CN103370715A - 用于保护虚拟计算环境的系统和方法 - Google Patents

用于保护虚拟计算环境的系统和方法 Download PDF

Info

Publication number
CN103370715A
CN103370715A CN201180052242XA CN201180052242A CN103370715A CN 103370715 A CN103370715 A CN 103370715A CN 201180052242X A CN201180052242X A CN 201180052242XA CN 201180052242 A CN201180052242 A CN 201180052242A CN 103370715 A CN103370715 A CN 103370715A
Authority
CN
China
Prior art keywords
virtual machine
implemented method
computer implemented
unauthorized
licensing
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201180052242XA
Other languages
English (en)
Other versions
CN103370715B (zh
Inventor
马克·罗尼尔·塔克
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Time Defense Systems LLC
Original Assignee
马克·罗尼尔·塔克
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 马克·罗尼尔·塔克 filed Critical 马克·罗尼尔·塔克
Publication of CN103370715A publication Critical patent/CN103370715A/zh
Application granted granted Critical
Publication of CN103370715B publication Critical patent/CN103370715B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45587—Isolation or security of virtual machine instances

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Bioethics (AREA)
  • Stored Programmes (AREA)
  • Storage Device Security (AREA)
  • Debugging And Monitoring (AREA)
  • Hardware Redundancy (AREA)
  • Multi Processors (AREA)

Abstract

本发明公开了一种计算机实现的方法，包括：向授权过程和未授权过程的操作状态引入不可预测的暂时中断。在所述未授权过程遭受所述不可预测的暂时中断并且因此经历引起操作故障的不稳定环境时，将所述授权过程移动到虚拟机，以避免不可预测的暂时中断。

