一种基于KVM虚拟机的用户数据隔离防护系统及方法与流程

本发明涉及云计算领域，具体地说，本发明涉及对kvm虚拟化平台的用户数据隔离防护体系和方法。

背景技术：

随着云计算时代的到来，使用虚拟化技术不可避免。虚拟化技术使得原本固定不易伸缩的物理资源利用软件抽象成可配置的虚拟资源，但是这种灵活的方式也使得原有的物理边界被打破，同时使用原有对于物理主机的安全防护手段无法直接适用。在虚拟化环境中，原有的物理设备被虚拟成多个虚拟机，提供给用户使用，对以虚拟机为单位的用户数据的安全防护成为维护整个云平台安全的重要环节。

基于虚拟机的用户数据主要包括以下内容：

虚拟机镜像数据；

虚拟机内存数据；

虚拟机图像和控制数据。

目前，基于kvm虚拟化技术已广泛应用于服务器虚拟化和桌面虚拟化场景中，基于硬件辅助虚拟化特性的虚拟机在一定程度上已对用户数据的进行了安全隔离，但仍存在较多缺陷，比如虚拟机磁盘可以在不同虚拟机间随意挂载、虚拟机迁移或暂停过程中虚拟机内存数据并未完全隔离、虚拟机使用过程中显示协议数据传输并未进行管控等等，这样，虚拟机中的用户数据很容易被泄露和攻击。

技术实现要素：

为了改进现有技术下kvm虚拟化平台对虚拟机中用户数据隔离防护存在的问题，本发明提出一种基于kvm虚拟机的用户数据隔离防护系统及方法。

本发明的一种基于kvm虚拟机的用户数据防护系统，其特征在于，基于kvm虚拟机的用户数据防护系统包括对虚拟机镜像数据进行加密隔离保护的虚拟机镜像数据隔离防护模块、对虚拟机内存数据进行加密迁移和数据擦除处理的虚拟机内存数据隔离防护模块、提升显示协议数据隔离性的虚拟机显示协议数据隔离防护模块；所述虚拟机镜像数据隔离防护模块包括采用硬件辅助软件的软硬融合加密方式对虚拟机磁盘读写进行加解密操作的镜像加密模块、将虚拟机进行和密钥分开存储实现机钥分离的机钥分离模块、对虚拟机镜像进行完整性校验的镜像完整性检查模块、对虚拟机磁盘进行数据擦除处理降低数据恢复可能性的镜像数据擦除模块；所述虚拟机内存数据隔离防护模块包括对虚拟机迁移是的内存进行加密的内存加密迁移模块、对虚拟机内存数据进行擦除处理的内存数据擦除模块；所述虚拟机显示协议数据防护隔离模块包括对云平台接入终端进行认证管控的终端准入管控模块、对剪切板中数据进行策略管控的数据复制粘贴管控模块、采用基于黑白名单对虚拟机usb设备重定向功能进行管控的usb设备重定向管控模块。

本发明的一种基于kvm虚拟机的用户数据防护方法，包括：

a、对虚拟机镜像数据进行隔离防护；

b、对虚拟机内存数据进行隔离防护；

c、对虚拟机显示协议数据进行隔离防护；

对虚拟机镜像数据进行隔离防护包括对虚拟机镜像数据进行加密、对虚拟机进行机钥分离、对虚拟机镜像进行完整性检查及报警、对虚拟机镜像数据进行擦除；对虚拟机内存数据进行隔离防护包括对虚拟机内存数据进行加密迁移、对虚拟机内存数据进行擦除；对虚拟机显示协议数据进行隔离防护包括对虚拟机终端进行准入控制、对虚拟机数据复制粘贴进行管控、对虚拟机usb设备重定向进行管控。

其中，对虚拟机镜像数据进行加密通过采用硬件辅助软件的软硬件融合方式对虚拟机磁盘读写进行加解密，kvm虚拟化平台改造qemuio虚拟化子系统，在虚拟机磁盘扇区的读写操作引入加解密，通过公私钥及加密密钥对虚拟机数据进行加解密，使最终通过网络写入存储服务器中的数据是密文数据。

