Research and implementation of iot service runtime security method based on virtualization

Scientific Journal of Information Engineering October 2014, Volume 4, Issue 5, PP.138-146

Research and Implementation of IoT Service Runtime Security Method Based on Virtualization Linlin Fan#, Qiang Hua, Yang Zhang Research Institute of Networking Technology, Beijing University of Posts and Telecommunication, Beijing 100876, China #

Email: fanlinlin320job@163.com

Abstract The rapid development of IoT (Internet of Things) bring us convenience, also brings great potential safety hazards at the same time.

In this paper, based on the analysis of the traditional IoT system security technology and intrusion detection technology, we find their shortcomings, and put forward a completely isolated security system which is more suitable for IoT system with application of virtualization technology. The system consists of isolated identity authentication, transparent access control, memory analysis and intrusion detection module, which build an isolation type IoT system security framework. Meanwhile, it provides a perfect recovery function so that the IoT system is self-healing according to the strategies that users configure. This system overcomes the tight coupling which often occurs in the traditional security system, the single function and can not take the initiative to perform recovery. This paper makes a detail exposition about the design concept, and the system implementation. Finally, we verify the availability and effectiveness of the system through the experiment.

Keywords: IoT; Intrusion Detection; Virtualization; Security; Isolation

基于虚拟化技术的物联网服务运行环境的安全保 障方法研究与实现 范淋淋，华强，章洋 北京邮电大学 网络技术研究院，北京 100876 摘

要：物联网的快速发展在给人们带来便利的同时，也带来了极大的安全隐患。文章在分析传统物联网安全保障技术

以及入侵检测技术缺陷的基础上，利用虚拟化技术提出了更适合于物联网服务运行环境的完全隔离的安全保障系统。该 系统集隔离性身份认证、透明式权限控制、虚拟化内存取证、防攻陷入侵检测等于一体，构建了一种隔离式物联网系统 安全的保障框架。同时，系统提供了完善的故障恢复功能，保证了物联网系统在受到恶意攻击的情况下，可以根据策略 自行修复。克服了传统保障系统紧耦合、功能单一以及不能主动执行恢复等缺憾。文章详细阐述了该安全保障系统的设 计理念，并进行了系统实现，最后通过实验验证了系统的可用性和有效性。 关键词：物联网；入侵检测；虚拟化；安全保障；隔离

引言 物联网是以感知为核心的物物互联的综合信息系统。随着物联网系统的模式由封闭转向开放，以及运 行环境的日益复杂化，其安全问题被广泛关注。传统的物联网安全保障技术主要有加密、身份认证以及硬 件看门狗等。但是，这些技术在灵活性、主动防御能力以及全面性方面制约了其在复杂网络环境下的物联 网系统中的应用。针对传统保护方式的缺陷，很多学者和研究机构提出将主动性入侵检测技术应用于物联 - 138 http://www.sjie.org

网服务系统，如针对嵌入式系统和 windows 系统设计的软件自监测系统。但是这类系统都是和服务耦合在 一起的，导致系统的扩展能力不强，另外，监测系统本身也可能受到攻击。针对以上问题，本文提出了一 种基于虚拟化[1]技术的物联网服务运行环境的安全保障方法。该方法集入侵检测、故障恢复以及身份和权限 控制于一体，解决了目前存在的物联网服务安全保障系统的缺陷和不足，为物联网系统提供一个完善的安 全保障服务。