Description

用于保护虚拟计算环境的系统和方法
相关申请交叉引用
此申请要求于2010年10月31日申请的、标题为“TemporalCompu-ting System and Method for Securing Virtual ComputingEnvironments(用于保护虚拟计算环境的暂时计算系统和方法)”的美国暂时专利申请号61/408,607的优先权，其内容通过引用被并入本文。
技术领域
本发明涉及计算机安全。更具体地，本发明涉及保护计算机装置和网络免受未授权访问和使用。
背景技术
随着计算技术革新的快速形成以满足高度竞争行业的市场需求所带来的系统复杂度的快速增加，当今的计算机装置和网络是极不安全的。在大多数商业装置和网络中已经增加了安全性来作为事后想法，其原因是工程关注和资源传统上集中在功能性和革新解决的问题上。结果是美好的，使得计算机装置和网络访问在全球范围是无处不在的。然而，在开发此无处不在的网络过程中，计算机装置和将计算机装置连接在一起的网络的安全性是完全不充分的，使得大多数系统易于受到网络攻击和计算机病毒。
目前计算装置和网络安全性存在的问题是适当地阻止未授权过程访问机器并防止未授权代码在系统上运行的措施是不充分的，其原因是代码基数的宽度和复杂性不能受到当前的最佳实践的计算环境的保护。即使加入了安全性政策和与安全性措施结合的程序，如密码和安全访问认证，但系统仍然是不够安全的。实际上，即使系统包括专用的安全性产品，如现有的VPN、IDS、防火墙和防病毒软件，在不做出很大努力的情况下，系统仍可能崩溃。通过简单地下载最新的开放源码黑客软件并将其指向目标，在许多情况下，甚至非程序员都能进行访问，计算装置可能在任务重要的系统中泄密。结果，存在极多的系统安全性补丁，每天都有更多不能用。
发明内容
一种计算机实现的方法，包括：向授权过程和未授权过程的操作状态引入不可预测的暂时中断。在所述未授权过程遭受所述不可预测的暂时中断并且因此经历引起操作故障的不稳定环境时，将所述授权过程移动到虚拟机，以避免不可预测的暂时中断。
附图说明
结合附图，关联下面的详细描述将更加充分地理解本发明，图中：
图1是显示根据本发明的实施例的计算装置配置的堆叠图；
图2是显示根据本发明的实施例的网络设备配置的堆叠图；
图3是显示根据本发明的实施例的计算系统配置的堆叠图；
图4是显示根据本发明的实施例的计算装置的一个实施例的分散配置的堆叠图；
图5是显示根据本发明的实施例使用的暂时防御层的功能配置的框图；
图6是显示根据本发明的实施例用于实例化虚拟机的程序的流程图；
图7是显示根据本发明的实施例用于终止虚拟机的程序的流程图；
图8是显示根据本发明的实施例用于系统规范覆盖的程序的流程图；
图9是显示根据本发明的实施例用于完整性检验虚拟机的程序的流程图；
图10是显示根据本发明的实施例的虚拟机之间的无缝过程移交的图序；
图11是显示根据本发明的实施例用于移动虚拟机的过程的流程图；
图12是显示根据本发明的实施例管理暂时状态的方式的程序的流程图；
图13是显示与本发明的实施例相关的隔离程序的流程图；
图14是真实系统的一个例子的概念视图，其中，计算环境的合成伪表示可以从计算过程的预期复制产生系统环境；
图15是显示根据本发明的实施例用于实时对策调整的程序如何能够操作的流程图，所述实时对策调整通过被感染计算系统的论证分析来确定；
图16是显示如档案中存储的基本虚拟机图像的数据配置的例子；
图17是显示授权过程注册机中的注册过程的数据配置的例子；
图18是显示用于推导出授权过程的识别散列值(被称作查询授权散列)的程序的流程图；
图19是显示用于推导出虚拟机的数字标识的程序的流程图。
相同的附图标记在几个视图中指相应的部件。
具体实施方式
本发明被设计为创建一种暂时计算环境，其中，授权过程的使用发生在健壮的、稳定的计算环境中，未授权过程的使用经历不友好的、不稳定的不断变化的计算环境。此外，本发明向未授权或泄密的计算过程和它们的控制器(发起或控制该过程的人或远程代理)提供模糊、掩盖或混淆系统规范的机制。
而且，本发明提供了一种用于虚拟和实体的系统实例的完整性验证的技术，该技术检测系统是否泄密。此外，本发明还提供了一种被感染系统的隔离方法以防止病毒传播、防止访问任务关键命令，以及提供了一种剖析方法，其以不影响产生计算环境的方式进行论证，或警告病毒、未授权间谍电码或未授权计算会话用户或它们的控制器它们正被隔离或在合成的、伪环境下而不在产生环境下操作的事实。
即，根据本发明的一个方面，存在在计算装置或为独特的计算系统的计算网络设备上被虚拟化的计算环境实体，使得它们充当合成计算装置。虚拟计算或网络系统的操作实例被称作虚拟机或VM，它根据管理每个不同的虚拟机的计算环境的操作系统来操作。这个方面提供了一种以引起暂时状态的方式控制在虚拟化计算环境下运行的虚拟机的方法，在暂时状态下，在虚拟机上执行的授权处理任务未被感染，但未授权过程遇到对它们计算环境的改变。
在一个实施例中，处理包括：(a)以捕捉虚拟机的基本状态的方式创建虚拟机的快照即基本数字表示，使得多个实例可以被实例化；(b)经常性地，以预定的间隔或在随机基础上，支持将虚拟机启动(将虚拟机的计算环境启动)和关闭(关闭虚拟机的计算环境)；(c)同时在以不中断授权过程的常规或有目的执行的方式将过程从一个虚拟机移动到另一个虚拟机，但对于未授权过程，在移动过程中，它们的执行基于安全性规则被终止或改变。
本发明的另一个方面是通过验证方法周期性地执行虚拟机的完整性检验。检验方法的一个实施例包括：(d)为表示彻底未泄密的虚拟机的基本数字表示创建唯一值，即基本数字表示的完整性值；(e)计算有效的虚拟机的完整性值，其被称作有效虚拟机完整性值；和(f)将基本数字表示的完整性值与有效的虚拟机完整性值进行比较。
本发明的另一方面是混淆未授权过程，使得它不知道真实的计算环境规范，诸如虚拟机的操作系统、网络协议或可存取外围设备(总称为系统核心部件)，以提供误导方法。在一个实施例中，此误导方法包括：(g)初始化接收唯一的系统查询授权代码的注册授权过程；(h)使用授权代码来覆盖由操作系统使用的系统探索，以确定计算环境规范；(i)当一个过程查询计算环境时，该过程会被检验，以查看它是否是注册的，以及是否正在使用其分配的查询授权代码；(j)如果是，则提供真实的规范；(k)如果否，则提供可能不是真实规范的伪规范。
本发明的另一方面是通过提供隔离方法降低未授权过程可能引起的损害，该隔离方法以保护计算装置和相关网络和系统的方式隔离并包含未授权过程，而不警告未授权过程它已经被检测到。此隔离方法可包括：(l)如果上述步骤(f)的完整性检验失败，则虚拟机被标记为可能泄密的，从而将虚拟机置于有效的隔离状态；(m)虚拟机上的过程不被停止，但计算资源、网络和系统的存取性受到限制；(n)当被隔离的虚拟机使用周期结束而终止(步骤b)时，实例可以被终止，但其虚拟机快照被保存以用于论证分析；(o)或者使用周期结束的被隔离的虚拟机可以允许未授权过程继续运行以进行现场论证分析、实验、感染速度分析或恶意代码目标探索的方式继续在产生计算环境外部执行；(p)解除隔离限制，但在合成的伪系统上运行。因此，保护系统但提供未检测和未授权过程成功的错觉。
本发明的另一方面是动态对策调整，使得暂时状态系统可以考虑它处于攻击中，或者已经被攻击，并通过适应性防御方法相应地调整其防御。此适应性防御方法可包括：(q)识别未授权过程并对其进行分类；(r)向未授权过程提供威胁等级量化；(s)基于暂时安全层的安全性规则确定对策方法；(t)如果设置为被动的，则暂时控制过程不发生变化；(u)如果设置为保护，则系统规范伪装(步骤t)被相应地调整；(v)如果设置为诱导，则系统规范伪装(步骤t)被相应地调整，从而有效地使系统成为吸引更多的未授权过程的诱饵。
根据本发明的一个例子，在上面的步骤(a)中，生成授权过程的注册。当在上面的步骤(b)中，新实例化的虚拟机变成运行的(新宿主)时候，在上面的步骤(c)中，在过程移动期间，授权过程的执行状态被记录并且在宿主虚拟机上执行被挂起，挂起的过程在新的宿主上开始，启动时过程的执行状态在当前旧的宿主上被设置为它们各自的记录执行状态，而挂起的过程的处理继续在新的宿主虚拟机上执行。由于新的虚拟机可以在过程的执行被挂起立即成为旧的宿主之前被实例化并且是完全运行的，过程移动可以几乎同时地发生，从而允许在有效的虚拟机之间有无缝处理移交。
而且，当在上面的步骤(c)中发生过程移动时，未授权过程被新虚拟机实例的自然进程终止，如在上面的步骤(b)中描述的，这是因为未授权过程的自然定义是没有在基本虚拟机的授权注册机中注册的过程，因此，当基本虚拟机图像的新实例被创建时，未授权过程不被启动，所以实质上，它们在旧的宿主虚拟机上在过程挂起的时间点被终止。
替代性地，根据本发明的另一例子，基于安全性规则，当在上面的步骤(c)中出现过程移动时，未授权过程可以在移动期间保持有效。当在上面的步骤(b)中描述的虚拟机终止过程期间出现这种情况时，并不终止旧的宿主虚拟机，而是此虚拟机被标记为是正在被隔离的(如果还没有已经被隔离)，并且基本虚拟机的第三实例被创建，其被标记为被隔离的，并被置于如在上面的步骤(o)中描述的现场论证状态，该现场论证状态是一个利用合成计算、网络和系统环境的状态，使得被隔离的现场论证状态并不影响产生环境，但将未授权过程连同当前运行在合成环境下的授权过程保持为有效的和正在执行的。然后，包括未授权过程的过程状态的旧的虚拟机状态被复制到在隔离现场论证模式下运行的基本虚拟机的第三实例，一旦该状态被复制，则在第三虚拟机上过程挂起被解除，执行像正常一样但在合成环境下(如上面的步骤(o)中描述的)被无缝地继续。这还可以利用上面描述的无缝过程移交方法。在移动过程和隔离现场论证移交过程都完成之后，旧的虚拟机具有拍摄的其状态(包括最终过程状态)的最终快照，并且它被存储以用于进一步分析，如在上面的步骤(n)中的，一旦完成，如在上面的步骤(b)中描述的，它被终止。
根据本发明的另一例子，完整性检验被周期性地执行，确保虚拟机的计算环境的完整性。在上面创建基本虚拟机的步骤(a)中，如在上面的步骤(d)中描述的，通过计算基本虚拟机的数字签名，产生唯一值。此数字签名在完整性检验期间被使用，原因是它被用作与基本虚拟机的有效实例的比较。如在上面的步骤(e)中说明的，虚拟机可以通过相同的数字签名产生功能运行，并且如在上面的步骤(f)中描述的，如果输出的完整性值与基本虚拟机图像的数字签名匹配，则可以假定虚拟机的完整性。
而且，如果完整性比较失败，则如在上面的步骤(l)解释的，被检验的虚拟机被标记为被隔离的，其限制如在上面的步骤(m)中说明的过程访问，直到如在上面的步骤(c)中描述的下一移动过程，该下一移动过程完成时，新的接收移动移交的实例化的虚拟机被设置为完整性有效状态，并且隔离被解除。取决于安全性规则，旧的虚拟机具有拍摄的它自己的快照，并如在上面的步骤(n)中说明的被保存以用于进一步论证研究，并且同样取决于安全性规则，如果现场论证被设置，则隔离的虚拟机遵循上面的步骤(o)。
根据本发明的另一例子，伪装混淆过程被用来混淆并掩盖计算环境的真实规范。如在上面的步骤(g)中描述的，在过程注册时，由过程可执行的代码产生散列码。当如在上面的步骤(i)中，从执行过程做出对操作系统的调用以改变或查询系统规范时，过程的查询授权散列被用作覆盖确定值。如果授权散列不存在，或者授权散列与在上面的步骤(k)中列出的用于调用过程的过程注册机中存储的散列不匹配，则可以返回假想系统规范值，该值取决于安全性规则。如果过程查询授权散列不匹配，则如在上面的步骤(i)中，真实的规范被返回。
此处理使得系统对于未授权过程攻击、信息收集的恢复性更强，并有助于降低病毒传播。实际上，这种改进对于外界攻击尝试和从未被怀疑的授权用户释放的无意的内部未授权过程有效，并且即使尚未检测到未授权过程，也是被连续地实施的，并且虚拟机不被标记为正在隔离中。
本发明的另一个例子是通过对被感染的虚拟机快照进行分析和现场论证隔离，来动态地修改前述的伪装子系统、隔离子系统和现场论证子系统的对策防御，从而确定如在上面的步骤(q)中说明的正在被执行的未授权过程的类型。基于类别、未授权过程的历史日志活动和其对现场隔离监控和实验的当前有效的响应，根据上面的步骤(r)的威胁等级值被赋予未授权过程。如在上面的步骤(s)中，基于安全性规则，对未授权过程的对策被修改。如在上面的步骤(t)中，如果安全性规则是被动的，则伪装结果不被修改，如果如在上面的步骤(u)中，安全性规则被设置为保护，则伪装结果与真实值偏离很远，并且如在上面的步骤(v)中，如果安全性规则被设置为诱导，则伪装结果试图适应未授权过程以引起成功，并可能吸引其它未授权过程，以用于监控和实现标识目的。
图1是显示根据本发明的计算系统的一个实施例的示例性配置的堆叠图。在图1中，附图标记1指暂时计算装置，其可以是任何类型的计算装置，诸如膝上型计算机、移动电话、桌面型计算机或者下述计算机服务器：所述计算机服务器的计算环境状态已经被诱发为是暂时的、被定义为动态地改变的或为未授权过程更改的，以获得计算环境的改进安全性。高级安全性意味着计算环境确定哪些过程被授权、哪些过程以前已经被授权或者被指定为由计算装置执行以及哪些用户具有访问所述装置的许可的能力。
