虚拟机去虚拟化及检测技术攻防
深信服虚拟化 Web 应用防火墙云 WAF 用户手册说明书
深信服虚拟化Web应用防火墙云WAF 用户手册产品版本8.0.28文档版本 01发布日期2021-03-12深信服科技股份有限公司版权所有©深信服科技股份有限公司 2020。
保留一切权利。
除非深信服科技股份有限公司（以下简称“深信服公司”）另行声明或授权，否则本文件及本文件的相关内容所包含或涉及的文字、图像、图片、照片、音频、视频、图表、色彩、版面设计等的所有知识产权（包括但不限于版权、商标权、专利权、商业秘密等）及相关权利，均归深信服公司或其关联公司所有。
未经深信服公司书面许可，任何人不得擅自对本文件及其内容进行使用（包括但不限于复制、转载、摘编、修改、或以其他方式展示、传播等）。
注意您购买的产品、服务或特性等应受深信服科技股份有限公司商业合同和条款的约束，本文档中描述的全部或部分产品、服务或特性可能不在您的购买或使用范围之内。
除非合同另有约定，深信服科技股份有限公司对本文档内容不做任何明示或默示的声明或保证。
由于产品版本升级或其他原因，本文档内容会不定期进行更新。
除非另有约定，本文档仅作为使用指导，本文档中的所有陈述、信息和建议不构成任何明示或暗示的担保。
前言关于本文档本文档针对深信服虚拟化Web应用防火墙产品，介绍了云WAF的架构、特性、安装和运维管理。
产品版本本文档以下列产品版本为基准写作。
后续版本有配置内容变更时，本文档随之更新发布。
读者对象本手册建议适用于以下对象：⚫网络设计工程师⚫运维人员符号约定在本文中可能出现下列标志，它们所代表的含义如下。
在本文中会出现图形界面格式，它们所代表的含义如下。
修订记录修订记录累积了每次文档更新的说明。
最新版本的文档包含以前所有文档版本的更新内容。
资料获取您可以通过深信服官方网站获取产品的最新资讯：获取安装/配置资料、软件版本及升级包、常用工具地址如下：深信服科技深信服技术服务技术支持用户支持邮箱：*******************.cn技术支持热线电话：400-630-6430（手机、固话均可拨打）深信服科技服务商及服务有效期查询：https:///plugin.php?id=service:query意见反馈如果您在使用过程中发现任何产品资料的问题，可以通过以下方式联系我们。
虚拟桌面及其关键技术分析
虚拟桌面及其关键技术分析1前言虚拟桌面是典型的云计算应用，它能够在“云”中为用户提供远程的计算机桌面服务。
服务提供者在数据中心服务器上运行用户所需的操作系统和应用软件，然后用桌面显示协议将操作系统桌面视图以图像的方式传送到用户端设备上。
同时，服务器对用户端的输入进行处理，并随时更新桌面视图的内容。
虚拟桌面的应用具有很多优势。
例如它能够提供随时随地访问的能力，支持多样化的接入设备选择，降低软硬件的管理和维护成本，强化用户的数据安全等，这使得虚拟桌面具有广阔的应用前景。
2主流虚拟桌面解决方案用户对于类似虚拟桌面的体验并不陌生，其前身可以追溯到Microsoft在其操作系统产品中提供的终端服务和远程桌面,但是它们在实际应用中存在着不足。
例如之前的终端服务只能够对应用进行操作，而远程桌面则不支持桌面的共享。
虚拟化技术的发展使虚拟桌面获得了长足的发展，当前虚拟桌面解决方案主要分为VDI（Virtual Desktop Infrastructure）和SBC（Server-Based Computing）两大类。
基于VDI的虚拟桌面解决方案的原理是在服务器侧为每个用户准备其专用的虚拟机并在其中部署用户所需的操作系统和各种应用，然后通过桌面显示协议将完整的虚拟机桌面交付给远程的用户，因此，这类解决方案的基础是服务器虚拟化。
服务器虚拟化主要有完全虚拟化和部分虚拟化两种方法：完全虚拟化能够为虚拟机中的操作系统提供一个与物理硬件完全相同的虚拟硬件环境；部分虚拟化则需要在修改操作系统后再将其部署进虚拟机中。
两种方法相比，部分虚拟化通常具有更好的性能，但是它对虚拟机中操作系统的修改增加了开发难度并影响操作系统兼容性，特别是Windows系列操作系统是当前用户使用最为普遍的桌面操作系统，而其闭源特性导致它很难部署在基于部分虚拟化技术的虚拟机中。