相关知识准备

1

1.1 入侵检测 入侵检测[2]技术就是对（网络）系统的运行状态进行监视，发现各种攻击企图、攻击行为或者攻击结果， 以保证系统资源的机密性、完整性与可用性。针对收集信息的来源不同，入侵检测可以分为基于主机的入 侵检测 (HIDS) 和基于网络的入侵检测 (NIDS)。 HIDS 以计算机主机作为目标环境，只考虑系统局部范围的用户，检测任务比较简单；但是，传统的 HIDS 仅仅提供告警功能，无法执行系统恢复，需要人工介入，其实时性不能满足现在物联网服务系统的要 求。与 HIDS 不同，NIDS 部署在内部局域网中。目前，NIDS 多为基于网络关键节点（如防火墙、路由器等） 进行检测。使用这种检测技术的系统由于和服务系统紧耦合在一起，其自身安全性难以保证，且扩展性较 差。 本文论述的系统针对传统入侵检测系统上的缺陷做了改进，增加了故障恢复功能，同时借助于虚拟化 技术，实现了在物理监控器上对虚拟客户端的物联网系统的策略恢复与恶意入侵拦截，即检测系统与服务 系统的隔离，在完全透明的情况下，保障了物联网系统的安全。

1.2 虚拟化监控 虚拟机监控器[3]技术为增强系统的安全性提供了新思路，它拥有高特权级并提供了虚拟机间隔离机制， 可以有效地确保检测系统的完整性。虚拟机管理器能够直接观察到被监控系统的内部状态，通过直接访问 被监控系统的内存重建出客户操作系统的内核数据结构，从而通过单独运行的入侵检测系统来进行检测。 这种在虚拟机外部监控虚拟机内部运行状态的方法称为虚拟机自省 [4] （virtual machine introspection，简称 VMI）。利用 VMI 技术，宿主主机可以观察到其他虚拟机的内部状态和操作。利用 VMI 技术的拓扑结构如 下图所示： 虚拟机

虚拟机 VMI

虚拟机 内存

内存映射

虚拟机 内存

虚拟机监控器(VMM) 物理 内存

图 1 基于 VMI 的拓扑结构图

1.3 身份认证&权限控制 本文论述的系统不仅从主机和网络两个方面对恶意入侵行为进行了处理，同时采用基于安全令牌的身 份认证管理服务，结合基于属性的访问控制(ABAC)技术，对物联网系统的人为安全提供了身份认证和权限 控制。

2

系统架构 - 139 http://www.sjie.org

本文论述的安全保障系统主要包括检测域、存储域和应用控制域三个部分。如图 2 所示，检测域是系统 的入侵检测模块，包括基于主机的入侵检测和基于网络的入侵检测。由于物联网服务系统运行环境以及网 络环境的复杂性，系统故障和来自网络的恶意攻击不可避免，入侵检测模块可以大大提高系统的容灾和容 侵能力。该模块具备完整的分析、检测、告警以及恢复服务的能力，可以在无管理员维护的情况下，及时 发现服务系统出现的问题并采相应措施，保障物联网系统运行环境的安全。 存储域负责身份控制子系统中信息卡的存储。信息卡用于存储用户信息，一旦泄露，对物联网系统的 安全会造成严重威胁，因此，存储域部署在物理监控器中。 安全保障系统的应用控制域则负责部署权限控制系统的 PEP 模块，该模块负责在物理监控器的虚拟网 桥处监听用户请求，并对其进行权限判决。 以上三个部分即构成了一个完整的基于虚拟化技术的物联网安全保障系统。该系统从身份、权限和入 侵多个角度全方面保障物联网系统的安全。 vm1

应用 虚拟 内存

VMM

应用

vm2

虚拟 内存

应用

vmn

...

虚拟 内存

br0

内存匹配

安全保障系统 存储域

检测域

应用控制域

语义 重构

DB DB

进程 检测 策略

信息卡 服务器

Client

信息卡 客户端

...

