KR20140031947A - 가상 분할 모니터링을 위한 시스템 및 방법 - Google Patents

가상 분할 모니터링을 위한 시스템 및 방법 Download PDF

Info

Publication number
KR20140031947A
KR20140031947A KR1020137033671A KR20137033671A KR20140031947A KR 20140031947 A KR20140031947 A KR 20140031947A KR 1020137033671 A KR1020137033671 A KR 1020137033671A KR 20137033671 A KR20137033671 A KR 20137033671A KR 20140031947 A KR20140031947 A KR 20140031947A
Authority
KR
South Korea
Prior art keywords
event
virtual partition
caused
handler
helper agent
Prior art date
Application number
KR1020137033671A
Other languages
English (en)
Other versions
KR101626398B1 (ko
Inventor
그레고리 더블유. 델처
조나단 엘. 에드워즈
Original Assignee
맥아피 인코퍼레이티드
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 맥아피 인코퍼레이티드 filed Critical 맥아피 인코퍼레이티드
Publication of KR20140031947A publication Critical patent/KR20140031947A/ko
Application granted granted Critical
Publication of KR101626398B1 publication Critical patent/KR101626398B1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45545—Guest-host, i.e. hypervisor is an application program itself, e.g. VirtualBox
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45587—Isolation or security of virtual machine instances
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines
    • G06F9/45533—Hypervisors; Virtual machine monitors
    • G06F9/45558—Hypervisor-specific management and integration aspects
    • G06F2009/45591—Monitoring or debugging support

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Databases & Information Systems (AREA)
  • Computing Systems (AREA)
  • Bioethics (AREA)
  • Debugging And Monitoring (AREA)
  • Storage Device Security (AREA)

Abstract

외부 핸들러에서 가상 분할 내의 이벤트와 연관된 이벤트 통지를 수신하는 단계를 포함하는 하나의 예시적인 실시예의 방법이 제공된다. 이벤트를 유발한 가상 분할 내의 프로세스에서 스레드가 파킹될 수 있다. 보안 핸들러가 잠재적인 스레드에 대한 이벤트를 평가하는 동안 다른 스레드 및 프로세스가 재개될 수 있다. 가상 분할 내의 헬퍼 에이전트가 가상 분할 내의 이벤트 컨텍스트를 수집 및 어셈블링하는 등의 태스크를 실행하도록 명령될 수 있고, 태스크에 기초한 결과가 외부 핸들러로 반환될 수 있다. 헬퍼 에이전트에 의해 반환된 결과에 기초하여 정책 액션을 취할 수 있고, 정책 액션은 예를 들어, 헬퍼 에이전트에게 이벤트를 유발한 프로세스를 종료하도록 명령하는 것을 포함할 수 있다.