对虚拟机镜像进行导出时，包括如下步骤：

a11、qemu导出虚拟机镜像；

a12、判断镜像是否采用加密导出；若是，转到步骤a13，若否，转到步骤a16；

a13、、通过管理引擎vdsm从密管系统获取待导出的虚拟机源镜像解密密钥和将要导出的目的镜像的加密密钥并逐级传给qemu；

a14、qemu使用解密密钥对待导出的虚拟机源镜像进行解密，生成将要导出的目的镜像；

a15、使用加密密钥对要导出的目的镜像加密导出，并将目的镜像的加密密钥id保存到镜像元数据中；

a16、操作结束。

对虚拟机镜像进行导入时，包括如下步骤

a21、qemu导入虚拟机镜像；

a22、判断镜像是否采用加密导入，若是，转到步骤a23，若否，转到步骤a26；

a23、根据待导入镜像元数据中加密密钥id从密管系统中获取对应的解密密钥和生成新的加密密钥；

a24、使用解密密钥对待导入镜像进行解密；

a25、使用加密密钥对解密后的镜像加密，导入虚拟机；

a26、操作结束。

对虚拟机进行机钥分离是将虚拟机镜像和密钥分开存储，虚拟机镜像数据存储在存储服务器中，密钥数据存储在密管系统中，加解密公私钥存储在加密卡硬件中，加解密算法有密管系统和加密卡进行保护，一机一钥，相互隔离。

对虚拟机镜像进行完整性检查及报警包括如下步骤：

a31、进入虚拟机池，创建新的虚拟机或者对虚拟机进行开机操作，进入步骤a32，对虚拟机进行关机操作，进入步骤a37

a32、判断虚拟机是否基于模板，若是，进入步骤a33，若否，进入步骤a34；

a33、检测模板hash值是否正确，若是，进入步骤a34，若否，进入步骤a36(报警)；

a34、判断虚拟机是否具有hash值，若是，进入步骤a35，若否，进入步骤a39(操作完成)；

a35、校验虚拟机hash值是否正确，若是，进入步骤a39(操作完成)，若否，进入步骤a36；

a36、提示完整性错误；

a37、判断是否无状态或者自动池，若是，进入步骤a39，若否，进入步骤a38；

a38、创建虚拟机hash值；

a39、操作完成。

对虚拟机镜像数据进行擦除，由管理引擎下发需要擦除的磁盘给计算节点，由虚拟机监视器完成对存储位置的擦除，包括如下步骤：

a41、管理引擎调用擦除接口函数；

a42、根据存储池id和镜像id判断磁盘镜像是否存在，若是，进入步骤a43，若否，进入步骤a46；

a43、判断磁盘镜像数据是否擦除，若是，进入步骤a44，若否，进入步骤a45；

a44、根据不同的擦除方式对磁盘文件进行复写，擦除方式分为1次、3次、6次、7次；

a45、删除磁盘文件；

a46、操作结束。

对虚拟机内存数据进行加密迁移，在虚拟机暂停操作时，虚拟机内存写入虚拟机磁盘文件，通过使用该虚拟机独有的密钥对磁盘文件进行加密隔离保护；在虚拟机迁移过程中，通过虚拟机独有的密钥对内存数据进行加密，使用sm4对称加密方式对内存加解密，同时建立加密通道进行传输，包括如下步骤：

b11、qemu开始虚拟机内存数据迁移；

b12、判断虚拟机内存数据是否采用加密传输，若是，进入步骤b13，若否，进入步骤b15；

b13、申请内存用于加密；

b14、使用sm4的xts模式对内存进行对称加密；

b15、将内存或者加密内存放入缓冲区进行传输；

b16、操作结束。

对虚拟机内存数据进行擦除，在虚拟机关闭时，对分配给虚拟机的内存进行擦除操作，用0覆盖虚拟机内存中的用户数据，包括如下步骤：

b21、qemu进程启动时注册销毁回调函数；

b22、qemu进程退出；

b23、判断是否擦除虚拟机内存数据，若是，进入步骤b24，若否，进入步骤b25；

b24、将内存管理结构体中虚拟机内存范围全部置0，

b25、操作结束。

对虚拟机终端进行准入控制，终端的认证授权遵循802.1x协议，802.1x协议是基于client/server的访问控制和认证协议,它限制未经授权的用户/设备通过接入端口(accessport)访问lan/wlan,在获得交换机或lan提供的各种业务之前，802.1x对连接到交换机端口上的用户/设备进行认证；在认证通过之前，802.1x只允许eapol(基于局域网的扩展认证协议)数据通过设备连接的交换机端口；认证通过以后，正常的数据可以顺利地通过以太网端口，云终端才能访问对应的虚拟机；对虚拟机数据复制粘贴进行管控,通过对显示协议进行改造优化，增加主机到客户机以及客户机到主机这两种新的管控策略，结合原有的管控策略，提供开启剪切板、主机到客户机、客户机到主机、关闭剪切板四种管控策略，限制用户随意拷贝数据；对虚拟机usb设备重定向进行管控，采用基于黑白名单的方式对虚拟机usb设备重定向功能进行管控，限制用户随意拷贝数据；若下发白名单策略，终端仅允许制定的usb设备访问虚拟机；若下发黑名单策略，终端除指定的usb设备外，其余的usb设备均可访问虚拟机。

