CN101809540A - 用于激活虚拟化的计算机应用的网络背景触发 - Google Patents

用于激活虚拟化的计算机应用的网络背景触发 Download PDF

Info

Publication number
CN101809540A
CN101809540A CN200880010030A CN200880010030A CN101809540A CN 101809540 A CN101809540 A CN 101809540A CN 200880010030 A CN200880010030 A CN 200880010030A CN 200880010030 A CN200880010030 A CN 200880010030A CN 101809540 A CN101809540 A CN 101809540A
Authority
CN
China
Prior art keywords
operating system
application program
leak
computer system
monitoring agent
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN200880010030A
Other languages
English (en)
Other versions
CN101809540B (zh
Inventor
保罗·格莱希奥夫
马克·巴克
蒂莫西·库伊克
大卫·汤普森
马晓雪
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Cisco Technology Inc
Original Assignee
Cisco Technology Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Cisco Technology Inc filed Critical Cisco Technology Inc
Publication of CN101809540A publication Critical patent/CN101809540A/zh
Application granted granted Critical
Publication of CN101809540B publication Critical patent/CN101809540B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1415—Saving, restoring, recovering or retrying at system level
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/2866—Architectures; Arrangements
    • H04L67/30—Profiles
    • H04L67/306—User profiles

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Debugging And Monitoring (AREA)
  • Computer And Data Communications (AREA)

Abstract

一种计算机系统，包括：至少一个容宿操作系统和应用程序的受控执行空间；耦合到受控执行空间的漏洞监视代理；耦合到漏洞监视代理的一个或多个漏洞简档，其中，这些漏洞简档中的每一个漏洞简档包括应用程序标识符、操作系统标识符、漏洞规格和修补行为，漏洞规格描述应用程序标识符所指示的应用程序在被利用操作系统标识符所指示的操作系统执行时的漏洞，修补行为将在被执行时修补漏洞；其中，漏洞监视代理被配置为操作系统和应用程序在监视受控执行空间中的执行，检测执行期间与漏洞相关联的异常，基于这些漏洞简档之一来确定用于操作系统和应用程序的修补行为，并且促成该修补行为。