Description

가상 분할 모니터링을 위한 시스템 및 방법{SYSTEM AND METHOD FOR VIRTUAL PARTITION MONITORING}
본 명세서는 일반적으로 정보 기술 보안에 관한 것으로, 특히 가상 분할 모니터링(virtual partition monitoring)을 위한 시스템 및 방법에 관한 것이다.
정보 기술에서의 가상화 기술의 진화는 클라우드 기반 컴퓨팅으로부터 이동 전화 내의 매립(embedded) 시스템으로의 다양한 애플리케이션으로 이어져 왔다. 일반적으로 가상화는 컴퓨팅 플랫폼의 하드웨어 특성을 모호하게 하고, 대신, 완벽한 오퍼레이팅 시스템을 포함하는 다른 플랫폼을 호스팅할 수 있는 추상화(abstract) 플랫폼을 제공한다. 하나의 일반적인 가상화 기술은 (완벽한 오퍼레이팅 시스템을 포함하는) 게스트(guest) 소프트웨어가 추상화 호스트 플랫폼 상에서 동시에 작동하도록 할 수 있는 하이퍼바이저(hypervisor)(또한 가상 머신 매니저로 알려짐)를 배치하는 것이다. 하이퍼바이저는 자신의 게스트 소프트웨어에 종종 "가상 머신"이라 불리우는 시뮬레이션 컴퓨팅 환경을 제공할 수 있다. 따라서, 다수의 이질적인 오퍼레이팅 시스템은 예를 들어 단일 섀시 상의 하이퍼바이저 하에서 작동할 수 있다.
그러나, 가상 머신은 배치된 가상 머신의 수가 증가함에 따라 악의적 공격에 대하여 더 일반적인 타겟이 되기 쉽다. 가상화가 많은 이점을 제공하지만, 또한 고유 보안 문제를 제공할 수 있다. 예를 들어, 외부 보안 소프트웨어는 판독, 기록 또는 실행 액세스에 대한 메모리 모니터링 등의 가상 머신 내의 이벤트를 모니터링하지만, 이러한 이벤트의 컨텍스트를 이해하는데 실질적인 문제가 있을 수 있다. 이벤트 컨텍스트의 적절한 이해가 없으면, 보안 액션이 상당히 제한될 수 있다. 그러므로, 안전한 가상화 플랫폼을 제공하는데 많은 문제가 남아 있다.
본 개시물 및 그 특징 및 이점의 더 완벽한 이해를 제공하기 위하여 첨부된 도면을 참조하여 설명하며, 동일한 참조 번호는 동일한 부분을 나타낸다.
도 1은 본 명세서에 따라 가상 분할이 모니터링될 수 있는 가상화 플랫폼의 예시적인 실시예를 나타내는 간략화된 블록도.
도 2는 가상 플랫폼의 하나의 잠재적 실시예와 연관될 수 있는 추가의 세부사항을 나타내는 간략화된 블록도.
도 3a 내지 3b는 가상 플랫폼의 일 실시예와 연관될 수 있는 잠재적 동작을 나타내는 간략화된 플로우챠트.
개요
외부 핸들러에서 가상 분할 내의 이벤트와 연관된 이벤트 통지를 수신하는 단계를 포함하는 하나의 예시적인 실시예의 방법이 제공된다. 이벤트를 유발한 가상 분할 내의 프로세스에서 스레드가 파킹(park)될 수 있다. 보안 핸들러가 잠재적인 위협(potential threats)에 대한 이벤트를 평가하는 동안 다른 스레드 및 프로세스가 재개될 수 있다. 가상 분할 내의 헬퍼 에이전트가 가상 분할 내의 이벤트 컨텍스트를 수집 및 어셈블링하는 등의 태스크를 실행하도록 명령받을 수 있고, 태스크에 기초한 결과가 외부 핸들러로 반환될 수 있다. 헬퍼 에이전트에 의해 반환된 결과에 기초하여 정책 액션을 취할 수 있고, 정책 액션은 예를 들어, 헬퍼 에이전트에게 이벤트를 유발한 프로세스를 종료하도록 명령하는 것을 포함할 수 있다.
특정한 실시예에서, 외부 핸들러는 예를 들어 제2 가상 분할에서, 가상화 호스트에서, 또는 하이퍼바이저 연장부(hypervisor extension)로서 동작할 수 있다. 가상 분할은 가상 머신의 인스턴스 등의 가상화 플랫폼 내의 가상화 게스트일 수 있고, 이벤트 통지는 하이퍼바이저 연장부에 의해 보안 핸들러로 전송될 수 있다.
예시적인 실시예
도 1를 참조하면, 도 1은 본 명세서에 따라 가상 분할이 모니터링될 수 있는 가상화 플랫폼(100)의 예시적인 실시예를 나타내는 간략화된 블록도이다. 가상화 플랫폼(100)은 하드웨어(105), 하이퍼바이저(110) 및 하이퍼바이저 연장부 모듈(115)을 포함한다. 일반적으로, 하드웨어(105)는 데이터를 수락하거나 데이터에 대하여 로직 동작을 수행하거나 데이터를 저장하거나 데이터를 디스플레이할 수 있는 임의의 머신 또는 장치를 나타내고 제한없이 프로세서(105a) 및 메모리(105b)를 포함할 수 있다. 가상화 플랫폼(100)은 가상화 게스트(120) 및 보안 모니터(125) 등의 1보다 많은 가상 분할을 가질 수 있다. 임의의 실시예에서, 하이퍼바이저(110)는 (도 1에 도시된 바와 같이) 하드웨어(105) 상에서 직접 작동하는 네이티브(native) 또는 "베어 금속(bare metal)" 하이퍼바이저일 수 있지만, 하드웨어(105) 상에서 실행되는 호스트 소프트웨어(예를 들어, 가상화 호스트)하에서 대안적으로 작동할 수 있다. 보안 모니터(125)는 예를 들어, 등록 콜백을 통한 하이퍼바이저 연장부(120) 뿐만 아니라 네트워크 통신을 통한 헬퍼 에이전트(210)와 직접 통신(즉, 하이퍼바이저 연장부(120)를 바이패스)할 수 있다.
일반적으로, 가상 분할은 그 내에서 소프트웨어를 실행시킬 수 있는 가상 머신, 샌드박스(sandbox), 컨테이너 또는 임의의 다른 격리된 환경의 예일 수 있다. 소프트웨어는 오퍼레이팅 시스템 및 애플리케이션 소프트웨어를 포함할 수 있다. 가상 분할 내에서 작동하는 모든 소프트웨어에게, 가상 분할은 개별 물리적 머신처럼 보일 수 있다.
플랫폼(100) 등의 가상화 플랫폼 내의 가상 분할을 모니터링하는 원리를 설명할 목적으로, 이러한 플랫폼 내에서 발생하는 활동 및 통신을 이해하는 것이 중요하다. 다음의 기초적인 정보는 본 개시물이 적절하게 설명될 수 있는 기초로서 여겨진다. 이러한 정보는 단지 설명의 목적으로 진정으로 제공되고, 따라서, 본 개시물의 넓은 범위 및 그 잠재적 애플리케이션을 제한하는 방식으로 해석되지 않아야 한다.
프로세스는 일반적으로 프로세스 레지스터, 제어 레지스터, 메모리 테이블 또는 리스트 내의 데이터 등의 끊임없이 변화하는 컨텍스트(또는 상태)로 동작한다. 여기에 사용되는 바와 같이, "프로세스"라는 용어는 넓은 의미에서 프로세스, 애플리케이션, 스레드(thread), 태스크, 명령(instruction) 세트, 코드 블록, 또는 다른 유사 오퍼레이팅 유닛을 지칭하는데 사용된다. 무엇이 컨텍스트를 구성하는지는 하부의 하드웨어 및 오퍼레이팅 시스템 소프트웨어에 의존할 수 있지만, 일반적으로, 컨텍스트는 프로세스가 인터럽트되면 실행을 재개하도록 요구되는 최소 데이터 세트를 포함한다. 그러나, 컨텍스트는 인터셉트된(intercepted) 이벤트의 환경 또는 상황을 이해하는데 유용할 수 있는 임의의 정보를 지칭할 수 있다. 하나의 프로세스의 컨텍스트 데이터는 가상 분할 내의 프로세스를 포함하는 단일 오퍼레이팅 환경 내의 다른 프로세스에 용이하게 이용될 수 있지만, 동일한 가상 플랫폼 상의 다른 가상 분할 내의 프로세스로부터 등 프로세스의 오퍼레이팅 환경 밖으로부터 액세스하기 어려울 수 있다.
하이퍼바이저 연장부, 중앙 처리부 연장부, 칩셋 연장부 등은 상이한 컨텍스트에 의한 프로세스의 향상된 모니터링을 용이하게 하는데 사용될 수 있다. 예를 들어, 하이퍼바이저 연장부는 보안 모니터로서 동작하는 제2 가상화 게스트로부터 등 외부 컨텍스트로부터 판독, 기록 또는 실행 액세스에 대한 메모리 모니터링 등의 가상화 게스트의 향상된 모니터링을 제공할 수 있다.
