CN101714197A

CN101714197A - 基于硬件的反病毒扫描服务

Info

Publication number: CN101714197A
Application number: CN200910211674A
Authority: CN
Inventors: D·N·科拉宗德尔; H·霍斯拉维; S·O·莫法特; D·弗尔吉尼蒂
Original assignee: Intel Corp
Current assignee: Intel Corp
Priority date: 2008-09-30
Filing date: 2009-09-30
Publication date: 2010-05-26
Anticipated expiration: 2029-09-30
Also published as: KR101079910B1; JP5021706B2; CN103400075B; CN101714197B; CN103400075A; JP5539445B2; JP2012198926A; JP2010086538A; EP2169584A3; KR20100037016A; EP2169584A2; US20100083381A1

Abstract

公开一种设备、系统和方法。在一个实施例中，设备包括用于存储文件的存储介质。设备还包括管理引擎。管理引擎访问病毒特征文件。然后，管理引擎通过利用特征文件中的模式来与其中一个或多个文件进行比较而执行反病毒扫描。然后，管理引擎将扫描的结果报告给外部代理。

Description

基于硬件的反病毒扫描服务

技术领域

本发明涉及利用平台内的安全硬件组件来执行反病毒扫描服务。

背景技术

有许多商业服务利用基于预订的软件应用，其中用户预订应用的周期性访问，而不是完全购买该应用。就反病毒软件应用来说，对于想要监视他们的系统以防止rootkit以及可修改他们存储在计算机平台的存储介质(例如硬盘驱动器)上的文件的其它病毒的用户，这种模型是有吸引力的。在在线扫描模型中，远程反病毒服务在本地计算机平台上装设代理(例如，软件应用推模型)，其将利用平台的操作系统服务来在本地执行扫描，然后将结果传送给远程实体，以与最近的特征模式文件相比较。当由远程实体装设的代理以及用于扫描的任何底层操作系统服务没有被修改或篡改时，这种模型通常产生准确的结果。然而，这种假设并不总是成立的，在某些情况下，本地代理和操作系统中的其它组件可能已经被损害，这将继而会损害结果。

发明内容

本发明涉及一种设备，包括：

用于存储多个文件的存储介质；以及

管理引擎(manageaility engine)，用于：

访问病毒特征文件；

通过利用所述特征文件中的一个或多个模式与存储在所述存储介质中的所述多个文件中的一个或多个文件进行比较，来执行反病毒扫描；以及

将所述扫描的结果报告给所述管理引擎外部的代理。

本发明涉及一种系统，包括：

带外信道；

耦合到所述带外信道的远程计算机平台，用于通过所述信道将病毒特征文件发送到本地计算机平台；以及

耦合到所述带外信道的所述本地计算机平台，包括：

用于存储多个文件的存储介质；以及

管理引擎，用于：

从所述远程计算机平台接收所述病毒特征文件；以及

通过利用所述特征文件中的一个或多个模式与存储在所述存储介质中的所述多个文件中的一个或多个文件进行比较，来执行反病毒扫描。

本发明涉及一种方法，包括：

从本地计算机平台向远程计算机平台发送对存储在所述本地计算机平台的存储介质中的文件执行病毒扫描的请求；

从所述远程计算机平台向所述本地计算机平台中的管理引擎发送对所述文件的请求；

所述管理引擎从所述存储介质中检索所述文件；

将所述文件从所述管理引擎发送到所述远程计算机平台；

在所述文件到达所述远程计算机平台时，扫描所述文件以查找一个或多个病毒；以及

将所述病毒扫描的结果从所述远程计算机平台发送到所述本地计算机平台。

附图说明

通过实例说明本发明，并且本发明不受附图限制，在附图中，同样的标记指示类似的元件，并且其中：

图1描述根据若干实施例用于带外管理本地反病毒扫描的系统。

图2描述根据若干实施例用于带外管理远程反病毒扫描的系统。

图3是根据一些实施例在计算机平台上执行基于硬件的代理病毒扫描的过程的流程图。

图4是根据一些实施例在计算机平台上执行基于硬件的无代理病毒扫描的过程的流程图。

图5描述根据若干实施例在系统存储器中提供安全病毒模式存储的平台。

图6是根据若干实施例在系统存储器中提供安全病毒模式存储的过程的流程图。

具体实施方式

本文公开了提供基于安全平台的硬件反病毒扫描服务的设备、系统和方法的实施例。

本地计算机平台包括管理引擎，它可经由带外管理与远程计算机平台通信。带外(out-of-band OOB)管理利用专门的通信信道用于设备和计算机系统的管理和一般维护。通过OOB通信信道进行OOB管理允许管理员远程监视并管理设备和计算机系统。不论计算机本身是否通电，计算机的OOB管理一般都可进行。