Client

信息卡 客户端

HIDS

数据收集 &检测

数据 拦截

HIDS

告警 处理

PEP

基于虚拟化的入侵检测系统

身 份 控 制 系 统

可信Server

策略编辑器

身份认证中心 PDP

权 限 控 制 系 统

图 2 系统架构图

详细设计

3

3.1 入侵检测 3.1.1

基于网络的入侵检测

基于网络的入侵检测 [5]主要负责保证物联网系统的网络环境安全。系统通过搜集/分析网络数据包来发 现入侵行为并进行告警，告警处理模块则负责解析告警数据，抽取出有用的告警信息，以便之后的拦截和 记入日志。最后由拦截模块根据抽取出的有效的告警信息进行恶意数据包的拦截。 (1) 数据包搜集与分析 出于耦合性和安全性的考虑，所有的入侵检测/拦截行为都需要在物理服务器上完成，并且不对客户虚 拟机添加任何依赖。要想实现数据包的正确收集，虚拟机的网络连接方式应设置为桥接[6]。在桥接模式下， 客户虚拟机就像是局域网中一台独立的主机，具有独立的网络 IP 地址。每个虚拟机都有一个虚拟网卡 eth0， - 140 http://www.sjie.org

并且通过相应的驱动 (PE, BE) 连接到物理服务器的虚拟网桥上。所有来自虚拟机的数据，都是通过虚拟网 桥，最后经过真实的物理网卡发送出去的。客户虚拟机的网络桥接模式如图所示： vm1

vmN eth0

eth0

...

FE

FE

KVM 虚拟机监控器

BE

vif 1.0

BE

vif N.0 br0

eth0 硬件设备

图 3 网络桥接模式

数据包的搜集与分析模块在物理服务器的虚拟网桥处进行监听，搜集来自或进入客户虚拟机的数据包， 并根据订制的规则来进行检测，发现入侵行为则通知告警信息处理模块。 (2) 告警信息处理 告警信息处理模块负责接收来自分析模块的告警数据包，并经过解析—获取有效数据—验证告警数据 —发送拦截指令等一系列过程来完成告警信息的处理。此过程在设计时，需要解决以下问题： 

性能限制：由于每秒都可能接到几十甚至更多的告警数据，流水线式处理无法满足实时性要求。



数据一致性：在整个的处理流程中，需要保证数据的一致性，确保系统正确运行。



识别重复告警：相同告警可能出现多次，需要避免针对某一个告警发送重复的拦截指令。 在设计与实现告警信息处理模块时，系统采取了以下方法来解决上面提到的几个问题：



并行方式作业，主线程接收告警数据并解析；副线程验证告警数据，并发送拦截指令。



采用生产者-消费者的设计模式，并通过锁机制实现同步，保证数据的一致性。



对已处理的告警信息进行永久式存储，作为后续新告警信息的匹配标准。 一次告警信息的处理流程如图 4 所示。 sd 告 警 处 理 模 块 数据包分析

告警预处理

告警队列

告警处理

告警拦截

analyze(packet) sendAlert(packet)

preProcess(packet) store(alertPkt)

read() send(alertPkt)

check(alertPkt,log) intercept(alertPkt)

图 4 告警处理时序图 - 141 http://www.sjie.org

(3) 恶意数据拦截 对于虚拟客户机来说，物理监控器就相当于一个网桥，起到了数据转发的功能，所有来自或进入虚拟 客户端的数据包都要经过虚拟网桥。因此，系统采用 iptables 防火墙[7]技术，针对于虚拟网桥来配置 iptables FORWARD 转发规则，进而实现在物理监控器上拦截整个物联网系统中特定数据包的功能。 3.1.2

基于主机的入侵检测

基于主机的入侵检测[8]主要负责物联网系统中的进程检测，如关键进程、僵尸进程 [9]、隐藏进程等。该 部分主要由语义重构模块、进程检测模块和策略模块组成。各个模块之间相互协作，实现了从进程检测到 恢复的过程。其总体的数据流程如下图所示：