Description

用于激活虚拟化的计算机应用的网络背景触发
技术领域
本发明一般地涉及网络数据处理应用。更具体而言，本发明涉及用于激活虚拟化的计算机应用的技术。
背景技术
这部分所描述的方法可被探寻，但是不一定是之前已经设想到或探寻过的方法。因此，除非在这里以其他方式指出，否则这部分中所描述的方法对于本申请中的权利要求不是现有技术，并且不承认因为包括在这部分中而成为现有技术。
网络管理员试图保护网络设备和软件不受由有缺陷的或不怀好意的系统或应用所施加的损害。网络中的主机上被损坏的应用或操作系统(单独考虑)通常不认为是问题。然而，如果该损坏使得感染其他系统或使数据中毒，或者防止操作系统正确运行并且防止操作系统正确监管或容宿(host)应用，则被损坏的应用或操作系统变成问题。
操作系统中所嵌入的受信(trusted)软件代理可以用来扫描本地系统来查找策略违反条件，并且可以使用扫描中所获得的信息来做出有关使能通过网络的通信的决定。使用这样的方法的系统包括网络准入控制(NAC)、网络访问保护(NAP)和/或受信网络连接(TNC)。
基于网络设备在哪里连接到网络以及已经将什么软件或数据装载到该设备上，网络设备可以更受信任或不那么受信任。对于这样的设备，受信软件代理方法的安全性取决于代理中所实现的保护机制的质量。充分确定的攻击者可能能够从操作系统内颠覆这些代理的保护机制，从而损坏在运行的操作系统以及连接到该操作系统的系统。已知因特网上暴露的易受攻击的操作系统容易在越来越短的时间规模内受到攻击。
此外，应用被越来越多地绑定到操作系统的特定版本(应用在这些版本上运行)。该绑定通常包括OS和应用两者的各种版本的内核(kernel)和补丁。一些绑定影响安全性；其他绑定可能影响应用功能性，并且在一些情况中，这些绑定影响安全性和功能性两者。即使当应用和操作系统的漏洞(vulnerability)是已知的并且补丁是可用的，应用这些补丁或其他修补步骤的副作用也可能使得对于网络或服务器管理员来说，采取保护行为或执行修补还不如处理感染。
附图说明
在附图的示图中通过示例而非限制来说明本发明，在附图中，相似的标号指相似的元件，并且其中：
图1是漏洞检测和修补系统的示例性实施例的框图；
图2是示例性漏洞简档(profile)的框图；
图3是使用网络背景触发(network context trigger)来限制虚拟化的操作系统和应用的方法的流程图；
图4是用于基于所保存的数据和网络背景触发来对虚拟化的操作系统和应用重新进行镜像的方法的流程图；
图5是图示出可以实现实施例的计算机系统的框图。
具体实施方式
公开了基于网络背景触发来激活虚拟化的操作系统和应用的方法和设备。在以下描述中，为了说明的目的，阐述了许多具体细节以提供对本发明的透彻理解。然而，对于本领域技术人员显而易见的是，可以在没有这些具体细节的情况下实施本发明。在其他实例中，以框图的形式示出了公知的结构和装置以避免不必要地使本发明模糊。
在这里根据以下概要来描述实施例：
1.0一般概述
2.0示例性漏洞检测和激活系统
2.1功能概述
2.2示例性主机、控制系统和漏洞简档
2.3操作示例
3.0实现机制——硬件概述
4.0扩展和替换
1.0一般概述
本发明实现了前述背景技术中所确定的需要以及对于以下描述变得显而易见的其他需要和目的，在一个方面中，本发明包括一种计算机系统，该计算机系统包括：至少一个容宿操作系统和应用程序的受控执行空间；耦合到受控执行空间的漏洞监视代理；耦合到漏洞监视代理的一个或多个漏洞简档，其中，这些漏洞简档中的每一个漏洞简档包括应用程序标识符、操作系统标识符、漏洞规格和一个或多个修补行为(remedialaction)，漏洞规格描述应用程序标识符所指示的应用程序在被利用操作系统标识符所指示的操作系统执行时的漏洞，修补行为将在被执行时修补漏洞；其中，漏洞监视代理被配置为监视操作系统和应用程序在受控执行空间中的执行，检测执行期间与漏洞相关联的异常(anomaly)，根据一个或多个基于策略的规则、基于这些漏洞简档之一来确定用于操作系统和应用程序的修补行为，并且促成该修补行为。
在一个特征中，漏洞监视代理耦合到重新镜像系统，重新镜像系统耦合到应用和操作系统的拷贝的仓库，并且漏洞监视代理还被配置为检测应用程序或操作系统被损坏，从受控执行空间中移除应用程序或操作系统，并且请求重新镜像系统利用应用程序和操作系统的新拷贝来对受控执行空间重新进行镜像。
在另一个特征中，漏洞监视代理还被配置为基于与应用程序和操作系统相关联的一个或多个组件或数据集合来生成第一数字签名，取回受信第二数字签名，并且确定第一数字签名是否与第二数字签名相匹配。
在另一特征中，漏洞监视代理耦合到共享数据仓库和重新镜像系统，重新镜像系统耦合到应用和操作系统的拷贝的仓库，并且漏洞监视代理还被配置为检测应用程序或操作系统被损坏，将与应用程序或操作系统相关联的数据(静态数据和动态运行时状态两者)存储在共享数据仓库中，从受控执行空间中移除应用程序或操作系统，并且请求重新镜像系统利用应用程序和操作系统的新拷贝来对受控执行空间重新进行镜像并且恢复所保存的数据。
在另一特征中，管理域控制器通过网络耦合到漏洞监视代理，并且管理域控制器被配置为控制对漏洞简档的访问。在另一特征中，受控执行空间包括虚拟机监视器。
在另一特征中，漏洞监视代理、受控执行空间、应用程序和操作系统在第一计算机中，并且漏洞简档在通过网络耦合到第一计算机的第二计算机中。在另一特征中，该计算机系统包括I/O栈，该I/O栈包括第二漏洞监视代理，并且第二漏洞监视代理被配置为监视应用程序或操作系统与I/O栈的一个或多个交互。在相关特征中，提供了漏洞监视代理的多个实例，这些实例中的每一个实例被容宿在处理器元件之一(例如，多核心处理器上的核心)上，并且这些实例中的每一个实例被配置为通过一个或多个仲裁出的套接字连接向其他实例传送有关检测到的漏洞的信息。在该上下文中，术语“I/O栈”是指网络I/O栈或存储I/O栈。
在另一特征中，漏洞监视代理被配置为限制网络接口中的一个或多个网络接口上的通信，限制对一个或多个网络资源的使用，限制对计算机系统的资源的使用、限制对网络带宽的使用，限制对一个或多个网络端口的使用，或者限制对某些块设备、文件系统、目录、文件和/或注册表条目的读和/或写访问。
在其他方面中，本发明包括一种计算机实现的方法和一种包括执行以上特征中的一个或多个特征的逻辑的计算机可读存储介质。
2.0示例性漏洞检测和激活系统
2.1功能概述
在一个实施例中，提供了一种用于控制和监视操作系统和应用的系统和方法。一个或多个操作系统(OS)和相应的应用(OS-应用)在多个受控执行空间中执行。使用监视代理来监视OS和OS-应用。该系统存储漏洞简档，这些漏洞简档指明OS和其上运行的一组OS-应用的每种组合的已知漏洞。监视代理可以检测OS和/或OS-应用内的损坏(corruption)。作为响应，系统可以基于漏洞简档来对应用激活或行为施加限制。限制可以包括：禁止访问或带宽消耗，通过流量限制或端口限制来施加受限制的网络连接性或网络隔离，限制或阻止OS系统调用以及其他限制。此外，作为响应，该系统可以擦除OS和OS-应用的损坏的软件镜像以及所生成的数据，并且可以提取并启动OS和OS-应用的新拷贝以及清洁的数据。
在一个实施例中，操作系统和OS应用通过使用虚拟机监视器(VMM)而在执行隔离系统中被运行和监视，该虚拟机监视器分配存储器并且控制计算机和连网资源以在虚拟机上运行镜像。执行隔离系统可以提供多个受控执行空间。例如，多个虚拟机可以用作受控执行空间。由VMM创建的各个虚拟机可以运行不同的OS和OS-应用的集合。