远程计算机平台可以向本地计算机平台发送包括病毒模式的病毒特征文件。本地计算机平台可以安全地存储这个特征文件，并且可以通过利用所提供的模式作为参考而利用管理引擎来执行对一个或多个本地存储的文件的扫描。当本地计算机平台中的操作系统和/或其它组件不可操作或者以其它方式潜在地受到恶意病毒或程序的损害时，可以用安全的带外方式执行此扫描。然后，可通过带外接口将扫描的结果报告给远程计算机平台。

以下描述和随附权利要求中提及所公开的技术的“一个实施例”或“实施例”时表示，结合该实施例描述的特定特征、结构或特性包含在所公开的技术的至少一个实施例中。因此，在整篇说明书的不同地方出现短语“在一个实施例中”时不一定都指同一个实施例。

在以下描述和随附权利要求中，可以使用术语“包括”和“包含”以及它们的派生词，并且要将它们作为彼此的同义词对待。另外，在以下描述和随附权利要求中，可以使用术语“耦合”和“连接”以及它们的派生词。应当理解，这些术语不是要作为彼此的同义词。而是，在特定实施例中，“连接”可以用于指示两个或两个以上元件彼此直接物理或电接触。“耦合”可表示两个或两个以上元件直接物理或电接触。然而，“耦合”也可表示两个或两个以上元件没有彼此直接接触，但是仍然彼此协作或交互。

图1描述根据若干实施例用于带外管理本地反病毒扫描的系统。在许多实施例中，该系统包括本地计算机平台100。在不同的实施例中，本地计算机平台100可以包括一个或多个处理器，例如基于

的中央处理单元。这一个或多个处理器中的每个处理器可以具有一个或多个核。本地计算机平台100内的这一个或多个处理器没有在图1中示出。每个处理器耦合到用于存储将由处理器执行的指令的存储器子系统。存储器子系统中的存储器设备可以是：任意类型的易失性动态随机存取存储器(DRAM)，例如双倍数据速率(DDR)同步DRAM；和/或任意类型的非易失性存储器，例如闪存形式。处理器通过处理器-存储器接口耦合到存储器，处理器-存储器接口可以是包含可在处理器和存储器之间传送数据、地址、控制及其它信息的各个线路的链路(即，互连/总线)。在许多实施例中，存储器子系统硬件(即，存储器设备)没有在图1中示出。

尽管没有示出存储器子系统的硬件，但主机操作系统(OS)102代表这样一种操作系统，它将在平台可操作时载入到本地计算机平台100的存储器中，以提供对平台以及附接到平台的任意外围设备的一般操作控制。主机OS 102可以是

UNIX、LINUX或者任何其它功能OS的形式。主机OS 102提供了一种环境，一个或多个程序、服务或代理可在其中运行。在主机OS 102上运行的程序/代理中有反病毒软件代理或浏览器(AV代理)104。AV代理104可以是专有程序，远程病毒保护服务在本地计算机平台100上运行此专有程序以允许用户输入和与病毒扫描及报告相关的反馈。在一些实施例中，AV代理104是在主机OS 102环境的后台中运行的服务。在其它实施例中，AV代理是Java、XML(可扩展标记语言)、HTML(超文本标记语言)或其它基于浏览器的web应用。

另外，在许多实施例中，主机OS 102包括文件系统106，它对如何将文件存储在存储介质108中提供特定的结构。在一些实施例中，存储介质108可以是一个或多个硬盘驱动器。在其它实施例中，存储介质108可以是大型非易失性存储器驱动器。在别的实施例中，存储介质可以是诸如磁带驱动器、光驱动器或另一驱动器的介质。存储介质108可以包括位于本地计算机平台100中的许多文件的所存储的副本。并且如上所述，文件系统106提供了如何存储这些文件的结构。例如，文件系统106可以是基于

NTFS的文件系统。

逻辑组合(complex)110可以包括多个集成控制器，用于管理本地计算机平台100中的存储器子系统和I/O子系统。耦合到逻辑组合110的每个子系统可利用一个或多个控制器与本地计算机平台100中的其余硬件接口。例如，如果存储介质108是SATA(串行高级技术附件)硬盘驱动器，那么存储控制器112可以是SATA控制器。SATA控制器提供硬盘驱动器和本地计算机平台100的其余部分之间的通信接口。在本地计算机平台100内运行的一个或多个驱动器可以与存储控制器112通信以访问存储介质108。

