知的漏洞做出有效防御。近年来,多变体执行技术在不断改进和完善,但是误报问题是制约其发展的主要因素。本文针对多变体执行产生误报的原因进行了详细分析,并在此基础上提出利用容器技术实现多变体执行系统在解决误报问题上的优势。为提升多变体执行技术的可用性,本文设计并实现了一种基于容器技术的多变体执行系统CON-MVX,有效解决传统多变体执行系统的误报问题。CON-MVX利用多个经过运行时随机化技术构建的异构容器作为执行体,使用可重构的模块化组件和独立的容器管理工具对容器执行体进行编排管理,建立进程间监控器CGMon,在内核层级实现对多个执行体的输入同步和输出裁决。同时,为满足与客户端良好交互性,建立中继端口策略,保证系统运行状态的正常反馈。实验结果表明,CON-MVX在保证安全能力的前提下,能有效降低多变体执行系统的误报率,在双冗余度执行条件下使用SPEC CPU 2006测试集测试时,系统带来的平均额外性能损耗不超过15%。     

基于可信轻量虚拟机监控器的安全架构*

虚拟化技术越来越多地被用于增强商用操作系统的安全性。现有的解决方案通常将虚拟机管理软件（VMM）作为可信集,利用其作为底层架构的优势来为上层软件提供安全功能。这些方案都是基于通用虚拟机管理软件,因而存在以下问题：a）虚拟化性能上开销大;b）作为可信集相对比较庞大;c）不能提供有效的信任链证明自身可信性。针对上述问题,提出以轻量虚拟机监控器作为可信集的安全架构——Cherub架构,Cherub利用主流处理器的安全扩展指令和硬件辅助虚拟化技术在运行的操作系统中插入轻量级的虚拟机监控器,并利用该虚拟机监控器作为可信集用于实现多种安全目标。实验结果证明了该架构的有效性,并具有代码量小、动态可加载和虚拟化开销小等优点。     

虚拟机动态迁移中的安全分析

网络计算与"云计算"兴起过程中,其基础技术虚拟化技术发展迅速。计算机虚拟化的动态迁移,是重要的虚拟化应用功能。基础的动态迁移协议较简单,存在安全可信的隐患。在Xen虚拟化的平台下,测试了现有虚拟化动态迁移组件的使用对动态迁移本身的性能影响,提供了基于网络嗅探及地址解析协议(address resolution protocol,ARP)欺骗技术的攻击方案,验证了其安全防护能力的不足,提出了解决方案。     

动态可信度量分析的硬件安全机制研究

以可信计算理论为基础,根据TCG组织的TPM1.2规范中对于信任链的构建中实现动态可信度量分析的描述,提出了一种基于FPGA动态可重构的动态可信度量分析实现DRTM的设计方法。并且通过建立基于ARM的嵌入式系统与FPGA结合的系统验证平台对设计进行了测试及分析,给出了相对应的测试系统。通过测试证明,基于FPGA动态可重构的DRTM设计对于TPM中构建动态信任链是一种有益的方法。     

基于系统虚拟化的安全技术研究

为提高操作系统和应用程序的安全性,研究了系统虚拟化的相关技术,讨论典型的基于系统虚拟化技术的安全技术应用和系统.根据研究目标的软件层次,分别从应用程序安全、操作系统安全和虚拟机监控器自身安全性三方面,对当前的研究现状和未来的发展趋势进行了分析和归纳.设计一种基于系统虚拟化技术实现对恶意软件透明安全的动态调试分析方案,通过在Intel-VT平台上实现系统原型,验证了该方法的可行性和有效性.     

面向进程多变体软件系统的攻击面定性建模分析

攻击面是衡量软件系统安全性的一个重要指标,采用攻击面描述可以通过集合的方式描述软件系统的安全性并对其进行度量。一般的攻击面模型基于I/O自动机模型对软件系统进行建模,其一般采用非冗余的架构,难以应用于类似多变体系统这类异构冗余的系统架构。Manadhatad等提出了一种在非相似余度系统中进行攻击面度量的方式,但其采用的系统架构表决粒度和表决方式与多变体系统不同,无法准确度量多变体系统的攻击面。因此,在传统攻击面模型基础上,结合多变体系统异构冗余架构的特点,对传统攻击面模型进行扩展,并构建多变体系统的攻击面模型;使用形式化方式表示多变体系统的攻击面,根据多变体系统在系统出口点处的表决机制对传统攻击面模型进行改进,以使其能解释多变体系统攻击面缩小的现象,通过该建模方式,能够说明采用多变体架构的多变体系统在运行过程中攻击面的变化。采用了两组多变体执行架构的软件系统进行实例分析,分别通过与未采用多变体架构的功能相同的软件系统在未受攻击和遭受攻击两种情境下进行攻击面的对比分析,体现多变体系统在攻击面上的变化。结合攻击面理论与多变体执行系统的特点提出了一种面向多变体执行系统的攻击面建模方法,目前可以定性分析多变体执行系统攻击面的变化,未来将在定量分析多变体执行系统攻击面的方向继续进行深入研究。     

动态可重构系统的通信结构研究

动态可重构技术能在一定控制逻辑的驱动下,对全部或部分逻辑资源实现在系统的动态功能变换和硬件的时分复用.本文介绍了可重构体系结构及典型动态可重构结构;详细分析、比较了动态可重构系统4种通信结构的主要性能,指出各自适用领域,并给出一个应用实例;最后探讨了动态可重构技术研究面临的相关问题和发展趋势.     