연장부 세트는 또한 영역을 기록가능 또는 실행가능하게 하는 등 메모리 속성에 대한 변화 또는 다른 타입의 메모리 액세스를 포함하는 다른 타입의 이벤트의 모니터링을 지원할 수 있다. CPU "CALL" 또는 "RET" 명령 등의 특정한 CPU 명령 또는 명령 타입의 실행이 또한 모니터링될 수 있다. 특정한 프로세스에 의해 트리거되는 이벤트, 특정 영역(또는 영역들) 내의 코드, 특정 어드레스의 실행, 특정 어드레스로의 기록, CPU 레지스트리 변경 또는 CPU 링(ring) 상태 변경 등에 대하여 모니터링이 또한 더욱 타겟으로 될 수 있다.
콘텍스트 정보를 어셈블링하는 것은 예를 들어 인터셉트된 이벤트를 트리거한 프로세스 내에 로딩된 모듈(예를 들어, 동적 링크 라이브러리(dynamic-link libraries) 또는 "DLL")을 열거(enumerating)하는 것을 포함할 수 있다. 게스트 오퍼레이팅 시스템 내에서, 이러한 열거는 오퍼레이팅 시스템의 애플리케이션 프로그래밍 인터페이스(API)의 세트에 의해 지원될 가능성이 있기 때문에 사소할 수 있다. 그러나, 게스트 오퍼레이팅 시스템의 외부에 있는 모듈을 열거하는 것은 모듈을 찾기 위하여 일련의 내부 오퍼레이팅 시스템 구조를 배회(traipsing through)할 것을 요구할 수 있다.
게스트 오퍼레이팅 시스템 내부의 구조에 대한 템플릿은 일부 컨텍스트를 제공하도록 유지될 수 있지만, 각각의 게스트 오퍼레이팅 시스템 버전에 대하여 이들 템플릿의 버전을 유지하는 것은 매우 부담스러울 수 있다. 또한, 마이크로소프트 윈도우즈 등의 일부의 시스템의 문서(documentation)는 이용가능하지 않을 수 있고, 이는 부담을 증가시킬 수 있다.
하이퍼바이저 연장부 등의 연장부 세트에 의해 지원되는 모니터링은 등록된 핸들러 또는 에이전트에 대한 콜백(callback)을 포함할 수 있다. 따라서, 액세스가 모니터링된 메모리 영역 내에서 검출되면, 예를 들어, 이벤트는 이벤트 컨텍스트로 등록된 콜백을 트리거할 수 있다. 콜백은 이벤트 완료 전 또는 후에 발생할 수 있다. 이벤트를 유발하는 프로세스는 콜백이 생성되는 동안 중지(suspend)될 수 있거나 콜백이 이벤트 완료와 비동기식일 수 있다. 콜백에 전달되는 정보는 이벤트의 타겟의 아이덴티티(예를 들어, 액세스되는 메모리 영역) 및 이벤트(예를 들어, 프로세스 식별자, 스레드 또는 코드 위치)를 트리거한 실행 컴포넌트(예를 들어, 프로세스) 등의 이벤트 컨텍스트를 포함할 수 있다.
일반적으로, 가상화 분할의 모니터링은 2개의 카테고리, 즉, (1) 내부 이벤트 핸들링 및 (2) 외부 이벤트 핸들링으로 분류될 수 있다. 내부 이벤트 핸들링에서, 모니터링된 메모리의 액세스 등의 가상 분할 내의 이벤트에 관한 통지가 통지를 트리거한 이벤트와 동일한 가상 분할 내의 핸들러로 전송된다. 반대로, 가상 분할의 외부 모니터링은 모니터링된 가상 분할 밖에서 실행되는 핸들러로 모니터링된 가상 분할 내의 이벤트의 통지를 제공한다. 핸들러는 가상화 호스트(하나 있다면), 하이퍼바이저 또는 개별 가상 분할 내에서 작동할 수 있다. 현재 하이퍼바이저 연장부는 예를 들어 보안 모니터로서 기능하는 또 다른 가상화 게스트 내에서 핸들러가 모니터링된 메모리 밖에서 실행하도록 요구할 수 있다.
그러나, 핸들러가 모니터링된 가상 분할 밖에서 실행하면, 인터셉트된 이벤트의 컨텍스트를 이해하는 것은 실질적인 문제를 제공할 수 있다. 이벤트 컨텍스트로의 액세스 없이, 인터셉트된 이벤트의 타당성(legitimacy)에 관한 보안 결정을 하기 어려울 수 있다. 따라서, 인터셉트된 이벤트의 원본(origin)의 풀 컨텍스트(full context)를 제공하면서 가상화 분할 모니터링의 외부 전달을 이용하는 것은 상당한 값을 제공할 수 있다.
이벤트에 대한 컨텍스트 정보를 어셈블링하는 문제에 더하여, 가상 분할 밖에서 실행되는 등록된 콜백으로 모니터링 이벤트를 전달하는 것은 다른 문제를 도입할 수 있다. 이 모드의 이벤트 전달로, 예를 들어, 외부에서 실행되는 콜백 핸들러가 이벤트를 프로세싱하는 동안, 모니터링 이벤트를 트리거한 가상 분할의 가상 프로세서는 완전히 중단될 수 있다. 이용가능한 더 많은 가상 프로세서가 없으면, 가상 분할 내의 다른 활동은 발생하지 않을 수 있다. 다른 가상 프로세서가 있다하더라도, 이들이 또한 모니터링 이벤트를 트리거하면 전체 가상 분할이 여전히 중단될 수 있다. 따라서, 이러한 타입의 전달은 하이퍼바이저 기반 모니터링에 대한 성능 페널티를 도입할 수 있고, 가상화 게스트가 컨텍스트 정보의 발견 등으로 외부 콜백 핸들러를 돕는 것을 방지할 수 있다.
외부 이벤트 핸들러는 내부 이벤트 핸들러보다 몇가지 이점을 제공할 수 있다. 이 이점은 이벤트 핸들러 및 연관된 의사 결정자(decision-maker)가 모니터링된 가상 분할 내에서 실행되는 멀웨어(malware)에 의한 직접적인 공격으로부터 보호되는 것을 포함할 수 있다. 다른 이점은 그 내에 보안 에이전트를 배치하지 않고 가상 분할이 보호될 수 있는 에이전트가 없는 보안(agent-less security)을 포함한다. 따라서, 인터셉트된 동작의 원본의 좀 더 완벽한 컨텍스트가 여기에 기재된 바와 같이 외부 이벤트 핸들러와 통상적으로 수반되는 많은 문제없이 제공될 수 있으면 가상 분할 모니터링의 외부 전달 값은 상당히 향상될 수 있다.
여기에 기재된 실시예에 따라, 가상화 플랫폼(100)은 내부 오퍼레이팅 시스템 구조의 이해를 요구하지 않고 외부 모니터링을 제공함으로써 외부 이벤트 핸들링의 이점을 보호하면서 이들 결점(및 다른 것)을 극복할 수 있다. 가상화 플랫폼(100)은 예를 들어 하이퍼바이저 하에서 작동하는 모니터링된 가상화 게스트 등의 모니터링된 가상 분할 내에서 인터셉트된 이벤트의 통지를 수신할 수 있는 외부 핸들러를 하이브리드 가상 분할 모니터링에 제공할 수 있다. 가상 분할 내에 배치된 내부 헬퍼 에이전트는 외부 핸들러를 대신하여 소정의 태스크를 수행할 수 있고, 이 태스크는 인터셉트된 이벤트와 연관된 컨텍스트 정보를 어셈블링하는 것과 외부 핸들러에 결과를 제공하는 것을 포함할 수 있다. 내부 헬퍼 에이전트는 개별적으로 실행될 수 있는 컴포넌트 뿐만 아니라 모니터링된 프로세스 내에 상주하는 컴포넌트를 포함할 수 있다. 외부 핸들러는, 내부 에이전트의 정보 및 활동을 이용하여 보안 정책을 위반하면 이벤트를 차단하고 이벤트 프로세스 또는 스레드를 종료하는 등의 정책 결정을 가이드할 수 있다. 일부 실시예에서, 외부 핸들러는 내부 에이전트가 소정의 정책 액션을 구현하도록 명령할 수 있다.
가상화 플랫폼(100)의 일부 실시예에서, 가상 분할 내의 인터셉트된 이벤트와 연관된 동작은 이벤트가 평가되는 동안 가상 분할 내에서 파킹되거나 중지될 수 있고, 이는 다른 프로세스 및 스레드가 가상 분할 내에서 실행되도록 할 수 있다. 연관된 동작을 중지하면 가상 분할에 대한 성능 영향을 최소화할 수 있고 또한 내부 에이전트가 가상 분할 내에서 동작하여 외부 핸들러에 대한 태스크를 실행하도록 한다. 또한, 이들 태스크는 인터셉트된 이벤트를 개시한 스레드와 다른 스레드에서 수행되어 상호 운용성 및 데드록(deadlock) 문제의 위험을 감소시킬 수 있다.
더 특정한 실시예에서, 외부 보안 핸들러 또는 에이전트는 연장된 하이퍼바이저에 등록되어 가상화 게스트에서 이벤트의 통지를 수신할 수 있다. 가상화 게스트 내에서 작동하는 헬퍼 에이전트는 보안 핸들러로부터 태스크 요청을 수신하는 것을 기다리는 스레드를 생성할 수 있다. 헬퍼 에이전트는 또한 모니터링된 프로세스 내에서 메모리 영역을 생성하여 보안 핸들러가 제어할 수 있는 코드 및 보안 핸들러와 통신하는데 사용될 수 있는 데이터를 포함할 수 있다. 이벤트 인터셉션에 응답하여, 보안 핸들러는 이벤트 트리거 스레드를 홀딩(holding) 상태에 두고 헬퍼 에이전트가 모니터링 가상화 게스트 내에서 수행하는 태스크를 개시한다.
