本發(fā)明涉及信息安全技術(shù)領(lǐng)域，尤其涉及一種虛擬化數(shù)據(jù)隔離交換方法及裝置。

背景技術(shù)：

網(wǎng)絡(luò)靶場是開展國家關(guān)鍵信息基礎(chǔ)設(shè)施攻防對抗和網(wǎng)絡(luò)空間安全產(chǎn)品研制試驗(yàn)的重要場所，是國家網(wǎng)絡(luò)空間安全體系建設(shè)的一個重要環(huán)節(jié)。網(wǎng)絡(luò)靶場需要能夠支持并行開展多個不同類型、不同密級的試驗(yàn)項(xiàng)目，同時還應(yīng)保障試驗(yàn)人員可安全的運(yùn)行各種惡意軟件和工具。在靶場試驗(yàn)環(huán)境下需保證攻防試驗(yàn)數(shù)據(jù)的隔離和安全交換。

網(wǎng)絡(luò)靶場虛擬化數(shù)據(jù)交換依托于虛擬化可信計(jì)算技術(shù)，在虛擬化操作系統(tǒng)啟動之前，vtpm(virtualtrustedplatformmodule，虛擬可信平臺模塊)會自動校驗(yàn)存儲服務(wù)器數(shù)據(jù)區(qū)，校驗(yàn)通過后vtpm才把校驗(yàn)存儲服務(wù)器數(shù)據(jù)區(qū)控制權(quán)交給cpu，虛擬化操作系統(tǒng)運(yùn)行。虛擬化操作系統(tǒng)運(yùn)行之前，存儲服務(wù)器數(shù)據(jù)區(qū)一直由vtpm來保護(hù)。在操作系統(tǒng)開始運(yùn)行之后，vtpm不會再對存儲服務(wù)器數(shù)據(jù)區(qū)進(jìn)行保護(hù)，網(wǎng)絡(luò)攻防試驗(yàn)中的各種惡意代碼、病毒和用戶的誤操作可能會對被保護(hù)的存儲服務(wù)器數(shù)據(jù)區(qū)造成破壞。

技術(shù)實(shí)現(xiàn)要素：

本發(fā)明要解決的技術(shù)問題是，提供一種虛擬化數(shù)據(jù)隔離交換方法，提高虛擬機(jī)不同安全域用戶數(shù)據(jù)交換隔離保護(hù)的能力。

本發(fā)明采用的技術(shù)方案是虛擬化數(shù)據(jù)隔離交換方法，包括：

步驟一，將虛擬機(jī)存儲服務(wù)器中的數(shù)據(jù)區(qū)分為系統(tǒng)數(shù)據(jù)區(qū)和用戶數(shù)據(jù)區(qū)；

步驟二，當(dāng)不同安全域用戶之間通信時，根據(jù)通信交換數(shù)據(jù)所位于虛擬機(jī)存儲服務(wù)器的不同數(shù)據(jù)區(qū)，對通信交換數(shù)據(jù)進(jìn)行隔離保護(hù)。

進(jìn)一步的，步驟二，具體包括：

當(dāng)不同安全域用戶之間通信交換數(shù)據(jù)的寫操作請求發(fā)生在系統(tǒng)數(shù)據(jù)區(qū)時，阻止寫操作請求；

當(dāng)不同安全域用戶之間通信交換數(shù)據(jù)的寫操作請求發(fā)生在用戶數(shù)據(jù)區(qū)時，根據(jù)通信交換數(shù)據(jù)的安全等級執(zhí)行相應(yīng)的讀寫操作。

進(jìn)一步的，所述根據(jù)通信交換數(shù)據(jù)的安全等級執(zhí)行相應(yīng)的讀寫操作，具體包括：

當(dāng)?shù)谝话踩蛴脩粝蛱摂M機(jī)服務(wù)管理域domain0獲取虛擬機(jī)存儲服務(wù)器的用戶數(shù)據(jù)區(qū)共享內(nèi)存，并將通信時需要交換的通信交換數(shù)據(jù)及其安全等級標(biāo)記寫入所述共享內(nèi)存時，hook模塊截獲第一安全域用戶在所述共享內(nèi)存中的寫入操作，以獲取所述通信交換數(shù)據(jù)的安全等級標(biāo)記與所述通信交換數(shù)據(jù)所使用的共享內(nèi)存描述符，并將所述通信交換數(shù)據(jù)的安全等級標(biāo)記與所述通信交換數(shù)據(jù)所使用的共享內(nèi)存描述符存放在訪問控制模塊中；