暂时计算装置1具有关联配置。在此实施例中，所述配置包括第一虚拟机1.1，第二虚拟机1.2，暂时防御层1.3，虚拟化操作系统1.4，装置驱动器/固件1.5和物理计算机硬件1.6。
类似地，在图2中，附图标记2指为网络设备的一个变形实施例，诸如已经被诱发为暂时的路由器或开关。图2图解说明了关于图1讨论类型的配置部件2.1至2.6。
在图3中，扩展计算环境的复杂性，附图标记3指由连接在一起并共享某些资源的多个计算装置和网络设备组成的计算系统，诸如LAN(局域网)，其被诱发为是暂时的。在此实施例中，暂时防御层3.3的配置可以以如图3中描述的协调方式在所有的装置和设备3.11、3.21和3.12上运行。
替代性地，每个暂时装置可以独立于系统中的任何其它暂时装置或其任意组合来操作其暂时防御层。考虑是暂时计算环境，计算系统中必须在诱发暂时状态下的装置的最小数目是1。
在图4中，附图标记4指另一实施例的配置，其中计算装置是暂时的。图1和图4所示的差异是，图1中的暂时计算层(附图标记1.3)描述在中央执行的作为基本虚拟化操作系统的一部分的暂时计算层，而在图4中，附图附记4.3描述了分散执行的作为指定虚拟机的暂时计算层。在此配置中，在单个计算装置或网络设备上可以有超过一个的不同的暂时计算层，每一个都设置为控制不同的指定虚拟机(诸如用附图标记4.1描述的)中的时间性。本发明的实施例可以采用许多形式，包括无缝地重新虚拟化或以时间限制虚拟机的嵌入式虚拟机。
图5示出了对于本发明的一个实施例，暂时防御层配置的框图。该框图描述了暂时防御层的功能部件以及在它们本身、在计算装置上运行的图5中所示的附图标记为1.3.1300的虚拟化操作系统(诸如VMWare vSphere、Xen、KVM或Windows Hyper-V)和虚拟机的操作系统之间的相互作用，所述虚拟机的操作系统诸如图5中描述的Windows或Linux操作系统，附图标记为1.3.1200，由虚拟化操作系统驻存，其被诱发为由共同部件管理的暂时状态。
在图5中，附图标记1.3.400描述了基本虚拟机图像档案，其包含基本图像和它们对于每个虚拟机、计算实体的实例化状态规范，所述每个虚拟机、计算实体通过由暂时防御层管理变成暂时的。作为每个基本虚拟机图像定义的一部分，被授权在图5中描述的暂时虚拟机(附图标记为1.3.1200)上运行的过程，在授权过程注册机1.3.500中注册，所述授权过程注册机1.3.500与在图5中描述为1.3.400的档案中的基本虚拟机图像关联。
进一步描述所述系统，在图5中描述的附图标记为1.3.600的安全性规则引擎包含在通用计算环境级别上运行的暂时运行规则以及特定规则，所述特定规则属于在图5中以附图标记1.3.400描述的档案中存储的特定的基本虚拟机图像。安全性规则管理图5中所示的附图标记为1.3.1200的虚拟机的暂时环境如何被管理。暂时环境安全性规则包括：基本虚拟机图像实例的随机更新的间隔限制，如何隔离未授权过程，如何合成产生环境，应该使用哪些技术来用于系统规范屏蔽，以及在什么情况下应当部署哪些对策。此外，特定的安全性规则可以在基本虚拟机图像和未授权过程等级的基础上被设置。
附图标记1.3.100描述了暂时调度器，其处理状态变化的调度，所述状态变化包括本发明的实施例的暂时流量。暂时调度器设置一连串的随机定时器，该随机定时器的极限由安全性规则引擎1.3.600来管理。当定时器上的时间到期时，相应的系统变化或实例刷新被发起。这样的一个例子示于图11中，当虚拟机被刷新时，其逐步完成发生的移动过程。
状态映射器1.3.900是暂时防御层的部件，其映射在虚拟机1.3.1200上运行的过程的状态或整个虚拟机的状态。状态映射器与过程间的通信网关交互，以获得过程状态信息，并且状态映射器与合成环境仿真器1.3.700交互以获得虚拟机的完整状态信息。通过由状态映射器1.3.900收集的信息，拍摄能捕捉执行状态的处理或计算环境快照。通过快照，过程或虚拟机可以在快照被拍摄时设置回执行状态，处理可以从该点继续。
完整性检验器1.3.300负责暂时防御层，以验证授权过程或虚拟机1.3.1200的完整性。对于检验虚拟机的完整性程序，完整性检验器1.3.300计算实例在其当前有效状态下的数字签名值。此过程在图9中描述。计算的数字签名值与在图5的档案1.3.400中存储的基本虚拟机图像的数字签名完整性值进行比较。如果这两个值匹配，则虚拟机的安全完整性状态被设置为干净的(clean)，其日志记录在虚拟机管理器1.3.200中。当完整性检验器1.3.300验证在虚拟机1.3.1200上运行的执行过程时，发生类似过程。该过程的完整性值被称作授权标识，其与授权过程注册机1.3.500中的相关授权标识值进行比较。暂时调度器1.3.100发起完整性检验，其由安全性规则引擎1.3.600中的安全性规则所管理，再次随机性地发生。
系统规范处理机1.3.1000过滤由虚拟机1.3.1200执行的系统规范请求。当在虚拟机的计算环境内关于系统组件、操作系统或可用资源规范做出请求时，该请求被路由通过系统规范处理机1.3.1000，在此处如在图8中的过程流程图中展示的，完成对请求的过滤。在决定数值后，会将该值提供给虚拟机1.3.1200，并返回查询过程。
合成环境仿真器1.3.700是介于虚拟机1.3.1200和主机虚拟化操作系统1.3.1300之间的万能(shim)过滤器过程层。该层被定位在虚拟机实例的外部，使得虚拟机正在执行的内部过程并不知道其存在。这是很重要的，因为合成环境仿真器1.3.700的功能是模仿更宽的计算系统，虚拟机1.3.1200是过程的一部分和任务关键组件，使得当被激活的探索、访问和处理命令被仿真器拦截时，响应肯定被发送回来，以使所有的调用过程都认为它们处于产生环境中。
隔离执行器1.3.100是暂时防御层的部件，其将虚拟机1.3.1200置于隔离中，并在实例中运行的所有过程上实施该隔离。当虚拟机处于隔离中，如由安全性规则引擎1.3.600结合授权过程注册机1.3.500的任务关键命令规范确定的，某些过程命令不被执行。尽管这种隔离并不影响当虚拟机是产生的一部分时该虚拟机如何执行过程，但由于允许一些过程甚至是未授权过程继续执行，所以效果大多是被动的。隔离执行器将注册机检验器1.3.300中的被感染的虚拟机的完整性状态标记为泄密的。在如图11暂时移动过程中所示的实例更新中，取决于安全性规则，被隔离的实例具有其被拍摄的快照，并被保存以用于以后论证分析，或者如果安全性规则被设置为高的屏蔽等级，则被隔离的实例被移出产生过程，但未被终止。在此情况下，另一虚拟机被创建，并被设置为现场论证隔离状态，其作为完全合成的计算环境运行，合成环境仿真器1.3.700以允许该泄密实例和授权的和未授权的过程都继续执行的方式控制该完全合成的计算环境，好像计算环境未发生改变，使得可能是损害评估的研究和实验可以被执行。在这种现场论证状态下，隔离执行器1.3.1100解除隔离限制，使得实例模仿干净的未泄密的状态环境。在隔离期间，还应当指出，系统规范处理机1.3.1000返回由安全性规则管理的不同规则。
暂时虚拟机的实例化过程定义于图6中，从虚拟机管理器1.3.200获得基本虚拟机图像开始(1.3.201)。新的虚拟机实例请求被发布到虚拟化操作系统(1.3.202)。然后虚拟机启动(1.2.203)。从授权过程注册机获得授权过程(1.3.204)。例如，用于基本虚拟机图像的程序通过虚拟机管理器1.3.200从授权过程注册机1.3.500检索。
然后，注册过程启动(1.3.205)。对于收到的每个授权过程，图5的虚拟机管理器1.3.200检索状态映射器1.3.900中存储的过程的状态快照的当前执行状态；这是根据图6的框1.3.206执行的。如果不存在以前的处理索引(1.3.210)，则状态保持在初始处理状态(1.3.211)，注册过程执行开始(1.3.212)。在执行状态情况下，确定过程执行状态(1.3.207)。获得被挂起的过程的状态值(1.3.208)。过程的状态被设置为存储值(1.3.209)。在处理完所有的注册过程之后，虚拟机的安全性状态被设置为干净的(1.3.213)，并且虚拟机在工作中。
图7逐步完成虚拟机的终止过程。终止过程开始于如图5中的1.3.200描述的虚拟机管理器发布的虚拟机终止命令。从授权过程注册机1.3.500获得授权过程列表；此操作显示于图7中的步骤1.3.220。如果授权过程不是有效的，则它跳过(1.3.222)。如果发现过程当前正在处理(1.3.223)，则状态映射器1.3.900挂起过程的操作(1.3.224)，点过程执行被暂停(1.3.225)，拍摄过程状态的快照(1.3.225)。处理快照(1.3.226)，存储过程状态快照(1.3.227)。一旦如虚拟机管理器1.3.200确定收集并适当地处理了所有的授权过程快照，管理器给虚拟化操作系统1.3.1300发布停机命令，虚拟机1.3.1200被命令终止。挂起实例(1.3.228)，终止实例(1.3.229)，此时虚拟机停机。
在本发明的一个实施例中，暂时防御层的另一核心功能是对于计算系统的规范或虚拟机的核心部件之一能够屏蔽、模糊或误导未授权过程。图8是显示图5中附图标记为1.3.1000的系统规范处理机在未授权过程查询系统规范时采用的覆盖过程的流程图。
在图8中，附图标记1.3.1001开始覆盖过程，示出了正在虚拟机上执行的过程对实例操作系统做出系统规范或在系统上运行的核心部件的查询请求。虚拟机1.3.1200将查询请求通过过程间通信网关1.3.800传递到系统规范处理机1.3.1000，如在图8中步骤1.3.1002说明的。
继续系统规范覆盖过程，图8的附图标记1.3.1003描述了过程注册机查找步骤，在该步骤中，系统规范处理机1.3.1000查找过程，以确定该过程是否是在授权过程注册机1.3.500中注册的。如果没有在注册机中找到该过程，正如在图8中的框1.3.1004描述的，则处理机假设该过程是未被授权的，并覆盖由安全性规则引擎1.3.600指示的安全性规则确定的系统规范值(示于图8中的框1.3.1007)。此处理步骤在图8中的框1.3.1006说明。在图8中，附图标记1.3.1013描述了返回正在执行做出系统规范查询的过程的虚拟机1.3.1200的值，然后，框1.3.1014示出了虚拟机的操作系统最终将系统规范值返回到调用过程。
替代性地，如果在授权过程注册机1.3.500中找到做出系统查询的过程，则返回与该过程相关的关联查询授权散列值(1.3.1009)。授权散列是由调用过程的基本执行代码计算的散列，提供了唯一值，这表明该过程源于授权基本执行代码。所使用的散列算法可以是任何散列算法，诸如SH1或MD5，并且该值可以简单地通过对可执行的管理代码或实例化注册过程的脚本文件规范进行散列来得出。
图18示出了对于注册的Windows型应用程序推导查询授权散列的例子，对于本发明的实施例，其代码文件是标准的.exe。如图18中描述的第一步是获得基本虚拟机图像ID(1.3.501)，如存储在基本虚拟机图像档案1.3.400中具有如图16中描述的数据制式，它与授权过程相关，该授权过程的查询授权正在被推导。这是授权过程被授权在其上运行的虚拟机。如图18中所描述的查询授权过程中的步骤2是获得过程的名称(1.3.502)，或者在这种情况下是应用程序可执行文件的名称。接着，取得过程或程序可执行文件头的可执行规范(1.3.503)。在此例子中使用的规范是机器规范，段的数目，文件的日期时间戳，符号的数目，任选的文件头的大小和特征数目。这些COFF(通用对象文件格式)头的值可以替代性地从运行的过程检索。框1.3.504描述了第4步，即以上述定义的顺序创建所有这些值的连接字符串(VM ID，应用程序文件名，机器规范，段的数目，文件的日期时间戳，符号数目，任选的文件头大小和特征数目)。第5个推导步骤1.3.505计算连接字符串的SH1散列。所产生的散列值是图18中在框1.3.506中所示的查询授权散列，该散列存储在授权过程注册机中的授权过程的项目中，如图17中描述的数据配置所示的。
返回图8，附图标记1.3.1011描述了比较过程步骤，在该步骤中，比较调用过程的查询授权散列值、请求系统规范的过程和如上面指出的从注册机检索的查询授权散列值的等同性。如果查询授权散列值不匹配，则假设正在请求系统规范的调用过程是未授权的(1.3.1005)。如上文解释的系统规范覆盖程序被在处理步骤1.3.1006开始的过程使用，从而导致将覆盖值返回调用过程(1.3.1014)。
替代性地，如果框1.3.1011确定调用过程的查询授权散列和由注册值返回的查询授权散列相等，则该过程被认为是授权的，则获得真实的系统规范值(1.3.1012)。真实的系统规范值被返回正在执行做出系统规范查询的过程的虚拟机(1.3.1013)，然后将真实的系统规范值返回到调用过程(1.3.1014)。