在许多实施例中，本地计算机平台100采用虚拟化引擎114。虚拟化引擎114允许将平台分隔为多个虚拟平台。处理器可在这些多个虚拟平台之间切换执行。虚拟化引擎114包括用于有效地允许本地计算机平台100的其余部分(包括存储介质)支持多个虚拟平台的逻辑。在一些实施例中，虚拟化引擎114可以包括用于存储控制器112的驱动器。

在许多实施例中，逻辑组合110还包括管理引擎116。在不同的实施例中，管理引擎可以包括用于辅助与平台相关的远程管理过程的管理设备、管理固件、或本地计算机平台100中的其它管理逻辑。在许多实施例中，管理引擎是计算机系统中的OOB管理协处理器，它与本地计算机平台100中的这一个或多个处理器并行并且独立地运行。

在许多实施例中，逻辑组合110是芯片组。该芯片组可以包括其它控制逻辑，例如用于提供对系统存储器的访问的存储器控制器以及用于提供对一个或多个I/O互连(即，链路/总线)的访问的一个或多个I/O控制器。在这些实施例中，管理引擎116集成到芯片组中。在一些实施例中，管理引擎116集成到芯片组的存储器控制器集线器(MCH)部分中。在其它实施例中，芯片组(即，逻辑组合)集成到本地计算机平台的中央处理器中。

在许多实施例中，管理引擎116包括与安装(mount)文件系统以访问存储在存储介质108中的文件相关的逻辑。管理引擎还包括通过虚拟化引擎114访问存储介质108的逻辑。

特定地，在许多实施例中，文件系统驱动器118在管理引擎116中运行。在不同的实施例中，文件系统驱动器118可以是NTFS驱动器或另一文件系统的驱动器。驱动器的具体类型取决于用来将文件存储在存储介质108中的文件系统。文件系统驱动器118中的逻辑与文件系统数据结构相关，并且用于将文件系统从存储介质安装到分区中。在许多实施例中，分区位于管理引擎116的固件中。在其它实施例中，分区位于逻辑组合110的另一微控制器(未示出)中。在不同实施例中，微控制器可以运行嵌入式操作系统，例如Linux或ThreadX。

在许多实施例中，管理引擎116还包括文件元数据列表120。文件元数据列表120包括将文件映射到存储介质108中的相应位置的条目。例如，如果存储介质108是硬盘驱动器，那么文件元数据列表120可以包括将文件映射到硬盘驱动器中的相应块的条目。此外，在一些实施例中，文件元数据列表120可以不包括所有文件的条目。而是，该列表可以包含通过创建、损坏、打开及关闭操作而被修改的文件的条目。因此，该列表可以具有现在或曾经存储在存储介质108中并且已经通过所列的操作之一或者另一种能够修改文件的操作以某种方式被修改的文件条目。在其它实施例中，文件元数据列表可以具有存储在存储介质中的所有文件的条目。

此外，在许多实施例中，管理引擎116包括存储驱动器122。存储驱动器122可以用于通过虚拟化引擎114与存储介质108通信。例如，如果请求管理引擎从存储介质108中的某个位置读取文件，那么存储驱动器122可以将请求传送到虚拟化引擎114，虚拟化引擎114通过利用位于虚拟化引擎114内部的存储控制器接口驱动器与存储控制器112通信而提供到存储器介质108的接口。

在许多实施例中，远程计算机平台124位于本地计算机平台100的外部。在不同的实施例中，远程计算机平台124可以是任意类型的计算机平台，例如桌上型、膝上型、工作站、服务器或其它计算机平台。在许多实施例中，远程计算机平台124至少通过OOB通信信道(CC)126耦合到本地计算机平台。在不同的实施例中，OOB通信信道可以包括互连或无线网络。该信道提供用于在本地计算机平台100和远程计算机平台124之间发送信息的安全接口。由于该信道的OOB性质，在许多实施例中，当本地计算机平台100不处于运行或加电状态时，OOB通信信道仍能够将信息传送到本地计算机平台并从本地计算机平台传送信息。例如，即使当没有对本地计算机平台100供电时，远程计算机平台124仍可通过OOB通信信道124将信息发送到本地计算机平台100，本地计算机平台100内的管理引擎116将有效地接收该信息。