MVX-CFI:一种实用的软件安全主动防御架构

软件安全是网络空间安全中最重要的环节。早期的软件安全解决方案大多是发现安全威胁后再逐一解决的被动防御方案。为了有效应对各类安全威胁,防御方法逐渐从被动过渡到主动。在众多的主动防御方法中,从系统执行架构角度出发构建内生防御能力的软件多变体执行架构技术受到了广泛关注,它通过异构、冗余执行体之间的相对正确性检查发现攻击行为,不依赖于具体安全威胁的特征检测,可实时检测并防御大多数已知、甚至未知安全威胁。然而,该方法面向实际应用部署存在较大的性能瓶颈。控制流完整性（CFI）是一种理想的安全解决方案,但由于其性能损失和兼容性问题也未被广泛采用。本文将两者有效结合提出一种基于多变体执行架构的CFI （MVX-CFI）。MVX-CFI是一种基于执行架构的、动态、透明的CFI实施方法,它能够有效捕获软件整个运行时控制流的走向并发现由攻击等恶意行为引起的非法路径转移。MVX-CFI通过MVX可形式化验证的高可信表决机制在运行时动态建立描述应用程序高频执行路径的控制流子图（Sub-CFG）,并作为检测模型正向反馈到MVX用于辅助检测,减少了传统MVX大量重复的表决工作,提高了MVX的执行性能。Sub-CFG具有在线分离软件执行过程中高频路径和低频路径的能力,这一特性为软件预置后门的检测提供了一种思路。实验评估表明,本文的改进方法提高了原架构的执行效率,同时保证了在安全防御方面的有效性。     

多变体执行安全防御技术研究综述

软件和信息系统的高速发展在给人们生活带来诸多便利的同时,也让更多的安全风险来到了我们身边,不法分子可以很方便的利用无处不在的网络和越来越自动化、低门槛的攻击技术去获得非法利益。面对这种现状,传统被动式的安全防御已显得力不从心,更高的防御需求,促进了安全领域不断研究新的主动防御技术。这其中,基于攻击面随机化扰动的移动目标防御技术和基于异构冗余思想的多变体执行架构技术受到了广泛的关注,被认为是有可能改变网络空间游戏规则的安全技术,有望改变攻防双方不平衡的地位。本文对近年来多变体执行架构技术在安全防御方面的研究工作进行归纳总结,梳理了该方向的关键技术及评价体系。在此基础上,分析了多变体执行架构在安全防御方面的有效性,最后指出多变体执行架构技术当前面临的挑战与未来的研究方向。     

多变体执行误报问题分析与解决方法综述

从安全角度出发,多变体执行（multi-variant execution,MVX）被广泛应用于网络安全防御,但多变体执行存在一个共性问题：即各路执行体向裁决器返回内容时,合路产生的误报难以解决。排除机器环境等客观因素,产生误报是因为表决器收到合路信息后开始对非一致变量作安全判断,除真实攻击造成的非一致变量外,还夹杂着正常系统运行产生的非一致变量（如内存描述符、端口号、随机数、代码及进程内的线程调用顺序）,从而造成表决器误判,影响多变体系统正常运行。如果能降低多变体执行的误报率,则可以有效地提高系统效率及防御能力。对近年来多变体执行的类型进行归类,并对多变体执行产生的误报问题及解决策略进行归纳总结,分析多变体执行产生裁决误报的原因,选择Pina算法进行同步的策略、编译器模块插桩的策略、缩小表决边界的策略,对三种方案在特定应用场景下进行实验分析,分析每个方法的功能及性能,指出各自策略的优点及缺点。最后讨论现有多变体执行现有技术未解决的难点和未来的研究方向。     

编译支持的多变体融合执行设计与实现

多变体执行是由异构冗余变体并行执行来检测攻击的一种技术。作为一种主动防御技术,多变体执行(multi-variant execution,MVX)通过并行运行的异构执行体之间一致性检查发现攻击行为。相较于补丁式的被动防御,MVX可在不依赖攻击特征信息的情况下防御已知漏洞乃至未知漏洞威胁,在网络安全领域具有广泛的应用前景。然而该技术在实际部署中,由于多变体执行架构的边界不清晰,将随机数、进程PID号等被动地纳入到了表决范围,从而产生误报,导致多变体执行无法兼容更多的软件系统。本文分析了多变体执行假阳问题产生的原因,提出I-MVX,一种编译支持的多变体融合执行架构,包括多变体同步编程框架和运行时同步模块。I-MVX通过添加少量编译指示,在编译阶段对程序内部引起假阳性问题的代码和变量进行插桩标识,在运行时由监视器对变体进程内部和外部的变量及资源进行同步处理,消除多变体执行中的误报。本文基于LLVM/Clang编译器和Linux内核加载模块设计实现了I-MVX的编译器和同步监视器。性能实验评估显示,I-MVX在SPEC 2006基准测试集和tinyhttpd测试程序下引入的平均开销分别为2.13%和13.2%。多变体融合执行架构能够以少量的性能损耗为代价有效解决多变体执行中的假阳问题,提升多变体执行的可用性。基于真实CVE漏洞的安全性测试表明,I-MVX在保证多变体执行安全防御有效性基础上提升了多变体执行的兼容性。     