相对现有的基于硬件辅助虚拟化特性的虚拟机对运行时指令、内存的隔离防护外，本发明从用户数据安全的角度定义了虚拟机镜像数据隔离防护、虚拟机内存数据隔离防护和虚拟机显示协议数据隔离防护，从kvm虚拟化平台底层技术实现到kvm虚拟化平台使用及相关管理规范多个维度，明确了多种用户数据隔离防护机制和方法，在虚拟机创建、登陆、迁移、导出、关闭等整个生命周期对用户数据进行多层次、全方位防护，进一步提升了对基于kvm虚拟机中用户数据的安全隔离防护能力，可以有效保护用户数据的安全性和完整性。

附图说明

图1是本发明的基于kvm虚拟机的用户数据防护系统体系框架示意图；

图2是本发明的基于kvm虚拟机的用户数据防护方法中虚拟机镜像加密原理示意图；

图3是本发明的基于kvm虚拟机的用户数据防护方法中虚拟机镜像加密导出流程示意图；

图4是本发明的基于kvm虚拟机的用户数据防护方法中虚拟机镜像加密导入流程示意图；

图5是本发明的基于kvm虚拟机的用户数据防护方法中虚拟机镜像文件完整性校验流程示意图；

图6是本发明的基于kvm虚拟机的用户数据防护方法中虚拟机镜像数据擦除流程示意图；

图7是本发明的基于kvm虚拟机的用户数据防护方法中虚拟机内存加密迁移原理示意图；

图8是本发明的基于kvm虚拟机的用户数据防护方法中虚拟机内存加密迁移流程示意图；

图9是本发明的基于kvm虚拟机的用户数据防护方法中虚拟机内存数据擦除流程示意图。

具体实施方式

为了更好的理解本发明，下面结合附图详细说明本发明。

如图1所示，本发明的一种基于kvm虚拟机的用户数据防护系统，其特征在于，基于kvm虚拟机的用户数据防护系统包括对虚拟机镜像数据进行加密隔离保护的虚拟机镜像数据隔离防护模块、对虚拟机内存数据进行加密迁移和数据擦除处理的虚拟机内存数据隔离防护模块、提升显示协议数据隔离性的虚拟机显示协议数据隔离防护模块；所述虚拟机镜像数据隔离防护模块包括采用硬件辅助软件的软硬融合加密方式对虚拟机磁盘读写进行加解密操作的镜像加密模块、将虚拟机进行和密钥分开存储实现机钥分离的机钥分离模块、对虚拟机镜像进行完整性校验的镜像完整性检查模块、对虚拟机磁盘进行数据擦除处理降低数据恢复可能性的镜像数据擦除模块；所述虚拟机内存数据隔离防护模块包括对虚拟机迁移是的内存进行加密的内存加密迁移模块、对虚拟机内存数据进行擦除处理的内存数据擦除模块；所述虚拟机显示协议数据防护隔离模块包括对云平台接入终端进行认证管控的终端准入管控模块、对剪切板中数据进行策略管控的数据复制粘贴管控模块、采用基于黑白名单对虚拟机usb设备重定向功能进行管控的usb设备重定向管控模块。本发明系统实现多层次、全方位实现对虚拟机镜像、内存、图像和控制数据的隔离防护，达到保障用户数据安全性的目的

本发明的本发明的一种基于kvm虚拟机的用户数据防护方法，包括：

a、对虚拟机镜像数据进行隔离防护；

b、对虚拟机内存数据进行隔离防护；

c、对虚拟机显示协议数据进行隔离防护；

对虚拟机镜像数据进行隔离防护包括对虚拟机镜像数据进行加密、对虚拟机进行机钥分离、对虚拟机镜像进行完整性检查及报警、对虚拟机镜像数据进行擦除；虚拟机在创建时会创建镜像文件，该文件包含虚拟机运行时所需要的磁盘数据，在虚拟机关机状态，镜像文件以磁盘文件和元数据的形式存储在服务器中，在虚拟机启动时，虚拟机计算节点需要加载镜像文件运行。如果非法用户对虚拟机的镜像文件进行恶意篡改或者盗取，该虚拟机的所有配置信息和其中的用户数据会面临泄露的风险，同时镜像文件中可能被植入恶意代码，在虚拟机启动时，盗取该虚拟机的相关数据或者对其他虚拟机发动攻击，因此对镜像文件的保护是隔离防护虚拟机中用户数据的重要环节之一。

