大型虚拟化系统性能隔离强化机制研究

With the development of processor and memory technologies, the number of cores in a chip is increasing while the capacity of memory is also increasing. When the large-scale virtual machines or light-weight virtual machines are deployed on a physical machine with many-core processors and large memory, the problem of performance isolation becomes increasingly prominent, which is incurred by resources sharing in the virtualized system. In this project, the enforced isolation mechanism in the virtual machine monitor will be proposed for processors and memory, in order to solve the performance isolation problem at the low level of virtualization. Considering the characteristics of multi-tenant applications in clouds, the performance isolation at the level of cloud applications is further studied, in order to enforce performance isolation between multi-tenant applications. To monitor and evaluate the status of virtual machines, and further determine whether this is malicious interference in the system, an online measurement mechanism will be proposed. With active isolation enforcement mechanism and continuous status monitoring mechanism, the issue of performance interference in virtualization will be solved, in order to apply the large-scale virtualization and light-weight virtualization to cloud computing with high efficiency.

随着处理器技术、存储技术的不断发展，处理器芯片上核数在不断增加、 内存容量亦在不断增大。针对硬件朝着众核处理器和大内存方向发展、虚拟化技术向大型化和轻量化方向发展，虚拟化自带的性能干扰问题日益突显。因此，本项目针对大型虚拟机系统及容器技术，在虚拟机监控器层研究CPU与内存等虚拟化隔离强化机制，解决虚拟化系统底层的性能隔离问题；针对云计算平台多租户应用，研究虚拟化平台应用层的性能隔离问题，实现云平台中多租户的性能隔离强化机制；并通过虚拟化系统运行状态度量机制评估虚拟机状态以及是否存在恶意性能干扰情况。通过主动的隔离强化机制和持续的状态监控机制，有效解决日益突显的虚拟化性能干扰问题，推动大型虚拟化和轻量级虚拟化技术在云计算平台中发展与应用。

随着处理器技术、存储技术的不断发展，处理器芯片上核数在不断增加、内存容量亦在不断增大。本项目研究众核处理器虚拟化系统隔离强化模型，虚拟化系统底层在处理器调度和内存分配上的强化隔离机制，结合云平台中虚拟化底层系统的分组度量机制，以及多/众核处理器中的Cache攻击防范机制等。本项目针对虚拟化系统隔离强化机制，提出并研制一系列关键技术，解决虚拟化系统性能隔离、及进一步虚拟化系统安全等未决问题，有效推动虚拟化安全加强机制在云计算平台中发展和应用。其中，设计和实现了一个面向Hypervisor代码完整性的分布式检测机制，即Outlier，其由一组具有相同Hypervisor的主机构成的检测集群完成。Outlier首先在检测集群中构建完整性检测的信任基础，然后对每台主机上的Hypervisor代码进行完整性度量。通过比较每台主机上的度量结果，Outlier可以根据其中存在的差异来发现攻击者对Hypervisor代码完整性的破坏，通过分组具备良好的可扩展性，适用于大规模云平台部署。其次，云平台多租户中恶意租户可以利用共享的处理器发起Cache攻击，绕过系统提供的隔离机制，窃取其他租户的隐私数据，造成信息泄露。为了应对Cache攻击，从硬件事件和软件指令两个角度设计并实现了检测机制CBA­Detector。本项目研究成果对于云平台虚拟化系统安全强化具有指导意义，将进一步结合实际需求后续进行技术落地研究。