訪問控制模塊將通知事件經(jīng)事件通道通知給第二安全域用戶；

所述通知事件用于通知第二安全域用戶準(zhǔn)備讀取所述共享內(nèi)存中的通信交換數(shù)據(jù)；

當(dāng)?shù)诙踩蛴脩粼谑盏酵ㄖ录?，向所述訪問控制模塊獲取所述通信交換數(shù)據(jù)對應(yīng)的共享內(nèi)存描述符，并基于所述通信交換數(shù)據(jù)對應(yīng)的共享內(nèi)存描述符發(fā)出對通信交換數(shù)據(jù)的讀操作請求時，hook模塊截獲所述讀操作請求，并將所述讀操作請求包含的操作信息提交給訪問控制模塊；

訪問控制模塊根據(jù)所述操作信息以及虛擬機(jī)服務(wù)管理域domain0中的訪問控制策略判斷是否執(zhí)行讀操作請求。

進(jìn)一步的，所述操作信息包括：用戶os-id、通信交換數(shù)據(jù)的安全等級標(biāo)記、 通信交換數(shù)據(jù)對應(yīng)的共享內(nèi)存描述符以及讀操作。

進(jìn)一步的，所述訪問控制策略，包括：允許訪問的用戶os-id、通信交換數(shù)據(jù)的安全等級標(biāo)記范圍、通信交換數(shù)據(jù)對應(yīng)的共享內(nèi)存描述符范圍以及允許訪問的操作類型；

所述訪問控制模塊根據(jù)所述操作信息以及虛擬機(jī)服務(wù)管理域domain0中的訪問控制策略判斷是否執(zhí)行讀操作請求，具體包括：

若所述操作信息與所述虛擬機(jī)服務(wù)管理域domain0中的訪問控制策略相匹配，則執(zhí)行讀操作；

若所述操作信息與所述虛擬機(jī)服務(wù)管理域domain0中的訪問控制策略不相匹配，則拒絕執(zhí)行讀操作，并記錄告警日志。

本發(fā)明還提供一種虛擬化數(shù)據(jù)隔離交換裝置，包括：

虛擬機(jī)存儲服務(wù)器分配模塊，用于將虛擬機(jī)存儲服務(wù)器中的數(shù)據(jù)區(qū)分為系統(tǒng)數(shù)據(jù)區(qū)和用戶數(shù)據(jù)區(qū)；

數(shù)據(jù)隔離保護(hù)模塊，用于當(dāng)不同安全域用戶之間通信時，根據(jù)通信交換數(shù)據(jù)所位于虛擬機(jī)存儲服務(wù)器的不同數(shù)據(jù)區(qū)，對通信交換數(shù)據(jù)進(jìn)行隔離保護(hù)。

進(jìn)一步的，所述數(shù)據(jù)隔離保護(hù)模塊，具體用于：

當(dāng)不同安全域用戶之間通信交換數(shù)據(jù)的寫操作請求發(fā)生在系統(tǒng)數(shù)據(jù)區(qū)時，阻止寫操作請求；

當(dāng)不同安全域用戶之間通信交換數(shù)據(jù)的寫操作請求發(fā)生在用戶數(shù)據(jù)區(qū)時，根據(jù)通信交換數(shù)據(jù)的安全等級執(zhí)行相應(yīng)的讀寫操作。

進(jìn)一步的，所述數(shù)據(jù)隔離保護(hù)模塊，具體用于：

當(dāng)?shù)谝话踩蛴脩粝蛱摂M機(jī)服務(wù)管理域domain0獲取虛擬機(jī)存儲服務(wù)器的用戶數(shù)據(jù)區(qū)共享內(nèi)存，并將通信時需要交換的通信交換數(shù)據(jù)及其安全等級標(biāo)記寫入所述共享內(nèi)存時，hook模塊截獲第一安全域用戶在所述共享內(nèi)存中的寫入操作，以獲取所述通信交換數(shù)據(jù)的安全等級標(biāo)記與所述通信交換數(shù)據(jù)所使用 的共享內(nèi)存描述符，并將所述通信交換數(shù)據(jù)的安全等級標(biāo)記與所述通信交換數(shù)據(jù)所使用的共享內(nèi)存描述符存放在訪問控制模塊中；

