49、高效且健壮的虚拟机自省技术探索

高效且健壮的虚拟机自省技术探索

虚拟机自省（VMI）技术在保障云计算安全方面起着至关重要的作用。本文将介绍当前 VMI 技术的分类、关键指标、面临的攻击以及未来发展趋势。

1. VMI 技术分类

VMI 技术主要分为软件辅助和硬件辅助两大类。

1.1 软件辅助方法

• SIM ：通过将自省工具转发到受保护地址空间内的客户虚拟机，创建 SIM 虚拟地址空间，与系统地址空间权限不同，可拒绝恶意代码执行。利用 CR3 TARGET LIST 特性在系统地址空间和 SIM 之间切换，无需陷入管理程序，实现高效与安全。
• Gateway ：用于检测内核恶意软件，通过监控设备驱动调用的内核 API，为通用内核及其驱动创建不同的虚拟内存区域，内核与驱动间的控制流会导致页错误陷入管理程序，避免语义差距。
• IntroLib ：为每个客户机维护两个互斥的 SPT 作为屏障，当恶意软件和库函数之间发生控制流转换时，触发可被管理程序捕获的事件。

1.2 硬件辅助方法

• 硬件事务内存（HTM） ：如 TxIntro 利用 HTM 支持对客户虚拟机进行并发、及时和一致的自省。许多 VMI 工具需暂停客户虚拟机获取一致状态，会带来强侵入性和服务中断问题，还可能导致自省不一致和瞬态攻击。TxIntro 启动事务并将关键内核数据结构地址添加到运行 VMI 工具的 CPU 核心的读取集，监控数据更新会导致事务中止，中止