도 2를 참조하면, 도 2는 가상 플랫폼(100)의 하나의 잠재적인 실시예와 연관될 수 있는 추가적인 세부사항을 나타내는 간략화된 블록도이다. 도 2는 하이퍼바이저 연장부 모듈(115), 가상화 게스트(120) 및 보안 모니터(125)를 포함한다. 보안 모니터(125)는 또한 하이퍼바이저(110) 내의 가상화 게스트, 특히, 추가적인 권한(privileges)을 갖는 신뢰성있는 게스트일 수 있다. 가상화 게스트(120) 및 보안 모니터(125)는 각각 각각의 가상 프로세서(205a-b), 각각의 메모리 엘리먼트(205a-b) 및 (소정의 실시예에서 개별 오퍼레이팅 시스템을 포함하는) 다양한 소프트웨어 엘리먼트를 포함할 수 있다. 특히, 가상화 게스트(120)는 헬퍼 에이전트(210), 이벤트 파킹(parking) 모듈(215) 및 모니터링된 프로세스(220)를 포함할 수 있다. 데이터 영역(225)은 이벤트 파킹 모듈(215)과 통신하는데 사용될 수 있다. 헬퍼 에이전트(210)의 매립 컴포넌트(230)는 또한 모니터링된 프로세스(220)에 상주할 수 있다. 보안 모니터(125)는 보안 핸들러(235) 및 검출 모듈(240)을 가질 수 있다. 하이퍼바이저 연장부(115)는 이벤트가 통지를 트리거하면 모니터링된 프로세스(220)를 통한 모니터링 및 실행 제어 및 이벤트 콜백을 보안 모니터(125)에 제공할 수 있다. 게스트 내(intra-guest) 통신 메카니즘은 헬퍼 에이전트(210)와 보안 핸들러(235) 간의 직접 통신을 가능하게 할 수 있다.
다른 실시예에서, (핸들러(235) 및 검출 모듈(240)을 포함하는) 보안 모니터(125)는 (가상 분할 밖) 하이퍼바이저(110) 내에 또는 하이퍼바이저 연장부로서 상주할 수 있다. 다른 실시예에서, 보안 모니터(125)는, 예를 들어, 하이퍼바이저(110)가 매립 하이퍼바이저가 아니면 호스트 오퍼레이팅 시스템의 실행 환경 내에서 동작할 수 있다.
가상 플랫폼(100)과 연관된 내부 구조에 대하여, 하드웨어(105)는 여기에 서술된 동작에 사용될 정보를 저장하는 메모리 엘리먼트(도 1에 도시된 바와 같이)를 포함할 수 있다. 추가적으로, 가상 플랫폼(100)은 여기에 기재된 바와 같이 소프트웨어 또는 알고리즘을 실행하여 활동을 수행할 수 있는 프로세서 및 하나 이상의 가상 프로세서를 포함할 수 있다. 이들 장치는 또한 적절한 곳에서 및 특정한 필요성에 기초하여 임의의 적절한 메모리 엘리먼트(랜덤 액세스 메모리(RAM), ROM, EPROM, EEPROM, ASIC 등), 소프트웨어, 하드웨어 또는 임의의 다른 적절한 컴포넌트, 장치, 엘리먼트 또는 오브젝트에서 정보를 유지할 수 있다. 여기에 기재된 메모리 항목 중의 임의의 것은 "메모리 엘리먼트"라는 넓은 용어 내에 포함되는 것으로 해석되어야 한다. 하이퍼바이저(110), 하이퍼바이저 연장부 모듈(115), 가상화 게스트(120) 또는 보안 모니터(235)에 의해 트랙킹 또는 전송되는 정보는, 임의의 적절한 타임프레임에서 모두 참조될 수 있는 임의의 데이터베이스, 레지스터, 제어 리스트 또는 저장 구조에 제공될 수 있다. 이러한 임의의 저장 옵션은 여기에 사용된 바와 같이 "메모리 엘리먼트"라는 넓은 용어 내에 포함될 수 있다. 마찬가지로, 여기에 기재된 잠재적인 프로세싱 엘리먼트, 모듈 및 머신 중의 임의의 것이 "프로세서"라는 넓은 용어 내에 포함되는 것으로 해석되어야 한다.
소정의 예시적인 구현예에서, 여기에 서술된 기능은 하나 이상의 유형(tangible)의 비일시적 매체에 인코딩된 로직(예를 들어, 프로세서 또는 다른 유사한 머신 등에 의해 실행될 ASIC(application specific integrated circuit)에 제공되는 매립 로직, DSP(digital signal processor) 명령, (잠재적으로 오브젝트 코드 및 소스 코드를 포함하는) 소프트웨어)에 의해 구현될 수 있다. 이들 예 중의 일부에서, (도 1에 도시된 바와 같이), 메모리 엘리먼트는 여기에 기재된 동작에 사용되는 데이터를 저장할 수 있다. 이것은 여기에 기재된 활동을 수행하도록 실행되는 소프트웨어, 로직, 코드 또는 프로세서 명령을 저장할 수 있는 메모리 엘리먼트를 포함한다. 프로세서는 데이터와 연관된 임의의 타입의 명령을 실행하여 여기에 세부적으로 열거된 동작을 달성할 수 있다. 일 예에서, (도 1에 도시된 바와 같이) 프로세서 또는 (도 2에 도시된 바와 같이) 가상 프로세서는 엘리먼트 또는 아티클(article)(예를 들어, 데이터)을 하나의 상태 또는 상황으로부터 다른 상태 또는 상황으로 변환할 수 있다. 다른 예에서, 여기에 서술된 활동은 고정 로직 또는 프로그래머블 로직(예를 들어, 프로세서에 의해 실행된 소프트웨어/컴퓨터 명령)으로 구현될 수 있고 여기에 식별된 엘리먼트는 소정의 타입의 프로그래머블 프로세서, 프로그래머블 디지털 로직(예를 들어, FPGA(field programmable gate array), EPROM(erasable programmable read only memory), EEPROM(electrically erasable programmable ROM) 또는 디지털 로직, 소프트웨어, 코드, 전자 명령을 포함하는 ASIC 또는 그 임의의 적절한 조합일 수 있다.
도 3a 내지 3b는 가상 플랫폼(100)의 일 실시예와 연관된 수 있는 잠재적 동작을 나타내는 간략화된 플로우챠트이다. 특히, 도 3a는 가상 플랫폼(100)을 구성하는데 사용될 수 있는 예비 동작을 나타내고, 도 3b는 이벤트에 대한 평가 및 액션과 연관된 잠재적인 동작을 나타낸다.
도 3a를 참조하면, 보안 모니터(125)는 305에서 하이퍼바이저 연장부(115)에 등록하여 특정한 이벤트에 대한 이벤트 통지(예를 들어, 콜백)를 수신할 수 있다. 추가적으로, 헬퍼 에이전트(210)는 310에서 핸들러(235)로부터의 네트워크 통신을 통한 요청 등 핸들러로부터의 태스크 요청을 기다리는 스레드를 생성할 수 있다. 315 및 320에서 이벤트 파킹 모듈(215) 및 데이터 영역(225)이 또한 생성될 수 있다. 이벤트 파킹 모듈(215)은 예를 들어 오퍼레이팅 시스템 지원 시그널링 메카니즘을 기다릴 수 있다.
각각의 모니터링된 프로세스의 어드레스 공간 내에 상주하는 메모리 영역을 포함하는 매립 컴포넌트(230) 등의 매립 컴포넌트가 또한 325에서 각각의 모니터링 프로세스 내에 생성될 수 있다. 예를 들어, 코드 주입(code injection)은 실행가능한 코드를 실행 프로세스에 삽입하는데 사용될 수 있고, 이는 실행가능한 모듈(DLL 등)을 프로세스에 로딩하는 것을 포함할 수 있다. 일반적으로, 주입을 위한 제1 단계는 주입된 코드가 배치되고 실행될 수 있는 메모리 영역의 생성을 허용하기 위하여 프로세스로 충분히 액세스하는 것이다. 액세스 토큰은 종종 실행 프로세스를 액세스하기 위하여 얻어질 수 있다. 액세스 토큰은 프로세스 내에 메모리를 할당하고, 그 메모리에 기록하고, 메모리의 속성을 변경(예를 들어, 실행을 허용하기 위하여)하는 권한을 포함할 수 있다. 프로세스로의 액세스가 얻어지면, 메모리가 그 프로세스 내에 생성될 수 있다. 코드는 그 메모리에 기록되고 속성이 메모리 내로부터의 실행을 허용할 수 있다. 다른 실시예에서, 오퍼레이팅 시스템은 프로세스가 모듈을 각각의 인스턴스(instance)로 로딩해야 하는 것을 특정하는 메카니즘을 제공할 수 있다. 예를 들어, 윈도우 오퍼레이팅 시스템 내의 "rundll" 레지스트리 키는 프로세스가 키 내에 열거된 모든 모듈을 로딩하도록 할 수 있다.