因此，基于VDI的虚拟桌面解决方案通常采用完全虚拟化技术构建用户专属的虚拟机，并在其上部署桌面版Windows用于提供服务，但也有部分方案对Linux桌面提供支持。
基于虚拟化技术的网络安全解决方案
基于虚拟化技术的网络安全解决方案随着互联网的快速发展，网络安全问题变得日益紧迫和复杂。
为了保护网络免受各种威胁，基于虚拟化技术的网络安全解决方案应运而生。
虚拟化技术通过在硬件层面上划分多个虚拟环境，提供了一种安全且高效的网络保护方案。
本文将就基于虚拟化技术的网络安全解决方案进行探讨。
一、虚拟化技术在网络安全中的应用虚拟化技术在网络安全中扮演了重要的角色。
首先，虚拟化技术可以将网络资源进行逻辑上的划分，形成多个虚拟环境。
这种资源的隔离和划分可以有效地防止网络攻击者入侵其他虚拟环境。
其次，虚拟化技术可以提供网络流量的监控和管理功能，从而实现对网络中的异常行为的检测和阻止。
最后，虚拟化技术还可以为网络中的各个节点提供安全服务，例如虚拟防火墙、虚拟入侵检测系统等。
二、虚拟防火墙的使用虚拟防火墙是一种在虚拟环境中运行的防火墙，可以监控和过滤网络流量。
其运行原理是基于虚拟化技术将防火墙功能嵌入到虚拟机中，实现对网络流量的控制。
虚拟防火墙可以通过定义访问控制规则来限制特定虚拟机之间的通信，并且可以监测和阻止来自外部网络的恶意流量。
虚拟防火墙能够方便地进行配置和管理，并且具有较高的灵活性和可扩展性。
三、虚拟入侵检测系统的应用虚拟入侵检测系统是一种用于监测和阻止网络攻击的安全工具。
虚拟入侵检测系统通过对网络流量进行实时分析，识别潜在的威胁，并采取相应的防御措施。
在虚拟化环境中，虚拟入侵检测系统可以轻松地在多个虚拟机之间进行部署，并实现网络流量的集中监测和管理。
虚拟入侵检测系统可以通过检测传输的数据包和网络流量中的异常行为，捕获和识别可能的网络攻击，为网络管理员提供及时的警报和响应机制。
四、虚拟加密技术的应用虚拟加密技术是一种在虚拟环境中对数据进行加密保护的技术。
虚拟加密技术通过在文件系统、网络传输和存储等层面上进行加密，保护数据的机密性和完整性。
虚拟加密技术可以为虚拟机中的敏感数据提供高级的保护，对于数据的传输和存储都具有良好的安全性。
虚拟化平台安全问题分析及优化
虚拟化平台安全问题分析及优化作者：黎佳来源：《计算机与网络》2020年第18期当前虚拟化平台处于快速发展中，但同时安全问题也同步上升，成为网络安全领域亟待解决的关键问题。
主流虚拟化平台虽然具有多方面的优势，但只有不断提高安全性，才能保证云计算的发展。
对于虚拟化平台的安全问题，原有的安全解决方案难以实现，主流虚拟化平台，要明确当前所面临的各种安全风险，结合安全漏洞类型提出相关应对措施。
云计算改变了网络服务模式，在云计算条件下，用户对于数据的处理不再依赖硬件资源，而是借助服务器实现集中计算，不同用户可以处于隔离条件下，拥有安全、可信的服务环境。
虚拟化技术是当前云计算发展的主要方向之一，其架构形式如图1所示。
随着技术的普及，虚拟化平台的安全问题也更加突出，其危害程度与影响范围远高于传统模式下的单机。
分析主流虚拟化平台存在的安全问题并采取优势措施，有利于为云计算的稳定发展创造条件。
流虚拟化平台的安全问题分类虚拟化平台引发的安全风险虚拟化平台存在的安全风险，是由于自身有难以避免的安全漏洞存在。
不法分子出于利益原因利用平台漏洞，借助虚拟化网络对平台的接口展开攻击，导致虚拟化平台上的用户信息发生泄露。
由于我国技术的局限性，平台的核心技术大多源于国外的内核，虚拟化平台的基础被国外的少数厂商垄断，导致虚拟化平台在构建时可控性差，难以有效部署安全措施，难以判别引入的平台技术是否被厂商留有控制“后门”，可信度难以保证。
在虚拟化平台上，不同虚拟主机的资源共享或数据交换需要通过虚拟资源池，因此资源存在被恶意抢占的风险，难以保证安全利用，平台的服务会伴随风险。
虚拟化网络存在的安全风险虚拟化的网络结构不同于传统的网络，原有的防护模式难以应对风险。
在云计算下，资源池内存在大量的虚拟化资源，可以结合数据的需要对资源加以调配。
在这种模式下，原有的安全防护方式不能保证虚拟化平台的安全，难以应对恶意代码的攻击以及协议审计等安全威胁。
在虚拟化条件下，为了有效调整负载，虚拟化平台采用了动态漂移技术，这导致传統的虚拟化主机位置有了变化，边界防护策略也要改变。
