一種虛擬化平臺(tái)下windows虛擬機(jī)漏洞掃描的方法
【專利摘要】本發(fā)明涉及一種虛擬化平臺(tái)下windows虛擬機(jī)漏洞掃描的方法，包括以下步驟：（1）在每個(gè)物理節(jié)點(diǎn)部署一臺(tái)安全虛擬機(jī)；（2）獲取虛擬機(jī)磁盤文件；（3）將步驟（2）獲取的磁盤實(shí)時(shí)數(shù)據(jù)文件，通過磁盤掛載的方式，掛載到安全虛擬機(jī)上；（4）安全虛擬機(jī)對(duì)獲取的磁盤實(shí)時(shí)文件分析；（5）安全虛擬機(jī)獲取對(duì)應(yīng)于虛擬機(jī)操作系統(tǒng)的漏洞信息和漏洞掃描元數(shù)據(jù)文件；（6）安全虛擬機(jī)依據(jù)漏洞掃描元數(shù)據(jù)文件通過磁盤文件分析逐一檢測(cè)步驟（5）中獲取的對(duì)應(yīng)于虛擬機(jī)操作系統(tǒng)的漏洞的修復(fù)狀況。本發(fā)明的有益效果是：掃描過程不占用虛擬機(jī)自身資源，可做到用戶無感知；無需逐一向虛擬機(jī)中部署安全代理；掃描不依賴虛擬機(jī)是否運(yùn)行。
【專利說明】
一種虛擬化平臺(tái)下windows虛擬機(jī)漏洞掃描的方法
技術(shù)領(lǐng)域
[0001 ]本發(fā)明涉及一種用于在虛擬機(jī)化環(huán)境無感知的情況下的對(duì)windows虛擬機(jī)漏洞掃 描方法，具體的涉及一種虛擬化平臺(tái)下windows虛擬機(jī)漏洞掃描的方法，屬于計(jì)算機(jī)應(yīng)用領(lǐng) 域。
【背景技術(shù)】
[0002] 在企業(yè)非虛擬化生產(chǎn)環(huán)境中，終端的管控是通過在其操作系統(tǒng)中部署代理，并依 靠代理進(jìn)行漏洞掃描等安全評(píng)估工作。這種狀況，一直沿襲到了虛擬化生產(chǎn)環(huán)境下。然而， 在虛擬化平臺(tái)下，物理宿主機(jī)上可以部署運(yùn)行多個(gè)虛擬機(jī)，一個(gè)資源池往往會(huì)有多個(gè)物理 機(jī)，整個(gè)生產(chǎn)環(huán)境中可能部署著成千上萬臺(tái)虛擬機(jī)。為了硬件資源使用最大化，每個(gè)虛擬機(jī) 所分配的資源會(huì)十分有限。如何在快速、精準(zhǔn)并盡可能做到用戶無感知的前提下，獲取虛擬 機(jī)(指windows虛擬機(jī))漏洞修復(fù)情況，進(jìn)而提供有效的漏洞修復(fù)方案是安全防護(hù)的重要環(huán) -K- To
[0003] 虛擬化環(huán)境下，為了對(duì)windows虛擬機(jī)的使用提供風(fēng)險(xiǎn)評(píng)估和安全保障，需要對(duì)虛 擬機(jī)的漏洞修復(fù)情況有清晰的了解。在虛擬化平臺(tái)下，傳統(tǒng)技術(shù)所采取的依靠部署在虛擬 機(jī)中的代理進(jìn)行漏洞掃描，不僅沒有充分利用虛擬化技術(shù)的特點(diǎn)與優(yōu)勢(shì)，而且嚴(yán)重影響用 戶虛擬機(jī)的使用體驗(yàn)。這主要是因?yàn)椋?1. 代理進(jìn)行漏洞掃描需要占用虛擬機(jī)本身有限的資源，影響用戶使用體驗(yàn)； 2. 虛擬機(jī)必須處于開機(jī)態(tài)，造成代理掃描工作受外部依賴(虛擬機(jī)處于開機(jī)態(tài))因素影 響。
[0004] 在虛擬機(jī)中部署代理，然而大規(guī)模的部署、維護(hù)代理需要大量時(shí)間、精力，同時(shí)代 理可能引入新的安全風(fēng)險(xiǎn)。
[0005] 為此，如何提供一種無需逐一向虛擬機(jī)部署安全代理的漏洞掃描方法，是本發(fā)明 研究的目的。

