VMM中Guest OS非陷入系统调用指令截获与识别

针对虚拟化环境下Guest OS某些特定指令行为不会产生陷入从而在虚拟机管理器(virtual machine monitor,VMM)中无法对其进行监控处理的问题,提出通过改变非陷入指令正常运行条件,使其执行非法产生系统异常陷入VMM的思想;据此就x86架构下Guest OS中3种非陷入系统调用指令在VMM中的截获与识别进行研究:其中基于int和sysenter指令的系统调用通过使其产生通用保护(general protection,GP)错系统异常而陷入,基于syscall指令的系统调用则通过使其产生UD(undefined)未定义指令系统异常而陷入,之后VMM依据虚拟处理器上下文现场信息对其进行识别;基于QemuKvm实现的原型系统表明:上述方法能成功截获并识别出Guest OS中所有3种系统调用行为,正常情况下其性能开销也在可接受的范围之内,如在unixbench的shell测试用例中,其性能开销比在1.900~2.608之间.与现有方法相比,它们都是以体系结构自身规范为基础,因此具有无需修改Guest OS、跨平台透明的优势.     

一种虚拟环境下的Rootkit检测与处理技术

rootkit对系统的危害十分严重,其极强的隐蔽性为检测带来了很大的困难。当前对rootkit的检测方法中存在一些不足,并且缺少对检测到rootkit后的定位与处理。针对现有检测方法中的不足,提出了一种虚拟环境下基于虚拟机监控器(Virtual Machine Monitor,VMM)的rootkit检测与处理技术,并在Xen上实现了原型系统rDetector。使用以安全链表为基础的多视图同步谎言检测机制检测rootkit的隐藏性,以内核敏感信息完整性检查检测rootkit对系统的攻击,并利用VMM提供了对rootkit的定位与处理。实验表明,rDetecor对rootkit的检测效果良好,能够迅速准确的检测出rootkit对系统的攻击,并能有效地对rootkit进行处理,对系统造成的性能损失在可接受的范围内。     

Virt-RSBAC:一种防御云计算内部威胁的框架

针对来自云计算平台的内部威胁,为了保护云用户的隐私,缓减平台提供者的安全监控需求与用户隐私之间的策略冲突,本文提出一种虚拟化环境下的特权控制框架Virt-RSBAC。通过在虚拟机监视器（VMM）中添加特权控制和基于角色的资源隔离规则,实现对特权域管理权限的分离,简化对云用户的管理,借助于创建相互信任的安全虚拟机（SVM）为云平台提供者和云用户提供安全服务。最后,在Xen上实现了该框架的原型,实验与分析表明该框架能够防止恶意管理员获取用户隐私并提供检测功能,对原有系统的性能损耗在可接受范围内。     

基于SynoTPys VMM方法的FPGA验证技术

针对可编程器件在数字系统设计领域日益显现的重要性,分析了基于现场可编程门阵列(FPGA)的硬件设计的质量保证方法,指出必须对FPGA设计进行充分的验证以提高相应产品的可靠性.从验证方法和方法学角度阐述了验证平台的发展趋势,比较了当前主流的验证方法学,基于Synopsys VMM方法提出并实现了一种层次化的通用验证技术,运用该技术搭建的验证平台已在工程实践中得到应用,验证结果表明,在保证平台通用性的同时提高了验证效率.     

嵌入式系统芯片的软硬件协同仿真环境设计

针对嵌入式系统芯片SoC开发验证阶段的需求,介绍了一种通用的SoC软硬件协同仿真平台。软件仿真由C／C＋＋和汇编语言编写,硬件仿真基于VMM验证方法学所搭建,SoC设计代码由RTL代码编写而成。将SoC设计代码中的ARM由DSM模型替代,通过VCS编译器将软硬件协同起来进行信息交互,实现一种速度快、真实性高、调试方便的...     

面向云计算的虚拟机动态迁移框架

根据云计算平台的特点,提出一种新型虚拟机动态迁移框架,并在Xen和KVM这2种典型的开源虚拟机监控器基础上,实现原型系统。测试结果表明,在不同类型计算资源的环境下,该动态迁移框架具有良好的性能,能够对动态迁移进行实时控制,从而满足服务等级协议的要求。     

覆盖率导向的WTB控制器功能验证方法

随着单芯片集成度的迅速提高,硬件验证在系统设计中占有越来越重要的地位.仅由设计者完成的模块级验证已经不能够保障流片成功率,需要在验证方法学指导下采用多种先进有效的验证技术和工具,帮助设计者尽可能早地发现和修改设计缺陷.本文详细介绍了在验证方法学VMM指导下,基于IEC61375-1标准的规定,设计分层次的验证环境,对绞线式列车总线控制器进行RTL和参考模型联合仿真的功能验证技术.通过可重用VMM库和随机化函数及基于断言的验证方法,编写高效、可重用的验证平台,以提高验证效率和覆盖率.实验表明,采用覆盖率导向的验证方法可有效地减少验证工作量和验证时间,提高验证质量.     

基于监控器时间开销的虚拟机发现方法

针对传统方法只能发现单一类型虚拟机的缺陷,提出基于虚拟机监控器时间开销的虚拟机发现方法。特定指令能使监控器运行时产生显著的额外开销,该方法能利用监控器执行不同指令序列产生的相对时间开销对虚拟机进行判别。实验结果表明,该方法能够准确发现目前3类主流虚拟机。     

基于虚拟化平台Xen的内核安全监控方案

虚拟化技术作为云计算的基础架构,其安全性随着云计算的发展越来越受到人们的关注.提出一种针对虚拟机系统内核攻击的入侵检测方案,借助Xen提供的虚拟化平台,来获取虚拟机系统内核运行情况,从而达到监视和防止内核被攻击的目的.该方案可以有效地防御来自动态修改内核代码和内核不变数据结构一类的攻击.     

Internet远程控制系统

Internet网络系统中一类特殊的管理系统--远程控制系统,以其新颖引人入胜,但也因此可能会带来许多意想不到的结果。本文对其进行了比较详细的剖析,共同行参考。