如果发现过程是未授权的，则图5的整个虚拟机1.3.1200被标记为泄密的，如图8中框1.3.1008表示的。实例的安全性状态在虚拟机管理器1.3.200中被设置为表示安全性泄密的一个值。这只在执行做出系统规范请求的过程的虚拟机接收到覆盖规范值之后发生，如图8中的框1.3.1013所示。
图9示出了虚拟机1.3.1200用来确定实例是否是干净的或泄密的完整性验证过程。在此实施例中，表示虚拟机1.3.1200的干净的未泄密的完整性状态的数字签名通过基本虚拟机图像档案1.3.400中存储的基本虚拟机图像来预先计算，并与数据配置中相应的基本虚拟机图像关联地存储，如图16中指示的。此数字签名可以是从虚拟机图像推导的任何个数的计算值。在此例子中，如图19中描述的，虚拟机的数字签名从基本虚拟机ID(如图19中框1.3.401描述的)结合操作系统的名称(如图19中框1.3.402描述的)推导，其扩展版本由虚拟机运行(如图19中框1.3.403描述的)。此信息连同在虚拟机上运行的操作系统的核心过程的名字(其以字母顺序连接，在图19中附图标记为1.3.404描述的)，连同该虚拟机关联的存储在授权过程注册机(图5中1.3.500)中的授权过程的名称(以字母顺序连接，如图19中框1.3.405描述的)。所产生的连接字符串表示在框1.3.406，其然后通过框1.3.407运行SH1散列，输出值在框1.3.408，在此实施例中这是虚拟机的数字标识。
当完整性检验由完整性检验器1.3.300发生时，拍摄虚拟机的快照，如图9的框1.3.301表示的。然后计算快照的数字签名，如框1.3.302表示。例如，如图19所描述，可以使用通过执行数字标识推导过程推导出的散列值来计算正在进行完整性检验的虚拟机1.3.1200的数字签名。完整性检验器1.3.300然后检索关联的预先计算的数字签名，其如上面描述的从存储在图16的数据配置中的基本虚拟机图像档案计算。图9的框1.3.303描述了完整性检验器对从档案获得的数字签名和从正在执行完整性检验的虚拟机1.3.1200的快照推导出的数字签名执行的比较过程。如果数字签名匹配，如图9的框1.3.306所描述，则虚拟机的完整性被验证，并且在虚拟机管理器1.3.200中被标记为干净的，如图9的框1.3.307所描述的。
替代性地，如果数字签名不匹配，如图9中的框1.3.304所描述，则假设正在被检验的虚拟机被泄密，原因是完整性检验没能匹配。这意味着未授权过程曾经在正被检验的实例上运行。结果，对虚拟机的安全性状态设置在虚拟机管理器1.3.200中被设置为泄密的，表示实例被泄密，如图9中的框1.3.305描述的。
图10示出了无缝的授权过程移交如何在两个机器之间产生的图序。授权过程是一个已经被注册、具有注册机项目记录、并且在授权过程注册机1.3.500中的过程。注册的过程与基本虚拟机图像档案1.3.400中存储的基本虚拟机图像关联。注册的过程如果与注册机中的标记关联，则被授权在基本虚拟机图像实例1.3.1200上运行、执行或处理该注册的过程。
无缝授权过程移交程序示于图11中，框1.3.1215显示为暂时移动过程的一部分，并在图10中逐步详细地显示。无缝授权过程移交在想要将当前正在一个虚拟机1.3.1200(其曾被实例化，在图6中的实例化过程中描述)上执行的授权过程从存储在基本虚拟机图像档案1.3.400中的基本虚拟机图像移动到从同一基本虚拟机图像推导出的另一虚拟机实例时发生，而不阻碍授权过程执行。
在图10中，附图标记1.3.1220示出在过程移交开始之前的无缝授权过程移交的步骤0，其描述了过程的状态。附图标记1.3.1221示出了正在执行授权过程(A)1.3.1222的虚拟机，该授权过程A是必须被移动或移交到另一虚拟机的过程，该过程从同一基本的虚拟机图像推导出并如上描述被实例化。在图10的步骤1，附图标记1.3.1230表示描述的目的虚拟机1.3.1233被定位或实例化，这将是授权过程即过程(A)1.3.1232被移动以进行继续执行的实例。在步骤1，过程(A)当前仍正在原始实例1.3.1231上执行，其被称作原始或当前的虚拟机。
附图标记1.3.1240示出了启动或初始化授权过程(A)1.3.1244的目的虚拟机1.3.1243，该过程(A)1.3.1244被称作新授权过程(A)。这在原始虚拟机1.3.1241继续执行过程(A)1.3.1242时发生，该过程(A)1.3.1242被称作产生授权过程(A)。
附图标记1.3.1250示出了产生授权过程(A)1.3.1252的执行被原始虚拟机1.3.1251暂停，原始虚拟机1.3.1251是现在已经被挂起的授权过程执行的主机。附图标记1.3.1254描述了在目标虚拟机上初始化的新授权过程(A)1.3.1253，此过程的执行也被挂起。
无缝授权过程移交的步骤4示于图10中的附图标记1.3.1260，描述了快照程序。一旦如上文在步骤3中描述的产生授权过程(A)被挂起，则图5的状态映射器1.3.900拍取状态快照，如图10中描述的。图10的附图标记为1.3.1265的新挂起的产生授权过程(A)1.3.1262代表图10中附图标记为1.3.1262描述的产生授权过程(A)，捕捉由图10中附图标记为1.3.1261描述的原始虚拟机执行的最后一个指令的当前执行点或过程指令索引指针，它与存储器状态，作为图5中描述的状态映射器的一部分的过程堆叠状态一起记录于过程的状态快照中。附图标记1.3.1265代表所有信息被收集的时间。附图标记1.3.1264描述了在目标虚拟机1.3.1263上初始化的新授权过程(A)，该过程的执行也被挂起。
附图标记1.3.1270示出了正在新过程上被复制的过程状态。拍取的挂起产生授权过程(A)1.3.1272的状态快照1.3.1275被用来将挂起的新授权过程(A)1.3.1274设置为匹配过程执行状态。原始虚拟机1.3.1271和目的虚拟机1.3.1273两者的相应的授权过程(A)的执行被挂起。状态映射器1.3.900使用捕捉的状态快照信息来修改存储器、堆栈和新授权过程(A)的执行状态(图10中用附图标记1.3.1274表示)，以匹配被挂起的授权过程(A)在其最后的执行点的状态，之后它被有效地挂起，从而在目的虚拟机1.3.1273上复制产生授权过程(A)。
无缝授权过程移交的步骤6示于图10中的附图标记1.3.1280，描述了产生授权过程(A)从下一处理指令在被挂起的那点重新开始执行。尽管产生授权过程(A)1.3.1282在原始虚拟机1.3.1281上的执行保持被挂起，被目的虚拟机1.3.1283处理的新复制的授权过程(A)1.3.1284被设置为在其信息用于复制的快照被拍摄之前，在下一处理指令重新开始该过程从原始产生授权过程被挂起的那点的执行。最后一个执行点被状态映射器1.3.900记录，从而允许处理堆栈被适当地在目的虚拟机1.3.1283中设置以便复制的产生授权过程1.3.1284开始在下一指令上处理，以允许授权过程成功地从一个虚拟机实例移动到另一虚拟机实例，而不中断授权过程的执行顺序，从而完成无缝过程过渡。
无缝授权过程移交的步骤7示于图10中。附图标记1.3.1290描述了终止旧的授权过程的常规事务步骤。附图标记1.3.1291描述了当前原始产生授权过程(A)1.3.1292的执行被挂起的原始虚拟机。挂起的过程(A)被终止，这并不影响产生授权过程(A)1.3.1294在目的虚拟机1.3.1293上的执行。
无缝授权过程的步骤8与附图标记1.3.1295关联，这代表一旦原始虚拟机已经被终止后无缝移交过程的成功结束状态。产生授权过程(A)1.3.1297被目的虚拟机1.3.1296有效地执行。
图11示出了暂时移动过程流程图，这详细介绍了底层基本虚拟机图像实例的暂时状态的诱导和过程的执行被处理的方式。当由暂时调度器1.3.100随机设置的虚拟机1.3.1200的实例生命定时器到期时，移动过程开始。当定时器到期时，暂时调度器1.3.100开始虚拟机的暂时移动过程，该虚拟机的定时器刚好到期，如图11中框1.3.1201说明的。暂时调度器给虚拟机管理器1.3.200发信号，以实例化与虚拟机(其生命定时器刚好到期)关联的基本虚拟机图像的新实例，如图11中框1.3.1201描述的。如图6中的过程流程图描述的，此新的虚拟机实例化出现，然后按照用于设置相关授权过程状态以进行初始化的过程步骤进行，如图6中包括附图标记1.3.210的过程路径表示的。一旦完成最后一个实例化步骤(图6，框1.3.212)，虚拟机管理器具有用于新实例化的目的虚拟机的干净的安全完整性状态设置，授权过程全部被初始化，并被挂起。
图11的框1.3.1203描述了由虚拟机管理器对在虚拟机上运行的每个过程执行的重复性过程的开始，该虚拟机的实例生命定时器刚好到期。框1.3.1204描述了授权过程的验证步骤，在此步骤中，过程被状态映射器(图5中的1.3.900)挂起，如上文在无缝授权移交描述中所述的，拍摄过程状态的快照。然后，相对于授权过程注册机(图5中1.3.500)检验该过程，以确定它是否是授权过程。如果它是授权过程，则过程路径来到框1.3.1214，然后前进到框1.3.1215，该框是描述无缝授权过程移交(在图10中所示)的处理步骤。这将正在执行的授权过程从一个虚拟机移动到已经由同一基本虚拟机图像实例化的另一虚拟机。在框1.3.1215的移交完成之后，授权过程现在被在框1.2.1202中创建的新目的虚拟机来执行。对发现是授权的在其实例生命定时器刚刚到期的虚拟机上挂起的所有过程重新此过程路径。
替代性地，如果一个过程未通过框1.3.1204的授权步骤，则执行路径前进到框1.3.1205，这表明发现未授权过程正在其实例生命定时器刚刚到期的虚拟机上执行。框1.3.1206描述虚拟机管理器，其将其实例生命定时器刚刚到期的虚拟机的安全完整性状态标记为表示它被泄密的一个值。框1.3.1207描述暂时移动处理步骤，在该步骤中，询问安全性规则引擎(图5中1.3.600)以确定对于刚刚发现的未授权过程采取什么对策步骤。如果规则被设置为在暂时移动后终止所有未授权过程，则采用路径1.3.1208，从而跳过未授权过程的移交，当虚拟机终止时，该未授权过程被命令为终止。框1.3.1209描述了检验由查询返回的安全性规则是否指示未授权过程被置于现场论证状态的步骤，在现场论证状态，未授权过程继续被执行。框1.3.1210描述了设置标志的虚拟机管理器(图5中1.3.200)，该标志表明对于其实例生命定时器刚刚到期的虚拟机进行现场论证。
继续暂时移动过程的未授权过程执行路径，如果现场论证选项开启，则第三虚拟机被虚拟机管理器(图5中1.3.200)实例化，该第三虚拟机被设置为现场论证模式，其以合成计算环境的方式引起新实例，如图11的框1.3.1211描述的。
检验其余的过程，并且如果被授权，则移动到在框1.3.1202中新创建的新的目的虚拟机。一旦完成将所有授权过程无缝移交到新实例化的目的虚拟机，虚拟机管理器(图5的1.3.200)将新的目的虚拟机(在框1.3.1202中创建的)的安全完整性状态设置为表示干净的安全完整性值的一个值，原因是由于未授权过程并没被移交到目的实例，所以目的实例并不具有任何未授权过程。此外，在暂时调度器中，虚拟机管理器将实例持续定时器重置为随机值，继续暂时周期。在产生环境中，授权过程全部正在框1.3.1202中创建的新的目的虚拟机上执行。
如果其实例持续定时器到期的虚拟机具有设置为开启的现场论证标志，并且在虚拟机管理器(图5的1.3.200)中反映的安全性状态被设置为泄密的，则执行框1.3.1212的移动处理步骤，该步骤将所有在其实例持续定时器最近到期的虚拟机中挂起的授权和未授权的过程移动到在框1.3.1211中创建的第三虚拟机，第三虚拟机在现场论证模式下运行合成计算环境。使用图10中所示的无缝授权移交过程移动授权过程。未授权过程由状态映射器复制，状态映射器获取过程代码、存储器状态和堆叠状态的精确状态映射，并将其复制到处于现场论证模式的在框1.3.1211创建的合成虚拟机。一旦所有的过程都移动完，过程挂起被解除，运行合成环境的虚拟机继续过程的执行，所述过程现在已不是产生环境的一部分而是在可以被研究、分析和操纵的合成计算环境中。
框1.3.1298示出了暂时移动过程的最后一个处理步骤，在该步骤中，其实例持续定时器到期以开始暂时移动过程的现在为旧的虚拟机根据图7中定义的过程终止。结果是在框1.3.1202创建的执行授权过程的干净的虚拟机，所述授权过程通过此暂时移动过程被移动到干净的实例，从而有效地移动了产生处理。如果旧的虚拟机被泄密，则合成计算环境从基本虚拟机图像实例化，并设置为包括未授权过程的旧的虚拟机的处理状态。这允许未授权过程继续以对于未授权过程或未授权过程的处理机不可检测的方式执行。
