Xen 4.12改进了开源Hypervisor虚拟化安全性

2019-09-11 16:14:10

开源Xen项目于4月2日宣布推出其同名虚拟机管理程序虚拟化技术4.12版,为组织和云运营商提供了改进的性能和安全功能。

新版本集成了改进的虚拟机内省功能,可用于检测潜在的零日漏洞。Argo虚拟机管理程序介导的数据交换是另一项新功能,可跨虚拟化工作负载域提供域间通信。Xen 4.12还提供了一种精简的架构,可以提供更小的攻击面,这也有助于提高安全性。

“在x86上,根据配置,减少代码行的上限在5%到22%之间,”Xen项目顾问委员会主席Lars Kurth告诉eWEEK。“On Arm,减少了30%,让我们的KSLOC不到50 [千行代码]。”

Xen是现代互联网许多关键部分的核心元素,包括作为支持Amazon Web Service EC2公共云服务的主要虚拟化技术之一。4.12更新是自2018年7月Xen 4.11版本普遍推出以来该项目的第一个新版本。

零日保安

零虚拟机漏洞检测功能位于Xen虚拟机自省(VMI)组件中。Kurth解释说,VMI的改进是为了帮助检测一般的安全漏洞。他说,大多数传统安全技术通过在内存,二进制文件等中搜索已知的故事(即“签名”)来识别攻击。这意味着您只能检测已知的漏洞。

“然而,所有安全攻击都使用相同的工具集,例如缓冲区溢出,代码注入,堆喷射,在客户操作系统内最高权限层以下的层,”Kurth说。“VMI有助于在虚拟机管理程序中对虚拟机内存进行实时内省,允许从VM外部对VM内存进行实时内省。换句话说,可以检测漏洞可能使用的攻击技术,例如缓冲区溢出,代码注入等。通过基于VMI的解决方案而不知道签名。“

阿尔戈

Argo虚拟机管理程序介导的数据交换是Xen 4.14中的一个重要新增功能,它提供了虚拟机(VM)与Xen中现有功能(称为XenBus)之间的备用互通层。

XenBus和Argo之间的关键区别与安全性有关。Kurth表示,XenBus使用共享系统资源(例如内存和XenStore)进行域间通信。共享内存体系结构无法正式证明遵循NEAT属性(不可绕过,可评估,始终调用,防篡改)。相比之下,他表示Argo可以被正式证明遵循不可绕过和始终被调用的属性,并且可以证明其他现有的Xen功能可以遵循所有NEAT属性。

“这使得有可能将基于Xen的系统认证为MILS [多个独立安全级别],而无需更换Xen的互通层,”Kurth说。“它还将使基于Xen的产品认证到更高水平的评估保证级别[EAL]或安全关键系统软件所需的标准变得更加容易和便宜。”

Xen 4.13及更高版本

除了安全性改进之外,Xen 4.12还集成了新的Credit2调度程序,该调度程序专门提高了对延迟敏感的工作负载的性能,包括声音和视频流,以及可扩展性和可预测性。总体而言,Kurth表示Xen 4.12展示了云和安全以及新兴嵌入式和安全关键细分市场的创新组合。

展望未来,Kurth表示,从现在看来,Xen 4.13将具有强大的嵌入式和安全性主题。

“这已经促使我们看看项目如何开发代码,因为与传统的开源开发相比,启用安全认证的需求略有不同,”他说。

Kurth补充说,就在上周,Xen项目举办了一次仅限受邀者参加的汽车峰会,汇集了核心社区,安全认证专家和致力于基于Xen的产品的供应商,以寻找降低构建安全认证产品所需成本和工作量的方法在Xen上。在会议上,建立了推动社区工作方式变革的机制。

“随着这些细分市场的增长,我们可能会发现Xen在许多不同的细分市场中被广泛使用,使得Xen项目成为最灵活,最广泛使用的开源虚拟机管理程序,”他说。

郑重声明:本文版权归原作者所有,转载文章仅为传播更多信息之目的,如作者信息标记有误,请第一时间联系我们修改或删除,多谢。