[發(fā)明專利]虛擬機(jī)加固系統(tǒng)及方法

在審

• 申請(qǐng)?zhí)枺?/td>: 202310913704.7
• 申請(qǐng)日: 2023-07-25
• 公開（公告）號(hào): CN116627596A
• 公開（公告）日: 2023-08-22
• 發(fā)明（設(shè)計(jì)）人: 焦進(jìn)星
• 申請(qǐng)（專利權(quán)）人: 北京翼輝信息技術(shù)有限公司
• 主分類號(hào): G06F9/455
• 分類號(hào): G06F9/455
• 代理公司: 北京品源專利代理有限公司 11332
• 代理人: 潘登

1.一種虛擬機(jī)加固系統(tǒng)，其特征在于，包括：運(yùn)行于虛擬機(jī)管理器的權(quán)限管理模塊和目標(biāo)加固虛擬機(jī)；其中，

所述目標(biāo)加固虛擬機(jī)，與所述權(quán)限管理模塊連接，用于執(zhí)行客戶機(jī)程序，并在所述客戶機(jī)程序發(fā)生陷入時(shí)，生成陷入指令，將所述陷入指令發(fā)送至所述權(quán)限管理模塊；

所述權(quán)限管理模塊，用于在接收所述陷入指令后，根據(jù)權(quán)限周期文件，確定并設(shè)置所述客戶機(jī)程序?qū)?yīng)的當(dāng)前運(yùn)行階段對(duì)各個(gè)權(quán)限資源的訪問權(quán)限，以使所述客戶機(jī)程序基于所述訪問權(quán)限運(yùn)行。

2.根據(jù)權(quán)利要求1所述的系統(tǒng)，其特征在于，所述權(quán)限管理模塊還包括陷入類型判斷單元；其中，

所述陷入類型判斷單元，用于判斷所述陷入指令的陷入類型，并在所述陷入類型為權(quán)限管理類陷入的情況下，加載所述權(quán)限周期文件，在所述陷入類型為異常類陷入的情況下，關(guān)閉所述目標(biāo)加固虛擬機(jī)。

3.根據(jù)權(quán)利要求1所述的系統(tǒng)，其特征在于，所述權(quán)限管理模塊還包括權(quán)限授予單元；其中，

所述權(quán)限授予單元，用于當(dāng)所述客戶機(jī)程序運(yùn)行至當(dāng)前所述運(yùn)行階段的入口時(shí)，授予所述客戶機(jī)程序在當(dāng)前所述運(yùn)行階段所需的訪問權(quán)限，當(dāng)所述客戶機(jī)程序執(zhí)行至當(dāng)前所述運(yùn)行階段的出口時(shí)，回收所述客戶機(jī)程序在當(dāng)前所述運(yùn)行階段被授予的所述訪問權(quán)限。

4.根據(jù)權(quán)利要求1所述的系統(tǒng)，其特征在于，所述權(quán)限管理模塊還包括虛擬機(jī)關(guān)機(jī)單元；其中，

所述虛擬機(jī)關(guān)機(jī)單元，用于響應(yīng)于所述目標(biāo)加固虛擬機(jī)發(fā)送的關(guān)機(jī)指令，關(guān)閉所述目標(biāo)加固虛擬機(jī)。

5.根據(jù)權(quán)利要求2所述的系統(tǒng)，其特征在于，還包括運(yùn)行于所述虛擬機(jī)管理器的文件路徑確定模塊；其中，

所述文件路徑確定模塊，用于在執(zhí)行客戶機(jī)程序之前，確定所述目標(biāo)加固虛擬機(jī)，并在所述目標(biāo)加固虛擬機(jī)對(duì)應(yīng)的創(chuàng)建參數(shù)中添加所述權(quán)限周期文件的所在路徑，啟動(dòng)所述目標(biāo)加固虛擬機(jī)；

所述權(quán)限管理模塊，用于在接收所述陷入指令后，根據(jù)所述路徑加載所述目標(biāo)加固虛擬機(jī)對(duì)應(yīng)的所述權(quán)限周期文件。

6.根據(jù)權(quán)利要求5所述的系統(tǒng)，其特征在于，還包括運(yùn)行于所述虛擬機(jī)管理器的，虛擬機(jī)創(chuàng)建模塊和監(jiān)聽標(biāo)志添加模塊；其中，

所述虛擬機(jī)創(chuàng)建模塊，用于在確定所述目標(biāo)加固虛擬機(jī)之前，創(chuàng)建待加固虛擬機(jī)；

所述監(jiān)聽標(biāo)志添加模塊，用于在所述待加固虛擬機(jī)中添加權(quán)限監(jiān)聽標(biāo)志，啟動(dòng)所述待加固虛擬機(jī)并運(yùn)行所述客戶機(jī)程序。

7.根據(jù)權(quán)利要求6所述的系統(tǒng)，其特征在于，所述權(quán)限管理模塊還包括訪問日志確定單元和周期文件構(gòu)建單元；其中，

所述訪問日志確定單元，用于基于所述權(quán)限監(jiān)聽標(biāo)志得到所述待加固虛擬機(jī)的訪問日志；

所述周期文件構(gòu)建單元，用于根據(jù)所述訪問日志劃分所述運(yùn)行階段，并確定所述客戶機(jī)程序中各個(gè)所述運(yùn)行階段的所需所述訪問權(quán)限，以構(gòu)建所述權(quán)限周期文件。

8.根據(jù)權(quán)利要求7所述的系統(tǒng)，其特征在于，所述訪問日志確定單元包括訪問禁止子單元和訪問日志生成子單元；其中，

所述訪問禁止子單元，用于在所述待加固虛擬機(jī)運(yùn)行時(shí)，禁止所述待加固虛擬機(jī)直接訪問所述權(quán)限資源，并使所述客戶機(jī)程序開始訪問所述權(quán)限資源時(shí)產(chǎn)生陷入，模擬對(duì)所述權(quán)限資源的訪問，記錄模擬訪問數(shù)據(jù)，其中，所述模擬訪問數(shù)據(jù)包括當(dāng)前陷入位置、所訪問的所述權(quán)限資源、所需的所述訪問權(quán)限以及訪問時(shí)間中至少一種；

所述訪問日志生成子單元，用于繼續(xù)運(yùn)行所述客戶機(jī)程序，直至所述客戶機(jī)程序運(yùn)行結(jié)束，根據(jù)記錄的所述模擬訪問數(shù)據(jù)生成所述待加固虛擬機(jī)的所述訪問日志。

9.根據(jù)權(quán)利要求1所述的系統(tǒng)，其特征在于，所述權(quán)限資源包括內(nèi)部寄存器、系統(tǒng)協(xié)處理器、內(nèi)存區(qū)域以及外設(shè)寄存器中至少一種，所述運(yùn)行階段包括初始化階段、任務(wù)調(diào)度階段、設(shè)備訪問階段以及低功耗階段中至少一種，所述訪問權(quán)限包括讀寫權(quán)限。

10.一種虛擬機(jī)加固方法，其特征在于，包括：

執(zhí)行客戶機(jī)程序，并在所述客戶機(jī)程序發(fā)生陷入時(shí)，生成陷入指令；

在接收所述陷入指令后，根據(jù)權(quán)限周期文件，確定并設(shè)置所述客戶機(jī)程序?qū)?yīng)的當(dāng)前運(yùn)行階段對(duì)各個(gè)權(quán)限資源的訪問權(quán)限，以使所述客戶機(jī)程序基于所述訪問權(quán)限運(yùn)行。