在一个特征中，VMM通过监视代理与管理域控制器(MDC)交互。MDC包含用于解释计算和网络需求并且形成用于资源配置的指令的策略。MDC从VMM的监视代理接收有关OS和OS-应用的操作信息。如果在OS或OS-应用中检测到问题，则通知MDC。VMM的监视代理从MDC接收有关OS和OS-应用的策略指令。
在一个实施例中，监视代理使用漏洞简档(VP)来运行和检查OS和OS-应用。VP与以下各项有关：标识OS的信息、标识OS-应用的信息、标识OS和一组OS-应用的特定组合的异常的信息和可以用来减轻问题的基于策略的行为。可以由VMM在资源的配置中应用这些行为。例如，如果对于OS与应用集合版本的特定组合而言漏洞是已知的，则可以修改(tailor)该组合的配置和其他属性来使它们的影响最小。具体示例包括限制总运行时间或端口配置，或者引入写许可。可替换地，可以在检测到或者预期到异常时动态地应用这些行为。
在一个实施例中，VP指明OS和OS-应用的一个或多个特性和一个或多个漏洞。漏洞例如可以包括：OS和OS-应用可能潜在地用来散播损坏的机制；指示已经发生数据中毒的特性或信号；运行中的镜像可被认为是存活的(viable)时间长度；以及其他漏洞。
响应于检测到漏洞，该系统可以对应用活动性(activity)施加各种限制。示例性限制包括：禁止对网络资源的访问；通过抑制流量速率(traffic rate)来限制带宽消耗；通过允许应用流量限制、端口限制和OS系统调用来实现子网连接性限制或隔离。例如，当异常或损坏被检测到时，使用系统调用监视器来限制OS的操作。作为另一示例，限制网络上所允许的通信类型。作为另一示例，限制对诸如块设备之类的存储装置、文件系统、文件和注册表条目的读和/或写访问。作为另一示例，检查OS-应用以发现运行中的进程的错误，这些错误可能需要对运行中的镜像的数据进行点检验(checkpoint)并且启动运行中的镜像的新拷贝。
作为另一示例，响应限制可以包括：提取潜在地损坏的数据文件，通过清理器(scrubber)运行这些文件来消除损坏，并且之后将这些文件供给所恢复的OS与应用集合。在这种情况中，数据、OS和应用都被清扫了。在一个实施例中，仅数据被被清理了，因为OS和应用未被污染。
在一个实施例中，如果检测到运行镜像的损坏，则重新镜像系统在虚拟机或隔离VMM的域(VMM-isolated domain)内重新构建OS应用的运行镜像，以提供容宿在SAN或本地盘中的正确干净的镜像。如果需要对OS-应用重新进行镜像，则之前由损坏的OS系统和应用创建的数据的拷贝被移除并且被存储在数据仓库中。当已经获得了OS系统和OS-应用的正确干净的镜像时，所存储的数据从该仓库中被取回，并且被重新插入到新的干净的镜像中。然后，校正后的镜像被重启。
因此，如果存在漏洞的已知相关背景，则可以通过在允许其他关键任务操作进行的同时禁止这样的操作的监视软件来使漏洞被越过。
2.2示例性主机、控制系统和漏洞简档
图1是漏洞检测和修补系统的示例性实施例的框图。主机计算机106包括执行隔离系统108、重新镜像系统160、操作系统120、硬件130和输入/输出(I/O)栈140。执行隔离系统108内由主机计算机106执行的操作系统和应用是使用这里的技术来监视和限制或修补的对象。
在一个实施例中，主机计算机106通过与网络I/O栈耦合的硬件130中的一个或多个网络接口而耦合到网络。该网络可以包括局域网、广域网、因特网或它们的组合。重新镜像系统160和管理域控制器150可以使用该网络耦合到主机计算机106。
执行隔离系统108包括漏洞监视代理110，漏洞监视代理110耦合到一个或多个受控执行空间112A、112B。受控执行空间112A、112B中的每一个都容宿应用和操作系统，应用和操作系统被整体标注为114A、114B。在执行隔离系统108中可以有任何数目的执行空间112A、112B。
漏洞监视代理110耦合到管理域控制器150，管理域控制器150耦合到漏洞简档102。漏洞监视代理110从管理域控制器150接收用于监视的指令和基于策略的行为。管理域控制器150从漏洞监视代理110接收有关执行隔离系统108内运行的OS-应用114A、114B的操作信息。
漏洞监视代理110依赖于一个或多个漏洞简档102来监管受控执行空间112A、112B内的OS-应用114A、114B。在一个实施例中，漏洞简档102包括将在执行隔离系统108中执行的操作系统和应用的特性和已知漏洞相关联的信息。例如，对于OS和OS-应用的每种组合，漏洞简档102包括：标识OS和OS-应用可能用来散播损坏的机制的信息、数据中毒的影响和运行镜像随时间的活力。漏洞简档102还包括基于策略的行为，基于策略的行为可以在资源的配置中或在OS和OS-应用的操作期间被用来减轻问题、清扫问题或限制行为。
图2是示例性漏洞简档102的框图。在一个实施例中，漏洞简档102被构建为一种数据表，该数据表具有应用列202、操作系统列204和漏洞列206。应用列202存储OS-应用的标识符。操作系统列204存储操作系统的标识符，OS-应用在这些操作系统下执行。应用列202中所标识的每个应用可以与操作系统列204中所标识的多个不同操作系统相关联；因此，列202可以具有复制的条目。漏洞列206标识同一行中出现的应用和操作系统的组合的一个或多个漏洞，作为具体的漏洞条目。因此，对于应用202和操作系统204中的每一个，存储并且维护一个或多个相关联的漏洞206。
在一个实施例中，基于XML的简档构成漏洞信息和相关策略。
漏洞的示例包括：如表格条目210中所指示的存储器泄露，如条目212中的输入太多记录造成页面出错，以及如条目214中的试图在端口4122上使用被禁止的对等协议来建立连接。图2中所示出的值是示例，并且可以使用任何其他合适的值。
在一个实施例中，漏洞简档102还包括策略列208，策略列208标识当所指示的漏洞被检测到时系统应当施加的响应策略或限制。可替换地，策略或限制可以存储在管理域控制器150中。
管理域控制器150监视主机计算机106以确定操作系统和相关联的应用是在恰当地操作还是被损坏或已经产生异常。在一个实施例中，管理域控制器150在主机计算机106上运行。在另一实施例中，管理域控制器在主机计算机的特定处理器核心上执行。可替换地，管理域控制器150可以被容宿在分离的计算机上。此外，管理域控制器150可以先在主机计算机106上操作，然后在主机计算机106被威胁时迁移到分离的计算机，或者为了提供消耗比主机计算机的处理器所能够提供的资源更多资源的服务而迁移到分离的计算机。
管理域控制器150与执行隔离系统108通信。执行隔离系统108管理与OS-应用114A、114B和操作系统的通信。执行隔离系统108可以对这些操作系统的任何操作系统实现限制性行为。可替换地，执行隔离系统108可以管理对这些操作系统中的一个的启动。
在一个实施例中，这里针对管理域控制器150所描述的监视和控制功能可以嵌入到执行隔离系统108中。可替换地，I/O栈140用来控制跨越(across)共享存储器的通信。I/O栈140依赖于针对硬件和软件的处理器和存储器虚拟化。栈140可以包括：网络I/O栈、存储I/O栈或其他I/O栈。在一个实施例中，栈140包括网络I/O栈，并且分离的存储I/O栈142提供对共享数据仓库116的访问。
