CN101446915A - 一种bios级日志的记录方法及装置 - Google Patents

Abstract

本发明适用于计算机领域，提供了一种BIOS级日志的记录方法及装置，所述方法包括下述步骤：当计算机系统加电开启时，对计算机系统执行的操作进行监测；根据监测到的操作的执行过程中产生的执行参数生成相应操作的BIOS级日志；将所述BIOS级日志存储至日志存储区。在本发明实施例中，通过对在Pre－OS阶段对计算机系统所执行的各种操作进行监测，根据监测结果生成执行相应操作的BIOS级日志，并存储该BIOS级日志，实现Pre－OS阶段日志的记录，从而保证Pre－OS阶段对计算机系统所执行的操作的可溯性和不可抵赖性，提高了计算机系统的安全性。

Description

一种BIOS级日志的记录方法及装置

技术领域

本发明属于计算机领域，尤其涉及一种BIOS级日志的记录方法及装置。

背景技术

计算机系统在操作运行过程中存在诸多安全隐患，如计算机可能被不法人员盗用，系统数据可能被恶意窜改，计算机系统可能出现诸多故障等，为了减少计算机的安全隐患，现有技术采用日志记录计算机系统从加电开机到断电关机过程中所进行的所有操作，采用日志审计技术对日志进行审计分析，即时排查计算机系统的安全隐患，如当计算机发生故障时，由于日志中记录了计算机从加电开机到断电关机过程中进行的所有操作，通过对日志进行审计和分析，从而可以快速的对故障进行排查。

计算机系统完整的日志记录包括操作系统预加载(Pre-OS)阶段的日志记录和操作系统(Operating System，OS)加载成功阶段的日志记录。目前计算机系统在成功加载操作系统后的日志记录已趋近成熟和完善，同时对计算机系统成功加载操作系统后的日志记录的审计和分析技术也趋近成熟和完善，为计算机操作系统成功加载后的计算机安全提供了排查依据。但对于操作系统Pre-OS阶段的日志记录和审计分析技术还比较薄弱。

发明内容

本发明实施例的目的在于提供一种BIOS级日志的记录方法，旨在解决现有技术只对计算机系统成功加载操作系统之后的日志进行记录，而难以记录在Pre-OS阶段对计算机系统执行操作的日志的问题。

本发明实施例是这样实现的，一种BIOS级日志的记录方法，所述方法包括下述步骤：

当计算机系统加电开启时，对计算机系统执行的操作进行监测；

根据监测到的操作的执行过程中产生的执行参数生成相应操作的BIOS级日志；

将所述BIOS级日志存储至日志存储区。

本发明实施例的另一目的在于提供一种BIOS级日志的记录装置，所述装置包括：

操作监测模块，用于当计算机系统加电开启时，对计算机系统执行的操作进行监测；

BIOS级日志生成模块，用于根据所述操作监测模块监测到的操作的执行过程中产生的执行参数生成相应操作的BIOS级日志；

BIOS级日志存储模块，用于将所述BIOS级日志存储至日志存储区。

在本发明实施例中，通过对在Pre-OS阶段对计算机系统所执行的各种操作进行监测，根据监测结果生成执行相应操作的BIOS级日志，并存储该BIOS级日志，实现Pre-OS阶段日志的记录，从而保证Pre-OS阶段对计算机系统所执行的操作的可溯性和不可抵赖性，提高了计算机系统的安全性。

附图说明

图1是本发明实施例提供的基于UEFI的BIOS的总体逻辑架构图；

图2是本发明实施例提供的BIOS级日志的记录方法的实现流程图；

图3是本发明实施例提供的BIOS级日志的记录装置的结构示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

在本发明实施例中，通过对在Pre-OS阶段对计算机系统所执行的各种操作进行监测，根据监测结果生成计算机系统在Pre-OS阶段的BIOS级日志，并存储该BIOS级日志，从而实现BIOS级日志的记录。

