與虛擬機(jī)透明的安全監(jiān)控技術(shù)實(shí)驗(yàn)

1。實(shí)驗(yàn)?zāi)康呐c意義

（1）掌握Linux操作系統(tǒng)的安裝、使用開發(fā)環(huán)境搭建.（2）學(xué)習(xí)KVM或XenHypervisor的安裝、使用，以及操作系統(tǒng).（3）學(xué)習(xí)使用Libvmi工具對虛擬機(jī)的行為（進(jìn)程、內(nèi)存、網(wǎng)絡(luò)、I/O、以及特定進(jìn)程的行為)進(jìn)行安全監(jiān)控和分析。2?；驹砗头椒?/p>

通過在開源HypervisorKVM或Xen之上搭建虛擬機(jī),并使用與之兼容的虛擬機(jī)內(nèi)省工具libvmi對虛擬機(jī)的行為進(jìn)行監(jiān)控。LibVMI是美國Sandia國家實(shí)驗(yàn)室的BrianD.Payne等人開發(fā)的提供虛擬機(jī)內(nèi)省(VMI）功能的程序庫。使用LibVMI，可以方便地在宿主機(jī)上透明讀寫虛擬機(jī)的內(nèi)存。libvmi的運(yùn)行原理如圖1所示。圖1LibVMI的運(yùn)行原理和系統(tǒng)結(jié)構(gòu)3。實(shí)驗(yàn)環(huán)境物理服務(wù)器操作系統(tǒng):LinuxHypervisor：KVM或Xen虛擬機(jī)操作系統(tǒng)：Windows7VMI監(jiān)控工具：libvmi4。

實(shí)驗(yàn)內(nèi)容及步驟(1）搭建虛擬機(jī)環(huán)境I．安裝并配置Linux操作系統(tǒng),安裝好Linux后安裝openssh—server以便ssh登錄進(jìn)行實(shí)驗(yàn).II．安裝Xen之后重啟，使用sudoxmlist查看信息:完成Xen的安裝。III．配置網(wǎng)絡(luò)在/etc/network/interfaces中配置好物理端口信息后，加入以下文本以配置虛擬機(jī)網(wǎng)絡(luò)使之橋接于物理端口：之后重啟網(wǎng)絡(luò)：IV。創(chuàng)建虛擬機(jī)重啟計(jì)算機(jī)，引導(dǎo)選擇Xen進(jìn)入系統(tǒng)。首先為虛擬機(jī)生成30G鏡像空間：之后創(chuàng)建虛擬機(jī)的配置文件,配置為內(nèi)存2G,一個CPU：使用xmcreate命令啟動虛擬機(jī)：這樣就成功運(yùn)行了虛擬機(jī)。然后使用VNC軟件通過SSH隧道與虛擬機(jī)連接，并安裝Windows7系統(tǒng)。最后關(guān)閉系統(tǒng)，將虛擬機(jī)配置文件中的啟動配置修改為硬盤啟動:(2)安裝并使用libvmiI．安裝libvmi由于libvmi官方示例代碼將使用python版本，故此需要安裝PyVMI：II．配置libvmi將以下虛擬機(jī)信息寫入etc/libvmi。conf：III．運(yùn)行示例程序在libvmi的。/tools/pyvmi/examples文件夾下執(zhí)行process—list。py示例程序:（3）對進(jìn)程的某一行為進(jìn)行監(jiān)控以下步驟說明如何配合使用內(nèi)存監(jiān)控軟件（CheatEngine)監(jiān)視虛擬機(jī)內(nèi)的記事本程序(notepad.exe）當(dāng)前打開的文件名。I．首先在虛擬機(jī)內(nèi)用記事本打開一個文本文件*。txt；II．用CheatEngine打開notepad.exe進(jìn)程,在內(nèi)存瀏覽器中查找字符串［＊。txt］，記錄下找到的多個內(nèi)存地址；III．再用打開的記事本程序打開另一個文件，重復(fù)上一步操作，比較兩次找到的內(nèi)存地址，選取兩次都出現(xiàn)的一個，作為如下外部內(nèi)省程序exp1。py的輸入?yún)?shù)（外部內(nèi)省程序通過調(diào)用vmi。read_str_va（vaddr）輸出此va即虛擬機(jī)中程序的虛擬地址所指向的字符串);IV．運(yùn)行實(shí)驗(yàn)程序，可以看出程序輸出值與虛擬機(jī)中程序一致，這說明libvmi可以對進(jìn)程的行為進(jìn)行監(jiān)控。(4）模擬加密監(jiān)控I．在虛擬機(jī)內(nèi)運(yùn)行exp2。c；II．將exp2。c的輸出結(jié)果作為exp2.py的參數(shù),并運(yùn)行該程序,虛擬機(jī)外部程序通過被監(jiān)控程序的輸出獲得要監(jiān)控?cái)?shù)據(jù)的內(nèi)存地址，后通過vmi。read_va（)與vmi。read_str_va()取得相應(yīng)的數(shù)據(jù)