在许多实施例中，远程计算机平台124包括远程反病毒服务128。在一些实施例中，远程反病毒服务向管理引擎提供包括病毒模式和定义的一个或多个特征文件(signature file)。在许多实施例中，管理引擎中或本地计算机平台内的其它部分中的逻辑可以执行对存储在存储介质108内的一个或多个文件的扫描，以确定是否存在病毒或其它恶意程序。执行扫描的逻辑通常需要来自特征文件的病毒定义，以便比较文件内的模式而确定存在病毒。因此，在一些实施例中，远程反病毒服务根据请求或者在给定时间自动地将特征文件中的病毒模式上传到管理引擎。在其它实施例中，管理引擎可以直接从远程反病毒服务拉特征文件，例如请求远程服务更新最新的模式。在许多实施例中，管理引擎包含固件，并且具有用于病毒特征文件的固件存储空间。在许多其它实施例中，管理引擎不包含足以存储特征文件的空间，并且因此，可以利用本地计算机平台100中的通用存储器子系统来提供对特征文件的存储。特征文件的大容量存储和存储器子系统存储将在下面关于图3进行详细论述。

在一些实施例中，创建单独的分区以供管理引擎用来存储特征文件。在其它实施例中，管理引擎可以扫描与操作系统共享的分区以查找特征文件的位置。

回到图1，在许多实施例中，病毒扫描在管理引擎116之内或在其本地进行，由此创建OOB病毒扫描情景。例如，远程反病毒服务128可以将特征文件上传到管理引擎116的固件存储空间。然后，利用存储驱动器122来通过虚拟化引擎114访问存储介质108并利用文件系统驱动器118来在本地为管理引擎116安装文件系统，管理引擎116允许管理引擎病毒扫描逻辑对存储在存储介质108中的一个或多个文件执行病毒扫描，而无需来自主机OS 102的任何交互。通过允许管理引擎116对存储介质108的这种直接访问，可以用OOB方式完成病毒扫描。换句话说，管理引擎116可以在主机OS 102不知道的情况下和/或当主机OS 102已经被病毒损害并且不能再安全地操作或完全不能操作时执行病毒扫描。

或者，在其它实施例中，尽管病毒扫描在管理引擎116之内或在其本地进行，但是基于最初通过主机OS 102中的过滤驱动器130发送给管理引擎116的文件元数据存储设备120来确定所扫描的文件。例如，过滤驱动器130可以驻存在主机OS 102中，并起到文件修改报告机构的作用。具体来说，当创建、毁坏、打开、关闭文件等时，过滤驱动器130将该文件修改活动报告给管理引擎116。向管理引擎116发送该元数据，该元数据本质上是存储在存储介质108中的文件的文件修改日志。管理引擎116可以将元数据保存在文件元数据存储设备120中。然后，一旦管理引擎116确定要对存储介质108中的文件运行病毒扫描，便可将与自从前一次扫描以来被修改的文件相关的信息存储在文件元数据存储设备120中。因此，通过仅仅将潜在地可能感染病毒的文件作为目标，管理引擎116的病毒扫描可以更为有效。

在利用过滤驱动器130的实施例中，可以利用安全协议来确认过滤驱动器130未被损害。例如，管理引擎116可以包括白名单(whitelist)(即，管理引擎116认为可接受来执行这种文件修改监视服务的程序列表)。管理引擎116可以通过存储器完整性证明或其它标准软件安全性验证过程来检查过滤驱动器130的真实性。如果过滤驱动器130没有通过验证，则不允许过滤驱动器130将元数据发送到管理引擎116，并且可将该问题通知给在本地计算机平台上运行的反病毒软件代理或浏览器应用104和/或远程反病毒服务128。如果过滤驱动器130通过了验证，那么管理引擎116反病毒扫描过程可以继续。

图2描述根据若干实施例用于带外管理远程反病毒扫描的系统。图2中示出的很多组件与图1中示出的那些组件相似或相同。在许多实施例中，本地计算机平台200具有主机环境202。主机环境202包括反病毒软件代理和/或浏览器应用204、过滤驱动器206、文件系统208和操作系统210。

在许多实施例中，主机环境通过主机嵌入式控制器接口(HECI)214与管理引擎212通信。HECI 214允许主机环境202中的操作系统210及其它组件与管理引擎212直接通信。系统管理信息和事件通过HECI接口传送。HECI又可称为管理引擎接口(MEI)。在其它没有示出的实施例中，主机环境202通过不同于HECI 214的另一接口与管理引擎212通信。