基本输入输出系统(Basic Input Output System，BIOS)定义了计算机操作系统和系统硬件设备之间的接口，通过调用BIOS提供的各种接口，使操作系统可以与系统硬件设备进行交互。但由于BIOS代码运行缓慢、启动时间长，采用简陋的字符界面使用户体验不佳，代码编写复杂等缺陷，使BIOS逐渐被统一可扩展固件接口(Unified Extensible Firmware Interface，UEFI)取代。其中UEFI重新定义了计算机操作系统和系统硬件设备之间的接口，与BIOS相同，通过调用UEFI提供的各种结构，使操作系统可以与系统硬件设备之间进行交互。由于UEFI采用模块化和C语言风格的参数堆栈传递方式、动态链接的形式构建包含计算机操作系统和系统硬件设备之间的接口的系统，使UEFI代码易于编写，容错和纠错特性强，缩短了系统研发的时间；UEFI运行于32位或64位模式，突破了传统16位代码的寻址能力，达到处理器的最大寻址，从而克服了BIOS代码运行缓慢的弊端；且UEFI内置图形驱动，可以提供一个高分辨率的彩色图形环境，从而为用户提供了图形操作界面。

图1示出了本发明实施例提供的基于UEFI的BIOS的总体逻辑架构。由于其是现有技术，在本发明实施例中，只对其做简单介绍。基于UEFI的BIOS在逻辑上分为三层：最底层是基于UEFI的BIOS运行的硬件环境；中间层是基于UEFI的BIOS所支持的BIOS运行的平台和驱动环境；上层是应用程序模块。

其中底层硬件模块11(Hardware)为基于UEFI的BIOS的运行以及上层应用程序的运行提供了硬件支持。框架协议模块12(Pre-EFI Modules)为基于UEFI的BIOS Driver定义了数据接口协议。运行平台模块13(Foundations)是UEFI组织提供的开源的、待改进的免费开发资源。UEFI接口模块14根据UEFI规范协议定义了上层应用程序接口，通过调用UEFI接口模块14定义的上层应用程序接口，实现底层硬件与上层应用之间的交互。

基于UEFI的BIOS在计算机系统的Pre-OS阶段的操作过程由于是现有技术，其中计算机系统的Pre-OS阶段是指计算机系统从开机启动，计算机系统复位开始，到成功地从磁盘中引导操作系统，操作系统开始控制计算机资源并形成人机互动环境或者界面为止的阶段。由于在Pre-OS阶段对计算机系统所执行的操作是公知技术，在本发明实施例中，只对在Pre-OS阶段对计算机系统所执行的操作做简单介绍如下：

当用户按下计算机电源后，计算机系统开机启动，首先对计算机系统执行加电自检(Power-On Self Test，POST)操作，完成BIOS完整性的度量。当顺利执行完BIOS完整性的度量操作后，开始对计算机系统执行硬件环境检测操作。其中硬件环境是指组成计算机系统的所有硬件设备构成的硬件组，如显卡、内存、CPU、硬盘、CD-ROM、串口、并口、软驱等。当顺利执行完硬件环境检测操作之后，开始对登录计算机系统的用户身份进行认证操作，认证完成后，将对计算机系统加载的OS内核进行完整性检测操作，接着对外围输入/输出(Input/Output，I/O)设备的安全状态进行检测操作，并同时进行I/O端口的设置操作和开机过程中对任何非法设备专用端口资源的事件进行检测操作。当上述操作完毕后，即基于UEFI的BIOS在Pre-OS阶段对计算机系统所要执行的所有操作完毕，至此，成功加载了OS。

本发明实施例提供的BIOS级日志的记录方法是记录在Pre-OS阶段对计算机系统所执行的所有操作的日志，其中BIOS级日志是指在Pre-OS阶段对计算机系统执行操作而产生的相应的操作日志。图2示出了本发明实施例提供的BIOS级日志的记录方法的实现流程。详述如下：

在步骤S201中，当计算机加电启动时，监测在Pre-OS阶段对计算机系统所执行的所有操作。其中在Pre-OS阶段对计算机系统所执行的操作主要包括BIOS和程序加载设备(Initial Program Load Device，IPLY)引导过程中对计算机系统所执行的任何操作，以及对硬盘数据的读取操作。如对计算机系统加电启动后BIOS完整性的度量操作进行监测；对安全硬件环境(包括主板平台和安全硬盘平台)的测量操作进行监测；对开机用户身份的认证操作进行监测；对OS内核完整性的检测操作进行监测；对外围输入/输出(Input/Output，I/O)设备安全状态的检测操作进行监测；以及对I/O端口的设置操作和开机过程中检测到的任何非法设备专用端口资源的事件进行监测。

