系統(tǒng)內(nèi)部虛擬機(jī)的異常檢測(cè)方法，其特征在于， 所述虛擬機(jī)的狀態(tài)屬性值項(xiàng)，包括虛擬機(jī)的CPU利用率、GPU的利用率、I/0等待時(shí)間和 內(nèi)存利用率，W及他們隨時(shí)間的動(dòng)態(tài)變化情況； 虛擬機(jī)處在第一狀態(tài)到第四狀態(tài)中任意一種狀態(tài)時(shí)屬于正常狀態(tài)，處在第五狀態(tài)或第 六狀態(tài)時(shí)屬于異常狀態(tài)，其中： 第一狀態(tài)時(shí)，虛擬機(jī)的CPU、GPU和內(nèi)存的利用率低于30%，具有比正常I/O等待時(shí)間短 的第一 I/O等待時(shí)間. 第二狀態(tài)時(shí)，虛擬機(jī)的CPU、GPU和內(nèi)存的利用率有一種或多種高于30%但低于50%，其 余低于30%，并具有處于正常I/O等待時(shí)間的第二I/O等待時(shí)間； 第S狀態(tài)時(shí)，虛擬機(jī)的CPU、GPU和內(nèi)存的利用率有一種或多種高于50%但低于80%，其 余低于50%，并具有第二I/O等待時(shí)間； 第四狀態(tài)時(shí)，虛擬機(jī)的CPU、GPU和內(nèi)存的利用率有一種高于80%但低于90%，其余低于 80%，且變化正常，并具有比正常I/O等待時(shí)間長(zhǎng)的第SI/0等待時(shí)間； 第五狀態(tài)時(shí)，虛擬機(jī)的CPU、GPU和內(nèi)存的利用率有一種或多種高于80%但低于90%，其 余低于80%，且變化異常，并具有第= 1/0等待時(shí)間或具有比第= 1/0等待時(shí)間長(zhǎng)的第四I/O 等待時(shí)間； 第六狀態(tài)時(shí)，虛擬機(jī)的CPU、GPU和內(nèi)存的利用率有一種或多種高于90%，其余低于 80%，且變化異常，并具有第四I/O等待時(shí)間。4. 如權(quán)利要求2或3所述云系統(tǒng)內(nèi)部虛擬機(jī)的異常檢測(cè)方法，其特征在于， 所述隱半馬爾可夫模型用^={5,31，4,8少}來(lái)表示，其各個(gè)參數(shù)定義如下： S為模型狀態(tài)集合，S = {Si，S2，…，sg}，其中sg( 1 < g < G)表示隱馬爾可夫模型在第t個(gè)時(shí) 刻可能所處的狀態(tài)，G為模型狀態(tài)的總個(gè)數(shù)； ^為初始狀態(tài)概率矩陣，31={而}，而=口1'[91 = 38]，1非含6，其中1：8相=1爪表示隱馬爾 可夫模型在第1個(gè)時(shí)刻處于狀態(tài)Sg的概率； A 為狀態(tài)轉(zhuǎn)移概率矩陣,A = {agi} ,agi = Pr [qt+1 = Si|qt = Sg],l <g,i <G,其中 2 Wgi = 1, qt表示隱馬爾可夫模型在第t個(gè)時(shí)刻所處的狀態(tài)，agi表示隱馬爾可夫模型在第t個(gè)時(shí)刻從狀 態(tài)Sg跳轉(zhuǎn)到狀態(tài)Si的概率； B 為觀(guān)測(cè)值概率矩陣，B= Ibg(Vk)}，bg(vk) =Pr[0t = Vk Iqt = Sg]，1 非非，1 非 < G，其中 Ot表示隱馬爾可夫模型在第t個(gè)時(shí)刻的觀(guān)測(cè)量，bg(Vk)表示當(dāng)隱馬爾可夫模型在第t個(gè)時(shí)刻 處于狀態(tài)Sg下，觀(guān)巧慢Ot = Vk的概率； P為狀態(tài)持續(xù)概率矩陣，P= {pg(d); 1 < d 卽，1 < g < G}，pg(d)=P;r[Tt = d| Qt = Sg]表示 模型在第t個(gè)時(shí)刻處于狀態(tài)Sg,且還將在狀態(tài)Sg下持續(xù)d個(gè)時(shí)刻的概率，其中D表示狀態(tài)持續(xù) 的最大時(shí)間。