安全服务216在管理引擎内运行以验证并估量(measure)关键的OS组件及过滤驱动器206，从而维护平台的完整性。最后，远程反病毒服务218在远程计算机平台220上运行，以提供远程病毒扫描能力等。

如图2所示的远程反病毒扫描过程可以从本地计算机平台200上的主机环境202的用户打开web浏览器204或其它软件应用、从而与远程反病毒服务218通信开始。用户可以选择要扫描的文件，或者从多个选项中选择一个选项来执行或调度对某些文件类型或某些目录的自动扫描。

远程反病毒服务218接收这个请求以扫描文件(通信A)，并将该请求转发给请求的机器(即，本地计算机平台200)上的管理引擎212(通信B)。管理引擎212将请求发送到过滤驱动器206(通信C)。在许多实施例中，过滤驱动器206受到在管理引擎212中运行的安全服务216的保护(交叉影线表示主机环境中受安全服务216保护的组件)。安全服务216可以估量过滤驱动器206，以验证过滤驱动器206在运行时期间未被恶意程序或病毒修改。

安全服务216也可以估量存在于主机环境的OS 210中的任意关键操作系统组件，以确保这些关键服务未被任何恶意代码修改(通信D)。一旦安全服务216验证所有关键的主机环境组件都是安全的，过滤驱动器便从存储介质读取请求中的文件(尽管图2中未示出存储介质，但它在图1中作为物品108示出)。然后，通过HECI 214将从存储介质读取的信息从过滤驱动器206发送给管理引擎212(通信E)。然后，管理引擎212将文件发送到远程反病毒服务(通信F)。一旦远程反病毒服务接收到与文件相关的信息，远程反病毒服务便对文件运行病毒扫描，并计算关于每个被扫描的文件未感染还是受感染的结果。然后，将扫描的结果传送给浏览器204(通信G)，浏览器204可将结果报告给发起原始请求的用户。

图3是根据一些实施例在计算机平台上执行基于硬件的代理病毒扫描的过程的流程图。过程可以由处理逻辑来执行，处理逻辑可以是硬件(例如，通用计算机系统中的组件)、软件(例如，存储在存储器中的指令)、或硬件和软件的组合。现在转到图3，过程从管理引擎(ME)中的处理逻辑利用存储器完整性证明来将过滤驱动器列入白名单开始(处理方框300)。ME可为过滤驱动器的至少一段可执行代码而估量存储器。然后，可对照已知的完整性检查值估量当前运行的过滤驱动器。如果值匹配，那么过滤驱动器的完整性就通过验证，并且ME可将过滤驱动器列入白名单，否则，如果值不匹配，那么过程将结束，并且可以向远程服务/服务器通知过滤驱动器的问题。这可向远程服务/服务器指示系统的潜在受损状态。

一旦过滤驱动器的完整性通过验证，在文件创建、毁坏、读取、写入、打开、关闭等功能期间，过滤驱动器中的处理逻辑将向ME传递文件系统元数据(处理方框302)。任何会造成对文件的修改的功能都可视为报告相关文件元数据的功能。

接着，ME将元数据列表存储到安全存储位置(处理方框304)。在一些实施例中，在与ME相关联的固件中存在文件元数据的安全存储位置。在其它实施例中，安全存储位置可以是可供ME访问的另一安全微控制器或存储设备。

过程通过ME中的处理逻辑接收到来自远程服务器或服务的反病毒(AV)扫描请求而继续(处理方框306)。扫描请求还可包括含有要扫描的病毒模式的特征文件。

在许多实施例中，对存储在硬盘驱动器中的文件进行扫描。在其它实施例中，对存储在其它形式的存储介质中的文件进行扫描。在硬盘驱动器实施例中，ME中的处理逻辑随后请求虚拟化引擎从硬盘驱动器中检索映射到所存储的元数据的磁盘块(处理方框308)。

然后，ME中的处理逻辑从检索到的磁盘块中重构文件，并对重构后的文件执行AV扫描(处理方框310)。然后，ME中的处理逻辑确定所扫描的文件中的模式与特征文件中的病毒模式是否匹配(处理方框312)。如果发现匹配，那么ME中的处理逻辑发送警报到远程AV服务器或服务(处理方框314)。一旦发送了警报，在一些实施例中，ME中的处理逻辑便等待另一扫描请求(处理方框316)。在其它实施例中，一旦发现匹配，ME便不再执行任何额外的扫描，直到所检测到的病毒已经被处理。否则，回到方框312，如果发现不匹配，那么ME中的处理逻辑等待另一扫描请求(处理方框316)。然后，过程返回到处理方框306。

