CN101399835A - 用于虚拟系统上动态切换和实时安全性控制的方法和设备 - Google Patents

用于虚拟系统上动态切换和实时安全性控制的方法和设备 Download PDF

Info

Publication number
CN101399835A
CN101399835A CNA2008101680083A CN200810168008A CN101399835A CN 101399835 A CN101399835 A CN 101399835A CN A2008101680083 A CNA2008101680083 A CN A2008101680083A CN 200810168008 A CN200810168008 A CN 200810168008A CN 101399835 A CN101399835 A CN 101399835A
Authority
CN
China
Prior art keywords
network
suspicious
processor
packet
network packet
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CNA2008101680083A
Other languages
English (en)
Other versions
CN101399835B (zh
Inventor
D·摩根
A·D·罗斯
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Intel Corp
Original Assignee
Intel Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Intel Corp filed Critical Intel Corp
Publication of CN101399835A publication Critical patent/CN101399835A/zh
Application granted granted Critical
Publication of CN101399835B publication Critical patent/CN101399835B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45587—Isolation or security of virtual machine instances

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明的名称为用于虚拟系统上动态切换和实时安全性控制的方法和设备，在一些实施例中，本发明涉及保护主处理器发送和接收的网络业务安全。公开了在虚拟化技术平台上利用第二处理器发送/接收和分类消息的系统和方法。在将可疑消息路由到在主处理器上运行的多个虚拟机之一前，第二处理器要将可疑消息转发到虚拟设备以做进一步调查。在消息不可疑时，避免使用虚拟设备，并且经在主处理器上运行的虚拟机管理器将消息路由到多个虚拟机之一。本文也描述和声明了其他实施例。