针对虚拟机镜像数据隔离防护，主要通过虚拟机镜像数据加密保护、虚拟机机钥分离保护、虚拟机镜像完整性检查及报警、虚拟机镜像数据擦除来实现。

虚拟机镜像数据加密保护，对虚拟机镜像数据进行加密通过采用硬件辅助软件的软硬件融合方式对虚拟机磁盘读写进行加解密，kvm虚拟化平台采用硬件辅助对虚拟机磁盘读写进行加解密操作，在保证镜像加解密速度的同时，尽量减小由于加解密带来的镜像启动的延迟，如图2所示，kvm虚拟化平台通过对qemuio虚拟化子系统进行改造，在虚拟机磁盘扇区的读写操作引入加解密操作，通过公私钥及加密密钥对虚拟机数据进行保护，使最终通过网络写入存储服务器中的数据是密文数据。

对虚拟机镜像最常见操作是导入和导出，在进行镜像导出时，首先引擎从密管系统获取待导出的虚拟机镜像解密秘钥和将要导出的目的镜像的加密秘钥，并逐级传给qemu，qemu使用解密秘钥对待导出的虚拟机镜像进行解密，使用目的镜像的加密秘钥对解密后镜像加密导出，并将目的镜像的加密秘钥关键字保存到导出镜像元数据中，并不会保存虚拟机密钥到镜像元数据，保证数据和密钥隔离保护；在进行镜像导入时，首先管理引擎根据待导入镜像元数据中加密秘钥关键字，从密管系统获取对应的解密秘钥和生成新的加密秘钥，并逐级传给qemu，qemu使用解密秘钥对待导入镜像解密，使用加密秘钥对镜像进行加密导入。对虚拟机镜像进行加密，有效的提高了虚拟机在导入/导出时的镜像安全性，降低用户数据通过镜像泄漏可能性。

如图3所示，对虚拟机镜像进行导出时，包括如下步骤：

a11、qemu导出虚拟机镜像；

a12、判断镜像是否采用加密导出；若是，转到步骤a13，若否，转到步骤a16；

a13、、通过管理引擎vdsm从密管系统获取待导出的虚拟机源镜像解密密钥和将要导出的目的镜像的加密密钥并逐级传给qemu；

a14、qemu使用解密密钥对待导出的虚拟机源镜像进行解密，生成将要导出的目的镜像；

a15、使用加密密钥对要导出的目的镜像加密导出，并将目的镜像的加密密钥id保存到镜像元数据中；

a16、操作结束。

如图4所示，对虚拟机镜像进行导入时，包括如下步骤

a21、qemu导入虚拟机镜像；

a22、判断镜像是否采用加密导入，若是，转到步骤a23，若否，转到步骤a26；

a23、根据待导入镜像元数据中加密密钥id从密管系统中获取对应的解密密钥和生成新的加密密钥；

a24、使用解密密钥对待导入镜像进行解密；

a25、使用加密密钥对解密后的镜像加密，导入虚拟机；

a26、操作结束。

kvm虚拟化平台利用虚拟机机钥分离技术，将虚拟机镜像和密钥分开存储，虚拟机镜像数据存储在存储服务器中，密钥数据存储在密管系统中，加解密公私钥存储在加密卡硬件中，加解密算法由密管系统和加密卡进行保护，一机一钥，相互隔离，即使攻破一个系统，也无法获取全部数据。

虚拟机镜像文件包含虚拟机运行时所需要的所有数据、配置信息，在虚拟机关机状态，镜像文件以文件的形式存储在服务器中，如果非法用户对虚拟机的镜像文件进行恶意篡改，例如植入恶意代码、修改关键数据，在虚拟机启动时，如果不进行完整性校验，保证该虚拟机镜像的合法性，该虚拟机镜像可能对系统造成极大的破坏。通过对虚拟机镜像文件进行完整性校验，可以在使用该虚拟机前检测到已被恶意篡改或破坏后能够发出告警并阻止继续使用虚拟机，降低攻击扩散风险。虚拟机完整性检查保护对象包括虚拟机磁盘、快照、模板(基于模板瘦分配方式创建时)。虚拟机每次关机时，由计算节点生成其所有数据的hash值并上报到管理平台保存；下次开机时管理平台将该hash值下发到计算节点进行比对，如果一致，则允许虚拟机正常启动，如果不一致，则计算节点阻止虚拟机正常启动并上报管理平台，管理平台同时显示数据完整性被破坏的提示框，并生成一条告警信息，在提示框中可以点击“强制重启”(跳过完整性检测步骤)以继续使用此虚拟机。对虚拟机镜像进行完整性检查及报警包括如下步骤：