进程检测

虚拟机进程信息

策略

虚拟机系统数据

语义重构

恢复指令

原始内存数据

虚拟机监控器

图 5 主机入侵检测流程图

(1) 内存取证 内存取证指的是从计算机的物理内存，即 RAM 中查找和提取证据。当系统处于活跃状态时，RAM 中 包含了关于系统运行时状态的关键信息。通过捕获 RAM 的一份完美副本并在另一台计算机上分析，就有可 能重构出原先的系统状态，如正在运行的应用程序、应用程序访问了哪些文件、活动的网络连接等许多证 据。 在本系统中，语义重构模块从虚拟机监控器得到虚拟机的内存信息，然后利用该信息重构出虚拟机操 作系统级别的信息。通过这些数据，可以获得客户虚拟机的进程列表，内核模块列表等数据结构，以此作 为检测物联网子站采集系统的是否工作正常的依据。 (2) 进程检测 进程检测模块利用从内存取证中获得的进程信息、内核数据结构等来进行相关的进程检测工作，进而 发现系统中的恶意软件和恶意攻击。检测模块是 VMR 系统的核心。当检测模块运行时，可以利用客户机的 进程信息，来判断是否有隐藏进程，同时可以检测关键进程是否在运行。本系统的核心检测思想如下： 

隐藏进程的检测 系统在虚拟机外部构建进程控制块链表，并通过视图比较的方式比较外部重构的操作系统进程列表和内 部系统工具汇报的进程列表之间的不同，以此确定是否有隐藏进程。



关键进程检测 通过捕获虚拟机RAM的一份完美副本并在宿主机上分析，语义重构模块从虚拟机监控器得到虚拟机的 内存信息。通过相关软件计算出关键进程的上下文相关哈希值和虚拟机内存信息进行对比，来确定此关 键进程是否缺失。



系统完整性检测 鉴于Linux系统调用的函数入口地址在系统安装后是固定的，因此创建一份正常的系统调用表作为基准。 - 142 http://www.sjie.org

每次检查时，确定访问系统调用的入口地址是否与基准一致，如果一致，说明系统调用没有问题；否则， 说明系统调用被破坏，已经被加了钩子函数。 (3) 策略恢复 策略模块根据检测模块发现的系统异常情况和用户的恢复策略配置来进行决策，制定好恢复的规则。 该模块通过使用 SSH 技术来远程登录客户虚拟机，并通过执行进程管理指令来终止或者启动进程。对于虚 拟机层面的管理，则通过 Libvirt 来完成。Libvirt 支持在虚拟机监控器上，提供 virsh 指令来管理客户虚拟机， 如虚拟机的重启与恢复等操作。

3.2 身份认证&权限控制 对于身份认证和权限控制，系统采取将安全性要求高以及需要与物联网系统进行交互的模块安装在虚 拟机监控器上，同时其他模块则部署在可信 Server 上运行。如身份认证的信息卡服务器和权限控制的 PEP 部分。 信息卡服务器主要负责对信息卡的管理和存储，在身份认证系统中，信息卡服务器的安全性至关重要。 信息卡服务器一旦遭到恶意攻击和入侵，就可能造成信息卡的泄露，进而威胁到整个物联网系统的安全。 在权限控制系统中，由于 PEP 模块需要获取用户的请求信息，并通过对信息封装成特定的格式转发给 PDP 模块进行判决，依据判决结果采取适当的行为。所以，本文将 PEP 安装在虚拟机监控器中，令 PEP 在虚拟 网桥处接收所有来自用户的请求，并根据判决结果来决定是否放行。

4

网络入侵检测匹配算法 系统的入侵检测部分采用了开源的网络入侵检测系统 Snort[10]。Snort 主要采用 BM 字符串匹配算法对网

络数据包进行告警匹配。在当今网络环境复杂，数据流量巨大的情况下，数据匹配是非常耗时的一项工作。 据实验统计：Snort 在进行检测的时候调用字符串匹配函数所需用的时间占检测总时间的 25.2%，所以匹配 算法的效率关系到整个系统的运行效率。

4.1 BM 算法 BM (Boyer-Moore)[11]算法是一种精确字符串匹配算法。该算法在文本匹配的过程中，匹配字符串越长， 字符串匹配所需要的时间就越短。BM 算法采用从右向左比较的方法，同时应用到了坏字符和好后缀两种启 发式规则来决定向右跳跃的距离。设模式串为 Prtc，其长度为 m。 