在图3中没有示出的许多实施例中，每次文件被修改时，处理方框302和304都持续地更新元数据列表。因此，当过程从方框316返回到处理方框306时，自上一次处理逻辑执行方框306以来，元数据列表可能已被更新。

图4是根据一些实施例在计算机平台上执行基于硬件的无代理病毒扫描的过程的流程图。过程可以由处理逻辑来执行，处理逻辑可以是硬件(例如，通用计算机系统中的组件)、软件(例如，存储在存储器中的指令)、或硬件和软件的组合。过程中论述的组件涉及到图1和图2中示出的组件。现在转到图4，过程从管理引擎(ME)中的处理逻辑利用文件系统驱动器以及与虚拟化引擎通信的存储驱动器将硬盘作为只读分区安装而开始(处理方框400)。如图1中所论述，VE具有对存储介质(在图4中，它包括硬盘驱动器)的访问权。

接着，ME中的处理逻辑利用文件系统驱动器从硬盘中读取一个或多个文件(处理方框402)。接着，ME中的处理逻辑从远程服务器或服务接收AV扫描请求(处理方框404)。扫描请求还可包括含有要扫描的病毒模式的特征文件。

然后，ME中的处理逻辑利用文件系统驱动器从只读分区中读取要扫描的文件，并对文件执行AV扫描(处理方框406)。然后，ME中的处理逻辑确定在所扫描的文件中是否发现病毒模式匹配(处理方框408)。如果发现匹配，那么ME中的处理逻辑发送警报到远程AV服务器或服务(处理方框410)。一旦发送了警报，在一些实施例中，ME中的处理逻辑便等待另一扫描请求(处理方框412)。在其它实施例中，一旦发现匹配，ME便不执行任何额外的扫描，直到所检测到的病毒已经被处理。否则，回到方框408，如果发现不匹配，那么ME中的处理逻辑便等待另一扫描请求(处理方框412)。然后，过程返回到处理方框404。

图5描述根据若干实施例在系统存储器中提供安全病毒模式存储的平台。本地计算机平台500可以具有与图1和图2中的本地计算机平台上的那些组件相同或相似的组件。在许多实施例中，本地计算机平台500包括操作系统502，其对多个组件提供用户和系统级控制。如上所述，操作系统可以是基于

的操作系统、基于Linux的操作系统、基于UNIX的操作系统、或许多其它可用的操作系统之一。

操作系统502被准予访问系统存储器504。系统存储器可以包括一种类型的DRAM、闪存或任意其它形式的存储器，这些存储器可以用来存储指令和一个或多个处理器以及任意其它能够访问存储器的组件的数据。该平台还包括病毒检测软件506。在不同的实施例中，病毒检测软件可以是在操作系统502之上运行的软件应用、在操作系统的后台运行的软件代理或服务、web浏览器应用、或在本地计算机平台500上运行的任意其它形式的软件。

另外，本地计算机平台500包括管理引擎508。如上文关于图1和图2所论述，管理引擎508执行许多平台管理任务，并且能够以OOB方式操作以与远程计算机平台510通信。远程计算机平台510包括用于提供特征文件更新以及其它病毒评估帮助的远程反病毒服务512。另外，出于远程管理的目的，管理引擎也可以提供对本地计算机平台500的远程访问。管理引擎508包括命令接口514，它允许管理引擎从在平台上运行的软件代理远程地接收命令。另外，管理引擎508可以包括直接存储器访问(DMA)接口516，用以向管理引擎508提供对平台中的系统存储器504的直接访问。DMA接口允许管理引擎508使用存储器504而不需要操作系统502准予访问。

在许多实施例中，病毒检测软件506获得含有一个或多个病毒模式的一个或多个文件或数据块。病毒模式文件也可以称为病毒特征文件。为了解释的方便，将把病毒模式称作单个特征文件。病毒检测软件506可以从远程计算机平台510中的远程反病毒服务512接收特征文件。在许多实施例中，管理引擎508利用特征文件来将特征文件中的模式与存储在平台中的其它文件中的模式相比较。如果对于特定文件存在模式匹配，那么管理引擎508将确定该文件具有病毒。特征文件可以是大文件，因为存在许多病毒，并且所有已知的模式都将存储在该文件中。在图1和图2中论述的许多实施例中，管理引擎508将把特征文件存储在本地管理引擎508固件存储设备中。