【發(fā)明內(nèi)容】

[0006] 為克服現(xiàn)有技術(shù)的不足，本發(fā)明提供一種虛擬化平臺(tái)下windows虛擬機(jī)漏洞掃描 的方法，是在虛擬化平臺(tái)下對(duì)虛擬機(jī)做快照、克隆和磁盤文件分析，獲取虛擬機(jī)磁盤文件數(shù) 據(jù)，再經(jīng)過對(duì)磁盤文件分析獲取虛擬機(jī)漏洞情況;無需逐一向虛擬機(jī)中部署安全代理，達(dá)到 了漏洞掃描不占用虛擬機(jī)自身資源的技術(shù)效果。
[0007] 為了解決現(xiàn)有技術(shù)問題，本發(fā)明所采用的技術(shù)方案是： 一種虛擬化平臺(tái)下windows虛擬機(jī)漏洞掃描的方法，其特征在于，包括以下步驟： (1) 在每個(gè)物理節(jié)點(diǎn)部署一臺(tái)安全虛擬機(jī)； (2) 獲取虛擬機(jī)磁盤文件，對(duì)開機(jī)態(tài)下的虛擬機(jī)做實(shí)時(shí)快照、克隆鏈接獲取磁盤實(shí)時(shí)數(shù) 據(jù)文件，對(duì)關(guān)機(jī)態(tài)虛擬機(jī)或模板虛擬機(jī)，直接卸載其操作系統(tǒng)的磁盤獲取磁盤實(shí)時(shí)數(shù)據(jù)文 件； (3) 將步驟(2)獲取的磁盤實(shí)時(shí)數(shù)據(jù)文件，通過磁盤掛載的方式，掛載到安全虛擬機(jī)上； (4) 安全虛擬機(jī)對(duì)獲取的磁盤實(shí)時(shí)數(shù)據(jù)文件中進(jìn)行分析，從而獲取虛擬機(jī)操作系統(tǒng)信 息； (5) 安全虛擬機(jī)獲取對(duì)應(yīng)于虛擬機(jī)操作系統(tǒng)的漏洞基礎(chǔ)信息文件和漏洞檢測(cè)元數(shù)據(jù)文 件； (6) 安全虛擬機(jī)依據(jù)漏洞檢測(cè)元數(shù)據(jù)文件，通過磁盤文件分析逐一檢測(cè)步驟(5)中獲取 的對(duì)應(yīng)于虛擬機(jī)操作系統(tǒng)的漏洞的修復(fù)狀況。
[0008] 進(jìn)一步的，在步驟(1)中，所述的安全虛擬機(jī)選擇Iinux虛擬機(jī)。
[0009] 進(jìn)一步的，在步驟(1)中，所述的物理節(jié)點(diǎn)為一臺(tái)物理服務(wù)器，為虛擬機(jī)的宿主機(jī)。
[0010] 進(jìn)一步的，在步驟(1)中，所述的虛擬機(jī)選擇無代理漏洞掃描的虛擬機(jī)。
[0011] 進(jìn)一步的，在步驟(4)、（6)中，所述的針對(duì)虛擬機(jī)磁盤文件的分析，主要是針對(duì)磁 盤文件中操作系統(tǒng)所在分區(qū)下的文件進(jìn)行分析、檢測(cè)。
[0012] 進(jìn)一步的，在步驟(5)中，所述的漏洞基礎(chǔ)信息文件和漏洞檢測(cè)元數(shù)據(jù)文件部署、 存放在一個(gè)獨(dú)立的服務(wù)器中，或直接存放在安全虛擬機(jī)中。
[0013] 進(jìn)一步的，在步驟(5)中，所述的漏洞基礎(chǔ)信息文件包含漏洞詳細(xì)信息，可直接作 為漏洞信息的數(shù)據(jù)源使用，亦可通過解析將漏洞詳細(xì)信息存儲(chǔ)在數(shù)據(jù)庫中使用。
[0014] 進(jìn)一步的，在步驟(5)中，漏洞檢測(cè)元數(shù)據(jù)文件包含針對(duì)磁盤文件分析、檢測(cè)漏洞 修復(fù)情況時(shí)的檢測(cè)邏輯。
[0015] 進(jìn)一步的，在步驟(6)中，所述的漏洞檢測(cè)過程，其檢測(cè)邏輯由相應(yīng)的檢測(cè)元數(shù)據(jù) 文件指定。