图12是暂时调度器过程的流程图，所述过程控制虚拟机(图5中的1.3.1200)的刷新，该虚拟机已经被虚拟机管理器(图5中1.3.200)实例化并在其上注册，如通过驻存在基本虚拟机图像档案(图5中1.3.400)中的源基本虚拟机图像推导。图12的框1.3.101图解说明了在图6中详述的实例化步骤。图12的框1.3.102描述了第一次设置实例生命定时器，这会开始虚拟机的暂时周期，由于该虚拟机现在经历如由暂时调度器(图5的1.3.100)确定并由虚拟机管理器(图5的1.3.200)执行的频繁的实例刷新，现在被称作暂时虚拟机。在本发明的此实施例中用来设置实例生命定时器的时间值使用随机或伪随机数生成器来计算实例生命定时器的持续时间的随机间隔。进行此操作来增加高等级的安全性，这是通过随机化刷新间隔获得的，以通过使定时攻击更难以确定刷新出现来防止定时攻击。为了管理刷新速率的极限，最小和最大持续值在安全性规则引擎(图5中1.3.600)中被设置，所述安全性规则引擎管理暂时计算环境对底层计算装置或网络设备造成的系统性能影响。
图12的框1.3.103描述了对于给定的到期虚拟机的实例生命定时器。在到期时，刷新过程由暂时调度器(图5中1.3.100)触发，从而通知虚拟机管理器(图5中1.3.200)对其实例生命定时器刚刚到期的虚拟机(图5中1.3.1200)进行刷新。图12的框1.3.104描述了此实例刷新过程，其执行暂时移动过程，如图11的流程图中详细示出的。一旦移动过程完成，新的或刷新的虚拟机被投入运行，从而处理与基本虚拟操作系统图像关联的注册过程。虚拟机管理器通知暂时调度器新实例正在操作。图12的框1.3.105描述了暂时调度器重置新实例化的虚拟机的定时器，该新实例化的虚拟机现在是运行的，从而完成暂时状态刷新过程。再次在安全性规则极限内检索随机数，实例生命定时器的持续时间被设置为此值。
图13示出了用于本发明的此实施例的隔离程序的流程图。隔离功能被设计为在暂时系统中获得三个主要安全性目的：包含未授权过程，降低未授权过程可能对暂时计算系统造成的损害，并以不警告未授权过程或其处理机已经被检测到并隔离的方式进行。
框1.3.1101是隔离过程的第一步，是未授权过程的检测。检测可以以各种方式出现，其中的两种在其它定义区进行讨论，诸如在图11的框1.3.1205的暂时移动过程和在图9的框1.3.304的完整性检验过程中。
图13的框1.3.1102描述了在虚拟机管理器中将虚拟机(图5中1.3.1200)的安全性状态设置为表示实例的完整性被泄密的一个值，前提是它还没有如此设置。一旦实例的安全完整性值已经设置为泄密的，则实例开始以隔离的虚拟机运行，如框1.3.1103所描述，该实例可被称作在隔离模式下运行。一旦虚拟机已经被置于隔离中，则由安全性规则引擎(图5中1.3.600)确定的隔离安全性过程规则发挥作用，如框1.3.1104描述的。这些隔离安全性规则改变由系统规范伪装过程返回的值，如在图8中和图13中用框1.3.1105详细描述的。
在此实施例中的一个例子是当进行询问以确定执行哪个操作系统版本时，既然隔离模式是有效的，不是返回实际的版本号，而是它返回操作系统的旧版本ID，使得未授权过程更难以使用系统，诸如未授权的特权升级。隔离安全性规则还限制对系统重要资源的访问，如框1.3.1106中所示的。这样的一个例子是当隔离模式不开启，所有的过程可以访问共享的网络文件和打印资源时。一旦隔离模式开启，隔离安全性规则限制对所有共享的文件和打印资源的访问，其可具有隔离未授权过程的效果，例如可以是隔离蠕虫使之不感染打印机，因为它不再能利用共享的打印资源。此外，隔离安全性规则防止对系统设置进行修改，如框1.3.1107所示的。这种情况的一个例子是对由隔离安全性规则规范的所有过程限制到虚拟机(运行Windows操作系统)的系统注册机的写权限，即使该过程具有这样做的系统权限。
框1.3.1108描述了包括在隔离模式下运行的虚拟机上的未授权过程的过程，该虚拟机在由隔离安全性规则设定的允许限制范围内继续执行所有过程。再次进行该过程以缓解系统处理影响，并且不提高已经检测到的现在被包含的未授权过程的认识。在图11中详细给出的暂时移动过程中由暂时调度器(图5中1.3.100)控制的下一暂时刷新期间，执行完整性检验，如图13中的框1.3.1101高亮显示的。在图11中，框1.3.1209是正在被移动的虚拟机的安全完整性状态，其示于图13中的框1.3.1111，这表示虚拟机正在隔离模式下运行，如框1.3.1112示出的，这示出了进行检验以确定现场论证模式是否在该实例下是开启的。如果现场论证模式开启，则框1.3.1113被调用，其操作详细示于图11的框1.3.1210。新的虚拟机被创建，还是详细示于图11中框1.3.1211，它被置于图13中框1.3.1114示出的合成模式下。该模式可以被合成环境仿真器(图5中1.3.700)控制。此新的合成虚拟机变成正在被移动的泄密虚拟机的非产生现场论证实例。
在图13中，框1.3.1115高亮显示了利用图10中详细示出的无缝授权移交过程，授权过程从泄密的实例到现场论证合成环境实例的移动。框1.3.1116高亮显示了未授权过程从被感染实例移交到现场论证合成环境实例，该现场论证合成环境实例从泄密系统拷贝并通过未授权状态快照复制，这包括将未授权过程的执行指令(本地、管理的或脚本代码)、被使用的存储器和执行堆栈复制到现场论证合成环境实例。一旦所有过程已经移动到现场论证合成环境实例，则现场论证合成环境实例的安全性状态被设置为干净值，如框1.3.1117描述的。框1.3.1118描述了新移动的过程在现场论证合成环境实例上的过程挂起的解除和授权过程和未授权过程两者的执行被恢复。框1.3.1119描述了可以对现在处于现场论证虚拟机中的未授权过程进行的研究、分析和实验。再一次，这是在不警告未授权过程或其控制器以下事实的情况下执行的：即，它已被从一个实例移动到另一实例，以首先执行被隔离然后置于受控合成环境下。替代性地，如果现场论证模式是关闭，虚拟机在被刷新，则移动过程完成，如框1.3.1120所描述。框1.3.1121描述了被创建的作为暂时刷新移动过程的一部分的新的目的虚拟机，这详细示于图11中，包括框1.3.1202。
图13的框1.3.1123描述了通过使虚拟机管理器(图5中1.3.200)将跟踪的新创建的目的虚拟机的安全完整性值设置为干净的(这示于图13中框1.3.1122)对该新创建的目的虚拟机解除隔离。
框1.3.1124描述了隔离虚拟机在其被终止之前由状态映射器(图5中1.3.900)拍摄的状态快照，如图7中的流程图所示。隔离过程的最后步骤是存储用于论证分析的被隔离实例快照的复本，如图13中的框1.3.1125所示的。
图14图解说明了根据本发明的实施例使用的合成产生系统。运行现场论证模式的虚拟机可包括具有嵌套虚拟化操作系统1.3.701的虚拟机。这可包括带被感染虚拟机而不隔离的合成产生环境1.3.702，用于网络设备的合成虚拟机1.3.703和用于个人计算机的合成虚拟机1.3.704。实例可以使用因特网1.3.705上的资源进行交换。
图15通过使用被攻击且感染了间谍电码、以未授权过程运行的系统的真实世界例子，逐步完成实时对策过程。在该例子中，如在本发明中详述的在暂时环境中运行的虚拟机正在运行授权网络浏览器应用程序。网络浏览器由黑客利用，其确定网络浏览器是以32位windows环境运行的IE，这由黑客置于网站上的恶意代码确定。运行授权网络浏览器应用程序的虚拟机运行32位版本的Windows操作系统。对于exploit的易攻击性是存储器溢出矢量，其影响在32位版本的Windows操作系统上运行的IE网络浏览器。这是一种非常典型的浏览器exploit，其经常用来获得进入计算机系统中的未授权访问。一旦存储器溢出被利用，命令解释程序代码被加载以再次由被置于被浏览的网站上的恶意代码执行。命令解释程序代码是一种病毒或间谍电码，其允许黑客未授权地远程访问机器。在虚拟机经历未授权过程的暂时移动过程期间，在这种情况下，间谍电码被检测，如图15中框1.3.601所描述。安全性规则使得未授权过程被终止，被感染的虚拟机快照经过解析，以确定是哪一种感染，并将其报告给安全性规则引擎(图5中1.3.600)，以对最近成功的攻击应用有效对策。框1.3.602描述了正在被感染的虚拟机图像快照上进行的论证分析。框1.3.603描述了该分析，结论是未授权访问代理已经被置于系统上，且最有可能这是通过浏览器完成的。框1.3.604描述了论证应用程序，其将发现通知给安全性规则引擎。基于在框1.3.605应用的有效对策规则，当exploit在虚拟机上最近成功时，系统规范处理机的伪装特征被改变，使得操作系统版本由其32位真实值变成64位，以用于包括IE浏览器应用程序的授权应用程序，如路径1.3.606所示。下一次，浏览器应用程序对操作系统的规范进行系统查询时，返回的结果是64位的Windows操作系统，如框1.3.607所示的。下一次浏览器访问黑客将恶意代码置于其上的站点时，上一次用来感染系统的exploit将不起作用，原因是恶意代码只对于32位Windows操作系统起作用。如框1.3.608所示，浏览器报告信息字符串被更改。因此，exploit不再起作用(1.3.609)，跳过64位OS(1.3.610)。结果，由于伪装对策，exploit不再运行(1.3.611)。此例子示出了暂时系统的真实世界的例子，其使用实时对策来提高安全性，从而使得系统较不易于遭受最近检测的攻击。
图16图解说明了根据本发明的实施例可以收集的示例性数据。特别地，该图图解说明了档案中记录的基本虚拟机图像，其包括虚拟机基本图像标识、硬件标识、虚拟机数字标识和虚拟机基本图像对象的列。
图17图解说明了根据本发明的实施例可以收集的示例性数据。特别地，该图图解说明了在注册机中的授权过程信息，其包括授权过程标识、虚拟机基本图像标识、过程文件名、授权散列和过程可执行对象的列。
本领域技术人员会认识到与公开技术相关的许多优点。以其最基本的形式，该技术降低了未授权计算机访问和使用。该技术通过提高渗透并控制计算机装置或网络所需的技巧等级而降低了潜在黑客的数目。该技术使潜在的攻击者混淆和困惑计算机装置或网络的规范是什么。因此，提高了获得计算机装置和网络的未授权访问和使用的成本。
该技术降低了网络攻击的当前的不对称特性。该技术还当网络上的计算装置变成被感染时使病毒的传播变缓。该技术降低了病毒或未授权间谍电码或未授权计算会话存在于受感染的计算装置上的持续时间。
该技术降低了病毒或未授权间谍电码或未授权计算会话必须执行恶意命令的时间窗口。该技术还提供了攻击的对策。因此，该技术促进在计算机装置、网络和系统的随机或偶然刷新周期(实例化、重新实例化和去实例化)期间的稳定的标准计算环境。
该技术有助于在计算装置和任务关键过程的网络之间的无缝移动，从而避免了服务中断或命令的重执行。该技术还允许遗留系统的新安全性方法的移动路径，作为系统替换的一种替代方式。该技术避免了服务拒绝的攻击。该技术以允许后续论证重构、病毒和代理感染系统的现场样本分析以及未授权使用会话的方式存储系统状态。
该技术允许人们将包含的感染的计算装置和网络从产生移动到非产生计算环境，而不被病毒、未授权间谍电码或未授权计算机会话用户或远程控制它们的一方检测到。该技术还提供了一种受感染计算装置和网络可以在其中运行的合成或伪产生环境，由此病毒、未授权间谍电码或未授权会话计算用户或它们相应的控制器不能确定计算环境不是产生环境。被感染的计算装置和网络的合成或伪产生环境可以运行，并且可以安全地评估传播以确定病毒或未授权间谍电码的威胁等级、传播速率和多形态属性。
本发明的一个实施例涉及一种具有计算机可读存储介质的计算机存储产品，在所述可读存储介质上具有计算机代码以执行各种计算机实现的操作。介质和计算机代码可以是为本发明的目的特别设计并构造的，或者介质和计算机代码可以是众所周知的种类，对计算机软件领域的技术人员是可用的。计算机可读介质的例子包括但不限于：磁介质，诸如硬盘、软盘和磁带；光学介质，诸如CD-ROM，DVD和全息装置；磁-光介质；和特别构造成存储和执行程序代码的硬件装置，诸如专用集成电路(“ASIC”)，可编程逻辑器件(“PLD”)和ROM和RAM装置。计算机代码的例子包括机器代码，诸如由编译器产生的，以及包含由计算机使用解释器执行的高级代码的文件。例如，本发明的实施例可以使用C++或其它面向对象的编程语言和开发工具来实现。本发明的另一实施例可以用硬连线电路来代替机器可执行软件指令来实现，或者可以与机器可执行软件指令结合来实现。
为了解释目的，前面的描述使用特定的命名系统来提供对本发明的彻底理解。然而，本领域技术人员显而易见的是，为了实践本发明并不需要特定的细节。因此，前面对本发明的特定实施例的描述是出于图解说明和描述的目的给出的。它们不旨在是穷尽的，或不旨在将本发明限制到所公开的精确形式；显然，鉴于上述教导，许多修改和变形是可行的。选择一些实施例进行描述以便最佳地解释本发明的原理和其实际应用，因此所述实施例能够使本领域技术人员最好地利用本发明和具有适应特定预期用法的各种修改的各种实施例。旨在由所附的权利要求和其等同物限定本发明的范围。

