-
公开(公告)号：CN113254147A
公开(公告)日：2021-08-13
申请号：CN202110473606.7
申请日：2021-04-29
Applicant: 中国科学院信息工程研究所
Abstract: 本发明公开了一种基于物理地址陷入的虚拟机行为监控方法及系统。本方法为：1)GPA寻址模块获取所要监控API对应的客户机物理地址GPA；2)如果GPA对应的GFN已被标记过，则将该GAP与API对应关系写入到函数查找哈希表中，否则将该GPA所对应的GFN设置为不可访问状态，然后将该GAP与API对应关系写入到函数查找哈希表中；3)当虚拟机调用一所要监控的API时，保存当前CPU寄存器值，组成一个事件放入事件缓冲区中等待处理；4)根据事件中的GPA字段找到对应API，对API参数还原并存入数据库中；5)从数据库中读取一进程的函数调用数据生成该进程的调用序列，将其与高危序列匹配，确定虚拟机安全状态。
-
公开(公告)号：CN113254147B
公开(公告)日：2024-01-16
申请号：CN202110473606.7
申请日：2021-04-29
Applicant: 中国科学院信息工程研究所
Abstract: 本发明公开了一种基于物理地址陷入的虚拟机行为监控方法及系统。本方法为：1)GPA寻址模块获取所要监控API对应的客户机物理地址GPA；2)如果GPA对应的GFN已被标记过，则将该GAP与API对应关系写入到函数查找哈希表中，否则将该GPA所对应的GFN设置为不可访问状态，然后将该GAP与API对应关系写入到函数查找哈希表中；3)当虚拟机调用一所要监控的API时，保存当前CPU寄存器值，组成一个事件放入事件缓冲区中等待处理；4)根据事件中的GPA字段找到对应API，对API参数还原并存入数据库中；5)从数据库中读取一进程的函数调用数据生成该进程的调用序列，将其与高危序列匹配，确定虚拟机安全状态。
-
公开(公告)号：CN113176926B
公开(公告)日：2023-09-05
申请号：CN202110367511.7
申请日：2021-04-06
Applicant: 中国科学院信息工程研究所
IPC: G06F9/455
Abstract: 本发明公开了一种基于虚拟机自省技术的API动态监控方法及系统。本方法为：1)读取并解析设定的监控策略配置文件，获取所需监控的API以及API所属的动态链接库DLL；2)遍历已加载到系统内存的动态链接库，对已加载到内存中且需要监控的API进行监控；对未加载入系统内存的动态链接库进行监控，当其载入系统内后，确认是否是需要监控的动态链接库，如果是，则对该动态链接库内需要监控的API函数进行监控；3)当所需监控API函数被触发后，对当前操作系统内存进行解析，提取出当前进程、进程ID、当前线程、线程ID、当前进程名、所调用API、所属动态链接库信息，并写入日志。
-
Patent Agency Ranking
公开(公告)号：CN113176926A
公开(公告)日：2021-07-27
申请号：CN202110367511.7
申请日：2021-04-06
Applicant: 中国科学院信息工程研究所
IPC: G06F9/455
Abstract: 本发明公开了一种基于虚拟机自省技术的API动态监控方法及系统。本方法为：1)读取并解析设定的监控策略配置文件，获取所需监控的API以及API所属的动态链接库DLL；2)遍历已加载到系统内存的动态链接库，对已加载到内存中且需要监控的API进行监控；对未加载入系统内存的动态链接库进行监控，当其载入系统内后，确认是否是需要监控的动态链接库，如果是，则对该动态链接库内需要监控的API函数进行监控；3)当所需监控API函数被触发后，对当前操作系统内存进行解析，提取出当前进程、进程ID、当前线程、线程ID、当前进程名、所调用API、所属动态链接库信息，并写入日志。
-
公开(公告)号：CN113127149B
