NL1034451C2

NL1034451C2 - Het bewaken van een uitvoeringspatroon voor een doelagent op een systeem dat geschikt gemaakt is voor vt.

Info

Publication number: NL1034451C2
Application number: NL1034451A
Authority: NL
Inventors: Uday Savagaonkar; Ravi Sahita; David Durham
Original assignee: Intel Corp
Priority date: 2006-09-29
Filing date: 2007-10-01
Publication date: 2010-01-26
Also published as: FR2907242B1; CN101221608A; US7802050B2; FR2907242A1; GB2442350A; US20080082722A1; GB2442350B; GB0719018D0; KR100938306B1; KR20080029945A; CN101221608B; DE102007046475A1; NL1034451A1

Description

HET BEWAKEN VAN EEN UITVOERINGSPATROON VOOR EEN DOELAGENT OP EEN SYSTEEM DAT GESCHIKT GEMAAKT IS VOOR VT

Uitvoeringen hebben betrekking op de gebieden van dataverwerking en informatiegarantie, in het bijzonder, op het bewaken van een uitvoeringspatroon van een doelproces om te bepalen of het proces op een verwachte manier wordt 5 uitgevoerd.

Achtergrond

Moderne virussen en wormen zijn een significante be-10 dreiging voor de veiligheid van informatieverwerkingssystemen. Op Host-gebaseerde intrusiedetectiesystemen verschaffen een effectieve oplossing om wormen te detecteren wanneer deze eenmaal systeemverdediging penetreren. Echter zijn talrijke wormen in staat om intrusiedetectiesystemen 15 te storen en uit te schakelen.

Een aantal oplossingen is aangeboden om dit probleem op te lossen, waarbij methodologieën zijn verschaft voor het garanderen dat intrusiedetectiesystemen correct functioneren. Bijvoorbeeld, zijn systeemintegriteitsdiensten 20 bekend die bewaakte software-agenten vereisen, zoals intrusiedetectiesystemen, om niet bedriegbaar bewijs van correct functioneren te verschaffen. Deze diensten vereisen echter wijzigingen aan de programmeerinstructies voor de bewaakte agent. Vele software-aanbieders aarzelen om 1034451 2 dergelijke wijzigingen te maken. Tevens kunnen een groot aantal van bestaande software-agenten, gecreëerd voorafgaand aan het ontstaan van systeemintegriteitsdiensten, niet in staat zijn om het niet te bedriegen bewijs te ver-5 schaffen dat voor deze technologie vereist is.

Host-agentmeting verschaft een verdere oplossing voor het probleem van wormen en virussen die intrusiedetectie-systemen uitschakelen. Host-agentmeting staat een proces toe dat wordt uitgevoerd in een onafhankelijke uitvoerom-10 geving om periodiek te verifiëren dat een bewaakte software-agent, zoals een intrusiedetectiesysteem, in het host-geheugen bestaat in ongewijzigde vorm. Deze methodologie verschaft echter niet een beveiliging tegen aanvallen waar het virus of de worm in feite niet de bewaakte agent wij-15 zigt, maar de agent eenvoudig uitschakelt door de program-maregelaar van het besturingssysteem te storen.

Korte beschrijving van de tekeningen 20 Uitvoeringen van de onderhavige uitvinding zullen bij wijze van voorbeelduitvoeringen, maar niet als beperking, weergegeven in de begeleidende tekeningen, waarin gelijke verwijzingen gelijke elementen aangeven, beschreven worden en waarin: 25 figuren la-lb schema's van verscheidene uitvoeringen van de onderhavige uitvinding tonen, waarbij een uitvoe-ringspatroon van een doelproces wordt bewaakt om te bepalen of het proces op een verwachte manier wordt uitgevoerd; 30 figuur 2 een stroomschema toont van geselecteerde be werkingen van de werkwijzen van verscheidene uitvoeringen van de onderhavige uitvinding; en figuur 3 een voorbeeldcomputersysteem toont dat geschikt is voor gebruik voor het uitvoeren van verscheidene 35 uitvoeringen van de onderhavige uitvinding.

3

Gedetailleerde beschrijving van illustratieve uitvoeringen

Illustratieve uitvoeringen van de onderhavige uitvinding omvatten, maar zijn niet beperkt tot, werkwijzen en 5 inrichtingen voor het waarnemen, door een virtuele machi-nemanager van een fysieke inrichting, het uitvoeren van een doelproces van een virtuele machine van de fysieke inrichting, omvattende virtuele adressen van de virtuele machine waarnaar gedurende de uitvoering verwezen wordt, 10 worden hierin beschreven. De virtuele machinemanager bepaalt verder of het doelproces op een verwachte manier wordt uitgevoerd, gebaseerd ten minste gedeeltelijk op de waargenomen virtuele adresreferenties en verwachte virtuele adresreferenties.