Description

用于虚拟系统上动态切换和实时安全性控制的方法和设备
技术领域
本发明的实施例一般涉及主处理器发送和接收的网络业务，更具体地说，涉及利用虚拟化技术平台上的第二处理器以发送/接收和分类消息的系统和方法。在将可疑消息路由到在主处理器上运行的多个虚拟机之一前，第二处理器要将可疑消息转发到虚拟设备以做进一步调查。
背景技术
存在的各种机制可在平台上实现虚拟化。虚拟化技术(VT)可在例如从Intel Corporation提供的平台上以多种方式实现。VT允许操作系统基于硬件的虚拟化。一个平台的实现使得该架构分成两个虚拟化操作系统(OS)：服务OS(SOS)和能力OS(COS)。
服务OS也可称为虚拟设备。能力OS类似于在平台客户端上的OS，即用户环境。此架构的一个目的是从用户范围移除若干安全性功能并转移到服务OS内保护更严的区域。服务OS置于网络与用户环境之间以提供另外级别的安全性。
在具有SOS和COS的此特定VT模型中，平台仅限于虚拟设备或SOS外的一个分区，即，COS。SOS和COS可以为此类型架构上的仅有分区。在此架构中，为维护更高级别的网络消息安全性，所有网络业务均通过SOS。
附图说明
从下面的本发明详细说明中将明白本发明的特性和优点，其中：
图1是根据本发明实施例，执行另外的安全性功能的示范平台方框图；
图2是根据本发明实施例，示出用于在平台上控制安全性和通信的示范方法的流程图；以及
图3是示出根据本发明实施例的示范客户端平台的方框图。
具体实施方式
本发明的一个实施例是与在虚拟化平台上添加安全性层以帮助检测和防止VT平台受到例如恶意rootkit有关的系统和方法。本发明的实施例也可在平台中维护更高安全性的同时实现增强的性能。在至少一个实施例中，本发明要使安全性设备(SOS)脱离从网络到COS的直接路径。SOS现在只处理网络业务子集。大部分网络业务可由平台上的单独处理器路由。
说明书对本发明“一个实施例”或“实施例”的引用指结合该实施例描述的特定特性、结构或特征包括在本发明的至少一个实施例中。因此，在说明书通篇各个位置出现的“在一个实施例”短语不一定全部指同一实施例。
为便于解释，陈述了特定的配置和细节以便提供本发明的详尽理解。但是，本领域的技术人员将明白，实践本发明的实施例可无需本文所述特定细节。此外，熟知的特性可忽略或简化以便不会混淆本发明。此说明通篇可提供各种示例。这些示例只是本发明特定实施例的说明。本发明的范围并不限于给出的示例。
在现有系统中，通过SOS集中数据(funneling data)是在双向固定路径中进行：数据从SOS移到COS或用户环境；或者数据在从COS到SOS的路径中移动并随后在适当时回落到网络上。在本发明的实施例中，多个虚拟分区(COS)可在平台上使用，并且数据通信可通过利用管理程序虚拟机管理器而路由到不止一个COS。基于通过管道进行发送的数据或分组类型，可实现安全性以选择性地路由数据。选择性地路由数据将降低开销，提高性能。
图1是根据本发明实施例，执行另外的安全性功能的示范平台方框图。在本发明实施例中，平台100具有耦合到安全性虚拟设备103的虚拟机管理器(VMM)101。VMM 101也耦合到单独的处理器105，如具有主动管理技术(iAMT)的处理器。iAMT 105耦合到网络接口控制器/卡(NIC)107以便与网络通信。平台可具有由VMM 101管理的多个虚拟系统(例如，虚拟机或能力操作系统(capabilityoperating system))110、120和130。
本发明的实施例通过组网支持者(Networking Advocate)121、组网主管(Networking Director)125和基于固件的NIC驱动127控制。在现有系统中，NIC可能已由SOS或虚拟设备103拥有和控制。在现在平台架构中，NIC是要由SOS拥有的唯一硬件。在本发明的实施例中，NIC现在由平台的iAMT组件拥有。
图2是根据本发明实施例，示出用于在平台上控制安全性和通信的示范方法的流程图。图2的论述将结合图1的方框图。在方框201，网络主管125监视通过NIC 107的业务。iAMT已经在一定程度上监视和控制网络业务，至少将数据路由到适当的虚拟系统110、120、130。网络主管125提供另外的业务监视能力以通过使用过滤器识别可疑业务。但是，网络主管125是要识别而不是实施行为。在方框203，过滤器启动(tripped)时，网络主管125要确定是否已违反了平台策略。如果如在方框205确定的一样存在策略违反，则在方框207中，网络主管125发送命令到VMM 101以将特定线程/分组重新路由到安全性虚拟设备102进行处理。
预期路由原来是从网络到虚拟系统110、120或130。相反，基于过滤器，iAMT将一些业务先重新路由到安全性虚拟设备103。在方框209中，VMM 101动态更改路由。随着路由更改，在方框211，数据现在发送到安全性虚拟设备103。在方框213中，安全性虚拟设备调查数据。此分析可以是深度分组分析、状态检验(stateful inspection)等。状态检验也可称为动态分组过滤。状态检验是在网络层工作的防火墙架构。不同于基于分组报头中的信息检查分组的静态分组过滤，状态检验跟踪遍历防火墙所有接口的每个连接，并确保它们有效。状态防火墙的示例不但可检查报头信息，而且可检查上至应用层的分组内容以便确定有关分组的更多信息，而不只是有关其来源和目的地的信息。状态检验防火墙也监视连接的状态并在状态表中汇集信息。因此，过滤判定不但基于管理员定义的规则(如在静态分组过滤中一样)，而且基于已通过防火墙的以前分组已建立的上下文。检验的功能是ISV(独立软件供应商)实现。数据如方框215中确定的一样合法时，在方框217，VMM 101将数据转发到原目的地。随后，在方框219中，VMM 101指示网络支持者121重置网络路径。合法业务是定义为适当且本质不可疑或恶意的业务。
业务在如方框215确定的一样不合法时，在方框221，数据随后根据建立的策略进行处理。策略可指引VMM以重置连接，或者警示/通知控制台可疑业务或活动。如果在方框205中未发现策略违反，则在方框223可确定行为还是有问题或异常。如果行为有问题，则处理可如上所述在方框207继续。如果如在方框203中确定的一样，过滤器根本未启动，则在方框225中，iAMT 105将业务路由到预期接收者(即，虚拟系统)而无需VMM 101或安全虚拟设备103的干预。
iAMT过滤器可检测协议滥用，例如异常分组大小或打包错误的分组。过滤器可检测重复的“错误或动作”，如拒绝服务攻击。可检测到并阻塞地址欺骗。来自域控制器的外出(Outbound)ftp业务可指示恶意行为并被过滤。
引入系统的新应用程序或编写差的应用程序本身可能未违反策略，但可能看上去可疑。在意外端口往返传递的数据例如可能可疑，但不违反协议。在这些情况下，可能希望安全性设备进行进一步的调查。
在本发明的实施例中，iAMT充当进入系统的网络消息业务的看门者(gatekeeper)。一旦满足过滤器中的标准，识别的业务便被路由到安全性虚拟设备以做进一步调查。在现有技术系统中，虚拟设备将要路由所有业务，由此形成系统瓶颈。不存在违规，或者未满足过滤器标准时，iAMT将业务传递到VMM，随后VMM将业务路由到正确的虚拟系统。由于VMM路由业务，因此，不止一个用户环境或COS可在平台上实现。输出消息业务也经iAMT路由。
网络主管125可实现为iAMT中的固件。网络支持者121可实现为VMM中的软件。网络支持者121调整消息的路由，即传递到虚拟系统或者发送到安全性虚拟设备以进行调查。HECI接口一般连接iAMT与主处理器。在一些实施例中，iAMT可称为管理引擎(manageability engine)(ME)。消息分组包含路由信息，指示分组应发送到哪个虚拟系统。在分组无问题时，VMM随后能够将分组传递到适当的虚拟系统。
网络主管125指引组网支持者121将可疑消息发送到安全性设备。一旦消息已由安全性虚拟设备清除(clear)，虚拟设备103便清除与网络支持者121有关的路由指令。安全性虚拟设备将消息推送回VMM，以便路由到虚拟系统，并随后通知网络支持者清除消息路由。一旦消息路由被清除，路由中的每个分组便将不再需要检验。网络支持者随后将流中的分组转发到VMM以便路由。因此，由于一些消息分组直接经VMM发送，减轻了安全性设备的瓶颈。