使用执行隔离系统108中或分离的异构客户OS(guest OS)中的漏洞监视代110，通过基于网络的代理可以检查OS-应用114A、114B之间的数据通信，其中漏洞监视代110提供网络流量的交换和路由，以及对公共嵌入代码签名的监视。公共嵌入代码签名的示例包括宏、Javascript、Java VM代码和二进制代码。
在一个实施例中，主机计算机106包括耦合到应用-OS仓库104的重新镜像系统160，并且该主机计算机耦合到共享数据仓库116。然而，可以在相同的存储单元、仓库或关系数据库系统中实现漏洞简档102、应用-OS仓库和共享数据仓库116。
应用-OS仓库104存储应用-OS镜像114A、114B的拷贝。共享数据仓库116可以存储应用-OS 114A、114B在操作中生成的数据。重新镜像系统160可以取回应用-OS镜像114A、114B的拷贝并且将镜像传送给执行隔离系统108。
在一个实施例中，应用-OS仓库104存储各个应用-OS 114A、114B的哈希值(hash value)、消息认证码或其他数字签名。当重新镜像系统160取回特定应用-OS 114A的拷贝并且将它传送给主机计算机106时，该重新镜像系统基于该拷贝生成新的数字签名并且确定新的数字签名是否与所存储的数字签名相匹配。因此，当应用-OS 114A的镜像传送到存储器中时，重新镜像系统160验证应用-OS的签名。在一个实施例中，不要求有关应用/OS的数字签名包括块设备的单个哈希，因为该应用/OS中所存储的数据中的部分数据可能改变，这部分数据例如是临时文件、页面文件、一些注册表条目、配置文件、所存储的状态信息以及诸如访问次数之类的文件元数据。在一个实施例中，应用/OS的签名包括用于各种文件、注册表条目和/或块的一组签名，该组签名与哪些文件、注册表条目和其他数据应当与某些签名相匹配以及哪些应当仅因为改变而被指明的列表相关联地存储。此外，在一个实施例中，漏洞监视代理110通过周期性地通过运行镜像计算新的数字签名并且将新的数字签名与应用-OS仓库104中所存储的数字签名相比较，可以确定应用-OS的运行镜像是否已经变得被损坏。如果签名不匹配，则运行镜像被损坏并且可以采取响应行为。
在一个实施例中，在检测到应用-OS 114A、114B中的任何一个或相关联的操作系统被损坏之后，漏洞监视代理110利用恰当的标识信息将被损坏的应用-OS 114A、114B所创建的数据的拷贝传送给共享数据仓库116，以辅助稍后的取回。然后，漏洞监视代理110请求重新镜像系统160来获得被损坏的应用-OS 114A、114B的新镜像并且将其装载到执行隔离系统108中。作为响应，重新镜像系统160从应用-OS仓库104获得被损坏的应用-OS 114A、114B的新镜像，在必要的情况下恢复来自共享数据仓库116的数据，并且将新镜像传送给执行隔离系统108。
图1描述了重新镜像系统160在主机计算机106内。在一个实施例中，重新镜像系统160驻留在存储区域网络(SAN)中。
在一个实施例中，通过使用网络I/O栈140从主机计算机106的处理器的一个或多个核心开始创建用于监视执行的子网。漏洞监视代理110的实例和提供这里所述的基于策略的强制的其他功能元件一起被部署在该子网中。例如，网络I/O栈140可以包括漏洞监视代理110的第二实例(标为VMA 110A)，并且第二漏洞监视代理被配置为监视应用程序或操作系统与网络I/O栈的一个或多个交互。在这样的实施例中，网络监视器和检查能力向上扩展跨过CPU管芯(CPU die)并且进入网络。物理计算机聚类(clustering)使得这个方面可以按比例确定并且使得管理更简单。[MAB也是存储I/O栈144]？
在另一实施例中，硬件130包括具有多个处理器核心的单个CPU管芯，并且每个处理器核心包括漏洞监视代理110的实例、受控执行空间112A和应用114A。在该实施例中，漏洞监视代理110的实例、受控执行空间和应用可以通过套接字接口(socket interface)来共享所监视的数据。出于安全性的目的并且为了防止发送太多消息，可以由漏洞监视代理110的实例对通过套接字接口的通信进行仲裁。在该实施例中，在受控执行空间112A中监视许多不同的运行操作系统镜像的多个主机可以共享有关所检测到的漏洞的信息。运行软件被虚拟化并且在逻辑上分区的硬件上运行。因此，执行运行时间可以基于例如以对称多处理器(SMP)模式运行的一个或多个物理CPU，或者基于运行不同执行环境的一个或多个虚拟机。在具有强有力的硬件隔离保护的VM环境中，对CPU管芯和多个物理处理器的物理限制不那么重要。这里的描述的意图在于给出用于以漏洞监视代理的形式运行参考监视器的虚拟资源的示例性分配。这样的保护可以被嵌入操作系统中，或者可以连同在跨越VM的OS运行之间共享的经过分摊的网络栈一起工作，或者两者可以一起工作来实现更好的缩放比例。此外，漏洞评估也可以扩展到网络中。漏洞评估代理可以都位于这些位置中的任何一个位置，或可以分层地组织以过滤上游流(upstream)。
此外，在这样的实施例中，对OS-应用114A重新进行镜像是更加可行且易管理的，这是因为网络栈140和执行隔离系统108保持不变并且不受重新镜像操作的影响。隔离机制形成一种内部防火墙，其包含任何潜在损害，但仍然获得有用的结果。
2.3操作示例
图3是使用网络背景触发来限制虚拟化的操作系统和应用的方法的流程图。在步骤302中，接收一个或多个请求以执行应用程序和操作系统。例如，漏洞监视代理检测到执行隔离系统108需要将应用-OS 114A装载到执行隔离系统中。步骤302的请求可以从操作系统120、控制台端口或管理域控制器150接收。
在步骤304中，从仓库取回漏洞简档。该漏洞简档对应于应用-OS114A，并且指明针对应用与操作系统的这一组合的一个或多个已知漏洞。
在步骤306中，该处理使得应用-OS 114A在隔离环境中执行。例如，应用-OS 114A被装载到执行隔离系统108中并且在受控执行空间112A中被执行。
在步骤308中，检测操作异常的发生。例如，步骤308涉及漏洞监视代理110检测到已经发生异常，例如页面出错、试图访问被禁止的存储器、试图访问被禁止的端口等。
当检测到异常的发生时，在一个实施例中，该处理基于漏洞简档之一来确定对应用-OS的修补行为，并且促成修补行为。例如，在步骤310中，该处理在所存储的漏洞简档中查找定义所检测到的异常的信息。在一个实施例中，漏洞监视代理110从漏洞简档102中取回与所检测到的异常相匹配的信息。
在步骤312中，标识相应的限制策略。例如，漏洞监视代理110从漏洞简档102取回与所检测到的异常相匹配的限制策略。
在步骤314中，基于所取回的限制策略来限制一个或多个应用行为或操作系统行为。例如，漏洞监视代理配置受控执行空间112A或主机计算机106的其他资源来防止对主机计算机资源、网络资源、带宽、端口等的访问。可替换地，可以执行该文献中所标识的其他限制中的任何限制。结果，已经引起异常的OS-应用114A不能感染其他资源，引起级联应用崩溃，或者在其他应用、系统或资源之间传播有害的功能。此外，基于当前的操作背景(即，当前的应用、操作系统和漏洞的特定组合)来执行有关限制的决定。