15 Verscheidene aspecten van de illustratieve uitvoerin gen zullen beschreven worden onder gebruikmaking van uitdrukkingen die gebruikelijk gebruikt worden door diegenen die bekwaam zijn in de techniek om de materie van hun werk over te dragen op andere mensen die bekwaam zijn in de 20 techniek. Echter, zal het voor diegenen die bekwaam zijn in de techniek duidelijk zijn dat alternatieve uitvoeringen uitgevoerd kunnen worden met slechts enkele van de beschreven aspecten. Ten behoeve van verduidelijking, worden specifieke aantallen, materialen en configuraties uiteen-25 gezet teneinde een grondig begrip van de illustratieve uitvoeringen te verschaffen. Het zal echter voor diegenen die bekwaam zijn in de techniek duidelijk zijn dat alternatieve uitvoeringen uitgevoerd kunnen worden zonder de specifieke details. In andere gevallen zijn bekende maat-30 regelen weggelaten of vereenvoudigd om niet de illustratieve uitvoeringen onduidelijk te maken.

Verder zullen verscheidene bewerkingen beschreven worden als meervoudige diskrete bewerkingen, beurtelings, op een manier die het meest behulpzaam is bij het begrij-35 pen van de illustratieve uitvoeringen; echter, de volgorde van beschrijving dient niet beschouwd te worden als te impliceren dat deze bewerkingen noodzakelijk volgorde- 4 afhankelijk zijn. In het bijzonder hoeven deze bewerkingen niet uitgevoerd te worden in de volgorde van presentatie.

De uitdrukking "in één uitvoering" wordt herhaaldelijk gebruikt. De uitdrukking verwijst in het algemeen 5 niet naar dezelfde uitvoering; maar kan dat echter wel. De uitdrukkingen "omvattende", "hebbende" en "omvattende" zijn synoniemen, tenzij de context anders voorschrijft. De uitdrukking "A/B" betekent "A of B". De uitdrukking "A en/of B" betekent " (A) , (B) of (A en B) ". De uitdrukking

10 "ten minste één van A, B en C" betekent " (A) , (B), (C), (A

en B), (A en C), (B en C) of (A, B en C)". De uitdrukking "(A)B" betekent "(B) of (A B)", dat is A is optioneel.

Figuren la-lb tonen aanzichten van verscheidene uitvoeringen van de onderhavige uitvinding, waarbij een uit-15 voeringspatroon van een doelproces wordt bewaakt voor het bepalen of het proces op een verwachte manier wordt uitgevoerd. Zoals weergegeven, kan een verificatiemachine 120 van virtuele machinemanager 106 van rekeninrichting 102 (aangepast om virtuele machines van rekeninrichting 102 te 20 beheren), verder aangepast zijn om virtuele adressen waarnaar door een doelproces 110 van een virtuele machine 104 van rekeninrichting 102 wordt verwezen te vergelijken met virtuele adressen waarvan verwacht wordt dat het doelproces 110 naar verwijst. De vergelijking kan de opwekking 25 van statistiek omvatten door de verificatiemachine 120 en het vergelijken van de statistiek met drempelmeeteenheden voor het bevorderen van een bepaling of het doelproces 110 aangetast is. De virtuele adressen waarnaar werkelijk wordt verwezen door het doelproces kunnen worden bepaald 30 door het waarnemen van de virtuele adressen waarnaar gedurende uitvoering wordt verwezen. In één uitvoering, weergegeven door figuur la, kunnen de virtuele adresreferenties worden bewaakt door het wijzigen van actieve bladzij-detabellen 116 van de virtuele machinemanager 106 om een 35 bladzijdefout aan de geheugenmanager 114 te veroorzaken telkens wanneer naar één van de verwachte virtuele adressen wordt verwezen. In een alternatieve uitvoering, weer- 5 gegeven door figuur lb, kan een code-instrumentatiemachine 118 van de virtuele machinemanager het doelproces 110 code in geheugen wijzigen zodat wanneer het doelproces 110 naar één van de verwachte virtuele adressen verwijst, het doel-5 proces 110 een oproepinstructie aan de code-instrumentatiemachine 118 kan afgeven, die dergelijke oproepen kan invangen.