Claims (19)

1.一种计算机实现的方法，包括：
向授权过程和未授权过程的操作状态引入不可预测的暂时中断；和
在所述未授权过程遭受所述不可预测的暂时中断并且因此经历引起操作故障的不稳定环境时，将所述授权过程移动到虚拟机，以避免所述不可预测的暂时中断。
2.根据权利要求1所述的计算机实现的方法，其中，引入不可预测的暂时中断包括以不可预测方式的开始过程和停止过程中的一个或多个，并将错误参数传递给这些过程。
3.根据权利要求1所述的计算机实现的方法，进一步包括：
创建数字资源的表示；
形成所述表示的唯一值，以建立所述数字资源的完整性值；
接收所述数字资源的当前实例；
将所述当前实例转换成有效的完整性状态；
识别所述完整性值和所述有效的完整性状态之间的不匹配，以识别与所述数字资源的当前实例相关的未授权过程。
4.根据权利要求1所述的计算机实现的方法，进一步包括：创建授权过程的注册机。
5.根据权利要求1所述的计算机实现的方法，进一步包括：规定授权过程的终止时间，其中，所述终止时间是所述授权过程未知的。
6.根据权利要求5所述的计算机实现的方法，进一步包括：在所述终止时间调用所述授权过程的新实例。
7.根据权利要求6所述的计算机实现的方法，进一步包括：将所述授权过程移动到所述数字资源的新实例上，其中，移动包括调用与所述授权过程对应的注册授权过程。
8.根据权利要求1所述的计算机实现的方法，进一步包括：隔离所述未授权过程。
9.根据权利要求1所述的计算机实现的方法，其中，阻止所述未授权过程对系统设置进行改动、访问共享资源和查看真实的系统规范。
10.根据权利要求1所述的计算机实现的方法，进一步包括：形成所述未授权过程的隔离实例，其中，所述未授权过程的隔离实例在产生环境外部的不可见合成虚拟仿真下运行。
11.根据权利要求10所述的计算机实现的方法，进一步包括：对所述未授权过程的隔离实例执行论证分析。
12.根据权利要求1所述的计算机实现的方法，进一步包括：
对所述未授权过程进行分类；
向所述未授权过程提供威胁等级量化；和
确定所述未授权过程的对策。
13.根据权利要求3所述的计算机实现的方法，其中，所述数字资源的表示包括第一虚拟机、第二虚拟机、暂时防御层、虚拟化操作系统、装置驱动器和计算机硬件的表示。
14.根据权利要求13所述的计算机实现的方法，其中，形成所述表示的唯一值包括计算由所述数字资源处理的可执行代码的散列。
15.根据权利要求13所述的计算机实现的方法，其中，形成所述表示的唯一值包括根据图像标识、过程名字、与所述过程相关的选择的头文件信息，计算授权过程的散列。
16.根据权利要求13所述的计算机实现的方法，其中，形成所述表示的唯一值包括根据虚拟机档案标识号、操作系统名字、操作系统版本、操作系统服务过程名字和注册的在所述虚拟机上运行的授权过程，计算虚拟机的散列。
17.根据权利要求1所述的计算机实现的方法，进一步包括：调用安全性规则引擎、合成环境仿真器、虚拟化操作系统和完整性检验器。
18.根据权利要求1所述的计算机实现的方法，进一步包括：调用过程间通信网关、隔离执行器和状态映射器。
19.根据权利要求1所述的计算机实现的方法，进一步包括：调用暂时调度器、虚拟机管理器、授权过程注册机和基本虚拟机图像档案。
CN201180052242.XA 2010-10-31 2011-10-28 用于保护虚拟计算环境的系统和方法 Expired - Fee Related CN103370715B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US40860710P 2010-10-31 2010-10-31
US61/408,607 2010-10-31
PCT/US2011/058421 WO2012058613A2 (en) 2010-10-31 2011-10-28 System and method for securing virtual computing environments