[0016] 本發(fā)明的有益效果是:掃描過程不占用虛擬機(jī)自身資源，可做到用戶無感知;無需 逐一向虛擬機(jī)中部署安全代理;掃描不依賴虛擬機(jī)是否運(yùn)行。
【附圖說明】
[0017] 圖1為本發(fā)明的開機(jī)態(tài)虛擬機(jī)運(yùn)行圖。
[0018] 圖2為本發(fā)明的關(guān)機(jī)態(tài)虛擬機(jī)運(yùn)行圖。
【具體實(shí)施方式】
[0019] 為了使本領(lǐng)域技術(shù)人員能更好的理解本發(fā)明技術(shù)內(nèi)容，下面結(jié)合附圖1-2對(duì)本發(fā) 明做進(jìn)一步分析。
[0020] -種虛擬化平臺(tái)下windows虛擬機(jī)漏洞掃描的方法，采用虛擬化平臺(tái)所固有的技 術(shù)，如可實(shí)時(shí)對(duì)開機(jī)態(tài)虛擬機(jī)創(chuàng)建快照、克隆鏈接等，獲取虛擬機(jī)磁盤文件，或者對(duì)于非開 機(jī)態(tài)虛擬機(jī)可以直接將其磁盤卸載獲取虛擬機(jī)磁盤文件，并掛載到安全虛擬機(jī)(在每個(gè)宿 主機(jī)上部署的一臺(tái)用于漏洞掃描的Iinux虛擬機(jī))上，通過文件分析，對(duì)虛擬機(jī)進(jìn)行漏洞掃 描工作，從而將資源占用較高的工作統(tǒng)一轉(zhuǎn)移，盡可能的降低對(duì)用戶虛擬機(jī)使用體驗(yàn)的影 響，做到用戶無感知。安全虛擬機(jī)只需在每個(gè)節(jié)點(diǎn)（指一個(gè)宿主機(jī)或物理服務(wù)器)部署一臺(tái)， 再無需向虛擬機(jī)中逐一部署代理進(jìn)行掃描工作。同時(shí)，安全虛擬機(jī)的漏洞掃描工作與虛擬 機(jī)是否處于運(yùn)行態(tài)無關(guān)。
[0021] 本發(fā)明所采用的技術(shù)方案包括以下步驟：（1)在每個(gè)物理節(jié)點(diǎn)部署一臺(tái)安全虛擬 機(jī)，安全虛擬機(jī)是指可對(duì)受保護(hù)的虛擬機(jī)執(zhí)行無代理漏洞掃描的I inux虛擬機(jī);物理節(jié)點(diǎn)即 一臺(tái)物理服務(wù)器，虛擬機(jī)的宿主機(jī)。
[0022] (2)獲取虛擬機(jī)磁盤文件，如圖1所示，對(duì)開機(jī)態(tài)下的虛擬機(jī)做實(shí)時(shí)快照、克隆鏈接 獲取磁盤實(shí)時(shí)數(shù)據(jù)文件；如圖2所示，對(duì)關(guān)機(jī)態(tài)虛擬機(jī)或模板虛擬機(jī)，直接卸載其操作系統(tǒng) 的磁盤獲取磁盤實(shí)時(shí)數(shù)據(jù)文件;此外，對(duì)于不同的虛擬機(jī)化平臺(tái)，此步驟中獲取開機(jī)態(tài)虛擬 機(jī)的磁盤文件可能略有差異，如對(duì)于Citrix下的XenServer平臺(tái)，對(duì)虛擬機(jī)只需做快照，就 可通過快照獲得其磁盤實(shí)時(shí)數(shù)據(jù)文件；而對(duì)于Vmw a r e下的E s X平臺(tái)，在對(duì)虛擬機(jī)做快照之 后，仍需對(duì)虛擬機(jī)做克隆鏈接才能獲取磁盤實(shí)時(shí)數(shù)據(jù)文件。
[0023] (3)將步驟(2)獲取的磁盤實(shí)時(shí)數(shù)據(jù)文件，通過磁盤掛載的方式，掛載到安全虛擬 機(jī)上。
[0024] (4)安全虛擬機(jī)對(duì)獲取的磁盤實(shí)時(shí)數(shù)據(jù)文件中進(jìn)行分析，從而獲取虛擬機(jī)操作系 統(tǒng)信息，主要是針對(duì)磁盤文件中操作系統(tǒng)所在分區(qū)下的文件進(jìn)行分析、檢測(cè)。