In verscheidene uitvoeringen, kan de rekeninrichting 102, in aanvulling op virtuele machine 104 en virtuele ma-10 chinemanager 106, andere additionele virtuele machines bevatten. Virtuele machine 104 kan gastbladzijdetabellen 108 bevatten die lineair geheugenadres naar gastfysieke adresafbeeldingen opslaan, en een aantal processen, zoals doelproces 110. In verscheidene uitvoeringen kan doelproces 15 110 een kritisch proces zijn, zoals een intrusiedetectie- proces. Virtuele machinemanager 106 kan een aantal componenten omvatten die beheer van de virtuele machines van rekeninrichting 102 bevorderen. Onder deze componenten kan een integriteitsmeetmodule 112 zijn aangepast voor het ve-20 rifiëren van de integriteit van het doelproces wanneer dit in geheugen geladen wordt en voor het verschaffen van de geheugenmanager 116 en/of code-instrumentatiemachine 118, alsmede de verificatiemachine 120, met een integriteitsma-nifest die de verwachte virtuele adresreferenties specifi-25 ceert. Additioneel kunnen de componenten van de virtuele machinemanager 106 verder een geheugenmanager 114, actieve bladzijdetabellen 116, een verificatiemachine 120, en, in de uitvoeringen weergegeven door figuur lb, een code-instrumentatiemachine 118 omvatten.

30 Zoals getoond, kan rekeninrichting 102 elke enkelvou dige of multiprocessor zijn of rekensysteem met centrale verwerkingseenheid (CPU-processorkern die bekend zijn in de techniek). Rekeninrichting 102 kan een persoonlijke computer (PC), een werkstation, een server, een router, 35 een mainframe, een modulaire computer en een blade server of hogedichtheidsserver, een persoonlijke digitale assistent (PDA) , een amusementscentrum, een set top box of een 6 mobiele inrichting zijn. De rekeninrichting 102 kan in staat zijn tot het bedienen van een veelvoud van besturingssystemen van een veelvoud van virtuele machines, zoals virtuele machine 104, en van een virtuele machinemana-5 ger 106 die gebruik maakt van virtualisatietechnologieën. Indien rekeninrichting 102 een multiprocessor of een mul-tiprocessorkernsysteem is, kan elke virtuele machi-ne/virtuele machinemanager van rekeninrichting 102 gekoppeld worden aan een processor of processorkern die toege-10 voegd is aan die virtuele machine/virtuele machinemanager. In een enkele processor of rekeninrichting 102 met enkele processorkern, kan de veelvoud van virtuele machines en virtuele machinemanager 108 de enkele processor of processorkern delen. Een voorbeeld van een enkele/multiprocessor 15 of rekeninrichting 102 met processorkern is weergegeven door figuur 3, en wordt in groter detail hierna beschreven. Hierna, inclusief in de conclusies, zullen processor en processorkern onderling uitwisselbaar gebruikt worden, waarbij elke term de andere omvat.

20 Zoals getoond en eerder vermeld, kan rekeninrichting 102 een veelvoud van virtuele machines omvatten, zoals virtuele machine 104. Virtuele machine 104, met uitzondering van de leer van uitvoeringen van de onderhavige uitvinding, kan elk soort virtuele machine zijn. Virtuele ma-25 chine 104 kan een autonome besturingsomgeving zijn die zich gedraagt alsof deze een afzonderlijk computersysteem is. Voor een uitwendig systeem dat gekoppeld is aan rekeninrichting 102 door een netwerkweefsel, kan virtuele machine 104 op een afzonderlijke rekeninrichting lijken. 30 Virtuele machine 104 kan tevens een besturingssysteem hebben dat in staat is tot het beheren van meerdere processen, zoals doelproces 110, kan datastructuren omvatten voor het afbeelden van lineaire geheugenadressen naar gastfysieke adressen waarnaar verwezen wordt, zoals blad-35 zijdetabellen 108, en kan een beschermde geheugenruimte hebben die operationeel uitsluitend tot virtuele machine 104 behoort. Geschikte virtuele machines en virtualisatie- 7 technologieën omvatten maar zijn niet beperkt tot die welke beschikbaar zijn van Microsoft Corporation uit Redmond, WA, VMware Ine. uit Palo Al to, CA, en XenSource uit Cambridge, UK.

5 In enkele uitvoeringen, kan de rekeninrichting 102 een virtuele machinemanager (hierna VMM) 106 bevatten, die een dienstbesturingssysteem (OS) (niet weergegeven) kan hebben, een integriteitsmeetmodule (IMM) 112, een geheu-genmanager 114, actieve bladzijdetabellen 116, een verifi-10 catiemachine 120 en, in sommige uitvoeringen, zoals die getoond door figuur lb, een code-instrumentatiemachine 118. De VMM 106 kan een dienstpartitie van de rekeninrichting 102 omvatten, die de werkelijke hardwarehulpbronnen van inrichting 102 beheert, omvattende geheugenbladzijden, 15 zoals de geheugenbladzijde van proces 110, en die het gebruik van de hulpbronnen onder de virtuele machinerekenin-richting 102 coördineert. VMM 106 kan worden bediend door dezelfde processor als virtuele machine 104, indien rekeninrichting 102 een enkele processorinrichting is, of kan 20 bediend worden door een andere processor van rekeninrichting 102 (niet weergegeven).