Publications (2)

Publication Number Publication Date
CN103370715A true CN103370715A (zh) 2013-10-23
CN103370715B CN103370715B (zh) 2017-04-12

Family

ID=45994823

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201180052242.XA Expired - Fee Related CN103370715B (zh) 2010-10-31 2011-10-28 用于保护虚拟计算环境的系统和方法

Country Status (8)

Country Link
US (1) US9117091B2 (zh)
EP (1) EP2633466A4 (zh)
JP (1) JP5853327B2 (zh)
KR (1) KR101881179B1 (zh)
CN (1) CN103370715B (zh)
AU (1) AU2011320339B2 (zh)
CA (1) CA2816298A1 (zh)
WO (1) WO2012058613A2 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111328393A (zh) * 2017-11-15 2020-06-23 国际商业机器公司 将云计算数据表示和分析为伪系统

Families Citing this family (70)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8874888B1 (en) 2011-01-13 2014-10-28 Google Inc. Managed boot in a cloud system
US9135037B1 (en) 2011-01-13 2015-09-15 Google Inc. Virtual network protocol
US9237087B1 (en) 2011-03-16 2016-01-12 Google Inc. Virtual machine name resolution
US8533796B1 (en) 2011-03-16 2013-09-10 Google Inc. Providing application programs with access to secured resources
US20120324446A1 (en) * 2011-06-17 2012-12-20 Microsoft Corporation Virtual machine image composition and signing
US8813234B1 (en) * 2011-06-29 2014-08-19 Emc Corporation Graph-based approach to deterring persistent security threats
US9075979B1 (en) 2011-08-11 2015-07-07 Google Inc. Authentication based on proximity to mobile device
US8966198B1 (en) 2011-09-01 2015-02-24 Google Inc. Providing snapshots of virtual storage devices
US8958293B1 (en) 2011-12-06 2015-02-17 Google Inc. Transparent load-balancing for cloud computing services
US8800009B1 (en) 2011-12-30 2014-08-05 Google Inc. Virtual machine service access
US8983860B1 (en) 2012-01-30 2015-03-17 Google Inc. Advertising auction system
US8839447B2 (en) * 2012-02-27 2014-09-16 Ca, Inc. System and method for virtual image security in a cloud environment
US8677449B1 (en) 2012-03-19 2014-03-18 Google Inc. Exposing data to virtual machines
US8839031B2 (en) * 2012-04-24 2014-09-16 Microsoft Corporation Data consistency between virtual machines
US8930751B2 (en) 2012-04-24 2015-01-06 Microsoft Corporation Initializing replication in a virtual machine
US8813240B1 (en) * 2012-05-30 2014-08-19 Google Inc. Defensive techniques to increase computer security
US9015838B1 (en) 2012-05-30 2015-04-21 Google Inc. Defensive techniques to increase computer security
US9009705B2 (en) * 2012-10-01 2015-04-14 International Business Machines Corporation Authenticated distribution of virtual machine images
US9304795B2 (en) * 2013-01-15 2016-04-05 Empire Technology Development Llc Function-targeted virtual machine switching
US9846596B1 (en) * 2013-06-24 2017-12-19 Hrl Laboratories, Llc System and method for cloud control operations plane based on proactive security algorithms
US20150052614A1 (en) * 2013-08-19 2015-02-19 International Business Machines Corporation Virtual machine trust isolation in a cloud environment
US10275268B2 (en) 2013-08-26 2019-04-30 Red Hat, Inc. Providing entropy to a guest operating system
CA2925016C (en) * 2013-09-23 2024-01-02 Gopc Pty Ltd Virtual computing systems and methods
US10764323B1 (en) * 2015-12-21 2020-09-01 Amdocs Development Limited System, method, and computer program for isolating services of a communication network in response to a distributed denial of service (DDoS) attack
US9851998B2 (en) 2014-07-30 2017-12-26 Microsoft Technology Licensing, Llc Hypervisor-hosted virtual machine forensics
US9386027B2 (en) * 2014-08-11 2016-07-05 Indiana University Research & Technology Corporation Detection of pileup vulnerabilities in mobile operating systems
US9363263B2 (en) 2014-08-27 2016-06-07 Bank Of America Corporation Just in time polymorphic authentication
US9342338B2 (en) * 2014-10-15 2016-05-17 Red Hat, Inc. Application migration in a process virtual machine environment
US11586358B2 (en) * 2014-12-17 2023-02-21 Red Hat, Inc. Building file system images using cached logical volume snapshots
US9807077B2 (en) * 2015-03-10 2017-10-31 Polyverse Corporation Systems and methods for containerized data security
US9792141B1 (en) * 2015-05-28 2017-10-17 Amazon Technologies, Inc. Configured generation of virtual machine images
US9645847B1 (en) * 2015-06-08 2017-05-09 Amazon Technologies, Inc. Efficient suspend and resume of instances
US9524389B1 (en) 2015-06-08 2016-12-20 Amazon Technologies, Inc. Forensic instance snapshotting
US10291648B2 (en) 2015-12-22 2019-05-14 At&T Intellectual Property I, L.P. System for distributing virtual entity behavior profiling in cloud deployments
WO2017127089A1 (en) 2016-01-21 2017-07-27 Hewlett Packard Enterprise Development Lp Software validation for untrusted computing systems
WO2017129659A1 (en) 2016-01-29 2017-08-03 British Telecommunications Public Limited Company Disk encryption
US10990690B2 (en) 2016-01-29 2021-04-27 British Telecommunications Public Limited Company Disk encryption
WO2017129530A1 (en) * 2016-01-29 2017-08-03 British Telecommunications Public Limited Company Disk encryption
US10848465B2 (en) * 2016-02-26 2020-11-24 Extreme Networks, Inc. Dynamic firewalls and forensic gateways
US10148675B1 (en) * 2016-03-30 2018-12-04 Amazon Technologies, Inc. Block-level forensics for distributed computing systems
US10079842B1 (en) 2016-03-30 2018-09-18 Amazon Technologies, Inc. Transparent volume based intrusion detection
US10333962B1 (en) 2016-03-30 2019-06-25 Amazon Technologies, Inc. Correlating threat information across sources of distributed computing systems
US10178119B1 (en) 2016-03-30 2019-01-08 Amazon Technologies, Inc. Correlating threat information across multiple levels of distributed computing systems
US10142290B1 (en) 2016-03-30 2018-11-27 Amazon Technologies, Inc. Host-based firewall for distributed computer systems
US10320750B1 (en) 2016-03-30 2019-06-11 Amazon Technologies, Inc. Source specific network scanning in a distributed environment
US10536476B2 (en) 2016-07-21 2020-01-14 Sap Se Realtime triggering framework
US10460113B2 (en) * 2016-08-16 2019-10-29 International Business Machines Corporation Security fix of a container in a virtual machine environment
US10482241B2 (en) * 2016-08-24 2019-11-19 Sap Se Visualization of data distributed in multiple dimensions
US10542016B2 (en) 2016-08-31 2020-01-21 Sap Se Location enrichment in enterprise threat detection
US10459632B1 (en) * 2016-09-16 2019-10-29 EMC IP Holding Company LLC Method and system for automatic replication data verification and recovery
US10673879B2 (en) * 2016-09-23 2020-06-02 Sap Se Snapshot of a forensic investigation for enterprise threat detection
US10630705B2 (en) 2016-09-23 2020-04-21 Sap Se Real-time push API for log events in enterprise threat detection
KR102511451B1 (ko) 2016-11-09 2023-03-17 삼성전자주식회사 리치 실행 환경에서 보안 어플리케이션을 안전하게 실행하는 컴퓨팅 시스템
US10534908B2 (en) 2016-12-06 2020-01-14 Sap Se Alerts based on entities in security information and event management products
US10534907B2 (en) 2016-12-15 2020-01-14 Sap Se Providing semantic connectivity between a java application server and enterprise threat detection system using a J2EE data
US10530792B2 (en) 2016-12-15 2020-01-07 Sap Se Using frequency analysis in enterprise threat detection to detect intrusions in a computer system
US10552605B2 (en) 2016-12-16 2020-02-04 Sap Se Anomaly detection in enterprise threat detection
US11470094B2 (en) 2016-12-16 2022-10-11 Sap Se Bi-directional content replication logic for enterprise threat detection
US10764306B2 (en) 2016-12-19 2020-09-01 Sap Se Distributing cloud-computing platform content to enterprise threat detection systems
US10372945B2 (en) * 2017-01-24 2019-08-06 Microsoft Technology Licensing, Llc Cross-platform enclave identity
US9912695B1 (en) 2017-04-06 2018-03-06 Qualcomm Incorporated Techniques for using a honeypot to protect a server
US10623432B2 (en) * 2017-06-21 2020-04-14 International Business Machines Corporation Mitigating security risks utilizing continuous device image reload with data integrity
US10530794B2 (en) 2017-06-30 2020-01-07 Sap Se Pattern creation in enterprise threat detection
US10333951B1 (en) * 2017-07-31 2019-06-25 EMC IP Holding Company LLC Method and system for implementing golden container storage
ES2901015T3 (es) * 2017-10-25 2022-03-21 Boole Server S R L Método para gestionar un servicio de acceso y visualización de datos e información confidencial por medio de un escritorio virtual
US10681064B2 (en) 2017-12-19 2020-06-09 Sap Se Analysis of complex relationships among information technology security-relevant entities using a network graph
US10986111B2 (en) 2017-12-19 2021-04-20 Sap Se Displaying a series of events along a time axis in enterprise threat detection
US11593085B1 (en) * 2020-02-03 2023-02-28 Rapid7, Inc. Delta data collection technique for machine assessment
US11567794B1 (en) * 2020-09-30 2023-01-31 Virtuozzo International Gmbh Systems and methods for transparent entering of a process into a virtual machine
CN114117286A (zh) * 2022-01-28 2022-03-01 北京安帝科技有限公司 基于行为识别的网页访问方法及系统