[0025] (5)安全虛擬機(jī)獲取對(duì)應(yīng)于虛擬機(jī)操作系統(tǒng)的漏洞基礎(chǔ)信息文件和漏洞掃描元數(shù) 據(jù)文件;所述的漏洞基礎(chǔ)信息文件和漏洞掃描元數(shù)據(jù)文件可部署、存放在一個(gè)獨(dú)立的服務(wù) 器中，或直接存放在安全虛擬機(jī)中；漏洞基礎(chǔ)信息文件包含漏洞詳細(xì)信息，可直接作為漏洞 信息的數(shù)據(jù)源使用，亦可通過解析將漏洞詳細(xì)信息存儲(chǔ)在數(shù)據(jù)庫中使用;漏洞檢測(cè)元數(shù)據(jù) 文件包含針對(duì)磁盤文件分析、檢測(cè)漏洞修復(fù)情況時(shí)的檢測(cè)邏輯。
[0026] (6)安全虛擬機(jī)依據(jù)漏洞掃描元數(shù)據(jù)文件，通過磁盤文件(針對(duì)磁盤文件中操作系 統(tǒng)所在分區(qū)下的文件進(jìn)行分析、檢測(cè))分析逐一檢測(cè)步驟(5)中獲取的對(duì)應(yīng)于虛擬機(jī)操作系 統(tǒng)的漏洞的修復(fù)狀況，其檢測(cè)邏輯由相應(yīng)的檢測(cè)元數(shù)據(jù)文件指定。
[0027] 本發(fā)明的安全虛擬機(jī)用于對(duì)獲取的虛擬機(jī)實(shí)時(shí)磁盤文件進(jìn)行文件分析，漏洞信息 數(shù)據(jù)庫存放有不同操作系統(tǒng)對(duì)應(yīng)的漏洞信息，漏洞掃描元數(shù)據(jù)文件用于輔助安全虛擬機(jī)通 過磁盤文件分析獲取漏洞的修復(fù)情況。①安全虛擬機(jī)中已存儲(chǔ)或者可以獲取對(duì)應(yīng)于虛擬機(jī) 操作系統(tǒng)的漏洞基礎(chǔ)信息文件和漏洞掃描元數(shù)據(jù)文件;②虛擬化平臺(tái)可以實(shí)時(shí)獲取虛擬機(jī) 磁盤數(shù)據(jù)文件并掛載到安全虛擬機(jī)上，其中對(duì)應(yīng)于離線態(tài)的虛擬機(jī)可以無需再進(jìn)行做快照 或者鏈接克隆直接將其磁盤文件卸載、掛載到安全虛擬機(jī)上;③安全虛擬機(jī)通過漏洞掃描 元數(shù)據(jù)文件逐一檢測(cè)獲取的對(duì)應(yīng)于虛擬機(jī)操作系統(tǒng)的漏洞信息是否已修復(fù);安全虛擬機(jī) 針對(duì)磁盤文件的分析主要是針對(duì)磁盤文件中操作系統(tǒng)所在分區(qū)下文件的分析。
[0028] 以上對(duì)本申請(qǐng)所提供的技術(shù)方案進(jìn)行了詳細(xì)介紹，本文中應(yīng)用了實(shí)施例對(duì)本申請(qǐng) 的原理及實(shí)施方式進(jìn)行了闡述，以上實(shí)施例的說明只是用于幫助理解本申請(qǐng)的方法及其核 心思想；同時(shí)，對(duì)于本領(lǐng)域的一般技術(shù)人員，依據(jù)本申請(qǐng)的思想，在【具體實(shí)施方式】及應(yīng)用范 圍上均會(huì)有改變之處，綜上所述，本說明書內(nèi)容不應(yīng)理解為對(duì)本申請(qǐng)的限制。
【主權(quán)項(xiàng)】
1. 一種虛擬化平臺(tái)下windows虛擬機(jī)漏洞掃描的方法，其特征在于:在虛擬化平臺(tái)下對(duì) 虛擬機(jī)做快照、克隆和磁盤文件分析，獲取虛擬機(jī)磁盤文件數(shù)據(jù)，再經(jīng)過對(duì)磁盤文件分析獲 取虛擬機(jī)漏洞情況;包括以下步驟： (1) 在每個(gè)物理節(jié)點(diǎn)部署一臺(tái)安全虛擬機(jī)； (2) 獲取虛擬機(jī)磁盤文件，對(duì)開機(jī)態(tài)下的虛擬機(jī)做實(shí)時(shí)快照、克隆鏈接獲取磁盤實(shí)時(shí)數(shù) 