[發(fā)明專利]用于管理程序環(huán)境中的關(guān)鍵地址空間保護(hù)的系統(tǒng)和方法

在審

• 申請(qǐng)?zhí)枺?/td>: 201280053614.5
• 申請(qǐng)日: 2012-09-15
• 公開(kāi)（公告）號(hào): CN103907098A
• 公開(kāi)（公告）日: 2014-07-02
• 發(fā)明（設(shè)計(jì)）人: R.布哈塔查爾杰;N.芒賈爾;B.辛格;P.辛格
• 申請(qǐng)（專利權(quán)）人: 邁可菲公司
• 主分類號(hào): G06F12/14
• 分類號(hào): G06F12/14;G06F9/455;G06F21/53
• 代理公司: 中國(guó)專利代理(香港)有限公司 72001
• 代理人: 柯廣華;湯春龍

1.一種用于計(jì)算機(jī)的方法，包括：

檢測(cè)對(duì)包括管理程序的管理程序環(huán)境中的客戶操作系統(tǒng)(OS)的關(guān)鍵地址空間(CAS)的訪問(wèn)嘗試，其中所述客戶OS實(shí)現(xiàn)地址空間布局隨機(jī)化(ASLR)；

識(shí)別執(zhí)行所述訪問(wèn)嘗試的進(jìn)程；以及

如果不準(zhǔn)許所述進(jìn)程訪問(wèn)所述CAS，則采取動(dòng)作，

其中，識(shí)別執(zhí)行所述訪問(wèn)嘗試的所述進(jìn)程包括：讀取與所述進(jìn)程對(duì)應(yīng)的CR3寄存器。

2.如權(quán)利要求1所述的方法，其中，所述動(dòng)作從下列項(xiàng)中選取：

向所述管理程序的管理控制臺(tái)報(bào)告所述訪問(wèn)嘗試；

向所述客戶OS提供推薦；以及

在所述客戶OS內(nèi)自動(dòng)采取動(dòng)作。

3.如權(quán)利要求2所述的方法，其中，向所述管理程序的管理控制臺(tái)報(bào)告所述訪問(wèn)嘗試包括：將所述客戶OS的狀態(tài)標(biāo)記為受感染。

4.如權(quán)利要求2所述的方法，其中，向所述客戶OS提供推薦包括下列至少一個(gè)：

推薦將所述進(jìn)程列入黑名單，直到它由安全工具來(lái)掃描并且列入白名單；或者

對(duì)所述進(jìn)程運(yùn)行防病毒。

5.如權(quán)利要求2所述的方法，其中，在所述客戶OS內(nèi)采取動(dòng)作包括下列至少一個(gè)：

在所述客戶OS中運(yùn)行防病毒程序；或者

關(guān)閉所述客戶OS或保存所述客戶OS的狀態(tài)以供離線掃描。

6.如權(quán)利要求1-5中的任一項(xiàng)所述的方法，還包括使用策略來(lái)驗(yàn)證所述訪問(wèn)嘗試，所述策略包括：

如果所述進(jìn)程從存儲(chǔ)器元件的可寫(xiě)區(qū)域執(zhí)行，則拒絕所述訪問(wèn)；以及

如果所述進(jìn)程從所述存儲(chǔ)器元件的只讀區(qū)域執(zhí)行，則準(zhǔn)許所述訪問(wèn)。

7.如權(quán)利要求1-5中的任一項(xiàng)所述的方法，還包括：

識(shí)別與所述CAS對(duì)應(yīng)的機(jī)器地址，識(shí)別所述機(jī)器地址包括：

促使所述客戶OS中的頁(yè)錯(cuò)誤；

從與所述CAS對(duì)應(yīng)的客戶虛擬地址來(lái)解析客戶物理地址；以及

將所述機(jī)器地址映射到所述客戶物理地址。

8.如權(quán)利要求1-5中的任一項(xiàng)所述的方法，其中，檢測(cè)所述訪問(wèn)嘗試包括：

在所述管理程序的影子頁(yè)表中為對(duì)應(yīng)于所述CAS的頁(yè)生成頁(yè)表?xiàng)l目(PTE)；

標(biāo)記所述PTE，使得所述訪問(wèn)嘗試引起頁(yè)錯(cuò)誤。

9.一種用于計(jì)算機(jī)的設(shè)備，包括：

配置成存儲(chǔ)數(shù)據(jù)的存儲(chǔ)器元件；以及

可操作以執(zhí)行與所述數(shù)據(jù)關(guān)聯(lián)的指令的計(jì)算處理器；

管理程序；以及

駐留在客戶操作系統(tǒng)(OS)中的代理，使得所述設(shè)備配置用于：

檢測(cè)對(duì)包括所述管理程序的管理程序環(huán)境中的客戶OS的關(guān)鍵地址空間(CAS)的訪問(wèn)嘗試，其中所述客戶OS實(shí)現(xiàn)地址空間布局隨機(jī)化(ASLR)；

識(shí)別執(zhí)行所述訪問(wèn)嘗試的進(jìn)程；以及

如果不準(zhǔn)許所述進(jìn)程訪問(wèn)所述CAS，則采取動(dòng)作，

其中，識(shí)別執(zhí)行所述訪問(wèn)嘗試的所述進(jìn)程包括：讀取與所述進(jìn)程對(duì)應(yīng)的CR3寄存器。

10.如權(quán)利要求9所述的設(shè)備，其中，所述動(dòng)作從下列項(xiàng)中選?。?/p>

向所述管理程序的管理控制臺(tái)報(bào)告所述訪問(wèn)嘗試；

向所述客戶OS提供推薦；以及

在所述客戶OS內(nèi)自動(dòng)采取動(dòng)作。

11.如權(quán)利要求10所述的設(shè)備，其中，向所述管理程序的管理控制臺(tái)報(bào)告所述訪問(wèn)嘗試包括：將所述客戶OS的狀態(tài)標(biāo)記為受感染。

12.如權(quán)利要求10所述的設(shè)備，其中，向所述客戶OS提供推薦包括下列至少一個(gè)：

推薦將所述進(jìn)程列入黑名單，直到它由安全工具來(lái)掃描并且列入白名單；或者

對(duì)所述進(jìn)程運(yùn)行防病毒。