一种迭代式快照系统的设计与实现

VSVM是一个提供了迭代式快照机制的逻辑卷管理系统。该快照机制针对于普通应用,允许快照逻辑卷正常读写,支持对任意快照逻辑卷(可能是经过多次快照迭代操作产生的逻辑卷)继续创建快照。快照的可迭代性确保了对快照数据的高效灵活的管理。VSVM在快照逻辑卷的数据映射上采用了直接映射的方式,使得快照迭代操作次数的增加并不影响其处理复杂度,并在设计方面理论上消除了对快照操作迭代次数的限制。论文实现了VSVM的迭代快照原型并给出了性能分析。试验结果表明系统具有较强的快照性能,单个系统可以支持上百个迭代式快照逻辑卷的并发密集读写,迭代快照适于普通应用使用。     

矿井火灾环境信息动态感知与应急隔离系统

火灾区域隔离是有效控制火灾发展和蔓延的主要方法,能够切断次生事故的反应链,缩小火灾影响范围。针对常用的火灾密闭隔离措施无法对密闭环境进行实时动态监测及预报的问题,设计了矿井火灾环境信息动态感知与应急隔离系统。在预先判定的危险区域布置监测节点,通过多参数传感器和红外摄像仪对多个测点的环境信息进行同步采集并传输至地面监控平台。当监测到异常数据时,系统报警并通过远程控制方式控制密闭隔离装置开启,实现密闭囊袋充填,囊袋通过预设滑轨传动系统从存储仓扩展至整个断面,实现应急密闭隔离。通过高精度压力传感器对囊袋内部气压进行实时监测,当囊袋内部压力低于安全范围下限时,启动囊袋自动补气装置,为囊袋补充气量;当内部压力达到设定范围上限时,自动停止充气,以提升密闭效果。现场试验结果表明,该系统实现了火灾环境参数实时采集和报警、密闭隔离装置远程控制等功能,密闭囊袋可在5min内完成开启,停止充气后,囊袋内部压力基本保持稳定,满足现场应用要求。     

保护你的信息资产

<正> 信息资产的极低复制成本将成为信息安全的最薄弱环节 与任何一个经济的快速增长时期相同,信息经济的快速发展也是以信息资源的重新发现和大规模重新分配开始的。之所以说是重新发现和重新分配,是因为在过去的工业甚至农业文明中,信息始终是存在和被利用的,但是远远没有将其提高到资产、资源的重要程度。科     

区块链环境下的个人数字资产保护探究

随着移动互联网信息技术、大数据技术、云计算技术以及人工智能技术等新型科学技术与新型技术工具相互渗透,直接影响了主流社会意识形态、主要经济行业领域发展形态、科学技术研究进步基本规律以及法律法规环境状态,产生了支持个人数字资产的要素。个人数字资产要素同时具备在线性特征、沉淀性特征、非消耗性特征、虚拟性特征以及共享性特征。由于现有法律保护制度体系尚未进入成熟完善阶段,个人数字资产要素的管理工作和保护工作急需强化。文章围绕区块链环境下的个人数字资产保护展开简要的阐释分析。     

可信终端动态运行环境的可信证据收集代理

可信计算的链式度量机制不容易扩展到终端所有应用程序,因而可信终端要始终保证其动态运行环境的可信仍然较为困难.为了提供可信终端动态运行环境客观、真实、全面的可信证据,设计并实现了一个基于可信平台模块(trusted platform model,简称TPM)的终端动态运行环境可信证据收集代理.该代理的主要功能是收集可信终端内存、进程、磁盘文件、网络端口、策略数据等关键对象的状态信息和操作信息.首先,通过扩展TPM信任传递过程及其度量功能保证该代理的静态可信,利用可信虚拟机监视器(trusted virtual machine monitor,简称TVMM)提供的隔离技术保证该代理动态可信;然后,利用TPM的加密和签名功能保证收集的证据的来源和传输可信;最后,在Windows平台中实现了一个可信证据收集代理原型,并以一个开放的局域网为实验环境来分析可信证据收集代理所获取的终端动态运行环境可信证据以及可信证据收集代理在该应用实例中的性能开销.该应用实例验证了该方案的可行性.     

基于容器的Web运行环境轻量级虚拟化方法

Web运行环境、Web服务及Web应用的虚拟化是减轻Web操作系统安全风险的一种有效方法,然而Web运行环境的虚拟化仍然存在不少挑战,如：执行时间、资源负载和兼容性等。为解决Web操作系统在安全性、执行时间、资源负载和兼容性方面的问题,提出了一种Web运行环境轻量级虚拟化方法,采用Docker容器技术实现进程级别的隔离。本虚拟化方法可在一个基本内核上支持运行多种Web运行环境的容器。此外,为了减轻容器创建负载,提出了容器启动机制;为减轻系统资源负载,进行了系统的轻量化处理。在嵌入式设备的实验结果表明,该虚拟化方法在执行时间、资源负载及兼容性方面都具有较优表现。     

