Cache属于CPU内部集成的存储器件。在云环境中,Cache侧信道攻击可以绕过虚拟化技术的隔离性检查窃取私密信息,这给云数据的隐私保护带来了严峻的挑战。论文针对虚拟机间的Cache侧信道攻击进行防御方法的研究。分析发现,攻击者只有和受害者共驻Cache的时候才可以施展攻击,而Xen虚拟化平台中的Credit调度策略因为实现机制的原因会给攻击提供便利条件。为验证该观点,构建了虚拟机间Cache侧信道攻击模型。并在模型的基础上成功实施了跨虚拟机数据窃取和密钥恢复实验。实验结果验证了虚拟化环境中存在虚拟机间Cache侧信道攻击的必然性。随后,根据虚拟化环境中Cache侧信道攻击的条件和特点,提出了一种基于vCPU调度的Cache侧信道攻击系统级防御方案——XenLOT。我们构建了一个可以容纳全部vCPU资源的两层融合池,融合池确保XenLOT方案可以在调度时序上实现虚拟机对Cache资源的私有化,从而破坏了攻击者实施虚拟机间Cache侧信道攻击必需的Cache共享条件。我们使用虚拟机间的Cache侧信道攻击手段对XenLOT原型系统进行了防御效果测试。结果表明XenLOT方案对攻击的防御效果明显。此外,我们提出了并实现了可以防御效果同时降低开销的优化方案。最后,我们通过与Xen原本的Credit调度策略Credit进行了多方面的测试与对比,分别评估了XenLOT防御方案对宿主机平台和租户虚拟机的性能影响。综合结果显示,在有资源盈余的环境中,XenLOT的性能的相较于Credit有2.9%提升;在压力环境下,XenLOT的性能比Credit下降1.3%。除此以外,XenLOT是完全软件层的实现,并不依赖硬件技术的升级就可以工作。因此XenLOT可以部署在Xen所支持的硬件架构和操作系统的多种版本上,具备鲁棒性高和泛用性强的特点。