訪問控制模塊將通知事件經(jīng)事件通道通知給第二安全域用戶；

所述通知事件用于通知第二安全域用戶準(zhǔn)備讀取所述共享內(nèi)存中的通信交換數(shù)據(jù)；

當(dāng)?shù)诙踩蛴脩粼谑盏酵ㄖ录?，向所述訪問控制模塊獲取所述通信交換數(shù)據(jù)對應(yīng)的共享內(nèi)存描述符，并基于所述通信交換數(shù)據(jù)對應(yīng)的共享內(nèi)存描述符發(fā)出對通信交換數(shù)據(jù)的讀操作請求時，hook模塊截獲所述讀操作請求，并將所述讀操作請求包含的操作信息提交給訪問控制模塊；

訪問控制模塊根據(jù)所述操作信息以及虛擬機(jī)服務(wù)管理域domain0中的訪問控制策略判斷是否執(zhí)行讀操作請求。

進(jìn)一步的，所述操作信息包括：用戶os-id、通信交換數(shù)據(jù)的安全等級標(biāo)記、通信交換數(shù)據(jù)對應(yīng)的共享內(nèi)存描述符以及讀操作。

進(jìn)一步的，所述訪問控制策略，包括：允許訪問的用戶os-id、通信交換數(shù)據(jù)的安全等級標(biāo)記范圍、通信交換數(shù)據(jù)對應(yīng)的共享內(nèi)存描述符范圍以及允許訪問的操作類型；

所述訪問控制模塊根據(jù)所述操作信息以及虛擬機(jī)服務(wù)管理域domain0中的訪問控制策略判斷是否執(zhí)行讀操作請求，具體包括：

若所述操作信息與所述虛擬機(jī)服務(wù)管理域domain0中的訪問控制策略相匹配，則執(zhí)行讀操作；

若所述操作信息與所述虛擬機(jī)服務(wù)管理域domain0中的訪問控制策略不匹配，則拒絕執(zhí)行讀操作，并記錄告警日志。

采用上述技術(shù)方案，本發(fā)明至少具有下列優(yōu)點(diǎn)：

本發(fā)明所述虛擬化數(shù)據(jù)隔離交換方法及裝置，克服現(xiàn)有技術(shù)在虛擬機(jī)中不同安全域用戶交換數(shù)據(jù)時，各種惡意代碼、病毒和用戶的誤操作對被保護(hù)的存儲服務(wù)器數(shù)據(jù)區(qū)造成破壞，通過虛擬化數(shù)據(jù)隔離提高網(wǎng)絡(luò)靶場虛擬化數(shù)據(jù)隔離 保護(hù)的能力，實(shí)現(xiàn)網(wǎng)絡(luò)靶場攻防試驗(yàn)數(shù)據(jù)的安全交換；克服了現(xiàn)有技術(shù)在虛擬機(jī)中不同安全域用戶通信過程中的通信交換數(shù)據(jù)拷貝時間過長的缺陷，通過服務(wù)管理域domain0提供的共享內(nèi)存，實(shí)現(xiàn)了高速無協(xié)議通信數(shù)據(jù)交換。

附圖說明

圖1為本發(fā)明第一實(shí)施例的虛擬化數(shù)據(jù)隔離交換方法流程圖；

圖2為本發(fā)明第二實(shí)施例的虛擬化數(shù)據(jù)隔離交換裝置組成結(jié)構(gòu)示意圖；

圖3為本發(fā)明第三實(shí)施例的實(shí)際虛擬化數(shù)據(jù)隔離交換裝置組成示意圖。

具體實(shí)施方式

為更進(jìn)一步闡述本發(fā)明為達(dá)成預(yù)定目的所采取的技術(shù)手段及功效，以下結(jié)合附圖及較佳實(shí)施例，對本發(fā)明進(jìn)行詳細(xì)說明如后。

本發(fā)明第一實(shí)施例，一種虛擬化數(shù)據(jù)隔離交換方法，如圖1所示，包括以下具體步驟：

步驟s101，將虛擬機(jī)存儲服務(wù)器中的數(shù)據(jù)區(qū)分為系統(tǒng)數(shù)據(jù)區(qū)和用戶數(shù)據(jù)區(qū)。

步驟s102，當(dāng)不同安全域用戶之間通信時，根據(jù)通信交換數(shù)據(jù)所位于虛擬機(jī)存儲服務(wù)器的不同數(shù)據(jù)區(qū)，對通信交換數(shù)據(jù)進(jìn)行隔離保護(hù)。

具體的，步驟s102，包括：

當(dāng)不同安全域用戶之間通信交換數(shù)據(jù)寫操作請求發(fā)生在系統(tǒng)數(shù)據(jù)區(qū)時，磁盤讀寫操作守護(hù)進(jìn)程阻止寫操作請求，同時返回錯誤值給磁盤讀寫操作守護(hù)進(jìn)程，以防止系統(tǒng)數(shù)據(jù)區(qū)的數(shù)據(jù)被篡改，從而提供虛擬化數(shù)據(jù)隔離保護(hù)；