图4是用于基于所保存的数据和网络背景触发来对虚拟化的操作系统和应用重新进行镜像的方法的流程图。图4的方法表示图3的替换例，当应用-OS变得被损坏或不稳定时可以使用。因此，图4的步骤302至步骤306根据以上对图3的描述进行。然而，在步骤306之后，在步骤402中，系统检测到镜像损坏的发生。例如，漏洞监视代110检测到OS-应用镜像114A已经被损坏。在一个实施例中，漏洞监视代110通过运行中的镜像计算新的数字签名并且将新的数字签名与应用-OS仓库104中所存储的受信数字签名相比较。如果签名不匹配，则漏洞监视代理110检测到运行中的镜像被损坏。
作为响应，在步骤404中，该处理将OS-应用114A所创建的数据拷贝到仓库，例如共享数据仓库116。步骤404用来保存OS-应用114A所创建的数据，使得随后的重启可以继续正确的操作。
在步骤406中，该处理请求重新镜像系统来擦除OS-应用114A并且对OS-应用重新进行镜像。例如，漏洞监视代110请求重新镜像系统160替换OS-应用114A。作为响应，重新镜像系统160使得OS-应用114A从受控执行空间112A中被擦除，从应用-OS仓库104取回替换镜像，并且将替换镜像传送给受控执行空间112A。在步骤408中，步骤404所存储的数据从仓库被取回并且被插入受控执行空间112A中校正后的镜像中。因此，新的OS-应用镜像与之前创建的数据重新结合。前述功能可以由执行隔离系统108、漏洞监视代理110和重新镜像系统160结合执行，或者这些功能单元中的一个可以具有唯一的执行重新镜像的职责。
在步骤410中，该处理请求OS和应用重启。在一个实施例中，虚拟机监视器控制每个虚拟机的分配和供应，并且触发BIOS重启动(reboot)。结果，损坏的OS-应用镜像被停止并且OS-应用被重启。因此，主机计算机108受到保护并且OS-应用镜像的损坏不会散播到主机计算机上的其他应用或该主机计算机所耦合到的其他主机、应用、系统或网络。
4.0实现机制-硬件概述
图5是图示出可以实现本发明实施例的计算机系统500的框图。计算机系统500包括总线502或用于传送信息的其他通信机制，以及与总线502相耦合的用于处理信息的处理器504。在图5中，处理器504宽泛地表示单处理器和单核心或者多处理器和多核心中的任一者。计算机系统500还包括主存储器505，主存储器506例如是随机存取存储器(“RAM”)或其他动态存储设备，其耦合到总线502，用于存储信息和处理器504要执行的指令。主存储器506还可以用来在要由处理器504执行的指令的执行期间，存储临时变量或其他中间信息。计算机系统500还包括只读存储器(“ROM”)508或其他静态存储设备，其被耦合到总线502，用于存储用于处理器504的静态信息和指令。设有存储设备510(例如，磁盘或光盘)，其耦合到总线502以用于存储信息和指令。
计算机系统500可以经由总线502耦合到显示器512(例如，阴极射线管(“CRT”))，显示器512用于向计算机用户显示信息。输入设备514(包括字母数字和其他键)耦合到总线502，用于向处理器504传送信息和命令选择。另一种类型的用户输入设备是光标控制器516，例如鼠标、轨迹球、指示笔或光标方向键，其用于向处理器504传送方向信息和命令选择并且用于控制显示器512上的光标移动。该输入设备通常具有两个轴上(第一轴(例如，x)和第二轴(例如，y))上的两个自由度，使得设备可以指定平面中的位置。
本发明与用于基于网络背景触发来激活虚拟化的操作系统和应用的计算机系统500的使用有关。根据本发明一个实施例，响应于处理器504执行主存储器506中所包含的一个或多个指令的一个或多个序列，由计算机系统500提供以下情况：基于网络背景触发来激活虚拟化的操作系统和应用。这些指令可以是从诸如存储设备510之类的另一计算机可读介质被读入主存储器506的。主存储器506中所包含的指令序列的执行使处理器504执行这里所述的处理步骤。在可替换实施例中，硬连线电路可以用来替换软件指令或与之结合来实现本发明。因此，本发明实施例不限于硬件电路和软件的任何具体组合。
这里使用的术语“计算机可读介质”是指参与向处理器504提供指令以用于执行的任何介质。这样的介质可以采用许多形式，包括但不限于非易失性介质、易失性介质和传输介质。非易失性介质例如包括光盘或磁盘，例如存储设备510。易失性介质包括动态存储器，例如主存储器506。传输介质包括同轴电缆、铜线和光纤，包括包含总线502的导线。传输介质也可以采用声波或光波的形式，例如在无线电波和红外数据通信中所生成的那些。
计算机可读介质的常见形式例如包括：软盘、软磁盘、硬盘、磁带或任何其他磁介质，CD-ROM、任何其他光介质，穿孔卡片、纸带、任何其他具有孔图案的物理介质，RAM、PROM和EPROM、FLASH-EPROM、任何其他存储器芯片或存储器盒，如后所述的载波，或者其他计算机可以读的任何其他介质。
在将一个或多个指令的一个或多个序列运送给处理器504以用于执行时可涉及各种形式的计算机可读介质。例如，最初可在远程计算机的磁盘上承载这些指令。远程计算机可以将指令装载到它的动态存储器中并且使用调制解调器通过电话线路来发送指令。计算机系统500本地的调制解调器可以接收电话线路上的数据，并且使用红外发射机将数据变换成红外信号。红外检测器可以接收红外信号中所承载的数据并且适当的电路可以将数据放在总线502上。总线502将数据运送给主存储器506，处理器504从主存储器506取回指令并且执行指令。由主存储器506接收到的指令可以在被处理器504的执行之前或之后可选地存储在存储设备510上。
计算机系统500还包括耦合到总线502的通信接口518。通信接口518提供耦合到网络链路520的双向数据通信，网络链路520耦合到本地网络522。例如，通信接口518可以是提供与相应类型的电话线路的数据通信连接的综合业务数字网络(“ISDN”)卡或调制解调器。作为另一示例，通信接口518可以是提供与可兼容的LAN的数据通信连接的局域网(“LAN”)卡。还可以实现无线链路。在任何这样的实现中，通信接口518发送和接收承载表示各种信息的数字数据流的电信号、电磁信号或光信号。
网络链路520通常通过一个或多个网络向其他数据设备提供数据通信。例如，网络链路520可以通过本地网络522提供与主机计算机524的连接或者与因特网服务提供商(“ISP”)526所操作的数据设备的连接。ISP 526又通过世界范围的分组数据通信网络(现在，通常称为“因特网”528)来提供数据通信服务。本地网络522和因特网528两者使用承载数字数据流的电信号、电磁信号或光信号。通过各种网络的信号和在网络链路520上并通过通信接口518的信号是传送信息的载波的示例性形式，这些信号承载去往和来自计算机系统500的数字数据。
计算机系统500可以通过(一个或多个)网络、网络链路520和通信接口518来发送消息并接收数据(包括程序代码)。在因特网示例中，服务器530可以通过因特网528、ISP 526、本地网络522和通信接口518发送应用程序的所请求的代码。根据本发明，一种这样下载的应用提供如这里所述的以下情况：基于网络背景触发来激活虚拟化的操作系统和应用。所接收的代码可以在其被接收到时由处理器504执行，和/或存储在存储设备510中，或其他非易失性存储装置中以用于稍后执行。以这种方式，计算机系统500可以获得载波形式的应用代码。
5.0扩展和替换
在前述说明中，已经参考本发明的具体实施例描述了本发明。然而，显然，可以对其进行各种修改和变化而不脱离本发明更广的精神和范围。因此，说明书和附图应被视为是说明性的而非限制性的。