基于不可信环境的移动位置隐私保护

近年来,随着移动计算和位置设备的发展,位置隐私保护受到学术界的广泛关注,人们提出很多匿名算法来保护用户的隐私信息。但是现有的方法要么不适用于移动环境,要么没有考虑现实不可信环境。针对这些问题提出了基于博弈论的动态规划匿名算法Dynamic_p。此方法是在已有的可解决不可信环境下的位置隐私保护Privacy₁[8]方法基础上提出的,通过将匿名组先组建成匿名树,然后从下到上,子节点与父节点博弈算出锚点。层层递归,最后算出整个匿名组的锚点。用户通过使用锚点代替实际位置来发起位置近邻查询,通过概率统计选出候选位置,最后通过位置计算算出最终的理想位置点。仿真实验表明,此方法在位置匿名方法上有更好的处理效率,并且能应用于移动的不可信环境中。     

基于隔离技术的个性化桌面保护系统

信息安全乃至个人信息的安全随着信息化的普及逐渐成为社会关注的焦点.借鉴物理隔离的思想,提出一种基于隔离技术的、可个性化配置的桌面保护系统,克服用户在上网过程中的权限透明问题,有效保证个人信息安全.在分析上述个性化桌面保护系统相关技术的基础上,给出其控制模型并对该模型进行了描述.最后,对个性化桌面保护系统所涉及的类物理隔离技术、基于角色的访问控制、信息强审计、信息流向控制、用户访问日志等关键技术进行了详细阐述.     

基于数据采集的电力资产信息自动识别优化系统

由于目前电力企业的资产信息过程不集中,导致自动识别信息效率较低,影响了电力企业的经济效益,针对现有问题,本文研究了基于数据采集的电力资产信息自动识别优化系统。基于数据采集的计量设备状态评估与维修养护,制定各计量设备的巡视周期,结合现场检修判断故障程度,完成设备替换等处理。通过计量设备定位与资产调配,合理调整各区域库之间的调配比例,满足各区域库的安全库存需求,优化电力企业资产自动识别信息,及时掌握资产增减变动情况,严格核查资产信息的准确性。经实验论证分析,在各类电力计量装置的状态检验结果中,状态为优的计量装置比例均在90%以上,对比本文系统实施前后的计量装置现场运维量,采用本文系统后的现场运维工作量大幅减少,节省了各项费用共2万多元,证明本文信息优化系统的可行性。     

浅谈网络安全隔离与信息交换系统

本文介绍了网络安全隔离的五类技术,指出了实现网络安全隔离和网间信息交换是解决信息孤岛的关键。     

基于精化的可信执行环境内存隔离机制验证

可信执行环境(trusted execution environment, TEE)基于硬件隔离机制,为安全敏感应用提供隔离的执行环境,保护敏感数据的安全性.内存隔离机制是TEE的关键机制之一,用于对安全内存和非安全内存进行隔离,并对安全内存实施访问控制,如果其安全性不能保证,可能造成存储在安全内存中的敏感数据泄露.为验证TEE内存隔离机制的安全性,针对基于ARM TrustZone技术构建的TEE,提出一种基于精化的可信执行环境内存隔离机制安全性验证方法.建立抽象模型和具体模型,并定义两种模型之间的精化关系,在证明精化关系成立和抽象模型满足信息流安全性的前提下,验证具体模型的信息流安全性.具体模型建模了TEE内存隔离机制的关键硬件和软件,包括TrustZone地址空间控制器、MMU和TrustZone monitor等,在定理证明器Isabelle/HOL中,验证了该模型满足无干扰、无泄露、无影响等信息流安全属性.     

基于分段保护的内核模块隔离机制

传统单块结构操作系统的所有内核代码在一个公共的、共享的地址空间运行。因此内核中任何一个漏洞或在内核中加载任何不可靠模块都会威胁到整个系统的安全。内核模块隔离机制从安全的角度出发,将原内核中最易引入不安全因素的部分采用保护模块的形式装载到内核中,并利用硬件保护机制与其它内核模块隔离,从而增强现有单块操作系统内核的可靠性与安全性。     

基于网络运行管理平台的资产管理系统

网络运行管理系统和资产管理系统相互独立,缺乏数据共享和数据同步机制,且传统资产管理系统缺乏流程监控和资产生命周期管理功能。为此,提出基于iNetboss2网管平台的资产管理系统。通过共享统一资产数据的方式将网络管理和资产管理相结合,利用工作流技术实现设备资产的流程管理和生命周期管理。运行结果表明,基于网络运行管理平台的资产管理系统能有效解决数据冗余和信息孤岛问题,并且能提高网管系统和资产管理系统的信息化和业务流程化水平。     

