[發明專利]一種惡意軟件檢測平臺快速恢復方法及系統

有效

• 申請號: 201711144811.9
• 申請日: 2017-11-17
• 公開（公告）號: CN108052415B
• 公開（公告）日: 2022-01-04
• 發明（設計）人: 賈世杰;管樂;林璟鏘;夏魯寧;龍飛;馬原;王躍武
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: G06F11/14
• 分類號: G06F11/14;G06F21/57
• 代理公司: 北京君尚知識產權代理有限公司 11200
• 代理人: 邱曉鋒

1.一種惡意軟件檢測平臺快速恢復方法，其特征在于，包括以下步驟：

1)對惡意軟件檢測平臺劃分用戶域和安全域，在所述用戶域的操作系統中設置指令轉發應用程序，在所述安全域中運行安全域操作系統；

2)所述指令轉發應用程序向所述安全域操作系統轉發備份指令或恢復指令；

3)所述安全域操作系統接收到備份指令時，對用戶域操作系統所使用的內存數據進行備份，并向基于閃存的存儲設備發送備份指令；所述安全域操作系統接收到恢復指令時，將備份的內存數據寫入用戶域操作系統使用的內存，并向基于閃存的存儲設備發送恢復指令；

所述安全域操作系統先初始化處理器的片上內存，并將其作為自己運行的內存；然后將硬件平臺的獨立內存平均分為兩份，其中一份對用戶域操作系統是可見的，用做用戶域操作系統的運行內存；另一份內存對用戶域操作系統是不可見的，用來存儲用戶域操作系統運行內存的備份；

所述安全域操作系統實現備份的過程包括：安全域操作系統讀取用戶域操作系統的運行內存，并將其復制到由安全域操作系統保留的、用于存儲備份的內存當中；部分在用戶域中使用的寄存器的值將被保存在安全域操作系統的運行內存當中，然后安全域操作系統向基于閃存的存儲設備發送備份指令；

所述安全域操作系統實現恢復的過程包括：

(1)安全域操作系統讀取內存備份，并將備份的內容復制用戶域操作系統使用的內存中；

(2)復制完成后，將備份時存入安全域操作系統的寄存器數值恢復到指定的寄存器中；

(3)清空緩存；

(4)向基于閃存的存儲設備發送恢復指令；

所述基于閃存的存儲設備采用以下步驟實現數據的備份和恢復：

a)在閃存轉換層接收到備份指令之后，觸發垃圾回收機制，回收閃存中無效數據所占據的存儲空間，實現需恢復數據的緊湊存儲，然后閃存轉換層對需恢復數據的相關元數據進行備份；

b)在合法或非法用戶對需恢復數據進行增刪改操作的過程中，通過修改閃存轉換層中的塊分配策略、垃圾回收機制保證需恢復數據的完整性；

c)閃存轉換層接收到恢復指令之后，通過恢復備份的元數據，恢復需要恢復的數據。

2.根據權利要求1所述的方法，其特征在于，基于TrustZone技術劃分所述用戶域和所述安全域。

3.根據權利要求1所述的方法，其特征在于，所述指令轉發應用程序轉發的備份指令或恢復指令來自上位機上的惡意軟件調試程序，所述惡意軟件調試程序用于向惡意軟件檢測平臺下載惡意程序，并在合適的時機發送備份指令或恢復指令。

4.根據權利要求3所述的方法，其特征在于，在惡意軟件檢測平臺未感染惡意軟件時，所述惡意軟件調試程序向所述指令轉發應用程序發出備份指令，使惡意軟件檢測平臺完成備份；然后所述惡意軟件調試程序向惡意軟件檢測平臺下載惡意軟件并開始執行惡意軟件；惡意軟件行為執行結束后，所述惡意軟件調試程序向所述指令轉發應用程序發出恢復指令，使惡意軟件檢測平臺恢復到正常狀態，從而進行下一次的分析。

5.根據權利要求1所述的方法，其特征在于，所述安全域操作系統收到來自用戶域操作系統的指令時，先檢查指令是否來自所述指令轉發應用程序，如果不是則返回用戶域操作系統；如果是則所述安全域操作系統辨別收到的指令的類型；如果收到的指令是備份指令，所述安全域操作系統檢查是否是第一次收到備份指令，如果是第一次收到備份指令則進行備份操作，如不是則拒絕執行備份操作，并返回用戶域操作系統；如果所述安全域操作系統收到的是恢復指令，則進行恢復操作；如果所述安全域操作系統長時間未收到恢復指令，則在一定時間后自動執行恢復操作。

6.一種采用權利要求1～5中任一權利要求所述方法的惡意軟件檢測平臺快速恢復系統，其特征在于，包括設置于用戶域的操作系統中的指令轉發應用程序，和設置于安全域中的安全域操作系統；所述指令轉發應用程序用于向所述安全域操作系統轉發備份指令或恢復指令；所述安全域操作系統接收到備份指令時，對用戶域操作系統所使用的內存數據進行備份，并向基于閃存的存儲設備發送備份指令；所述安全域操作系統接收到恢復指令時，將備份的內存數據寫入用戶域操作系統使用的內存，并向基于閃存的存儲設備發送恢復指令。