48、探索高效且稳健的虚拟机自省技术

探索高效且稳健的虚拟机自省技术

虚拟机自省技术的分类

当前的虚拟机自省（VMI）技术可以基于三个正交维度进行分类：
1. 是否需要硬件辅助 ：若技术需要硬件参与，则为硬件辅助技术；否则为基于软件的技术。
2. 如何解决语义鸿沟问题 ：通过直接重建客户机语义来解决语义鸿沟问题的技术，归类为语义重建；以间接方式避免语义鸿沟问题的技术，归类为语义鸿沟避免。
3. 自省的触发方式 ：能够对客户机内存的完整快照进行自省的技术，称为快照触发；在正常执行期间拦截特定事件以获取语义的技术，归类为事件触发。

值得注意的是，存在许多结合了两个或更多维度的工作，以下将详细介绍相关技术。

快照触发方法

快照触发方法指的是虚拟机监视器（VMM）对客户机内存的完整快照进行自省。自省可以在线或离线进行：
- 在线方式 ：VMM在客户机暂停期间使用写时复制方法对内存进行自省。
- 离线方式 ：VMM对内存转储文件而非易失性内存进行自省。

整个自省过程可分为两个阶段：签名和映射。
- 签名阶段 ：基于一些内核不变量提取与内核数据结构相关的有用信息，并生成数据结构签名。借助该签名，我们可以识别多个数据结构实体，如进程列表、模块列表等。目前的签名技术包括专家知识签名、静态分析签名和动态学习签名。
- 映射阶段 ：负责基于签名阶段生成的签名重建高