Zoals weergegeven kan virtuele machine 104 gastblad-zijdetabellen 108 bevatten. De gastbladzijdetabellen 108 kunnen worden gebruikt door de processor van virtuele ma-25 chine 104 om het gastfysieke geheugenadres geassocieerd met een lineair geheugenadres waarnaar verwezen wordt door een instructie die de processor uitvoert op te zoeken. De gastbladzijdetabellen 108 kunnen echter niet afbeeldingen omvatten tussen het gastfysieke adres en het host-fysieke 30 adres van de geheugenbladzijde die geprobeerd wordt om bereikt te worden door de instructie die verwerkt wordt. Zoals hierna verder besproken, kunnen dergelijke afbeeldingen worden opgeslagen in actieve bladzijdetabellen 116 van de VMM 106. Dienovereenkomstig, terwijl deze gastbladzij-35 detabellen 108 worden gevormd door de virtuele machine 104 om adrestranslatie van doelproces 110 te bevorderen, worden de gastbladzijdetabellen 108 niet gebruikt door de 8 virtuele machine 104 voor volledige adrestranslatie. Gast-bladzijdetabellen zijn bekend in de techniek, en zullen dienovereenkomstig niet verder beschreven worden.

In verscheidene uitvoeringen kan virtuele machine 104 5 een aantal processen bevatten, zoals doelproces 110. Doel-proces 110 kan een host-gebaseerd intrusiedetectieproces zijn dat in staat is tot het detecteren van computervei-ligheidsgebruiken zoals wormen en virussen. Voorbeelden van intrusiedetectieprocessen omvatten die welke aangebo-10 den worden door McAfee uit Santa Clara, CA en Symantec uit Cupertino, CA. Doelproces 110 kan geladen worden in geheugen van de rekeninrichting 102 en kan verwijzen naar een aantal virtuele adressen van zijn geheugenruimte gedurende uitvoering. Naar de virtuele adressen kan verwezen worden 15 met een bepaalde frequentie en in een bepaalde volgorde gedurende routine-uitvoering van doelproces 110. In enkele uitvoeringen, zoals die getoond door figuur lb, kunnen de instructies van doelproces 110 in geheugen gewijzigd worden door een code-instrumentatiemachine 118 om te veroor-20 zaken dat doelproces 110 VM-oproepen afgeeft aan de code-instrumentatiemachine 110 van de VMM 106. Na het af geven van VM-oproepen, kan de code-instrumentatiemachine 118 de instructies van doelproces 110 in hun oorspronkelijke conditie herstellen. In een andere uitvoering, niet weergege-25 ven, kan doelproces 110 in plaats van te verwijzen naar virtuele adressen voor geheugentoegangen, verwijzen naar virtuele adressen van geheugen afgebeelde rekeninrichting 102 registers. In nog een andere uitvoering kan het doelproces 110 verwijzen naar een virtueel adres van een ander 30 proces, dat een oproep van het proces bij het virtuele adres uitvoert.

Zoals getoond kan VMM 106 een integriteitsmeetmodule (IMM) 112 bevatten. In enkele uitvoeringen is IMM 112 in staat tot het meten en verifiëren van de integriteit van 35 doelproces 110 wanneer dit in geheugen geladen wordt. Bij het meten en verifiëren van het doelproces 110 kan IMM 112 vertrouwen op een integriteitsmanifest voorzien voor de 9 IMM door, bijvoorbeeld, een administrateur. Het integri-teitsmanifest kan het doelproces 110 beschrijven wanneer dit in geheugen geladen wordt, kan statistiekinformatie omvatten omtrent het doelproces 110, zoals inhoud van ver-5 scheidene secties van het doelproces 110, en kan een statistisch uitvoeringsprofiel van het doelproces 110 beschrijven dat in staat is tot het identificeren van de virtuele adressen waarvan verwacht wordt dat het doelproces 110 naar verwijst, alsmede de frequentie waarmee ver-10 wacht wordt dat het doelproces 110 naar elk adres verwijst. In één uitvoering kan het statistische uitvoerings-profiel van het integriteitsmanifest een histogram bevatten representerende hoe vaak het doelproces 110 naar bepaalde virtuele adressen dient te verwijzen. De IMM 112 15 kan gebruik maken van het deel van het integriteitsmanifest dat doelproces 110 beschrijft wanneer dit in geheugen geladen wordt door het vergelijken van die beschrijving met hoe het doelproces 110 momenteel in geheugen geladen is, aldus verifiërende dat de instructies omvattende het 20 doelproces 110 niet aangetast zijn. Na verificatie van het doelproces 110, kan IMM 112 in één uitvoering weergegeven in figuur la, het integriteitsmanifest verschaffen aan ge-heugenmanager 114 en verificatiemachine 120. In een alternatieve uitvoering, weergegeven door figuur lb, kan IMM 25 112 in plaats daarvan het integriteitsmanifest verschaffen aan code-instrumentatiemachine 118 en verificatiemachine 120. Verdere details over IMM 112 en het integriteitsmanifest kunnen gevonden worden in "Signed Manifest for RunTime Verification of Software Program Identity and 30 Integrity", Amerikaanse octrooiaanvrage nummer 11/173.851, ingediend op 30 juni 2005.