當(dāng)不同安全域用戶之間通信交換數(shù)據(jù)寫操作請求發(fā)生在用戶數(shù)據(jù)區(qū)時，磁盤讀寫操作守護(hù)進(jìn)程根據(jù)通信交換數(shù)據(jù)安全等級執(zhí)行交換數(shù)據(jù)的讀寫操作。

本發(fā)明第二實(shí)施例，與第一實(shí)施例對應(yīng)，本實(shí)施例介紹一種虛擬化數(shù)據(jù)隔離交換裝置，如圖2所示，包括以下組成部分：

虛擬機(jī)存儲服務(wù)器分配模塊10：用于將虛擬機(jī)存儲服務(wù)器中的數(shù)據(jù)區(qū)分為 系統(tǒng)數(shù)據(jù)區(qū)和用戶數(shù)據(jù)區(qū)；

數(shù)據(jù)隔離保護(hù)模塊20：用于當(dāng)不同安全域用戶之間通信時，根據(jù)通信交換數(shù)據(jù)所位于虛擬機(jī)存儲服務(wù)器的不同數(shù)據(jù)區(qū)，對通信交換數(shù)據(jù)進(jìn)行隔離保護(hù)

具體的，數(shù)據(jù)數(shù)隔離保護(hù)模塊20用于：

當(dāng)不同安全域用戶之間通信交換數(shù)據(jù)寫操作請求發(fā)生在系統(tǒng)數(shù)據(jù)區(qū)時，磁盤讀寫操作守護(hù)進(jìn)程阻止寫操作請求，同時返回錯誤值給磁盤讀寫操作守護(hù)進(jìn)程，以防止系統(tǒng)數(shù)據(jù)區(qū)的數(shù)據(jù)被篡改，從而提供虛擬化數(shù)據(jù)隔離保護(hù)；

當(dāng)不同安全域用戶之間通信交換數(shù)據(jù)寫操作請求發(fā)生在用戶數(shù)據(jù)區(qū)時，磁盤讀寫操作守護(hù)進(jìn)程根據(jù)通信交換數(shù)據(jù)安全等級執(zhí)行交換數(shù)據(jù)的讀寫操作。

本發(fā)明第三實(shí)施例，本實(shí)施例是在第一實(shí)施例的基礎(chǔ)上，以虛擬化數(shù)據(jù)隔離交換方法為例，結(jié)合附圖3介紹一個本發(fā)明的應(yīng)用實(shí)例。

步驟一，將虛擬機(jī)存儲服務(wù)器中的數(shù)據(jù)區(qū)分為系統(tǒng)數(shù)據(jù)區(qū)和用戶數(shù)據(jù)區(qū)。

步驟二，當(dāng)不同安全域用戶之間通信時，根據(jù)通信交換數(shù)據(jù)所位于虛擬機(jī)存儲服務(wù)器的不同數(shù)據(jù)區(qū)，對通信交換數(shù)據(jù)進(jìn)行隔離保護(hù)。

具體的，步驟二中通過磁盤讀寫操作守護(hù)進(jìn)程進(jìn)行虛擬化數(shù)據(jù)隔離保護(hù)，包括：

當(dāng)不同安全域用戶之間通信時，通信交換數(shù)據(jù)寫操作請求發(fā)生在系統(tǒng)數(shù)據(jù)區(qū)時，磁盤讀寫操作守護(hù)進(jìn)程阻止寫操作請求，同時返回錯誤值給磁盤讀寫操作守護(hù)進(jìn)程，以防止系統(tǒng)數(shù)據(jù)區(qū)的數(shù)據(jù)被篡改，從而提供虛擬化數(shù)據(jù)隔離保護(hù)；

克服現(xiàn)有技術(shù)在虛擬機(jī)中不同安全域用戶交換數(shù)據(jù)時，各種惡意代碼、病毒和用戶的誤操作可能會對被保護(hù)的存儲服務(wù)器系統(tǒng)數(shù)據(jù)區(qū)造成破壞，通過虛擬化數(shù)據(jù)隔離提高網(wǎng)絡(luò)靶場虛擬化數(shù)據(jù)隔離保護(hù)的能力，實(shí)現(xiàn)網(wǎng)絡(luò)靶場攻防試驗(yàn)數(shù)據(jù)的安全交換；