5. 如權(quán)利要求4所述云系統(tǒng)內(nèi)部虛擬機(jī)的異常檢測(cè)方法，其特征在于， 通過(guò)虛擬機(jī)在正常狀態(tài)下的狀態(tài)屬性值項(xiàng)的觀(guān)測(cè)序列，來(lái)訓(xùn)練隱半馬爾可夫模型化MM 的過(guò)程，包括： 51、 計(jì)算出每個(gè)虛擬機(jī)的狀態(tài)信息觀(guān)測(cè)序列〇("仙卽)的前向變量沈它表示 虛擬機(jī)在前t個(gè)觀(guān)測(cè)量of到達(dá)虛擬機(jī)狀態(tài)信息捜集模塊時(shí)，虛擬機(jī)在狀態(tài)Sg持續(xù)停留d個(gè)時(shí) 刻的概率，其中1含t含V前向變量的定義式為： (巧，d)二與[(〇{)內(nèi)，(恥,Tf)二（?, 6〇] (1) 其中，H為虛擬機(jī)狀態(tài)觀(guān)測(cè)值序列的總個(gè)數(shù)，T^3相應(yīng)觀(guān)測(cè)序列的長(zhǎng)度； 52、 分別計(jì)算出每個(gè)正常虛擬機(jī)的觀(guān)測(cè)序列相對(duì)于化MM的或然對(duì)數(shù)概率扣，1含h含H，在 線(xiàn)虛擬機(jī)的或然對(duì)數(shù)概率，W及所有正常虛擬機(jī)的觀(guān)測(cè)序列相對(duì)于化MM的或然對(duì)數(shù)概 率Ph,運(yùn)里的扣即為正常虛擬機(jī)的或然對(duì)數(shù)概率值構(gòu)成的初始或然對(duì)數(shù)概率分布：53、 分別計(jì)算出正常虛擬機(jī)的初始或然對(duì)數(shù)概率分布扣的平均值ii和標(biāo)準(zhǔn)差0:巧） 拘 54、 求出每個(gè)虛擬機(jī)觀(guān)測(cè)序列〇W(i卽鄒)的后向變量(巧,的，它表示虛擬機(jī)的第 t個(gè)觀(guān)測(cè)量Oit到達(dá)虛擬機(jī)狀態(tài)信息捜集模塊時(shí)，虛擬機(jī)在狀態(tài)Sg持續(xù)停留d個(gè)時(shí)刻的情況 下，產(chǎn)生的概率，后向變量的定義式： Pt(h)(g，d)二 P,-[(0?;i)J(qt，Tt)二（SgiCi)] 口） 55、 根據(jù)前向變量巧，d)和后向變量爲(wèi)切,過(guò))，分別求出狀態(tài)跳轉(zhuǎn)聯(lián)合概率 0、狀態(tài)持續(xù)聯(lián)合槪率Cg, ￡〇、狀態(tài)和觀(guān)測(cè)值聯(lián)合概率W:56、 給 HsMM 的模型參數(shù)賦初值，令 agi=l/(G-l)，?=l/G，pg(d) = l/D，bg(vk) = l/(G-l)，另外令狀態(tài)自跳轉(zhuǎn)概率agg=0，然后根據(jù)下式進(jìn)行模型參數(shù)的更新；當(dāng)ot=vk時(shí)，S(ot-Vk) = 1，否則S (Ot-Vk) =0;57、 判斷第S2項(xiàng)中求到的扣是否趨向于一個(gè)穩(wěn)定的值： 若是，則得到化MM的模型參數(shù)集A,模型訓(xùn)練結(jié)束;若否，重復(fù)W上第SI項(xiàng)到第S6項(xiàng)的過(guò) 程。6. 