그 후, 주입된 코드가 실행될 수 있다. 모듈이 프로세스 시작시에 로딩되면, 모듈이 로딩되었을 때 주입된 코드가 실행될 수 있다. DLL은 예를 들어 윈도우즈 내의 "dllmain" 엑스포트(export) 내의 코드를 실행할 수 있다. 대안으로, 주입된 코드는 프로세스 내의 새로운 스레드를 생성하여 주입된 메모리 영역에서 코드를 실행함으로써 개시될 수 있다. 주입된 코드에 실행을 다시 보내는데(redirect) 코드 후킹(code hooking)이 또한 사용될 수 있다. 코드 후킹은 프로세스 내의 코드의 실행이 주입된 메모리 영역 내의 코드로 분기하도록 할 수 있다. 예를 들어, 인터페이스의 시작에서의 명령은 실행을 주입된 코드로 변환할 수 있는 "점프" 명령으로 대체될 수 있다. 코드 주입 및 코드 후킹을 사용하면, 그렇지 않으면 가능하지 않을 수 있는 프로세스에서의 동작의 모니터링을 향상시킬 수 있다.
도 3b를 참조하면, (프로세스(220) 등의) 프로세스는 보안 모니터(125)가 등록되어 콜백을 수신하는 메모리 영역에 대한 액세스를 시도하는 것 등에 의해 330에서 하이퍼바이저 연장부(115)로부터 모니터링된 이벤트 및 콜백을 트리거할 수 있다. 보안 핸들러(235)는 335에서 이벤트 데이터를 갖는 콜백을 수신하고 340에서 하이퍼바이저 연장부(115)를 이용하여 가상 프로세서(205a)에게 이벤트 파킹 모듈(215)을 실행하도록 명령할 수 있다. 콜백이 완료될 수 있고, 가상화 게스트(120)가 실행 상태로 반환되어 프로세스(220)만이 파킹될 수 있다. 비지 루프(busy loop)를 사용하지 않으므로, 시스템의 나머지는 계속 정상적으로 실행할 수 있고, 이는 헬퍼 에이전트(210)가 실행하도록 할 수 있다.
이벤트가 예를 들어 데이터 영역(225)에서 식별될 수 있고, 이벤트 파킹 모듈(215)은 매립 컴포넌트(230)를 통해 전달된 태스크를 수행할 수 있다. 태스크는 예를 들어 명령 포인터 및 스택을 소정의 값으로 설정하여 제어 이전(control transfer)을 구현하는 것을 포함할 수 있다. 태스크는 또한 임의의 다른 레지스터를 API를 위한 반환값 등의 값으로 설정하는 것을 포함할 수 있다. 따라서, 헬퍼 에이전트(210)는 콜백을 트리거한 스레드 또는 프로세스를 파킹하는 메카니즘을 제공할 수 있고 게스트 오퍼레이팅 시스템에 의해 제공되는 API 등의 가상화 게스트(120) 내에서 이용가능한 메카니즘을 이용하여 보안 핸들러(235) 대신에 스레드가 태스크를 수행하도록 하여, 안정성 및 호환성을 크게 증가시킬 수 있다. 가상화 게스트는 345에서 다른 프로세스 또는 스레드 등의 실행을 제개할 수 있다.
보안 핸들러(235)는 350에서 (예를 들어, 게스트 내 통신 메카니즘을 통해) 태스크 요청을 헬퍼 에이전트(210)로 전송할 수 있다. 헬퍼 에이전트(210)(또는 헬퍼 에이전트(210) 내의 스레드)는 요청을 수신하고 요청으로부터 데이터 페이로드를 검색할 수 있다. 데이터 페이로드는 프로세스 내에 로딩된 모든 모듈(예를 들어, DLL)을 열거하는 등 실행될 태스크의 기술(description)을 포함할 수 있다. 따라서, 보안 핸들러(235)는 예를 들어 350에서 이벤트에 대한 컨텍스트 데이터를 요청할 수 있다. 컨텍스트 데이터의 예는 이벤트를 트리거한 프로세스에 대한 정보, 이벤트를 트리거한 액션의 타입(예를 들어, 특정 메모리 영역으로의 기록 액세스), 액세스된 특정 메모리 영역을 소유한 프로세스 또는 파일 동작에 대한 세부사항(예를 들어, 파일 사이즈, 이름, 변경 날짜 등)을 포함할 수 있다. 헬퍼 에이전트(210)는 355에서, 기술된 태스크를 수행하고 프로세스(220)에 대한 컨텍스트 데이터를 반환하는 등 보안 핸들러(235)에 임의의 결과를 반환할 수 있다.
컨텍스트 데이터 및 이벤트 데이터에 기초하여, 검출 모듈(240)은 이벤트가 악의적인지 아니면 보안 정책을 위반하는지를 결정할 수 있다. 보안 정책이 위반되지 않으면, 보안 핸들러(235)는 트리거 이벤트가 발생한 포인트로부터 실행을 재개하도록 가상 프로세서(205a)의 명령 포인터를 리셋하는 등을 함으로써 360에서 하이퍼바이저 연장부(115)를 이용하여 프로세스(220)가 계속되도록 할 수 있다. 명령 포인터를 리셋하면, 프로세스(220)가 정상 스레드로서 동작하면 접할 수 있는 문제점을 최소화할 수 있다. 대안으로, 데이터 영역(225)은 코맨드로 설정되어 명령 포인터 및 스택 포인터를 트리거 이벤트가 발생한 포인트로 실행을 반환하는 값으로 다시 설정할 수 있다.
그러나, 355에서 검출 모듈(240)이 보안 정책 위반을 식별하면, 보안 핸들러(235)는 프로세스(220)가 추가로 실행되는 것을 막는 등 365에서 헬퍼 에이전트(210)에게 액션을 구현하도록 명령할 수 있다. 액션은 헬퍼 에이전트(210) 또는 매립 컴포넌트(230)에 의해 실행될 수 있다. 예를 들어, 트리거 동작을 막는 것은 매립 컴포넌트(230)에 의해 가장 잘 수행될 수 있지만, 모니터링된 프로세스(220)를 종료하는 것은 (모니터링 프로세스(220) 외부에서 실행하는) 헬퍼 에이전트(210)에 의해 가장 잘 수행될 수 있다. 이벤트 파킹 모듈(215)은 또한 액션의 타입에 따라 액션을 구현할 수 있다. 액션이 프로세스를 종료하는 것처럼 비동기식이면, 보안 핸들러(235)는 이것을 헬퍼 에이전트(210)로 전달하고 트리거 이벤트의 프로세싱을 끝낼 수 있다. 액션이 동기식이면, 액션은 데이터 영역(255)에서 예를 들어 헬퍼 에이전트(210)에게 시그널링하도록 지시될 수 있고, 그 후 모니터링된 이벤트의 프로세싱을 끝낼 수 있다. 위반은 또한 370에서 로그에 기록되거나 예를 들어 이메일을 통해 관리자에게 보고될 수 있다.
첨부된 도면의 단계는 가상 플랫폼(100)에 의해 또는 그 내에서 실행될 수 있는 가능한 시나리오 및 패턴의 일부만을 설명한다는 것에 주의해야 한다. 이들 단계의 일부는 적절한 곳에서 삭제 또는 제거되거나 이들 단계가 여기에 제공된 교시의 범위를 벗어나지 않고 상당히 변경 또는 수정될 수 있다. 또한, 이들 많은 동작은 하나 이상의 추가의 동작과 동시에 또는 병렬적으로 실행될 수 있는 것으로 기재되었다. 그러나, 이들 동작의 타이밍은 상당히 변경될 수 있다. 선행하는 동작 흐름은 예 및 설명의 목적으로 제공되었다. 여기에 제공된 교시로부터 벗어나지 않고 임의의 적절한 배치, 연대순, 구성 및 타이밍 메카니즘이 제공될 수 있다는 점에서 가상 플랫폼(100)에 의해 실질적인 유연성이 제공된다.
또한, 여기에 기재된 원리는, 예를 들어, 문서 제어, 감사(auditing), 포렌직(forensics), 성능 모니터링 등과 같이, 콜백 또는 다른 이벤트 통지가 게스트 또는 특수 컨테이너로부터 상이한 컨텍스트를 갖는 핸들러로 전달될 수 있는 다른 모니터링 시스템에 용이하게 적용될 수 있다.
당업자는 수많은 다른 변경, 대체, 변화, 개량 및 변형을 확인할 수 있고, 본 개시물은 첨부된 청구범위 내에서 이러한 변경, 대체, 변화, 개량 및 변형 모두를 포함하는 것으로 의도된다. 미국 특허 및 상표청(USPTO) 및 추가적으로 이 출원에 대하여 발행된 임의의 특허의 임의의 독자가 청부된 청구범위를 해석하는 것을 돕기 위하여, 출원인은 출원인이 (a) "~을 위한 수단" 또는 "~을 위한 단계"라는 용어가 특정한 청구항에 특별히 사용되지 않으면 그 제출 일자에 존재하는 것처럼 첨부된 청구항 중의 임의의 것이 35 U.S.C 섹션 112의 파라그래프 6을 적용하는 것을 의도하지 않고, (b) 첨부된 청구항을 반영하지 않은 임의의 방법으로 명세서 내의 임의의 설명에 의해 본 개시물을 제한하는 것으로 의도하지 않는다는 것에 주의하기를 원한다.