In verscheidene uitvoeringen kan VMM 106 een geheu-genmanager 114 omvatten aangepast om actieve bladzijdeta-bellen 116 van de VMM 106 op te wekken en bij te houden. 35 In enkele uitvoeringen, zoals die weergegeven door figuur la, kan de geheugenmanager 114 van VMM 106 tevens aangepast zijn om referenties naar virtuele adressen waar te 10 nemen waarvan verwacht wordt dat het doelproces naar verwijst, en om verificatiemachine 120 van de referenties te notificeren. In één uitvoering kan geheugenmanager 114 verder aangepast zijn om onderlinge afhankelijkheden tus-5 sen doelproces 110 en een ander proces waarnaar virtueel verwezen wordt door doelproces 110 te bewaken, en/of oproep en terugkeerpunten te bewaken tussen doelproces 110 en het virtueel verwezen proces. De onderlinge afhankelijkheden en/of oproep en terugkeerpunten kunnen tevens 10 worden genotificeerd aan de verificatiemachine 120. Na het ontvangen van verificatie van het doelproces 110 van IMM 112 en het ontvangen van het integriteitsmanifest, kan de geheugenmanager 114 de actieve bladzijdetabellen 116 wijzigen gebaseerd op het statistische uitvoeringsprofiel van 15 doelproces 110 beschreven door het integriteitsmanifest. Bijvoorbeeld, voor elk virtueel adres waarvan verwacht wordt dat doelproces 110 naar verwijst, kan de geheugenmanager 114 de corresponderende actieve bladzijdetabelinvoer voor dat virtuele adres markeren als "niet aanwezig". De 20 processor van virtuele machine 104 verwerkende de instructies van doelproces 110 verwijzende naar het virtuele adres dat als niet aanwezig gemarkeerd is, kan een bladzi jdefout aan VMM 106 via een VMEXIT-instructie afgeven. De geheugenmanager 114 kan dan elke bladzi jdefout opmer-25 ken, en bepalen of het verwezen virtuele adres geassocieerd met de bladzi jdefout één van de virtuele adressen is gemarkeerd door de geheugenmanager 114 als niet aanwezig in de actieve bladzijdetabellen 116. Indien de bladzijdefout geassocieerd is met één van deze adressen, kan de ge-30 heugenmanager 114 de verificatiemachine 120 notificeren van de waargenomen virtuele adresreferentie. In één uitvoering kan de geheugenmanager 114 alleen de verificatie-machine 120 notificeren van de waargenomen virtuele adresreferenties in een match aan het eind van het uitvoeren 35 van doelproces 110. In andere uitvoeringen, in aanvulling op het notificeren van de verif icatiemachine 120 van de verwezen virtuele adressen, kan geheugenmanager 114 tevens 11 het type van toegang opmerken geassocieerd met elke referentie (dat is leestoegang, schrijftoegang, uitvoe- ringstoegang, toegang van een computerinrichting 102 register, enzovoort) en kan verder de verificatiemachine 120 5 van de type toegangen notificeren. In een andere, niet weergegeven, uitvoering kan geheugenmanager genestelde en uitgebreide bladzijdetabellen vormen en bijhouden in plaats van actieve bladzijdetabellen 116. Dergelijke genestelde en uitgebreide bladzijdetabellen kunnen niet au-10 tomatisch gesynchroniseerd worden met de gastbladzijdeta-bellen 108, maar kunnen coherent uitgevoerd worden met de gastbladzijdetabellen 108. In alle andere aspecten, zoals de introductie van bladzijdefouten zoals boven beschreven, kan geheugenmanager 114 werken op genestelde en uitgebrei-15 de bladzijdetabellen op dezelfde manier zoals boven beschreven onder verwijzing naar de actieve bladzijdetabellen 116.