基于硬件虚拟化的内核同层多域隔离模型

为了解决内核不可信带来的问题,很多工作提出了同层可信基的架构,即在内核同一硬件特权水平构建可部署安全机制的唯一保护域.但是,实际过程中往往面临多样化的安全需求,将多种对应的安全机制集中于唯一的保护域必然导致只要其中任何一个安全机制被攻陷,同一个保护域内其它所有安全机制都可能被攻击者恶意篡改或者破坏.为了解决上述问题,本文提出了内核同层多域隔离模型,即在内核同一硬件特权水平构建多个保护域实现了不同安全机制的内部隔离,缓解了传统方法将所有安全机制绑定在唯一保护域带来的安全风险.本文实现了内核同层多域隔离模型的原型系统Decentralized-KPD,其利用硬件虚拟化技术和地址重映射技术,将不同安全机制部署在与内核同一特权水平的多个保护域中,并不会引起较大的性能开销.总体而言,实验结果展示了内核同层多域隔离模型的安全性和实用性.     

基于硬件虚拟化的内核同层多域隔离模型

为了解决内核不可信带来的问题,很多工作提出了同层可信基的架构,即,在内核同一硬件特权水平构建可部署安全机制的唯一保护域.但是,实际过程中往往面临多样化的安全需求,将多种对应的安全机制集中于唯一的保护域必然导致只要其中任何一个安全机制被攻陷,同一个保护域内其他所有安全机制都可能被攻击者恶意篡改或者破坏.为了解决上述问题,...     

虚拟化环境下面向多目标优化的自适应SSD缓存系统

以SSD为代表的新型存储介质在虚拟化环境下得到了广泛的应用,通常作为虚拟机读写缓存,起到优化磁盘IO性能的作用.已有研究往往关注SSD缓存的容量规划,依据缓存读写命中率评价SSD缓存分配效果,未能充分考虑SSD的服务能力上限,难以适用于典型的分布式应用场景,存在虚拟机抢占SSD缓存资源,导致虚拟机中应用性能违约的可能.本文实现了虚拟化环境下面向多目标优化的自适应SSD缓存系统,考虑了SSD的服务能力上限.基于自适应闭环实现对虚拟机和应用状态的动态感知.动态检测局部SSD缓存抢占状态,基于聚类方法生成虚拟机的优化放置方案,依据全局SSD缓存供给能力确定虚拟机迁移顺序和时机.实验结果表明该方法在应对典型分布式应用场景时可以有效缓解SSD缓存资源的争用,同时满足应用对虚拟机放置的需求,提升应用的性能并兼顾应用的可靠性.在Hadoop应用场景下,平均降低了25%的任务执行时间,对IO密集型应用平均提升39%的吞吐率.在ZooKeeper应用场景下,以不到5%的性能损失为代价应对了虚拟化主机的单点失效带来的虚拟机宕机问题.     

基于安全协处理器保护软件可信运行框架

软件可信运行是许多应用领域的基础,但恶意主机问题使得很难保证一个软件可信运行.在传统的基于硬件加密平台保护软件可信运行机制中,运行于安全硬件中的代码和运行于主机中的代码不在同一个执行上下文中,因此难以给用户提供完善的保护策略.为此,提出了一种新的基于安全协处理器保护软件可信运行的框架,在该框架下,软件设计者可以根据待保护软件特点和自身要求定制更加完善和灵活的保护.     

多核平台上一种分布式的虚拟运行环境

随着多核体系结构的快速发展,如何充分利用多核系统提供的计算能力,同时对可靠性、可扩展性和协同性提供支撑成为软件面临的难题。本文描述了一种运行在多核平台上的分布式虚拟运行环境DVRE,它为应用程序的有效运行提供支撑。DVRE在虚拟化技术的基础上以Client/Server的结构取代传统操作系统整体式的结构,以核之间通信的开销来取代操作系统中系统调用和上下文切换的开销,这种方法利用了多核平台高度的并行性,显示了良好的性能与可扩展性,同时DVRE底层的虚拟化机制提高了系统的可靠性与安全性。     

一种基于虚拟隔离的数据可信存储技术研究与实现

针对数据在开放式网络环境中存储和使用过程中存在的信息泄露风险,本文提出了一种基于虚拟隔离的数据可信存储体系结构。该结构借鉴可信计算技术中的信任根源的设计思想,通过可信存储根来验证用户身份合法性和管理数据访问权限,并将数据集中加密存储在服务器中;在终端用户对数据的使用过程中,利用本地内存和磁盘虚拟隔离技术保证数据在使用过程中的安全性,防止非授权用户和进程将数据泄漏到非保护区域。对本文所设计实现的基于虚拟隔离的数据可信存储系统的测试和安全性分析表明:该结构能够很好地保障开放网络环境中数据的存储、使用、流转和销毁的全生命周期的安全。     

浅谈CAD集成化应用与信息资产保护

CAD技术的应用是设计和创新的重要手段,在制造业的信息化发展历程中,CAD技术作为日益成熟的技术广泛得到普及,在企业中得到广泛应用。我国的CAD产业经过三次大的发展浪潮后,二维CAD在工业界得到了普及应用,三维CAD应用得到了长足的发展。