據(jù)文件，對(duì)關(guān)機(jī)態(tài)虛擬機(jī)或模板虛擬機(jī)，直接卸載其操作系統(tǒng)的磁盤獲取磁盤實(shí)時(shí)數(shù)據(jù)文 件； (3) 將步驟(2)獲取的磁盤實(shí)時(shí)數(shù)據(jù)文件，通過磁盤掛載的方式，掛載到安全虛擬機(jī)上； (4) 安全虛擬機(jī)對(duì)獲取的磁盤實(shí)時(shí)數(shù)據(jù)文件中進(jìn)行分析，從而獲取虛擬機(jī)操作系統(tǒng)信 息； (5) 安全虛擬機(jī)獲取對(duì)應(yīng)于虛擬機(jī)操作系統(tǒng)的漏洞基礎(chǔ)信息文件和漏洞檢測(cè)元數(shù)據(jù)文 件； (6) 安全虛擬機(jī)依據(jù)漏洞檢測(cè)元數(shù)據(jù)文件，通過磁盤文件分析逐一檢測(cè)步驟(5)中獲取 的對(duì)應(yīng)于虛擬機(jī)操作系統(tǒng)的漏洞的修復(fù)狀況。2. 根據(jù)權(quán)利要求1所述的一種虛擬化平臺(tái)下windows虛擬機(jī)漏洞掃描的方法，其特征在 于:在步驟(1)中，所述的安全虛擬機(jī)選擇1 inux虛擬機(jī)。3. 根據(jù)權(quán)利要求1所述的一種虛擬化平臺(tái)下windows虛擬機(jī)漏洞掃描的方法，其特征在 于:在步驟(1)中，所述的物理節(jié)點(diǎn)為一臺(tái)物理服務(wù)器，為虛擬機(jī)的宿主機(jī)。4. 根據(jù)權(quán)利要求1所述的一種虛擬化平臺(tái)下windows虛擬機(jī)漏洞掃描的方法，其特征在 于:在步驟(1)中，所述的虛擬機(jī)選擇無代理漏洞掃描的虛擬機(jī)。5. 根據(jù)權(quán)利要求1所述的一種虛擬化平臺(tái)下windows虛擬機(jī)漏洞掃描的方法，其特征在 于:在步驟(4)、（6)中，所述的針對(duì)虛擬機(jī)磁盤文件的分析，主要是針對(duì)磁盤文件中操作系 統(tǒng)所在分區(qū)下的文件進(jìn)行分析、檢測(cè)。6. 根據(jù)權(quán)利要求1所述的一種虛擬化平臺(tái)下windows虛擬機(jī)漏洞掃描的方法，其特征在 于:在步驟(5)中，所述的漏洞基礎(chǔ)信息文件和漏洞掃描元數(shù)據(jù)文件部署、存放在一個(gè)獨(dú)立 的服務(wù)器中，或直接存放在安全虛擬機(jī)中。7. 根據(jù)權(quán)利要求1所述的一種虛擬化平臺(tái)下windows虛擬機(jī)漏洞掃描的方法，其特征在 于:在步驟(5)中，所述的漏洞基礎(chǔ)信息文件包含漏洞詳細(xì)信息，可直接作為漏洞信息的數(shù) 據(jù)源使用，亦可通過解析將漏洞詳細(xì)信息存儲(chǔ)在數(shù)據(jù)庫中使用。8. 根據(jù)權(quán)利要求1所述的一種虛擬化平臺(tái)下windows虛擬機(jī)漏洞掃描的方法，其特征在 于:在步驟(5)中，漏洞檢測(cè)元數(shù)據(jù)文件包含針對(duì)磁盤文件分析、檢測(cè)漏洞修復(fù)情況時(shí)的檢 測(cè)邏輯。9. 根據(jù)權(quán)利要求1所述的一種虛擬化平臺(tái)下windows虛擬機(jī)漏洞掃描的方法，其特征在 于:在步驟(6)中，所述的漏洞檢測(cè)過程，其檢測(cè)邏輯由相應(yīng)的檢測(cè)元數(shù)據(jù)文件指定。
【文檔編號(hào)】G06F21/57GK105844162SQ201610214964
【公開日】2016年8月10日
【申請(qǐng)日】2016年4月8日
【發(fā)明人】黨艷平, 趙亮, 陽曉宇, 張通, 胡永偉
【申請(qǐng)人】北京北信源軟件股份有限公司