坏字符规则 在 BM 算法从右向左扫描的过程中，若发现某个字符 x 不匹配，则该字符为坏字符。





如果x在Prtc中没有出现，则从x开始的m个文本显然与Prtc匹配不成功，直接跳过该区域即可。



如果x在Prtc中出现，则以该字符进行对齐。

好后缀规则 若发现某个字符不匹配的同时，已有部分字符匹配成功，则已匹配部分为好后缀。 

如果Prtc中位置t处已匹配部分P’在Prtc中的某位置t’也出现，则位置t’的前一个字符与位置t的前一个 字符不相同，则将Prtc右移是t’对应t方才的所在的位置。



如果在Prtc中任何位置已匹配部分P’都没有再出现，则找到与P’的后缀P’’相同的Prtc的最长前缀x， 向右移动Prtc，使x对应方才P’’后缀所在的位置。

在BM算法匹配的过程中，取Skip(x)与Shift(j)中的较大者作为跳跃距离。

4.2 BM 算法改进 在原网络入侵系统的 BM 算法中，求好后缀数组的算法实现如下： - 143 http://www.sjie.org

计算 bad-character跳转表 计算 good-suffix跳转表 n←∣text∣ m←∣pattern∣ j←0 WHILE j<= n-m: 从右到左匹配pattern与text的子串text[j:j+m] IF 匹配成功： 报告一次成功的匹配 令j←j + good-suffix-table[0] ELSE： 根据匹配失败的位置i得到good-suffix跳转长度slen1； 根据匹配失败的位置i和导致匹配失败的字符c得到badcharacter跳转的长度 slen2; k←max(slen1,slen2) j ← j+k

好后缀的实现算法可知，其实现的结果没有管已匹配子模式的前一个字符是否相等。很明显，如果相 等的话，则滑动后仍然将在原失配位置继续发生失配。这种情况会增大比较量。因此，本文通过修改好后 缀算法，算出更大的移动距离。 对于模式串 Prtc=”abcxxxabc”来说，算法改进前后生成的好后缀数组如下图所示： Prtc: a

b

c

x

x

x

a

b

c

改进前:

15

14

13

12

11

10

9

8

1

改进后:

15

14

13

12

11

10

11

10

1

图 6 好后缀数组

5

实验与结果

5.1 基于网络的入侵检测 在网络入侵检测部分，本文以 Modbus 工控协议为例，设计了相关的功能和性能测试案例，以查看可靠 性保障系统的运行情况。功能测试点包括：大小不合理的数据包、没有被认证的写请求以及重复重启选项 的等。以上情况都可能给物联网系统带来潜在的危害，致使系统不能正常运行甚至系统崩溃。 配置好相应的检测规则之后，启动可靠性保障系统，并通过客户端向物联网系统发送相应的 Modbus 数 据包，系统正确运行，成功拦截告警数据。其运行结果如下图所示：

图 7 运行结果

性能测试主要针对修改前后的 BM 算法。我们分别测试了当源串大小为 20、50、100、200、500、1000 时，BM 算法的匹配效率。在测试环境为：Thinkpad T430 PC 机，4G 内存，双核 2.9GHZ CPU，1000Mbps 以太网卡，Centos 6.4 操作系统，gcc 编译器，测试结果如图 8 所示。 - 144 http://www.sjie.org

图 8 BM 算法改进前后性能对比

5.2 基于主机的入侵检测 在主机的入侵检测部分，本文以关键进程监控为例，设计了相关的测试案例，以查看可靠性保障系统 的运行情况。测试内容包括：关键进程存在检测、关键进行重启请求以及隐藏进程检测及恢复系统备份等 等。 配置好相应的检测关键进程之后，启动入侵检测保障系统，系统开始监控相应关键进程，判断是否存 在隐藏进程，并采取相应恢复措施，保障系统正确运行。其运行结果如下图所示：