在实施例中，更高级别的功能可由安全性虚拟设备执行。与消息分组数据无关的数据可发送到安全虚拟设备以进行调查和验证。可疑或恶意的分组数据可以某种方式检查。安全性虚拟设备可起动虚拟机(VM)，并将分组数据馈入VM以观察VM中执行或接受分组的结果。如果数据是恶意的，则目标用户环境不会受影响。
在具有经共享存储器相互通信的SOS和COS架构的现有系统中。在此架构中，网络消息业务实际上未传递到VMM。消息业务经SOS(虚拟设备)进入，并随后保存在共享存储器中。COS可访问共享存储器，因而将从共享存储器检索消息分组。在未使用VMM或管理程序的情况下，此架构不允许将数据推送到不止一个VM或用户环境。另外，经验数据显示，此架构导致35-50％的处理器使用只处理网络消息业务。因此，使用iAMT卸载一些消息业务允许性能有显著改进。
在一个实施例中，指示分组路由和识别可疑消息业务所使用标准的平台策略存储在闪存或非易失性存储器的受保护部分中。iAMT的一个优点在于iAMT可访问平台闪存。部分闪存可在引导时间分区，使得包括VMM和VM分区的操作系统无此分区的访问权。因此，规则或策略可存储在无篡改的安全位置中。
再次参照图1，网络主管125通过与诸如iAMT探试引擎(heuristicsengine)、系统防御防火墙和代理存在服务(agent presence service)等现有iAMT组件的直接交互作用，基于普通iAMT标准提供业务的部署。网络主管125也将结合组网支持者121，通过虚拟安全性设备/服务操作系统动态重定向业务以做进一步调查和分类。
组网支持者121一般是能够基于来自组网主管125的指令动态改变组网路径的虚拟机管理器(VMM)中包括的代码。
在虚拟安全性设备确定分组经授权，可传递到VM时，安全性设备经VMM通知组网主管125，并且网络主管125通知组网支持者121继续传递分组，调整其路径。与此相反，在确定消息是恶意消息、坏消息或无效消息时，虚拟安全性设备通知网络主管125此状态，并且网络主管125通知组网支持者121，随后，组网支持者121丢弃该不受欢迎的消息。在实施例中，网络主管125可通知管理控制台或者通知用户已检测到可疑消息活动。消息可一起丢弃，或者可发送到隔离区，或者存档以供以后研究或重放。
对于主处理器而言，基于固件的NIC驱动要添加到iAMT，这使iAMT拥有所有物理网络接口。在此架构中，虚拟机中的每个操作系统将使用虚拟NIC来通信，其中，物理通信通过NIC驱动。
在实施例中，带外(OOB)通信仍可借助于单独的NIC或通信通道，通过iAMT路由。
如上所述，本发明的实施例通过利用平台上与主处理器分开的微控制器来控制输入/输出消息业务。微控制器可具有主动管理技术(AMT)能力，如
Figure A200810168008D00131
主动管理技术(iAMT)能力，以及具有下文称为带外(OOB)微控制器或者也可交互称为管理引擎(ME)控制器或iAMT的带外(OOB)通信能力。在URLwww*intel*com/technology/manage/iamt/描述了
Figure A200810168008D00132
主动管理技术(iAMT)。在本发明的实施例中，通过向用于所有主处理器业务的ME添加另外的NIC或NIC信道，增强了微控制器的固有OOB能力。
图3示出根据本发明实施例的示范客户端平台。在示范客户端实施例中，平台包括具有VMM 343的处理器321。处理器321经存储器控制器中心(MCH)或北桥327，以通信方式耦合到DRAM 323a-c。MCH 327可与图形接口329和输入/输出控制器中心331通信。ICH 331可与硬盘驱动器(HDD)333、闪存325和一个或多个网络接口装置335a-b通信，接口装置例如均可从Intel Corp.得到的Ninevah 2以太网控制器或Kedron无线LAN适配器。在示范实施例中，网络装置335a-b可均具有带外(OOB)通信组件339并且起到带内NIC的作用。在此实施例中，ME子系统337可置于MCH 327内。闪存325包括固件代码(BIOS)、受保护的AMT代码和制造商设置。本领域的技术人员将明白，处理器321可包括单个或多个处理器和/或可具有不止一个核。
在另一实施例(未示出)中，ME 337可耦合到输入/输出中心(IOH)，该中心耦合到处理器321和ICH 331，而不是MCH 327。本领域的技术人员将明白，视各种因素而定，例如，平台是要为客户端还是为服务器，可实现各种架构。
图3所示示范实施例利用管理引擎(ME)337，经网络接口335a-b发送和接收网络业务。具有识别异常消息业务规则的平台策略可存储在受保护存储器中，例如闪存325中。通过利用寻找特别精心制作业务(specifically crafted traffic)的ICH中的过滤器，相同的NIC装置可用于主通信341和OOB 339。在ICH 331找到特别精心制作业务时，它被转发到ME 337。
本文所述技术并不限于任一特定硬件或软件配置；它们可适用于任一计算、消费者电子器件或处理环境。技术可以硬件、软件或两者的组合形式实现。
为了模拟起见，程序代码可表示使用硬件描述语言或另一功能描述语言的硬件，语言基本上提供设计的硬件预期如何执行的模型。程序代码可以为汇编或机器语言或可编译和/或解释的数据。此外，在本领域中以一种或另一种形式将软件表述为采取动作或产生结果是常见的。此类表述只是声明通过使处理器执行动作或产生结果的处理系统来执行程序代码的一种简要方式。
每个程序可以面向过程或对象的高级编程语言来实现，以便与处理系统通信。但是，程序在需要时可以汇编或机器语言实现。任一情况下，语言均可编译或解释。
程序指令可用于使编程有指令的通用或专用处理系统执行本文所述的操作。备选，操作可由包含执行操作的硬布线逻辑的特定硬件组件执行，或者由编程计算机组件和自定义硬件组件的任意组合执行。本文所述方法可提供为计算机程序产品，该产品可包括上面存储有指令的机器可存取介质，而指令可用于对处理系统或其它电子装置编程以执行方法。
程序代码或指令可存储在例如易失性和/或非易失性存储器中，如存储装置和/或相关联机器可读或机器可存取介质，包括固态存储器、硬盘驱动器、软盘、光储存器、磁带、闪存、记忆棒、数字视频磁盘、数字多功能光盘(DVD)等及更不常见的介质，如机器可存取生物状态保存储存器。机器可读介质可包括用于以机器可读形式存储、发射或接收信息的任何机制，并且介质可包括有形介质，通过它可传递将程序代码编码的电、光、声或其它形式传播信号或载波，如天线、光纤、通信接口等。程序代码可以分组、串行数据、并行数据、传播信号等形式发射，并且可以压缩或加密格式使用。
程序代码可在可编程机器上执行的程序中实现，可编程机器如移动或固定计算机、个人数字助理、机顶盒、蜂窝电话和寻呼器、消费者电子装置(包括DVD播放器、个人录像机、个人视频播放器、卫星接收器、立体声接收器、有线TV接收器)和其它电子器件，每个包括处理器、可由处理器读取的易失性和/或非易失性存储器、至少一个输入装置和/或一个或多个输出装置。程序代码可应用到使用输入装置输入的数据，以执行所述实施例和生成输出信息。输出信息可应用到一个或多个输出装置。本领域的技术人员可理解，公开主题的实施例可通过各种计算机系统配置实践，包括多处理器或多核处理器系统、微型计算机、大型计算机及可虚拟地嵌入任何装置的普适(pervasive)或微型计算机或处理器。公开主题的实施例也可在分布式计算环境中实践，在这些环境中，任务或部分任务可由通过通信网络链接的远程处理装置执行。
虽然操作可描述为顺序处理，但一些操作实际上可并行、同时和/或在分布式环境中执行，并且程序代码存储在本地和/或远程以便由单或多处理器机器存取。另外，在一些实施例中，操作的顺序可重新安排而不会脱离公开主题的精神。程序代码可由嵌入式控制器或结合嵌入式控制器使用。
虽然本发明已参照说明性实施例描述，但此说明并无限制意义。本发明有关领域的技术人员明白说明性实施例的各种修改及本发明的其它实施例，这些均应视为在本发明的精神和范围内。