公开(公告)日：2024-10-01
申请号：CN202110265368.0
申请日：2021-03-11
Applicant: 中国科学院信息工程研究所
Abstract: 本发明涉及一种基于自省技术的虚拟机安全监控方法及系统。该方法包括：建立虚拟机行为的插件库，根据监控指令从插件库中选择所要监控的插件，读取插件库中的API函数名称以及API函数的相对偏移地址，计算出API函数的虚拟地址；读取插件库中API函数的虚拟地址，保存其存储的机器码，然后将该虚拟地址存储的机器码修改为中断指令的机器码；虚拟机访问修改后的该虚拟地址并触发中断后，对虚拟机进行语义解析；语义解析完成后将该虚拟地址中存储的原机器码写回该虚拟地址中，设置虚拟机为单步执行后恢复虚拟机执行。本发明动态接收用户对主机行为的检测需求，调用相应行为插件库，能够对虚拟机进行高性能、高精准、高覆盖的行为监控。
-
公开(公告)号：CN113138835B
公开(公告)日：2024-01-16
申请号：CN202110378538.6
申请日：2021-04-08
Applicant: 中国科学院信息工程研究所
Abstract: 本发明公开了一种基于IPT与虚拟机自省的API调用监控方法及系统。本方法为：当创建虚拟机时，KVM进入虚拟机模式，IPT开始进行追踪，执行a)～b)；当KVM退出虚拟机模式回到根模式的时候，IPT停止追踪；其中：a)获取虚拟机内部当前运行的进程，得到所监控API的虚拟地址；b)将所监控API与API虚拟地址的对应关系写入第一哈希表中，将进程CR3的值与对应进程间的映射关系写入第二哈希表中，并且监听进程CR3的值的变化；2)对IPT追踪数据进行解码，然后根据哈希表从解码数据中获取进程的API序列调用；3)将进程的API调用序列与设定高危进程的API序列匹配，根据匹配结果确定虚拟机的安全状态。
-
公开(公告)号：CN113138835A
公开(公告)日：2021-07-20
申请号：CN202110378538.6
申请日：2021-04-08
Applicant: 中国科学院信息工程研究所
Abstract: 本发明公开了一种基于IPT与虚拟机自省的API调用监控方法及系统。本方法为：当创建虚拟机时，KVM进入虚拟机模式，IPT开始进行追踪，执行a)～b)；当KVM退出虚拟机模式回到根模式的时候，IPT停止追踪；其中：a)获取虚拟机内部当前运行的进程，得到所监控API的虚拟地址；b)将所监控API与API虚拟地址的对应关系写入第一哈希表中，将进程CR3的值与对应进程间的映射关系写入第二哈希表中，并且监听进程CR3的值的变化；2)对IPT追踪数据进行解码，然后根据哈希表从解码数据中获取进程的API序列调用；3)将进程的API调用序列与设定高危进程的API序列匹配，根据匹配结果确定虚拟机的安全状态。
-
公开(公告)号：CN113127149A
公开(公告)日：2021-07-16
申请号：CN202110265368.0
申请日：2021-03-11
Applicant: 中国科学院信息工程研究所
Abstract: 本发明涉及一种基于自省技术的虚拟机安全监控方法及系统。该方法包括：建立虚拟机行为的插件库，根据监控指令从插件库中选择所要监控的插件，读取插件库中的API函数名称以及API函数的相对偏移地址，计算出API函数的虚拟地址；读取插件库中API函数的虚拟地址，保存其存储的机器码，然后将该虚拟地址存储的机器码修改为中断指令的机器码；虚拟机访问修改后的该虚拟地址并触发中断后，对虚拟机进行语义解析；语义解析完成后将该虚拟地址中存储的原机器码写回该虚拟地址中，设置虚拟机为单步执行后恢复虚拟机执行。本发明动态接收用户对主机行为的检测需求，调用相应行为插件库，能够对虚拟机进行高性能、高精准、高覆盖的行为监控。
-
-
-
-
-
-
-
Search Results
8
records
(took 0.034 seconds)