云计算应用中的嵌入式容器技术研究

虚拟化技术从主机虚拟化发展到容器虚拟化,推动了计算开发模式的变更。容器虚拟化技术广泛应用于云计算,提供高效灵活的计算资源配置,极大提高了计算资源的利用率和软件开发效率。以Docker为代表的容器实现了持续集成、持续交付和部署。在嵌入式系统中,应用灵活多变,配置较多,涉及到应用和实时操作系统的配置裁减,系统重构复杂。本文通过研究Docker、Linux容器的命名空间、资源隔离等技术,探讨嵌入式容器技术的发展趋势,提升嵌入式系统软件的开发、测试、部署效率。     

一种基于执行体异构度的拟态裁决优化方法

网络空间拟态防御技术通过构建动态异构冗余的系统架构来提高系统的安全性能,而裁决器的表决机制是防御链中的关键步骤,直接影响拟态系统的安全性和效率。针对拟态表决环节的任务特性,对一致表决算法进行改进,设计基于执行体异构度的拟态裁决优化方法。结合拟态防御系统的异构特性,在选择执行体表决输出时引入执行体间的异构度作为决策因素,同时综合考虑执行体数目和历史记录信息,使表决算法更适用于拟态架构面临的威胁场景。实验结果表明,与一致表决算法相比,该算法能够显著提高拟态系统的安全性能,有效规避共模逃逸的风险。     

可重构安全系统建模与配置生成方法研究

以安全重构元为基础,能够提供高灵活性、适应性和可扩展性安全服务的可重构安全计算系统已成为当前安全研究领域的热点问题.目前,关于重构机理的研究主要采取基于功能候选集的静态重构配置生成方法,可重构安全系统作为一种主动安全防御手段,应具有动态自动重构的能力,避免人工介入导致的脆弱性.针对动态自动可重构安全系统的建模以及配置生成过程的描述问题,提出了一种基于直觉主义逻辑扩展的动态自动可重构安全系统逻辑模型SSPE,给出了逻辑模型SSPE上的语法和推理规则,设计了基于SSPE的等级化安全重构元和安全需求建模和表达方法,并给出了基于映射关系的安全重构元描述向逻辑语言的转换规则.最后,以IPSec协议为例,阐述了可重构安全系统重构配置的动态自动推理生成过程.基于直觉主义逻辑的可重构安全系统建模和配置生成方法,为研究可重构安全系统的重构机理提供了新的思路和方法,具有重要的意义.     

航空发动机数控系统余度管理方法研究

传感器作为测量元件在航空发动机控制系统中具有举足轻重的作用,传感器信号的准确性直接影响到航空发动机控制系统的安全稳定工作。因此,应建立航空发动机控制系统传感器故障检测、隔离和重构系统,从而提高发动机控制系统的可靠性。对航空发动机控制系统的传感器解析余度算法进行了深入研究,提出了平均值表决算法、权重法表决算法、大值表决算法和小值表决算法共4类解析余度算法。其中,平均值表决算法和权重法表决算法最接近真实值,大值表决算法可确保安全,小值表决算法因无法确保安全故应用较少。根据项目实际需要,将这4类算法应用于数控系统余度管理方面,结果表明这4类算法均有效,并在各自领域发挥了重要作用。在MATLAB下的Simulink建立了相关装置的数学模型并进行了数字仿真,所设计的余度管理算法已经应用于实际项目中,对保证发动机的安全性和可靠性具有重要意义。     

面向云平台非可信Hypervisor的保护机制综述

大数据时代背景下,多租户云平台的作用越显重要。然而,虚拟化作为云平台的关键构建技术之一,其安全性的保证尚不充分。Hypervisor是虚拟化技术中关键的软件层次,它管理着客户虚拟机和裸机物理资源之间的资源分配、共享和隔离等重要事务。但是Hypervisor本身存在着漏洞和攻击面,使得任意针对Hypervisor的攻击对多租户云平台和上层应用造成不可估计的威胁。因此,面向云平台非可信Hypervisor的保护机制应运而生。对现有保护机制进行综述,包括:分析其构建的可行性与挑战,并对保护机制进行分类;梳理和剖析保护机制中的完整性检测机制、防御机制以及隔离机制方面的相关工作;展望未来研究趋势,为未来虚拟化技术安全性的研究以及构建可靠的多租户云平台的研究提供有价值的参考。