Claims (18)

1.一种用于使到平台的网络业务安全的系统，包括：
在具有虚拟化技术能力的所述平台上的主处理器，所述主处理器耦合到所述平台上的第二处理器以控制网络通信；
虚拟机管理器(VMM)，在所述主处理器上执行以控制在所述主处理器上运行的多个虚拟机(VM)；
所述第二处理器，将网络业务发送到所述主处理器上运行的所述多个虚拟机以及从所述多个虚拟机接收网络业务，所述第二处理器使用至少一个过滤器来确定何时网络业务可疑，并且将可疑网络业务路由到安全性虚拟设备以做调查，并确定何时网络业务不可疑，将所述不可疑业务路由到在所述主处理器上运行的预期接收者；
其中所述安全性虚拟设备要在第一虚拟机中运行，并调查可疑网络业务，其中在识别所述可疑网络业务为无害时，允许所述无害业务路由到在所述主处理器上运行的所述预期接收者，并且在识别所述网络业务为有害时，不能转发所述有害业务到所述主处理器上的所述预期接收者。
2.如权利要求1所述的系统，其中所述第二处理器包括具有活动管理技术架构的管理引擎。
3.如权利要求2所述的系统，其中所述第二处理器经存储器控制器中心(MCH)或输入/输出中心(IOH)之一耦合到输入/输出控制器中心(ICH)，以及其中所述ICH耦合到网络接口装置以便发送和接收所述网络业务。
4.如权利要求1所述的系统，其中所述VMM包括用于为到所述预期接收者或所述安全性虚拟设备的网络业务重置消息路由的组网支持者组件；以及
其中所述第二处理器包括网络主管以监视网络业务并引导所述组网支持者以引导接收的网络业务，其中所述组网支持者使用所述至少一个过滤器以确定所述网络业务是应路由到所述预期接收者还是到所述安全性虚拟设备。
5.如权利要求4所述的系统，其中要由所述多个虚拟机使用的网络驱动器被虚拟化，以便利用以通信方式耦合到所述第二处理器的网络接口。
6.如权利要求1所述的系统，其中所述安全性设备进行的调查要将所述可疑网络业务路由到第二虚拟机以观察所述可疑网络业务的行为，从而帮助识别所述网络业务是无害还是有害。
7.一种用于使到具有虚拟化技术能力的平台上主处理器的网络业务安全的计算机实现方法，包括：
由所述平台上的第二处理器接收网络分组，所述第二处理器以通信方式耦合到所述主处理器；
由所述第二处理器确定所述网络分组是否为可疑状态；
在所述网络分组被确定为可疑时；
所述第二处理器向在所述主处理器上执行的虚拟机管理器(VMM)指示所述网络分组的所述可疑状态；
将所述可疑网络分组转发到在所述主处理器上虚拟机中运行的安全性虚拟设备；
由所述安全性虚拟设备确定所述可疑网络分组是否被认为无害；以及
在所述可疑分组被确定为无害时；
将所述网络分组路由到所述主处理器上的预期接收者；
在所述可疑分组被确定为有害时；
不能将所述网络分组路由到所述主处理器；以及
在所述网络分组被确定为不可疑时，将所述网络分组经所述VMM直接路由到所述预期接收者。
8.如权利要求7所述的方法，其中所述网络分组是否为可疑状态的所述确定包括：
通过至少一个过滤器过滤所述已接收网络分组，其存储在所述主处理器不可存取的闪存保护区，其中所述闪存耦合到所述主处理器和所述第二处理器。
9.如权利要求7所述的方法，其中在网络分组违反预定策略或者被认为行为方式有问题时，所述网络分组有可疑状态，其中概括有问题行为的所述预定策略和规则能够由所述第二处理器存取，并存储在所述平台上存储器的保护区中。
10.如权利要求7所述的方法，还包括：
在收到确定为有害的分组时通知用户。
11.如权利要求7所述的方法，其中有害网络分组的路由根据预定策略确定。
12.如权利要求7所述的方法，其中所述安全性虚拟设备认为所述可疑网络分组是否无害的所述确定还包括：
发送所述可疑分组到所述平台上的测试虚拟机；
通过所述虚拟设备观察发送所述可疑分组到所述测试虚拟机的结果；以及
基于发送所述可疑分组到所述测试虚拟机的所述结果，识别所述可疑分组为无害或有害之一。
13.一种其中存储有指令、用于使到具有虚拟化技术能力的平台上主处理器的网络业务安全的机器可读存储介质，所述指令在所述平台上执行时将促使所述平台：
由所述平台上的第二处理器接收网络分组，所述第二处理器以通信方式耦合到所述主处理器；
由所述第二处理器确定所述网络分组是否为可疑状态；
在所述网络分组被确定为可疑时；
所述第二处理器向在所述主处理器上执行的虚拟机管理器(VMM)指示所述网络分组的所述可疑状态；
将所述可疑网络分组转发到在所述主处理器上虚拟机中运行的安全性虚拟设备；
由所述安全性虚拟设备确定所述可疑网络分组是否被认为无害；以及
在所述可疑分组被确定为无害时；
将所述网络分组路由到所述主处理器上的预期接收者；
在所述可疑分组被确定为有害时；
不能将所述网络分组路由到所述主处理器；以及
在所述网络分组被确定为不可疑时，将所述网络分组经所述VMM直接路由到所述预期接收者。
14.如权利要求13所述的介质，其中所述网络分组是否为可疑状态的所述确定包括在执行时可进行以下操作的指令：
通过至少一个过滤器过滤所述已接收网络分组，其存储在所述主处理器不可存取的闪存保护区中，其中所述闪存耦合到所述主处理器和所述第二处理器。
15.如权利要求13所述的介质，其中在所述网络分组违反预定策略或者被认为行为方式有问题时，网络分组有可疑状态，其中概括有问题行为的所述预定策略和规则可由所述第二处理器存取，并存储在所述平台上存储器的保护区中。
16.如权利要求13所述的介质，还包括在执行时进行以下操作的指令：
在收到确定为有害的分组时通知用户。
17.如权利要求13所述的介质，其中有害网络分组的路由根据预定策略确定。
18.如权利要求13所述的介质，其中所述安全性虚拟设备认为所述可疑网络分组是否无害的所述确定还包括在执行时进行以下操作的指令：
发送所述可疑分组到所述平台上的测试虚拟机；
通过所述虚拟设备观察发送所述可疑分组到所述测试虚拟机的结果；以及
基于发送所述可疑分组到所述测试虚拟机的所述结果，识别所述可疑分组为无害或有害之一。
CN2008101680083A 2007-09-17 2008-09-17 用于虚拟系统上动态切换和实时安全性控制的方法和设备 Expired - Fee Related CN101399835B (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US11/856,587 US8250641B2 (en) 2007-09-17 2007-09-17 Method and apparatus for dynamic switching and real time security control on virtualized systems
US11/856587 2007-09-17