當(dāng)不同安全域用戶之間通信時，通信交換數(shù)據(jù)讀寫操作請求發(fā)生在用戶數(shù)據(jù)區(qū)時，磁盤讀寫操作守護(hù)進(jìn)程根據(jù)通信交換數(shù)據(jù)安全等級執(zhí)行交換數(shù)據(jù)的讀寫操作。

例如，如圖3，當(dāng)安全域l1用戶os1需要與安全域l2用戶os2通信時，通信交換數(shù)據(jù)讀寫操作請求發(fā)生在用戶數(shù)據(jù)區(qū)時，磁盤讀寫操作守護(hù)進(jìn)程根據(jù)通信交換數(shù)據(jù)安全等級執(zhí)行交換數(shù)據(jù)的讀寫操作，具體的，包括：

1)當(dāng)安全域l1用戶os1需要與安全域l2用戶os2通信時，安全域l1用戶os1首先獲取虛擬機(jī)服務(wù)管理域domain0的用戶數(shù)據(jù)區(qū)共享內(nèi)存，并將需要交換的通信交換數(shù)據(jù)及其安全等級寫入共享內(nèi)存。

2)系統(tǒng)虛擬機(jī)(xen)中的hook模塊通過超級調(diào)用攔截的方式截獲獲取虛擬機(jī)服務(wù)管理域domain0的共享內(nèi)存及將需要交換的信息及信息安全等級寫入共享內(nèi)存的操作，以獲取通信交換數(shù)據(jù)的安全等級標(biāo)記與通信交換數(shù)據(jù)所使用的共享內(nèi)存描述符，并將通信交換數(shù)據(jù)的信息安全等級標(biāo)記與信息所使用的共享內(nèi)存描述符存放在系統(tǒng)虛擬機(jī)(xen)內(nèi)部的訪問控制模塊(acm)中。

所述共享內(nèi)存描述符為grant索引。

3)訪問控制模塊(acm)將事件e1經(jīng)事件通道通知安全域l2用戶os2。

所述事件e1用于通知安全域l2準(zhǔn)備讀取所述共享內(nèi)存中的通信交換數(shù)據(jù)。

4)安全域l2用戶os2在得到事件e1通知后，安全域l2用戶os2向訪問控制模塊獲取所述通信交換數(shù)據(jù)對應(yīng)的共享內(nèi)存描述符，并基于通信交換數(shù)據(jù)對應(yīng)的共享內(nèi)存描述符發(fā)出對通信交換數(shù)據(jù)的讀操作請求。

5)讀操作請求通過超級調(diào)用的方式提交給系統(tǒng)虛擬機(jī)(xen)，進(jìn)一步系統(tǒng)虛擬機(jī)(xen)中的hook模塊截獲讀操作請求。

6)hook模塊將讀操作請求包含的操作信息提交給訪問控制模塊(acm)。

操作信息包括：用戶os-id、通信交換數(shù)據(jù)的安全等級標(biāo)記、信交換數(shù)據(jù)對應(yīng)的共享內(nèi)存描述符以及讀操作。

7)訪問控制模塊(acm)模塊根據(jù)虛擬機(jī)服務(wù)管理域domain0中的策略配置軟件所配置的訪問控制策略對讀操作進(jìn)行判斷；

具體的，訪問控制模塊(acm)模塊對讀操作的判斷包括：

訪問控制策略，包括：允許訪問的用戶os-id、通信交換數(shù)據(jù)的安全等級標(biāo) 記范圍、通信交換數(shù)據(jù)對應(yīng)的共享內(nèi)存描述符范圍以及允許訪問的操作類型；

若操作信息與虛擬機(jī)服務(wù)管理域domain0中的訪問控制策略相匹配，則執(zhí)行讀操作；

若操作信息與虛擬機(jī)服務(wù)管理域domain0中的訪問控制策略不匹配，則拒絕執(zhí)行讀操作，并記錄告警日志。

克服了現(xiàn)有技術(shù)在虛擬機(jī)中不同安全域用戶通信過程中的通信交換數(shù)據(jù)拷貝時間過長的缺陷，通過服務(wù)管理域domain0提供的共享內(nèi)存，實(shí)現(xiàn)了高速無協(xié)議通信數(shù)據(jù)交換。

通過具體實(shí)施方式的說明，應(yīng)當(dāng)可對本發(fā)明為達(dá)成預(yù)定目的所采取的技術(shù)手段及功效得以更加深入且具體的了解，然而所附圖示僅是提供參考與說明之用，并非用來對本發(fā)明加以限制。