学习虚拟化技术的基本知识和技能
学习虚拟化技术的基本知识和技能第一章虚拟化技术的概述虚拟化技术是一种将计算机资源进行抽象化，从而能够在物理资源之上创建多个逻辑资源的技术。
本章将介绍虚拟化技术的基本概念、分类以及应用领域。
1.1 虚拟化技术的定义及特点虚拟化技术是一种将计算机资源进行逻辑上的划分和管理的方法。
它能够将一个物理主机划分为多个虚拟机，每个虚拟机都具有独立的操作系统、应用程序和资源管理器。
虚拟化技术的特点包括提高资源利用率、提高系统可靠性和灵活性。
1.2 虚拟化技术的分类虚拟化技术可分为三个主要类别：服务器虚拟化、存储虚拟化和网络虚拟化。
服务器虚拟化可以将一台物理服务器划分为多个虚拟机；存储虚拟化可以将多个存储设备组织为一个逻辑单元；网络虚拟化则允许将网络资源进行逻辑上的划分和管理。
1.3 虚拟化技术的应用领域虚拟化技术已广泛应用于云计算、数据中心、服务器管理等领域。
通过虚拟化技术，可以实现资源的即时供应和弹性扩容，提高系统的稳定性和可靠性。
此外，虚拟化技术还可以简化系统管理和维护工作。
第二章虚拟化技术的核心原理了解虚拟化技术的核心原理对于掌握该技术的使用和优化至关重要。
本章将介绍虚拟化技术的核心原理，包括虚拟机监控器、虚拟机管理器、虚拟化层等。
2.1 虚拟机监控器虚拟机监控器是虚拟化技术的核心组件之一，它负责管理和监控虚拟机的运行。
虚拟机监控器可以将物理资源映射到虚拟机上，并且提供虚拟机的资源调度和管理功能。
2.2 虚拟机管理器虚拟机管理器是用于创建、配置和管理虚拟机的软件工具。
它可以在物理服务器上创建多个虚拟机，并为每个虚拟机分配适当的资源。
2.3 虚拟化层虚拟化层是虚拟化技术的核心组件之一，它负责将物理资源抽象化为逻辑资源。
虚拟化层可以对硬件进行模拟和仿真，使得虚拟机可以在不同的硬件平台上运行。
第三章常见的虚拟化技术虚拟化技术有多种不同的实现方式和工具，本章将介绍几种常见的虚拟化技术，包括全虚拟化、半虚拟化、容器化等。
服务器虚拟化安全风险及其对策研究
服务器的虚拟化技术是近年来一项新兴技术,目前该技术已经被认为能够用于帮助用户解决在用户使用服务器中出现的很多问题,进而能够为用户带来很多便利,比如能够实现服务器和硬件整合,从一定程度上提升成本利用率,通过构建虚拟服务器环境,能够防止硬件出现兼容性问题。
通过现存标准镜像启用服务器,能够确保在短时间内快速恢复运营业务。
但利用虚拟化技术不仅能够为客户带来利益,同时也会威胁用户的数据安全,因此对架构安全和数据安全提出了更高要求。
在本研究中深入探讨服务器虚拟化安全问题具有十分重要的现实意义。
1服务器虚拟化安全问题没有高度重视新兴技术引发的安全问题。
目前对于使用用户来说,比较关注的是热门技术和相应的安全问题,比如虚拟化设施和虚拟服务器所引发的安全性问题。
Gartner的管理者曾说,对于60%的虚拟机其安全性低于物理服务器,服务器的虚拟化是近年来一种新兴技术,其安全性还没有引起高度重视,用户在测试服务器部署以及设计过程中,针对虚拟安全性问题考虑比较片面,而且由于该技术发展时间较短,或者随意考虑,仍采用传统安全管理办法。
由于物理服务器采用的传统安全策略与虚拟服务器会存在较大差异,因此针对这一方面还需要引起高度重视。
为引进新兴技术而忽视安全问题,当前服务器虚拟化发展速度与其技术应用水平存在矛盾,如果虚拟化团队没有与安全管理专家共同规划虚拟化,则会导致虚拟机数量的拓展,并在虚拟机中运行大型应用,这种情况下存在较大的危险性。
由于在新兴技术发展过程中,团队没有足够的时间精力顾及虚拟化安全性问题,任何新技术都伴随安全性问题。
对于数据中心来说虚拟化是一种技术革命,目前所研发的每种技术都或多或少存在缺陷,并且恶意攻击者也会攻击虚拟化环境或者盗取重要数据,这对于服务器虚拟技术来说会爆发很多问题,但这些问题常会由于急需配置而被用户所忽略。
因此,深入探讨虚拟部署过程中伴随的安全风险问题,并采取有效的防范措施具有十分重要的意义。
2服务器虚拟化产生的安全风险问题2.1改变网络架构引起的服务器安全风险在服务器虚拟过程中影响最大的是改变网络架构,架构变化会产生相应的安全风险。
基于虚拟化技术的网络攻防平台设计