Publications (2)

Publication Number Publication Date
CN101399835A true CN101399835A (zh) 2009-04-01
CN101399835B CN101399835B (zh) 2013-07-17

Family

ID=40084143

Family Applications (1)

Application Number Title Priority Date Filing Date
CN2008101680083A Expired - Fee Related CN101399835B (zh) 2007-09-17 2008-09-17 用于虚拟系统上动态切换和实时安全性控制的方法和设备

Country Status (3)

Country Link
US (1) US8250641B2 (zh)
EP (1) EP2037657B1 (zh)
CN (1) CN101399835B (zh)

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102043917A (zh) * 2010-12-07 2011-05-04 成都市华为赛门铁克科技有限公司 云系统分布式拒绝服务攻击防护方法以及装置和系统
CN101599966B (zh) * 2009-05-11 2012-01-18 曙光信息产业(北京)有限公司 一种多虚拟机应用的数据过滤方法
CN102741853A (zh) * 2009-11-10 2012-10-17 麦克菲公司 用于利用虚拟机包裹应用来防止数据丢失的系统和方法
WO2012142868A1 (zh) * 2011-04-18 2012-10-26 中兴通讯股份有限公司 实现网络信息监管的方法、系统及装置
CN101630270B (zh) * 2009-07-22 2013-06-26 成都市华为赛门铁克科技有限公司 数据处理系统和方法
CN104520867A (zh) * 2012-08-03 2015-04-15 北卡罗莱纳州立大学 用于目标装置的主动监测、存储器保护和完整性验证的方法、系统和计算机可读介质
US20170294700A1 (en) * 2014-09-23 2017-10-12 Point Engineering Co., Ltd. Substrate for Supporting Antenna Pattern and Antenna Using Same
CN109076081A (zh) * 2016-03-24 2018-12-21 大众汽车有限公司 用于监视车辆的通信连接的安全性的方法