Claims (26)

  1. 외부 핸들러에서 가상 분할(virtual partition) 내의 이벤트와 연관된 이벤트 통지를 수신하는 단계;
    상기 가상 분할 내의 헬퍼 에이전트(helper agent)가 태스크를 실행하고 상기 태스크에 기초한 결과를 상기 외부 핸들러로 반환하도록 명령하는 단계; 및
    상기 헬퍼 에이전트에 의해 반환된 결과에 기초하여 정책 액션(policy action)을 취하는 단계
    를 포함하는 방법.
  2. 제1항에 있어서, 상기 외부 핸들러는 제2 가상 분할에서 동작하는 방법.
  3. 제1항에 있어서, 상기 외부 핸들러는 가상화 호스트에서 동작하는 방법.
  4. 제1항에 있어서,
    상기 외부 핸들러는 가상화 플랫폼 내의 제1 가상화 게스트에서 동작하고,
    상기 가상 분할은 상기 가상화 플랫폼 내의 제2 가상화 게스트인 방법.
  5. 제1항에 있어서, 상기 이벤트 통지는 가상화 플랫폼 내의 하이퍼바이저 연장부(hypervisor extension)로부터 수신되는 방법.
  6. 제1항에 있어서,
    상기 이벤트를 유발한 상기 가상 분할 내의 프로세스의 스레드를 파킹(parking)하는 단계; 및
    상기 이벤트를 유발한 스레드를 파킹한 후에 상기 가상 분할에서 다른 프로세스를 재개하는 단계
    를 더 포함하는 방법.
  7. 제1항에 있어서, 상기 헬퍼 에이전트로부터 반환된 결과는 상기 이벤트와 연관된 이벤트 컨텍스트를 포함하는 방법.
  8. 제1항에 있어서, 상기 정책 액션은 상기 이벤트를 유발한 프로세스를 종료하는 것을 포함하는 방법.
  9. 제1항에 있어서, 상기 정책 액션은 상기 헬퍼 에이전트가 상기 이벤트를 유발한 프로세스를 종료하도록 명령하는 방법.
  10. 제1항에 있어서,
    상기 외부 핸들러는 가상화 플랫폼 내의 제1 가상화 게스트에서 동작하고,
    상기 가상 분할은 상기 가상화 플롯폼 내의 제2 가상화 게스트이고,
    상기 이벤트 통지는 상기 가상화 플랫폼의 하이퍼바이저 연장부로부터 수신되고,
    상기 가상 분할 내의 다른 프로세스는 상기 이벤트를 유발한 프로세스에서 스레드를 파킹한 후에 재개되고,
    상기 헬퍼 에이전트로부터의 결과는 상기 이벤트와 연관된 이벤트 컨텍스트를 포함하고,
    상기 정책 액션은 상기 헬퍼 에이전트가 상기 이벤트를 유발한 프로세스를 종료하도록 명령하는 것을 포함하는 방법.
  11. 실행을 위한 코드를 포함하고, 하나 이상의 프로세서에 의해 실행될 때,
    외부 핸들러에서 가상 분할(virtual partition) 내의 이벤트와 연관된 이벤트 통지를 수신하는 것;
    상기 가상 분할 내의 헬퍼 에이전트가 태스크를 실행하고 상기 태스크에 기초한 결과를 상기 외부 핸들러로 반환하도록 명령하는 것; 및
    상기 헬퍼 에이전트에 의해 반환된 결과에 기초하여 정책 액션을 취하는 것
    을 포함하는 동작들을 수행하도록 동작가능한 하나 이상의 비일시적 매체에 인코딩된 로직.
  12. 제11항에 있어서, 상기 외부 핸들러는 제2 가상 분할에서 동작하는 인코딩된 로직.
  13. 제11항에 있어서, 상기 외부 핸들러는 가상화 호스트에서 동작하는 인코딩된 로직.
  14. 제11항에 있어서,
    상기 외부 핸들러는 가상화 플랫폼 내의 제1 가상화 게스트에서 동작하고,
    상기 가상 분할은 상기 가상화 플랫폼 내의 제2 가상화 게스트인 인코딩된 로직.
  15. 제11항에 있어서, 상기 이벤트 통지는 가상화 플랫폼 내의 하이퍼바이저 연장부로부터 수신되는 인코딩된 로직.
  16. 제11항에 있어서,
    상기 동작들은 상기 이벤트를 유발한 가상 분할 내의 프로세스에서 스레드를 파킹(parking)하는 단계를 더 포함하는 인코딩된 로직.
  17. 제11항에 있어서, 상기 헬퍼 에이전트로부터 반환된 결과는 상기 이벤트와 연관된 이벤트 컨텍스트를 포함하는 인코딩된 로직.
  18. 제11항에 있어서, 상기 정책 액션은 상기 이벤트를 유발한 프로세스를 종료하는 것을 포함하는 인코딩된 로직.
  19. 제11항에 있어서, 상기 정책 액션은 상기 헬퍼 에이전트가 상기 이벤트를 유발한 프로세스를 종료하도록 명령하는 것을 포함하는 인코딩된 로직.
  20. 가상 분할(virtual partition) 내의 헬퍼 에이전트;
    상기 가상 분할의 외부에 있는 보안 핸들러; 및
    상기 보안 핸들러 및 상기 헬퍼 에이전트와 연관된 명령들을 실행하도록 동작가능한 하나 이상의 프로세서
    를 포함하고,
    상기 명령들은
    상기 보안 핸들러에서 상기 가상 분할 내의 이벤트와 연관된 이벤트 통지를 수신하는 것;
    상기 이벤트를 유발한 가상 분할 내의 프로세스에서 스레드(thread)를 파킹(parking)하는 것;
    상기 헬퍼 에이전트가 상기 가상 분할 내에서 태스크를 실행하고 상기 태스크에 기초한 결과를 상기 보안 핸들러로 반환하도록 명령하는 것; 및
    상기 헬퍼 에이전트에 의해 반환된 결과에 기초하여 정책 액션을 취하는 것
    을 포함하는 동작들을 수행하도록 동작가능한 장치.
  21. 제20항에 있어서,
    상기 보안 핸들러는 가상화 플랫폼 내의 제1 가상화 게스트에서 동작하고,
    상기 가상 분할은 상기 가상화 플랫폼 내의 제2 가상화 게스트인 장치.
  22. 제20항에 있어서, 상기 이벤트 통지는 가상화 플랫폼 내의 하이퍼바이저 연장부로부터 수신되는 장치.
  23. 제20항에 있어서, 상기 동작들은 상기 이벤트를 유발한 프로세스에서 스레드를 파킹한 후에 상기 가상 분할에서 다른 프로세스를 재개하는 것을 더 포함하는 장치.
  24. 제20항에 있어서, 상기 헬퍼 에이전트로부터 반환된 결과는 상기 이벤트와 연관된 이벤트 컨텍스트를 포함하는 장치.
  25. 제20항에 있어서, 상기 정책 액션은 상기 이벤트를 유발한 프로세스를 종료하는 것을 포함하는 장치.
  26. 제20항에 있어서, 상기 정책 액션은 상기 헬퍼 에이전트가 상기 이벤트를 유발한 프로세스를 종료하도록 명령하는 것을 포함하는 장치.
KR1020137033671A 2011-06-08 2012-06-07 가상 분할 모니터링을 위한 시스템 및 방법 KR101626398B1 (ko)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US13/155,572 US9298910B2 (en) 2011-06-08 2011-06-08 System and method for virtual partition monitoring
US13/155,572 2011-06-08
PCT/US2012/041384 WO2012170709A2 (en) 2011-06-08 2012-06-07 System and method for virtual partition monitoring