如当用户按下计算机电源后，计算机系统开机启动，首先对计算机系统执行POST操作，完成BIOS完整性的度量操作。则在此步骤中，对计算机系统执行的POST操作进行监测。

在对计算机系统执行完POST操作后，接着对计算机系统执行硬件环境检测操作，其中硬件环境包括但不限于由显卡、内存、CPU、硬盘、CD-ROM、串口、并口、软驱等组成的硬件组。则在此步骤中，对计算机系统执行的硬件环境检测操作进行实时的监测。

在对计算机系统执行完硬件环境检测操作后，将对计算机系统执行用户登录身份的认证操作。在此步骤中，同样对计算机系统执行的用户登录身份的认证操作进行监测。依此类推，依次对在Pre-OS阶段对计算机系统所执行的任何操作都进行监测，直至计算机系统的Pre-OS阶段结束，即成功加载OS系统为止。

在步骤S202中，根据上述监测结果生成BIOS级日志。其中BIOS级日志记录的内容包括但不限于用户名、操作行为、操作时间、操作结果、设备名、设备地址、操作设备等，日志记录的内容可以根据用户的需要设置。在Pre-OS阶段对计算机系统执行操作过程中，将产生相应操作的执行参数，如执行该操作的用户名、操作行为、执行该操作的时间、执行该操作的结果以及执行该操作的设备名等。

当在步骤S201中，监测到对计算机系统执行POST操作时，根据监测到的POST操作执行过程中产生的执行参数，如执行POST操作的用户名、执行POST操作行为、执行POST操作的时间、POST操作执行的结果等，生成BIOS级的POST操作日志。

当在步骤S201中，监测到对计算机系统执行硬件环境检测操作时，根据执行各硬件设备(如显卡)检测操作过程中产生的执行参数，如执行显卡检测操作的用户名、执行显卡检测操作行为、执行显卡检测操作的时间、显卡检测操作执行的结果等，生成BIOS级的显卡检测操作日志。同理，根据监测到的在Pre-OS阶段对计算机系统执行的其他操作的执行参数，生成BIOS级的相应操作日志。

在步骤S203中，将生成的BIOS级日志存储至日志存储区。当计算机系统还未与硬盘进行交互前，日志存储区包括BIOS的非易失性存储器等，此时可以先将生成的BIOS级日志缓存至BIOS的非易失性存储器中。当计算机系统可以与硬盘进行交互后，日志存储区包括还包括硬盘或者硬盘的保护分区(在本发明实施例中，将硬盘中存储BIOS级日志的存储区称为硬盘日志存储区)，此时，将缓存在BIOS的非易失性存储器中的BIOS级日志转存入硬盘日志存储区。在对BIOS级日志进行存储过程中，根据BIOS级日志的存储顺序自动刷新日志存储区。

当日志存储区的存储空间不足已存储新的BIOS级日志时，为了保证存储的BIOS级日志是最近生成的，在本发明实施例中，当硬盘的日志存储区已满，同时需要存储新的BIOS级日志时，根据BIOS级日志的存储时间，自动删除硬盘日志存储区中最早存储的BIOS级日志，或者根据BIOS级日志占用的存储空间，自动删除硬盘日志存储区中占有空间最大的BIOS级日志，以释放空间存储新的BIOS级日志。

出于安全考虑，现有的计算机系统在与硬盘进行交互前，需要进行平台完整性认证，即进行BIOS系统与硬盘之间的双向认证，如果BIOS系统与硬盘之间的双向认证没有通过，则重新进行BIOS系统与硬盘之间的双向认证，或者重新启动计算机系统，或者结束当前对计算机系统所执行的所有操作。只有在BIOS系统与硬盘之间的双向认证通过之后，才能进行计算机系统与硬盘之间的交互。因此，在这种情况下，步骤S203具体为：

A、存储BIOS级日志至BIOS的非易失性存储器。

B、当BIOS系统与硬盘之间的双向认证通过时，将缓存在BIOS的非易失性存储器中的BIOS级日志转存至硬盘的日志存储区。当BIOS系统与硬盘之间的双向认证未通过时，则重新进行BIOS系统与硬盘之间的双向认证，或者重新启动计算机系统，按照上述步骤实现BIOS级日志的记录，或者结束当前对计算机系统所执行的所有操作。

