與虛擬機透明的安全監(jiān)控技術實驗

1。實驗目的與意義

（1）掌握Linux操作系統(tǒng)的安裝、使用開發(fā)環(huán)境搭建.（2）學習KVM或XenHypervisor的安裝、使用，以及操作系統(tǒng).（3）學習使用Libvmi工具對虛擬機的行為（進程、內存、網絡、I/O、以及特定進程的行為)進行安全監(jiān)控和分析。2。基本原理和方法

通過在開源HypervisorKVM或Xen之上搭建虛擬機,并使用與之兼容的虛擬機內省工具libvmi對虛擬機的行為進行監(jiān)控。LibVMI是美國Sandia國家實驗室的BrianD.Payne等人開發(fā)的提供虛擬機內省(VMI）功能的程序庫。使用LibVMI，可以方便地在宿主機上透明讀寫虛擬機的內存。libvmi的運行原理如圖1所示。圖1LibVMI的運行原理和系統(tǒng)結構3。實驗環(huán)境物理服務器操作系統(tǒng):LinuxHypervisor：KVM或Xen虛擬機操作系統(tǒng)：Windows7VMI監(jiān)控工具：libvmi4。

實驗內容及步驟(1）搭建虛擬機環(huán)境I．安裝并配置Linux操作系統(tǒng),安裝好Linux后安裝openssh—server以便ssh登錄進行實驗.II．安裝Xen之后重啟，使用sudoxmlist查看信息:完成Xen的安裝。III．配置網絡在/etc/network/interfaces中配置好物理端口信息后，加入以下文本以配置虛擬機網絡使之橋接于物理端口：之后重啟網絡：IV。創(chuàng)建虛擬機重啟計算機，引導選擇Xen進入系統(tǒng)。首先為虛擬機生成30G鏡像空間：之后創(chuàng)建虛擬機的配置文件,配置為內存2G,一個CPU：使用xmcreate命令啟動虛擬機：這樣就成功運行了虛擬機。然后使用VNC軟件通過SSH隧道與虛擬機連接，并安裝Windows7系統(tǒng)。最后關閉系統(tǒng)，將虛擬機配置文件中的啟動配置修改為硬盤啟動:(2)安裝并使用libvmiI．安裝libvmi由于libvmi官方示例代碼將使用python版本，故此需要安裝PyVMI：II．配置libvmi將以下虛擬機信息寫入etc/libvmi。conf：III．運行示例程序在libvmi的。/tools/pyvmi/examples文件夾下執(zhí)行process—list。py示例程序:（3）對進程的某一行為進行監(jiān)控以下步驟說明如何配合使用內存監(jiān)控軟件（CheatEngine)監(jiān)視虛擬機內的記事本程序(notepad.exe）當前打開的文件名。I．首先在虛擬機內用記事本打開一個文本文件*。txt；II．用CheatEngine打開notepad.exe進程,在內存瀏覽器中查找字符串［＊。txt］，記錄下找到的多個內存地址；III．再用打開的記事本程序打開另一個文件，重復上一步操作，比較兩次找到的內存地址，選取兩次都出現(xiàn)的一個，作為如下外部內省程序exp1。py的輸入?yún)?shù)（外部內省程序通過調用vmi。read_str_va（vaddr）輸出此va即虛擬機中程序的虛擬地址所指向的字符串);IV．運行實驗程序，可以看出程序輸出值與虛擬機中程序一致，這說明libvmi可以對進程的行為進行監(jiān)控。(4）模擬加密監(jiān)控I．在虛擬機內運行exp2。c；II．將exp2。c的輸出結果作為exp2.py的參數(shù),并運行該程序,虛擬機外部程序通過被監(jiān)控程序的輸出獲得要監(jiān)控數(shù)據(jù)的內存地址，后通過vmi。read_va（)與vmi。read_str_va()取得相應的數(shù)據(jù)