Publications (2)

Publication Number Publication Date
KR20140031947A true KR20140031947A (ko) 2014-03-13
KR101626398B1 KR101626398B1 (ko) 2016-06-01

Family

ID=47294263

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020137033671A KR101626398B1 (ko) 2011-06-08 2012-06-07 가상 분할 모니터링을 위한 시스템 및 방법

Country Status (6)

Country Link
US (2) US9298910B2 (ko)
EP (1) EP2718867A4 (ko)
JP (1) JP5861228B2 (ko)
KR (1) KR101626398B1 (ko)
CN (1) CN103827882B (ko)
WO (1) WO2012170709A2 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20190052440A (ko) * 2017-11-08 2019-05-16 한국전자통신연구원 가상 머신 프로세서의 원격 처리 장치 및 방법

Families Citing this family (61)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9298910B2 (en) 2011-06-08 2016-03-29 Mcafee, Inc. System and method for virtual partition monitoring
US9311126B2 (en) 2011-07-27 2016-04-12 Mcafee, Inc. System and method for virtual partition monitoring
CN102768629B (zh) * 2012-04-16 2017-02-08 中兴通讯股份有限公司 基于调度层实现虚拟机间通讯的方法和装置
US9225638B2 (en) 2013-05-09 2015-12-29 Vmware, Inc. Method and system for service switching using service tags
US10033693B2 (en) 2013-10-01 2018-07-24 Nicira, Inc. Distributed identity-based firewalls
US9619346B2 (en) * 2013-10-31 2017-04-11 Assured Information Security, Inc. Virtual machine introspection facilities
US10255093B2 (en) * 2013-12-17 2019-04-09 Intel Corporation Techniques for portable computing device virtualization
US9973531B1 (en) * 2014-06-06 2018-05-15 Fireeye, Inc. Shellcode detection
US10516568B2 (en) 2014-09-30 2019-12-24 Nicira, Inc. Controller driven reconfiguration of a multi-layered application or service model
US9774537B2 (en) 2014-09-30 2017-09-26 Nicira, Inc. Dynamically adjusting load balancing
US9531590B2 (en) 2014-09-30 2016-12-27 Nicira, Inc. Load balancing across a group of load balancers
US9891940B2 (en) 2014-12-29 2018-02-13 Nicira, Inc. Introspection method and apparatus for network access filtering
SG10201500698YA (en) * 2015-01-29 2016-08-30 Huawei Internat Pte Ltd Method for data protection using isolated environment in mobile device
CN104766006B (zh) * 2015-03-18 2019-03-12 百度在线网络技术（北京）有限公司 一种确定危险文件所对应的行为信息的方法和装置
US10609091B2 (en) 2015-04-03 2020-03-31 Nicira, Inc. Method, apparatus, and system for implementing a content switch
KR102319661B1 (ko) * 2015-08-07 2021-11-03 삼성전자주식회사 전자 장치 및 전자 장치의 보안 정보 저장 방법
US10324746B2 (en) 2015-11-03 2019-06-18 Nicira, Inc. Extended context delivery for context-based authorization
JP6430922B2 (ja) * 2015-12-04 2018-11-28 日本電信電話株式会社 解析装置、解析方法および解析プログラム
RU2618946C1 (ru) * 2015-12-18 2017-05-11 Акционерное общество "Лаборатория Касперского" Способ блокировки доступа к данным на мобильных устройствах с использованием API для пользователей с ограниченными возможностями
ES2762988T3 (es) * 2015-12-19 2020-05-26 Bitdefender Ipr Man Ltd Autoanálisis de memoria dual para asegurar múltiples puntos finales de red
US10938837B2 (en) 2016-08-30 2021-03-02 Nicira, Inc. Isolated network stack to manage security for virtual machines
US20180082053A1 (en) * 2016-09-21 2018-03-22 Telefonaktiebolaget Lm Ericsson (Publ) Application token through associated container
US10609160B2 (en) 2016-12-06 2020-03-31 Nicira, Inc. Performing context-rich attribute-based services on a host
US10635479B2 (en) 2016-12-19 2020-04-28 Bitdefender IPR Management Ltd. Event filtering for virtual machine security applications
US11032246B2 (en) 2016-12-22 2021-06-08 Nicira, Inc. Context based firewall services for data message flows for multiple concurrent users on one machine
US10803173B2 (en) 2016-12-22 2020-10-13 Nicira, Inc. Performing context-rich attribute-based process control services on a host
US10802858B2 (en) 2016-12-22 2020-10-13 Nicira, Inc. Collecting and processing contextual attributes on a host
US10805332B2 (en) 2017-07-25 2020-10-13 Nicira, Inc. Context engine model
US10812451B2 (en) 2016-12-22 2020-10-20 Nicira, Inc. Performing appID based firewall services on a host
US10581960B2 (en) 2016-12-22 2020-03-03 Nicira, Inc. Performing context-rich attribute-based load balancing on a host
US10248469B2 (en) 2017-01-19 2019-04-02 International Business Machines Corporation Software based collection of performance metrics for allocation adjustment of virtual resources
EP3361406A1 (en) * 2017-02-08 2018-08-15 AO Kaspersky Lab System and method of analysis of files for maliciousness in a virtual machine
RU2665911C2 (ru) * 2017-02-08 2018-09-04 Акционерное общество "Лаборатория Касперского" Система и способ анализа файла на вредоносность в виртуальной машине
RU2651196C1 (ru) 2017-06-16 2018-04-18 Акционерное общество "Лаборатория Касперского" Способ обнаружения аномальных событий по популярности свертки события
US10503904B1 (en) 2017-06-29 2019-12-10 Fireeye, Inc. Ransomware detection and mitigation
US10546120B2 (en) 2017-09-25 2020-01-28 AO Kaspersky Lab System and method of forming a log in a virtual machine for conducting an antivirus scan of a file
US10805181B2 (en) 2017-10-29 2020-10-13 Nicira, Inc. Service operation chaining
US11012420B2 (en) 2017-11-15 2021-05-18 Nicira, Inc. Third-party service chaining using packet encapsulation in a flow-based forwarding element
US10778651B2 (en) 2017-11-15 2020-09-15 Nicira, Inc. Performing context-rich attribute-based encryption on a host
US10797910B2 (en) 2018-01-26 2020-10-06 Nicira, Inc. Specifying and utilizing paths through a network
US10862773B2 (en) * 2018-01-26 2020-12-08 Nicira, Inc. Performing services on data messages associated with endpoint machines
US10802893B2 (en) 2018-01-26 2020-10-13 Nicira, Inc. Performing process control services on endpoint machines
US10659252B2 (en) 2018-01-26 2020-05-19 Nicira, Inc Specifying and utilizing paths through a network
US10805192B2 (en) 2018-03-27 2020-10-13 Nicira, Inc. Detecting failure of layer 2 service using broadcast messages
US10728174B2 (en) 2018-03-27 2020-07-28 Nicira, Inc. Incorporating layer 2 service between two interfaces of gateway device
US11595250B2 (en) 2018-09-02 2023-02-28 Vmware, Inc. Service insertion at logical network gateway
US10944673B2 (en) 2018-09-02 2021-03-09 Vmware, Inc. Redirection of data messages at logical network gateway
CN109684148B (zh) * 2018-11-08 2022-03-15 中国航空工业集团公司洛阳电光设备研究所 一种基于arinc653的机载嵌入式软件虚拟总线通信构建方法
US11042397B2 (en) 2019-02-22 2021-06-22 Vmware, Inc. Providing services with guest VM mobility
US11537581B2 (en) * 2019-03-22 2022-12-27 Hewlett Packard Enterprise Development Lp Co-parent keys for document information trees
US11140218B2 (en) 2019-10-30 2021-10-05 Vmware, Inc. Distributed service chain across multiple clouds
US11283717B2 (en) 2019-10-30 2022-03-22 Vmware, Inc. Distributed fault tolerant service chain
US11539718B2 (en) 2020-01-10 2022-12-27 Vmware, Inc. Efficiently performing intrusion detection
US11223494B2 (en) 2020-01-13 2022-01-11 Vmware, Inc. Service insertion for multicast traffic at boundary
US11659061B2 (en) 2020-01-20 2023-05-23 Vmware, Inc. Method of adjusting service function chains to improve network performance
US11153406B2 (en) 2020-01-20 2021-10-19 Vmware, Inc. Method of network performance visualization of service function chains
US11277331B2 (en) 2020-04-06 2022-03-15 Vmware, Inc. Updating connection-tracking records at a network edge using flow programming
US11108728B1 (en) 2020-07-24 2021-08-31 Vmware, Inc. Fast distribution of port identifiers for rule processing
US11734043B2 (en) 2020-12-15 2023-08-22 Vmware, Inc. Providing stateful services in a scalable manner for machines executing on host computers
US11611625B2 (en) 2020-12-15 2023-03-21 Vmware, Inc. Providing stateful services in a scalable manner for machines executing on host computers
US11874920B2 (en) * 2020-12-30 2024-01-16 Acronis International Gmbh Systems and methods for preventing injections of malicious processes in software

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090007100A1 (en) * 2007-06-28 2009-01-01 Microsoft Corporation Suspending a Running Operating System to Enable Security Scanning
US20090158432A1 (en) * 2007-12-12 2009-06-18 Yufeng Zheng On-Access Anti-Virus Mechanism for Virtual Machine Architecture
US7845009B2 (en) * 2006-05-16 2010-11-30 Intel Corporation Method and apparatus to detect kernel mode rootkit events through virtualization traps