如權(quán)利要求5所述云系統(tǒng)內(nèi)部虛擬機(jī)的異常檢測(cè)方法，其特征在于， 通過(guò)簡(jiǎn)化的馬氏距離來(lái)衡量正常虛擬機(jī)的初始或然對(duì)數(shù)概率分布和云系統(tǒng)中在線(xiàn)虛 擬機(jī)的或然對(duì)數(shù)概率之間的距離，簡(jiǎn)化的馬氏距離為：(15) 其中，d的取值反映了云系統(tǒng)中虛擬機(jī)在線(xiàn)狀態(tài)行為的異常程度;定義代表虛擬機(jī)正常 行為的預(yù)設(shè)口限值Q，當(dāng)cK Q時(shí)，判斷虛擬機(jī)的狀態(tài)行為是正常的；當(dāng)d〉Q時(shí)，判斷該虛擬機(jī) 的狀態(tài)行為異常，即可能出現(xiàn)病毒或遭受外部攻擊。7. 如權(quán)利要求6所述云系統(tǒng)內(nèi)部虛擬機(jī)的異常檢測(cè)方法，其特征在于， 檢測(cè)出行為異常的虛擬機(jī)后，啟動(dòng)云系統(tǒng)中異常檢測(cè)和處理系統(tǒng)進(jìn)行異常檢測(cè)，根據(jù) 對(duì)第i個(gè)行為異常的虛擬機(jī)內(nèi)部病毒檢測(cè)結(jié)果和外部攻擊檢測(cè)結(jié)果進(jìn)行評(píng)估，得出該虛擬 機(jī)行為異常的嚴(yán)重程度指數(shù)Ei，Ei = P1+P2; 其中，Pi是反映異常虛擬機(jī)內(nèi)部病毒可處理的指標(biāo)，如果異常虛擬機(jī)內(nèi)部病毒可處理， Pi取值O;如果異常虛擬機(jī)內(nèi)部病毒不可處理Pi取值1; P2是反映異常虛擬機(jī)外部攻擊可處理的指標(biāo)，如果異常虛擬機(jī)外部攻擊可處理，P2取值 O;如果異常虛擬機(jī)外部攻擊不可處理，P2取值1; 若虛擬機(jī)行為異常的嚴(yán)重程度指數(shù)EKEmax= 1，則消除異常后給行為異常的虛擬機(jī)的云 租戶(hù)發(fā)警告提示;若虛擬機(jī)行為異常的嚴(yán)重程度指數(shù)Ei ^ Emax=I,則給行為異常的虛擬機(jī) 的云租戶(hù)發(fā)報(bào)警并關(guān)閉該虛擬機(jī)。
【專(zhuān)利摘要】本發(fā)明涉及一種云系統(tǒng)內(nèi)部虛擬機(jī)的異常檢測(cè)方法，通過(guò)搜集云系統(tǒng)中正常虛擬機(jī)的狀態(tài)信息來(lái)訓(xùn)練隱半馬爾可夫模型HsMM，并設(shè)計(jì)相應(yīng)算法來(lái)檢測(cè)并計(jì)算云系統(tǒng)中各虛擬機(jī)在線(xiàn)時(shí)資源動(dòng)態(tài)變化行為的或然概率和馬氏距離。若對(duì)某一虛擬機(jī)在線(xiàn)檢測(cè)結(jié)果的馬氏距離大于預(yù)設(shè)門(mén)限值，說(shuō)明該虛擬機(jī)的活動(dòng)情況異常，則啟動(dòng)云系統(tǒng)內(nèi)部的異常檢測(cè)和處理系統(tǒng)對(duì)該虛擬機(jī)進(jìn)行異常檢測(cè)和處理。若檢測(cè)到某虛擬機(jī)的異常率小于異常檢測(cè)和處理的最大門(mén)限值時(shí)，消除異常后向該虛擬的云租戶(hù)發(fā)警告提示；否則，向該虛擬機(jī)的云租戶(hù)報(bào)警并關(guān)閉該虛擬機(jī)。本發(fā)明能實(shí)時(shí)檢測(cè)云系統(tǒng)內(nèi)部虛擬機(jī)的異常行為，占用系統(tǒng)資源少，能充分保證云系統(tǒng)內(nèi)部虛擬機(jī)的高可用性和安全性。
【IPC分類(lèi)】G06F9/455, G06F11/30, H04L29/08
【公開(kāi)號(hào)】CN105511944
【申請(qǐng)?zhí)枴緾N201610008093
【發(fā)明人】韓德志, 畢坤, 謝柏林, 王軍, 黃利利, 陳付梅
【申請(qǐng)人】上海海事大學(xué)
【公開(kāi)日】2016年4月20日
【申請(qǐng)日】2016年1月7日