Families Citing this family (86)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8539063B1 (en) 2003-08-29 2013-09-17 Mcafee, Inc. Method and system for containment of networked application client software by explicit human input
US7840968B1 (en) 2003-12-17 2010-11-23 Mcafee, Inc. Method and system for containment of usage of language interfaces
US7783735B1 (en) 2004-03-22 2010-08-24 Mcafee, Inc. Containment of network communication
US7873955B1 (en) 2004-09-07 2011-01-18 Mcafee, Inc. Solidifying the executable software set of a computer
EP1832054B1 (en) * 2004-12-23 2018-03-21 Symantec Corporation Method and apparatus for network packet capture distributed storage system
US20100195538A1 (en) * 2009-02-04 2010-08-05 Merkey Jeffrey V Method and apparatus for network packet capture distributed storage system
US7603552B1 (en) 2005-05-04 2009-10-13 Mcafee, Inc. Piracy prevention using unique module translation
US7856661B1 (en) 2005-07-14 2010-12-21 Mcafee, Inc. Classification of software on networked systems
US7757269B1 (en) 2006-02-02 2010-07-13 Mcafee, Inc. Enforcing alignment of approved changes and deployed changes in the software change life-cycle
US7895573B1 (en) 2006-03-27 2011-02-22 Mcafee, Inc. Execution environment file inventory
US7870387B1 (en) 2006-04-07 2011-01-11 Mcafee, Inc. Program-based authorization
US8352930B1 (en) 2006-04-24 2013-01-08 Mcafee, Inc. Software modification by group to minimize breakage
US8555404B1 (en) 2006-05-18 2013-10-08 Mcafee, Inc. Connectivity-based authorization
US8332929B1 (en) 2007-01-10 2012-12-11 Mcafee, Inc. Method and apparatus for process enforced configuration management
US9424154B2 (en) 2007-01-10 2016-08-23 Mcafee, Inc. Method of and system for computer system state checks
US8250640B1 (en) * 2007-09-28 2012-08-21 Emc Corporation Transparent kerboros delegation with a storage virtualization system
US8195931B1 (en) 2007-10-31 2012-06-05 Mcafee, Inc. Application change control
US8701189B2 (en) 2008-01-31 2014-04-15 Mcafee, Inc. Method of and system for computer system denial-of-service protection
US20090249330A1 (en) * 2008-03-31 2009-10-01 Abercrombie David K Method and apparatus for hypervisor security code
CA2661398C (en) * 2008-04-05 2016-05-17 Third Brigade Inc. System and method for intelligent coordination of host and guest intrusion prevention in virtualized environment
US8615502B2 (en) 2008-04-18 2013-12-24 Mcafee, Inc. Method of and system for reverse mapping vnode pointers
US8004998B2 (en) * 2008-05-23 2011-08-23 Solera Networks, Inc. Capture and regeneration of a network data using a virtual software switch
US8521732B2 (en) 2008-05-23 2013-08-27 Solera Networks, Inc. Presentation of an extracted artifact based on an indexing technique
US20090292736A1 (en) * 2008-05-23 2009-11-26 Matthew Scott Wood On demand network activity reporting through a dynamic file system and method
US8625642B2 (en) 2008-05-23 2014-01-07 Solera Networks, Inc. Method and apparatus of network artifact indentification and extraction
US8868675B2 (en) * 2008-12-04 2014-10-21 Cisco Technology, Inc. Network optimization using distributed virtual resources
US8544003B1 (en) 2008-12-11 2013-09-24 Mcafee, Inc. System and method for managing virtual machine configurations
US9672189B2 (en) * 2009-04-20 2017-06-06 Check Point Software Technologies, Ltd. Methods for effective network-security inspection in virtualized environments
US8990433B2 (en) * 2009-07-01 2015-03-24 Riverbed Technology, Inc. Defining network traffic processing flows between virtual machines
US8238324B2 (en) * 2009-07-24 2012-08-07 Broadcom Corporation Method and system for network aware virtual machines
US8381284B2 (en) 2009-08-21 2013-02-19 Mcafee, Inc. System and method for enforcing security policies in a virtual environment
US8341627B2 (en) 2009-08-21 2012-12-25 Mcafee, Inc. Method and system for providing user space address protection from writable memory area in a virtual environment
US20110072515A1 (en) * 2009-09-22 2011-03-24 Electronics And Telecommunications Research Institute Method and apparatus for collaboratively protecting against distributed denial of service attack
WO2011060377A1 (en) * 2009-11-15 2011-05-19 Solera Networks, Inc. Method and apparatus for real time identification and recording of artifacts
WO2011060368A1 (en) * 2009-11-15 2011-05-19 Solera Networks, Inc. Method and apparatus for storing and indexing high-speed network traffic data
US8938800B2 (en) 2010-07-28 2015-01-20 Mcafee, Inc. System and method for network level protection against malicious software
US8925101B2 (en) 2010-07-28 2014-12-30 Mcafee, Inc. System and method for local protection against malicious software
US8549003B1 (en) 2010-09-12 2013-10-01 Mcafee, Inc. System and method for clustering host inventories
US11030305B2 (en) * 2010-10-04 2021-06-08 Unisys Corporation Virtual relay device for providing a secure connection to a remote device
WO2012055070A1 (en) * 2010-10-28 2012-05-03 Intel Corporation Cooperated approach to network packet filtering
US8849991B2 (en) 2010-12-15 2014-09-30 Blue Coat Systems, Inc. System and method for hypertext transfer protocol layered reconstruction
US9075993B2 (en) 2011-01-24 2015-07-07 Mcafee, Inc. System and method for selectively grouping and managing program files
US9292329B2 (en) 2011-02-10 2016-03-22 Microsoft Technology Licensing, Llc Virtual switch interceptor
US9460289B2 (en) * 2011-02-18 2016-10-04 Trend Micro Incorporated Securing a virtual environment
US9112830B2 (en) 2011-02-23 2015-08-18 Mcafee, Inc. System and method for interlocking a host and a gateway
US8666985B2 (en) 2011-03-16 2014-03-04 Solera Networks, Inc. Hardware accelerated application-based pattern matching for real time classification and recording of network traffic
US9332005B2 (en) * 2011-07-11 2016-05-03 Oracle International Corporation System and method for providing switch based subnet management packet (SMP) traffic protection in a middleware machine environment
CN103621048B (zh) 2011-07-11 2016-08-17 甲骨文国际公司 在中间件机器环境中利用多播组和分组处理代理中的至少一种来支持泛洪机制的系统与方法
US9594881B2 (en) 2011-09-09 2017-03-14 Mcafee, Inc. System and method for passive threat detection using virtual memory inspection
KR101286978B1 (ko) 2011-09-23 2013-07-16 (주)휴네시온 가상화를 이용한 다중망 연계장치 및 방법
US8694738B2 (en) 2011-10-11 2014-04-08 Mcafee, Inc. System and method for critical address space protection in a hypervisor environment
US8973144B2 (en) 2011-10-13 2015-03-03 Mcafee, Inc. System and method for kernel rootkit protection in a hypervisor environment
US9069586B2 (en) 2011-10-13 2015-06-30 Mcafee, Inc. System and method for kernel rootkit protection in a hypervisor environment
US8800024B2 (en) 2011-10-17 2014-08-05 Mcafee, Inc. System and method for host-initiated firewall discovery in a network environment
US8713668B2 (en) 2011-10-17 2014-04-29 Mcafee, Inc. System and method for redirected firewall discovery in a network environment
US8707417B1 (en) * 2012-02-14 2014-04-22 Trend Micro, Inc. Driver domain as security monitor in virtualization environment
JP5967187B2 (ja) * 2012-03-02 2016-08-10 日本電気株式会社 経路制御システム、コントロール装置及び経路制御方法
FR2988943A1 (fr) 2012-03-29 2013-10-04 France Telecom Systeme de supervision de la securite d'une architecture
US8739272B1 (en) 2012-04-02 2014-05-27 Mcafee, Inc. System and method for interlocking a host and a gateway
US9529878B2 (en) 2012-05-10 2016-12-27 Oracle International Corporation System and method for supporting subnet manager (SM) master negotiation in a network environment
US9571507B2 (en) * 2012-10-21 2017-02-14 Mcafee, Inc. Providing a virtual security appliance architecture to a virtual cloud infrastructure
US9363172B2 (en) * 2012-11-27 2016-06-07 Red Hat Israel, Ltd. Managing a configurable routing scheme for virtual appliances
US9454392B2 (en) 2012-11-27 2016-09-27 Red Hat Israel, Ltd. Routing data packets between virtual machines using shared memory without copying the data packet
US9535871B2 (en) * 2012-11-27 2017-01-03 Red Hat Israel, Ltd. Dynamic routing through virtual appliances
US8973146B2 (en) 2012-12-27 2015-03-03 Mcafee, Inc. Herd based scan avoidance system in a network environment
US9584544B2 (en) * 2013-03-12 2017-02-28 Red Hat Israel, Ltd. Secured logical component for security in a virtual environment
US9491189B2 (en) * 2013-08-26 2016-11-08 Guardicore Ltd. Revival and redirection of blocked connections for intention inspection in computer networks
EP3061030A4 (en) 2013-10-24 2017-04-19 McAfee, Inc. Agent assisted malicious application blocking in a network environment
US9491190B2 (en) 2013-12-26 2016-11-08 Guardicore Ltd. Dynamic selection of network traffic for file extraction shellcode detection
US9667637B2 (en) 2014-06-09 2017-05-30 Guardicore Ltd. Network-based detection of authentication failures
US9971619B2 (en) * 2014-10-15 2018-05-15 Keysight Technologies Singapore (Holdings) Pte Ltd Methods and systems for forwarding network packets within virtual machine host systems
US9971620B2 (en) 2014-10-15 2018-05-15 Keysight Technologies Singapore (Holdings) Pte Ltd Methods and systems for network packet impairment within virtual machine host systems
TW201624277A (zh) 2014-12-31 2016-07-01 萬國商業機器公司 協助虛擬機器即時遷移的方法
US10484406B2 (en) * 2015-01-22 2019-11-19 Cisco Technology, Inc. Data visualization in self-learning networks
US10454950B1 (en) 2015-06-30 2019-10-22 Fireeye, Inc. Centralized aggregation technique for detecting lateral movement of stealthy cyber-attacks
US10142212B2 (en) * 2015-10-26 2018-11-27 Keysight Technologies Singapore (Holdings) Pte Ltd On demand packet traffic monitoring for network packet communications within virtual processing environments
US10237239B2 (en) 2015-12-03 2019-03-19 International Business Machines Corporation Policy-based load distribution between host-based packet processing units
CN105610646B (zh) * 2015-12-30 2019-06-07 山石网科通信技术股份有限公司 基于分布式的虚拟网络设备的测试方法、装置及系统
US11265291B2 (en) 2017-08-25 2022-03-01 Red Hat, Inc. Malicious packet filtering by a hypervisor
US10616099B2 (en) 2017-08-28 2020-04-07 Red Hat, Inc. Hypervisor support for network functions virtualization
US11563677B1 (en) * 2018-06-28 2023-01-24 Cable Television Laboratories, Inc. Systems and methods for secure network management of virtual network function
US11822946B2 (en) * 2018-06-28 2023-11-21 Cable Television Laboratories, Inc. Systems and methods for secure network management of virtual network functions
US11750628B2 (en) * 2018-12-17 2023-09-05 Rapid7, Inc. Profiling network entities and behavior
US11709716B2 (en) 2019-08-26 2023-07-25 Red Hat, Inc. Hardware offload support for an operating system offload interface using operation code verification
WO2021091273A1 (en) * 2019-11-08 2021-05-14 Samsung Electronics Co., Ltd. Method and electronic device for determining security threat on radio access network
CN115220417B (zh) * 2021-12-08 2024-01-30 广州汽车集团股份有限公司 一种车载流量采集方法及装置、以及车载流量采集终端