基于虚拟化技术的网络攻防平台设计作者：邹有邱成吴青来源：《电脑知识与技术》2013年第21期摘要：随着因特网的飞速发展，网络安全问题已成为关乎国家安全与稳定的重大问题。
为了研究网络攻防武器，需要一个既能代表真实网络主机对战的环境又能快速完成网络部署的攻防平台。
使用仿真软件将使实验脱离真实网络环境，直接使用物理设备搭建平台则面临着开销大、管理难等问题。
该文使用虚拟化技术设计网络攻防平台，将有限的物理资源进行整合，模拟出一个易于扩展和可自动化配置的实验环境，实现硬件资源部署自动化、虚拟资源管理自动化、实验网络构建自动化，具有较大的实用价值。
关键词：虚拟化；网络安全；网络攻防中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2013）21-4827-05网络已经成为现代信息社会必不可少的部分，社会对网络的依赖，一方面促进了网络技术的发展，另一方面也带来许多安全问题。
据统计，2011年全国每天平均有超过853万台计算机受到病毒或木马攻击，占每天开机联网计算机总数的5.7% [1]。
近期美国的“棱镜门”事件，更是将网络安全问题推到风口浪尖上，国家之间的信息化战愈演愈烈，我国的信息安全也处于十分危险的地步。
为应对网络安全以及信息化战争的攻击，许多国家都开始建立网络武器训练场——“靶场”。
2008年美国防高级研究计划局发布关于展开“国家网络靶场”（National Cyber Range Program）项目研发工作的公告[2]；2010年诺·格公司在英国的首个商用联合赛博试验靶场法汉姆（Fareham）工厂正式成立[3]。
“靶场”被用来模拟大型的复杂网络，并在安全可控的试验环境下进行基础设施生存能力和可靠性方面的试验评估。
我国开展网络战研究已有20年的历程，但由于经费投入和技术水平有限，网络战研究需要的条件还不完善。
当前国内用来模拟网络对战的方法主要有两种类型：一是通过OPNET、NS2等网络仿真软件来实现，另一种则是通过真实的物理主机来搭建实验网络环境[4]。
虚拟化防护技术在检察等涉密环境中的应用研究
虚拟化防护技术在检察等涉密环境中的应用研究尚珂全;刘浩【摘要】服务器虚拟化、虚拟桌面等虚拟化应用,因其高资源利用率、高扩展性等优势得到迅速推广应用.检察机关及各类密级要求较高的党委机关网因其涉密属性,依照现行的分级保护标准搭建了安全防护架构.虚拟化技术在涉密机关应用时,因其安全边界难以明确、管理责任无法界定等问题,与传统分级保护规则相悖,从而难以推广.针对检察等涉密环境的特点,可从虚拟化平台等三个方面尝试实施防护,使其符合分级保护本质精神,以期建立符合涉密信息系统要求的新安全架构模式.%Virtualization applications such as server and desktop,now expand rapidly for their high resource utilization and high scalability.Procuratorate and some governments,for their high requirement of security level,usually build up their own security protection architecture based on the current classified protection pared with traditional graded protection rules,the Virtualization is more difficult to promote in the classified organizations and units,for its unclear security boundary and inability to define management responsibility.For the nature of procuratorial classified environment,the protection may be implemented it from three aspects such as virtualizated platform,thus experting to build up a novel security architecture model that make it meet the requirement of classified information system.