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101290646A (zh) * 2007-04-16 2008-10-22 三星电子株式会社 在虚拟环境中保护系统的设备和方法
US20090007100A1 (en) * 2007-06-28 2009-01-01 Microsoft Corporation Suspending a Running Operating System to Enable Security Scanning
US20090089879A1 (en) * 2007-09-28 2009-04-02 Microsoft Corporation Securing anti-virus software with virtualization
US20090169017A1 (en) * 2007-12-31 2009-07-02 Ned Smith Configuration of virtual trusted platform module

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050132122A1 (en) * 2003-12-16 2005-06-16 Rozas Carlos V. Method, apparatus and system for monitoring system integrity in a trusted computing environment
US7908653B2 (en) * 2004-06-29 2011-03-15 Intel Corporation Method of improving computer security through sandboxing
US7409719B2 (en) * 2004-12-21 2008-08-05 Microsoft Corporation Computer security management, such as in a virtual machine or hardened operating system
US7574741B2 (en) * 2005-04-20 2009-08-11 Cisco Technology, Inc. Method and system for preventing operating system detection
US20080244758A1 (en) * 2007-03-30 2008-10-02 Ravi Sahita Systems and methods for secure association of hardward devices
US8024801B2 (en) * 2007-08-22 2011-09-20 Agere Systems Inc. Networked computer system with reduced vulnerability to directed attacks
JP2010026572A (ja) 2008-07-15 2010-02-04 Hitachi Ltd 仮想計算機の現出方法、この方法を実行するためのプログラム、及びこの方法を実行するサーバ
US20110078797A1 (en) * 2008-07-29 2011-03-31 Novell, Inc. Endpoint security threat mitigation with virtual machine imaging
US8347386B2 (en) * 2008-10-21 2013-01-01 Lookout, Inc. System and method for server-coupled malware prevention
CN101753594B (zh) * 2008-11-28 2014-03-12 国际商业机器公司 一种激活虚拟机的方法和装置
US20110010710A1 (en) * 2009-07-10 2011-01-13 Microsoft Corporation Image Transfer Between Processing Devices

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101290646A (zh) * 2007-04-16 2008-10-22 三星电子株式会社 在虚拟环境中保护系统的设备和方法
US20090007100A1 (en) * 2007-06-28 2009-01-01 Microsoft Corporation Suspending a Running Operating System to Enable Security Scanning
US20090089879A1 (en) * 2007-09-28 2009-04-02 Microsoft Corporation Securing anti-virus software with virtualization
US20090169017A1 (en) * 2007-12-31 2009-07-02 Ned Smith Configuration of virtual trusted platform module

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111328393A (zh) * 2017-11-15 2020-06-23 国际商业机器公司 将云计算数据表示和分析为伪系统
CN111328393B (zh) * 2017-11-15 2023-10-27 国际商业机器公司 将云计算数据表示和分析为伪系统

Also Published As

Publication number Publication date
CA2816298A1 (en) 2012-05-03
AU2011320339A1 (en) 2013-05-02
WO2012058613A3 (en) 2012-07-05
JP2013541120A (ja) 2013-11-07
AU2011320339B2 (en) 2015-09-03
KR101881179B1 (ko) 2018-07-23
WO2012058613A2 (en) 2012-05-03
EP2633466A2 (en) 2013-09-04
EP2633466A4 (en) 2017-11-29
US9117091B2 (en) 2015-08-25
KR20140057467A (ko) 2014-05-13
JP5853327B2 (ja) 2016-02-09
CN103370715B (zh) 2017-04-12
US20130212709A1 (en) 2013-08-15

Similar Documents

Publication Publication Date Title
CN103370715A (zh) 用于保护虚拟计算环境的系统和方法
Bauman et al. A survey on hypervisor-based monitoring: approaches, applications, and evolutions
CN103620613B (zh) 用于基于虚拟机监视器的反恶意软件安全的系统和方法
CN105393255B (zh) 用于虚拟机中的恶意软件检测的过程评估
Srinivasan et al. Process out-grafting: an efficient" out-of-vm" approach for fine-grained process execution monitoring
JP6791134B2 (ja) 分析システム、分析方法、分析装置及び、コンピュータ・プログラム
CN110058921B (zh) 客户虚拟机内存动态隔离和监控方法及系统
CN101183414A (zh) 一种程序检测的方法、装置及程序分析的方法
CN109074450A (zh) 威胁防御技术
CN105683985B (zh) 用于虚拟机内省的系统、方法及非暂时性计算机可读介质
CN118012448A (zh) 虚拟平台系统的安全部署和操作
CN103347027A (zh) 一种可信网络连接方法和系统
CN110737888B (zh) 虚拟化平台操作系统内核数据攻击行为检测方法
Reeves Autoscopy Jr.: Intrusion detection for embedded control systems
Mahapatra et al. An online cross view difference and behavior based kernel rootkit detector
Pendergrass et al. Lkim: The linux kernel integrity measurer
Tsifountidis Virtualization security: Virtual machine monitoring and introspection
CN106775923B (zh) 处理器协助的内核地址空间细粒度管理方法
WO2015019416A1 (ja) ライセンス管理システムおよびライセンス管理方法
Grimm et al. Automatic mitigation of kernel rootkits in cloud environments
Sajid et al. An analysis on host vulnerability evaluation of modern operating systems
Toffalini et al. Careful-packing: A practical and scalable anti-tampering software protection enforced by trusted computing
WO2020102925A1 (zh) 一种混合环境下静态对象篡改的监测方法
Zhan et al. SAVM: A practical secure external approach for automated in‐VM management
Lou et al. A Multi-level Perception Security Model Using Virtualization.

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C41 Transfer of patent application or patent right or utility model
TA01 Transfer of patent application right

Effective date of registration: 20161202

Address after: Washington Renton

Applicant after: Time Defense Systems LLC

Address before: Washington Kirk

Applicant before: Tucker Mark Lowell

GR01 Patent grant
GR01 Patent grant
CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20170412

Termination date: 20181028