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001318742A (ja) 2000-05-08 2001-11-16 Mitsubishi Electric Corp コンピュータシステムおよびコンピュータ読み取り可能な記録媒体
US7069442B2 (en) 2002-03-29 2006-06-27 Intel Corporation System and method for execution of a secured environment initialization instruction
US20030229794A1 (en) * 2002-06-07 2003-12-11 Sutton James A. System and method for protection against untrusted system management code by redirecting a system management interrupt and creating a virtual machine container
US20040193394A1 (en) 2003-03-24 2004-09-30 Konstantin Levit-Gurevich Method for CPU simulation using virtual machine extensions
US20050071668A1 (en) * 2003-09-30 2005-03-31 Yoon Jeonghee M. Method, apparatus and system for monitoring and verifying software during runtime
US7496961B2 (en) * 2003-10-15 2009-02-24 Intel Corporation Methods and apparatus to provide network traffic support and physical security support
US7353428B2 (en) * 2004-05-19 2008-04-01 Lenovo Singapore Pte. Ltd Polled automatic virus fix
US7941799B2 (en) * 2004-05-27 2011-05-10 International Business Machines Corporation Interpreting I/O operation requests from pageable guests without host intervention
US7908653B2 (en) 2004-06-29 2011-03-15 Intel Corporation Method of improving computer security through sandboxing
US7765544B2 (en) * 2004-12-17 2010-07-27 Intel Corporation Method, apparatus and system for improving security in a virtual machine host
US7409719B2 (en) * 2004-12-21 2008-08-05 Microsoft Corporation Computer security management, such as in a virtual machine or hardened operating system
US7865908B2 (en) * 2005-03-11 2011-01-04 Microsoft Corporation VM network traffic monitoring and filtering on the host
US8234361B2 (en) * 2006-01-13 2012-07-31 Fortinet, Inc. Computerized system and method for handling network traffic
US20080127348A1 (en) * 2006-08-31 2008-05-29 Kenneth Largman Network computer system and method using thin user client and virtual machine to provide immunity to hacking, viruses and spy ware
US8220049B2 (en) * 2006-12-28 2012-07-10 Intel Corporation Hardware-based detection and containment of an infected host computing device