Zoals weergegeven, kan VMM 106 actieve bladzijdeta-bellen 116 bevatten verschaffend gastfysiekadres aan host-20 fysiekadresafbeeldingen. Zoals boven beschreven kunnen de actieve bladzijdetabellen 116 door geheugenmanager 114 gevormd en bijgehouden worden. De actieve bladzijdetabellen 116 kunnen corresponderen met de gastbladzijdetabellen 108 en periodiek of continu met de gastbladzijdetabellen ge-25 sync-upt worden. In plaats van het gebruiken van de gastbladzi jdetabellen 108 voor adresvertaling, kan de processor van virtuele machine 104 in feite gebruik maken van de actieve bladzijdetabellen 116 voor het verkrijgen van fysieke geheugenlokatie van de geheugenbladzijde die de in-30 structies van het doelproces 110 proberen te bereiken. In enkele uitvoeringen, zoals weergegeven door figuur la, kan de geheugenmanager 114 één of meerdere invoeren van de actieve bladzijdetabellen 116 markeren als "niet aanwezig", veroorzakende dat de processor de invoeren gebruikt om een 35 bladzijdefout af te geven. Actieve bladzijdetabellen 116 zoals actieve bladzijdetabellen 116 zijn bekend in de 12 techniek, en zullen dienovereenkomstig niet verder beschreven worden.

In enkele uitvoeringen, zoals die weergegeven door figuur lb, kan VMM 106 verder een code-instrumentatie-5 machine 118 bevatten. De code-instrumentatiemachine 118 kan in staat zijn tot het waarnemen van virtuele adressen waarnaar door doelproces 110 verwezen wordt en tot het notificeren van verificatiemachine 120 van de referenties. Voorafgaand aan het uitvoeren van het doelproces 110, kan 10 code-instrumentatiemachine 118 de instructies van het doelproces 110 wijzigen wanneer deze in geheugen opgeslagen worden om te veroorzaken dat het doelproces 110 VM oproepen afgeeft aan de code-instrumentatiemachine 118 in plaats van of in aanvulling op het verwijzen naar een vir-15 tueel adres waarvan verwacht wordt dat het doelproces 110 naar verwijst. De wijzigingen kunnen bepaald worden gebaseerd ten minste gedeeltelijk op het boven beschreven in-tegriteitsmanifest dat een statistisch uitvoeringsprofiel van het doelproces 110 kan beschrijven, omvattende virtue-20 le adressen waarvan verwacht wordt dat het doelproces 110 naar verwijst. Voor elk adres kan de code-instrumentatiemachine 118 de instructie wijzigen die zou verwijzen naar het virtuele adres, waarbij dit wordt vervangen door of wordt gevoegd bij een instructie die, wan-25 neer uitgevoerd, een VM-oproep aan de code-instrumentatiemachine 118 kan maken. De code-instrumentatiemachine 118 kan dan de VM-oproepen invangen, een referentie opmerken van een virtueel adres voor elke VM-oproep voor het virtuele adres geassocieerd met de VM-30 oproep, en de verificatiemachine 120 notificeren van de referentie van het virtuele adres. In één uitvoering kan de code-instrumentatiemachine 118 alleen de verificatiemachine 120 notificeren van de waargenomen virtuele adresreferenties in een batch aan het eind van het uitvoeren van 35 doelproces 110. In andere uitvoeringen in aanvulling op het notificeren van de verificatiemachine 120 van de verwezen virtuele adressen, kan code-instrumentatiemachine 13 118 tevens het type toegang geassocieerd met elke referentie opmerken (dat is leestoegang, schrijftoegang, enzovoort) en kan verder de verificatiemachine 120 van de types toegangen notificeren. Tevens kan in verscheidene uit-5 voeringen de code-instrumentatiemachine 118 een kopie van de voorgewijzigde doelproces 110 instructies opslaan en, na ontvangst van een VM-oproep, directe wijziging van het doelproces 110 uitvoeren, dit herstellende tot zijn voor-wijzigingstoestand en ongewijzigde uitvoering van het 10 doelproces 110 emuleren. Code-instrumentatiemachine 118 kan dan de wijziging opnieuw invoeren in het doelproces in 110 geheugen, toestaand dat verdere referenties resulteren in verdere VM-oproepen.

