专利名称：一种面向云计算环境侧通道攻击防御的虚拟机部署方法
一种面向云计算环境侧通道攻击防御的虚拟机部署方法
技术领域：
本发明涉及计算机技术领域，特别涉及一种面向云计算环境侧通道攻击防御的虚拟机部署方法。
背景技术：
云计算将计算和数据资源从用户桌面或企业内部迁移到Web上，几乎所有IT资源都可以作为云服务来提供应用程序、编程工具、计算能力、存储容量，以至于通信服务和协作工具等。在云计算环境中，用户只需通过网络终端(例如手机、PDA、PC等)即可使用云计算提供的各种软件、存储、计算等服务。同时，作为一种新型网络计算模式，云计算不仅能够减少企业对IT设备的成本支出，同时可以大规模节省企业预算，以一种相比传统IT更经济的方式提供IT服务。由于云计算的发展理念符合当前低碳经济与绿色计算的总体趋势，它也为世界各国政府、企业所大力倡导与推动，正在带来计算领域、商业领域的巨大变革。美林投资银行分析认为，到2011年，全球云计算市场规模将达到1600亿美元；IDC公司和赛迪顾问分别预计，到2012年，美国云计算总开支将达到400亿美元，中国的云市场规模也将达到600亿元以上；Gartner公司评出的2011年十大战略技术中，云计算排名首位；未来几年，云计算市场的增速将超过IT行业整体增长速度，其中云存储的快速增长将成为最大的売点ο目前，云计算受到产业界的极大推崇并推出了一系列基于云计算平台的服务。但在已经实现的云计算服务中，安全和隐私问题一直令人担忧，并已经成为阻碍云计算普及和推广的主要因素之一。侧通道攻击(Side-Charmel-Attacks，SCA)即为这样一种对用户的数据、应用的安全性和敏感信息的私密性产生威胁的攻击方式。然而由于数据和服务外包、资源虚拟化、跨域使用等特性，具有不同应用背景的用户共享物理资源，共享资源池将成为云计算的安全瓶颈。在云计算环境中，典型的侧通道攻击方式为恶意用户运行和控制多个虚拟机实例，并且将其虚拟机部署到与目标虚拟机同一物理机后(即实现虚拟机同驻)，通过分析共享物理资源(如CPU缓存、分支目标缓冲器、网络队列等)的状态信息，最终获取其他用户的私密信息。侧通道攻击最初由Kocher提出，在单机多进程环境中攻击者可以利用这类攻击攻破RSA、AES等加密算法。David等成功地在校园网的两个节点(节点通过数个路由器和交换机相连)之间实现了侧通道攻击，由此，SCA的危害性引起了人们的关注。在云计算环境中，大规模并行性、资源的共享和虚拟化等特性使得SCA更多样化、更难发现、更难控制。 多租户服务模式及资源共享特性使得攻击者与被攻击者的虚拟机运行在同一台物理机中成为可能，Ristenpart等发现在Amazon的EC2中，恶意用户仅花费几美金制造的一种简单攻击场景便可实现40%的虚拟机同驻率，并且成功盗取其他用户虚拟机中的私密信息，例如基于虚拟机的web服务器的访问流量信息等。Chen等描述了 ^aS交付应用程序的操作细节及其如何通过网络信息导致侧通道泄漏，并可能引发严重的安全隐患的过程，提出即使在^aS加密的情况下，攻击者也可能获得用户最敏感、最私密的信息，并结合医疗保健、税收、投资及网络搜索等实际应用说明SCA在云计算环境中已经成为了现实，将来必成为一种安全挑战。Eran等提出可以采用cache状态规范化、进程阻塞和数据依赖的内存访问模式、禁止cache共享等方式实现基于cache的侧通道攻击的防御。Raj等等针对云计算平台中缓存共享问题，提出了两种资源隔离技术，即具有缓存层次意识的核分配算法及基于页染色的缓存分割算法。Jin等提出了一种在VMM中实现的cache分割算法，以一种对虚拟机操作系统透明的方式实现cache分割。Hu提出的模糊时间技术，可以有效地减小隐蔽时间通道带宽，从而减小隐蔽通道攻击的成功率。现有研究工作表明，侧通道攻击已对云计算环境构成安全威胁。然而，目前对于侧通道攻击防御技术的研究主要面向单机环境，而且主要有以下两方面的不足(1)计算负载过大且面向非标准化的硬件，在实际环境中使用效果不理想；( 这些方法的提出是基于已经掌握了所有的侧通道攻击模式这样一种理想的条件，在现实环境中同样是不可行的。
发明内容本发明的目的在于针对上述技术问题，提供一种面向云计算环境侧通道攻击防御的虚拟机部署方法，本方法将针对云计算环境，从面向用户的虚拟机隔离这一全新的角度进行侧通道攻击的防御。为了实现上述目的，本发明采用如下技术方案一种面向云计算环境侧通道攻击防御的虚拟机部署方法，将云资源池划分为三个相互隔离的资源池资源池I、资源池II及资源池III ；具体包括以下步骤步骤一、基于虚拟机数量的用户资源池映射如果用户申请的虚拟机数量加上其已经拥有的虚拟机数量小于或等于虚拟机数量阈值nthresh。ld，则将其虚拟机映射到资源池I中；虚拟机数量阈值nthresh。ld为云计算系统中的单台服务器所能支持的虚拟机数量的最大值，如公式3所示