Claims (31)

1.一种计算机系统，包括：
一个或多个处理器，每个处理器所具有的一个或多个处理器核心被组织为一个或多个虚拟机；
一个或多个虚拟网络接口，所述虚拟网络接口耦合到所述处理器、所述核心或所述虚拟机中的任一者，并且耦合到一个或多个网络；
存储器，所述存储器耦合到所述一个或多个处理器、所述核心或所述虚拟机中的任一者，并且包括至少一个受控执行空间，所述受控执行空间容宿操作系统和应用程序；
漏洞监视代理，所述漏洞监视代理耦合到所述受控执行空间；
一个或多个漏洞简档，所述漏洞简档耦合到所述漏洞监视代理，其中所述漏洞简档中的每一个漏洞简档包括应用程序标识符、操作系统标识符、漏洞规格和修补行为，所述漏洞规格描述所述应用程序标识符所指示的应用程序在被利用所述操作系统标识符所指示的操作系统执行时的漏洞，所述修补行为将在被执行时将修补所述漏洞；
其中，所述漏洞监视代理被配置为监视所述操作系统和所述应用程序在所述受控执行空间中的执行，检测所述执行期间与所述漏洞相关联的异常，基于所述漏洞简档之一来确定用于所述操作系统和所述应用程序的修补行为，并且促成所述修补行为。
2.根据权利要求1所述的计算机系统，其中，所述漏洞监视代理耦合到重新镜像系统，其中所述重新镜像系统耦合到应用和操作系统的拷贝的仓库，并且其中所述漏洞监视代理还被配置为检测所述应用程序或所述操作系统被损坏，从所述受控执行空间中移除所述应用程序或所述操作系统，并且请求所述重新镜像系统利用所述应用程序和所述操作系统的新拷贝来对所述受控执行空间重新进行镜像。
3.根据权利要求2所述的计算机系统，其中，所述漏洞监视代理还被配置为基于与所述应用程序和所述操作系统相关联的一个或多个组件或数据集合来生成第一数字签名，取回受信的第二数字签名，并且确定所述第一数字签名与所述第二数字签名是否匹配。
4.根据权利要求1所述的计算机系统，其中所述漏洞监视代理耦合到共享数据仓库和重新镜像系统，其中所述镜像系统耦合到应用和操作系统的拷贝的仓库，并且其中所述漏洞监视代理还被配置为检测所述应用程序或所述操作系统被损坏，将与所述应用程序或所述操作系统相关联的数据存储在所述共享数据仓库中，从所述受控执行空间中移除所述应用程序或操作系统，并且请求所述重新镜像系统利用所述应用程序和所述操作系统的新拷贝来对所述受控执行空间重新进行镜像。
5.根据权利要求1所述的计算机系统，其中，管理域控制器通过网络耦合到所述漏洞监视代理，其中，所述管理域控制器被配置为控制对所述漏洞简档的访问，存储用于修补行为的策略，并且向所述漏洞监视代理发出采取行动的指令。
6.根据权利要求1所述的计算机系统，其中，所述受控执行空间包括虚拟机监视器。
7.根据权利要求1所述的计算机系统，其中，所述漏洞监视代理、所述受控执行空间、所述应用程序和所述操作系统在第一计算机中，并且其中所述漏洞简档在通过网络耦合到所述第一计算机的第二计算机中。
8.根据权利要求1所述的计算机系统，还包括I/O栈，其中所述I/O栈包括第二漏洞监视代理，其中所述第二漏洞监视代理被配置为监视所述应用程序或所述操作系统与所述I/O栈的一个或多个交互。
9.根据权利要求1所述的计算机系统，还包括所述漏洞监视代理的多个实例，其中所述实例中的每一个实例被容宿在所述处理器核心之一上，其中所述实例中的每一个实例被配置为通过一个或多个仲裁出的套接字连接来向其他实例传送有关检测到的漏洞的信息。
10.根据权利要求1所述的计算机系统，其中，所述漏洞监视代理被配置为限制所述网络接口中的一个或多个网络接口上的通信，限制对一个或多个网络资源的使用，限制对所述计算机系统的资源的使用、限制对网络带宽的使用，限制对一个或多个网络端口的使用，或者限制对存储设备、文件系统、目录、文件或注册表条目的读和/或写访问。
11.一种计算机系统，包括：
一个或多个处理器，每个处理器具有一个或多个处理器核心并且被组织为一个或多个虚拟机；
一个或多个网络接口，所述网络接口耦合到所述处理器、所述核心或所述虚拟机中的任一者并且耦合到一个或多个网络；
用于控制操作系统和应用程序的执行的装置；
一个或多个所存储的漏洞简档，其中所述漏洞简档中的每一个漏洞简档包括应用程序标识符、操作系统标识符、漏洞规格和修补行为，所述漏洞规格描述所述应用程序标识符所指示的应用程序在被利用所述操作系统标识符所指示的操作系统执行时的漏洞，所述修补行为在被执行时将修补所述漏洞；
用于监视所述操作系统和所述应用程序在所述受控执行空间中的执行的装置；
用于检测所述执行期间与所述漏洞相关联的异常的装置；
用于基于所述漏洞简档之一来确定用于所述操作系统和所述应用程序的修补行为的装置；以及
用于促成所述修补行为的装置。
12.根据权利要求11所述的计算机系统，还包括：
重新镜像系统，所述重新镜像系统耦合到应用和操作系统的拷贝的仓库；
用于检测所述应用程序或所述操作系统被损坏的装置；
用于从所述受控执行空间移除所述应用程序或所述操作系统的装置；
用于利用所述应用程序和所述操作系统的新拷贝来对所述受控执行空间进重新行镜像的装置。
13.根据权利要求12所述的计算机系统，还包括用于生成所述应用程序和所述操作系统的第一数字签名、用于取回受信的第二数字签名并且用于确定所述第一数字签名与所述第二数字签名是否匹配的装置。
14.根据权利要求11所述的计算机系统，还包括：
包括应用和操作系统的拷贝的共享数据仓库；
耦合到所述共享数据仓库的重新镜像系统；
用于检测所述应用程序或所述操作系统被损坏的装置；
用于将与所述应用程序或所述操作系统相关联的数据存储在所述共享数据仓库中的装置；
用于从所述受控执行空间移除所述应用程序或所述操作系统的装置；
用于请求所述重新镜像系统利用所述应用程序和所述操作系统的新拷贝来对所述受控执行空间重新进行镜像的装置。
15.根据权利要求11所述的计算机系统，其中，管理域控制器通过网络耦合到所述漏洞监视代理，其中，所述管理域控制器被配置为控制对所述漏洞简档的访问。
16.根据权利要求11所述的计算机系统，其中，所述用于控制执行的装置包括虚拟机监视器。
17.根据权利要求11所述的计算机系统，其中，所述用于控制执行的装置、所述应用程序和所述操作系统在第一计算机中，并且其中所述漏洞简档在通过网络耦合到所述第一计算机的第二计算机中。
18.根据权利要求11所述的计算机系统，还包括I/O栈，其中所述I/O栈包括用于监视所述应用程序或所述操作系统与所述I/O栈的一个或多个交互的装置。
19.根据权利要求11所述的计算机系统，还包括多个用于监视所述应用程序和所述操作系统的装置，其中所述多个监视装置中的每一个监视装置被容宿在所述处理器核心之一上，其中，所述多个监视装置中的每一个监视装置被配置为通过一个或多个仲裁出的套接字连接来向所述监视装置中的其他监视装置传送有关检测到的漏洞的信息。
20.根据权利要求11所述的计算机系统，还包括用于限制所述网络接口中的一个或多个网络接口上的通信、用于限制对一个或多个网络资源的使用、用于限制对所述计算机系统的资源的使用、用于限制对网络带宽的使用、用于限制对一个或多个网络端口的使用或者用于限制对存储设备、文件系统、目录、文件或注册表条目的读和/或写访问的装置。
21.一种计算机实现的方法，包括：
建立至少一个容宿操作系统和应用程序的受控执行空间；
创建并且存储一个或多个漏洞简档，其中所述漏洞简档中的每一个漏洞简档包括应用程序标识符、操作系统标识符、漏洞规格和修补行为，所述漏洞规格描述所述应用程序标识符所指示的应用程序在被利用所述操作系统标识符所指示的操作系统执行时的漏洞，所述修补行为将在被执行时修补所述漏洞；
监视所述操作系统和所述应用程序在所述受控执行空间中的执行；
检测执行期间与所述漏洞相关联的异常；
基于所述漏洞简档之一来确定用于所述操作系统和所述应用程序的修补行为；以及
促成所述修补行为。
22.根据权利要求21所述的方法，还包括：
检测所述应用程序或所述操作系统被损坏；
从所述受控执行空间中移除所述应用程序或所述操作系统；
请求利用来自应用和操作系统的拷贝的仓库的、所述应用程序和所述操作系统的新拷贝来对所述受控执行空间重新进行镜像。
23.根据权利要求22所述的方法，还包括生成所述应用程序和所述操作系统的第一数字签名，取回受信的第二数字签名，并且确定所述第一数字签名是否与所述第二数字签名相匹配。
24.根据权利要求21所述的方法，还包括：
检测所述应用程序或所述操作系统被损坏；
将与所述应用程序或所述操作系统相关联的数据存储在共享数据仓库中；
从所述受控执行空间中移除所述应用程序或操作系统；
请求利用来自应用和操作系统的拷贝的仓库的、所述应用程序和所述操作系统的新拷贝来对所述受控执行空间重新进行镜像。
25.根据权利要求21所述的方法，其中，所述受控执行空间包括虚拟机监视器。
26.根据权利要求21所述的方法，还包括使得监视所述应用程序或所述操作系统与I/O栈的一个或多个交互。
28.根据权利要求21所述的方法，其中所述修补行为包括限制所述网络接口中的一个或多个网络接口上的通信，限制对一个或多个网络资源的使用，限制对所述计算机系统的资源的使用、限制对网络带宽的使用，限制对一个或多个网络端口的使用，或者限制对存储设备、文件系统、目录、文件或注册表条目的读和/或写访问。
29.一种计算机可读存储介质，包括逻辑，所述逻辑当由一个或多个处理执行时使得执行以下步骤：
建立至少一个容宿操作系统和应用程序的受控执行空间；
创建并且存储一个或多个漏洞简档，其中所述漏洞简档中的每一个漏洞简档包括应用程序标识符、操作系统标识符、漏洞规格和修补行为，所述漏洞规格描述所述应用程序标识符所指示的应用程序在被利用所述操作系统标识符所指示的操作系统执行时的漏洞，所述修补行为将在被执行时修补所述漏洞；
监视所述操作系统和所述应用程序在所述受控执行空间中的执行；
检测执行期间与所述漏洞相关联的异常；
基于所述漏洞简档之一来确定用于所述操作系统和所述应用程序的修补行为；以及
促成所述修补行为。
30.根据权利要求1所述的计算机系统，其中所述I/O栈包括用于块设备和文件中任一者的连网I/O栈和存储I/O栈中的任一者。
31.根据权利要求2所述的计算机系统，其中所述修补行为包括提取潜在地损坏的数据文件，通过清理器运行所述文件来使得创建并存储未损坏的数据文件，并且将所述未损坏的文件提供给所述应用程序和所述操作系统的新拷贝。
32.根据权利要求1所述的计算机系统，其中所述修补行为包括提取潜在地损坏的数据文件，通过清理器运行所述文件来使得创建并存储未损坏的数据文件，并且将所述未损坏的文件提供给所述应用程序和所述操作系统。
CN200880010030.3A 2007-03-30 2008-03-28 用于激活虚拟化的计算机应用的网络背景触发 Expired - Fee Related CN101809540B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US11/731,728 US8127412B2 (en) 2007-03-30 2007-03-30 Network context triggers for activating virtualized computer applications
US11/731,728 2007-03-30
PCT/US2008/058534 WO2008121744A2 (en) 2007-03-30 2008-03-28 Network context triggers for activating virtualized computer applications

