Сборники трудов ИСП РАН


Удаленное обслуживание системных вызовов в микроядерном гипервизоре

К. Маллачиев (МГУ, Москва), Н. Пакулин (ИСП РАН, Москва)

Аннотация

В данной работе описывается дальнейшая разработка системы защиты Sevigator, исполь-зующей аппаратную виртуализацию. Изначальное устройство Sevigator состоит в  испол-нении пользовательских приложений в отдельной виртуальной машине, у которой отсут-ствует сетевой интерфейс. Для доверенных приложений Sevigator перехватает системные вызовы, связанные с операциями с сетью, и перенаправляет их на обслуживание в выде-ленную виртуальную машину. Такое устройство позволяет системе Sevigator защищать сетевое взаимодействие от вредоносных приложений, включая злонамеренный код на самом высоком уровне привилегий в ядре ОС.
Использование современных гипервизоров, построенных по микроядерной архитектуре, позволяет изменить архитектуру системы Sevigator. Такие гипервизоры по своей природе являются маленькой операционной системой, в которой большинство аппаратных опера-ций и управление виртуальными машинами изолированно в процессы с низким уровнем приоритета. Компрометация таких процессов не приведет к компрометации всего гипер-визора.    
В данной работе мы предоставляем экспериментальную архитектуру Sevigator-а, осно-ванную на гипервизоре NOVA, в рамках которой системные вызовы доверенных при-ложений обрабатываются в отдельном процессе в гипервизоре, а не в отдельной вирту-альной машине. Этот эксперимент показал 25% прирост производительности при уменьшении количества переключений контекстов

Ключевые слова

виртуализация, гипервизор, безопасность, микроядро

Издание

Труды Института системного программирования РАН, том 27, вып. 3, 2015, стр. 267-278.

ISSN 2220-6426 (Online), ISSN 2079-8156 (Print).

DOI: 10.15514/ISPRAS-2015-27(3)-18

Полный текст статьи в формате pdf (на английском) Вернуться к содержанию тома