Family Cites Families (70)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH02201543A (ja) * 1989-01-30 1990-08-09 Nec Corp 仮想計算機特権命令処理方式
US6075938A (en) 1997-06-10 2000-06-13 The Board Of Trustees Of The Leland Stanford Junior University Virtual machine monitors for scalable multiprocessors
US6073142A (en) 1997-06-23 2000-06-06 Park City Group Automated post office based rule analysis of e-mail messages and other data objects for controlled distribution in network environments
US6378072B1 (en) 1998-02-03 2002-04-23 Compaq Computer Corporation Cryptographic system
US5987610A (en) 1998-02-12 1999-11-16 Ameritech Corporation Computer virus screening methods and systems
US6363421B2 (en) 1998-05-31 2002-03-26 Lucent Technologies, Inc. Method for computer internet remote management of a telecommunication network element
US6684329B1 (en) 1999-07-13 2004-01-27 Networks Associates Technology, Inc. System and method for increasing the resiliency of firewall systems
US6460050B1 (en) 1999-12-22 2002-10-01 Mark Raymond Pace Distributed content identification system
FR2804564B1 (fr) 2000-01-27 2002-03-22 Bull Sa Relais de securite multiapplicatif
US20010037450A1 (en) 2000-03-02 2001-11-01 Metlitski Evgueny A. System and method for process protection
US6901519B1 (en) 2000-06-22 2005-05-31 Infobahn, Inc. E-mail virus protection system and method
US6986052B1 (en) 2000-06-30 2006-01-10 Intel Corporation Method and apparatus for secure execution using a secure memory partition
US6691113B1 (en) 2000-09-28 2004-02-10 Curl Corporation Persistent data storage for client computer software programs
US7660902B2 (en) 2000-11-20 2010-02-09 Rsa Security, Inc. Dynamic file access control and management
JP3953273B2 (ja) 2000-12-27 2007-08-08 独立行政法人科学技術振興機構 大豆繊維体及びその製造方法
US20040117658A1 (en) 2002-09-27 2004-06-17 Andrea Klaes Security monitoring and intrusion detection system
US7181744B2 (en) 2002-10-24 2007-02-20 International Business Machines Corporation System and method for transferring data between virtual machines or other computer entities
US20040158730A1 (en) 2003-02-11 2004-08-12 International Business Machines Corporation Running anti-virus software on a network attached storage device
US8209680B1 (en) 2003-04-11 2012-06-26 Vmware, Inc. System and method for disk imaging on diverse computers
US7100205B2 (en) 2003-10-22 2006-08-29 The United States Of America As Represented By The Secretary Of The Navy Secure attention instruction central processing unit and system architecture
US8122361B2 (en) 2003-10-23 2012-02-21 Microsoft Corporation Providing a graphical user interface in a system with a high-assurance execution environment
US7783891B2 (en) 2004-02-25 2010-08-24 Microsoft Corporation System and method facilitating secure credential management
US7581253B2 (en) 2004-07-20 2009-08-25 Lenovo (Singapore) Pte. Ltd. Secure storage tracking for anti-virus speed-up
US7644287B2 (en) 2004-07-29 2010-01-05 Microsoft Corporation Portion-level in-memory module authentication
US20060089984A1 (en) * 2004-10-22 2006-04-27 International Business Machines Corporation Process and implementation for autonomous probe enablement
US8332653B2 (en) 2004-10-22 2012-12-11 Broadcom Corporation Secure processing environment
US7409719B2 (en) 2004-12-21 2008-08-05 Microsoft Corporation Computer security management, such as in a virtual machine or hardened operating system
ITMI20050063A1 (it) * 2005-01-20 2006-07-21 Atmel Corp Metodo e sistema per la gestione di una richiesta di sospensione in una memoria flash
US7685635B2 (en) 2005-03-11 2010-03-23 Microsoft Corporation Systems and methods for multi-level intercept processing in a virtual machine environment
US8619971B2 (en) 2005-04-01 2013-12-31 Microsoft Corporation Local secure service partitions for operating system security
US7735136B2 (en) 2005-04-18 2010-06-08 Vmware, Inc. 0-touch and 1-touch techniques for improving the availability of computer programs under protection without compromising security
US7239166B2 (en) 2005-06-15 2007-07-03 Microsoft Corporation Portable multi-purpose toolkit for testing computing device hardware and software
US8713667B2 (en) 2005-07-08 2014-04-29 Hewlett-Packard Development Company, L.P. Policy based cryptographic application programming interface in secure memory
US20070074192A1 (en) 2005-08-30 2007-03-29 Geisinger Nile J Computing platform having transparent access to resources of a host platform
US20070106986A1 (en) 2005-10-25 2007-05-10 Worley William S Jr Secure virtual-machine monitor
US7496727B1 (en) 2005-12-06 2009-02-24 Transmeta Corporation Secure memory access system and method
US20070180509A1 (en) 2005-12-07 2007-08-02 Swartz Alon R Practical platform for high risk applications
US7712094B2 (en) 2005-12-22 2010-05-04 Alan Joshua Shapiro Method and apparatus for replicating a panoplex onto a storage medium from a master
US20080016314A1 (en) 2006-07-12 2008-01-17 Lixin Li Diversity-based security system and method
US9003000B2 (en) 2006-07-25 2015-04-07 Nvidia Corporation System and method for operating system installation on a diskless computing platform
US9015703B2 (en) 2006-10-17 2015-04-21 Manageiq, Inc. Enforcement of compliance policies in managed virtual systems
US8234641B2 (en) 2006-10-17 2012-07-31 Managelq, Inc. Compliance-based adaptations in managed virtual systems
US8949826B2 (en) 2006-10-17 2015-02-03 Managelq, Inc. Control and management of virtual systems
US8458695B2 (en) 2006-10-17 2013-06-04 Manageiq, Inc. Automatic optimization for virtual systems
US9038062B2 (en) 2006-10-17 2015-05-19 Manageiq, Inc. Registering and accessing virtual systems for use in a managed system
US8356361B2 (en) 2006-11-07 2013-01-15 Spansion Llc Secure co-processing memory controller integrated into an embedded memory subsystem
US8380987B2 (en) * 2007-01-25 2013-02-19 Microsoft Corporation Protection agents and privilege modes
US8561204B1 (en) 2007-02-12 2013-10-15 Gregory William Dalcher System, method, and computer program product for utilizing code stored in a protected area of memory for securing an associated system
US8171485B2 (en) 2007-03-26 2012-05-01 Credit Suisse Securities (Europe) Limited Method and system for managing virtual and real machines
US8024790B2 (en) 2007-04-11 2011-09-20 Trend Micro Incorporated Portable secured computing environment for performing online confidential transactions in untrusted computers
US20080271018A1 (en) 2007-04-24 2008-10-30 Andrew Gross System and Method for Managing an Assurance System
US8806479B2 (en) 2007-06-05 2014-08-12 International Business Machines Corporation Creating an application virtual machine image by isolating installation artifacts in shadow area
US8205194B2 (en) 2007-06-29 2012-06-19 Microsoft Corporation Updating offline virtual machines or VM images
US8621610B2 (en) 2007-08-06 2013-12-31 The Regents Of The University Of Michigan Network service for the detection, analysis and quarantine of malicious and unwanted files
WO2009058042A1 (en) 2007-10-29 2009-05-07 Intel Corporation A method of external performance monitoring for virtualized environments
US8352939B1 (en) 2007-12-03 2013-01-08 Mcafee, Inc. System, method and computer program product for performing a security or maintenance operation in association with virtual disk data
US9015704B2 (en) * 2008-03-24 2015-04-21 International Business Machines Corporation Context agent injection using virtual machine introspection
US8261254B2 (en) * 2008-03-31 2012-09-04 Symantec Corporation Dynamic insertion and removal of virtual software sub-layers
JP4618455B2 (ja) 2008-04-09 2011-01-26 日本電気株式会社 端末装置、ネットワーク接続方法及びプログラム
WO2009151888A2 (en) * 2008-05-19 2009-12-17 Authentium, Inc. Secure virtualization system software
US8151032B2 (en) 2008-06-26 2012-04-03 Microsoft Corporation Direct memory access filter for virtualized operating systems
US8738932B2 (en) 2009-01-16 2014-05-27 Teleputers, Llc System and method for processor-based security
US8356285B2 (en) 2009-03-31 2013-01-15 Oracle America, Inc. Facilitated introspection of virtualized environments
US8219990B2 (en) 2009-05-28 2012-07-10 Novell, Inc. Techniques for managing virtual machine (VM) states
US8813069B2 (en) 2009-05-29 2014-08-19 Red Hat, Inc. Migration of functionalities across systems
US8621460B2 (en) 2009-11-02 2013-12-31 International Business Machines Corporation Endpoint-hosted hypervisor management
US8528091B2 (en) 2009-12-31 2013-09-03 The Trustees Of Columbia University In The City Of New York Methods, systems, and media for detecting covert malware
US8549648B2 (en) * 2011-03-29 2013-10-01 Mcafee, Inc. Systems and methods for identifying hidden processes
US9298910B2 (en) 2011-06-08 2016-03-29 Mcafee, Inc. System and method for virtual partition monitoring
US9311126B2 (en) 2011-07-27 2016-04-12 Mcafee, Inc. System and method for virtual partition monitoring

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7845009B2 (en) * 2006-05-16 2010-11-30 Intel Corporation Method and apparatus to detect kernel mode rootkit events through virtualization traps
US20090007100A1 (en) * 2007-06-28 2009-01-01 Microsoft Corporation Suspending a Running Operating System to Enable Security Scanning
US20090158432A1 (en) * 2007-12-12 2009-06-18 Yufeng Zheng On-Access Anti-Virus Mechanism for Virtual Machine Architecture

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20190052440A (ko) * 2017-11-08 2019-05-16 한국전자통신연구원 가상 머신 프로세서의 원격 처리 장치 및 방법

Also Published As

Publication number Publication date
WO2012170709A3 (en) 2013-01-31
US20120317570A1 (en) 2012-12-13
US20160224792A1 (en) 2016-08-04
CN103827882A (zh) 2014-05-28
JP5861228B2 (ja) 2016-02-16
EP2718867A2 (en) 2014-04-16
CN103827882B (zh) 2017-03-29
US10032024B2 (en) 2018-07-24
WO2012170709A2 (en) 2012-12-13
JP2014516191A (ja) 2014-07-07
US9298910B2 (en) 2016-03-29
KR101626398B1 (ko) 2016-06-01
EP2718867A4 (en) 2014-11-05

Similar Documents

Publication Publication Date Title
KR101626398B1 (ko) 가상 분할 모니터링을 위한 시스템 및 방법
Boucher et al. Putting the" micro" back in microservice
US10949247B2 (en) Systems and methods for auditing a virtual machine
US10108446B1 (en) Late load technique for deploying a virtualization layer underneath a running operating system
CN107690645B (zh) 使用解释器虚拟机的行为恶意软件检测
US9305167B2 (en) Hardware-enabled prevention of code reuse attacks
US10140448B2 (en) Systems and methods of asynchronous analysis of event notifications for computer security applications
US9298484B2 (en) Encapsulation of an application for virtualization
US9596261B1 (en) Systems and methods for delivering context-specific introspection notifications
US9536084B1 (en) Systems and methods for delivering event-filtered introspection notifications
US11442770B2 (en) Formally verified trusted computing base with active security and policy enforcement
US9531735B1 (en) Systems and methods for delivering introspection notifications from a virtual machine
Ibrahim et al. Virtual Machines Security in IaaS Platform

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E90F Notification of reason for final refusal
E701 Decision to grant or registration of patent right
GRNT Written decision to grant
FPAY Annual fee payment

Payment date: 20190517

Year of fee payment: 4