[發明專利]通過虛擬機自省進行安全事件檢測

在審

• 申請號: 202110336118.1
• 申請日: 2016-02-06
• 公開（公告）號: CN113050607A
• 公開（公告）日: 2021-06-29
• 發明（設計）人: R·A·米克瑟
• 申請（專利權）人: 費希爾-羅斯蒙特系統公司
• 主分類號: G05B23/02
• 分類號: G05B23/02
• 代理公司: 永新專利商標代理有限公司 72002
• 代理人: 戚英豪;丁燕

1.一種在過程控制系統的計算設備中的安全事件檢測的方法，包括：

由監控代理監控在所述計算設備上執行的第一虛擬機對多個資源的使用，所述監控代理在所述計算設備上執行并與所述第一虛擬機分離；

通過將對所述多個資源的第一使用與預定安全事件資源使用模式相比較來在第一時間檢測第一潛在安全事件；

基于將對所述多個資源的所述第一使用與所述預定安全事件資源使用模式相比較來確定所述第一潛在安全事件的第一嚴重性級別，所述第一嚴重性級別指示所述第一虛擬機已受到惡意軟件的危害的第一可能性；

基于所述第一嚴重性級別來減少向所述第一虛擬機分配的完整性級別；

通過將對所述多個資源的第二使用與所述預定安全事件資源模式相比較來在第二時間檢測第二潛在安全事件；

基于將對所述多個資源的所述第二使用與所述預定安全事件資源模式相比較來確定所述第二潛在安全事件的第二嚴重性級別，所述第二嚴重性級別指示所述第一虛擬機已受到惡意軟件的危害的第二可能性；

基于所述第二嚴重性級別來減少向所述第一虛擬機分配的所述完整性級別，使得所述完整性級別指示所述第二潛在安全事件和所述第一潛在安全事件對所述第一虛擬機的組合影響；以及

響應于確定所述完整性級別低于閾值，啟動安全措施，其中，所述安全措施是結合所述預定安全事件資源使用模式來定義的。

2.根據權利要求1所述的方法，其中，所述監控代理與對所述第一虛擬機進行管理的監管器通信，以監控所述第一虛擬機對所述多個資源的所述使用。

3.根據權利要求1所述的方法，其中，所述監控代理在所述計算設備上的第二虛擬機中執行。

4.根據權利要求1所述的方法，其中，所述監控代理是對所述第一虛擬機進行管理的監管器的部分。

5.根據權利要求1所述的方法，其中，所述監控代理監控所述第一虛擬機的存儲器使用、儲存盤使用、網絡使用和硬件使用中的至少一者。

6.根據權利要求1所述的方法，其中，響應于將最高嚴重性級別分配給所述第一潛在安全事件，啟動所述安全措施包括：

基于在檢測到所述第一潛在安全事件前創建的所述第一虛擬機的快照，使得第二虛擬機在所述計算設備上實例化；

將所述第一虛擬機的功能遷移到所述第二虛擬機；以及

終止所述第一虛擬機。

7.根據權利要求1所述的方法，還包括：

當所述完整性級別高于第二閾值時，獲得所述第一虛擬機的快照；以及

當所述完整性級別低于第二閾值時，對所述快照的獲得進行延遲。

8.根據權利要求1所述的方法，還包括：

在檢測到所述第一潛在安全事件之后的閾值時間段，增加所述完整性級別。

9.根據權利要求1所述的方法，還包括：

管理類別字段和條件字段以在監控對所述多個資源的使用之前定義所述預定安全事件資源使用模式，所述類別字段指示與所述預定安全事件資源使用模式相關的資源的類型，并且所述條件字段指示哪些條件在被滿足時構成針對所述預定安全事件資源使用模式中的每一個的安全事件。