【期刊名称】《通信技术》【年(卷),期】2017(050)005【总页数】4页(P1084-1087)【关键词】虚拟化;防护;检察;涉密环境【作者】尚珂全;刘浩【作者单位】上海市人民检察院第三分院,上海201204;上海市人民检察院第三分院,上海201204【正文语种】中文【中图分类】TP311随着云计算、大数据应用的普及，虚拟化、虚拟桌面等应用以工作高效、运维简单等无与伦比的用户体验和优势，在各行业应用中呈爆发式增长，迅速替代了由传统服务器和PC支撑的物理桌面架构。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
在当今信息安全领域，特别是恶意软件分析中，经常需要利用到虚拟机技术，以
提高病毒分析过程的安全性以及硬件资源的节约性，因此它在恶意软件领域中是
应用 越来越来广泛。这里我们所谓的虚拟机（ ）是指通过软件模拟的具有完
整硬件系统功能的、运行在一个完全隔离环境中的完整计算 机系统。通过虚拟
机软件（比如， ），你可以在一台物理计算机上模拟出一台或多台虚拟的计
算机， 这些虚拟机完全就像真正的计算机那样进行工作，例如你可以安装操作
系统、安装应用程序、访问网络资源等等。攻击者为了提高恶意程序的隐蔽性以
及破坏真实主 机的成功率，他们都在恶意程序中加入检测虚拟机的代码，以判
断程序所处的运行环境。当发现程序处于虚拟机（特别是蜜罐系统）中时，它就
会改变操作行为或者 中断执行，以此提高反病毒人员分析恶意软件行为的难度。
本文主要针对基于 的虚拟环境中的 系统 进行检测分析，并列举出当前常
见的几种虚拟机检测方法。
方法一：通过执行特权指令来检测虚拟机
为真主机与虚拟机之间提供了相互沟通的通讯机制，它使用“”指
令来读取特定端口的数据以进行两机通讯，但由于指令属于特权指令，在 处于
保护模式下的真机上执行此指令时，除非权限允许，否则将会触发类型为“”的
异常，而在虚拟机中 并不会发生异常，在指定功能号（获取版本）的情况下，
它会在中返回其版本号“”；而当功能号为时，可用于获取 内存大小，当大于
时则说明处于虚拟机中。正是利用前一种方法来检测的存在，其检测代码分析如
下：
代码:
()
{ ; { {
, ''
, 将 设置为非幻数’’的其它值 , 指定功
能号，用于获取版本，当它为时用于 获取内存大
小 , '' 端口号 , 从
端口读取 版本到若上面指定功能号为时，可通过判断中的值是否大于，若是则
说明处于虚拟机 中 , '' 判断中是否包含版本’’，
若是则在虚拟机 中 [] 设置返回
值
} } () 如果未处于中，则触发此异
常 { ; } ;}
测试结果：
图
如图所示，成功检测出的存在。
方法二：利用基址检测虚拟机
利用基址检测虚拟机的方法是一种通用方式，对和 均适用。中断
描述符表 （ ）用于查找处理中断时所用的软件函数，它是一个由项组成的
数据，其中每一中断对应一 项函数。为了读取基址，我们需要通过指令来读取
（中断描述符表寄存器，用于在内存中的基址），指令是以如下格式来存 储的
内容：
代码:
{ ; 的大小 ; 的低位地
址 ; 的高位地址} ;
由于只存在一个，但又存在两个操作系统，即虚拟机系统和真主机
系统。为了防止发生冲突，（虚拟机监控器）必须更改虚拟机中的地址，利 用
真主机与虚拟机环境中执行指令的差异即可用于检测虚拟机是否存在。著名的
“红丸”（）正是利用此原理来检测的。 作者在上发现虚拟机系统上的地址通
常位于，而 通常位于， 而在真实主机上正如图所示都位于。仅仅是通过判断
执行指令后返回的第一字节是否大于，若是则说明它 处于虚拟机，否则处于真
实主机中。的源码甚是精简，源码分析如下：
代码:
<> () { [], [] "\ \\\\\\\"; 相当于[],其中用于保存
地址 * ((*)[]) (); 将[]中的设为的地 址 (((*)()))(); 执