本地固件存储设备可能不具有足以存储大特征文件的大小。因此，可将特征文件存储在系统存储器504中。当将特征文件存储在系统存储器504中时，需要安全机制来保护特征文件，以使其不会受到在操作系统502中运行的恶意程序和病毒的损害。

在许多实施例中，特征文件可以存储在硬盘驱动器或其它大容量存储设备(例如存储介质520)上。在这些实施例中，当管理引擎508开始病毒扫描时，它可以将特征文件从存储介质520载入到存储器504中。

在许多实施例中，远程计算机平台510用卖方私钥518来标记特征文件，然后将特征文件推送到本地计算机平台500。因此，标记后的特征文件可以作为具有标记的特征文件522a存储在存储介质520中，或者作为具有标记的特征文件522b存储在存储器504中。卖方私钥是分配给病毒软件卖方的密钥。做标记可以包括远程计算机平台510在文件上配合私钥利用哈希，这将提供可利用公钥证实的唯一模式。

然后，可将具有标记的特征文件522发送给存储介质520(文件522a)或存储器504(文件522b)(通信A)。如果首先将特征文件发送给存储介质520，那么当管理引擎508要利用该文件来进行病毒扫描时，随后将该文件从存储介质520发送到存储器504。然后，病毒检测软件506通知管理引擎508(通信B)已将具有标记的特征文件522b载入到存储器504中。在许多实施例中，病毒检测软件506也可以提供存储器中载入特征文件522b的具体位置。

然后，管理引擎508在存储器504中检查特征文件522b(通信C)，并通过利用存储在管理引擎508中的可信公钥524来证实文件的真实性。在许多实施例中，可信公钥524可以由可信的一方(例如IT管理员)存储在管理引擎508中。如果特征文件522b是有效的，那么管理引擎508可以使用存储在文件中的模式来对一个或多个文件执行病毒扫描。要扫描的文件可以存储在存储介质520、存储器504(例如，通信D)、或平台的其它地方中。在许多实施例中，管理引擎508可以从特征文件中搜索黑名单(已知的恶意模式)，以定位那些存储在平台的其它地方的模式。

在许多实施例中，如果管理引擎508发现存在病毒或其它恶意代码片段，那么管理引擎508可通过OOB信道向用户或远程代理发出关于存在病毒/恶意代码的警报。

图6是根据若干实施例在系统存储器中提供安全病毒模式存储的过程的流程图。该过程可以由处理逻辑来执行，处理逻辑可以是硬件(例如，通用计算机系统中的组件)、软件(例如，存储在存储器中的指令)、或硬件和软件的组合。在过程中论述的组件涉及图5中所示的组件。现在转向图6，该过程以病毒检测软件中的处理逻辑将由软件卖方私钥标记的病毒模式载入到存储器中而开始(处理方框600)。

一旦将病毒模式(即，特征文件)载入到存储器中，那么病毒检测软件中的处理逻辑便通知ME已将病毒模式载入到存储器中(处理方框602)。在许多实施例中，该通知还向ME提供存储器中模式所在的位置。然后，ME中的处理逻辑接收来自远程服务器或服务的AV扫描请求(处理方框604)。

在接收到请求之后，ME中的处理逻辑利用存储在ME中的公钥检查存储器中的特征文件以查找有效特征(例如，证实模式的完整性)(处理方框606)。然后，处理逻辑基于检查确定特征文件是否有效(处理方框608)。

如果特征文件无效，那么ME中的处理逻辑发送警报到远程AV服务器或服务(处理方框610)。

否则，如果特征文件有效，那么ME中的处理逻辑可利用特征文件来执行病毒扫描(处理方框612)。在扫描之后，处理逻辑可返回到方框604。

因此，公开了提供基于安全平台的硬件反病毒扫描服务的设备、系统及方法的实施例。上文参照其具体示范性实施例描述了这些实施例。对于受益于本公开的人们来说很明显的是，在不脱离本文描述的实施例的更宽广的精神和范围的情况下，可以对这些实施例做出各种修正和改变。因此，应将本说明书和附图视为是说明性而非限制性的。