当计算机系统的Pre-OS阶段运行完毕，则BIOS级日志也记录完毕。

为了避免存储的BIOS级日志被非法盗用，在本发明实施例中，采用特殊的存储格式对BIOS级日志进行存储，即设置BIOS级日志存储区为只读存储区，从而计算机的任何用户都没有写入、删除或者修改存储的BIOS级日志的权限，保证了BIOS级日志的真实性和不可伪造性。同时为该BIOS级日志存储区设置访问权限，只有通过身份检测的用户，才能将存储的BIOS级日志导出至外部存储设备中，如安全员操作权限可以进入安全员管理界面将存储的BIOS级日志导出至外部存储设备中。其中外部存储设备可以是但不限于U盘等。

图3示出了本发明实施例提供的BIOS级日志的记录装置的结构，为了便于说明，仅示出了与本发明实施例相关的部分。

基于UEFI的BIOS系统在Pre-OS阶段将对计算机系统进行一系列的操作，以成功的加载操作系统，由操作系统控制计算机系统资源并形成人机互动环境。如首先调用符合UEFI规范的应用程序驱动接口，完成对计算机系统加电开机后BIOS完整性的度量操作和安全硬件环境(包括主板平台和安全硬盘平台)的测量操作。接着对用户的身份进行认证操作，对OS内核完整性的进行检测操作，对外围输入/输出(Input/Output，I/O)设备的安全状态的进行检测操作，对I/O端口进行设置操作，以及对开机过程中的任何非法设备占用端口资源的事件进行检测操作等。

在本发明实施例中，为了记录在Pre-OS阶段对计算机系统所执行的任何操作的日志，即记录计算机从加电开机开始至成功加载操作系统，且操作系统全面接管计算机系统资源并形成人机互动环境为止的所有BIOS级操作日志。

操作监测模块31在计算机加电启动时监测在Pre-OS阶段对计算机系统所执行的所有操作，由于在Pre-OS阶段对计算机系统所执行的操作属于公知技术，在本发明实施例中，已对其进行简要说明，在此不再赘述。

BIOS级日志生成模块32获取在Pre-OS阶段对计算机系统执行操作时所产生的执行参数，生成对应操作的BIOS级日志。其中BIOS级日志记录的内容包括但不限于用户名、操作行为、操作时间、操作结果、设备名、设备地址、操作设备等，日志记录的内容可以根据用户的需要设置。如当操作监测模块31监测到正在对计算机系统进行POST操作时，获取执行POST操作时，产生的POST操作执行参数，如执行POST操作的用户名、执行POST操作行为、执行POST操作的时间、POST操作执行的结果等，生成BIOS级的POST操作日志。

BIOS级日志存储模块33将BIOS级日志生成模块32生成的BIOS级日志存储至日志存储区。当基于UEFI的BIOS系统还未与硬盘进行交互之前，BIOS级日志存储模块33将BIOS级日志存储至BIOS的非易失性存储器中，当基于UEFI的BIOS系统与硬盘进行交互之后，BIOS级日志存储模块33将BIOS级日志存储至硬盘日志存储区。

当日志存储区存储空间已满时，为了保证存储的BIOS级日志是最近生成的，在本发明实施例中，当日志存储区已满，同时需要存储新的BIOS级日志时，根据BIOS级日志的存储时间，自动删除日志存储区中最早存储的BIOS级日志，或者根据BIOS级日志占用的存储空间，自动删除日志存储区中占有空间最大的BIOS级日志，以释放空间存储新的BIOS级日志。

为了保证计算机安全，现有的计算机系统通常需要在BIOS系统与硬盘之间进行双向认证后，才能进行计算机系统与硬盘之间的交互。因此在BIOS系统与硬盘之间进行双向认证没有通过之前，BIOS级日志存储模块33无法将BIOS级日志存储至硬盘日志存储区。在这种情况下，BIOS级日志存储模块33包括BIOS级日志缓存模块331和BIOS级日志转存模块332。