图 9 运行结果

在测试环境为：酷睿双核处理器，8G 内存，100G 可用硬盘空间，Centos6.4 操作系统，Gcc 编译器和 Python2.7 运行环境下，系统运行时间性能如下： 内存取证时间 关键进程重启时间 系统镜像恢复时间 安全监测周期

10s – 15s 10s – 20s 60s 自定义

图 10 主机入侵检测时间性能

6

结论 本文实现了基于虚拟化技术的物联网运行环境的安全保障系统。该系统借助虚拟化平台，实现了保障

系统与被保障系统的解耦，从身份控制、权限控制、入侵检测（主机入侵和网络入侵）三个方面全方位保 - 145 http://www.sjie.org

障物联网系统的安全，突破了传统安全保障技术方案保护范围片面、功能单一、难扩展的限制，并且解决 了保障系统自身的安全性问题，使得物联网服务系统可以持续长时间稳定运行。

7

致谢 本文述及的研究得到以下项目的大力支持，在此予以诚挚的感谢。中国国家 973 重大基础研究项目，批

准号 2011CB302506，2012CB315802；中国国家高科技研发计划（863 计划），批准号 2013AA102301；中 国国家自然科学基金，批准号 61132001。

REFERENCES [1]

Smith J E, Nair R. The Architecture of Virtual Machines. IEEE Computer, 2005,38(5): 32-41

[2]

Patel A, Qassim Q, Wills C. A Survey of Intrusion Detection and Prevention Systems. Information Management & Computer Security, 2010, 18(4): 277-290

[3]

Rosenblum M, Garfinkel T. Virtual Machine Monitors: Current Technology and Future Trends. IEEE Computer,2005,38(5):24-56

[4]

Tal Garfinkel and Mendel Rosenblum. “A Virtual Machine Introspection Based Architecture for Intrusion Detection”. In Proceedings of Network and Distributed Systems Security Symposium, pages 191-206, 2003

[5]

Bejtlich R. The Tao of Network Security Monitoring: beyond Intrusion Detection. Boston: Person Education, 2004, 1-120

[6]

J. Sugerman, G. Venkitachalam, and B. Lim. Virtualizing I/O Devices on Vmware Workstation's Hosted Virtual Machine Monitor.

In Proceeding of the General Track: 2002 USENIX Annual Technical Conference, 2002, 1-14

[7]

Liu A X. Firewall Policy Queries. IEEE Transaction on Parallel and Distributed Systems, 2009, 20(6): 766-777

[8]

Payne B D. Improving Host-based Computing Security using Secure Active Monitoring and Memory Analasis [Thesis]. Atlanta: Georgia Institute of Technology, 2010

[9]

LockDown Corp. Bots, Drones, Zombines, Worms and other things that go bump in the night. http://swatit.org/bots/, 2003

[10] Roesch M. Snort-Lightweight Intrusion Detection for Networks. In: Proceedings of the 13th USENIX Large Installation System Administration Conference (LISA 1999), Seattle, Washington, USA, 1999, 229-238 [11] Namjoshi K, Narlikar G. Robush and Fast Pattern Matching for Intrusion Detection[C]//IEEE Conference on Computer Communications. Piscataway, 2010: 14-19

【作者简介】 1

范淋淋（1989-），女，汉，硕士研究

2

华强（1990-），男，汉，硕士研究生，研究方向为服务计

生，研究方向为服务安全与隐私，现就

算，现就读于北京邮电大学网络技术研究院，攻读硕士学位。

读于北京邮电大学网络技术研究院，攻

3

读硕士学位。

计算，服务安全与隐私，网络智能与服务。

Email: fanlinlin320job@163.com

Email: yangzhang@bupt.edu.cn

章洋（1970-），男，汉，博士，副教授，研究方向为服务

- 146 http://www.sjie.org