Claims

1.一种设备，包括：

用于存储多个文件的存储介质；以及

管理引擎，用于：

访问病毒特征文件；

将所述扫描的结果报告给所述管理引擎外部的代理。

2.如权利要求1所述的设备，其中所述管理引擎还包括：

用于存储所述多个文件中的一个或多个文件的元数据的固件，所述元数据将所述一个或多个文件映射到所述存储介质中的一个或多个位置。

3.如权利要求2所述的设备，其中所述管理引擎还可操作以：

利用从所述元数据映射的位置，从所述存储介质请求与所述多个文件中的一个或多个文件相关的块信息；以及

在安全位置从所述块信息重构所述文件用于进行所述反病毒扫描。

4.如权利要求3所述的设备，还包括：

过滤驱动器，用于确定所述多个文件中的文件何时被修改；以及

将对应于所修改的文件的元数据发送到所述管理引擎固件。

5.如权利要求1所述的设备，其中所述固件还可操作以存储：

文件系统驱动器，其用于将文件系统从所述存储介质安装到分区中；以及

存储介质驱动器，其用于与所述存储介质通信。

6.如权利要求5所述的设备，还包括用于控制对所述存储介质的访问的控制器，其中所述管理引擎利用所述存储介质驱动器与所述控制器通信。

7.如权利要求6所述的设备，其中所述管理引擎还可操作以：

接收来自所述外部代理的对所述一个或多个文件中的至少一个文件执行病毒扫描的请求；以及

利用所安装的分区对所述一个或多个文件中的所述至少一个文件执行所述病毒扫描。

8.如权利要求2所述的设备，其中所述固件还可操作以存储所述特征文件。

9.如权利要求1所述的设备，还包括病毒检测代理，用于：

利用分配给所述代理的私有安全密钥来安全地标记所述特征文件；以及

将带有标记的特征文件存储在所述设备的存储器的部分中。

10.如权利要求9所述的设备，其中所述管理引擎还可操作以：

将公共安全密钥本地存储在所述管理引擎中；

确定所述带有标记的特征文件在所述存储器中的位置；以及

利用所存储的公共密钥确定所述特征文件的有效性。

11.一种系统，包括：

带外信道；

耦合到所述带外信道的所述本地计算机平台，包括：

用于存储多个文件的存储介质；以及

管理引擎，用于：

从所述远程计算机平台接收所述病毒特征文件；以及

12.如权利要求11所述的系统，其中所述系统还包括：

芯片组，其中所述管理引擎集成到所述芯片组中，并且包括用于存储所述多个文件中的一个或多个文件的元数据的固件，所述元数据将所述一个或多个文件映射到所述存储介质中的一个或多个位置。

13.如权利要求12所述的系统，其中所述管理引擎还可操作以：

14.如权利要求13所述的系统，其中所述本地计算机平台还包括：

将对应于所修改的文件的元数据发送到所述管理引擎固件。

15.如权利要求11所述的系统，其中所述固件还可操作以存储：

存储介质驱动器，其用于与所述存储介质通信。

16.如权利要求15所述的系统，其中所述本地计算机平台还包括用于控制对所述存储介质的访问的控制器，其中所述管理引擎利用所述存储介质驱动器与所述控制器通信。

17.如权利要求16所述的系统，其中所述管理引擎还可操作以：

18.如权利要求12所述的系统，其中所述固件还可操作以存储所述特征文件。

19.如权利要求11所述的系统，其中所述本地计算机平台还包括病毒检测代理，用于：

将带有标记的特征文件存储在所述本地计算机平台的存储器的部分中。

20.如权利要求19所述的系统，其中所述管理引擎还可操作以：

将公共安全密钥本地存储在所述管理引擎中；

确定所述带有标记的特征文件在所述存储器中的位置；以及

利用所存储的公共密钥确定所述特征文件的有效性。

21.一种方法，包括：

所述管理引擎从所述存储介质中检索所述文件；

将所述文件从所述管理引擎发送到所述远程计算机平台；

22.如权利要求21所述的方法，还包括：

通过位于所述本地计算机平台中的过滤驱动器取得对所述本地计算机平台中的所述存储介质的访问权。

23.如权利要求22所述的方法，还包括：

利用在所述管理引擎中运行的服务来估量所述过滤驱动器，以确定所述过滤驱动器是否安全。

24.如权利要求21所述的方法，还包括：

利用在所述管理引擎中运行的服务来估量所述本地计算机平台中的一个或多个关键运行时组件，以确定所述一个或多个关键运行时组件是否安全。

25.如权利要求24所述的方法，还包括：

当确定所述一个或多个关键运行时组件中的至少一个组件不安全时，中止从所述存储介质检索所述文件；以及

将安全漏洞通知发送到所述远程计算机平台。