a31、进入虚拟机池，创建新的虚拟机或者对虚拟机进行开机操作，进入步骤a32，对虚拟机进行关机操作，进入步骤a37

a32、判断虚拟机是否基于模板，若是，进入步骤a33，若否，进入步骤a34；

a33、检测模板hash值是否正确，若是，进入步骤a34，若否，进入步骤a36(报警)；

a34、判断虚拟机是否具有hash值，若是，进入步骤a35，若否，进入步骤a39(操作完成)；

a35、校验虚拟机hash值是否正确，若是，进入步骤a39(操作完成)，若否，进入步骤a36；

a36、提示完整性错误；

a37、判断是否无状态或者自动池，若是，进入步骤a39，若否，进入步骤a38；

a38、创建虚拟机hash值；

a39、操作完成。

虚拟机的磁盘是将实际的物理磁盘逻辑抽象分配给虚拟机，因此普通的删除并不能完全擦除磁盘上的数据，同时当虚拟机磁盘卸载后，如果不进行擦除，该物理区域会随机进行再次分配，恶意用户可以简单的通过磁盘恢复恢复之前的虚拟机磁盘内容。因此对虚拟机磁盘进行擦除可以有效防止恶意用户读取虚拟磁盘信息。管理引擎下发需要擦除的磁盘给计算节点，由虚拟机监视器完成对存储位置进行擦除对虚拟机镜像数据进行擦除，如图6所示包括如下步骤：

a41、管理引擎调用擦除接口函数；

a42、根据存储池id和镜像id判断磁盘镜像是否存在，若是，进入步骤a43，若否，进入步骤a46；

a43、判断磁盘镜像数据是否擦除，若是，进入步骤a44，若否，进入步骤a45；

a44、根据不同的擦除方式对磁盘文件进行复写，擦除方式分为1次、3次、6次、7次；

a45、删除磁盘文件；

a46、操作结束。

根据不同擦除次数，将虚拟机残余信息有效地销毁，能有效减低数据恢复的可能性。

对虚拟机内存数据进行隔离防护包括对虚拟机内存数据进行加密迁移、对虚拟机内存数据进行擦除；虚拟机暂停和虚拟机迁移过程中，会将虚拟机运行时内存数据进行保存或跨服务器传输，存在用户数据泄露风险。虚拟机暂停操作时，虚拟机内存会写入虚拟机磁盘文件，本发明通过虚拟机独有的密钥对磁盘文件进行加密隔离保护。如图7所示，虚拟机迁移过程中，虚拟机镜像文件已经通过共享存储和虚拟机镜像文件隔离防护机制进行保护，只需要在服务器间传输虚拟机运行时的内存数据。拟机迁移过程中，通过虚拟机独有的密钥对内存数据进行加密，当前使用sm4对称加密方式对内存加/解密，同时建立加密通道进行传输，如图8所示，迁移流程包括：

b11、qemu开始虚拟机内存数据迁移；

b12、判断虚拟机内存数据是否采用加密传输，若是，进入步骤b13，若否，进入步骤b15；

b13、申请内存用于加密；

b14、使用sm4的xts模式对内存进行对称加密；

b15、将内存或者加密内存放入缓冲区进行传输；

b16、操作结束。

通过对虚拟机迁移时的内存进行加密传输，有效的提高了虚拟机在迁移时用户数据安全性，防止用户数据泄露。

虚拟机关闭后，操作系统只会回收分配给虚拟机的内存地址空间，并未对这些内存地址空间上的数据进行回收，存在用户数据泄露风险。基于kvm虚拟化技术内存分配机制，在虚拟机关闭时，对分配给虚拟机的内存进行擦除操作，用0覆盖虚拟机内存中用户数据，在虚拟机关闭后，用户数据被全部擦除，防止用户数据泄露。如图9所示，内存数据擦除包括如下步骤：