Publications (2)

Publication Number Publication Date
CN101809540A true CN101809540A (zh) 2010-08-18
CN101809540B CN101809540B (zh) 2014-03-12

Family

ID=39796675

Family Applications (1)

Application Number Title Priority Date Filing Date
CN200880010030.3A Expired - Fee Related CN101809540B (zh) 2007-03-30 2008-03-28 用于激活虚拟化的计算机应用的网络背景触发

Country Status (4)

Country Link
US (1) US8127412B2 (zh)
EP (1) EP2132633A4 (zh)
CN (1) CN101809540B (zh)
WO (1) WO2008121744A2 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103959242A (zh) * 2011-10-10 2014-07-30 惠普发展公司，有限责任合伙企业 用于在云计算系统中规划应用的执行的方法和系统
CN109543419A (zh) * 2018-11-30 2019-03-29 杭州迪普科技股份有限公司 检测资产安全的方法及装置

Families Citing this family (46)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7761920B2 (en) * 2004-09-03 2010-07-20 Fortinet, Inc. Data structure for policy-based remediation selection
US7665119B2 (en) * 2004-09-03 2010-02-16 Secure Elements, Inc. Policy-based selection of remediation
US9104574B2 (en) * 2006-06-05 2015-08-11 Reimage Limited System and method for software application remediation
US8856782B2 (en) 2007-03-01 2014-10-07 George Mason Research Foundation, Inc. On-demand disposable virtual work system
EP2163027B1 (en) * 2007-06-26 2017-09-13 Core Sdi, Incorporated System and method for simulating computer network attacks
US9336385B1 (en) * 2008-02-11 2016-05-10 Adaptive Cyber Security Instruments, Inc. System for real-time threat detection and management
US20090217378A1 (en) * 2008-02-27 2009-08-27 Microsoft Corporation Boot Time Remediation of Malware
US9361089B2 (en) * 2008-07-22 2016-06-07 International Business Machines Corporation Secure patch updates of a virtual machine image in a virtualization data processing system
US9098698B2 (en) 2008-09-12 2015-08-04 George Mason Research Foundation, Inc. Methods and apparatus for application isolation
US20100175108A1 (en) * 2009-01-02 2010-07-08 Andre Protas Method and system for securing virtual machines by restricting access in connection with a vulnerability audit
US20100199351A1 (en) * 2009-01-02 2010-08-05 Andre Protas Method and system for securing virtual machines by restricting access in connection with a vulnerability audit
US20120030306A1 (en) * 2009-04-28 2012-02-02 Nobuharu Kami Rapid movement system for virtual devices in a computing system, management device, and method and program therefor
US8839422B2 (en) 2009-06-30 2014-09-16 George Mason Research Foundation, Inc. Virtual browsing environment
US8782434B1 (en) 2010-07-15 2014-07-15 The Research Foundation For The State University Of New York System and method for validating program execution at run-time
US8484642B2 (en) * 2010-11-17 2013-07-09 Intel Corporation Processor core selection based at least in part upon at least one inter-dependency
US9635048B2 (en) * 2011-03-09 2017-04-25 Irdeto B.V. Method and system for dynamic platform security in a device operating system
US8973088B1 (en) * 2011-05-24 2015-03-03 Palo Alto Networks, Inc. Policy enforcement using host information profile
US9497224B2 (en) * 2011-08-09 2016-11-15 CloudPassage, Inc. Systems and methods for implementing computer security
US8412945B2 (en) 2011-08-09 2013-04-02 CloudPassage, Inc. Systems and methods for implementing security in a cloud computing environment
US8752124B2 (en) 2011-08-15 2014-06-10 Bank Of America Corporation Apparatus and method for performing real-time authentication using subject token combinations
US8572683B2 (en) 2011-08-15 2013-10-29 Bank Of America Corporation Method and apparatus for token-based re-authentication
US8789143B2 (en) * 2011-08-15 2014-07-22 Bank Of America Corporation Method and apparatus for token-based conditioning
US8950002B2 (en) 2011-08-15 2015-02-03 Bank Of America Corporation Method and apparatus for token-based access of related resources
US8806602B2 (en) 2011-08-15 2014-08-12 Bank Of America Corporation Apparatus and method for performing end-to-end encryption
US8539558B2 (en) 2011-08-15 2013-09-17 Bank Of America Corporation Method and apparatus for token-based token termination
US8910290B2 (en) * 2011-08-15 2014-12-09 Bank Of America Corporation Method and apparatus for token-based transaction tagging
US8875223B1 (en) 2011-08-31 2014-10-28 Palo Alto Networks, Inc. Configuring and managing remote security devices
CN103988175A (zh) 2011-10-10 2014-08-13 惠普发展公司，有限责任合伙企业 识别用于响应云计算系统中的异常的动作的方法和系统
WO2013082437A1 (en) 2011-12-02 2013-06-06 Invincia, Inc. Methods and apparatus for control and detection of malicious content using a sandbox environment
US9355228B2 (en) * 2012-07-13 2016-05-31 Angel Secure Networks, Inc. System and method for policy driven protection of remote computing environments
US9063721B2 (en) 2012-09-14 2015-06-23 The Research Foundation For The State University Of New York Continuous run-time validation of program execution: a practical approach
US8938796B2 (en) 2012-09-20 2015-01-20 Paul Case, SR. Case secure computer architecture
US9069782B2 (en) 2012-10-01 2015-06-30 The Research Foundation For The State University Of New York System and method for security and privacy aware virtual machine checkpointing
US10171500B2 (en) * 2012-12-28 2019-01-01 Intel Corporation Systems, apparatuses, and methods for enforcing security on a platform
US9298923B2 (en) * 2013-09-04 2016-03-29 Cisco Technology, Inc. Software revocation infrastructure
US9781046B1 (en) * 2013-11-19 2017-10-03 Tripwire, Inc. Bandwidth throttling in vulnerability scanning applications
US9699201B2 (en) 2014-09-25 2017-07-04 International Business Machines Corporation Automated response to detection of threat to cloud virtual machine
US10275604B2 (en) 2014-10-31 2019-04-30 Hewlett Packard Enterprise Development Lp Security record transfer in a computing system
WO2016068974A1 (en) * 2014-10-31 2016-05-06 Hewlett Packard Enterprise Development Lp System and method for vulnerability remediation verification
WO2016108902A1 (en) 2014-12-31 2016-07-07 Hewlett Packard Enterprise Development Lp Enterprise service bus logging
CN105160259B (zh) * 2015-09-28 2018-01-23 中科信息安全共性技术国家工程研究中心有限公司 一种基于模糊测试的虚拟化漏洞发掘系统和方法
US10394492B2 (en) * 2016-10-26 2019-08-27 Lenovo Enterprise Solutions (Singapore) Pte. Ltd. Securing a media storage device using write restriction mechanisms
CN114172888A (zh) * 2018-04-25 2022-03-11 华为技术有限公司 一种打包文件传输的方法及相关设备和存储介质
US11368470B2 (en) * 2019-06-13 2022-06-21 International Business Machines Corporation Real-time alert reasoning and priority-based campaign discovery
US11463478B2 (en) * 2019-10-29 2022-10-04 International Business Machines Corporation Remediation strategy optimization for development, security and operations (DevSecOps)
US11334662B2 (en) * 2020-07-14 2022-05-17 Bank Of America Corporation Tamper-evident travel devices equipped with secure re-image file (s)