Zoals getoond in zowel figuur la als lb, kan VMM 106 15 ook een verificatiemachine 120 omvatten aangepast voor het vergelijken van de waargenomen virtuele adresreferenties met de verwachte virtuele adresreferenties, statistiek genereren gebaseerd op de vergelijking, en ten minste één van de gegenereerde statistiek vergelijken met een drem-20 pelmeeteenheid. Zoals boven beschreven, kan de verificatiemachine 120 notificatie van de waargenomen virtuele adresreferenties ontvangen van geheugenmanager 114, in de serie van uitvoeringen (weergegeven door figuur la) of code-instrumentatiemachine 118 (in de serie van uitvoeringen 25 weergegeven door figuur lb).

In één uitvoering kan verificatiemachine 120 ook genotificeerd worden van de types toegangen van ten minste enkele van de waargenomen virtuele adresreferenties. Zoals ook boven beschreven is, kan verificatiemachine 120 tevens 30 het integriteitsmanifest ontvangen van IMM 112 beschrijvende het statistische uitvoeringsprofiel van doelproces 110, omvattende virtuele adressen waarvan verwacht wordt dat doelproces 110 naar verwijst en ook een frequentie waarmee doelproces 110 verwacht wordt naar één of meer van 35 de virtuele adressen te verwijzen. In één uitvoering kan het integriteitsmanifest tevens drempelmeeteenheden omvatten .

14

Na ontvangst van de waargenomen virtuele adresreferenties in het integriteitsmanifest kan verificatiemachine 120 de waargenomen referenties vergelijken met de verwachte referenties en een statistische maat genereren, zoals 5 een percentage, om de waargenomen uitvoering te beschrijven. In enkele uitvoeringen kan verificatiemachine 120 tevens een waargenomen frequentie of frequenties bepalen beschrijvende hoe vaak naar één of meer virtuele adressen verwezen werd, de berekende waargenomen frequentie verge-10 lijken met een verwachte frequentie, en een statistische maat opwekken, zoals een standaarddeviatie om de grootte van variatie van de verwachte frequentie te beschrijven.

In enkele uitvoeringen kan het integriteitsmanifest tevens een verwacht type van toegang bevatten, en kan ve-15 rificatiemachine 120 het waargenomen toegangstype vergelijken met een verwacht toegangstype, en kan statistische maten genereren, zoals die welke boven beschreven zijn, gebaseerd op de vergelijking. In één uitvoering kan het integriteitmanifest tevens verwachte onderlinge afhanke-20 lijkheden en/of oproep- en terugkeerpunten bevatten, zoals die welke boven beschreven zijn, en kan verificatiemachine 120 de waargenomen onderlinge afhankelijkheden en/of oproep- en terugkeerpunten vergelijken met verwachte onderlinge afhankelijkheden en/of oproep en terugkeerpunten, en 25 kan statistische maten genereren, zoals die welke boven beschreven zijn, gebaseerd op de vergelijking.

Na het genereren van statistische maten, kan verificatiemachine 120 de maten vergelijken met drempelmeeteen-heden. Drempelmeeteenheden kunnen bijvoorbeeld een waarde 30 representeren waaraan de maat moet voldoen. Indien de vergelijking resulteert in de conclusie dat de maat niet voldoet aan de drempelmeeteenheid, kan de verificatiemachine 120 bijvoorbeeld een administrateur van rekeninrichting 102 notificeren via een waarschuwing of elk ander geschikt 35 mechanisme dat in de techniek bekend is.

Figuur 2 toont een stroomschema-aanzicht van geselecteerde bewerkingen van de werkwijzen van verscheidene uit- 15 voeringen van de onderhavige uitvinding. Zoals weergegeven, kan een IMM van een VMM van een rekeninrichting de integriteit van een doelproces van een virtuele machine van de rekeninrichting verifiëren wanneer dit in geheugen 5 geladen wordt, blok 202. Bij het verifiëren van de integriteit van het doelproces, kan de IMM gebruikmaken van een integriteitsmanifest beschrijvende het proces zoals dit in geheugen geladen wordt, alsmede beschrijvende een statistisch uitvoeringsprofiel van het doelproces, omvat-10 tende virtuele adressen waarvan verwacht wordt dat het doelproces naar verwijst en frequenties waarmee verwacht wordt dat het doelproces naar virtuele adressen verwijst.