权利要求
1.一种面向云计算环境侧通道攻击防御的虚拟机部署方法，其特征在于，将云资源池划分为三个相互隔离的资源池资源池I、资源池II及资源池III ；具体包括以下步骤步骤一、基于虚拟机数量的用户资源池映射如果用户申请的虚拟机数量加上其已经拥有的虚拟机数量小于或等于虚拟机数量阈值nthresh。ld，则将其虚拟机映射到资源池ι中；虚拟机数量阈值nthresh。ld为云计算系统中的单台服务器所能支持的虚拟机数量的最大值，如公式3所示
2.根据权利要求1所述的一种面向云计算环境侧通道攻击防御的虚拟机部署方法，其特征在于，所述方法还包括以下步骤步骤二、用户信誉的计算1)根据式(10)对各指标值进行规格化处理后，根据式(11)可以得到时刻t信誉决策值 dft，
3.根据权利要求2所述的一种面向云计算环境侧通道攻击防御的虚拟机部署方法，其特征在于，所述方法还包括以下步骤步骤三基于信誉的用户资源池映射用户提交虚拟机申请需求时，统计其信誉历史值，得出其历史信誉平均值AVGrep,如式 (13)所示AVGrep=- Yj rePl(i = 1,2,...,η)(13)n rePi[REPhi!其中，REPhis表示用户的历史信誉值集合，rePi表示REI\is中的第i个元素；将用户历史信誉平均值AVGrep与信誉阈值比较；当AVG_> η _时，将该用户的虚拟机映射到资源池II中；当AVGrep ( nrep时，将该用户的虚拟机映射到资源池III中。
4.根据权利要求3所述的一种面向云计算环境侧通道攻击防御的虚拟机部署方法，其特征在于，= 0.65。
5.根据权利要求3所述的一种面向云计算环境侧通道攻击防御的虚拟机部署方法，其特征在于，计算信誉阈值包括以下步骤(1)、统计各用户的信誉值，计算出最大值(Rmax)和最小值(Rmin)；0)、将区间[Rmin，RmaJ平均划分为10个区间，分别统计各区间内信誉均值^Tg(i = 1， 2，…，10)；⑶、计算将区间[Rmin，RfflaJ所分成的两个区间[Rmm, iTg]%[iTg,Rmax]的信誉值的个数<、崆与平均值Wfi、mf ；、计算i 严得到的两区间的方差值th( Rr )，其中th(R^g ) = nfl * nf * (mfl - mf f ’(5)、找出方差最大的信誉均值作为信誉阈值，即10th(Vrep)=MAX{th(Rr8)}.rz=l
6.根据权利要求1至5中任一项所述的一种面向云计算环境侧通道攻击防御的虚拟机部署方法，其特征在于，所述方法还包括虚拟机的部署步骤1)、输入初始温度T0，终止温度Tmin，内循环次数count及初始解XO；2)、赋值XBest = X0, XHistory = XBest ；其中 XBest 表示最优解，XHistory 记录在新解生成过程中的最优解；3)、生成新解XNew= generateNewSolutionO ；并计算新解与最优解之间的部署代价差 delta ；4)、如果delta小于0，将新解设置为最优解，并设置XHistory= XBest ；否则计算ρ = Math, exp (-delta/TCurrent)，并生成一个(0,1)区间的随机数 random,如果 ρ > random, 则接受新解为最优解；5)、重复步骤3) 步骤4)count次；6)、如果Τ0*0·9 > Tmin,则返回步骤3)，否则比较XBest与XHistory的部署代价，取部署代价小者为最优解；7)、输出最优解对虚拟机进行部署及迁移。
7.根据权利要求6所述的一种面向云计算环境侧通道攻击防御的虚拟机部署方法，其特征在于，TO = 10，Tmin = 0. 9。
全文摘要
本发明提供本发明一种面向云计算环境侧通道攻击防御的虚拟机部署方法，包括以下步骤(1)基于虚拟机数量的用户资源池映射；(2)用户信誉的计算；(3)基于信誉的用户资源池映射；(4)虚拟机的部署。采用本发明方法，系统中的虚拟机同驻率能够减小30％左右，而资源利用率减小了5％左右；本发明通过减小虚拟机同驻率，有效地增强了用户虚拟机执行环境的隔离强度；本发明方法可以有效地提高云计算系统对于侧通道攻击防御能力，同时没有过多的损失资源利用率。
文档编号H04L29/06GK102571746SQ20111037603
公开日2012年7月11日 申请日期2011年11月23日 优先权日2011年11月23日
发明者余思, 庄威, 桂小林, 黄汝维 申请人:西安交通大学