Family Cites Families (46)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6330715B1 (en) * 1998-05-19 2001-12-11 Nortel Networks Limited Method and apparatus for managing software in a network system
US6779117B1 (en) * 1999-07-23 2004-08-17 Cybersoft, Inc. Authentication program for a computer operating system
US20020034942A1 (en) 2000-04-03 2002-03-21 Laila Khreisat Probabilistic reasoning mobile agent system for network testing
US20060277433A1 (en) * 2000-05-19 2006-12-07 Self Repairing Computers, Inc. Computer having special purpose subsystems and cyber-terror and virus immunity and protection features
US20020087883A1 (en) * 2000-11-06 2002-07-04 Curt Wohlgemuth Anti-piracy system for remotely served computer applications
US7062567B2 (en) * 2000-11-06 2006-06-13 Endeavors Technology, Inc. Intelligent network streaming and execution system for conventionally coded applications
US7260845B2 (en) * 2001-01-09 2007-08-21 Gabriel Kedma Sensor for detecting and eliminating inter-process memory breaches in multitasking operating systems
US20020144121A1 (en) * 2001-03-30 2002-10-03 Ellison Carl M. Checking file integrity using signature generated in isolated execution
US20030031129A1 (en) 2001-06-12 2003-02-13 Motorola, Inc. Network packet flow admission control
US7228566B2 (en) 2001-07-10 2007-06-05 Core Sdi, Incorporated Automated computer system security compromise
US7243148B2 (en) * 2002-01-15 2007-07-10 Mcafee, Inc. System and method for network vulnerability detection and reporting
US7257630B2 (en) * 2002-01-15 2007-08-14 Mcafee, Inc. System and method for network vulnerability detection and reporting
US20040006704A1 (en) * 2002-07-02 2004-01-08 Dahlstrom Dale A. System and method for determining security vulnerabilities
ATE293346T1 (de) 2002-07-05 2005-04-15 Cit Alcatel Resourcen zutrittskontrolle in einem zugangsnetz
US7509679B2 (en) * 2002-08-30 2009-03-24 Symantec Corporation Method, system and computer program product for security in a global computer network transaction
US7472421B2 (en) * 2002-09-30 2008-12-30 Electronic Data Systems Corporation Computer model of security risks
US20040120290A1 (en) 2002-12-24 2004-06-24 Makhijani Mahesh A. Admission control in a wireless communication network
US20040193918A1 (en) * 2003-03-28 2004-09-30 Kenneth Green Apparatus and method for network vulnerability detection and compliance assessment
US20050081053A1 (en) * 2003-10-10 2005-04-14 International Business Machines Corlporation Systems and methods for efficient computer virus detection
US7475427B2 (en) * 2003-12-12 2009-01-06 International Business Machines Corporation Apparatus, methods and computer programs for identifying or managing vulnerabilities within a data processing network
US8136163B2 (en) * 2004-01-16 2012-03-13 International Business Machines Corporation Method, apparatus and program storage device for providing automated tracking of security vulnerabilities
GB2410647A (en) * 2004-01-31 2005-08-03 Hewlett Packard Development Co Identifying and Patching Vulnerabilities in a Network
US7397770B2 (en) * 2004-02-20 2008-07-08 International Business Machines Corporation Checking and repairing a network configuration
US7376970B2 (en) * 2004-02-20 2008-05-20 Microsoft Corporation System and method for proactive computer virus protection
US7272748B1 (en) * 2004-03-17 2007-09-18 Symantec Corporation Method and apparatus to detect and recover from a stack frame corruption
US20050216957A1 (en) * 2004-03-25 2005-09-29 Banzhof Carl E Method and apparatus for protecting a remediated computer network from entry of a vulnerable computer system thereinto
US7523343B2 (en) * 2004-04-30 2009-04-21 Microsoft Corporation Real-time file system repairs
US20060075503A1 (en) * 2004-09-13 2006-04-06 Achilles Guard, Inc. Dba Critical Watch Method and system for applying security vulnerability management process to an organization
EP1828902A4 (en) * 2004-10-26 2009-07-01 Rudra Technologies Pte Ltd SYSTEM AND METHOD FOR IDENTIFYING AND REMOVING MALWARE ON A COMPUTER SYSTEM
US7765410B2 (en) * 2004-11-08 2010-07-27 Microsoft Corporation System and method of aggregating the knowledge base of antivirus software applications
US7409719B2 (en) * 2004-12-21 2008-08-05 Microsoft Corporation Computer security management, such as in a virtual machine or hardened operating system
US7784099B2 (en) * 2005-02-18 2010-08-24 Pace University System for intrusion detection and vulnerability assessment in a computer network using simulation and machine learning
US20060250968A1 (en) 2005-05-03 2006-11-09 Microsoft Corporation Network access protection
WO2006134269A1 (fr) * 2005-06-14 2006-12-21 Patrice Guichard Procede et dispositif de protection de donnees et de systeme informatique
US20070106986A1 (en) * 2005-10-25 2007-05-10 Worley William S Jr Secure virtual-machine monitor
TW200721008A (en) * 2005-11-23 2007-06-01 Inventec Corp Method and system for switching between embedded operating systems of computer platform
US8381297B2 (en) * 2005-12-13 2013-02-19 Yoggie Security Systems Ltd. System and method for providing network security to mobile devices
US7845005B2 (en) * 2006-02-07 2010-11-30 International Business Machines Corporation Method for preventing malicious software installation on an internet-connected computer
JP4819542B2 (ja) * 2006-03-24 2011-11-24 株式会社日立製作所 脆弱性検証付きのバイオメトリクス認証システムおよび方法
US7793096B2 (en) 2006-03-31 2010-09-07 Microsoft Corporation Network access protection
US8281402B2 (en) 2006-05-16 2012-10-02 Intel Corporation Network vulnerability assessment of a host platform from an isolated partition in the host platform
US20080016339A1 (en) * 2006-06-29 2008-01-17 Jayant Shukla Application Sandbox to Detect, Remove, and Prevent Malware
US20080127348A1 (en) * 2006-08-31 2008-05-29 Kenneth Largman Network computer system and method using thin user client and virtual machine to provide immunity to hacking, viruses and spy ware
US20080120699A1 (en) * 2006-11-17 2008-05-22 Mcafee, Inc. Method and system for assessing and mitigating access control to a managed network
US8181264B2 (en) * 2007-02-07 2012-05-15 Apple Inc. Method and apparatus for deferred security analysis
US20080195676A1 (en) * 2007-02-14 2008-08-14 Microsoft Corporation Scanning of backup data for malicious software

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103959242A (zh) * 2011-10-10 2014-07-30 惠普发展公司，有限责任合伙企业 用于在云计算系统中规划应用的执行的方法和系统
CN109543419A (zh) * 2018-11-30 2019-03-29 杭州迪普科技股份有限公司 检测资产安全的方法及装置
CN109543419B (zh) * 2018-11-30 2020-12-04 杭州迪普科技股份有限公司 检测资产安全的方法及装置

Also Published As

Publication number Publication date
EP2132633A2 (en) 2009-12-16
EP2132633A4 (en) 2012-05-09
US20080244747A1 (en) 2008-10-02
US8127412B2 (en) 2012-03-06
WO2008121744A3 (en) 2009-12-23
CN101809540B (zh) 2014-03-12
WO2008121744A2 (en) 2008-10-09

Similar Documents

Publication Publication Date Title
CN101809540B (zh) 用于激活虚拟化的计算机应用的网络背景触发
US8910172B2 (en) Application resource switchover systems and methods
US10554685B1 (en) Self-healing architecture for resilient computing services
CN110807064B (zh) Rac分布式数据库集群系统中的数据恢复装置
US10003606B2 (en) Systems and methods for detecting security threats
US9813443B1 (en) Systems and methods for remediating the effects of malware
US20170155667A1 (en) Systems and methods for detecting malware infections via domain name service traffic analysis
US9275238B2 (en) Method and apparatus for data security reading
CN107864676A (zh) 用于检测计算过程中未知漏洞的系统和方法
CN104391777B (zh) 基于Linux操作系统的云平台及其运行监控方法和装置
CN103428212A (zh) 一种恶意代码检测及防御的方法
JP2014515858A (ja) 実行中の命令を再結合する方法および装置
JP6255336B2 (ja) 安全なデータ格納方法およびデバイス
CN108292342A (zh) 向固件中的侵入的通知
CN102567478A (zh) 文件系统中的在线故障验证
US9219707B1 (en) Systems and methods for sharing the results of malware scans within networks
US11922199B2 (en) Associating security tags to continuous data protection checkpoints/snapshots/point-in-time images
JP6555721B2 (ja) 障害復旧システム及び方法
US10437994B1 (en) Systems and methods for determining the reputations of unknown files
US20200342109A1 (en) Baseboard management controller to convey data
US9836515B1 (en) Systems and methods for adding active volumes to existing replication configurations
CN113330716A (zh) 确定应用服务的依赖关系的方法及装置、处理器
JP5683354B2 (ja) 監視装置、及び監視方法
KR20170091249A (ko) 알려지지 않은 취약점 활용 공격에 대한 대항력을 향상시킨 침입 감내 장치
KR101717697B1 (ko) 가상화 환경에서의 침입 감내 시스템 및 그 방법

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20140312

CF01 Termination of patent right due to non-payment of annual fee