[论文解读] Pouring Cloud Virtualization Security Inside Out

Yasir Shoaib, Olivia Das|arXiv (Cornell University)|Nov 14, 2014

Cloud Data Security Solutions参考文献 22被引用 5

一句话总结

本文全面综述了云计算环境中虚拟机（VM）安全威胁，分析了如虚拟机逃逸、虚拟机跳跃、侧信道泄漏以及基于虚拟机的根kit（VMBRs）等攻击。提出了针对云环境的虚拟机威胁分类，并评估了虚拟机内省、镜像扫描和检测技术等对策，强调了攻击者与防御者在保护虚拟化环境方面持续存在的对抗动态。

ABSTRACT

In this article, virtualization security concerns in the cloud computing domain are reviewed. The focus is toward virtual machine (VM) security where attacks and vulnerabilities such as VM escape, VM hopping, cross-VM side-channel, VM-based rootkits (VMBRs), VM mobility, and VM remote are mentioned and discussed according to their relevance in the clouds. For each attack we outline how they affect the security of cloud systems. Countermeasures and security measures to detect or prevent them through techniques such as VM detection, GuardHype, VM introspection, VM image scanning, etc. are also discussed. Through the surveyed work we present a classification of VM threats within the clouds. Finally, we include our observations and those of other researchers on this matter of cloud virtualization security.

研究动机与目标

• 分析并分类云计算环境中特有的虚拟机（VM）安全威胁。
• 研究基于虚拟机的攻击（如虚拟机逃逸、虚拟机跳跃和跨虚拟机侧信道攻击）在云部署中的相关性和影响。
• 评估现有检测与防护机制（如虚拟机内省、GuardHype和虚拟机镜像扫描）在缓解虚拟机级别威胁方面的有效性。
• 基于调研文献，提出云虚拟化中虚拟机威胁的结构化分类。
• 突出攻击者与防御者在保护虚拟化云系统过程中不断演变的对抗关系。

提出的方法

• 通过调研虚拟化与云安全领域的现有文献，识别反复出现的虚拟机攻击向量。
• 根据攻击面对虚拟机威胁进行分类，包括虚拟机逃逸、虚拟机跳跃、侧信道泄漏和虚拟机迁移。
• 分析检测与防御机制，如虚拟机内省、虚拟机镜像扫描和虚拟机检测技术。
• 评估GuardHype等对策在缓解基于虚拟机的根kit（VMBRs）方面的有效性。
• 映射攻击与防御技术，展示攻击者与安全研究人员之间持续的“猫鼠游戏”动态。
• 综合Rutkowska、King和Ristenpart等研究者的见解，识别趋势与未来研究方向。

实验结果

研究问题

• RQ1 在云计算环境中，最严重的虚拟机（VM）安全威胁是什么？
• RQ2 基于虚拟机的攻击（如虚拟机逃逸、虚拟机跳跃和跨虚拟机侧信道攻击）如何破坏云系统的完整性？
• RQ3 基于虚拟机镜像的攻击在不同虚拟机状态（如运行实例与已保存镜像）下持续存在的程度如何？
• RQ4 当前对策（如虚拟机内省、镜像扫描和检测技术）在预防或检测基于虚拟机的攻击方面有多有效？
• RQ5 在虚拟机安全方面，公共云、私有云和混合云部署的威胁特征有何关键差异？

主要发现

• 虚拟机逃逸和虚拟机跳跃攻击表明，虚拟化隔离屏障本质上是脆弱的，可被绕过，对云隔离构成直接威胁。
• 跨虚拟机侧信道攻击利用共享物理资源泄露敏感信息，表明即使逻辑隔离也不足，必须辅以适当的资源控制。
• 基于虚拟机的根kit（VMBRs）是一种复杂威胁，可跨虚拟机状态持续存在，并通过隐蔽行为和自保护机制规避检测。
• 虚拟机镜像攻击仍构成重大风险，因为虚拟机镜像中的漏洞可传播至多个衍生的虚拟机实例，从而扩大攻击面。
• 虚拟机内省和镜像扫描等对策在检测恶意活动方面有效，但需集成到云管理堆栈中才能实际应用。
• 云虚拟化安全领域呈现出攻击者与防御者之间持续的对抗循环，每一次攻击创新都会引发相应的防御机制应对。