其中BIOS级日志缓存模块331存储BIOS级日志至BIOS的非易失性存储器。BIOS级日志转存模块332在BIOS系统与硬盘之间的双向认证通过时，将缓存在BIOS的非易失性存储器中的BIOS级日志转存至硬盘的日志存储区。当BIOS系统与硬盘之间的双向认证未通过时，则重新进行BIOS系统与硬盘之间的双向认证，或者重新启动计算机系统，按照上述步骤实现BIOS级日志的记录，或者结束当前对计算机系统所执行的所有操作。

为了避免存储的BIOS级日志被非法盗用，在本发明实施例中，采用特殊的存储格式对BIOS级日志进行存储，即设置BIOS级日志存储区为只读存储区，从而计算机的任何用户都没有写入、删除或者修改存储的BIOS级日志的权限，保证了BIOS级日志的真实性和不可伪造性。同时为该BIOS级日志存储区设置访问权限，只有通过身份检测的用户，才能将存储的BIOS级日志导出至外部存储设备中，如安全员操作权限可以进入安全员管理界面将存储的BIOS级日志导出至外部存储设备中。其中外部存储设备可以是但不限于U盘等。

综上所述，在本发明实施例中，从计算机加电开机开始，即对计算机系统所进行的任何操作都进行监测，直至成功加载操作系统，操作系统开始控制计算机系统资源并形成人机互动界面为止，根据所监测到的操作运行过程中产生的执行参数，生成相应操作的BIOS级日志，并存储生成的BIOS级日志，从而实现了计算机系统在Pre-OS阶段的操作日志的记录，即实现了BIOS级日志的记录，为计算机的维护和安全保障提供了依据。同时通过将存储BIOS日志的存储区设置为只读属性，保证了BIOS级日志的真实性和不可伪造性。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (8)

1、一种BIOS级日志的记录方法，其特征在于，所述方法包括下述步骤：

当计算机系统加电开启时，对计算机系统执行的操作进行监测；

根据监测到的操作的执行过程中产生的执行参数生成相应操作的BIOS级日志；

将所述BIOS级日志存储至日志存储区。

2、如权利要求1所述的方法，其特征在于，所述将所述BIOS级日志存储至日志存储区的步骤具体为：

存储所述BIOS级日志至BIOS的非易失性存储器；

当BIOS系统与硬盘之间的双向认证通过时，将所述非易失性存储器中的BIOS级日志转存至硬盘的日志存储区。

3、如权利要求1或2所述的方法，其特征在于，所述BIOS级日志的内容包括对计算机系统执行操作的用户名、对计算机系统执行的操作行为、对计算机系统执行操作的时间或者对计算机系统执行操作的结果。

4、如权利要求1或2所述的方法，其特征在于，当所述日志存储区不足已存储所述BIOS级日志时，根据所述BIOS级日志的存储时间，删除所述日志存储区中最早存储的BIOS级日志，或者根据所述BIOS级日志的存储空间，删除所述日志存储区中占用存储空间最大的BIOS级日志。

5、一种BIOS级日志的记录装置，其特征在于，所述装置包括：

操作监测模块，用于当计算机系统加电开启时，对计算机系统执行的操作进行监测；

BIOS级日志生成模块，用于根据所述操作监测模块监测到的操作的执行过程中产生的执行参数生成相应操作的BIOS级日志；

BIOS级日志存储模块，用于将所述BIOS级日志存储至日志存储区。

6、如权利要求5所述的装置，其特征在于，所述BIOS级日志存储模块包括：

BIOS级日志缓存模块，用于存储所述BIOS级日志至BIOS的非易失性存储器；

BIOS级日志转存模块，用于当BIOS系统与硬盘之间的双向认证通过时，将所述非易失性存储器中的BIOS级日志转存至硬盘的日志存储区。

7、如权利要求5或6所述的装置，其特征在于，所述BIOS级日志的内容包括对计算机系统执行操作的用户名、对计算机系统执行的操作行为、对计算机系统执行操作的时间或者对计算机系统执行操作的结果。

8、如权利要求5或6所述的装置，其特征在于，当所述日志存储区不足已存储所述BIOS级日志时，根据所述BIOS级日志的存储时间，删除所述日志存储区中最早存储的BIOS级日志，或者根据所述BIOS级日志的存储空间，删除所述日志存储区中占用存储空间最大的BIOS级日志。

Images