b21、qemu进程启动时注册销毁回调函数；

b22、qemu进程退出；

b23、判断是否擦除虚拟机内存数据，若是，进入步骤b24，若否，进入步骤b25；

b24、将内存管理结构体中虚拟机内存范围全部置0，

b25、操作结束。

通过虚拟机内存数据加密传输和虚拟机内存数据擦除机制，使虚拟机在迁移和关机后内存数据得到有效的隔离防护，防止用户数据泄露。

对虚拟机显示协议数据进行隔离防护包括对虚拟机终端进行准入控制、对虚拟机数据复制粘贴进行管控、对虚拟机usb设备重定向进行管控。

云终端作为虚拟机的载体，不及时升级系统补丁和病毒库、私设代理服务器、私自访问外部网络、滥用企业禁用软件的行为比比皆是，脆弱的用户终端一旦接入网络，就等于给潜在的安全威胁敞开了大门，使安全威胁在更大范围内快速扩散，进而导致网络使用行为的“失控”。因此提升通过显示协议数据隔离性，对防护访问虚拟机的云终端具有重要的意义。

现有kvm虚拟化平台并未对云终端接入进行管控，无法识别恶意终端，通过对kvm虚拟化平台进行改造，引入802.1x和radius认证，鉴别合法云终端，避免用户数据暴露给恶意云终端。

对虚拟机终端进行准入控制，终端的认证授权遵循802.1x协议，802.1x协议是基于client/server的访问控制和认证协议。它可以限制未经授权的用户/设备通过接入端口(accessport)访问lan/wlan。在获得交换机或lan提供的各种业务之前，802.1x对连接到交换机端口上的用户/设备进行认证。在认证通过之前，802.1x只允许eapol(基于局域网的扩展认证协议)数据通过设备连接的交换机端口；认证通过以后，正常的数据可以顺利地通过以太网端口，云终端才能访问对应的虚拟机。kvm虚拟化平台通过对云终端接入进行管控，有效的限制非法终端接入网络，防止虚拟机用户数据泄漏给非法终端。

现有kvm虚拟化平台对虚拟机显示协议中剪切板数据的管控较弱，仅能控制开启和关闭，使用方式不够灵活，可能出现敏感数据被随意拷贝，用户数据存在泄漏风险。

通过对显示协议进行改造优化，增加了两种管控策略：

主机到客户机：仅允许显示协议代理程序运行的主机向虚拟机中拷贝数据；

客户机到主机：仅允许虚拟机向显示协议代理程序运行的主机中拷贝数据。

结合原有的管控策略，总共提供开启剪切板、主机到客户机、客户机到主机、关闭剪切板四种管控策略，在提供使用灵活性的同时，通过技术手段和管理规范限制用户随意拷贝数据，消除了通过显示协议剪切板功能复制敏感数据的途径，提高了用户数据的安全性。

现有kvm虚拟化平台对usb设备管控较弱，所有usb设备均可访问虚拟机，用户数据可能被恶意拷贝，存在泄漏风险。

通过对kvm虚拟化平台进行改造，云终端根据新增的usb策略来控制usb设备的访问，平台支持白名单和黑名单两种策略。若下发白名单策略，终端仅允许指定(vid/pid)的usb设备访问虚拟机；若下发黑名单策略，终端除指定(vid/pid)的usb设备外，其余的usb设备均可访问虚拟机。

插入不合法的usb设备，弹出提示框提示用户。合法的正在使用的usb设备被新的usb策略禁止，强制断开usb设备，并弹出提示框提醒用户。

基于黑白名单对虚拟机usb设备重定向功能进行管控，通过技术手段和管理规范限制用户随意拷贝数据，消除了通过外接usb存储设备复制敏感数据的途径，有效的保障了用户数据的安全性。

相对现有的基于硬件辅助虚拟化特性的虚拟机对运行时指令、内存的隔离防护外，本发明从用户数据安全的角度定义了虚拟机镜像数据隔离防护、虚拟机内存数据隔离防护和虚拟机显示协议数据隔离防护，从kvm虚拟化平台底层技术实现到kvm虚拟化平台使用及相关管理规范多个维度，明确了多种用户数据隔离防护机制和方法，在虚拟机创建、登陆、迁移、导出、关闭等整个生命周期对用户数据进行多层次、全方位防护，进一步提升了对基于kvm虚拟机中用户数据的安全隔离防护能力，可以有效保护用户数据的安全性和完整性。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明披露的技术范围内，根据本发明的技术方案及其发明构思加以等同替换或改变，都应涵盖在本发明的保护范围之内。