Cited By (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101599966B (zh) * 2009-05-11 2012-01-18 曙光信息产业(北京)有限公司 一种多虚拟机应用的数据过滤方法
CN101630270B (zh) * 2009-07-22 2013-06-26 成都市华为赛门铁克科技有限公司 数据处理系统和方法
CN102741853B (zh) * 2009-11-10 2015-12-09 麦克菲公司 用于利用虚拟机包裹应用来防止数据丢失的系统和方法
CN102741853A (zh) * 2009-11-10 2012-10-17 麦克菲公司 用于利用虚拟机包裹应用来防止数据丢失的系统和方法
US8886927B2 (en) 2010-12-07 2014-11-11 Huawei Technologies Co., Ltd. Method, apparatus and system for preventing DDoS attacks in cloud system
CN102043917A (zh) * 2010-12-07 2011-05-04 成都市华为赛门铁克科技有限公司 云系统分布式拒绝服务攻击防护方法以及装置和系统
CN102043917B (zh) * 2010-12-07 2012-10-17 成都市华为赛门铁克科技有限公司 云系统分布式拒绝服务攻击防护方法以及装置和系统
WO2012142868A1 (zh) * 2011-04-18 2012-10-26 中兴通讯股份有限公司 实现网络信息监管的方法、系统及装置
CN104520867A (zh) * 2012-08-03 2015-04-15 北卡罗莱纳州立大学 用于目标装置的主动监测、存储器保护和完整性验证的方法、系统和计算机可读介质
CN104520867B (zh) * 2012-08-03 2017-10-31 北卡罗莱纳州立大学 用于目标装置的主动监测、存储器保护和完整性验证的方法、系统和计算机可读介质
US20170294700A1 (en) * 2014-09-23 2017-10-12 Point Engineering Co., Ltd. Substrate for Supporting Antenna Pattern and Antenna Using Same
CN109076081A (zh) * 2016-03-24 2018-12-21 大众汽车有限公司 用于监视车辆的通信连接的安全性的方法
CN109076081B (zh) * 2016-03-24 2023-04-04 大众汽车有限公司 用于监视车辆的通信连接的安全性的方法

Also Published As

Publication number Publication date
US20090073895A1 (en) 2009-03-19
EP2037657B1 (en) 2013-04-24
US8250641B2 (en) 2012-08-21
EP2037657A1 (en) 2009-03-18
CN101399835B (zh) 2013-07-17

Similar Documents

Publication Publication Date Title
CN101399835B (zh) 用于虚拟系统上动态切换和实时安全性控制的方法和设备
US8499348B1 (en) Detection of and responses to network attacks
EP2106085B1 (en) System and method for securing a network from zero-day vulnerability exploits
US10187422B2 (en) Mitigation of computer network attacks
US10135785B2 (en) Network security system to intercept inline domain name system requests
EP3465987B1 (en) Logging of traffic in a computer network
WO2011027496A1 (ja) 不正プロセス検知方法および不正プロセス検知システム
KR20160004349A (ko) 네트워크 트래픽에서의 불일치들을 검출하기 위한 하드웨어 자원들의 사용에 의한 루트킷 검출
CN102594623A (zh) 防火墙的数据检测方法及装置
EP3188442A1 (en) Detection, prevention, and/or mitigation of dos attacks in publish/subscribe infrastructure
CN105049412A (zh) 一种不同网络间数据安全交换方法、装置及设备
CN102624721B (zh) 一种特征码验证平台装置及特征码验证方法
CN105516189A (zh) 基于大数据平台的网络安全实施系统及方法
US20150215333A1 (en) Network filtering apparatus and filtering method
CN112788023B (zh) 基于安全网络的蜜罐管理方法及相关装置
CN111683063B (zh) 消息处理方法、系统、装置、存储介质及处理器
CN113810420A (zh) 一种安全防护方法及安全防护系统
CN108471428B (zh) 应用于CDN系统内的DDoS攻击主动防御技术及装备
US11425029B2 (en) Internal network monitoring system and method
CN115622808A (zh) 安全隔离的方法、电子设备、计算机可读介质
US20210044599A1 (en) System And Method For Defending A Network Against Cyber-Threats
CN116450283A (zh) 一种虚拟机安全管理方法、系统、装置、设备及介质
US20080148385A1 (en) Sectionalized Terminal System And Method

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20130717

Termination date: 20140917

EXPY Termination of patent right or utility model