In enkele uitvoeringen, weergegeven door figuur la en boven beschreven, kan de IMM, na het verifiëren van het 15 doelproces, het integriteitsmanifest verschaffen aan een geheugenmanager en een verificatiemachine van de VMM. De geheugenmanager kan dan de actieve bladzijdetabellen van de VMM wijzigen, blok 204, waarbij virtuele adressen die opgesomd zijn door het integriteitsmanifest zoals verwacht 20 om naar verwezen te worden gemarkeerd worden als "niet aanwezig". De geheugenmanager kan vervolgens de uitvoering van het doelproces waarnemen, blok 206, door het invan-gen/markeren van bladzijdefouten, blok 208, afgegeven door de processor van de virtuele machine die de instructies 25 van het doelproces verwerkt. De processor kan fouten afgeven na het proberen om het verwezen virtuele adres te vertalen door gebruik te maken van de actieve bladzijdetabellen, daar de actieve bladzijdetabellen gewijzigd zijn door de geheugenmanager om het virtuele adres als "niet aanwe-30 zig" te markeren. Na het vangen/opmerken van een bladzij -defout, kan de geheugenmanager de waarneming van een virtuele adresreferentie opmerken en de verificatiemachine van de waargenomen referentie notificeren, blok 210.

In alternatieve uitvoeringen, weergegeven door figuur 35 lb en boven beschreven, kan de IMM, na het verifiëren van het doelproces, het integriteitsmanifest verschaffen aan een code-instrumentatiemachine en de verificatiemachine 16 van de VMM. De code-instrumentatiemachine kan dan de virtuele adressen waarvan verwacht wordt dat het doelproces naar verwijst opmerken, en kan de instructies omvattende het doelproces in geheugen wijzigen, blok 212, om te ver-5 oorzaken dat het doelproces VM-oproepen afgeeft aan de code-instrumentatiemachine na het bereiken van een instructie om te verwijzen naar één van de verwachte virtuele adressen. De code-instrumentatiemachine kan tevens de doelprocesinstructies in ongewijzigde vorm opslaan vooraf-10 gaand aan het wijzigen van het doelproces. Na het wijzigen van het doelproces kan de code-instrumentatiemachine het uitvoeren van het doelproces waarnemen, blok 214, waarbij VM-oproepen worden ingevangen ontvangen die gemaakt zijn door het doelproces in reactie op de wijzigingen, blok 15 216. Na het ontvangen van elke VM-oproep, kan de code- instrumentatiemachine looptijd directe wijziging van het doelproces uitvoeren, blok 218, waarbij de instructies hersteld worden tot hun voorgewijzigde toestand, aldus emulerende ongewijzigde uitvoering van het doelproces. Na 2 0 het vangen van een VM-oproep, kan de code-instrumentatiemachine een referentie naar het virtuele adres waarnemen, die geassocieerd is met de VM-oproep, en kan de verificatiemachine van de waarneming van een virtuele adresreferentie notificeren, blok 220.

25 Na ontvangst van de notificaties van virtuele adres- referentiewaarnemingen van ofwel de geheugenmanager of de code-instrumentatiemachine, kan de verificatiemachine de waargenomen referenties vergelijken met verwachte virtuele adresreferenties verkregen uit het integriteitsmanifest, 30 blok 222, en kan één of meer statistische maten genereren, zoals een percentage, voor het samenvatten van de waargenomen uitvoering. In één uitvoering kan de verificatiemachine tevens één of meer frequenties bepalen waarmee naar de waargenomen virtuele adressen verwezen werd, kan die 35 frequentie of frequenties vergelijken met verwachte frequenties verkregen uit het integriteitsmanifest, en kan één of meer statistische maten genereren, zoals een stan- 17 daarddeviatie. Na het genereren van de statistische maten kan de verificatiemachine de statistische maten vergelijken met drempelmeeteenheden, blok 224, om te bepalen of een administrateur van de rekeninrichting gewaarschuwd 5 dient te worden.

Figuur 3 toont een voorbeeld computersysteem geschikt voor gebruik voor het uitvoeren van verscheidene uitvoeringen van de onderhavige uitvinding. Zoals getoond bevat rekensysteem 300 een aantal processoren of processorkernen 10 302, en systeemgeheugen 304. Ten behoeve van deze aanvra ge, inclusief de conclusies kunnen de termen "processor" en "processorkernen" beschouwd worden als zijnde synoniem, tenzij de context duidelijk anders vereist. Additioneel bevat rekensysteem 300 massa-opslaginrichtingen 306 (zoals 15 diskette, harde schijf, compact-disk uitleesgeheugen (CD-ROM), enzovoorts), invoer/uitvoerinrichtingen 308 (zoals een toetsenbord, cursorbesturing, enzovoort) en communica-tie-interfaces 310 (zoals netwerkinterfacekaarten, modems, enzovoorts). De elementen zijn onderling gekoppeld via 20 systeembus 312, die één of meer bussen representeert. In het geval van meerdere bussen, worden deze overbrugd door één of meer busbruggen (niet weergegeven). In verscheidene uitvoeringen kunnen massa-opslaginrichtingen 306 verdeeld worden in meerdere partities voor gebruik door de virtuele 25 machines, waarbij elke virtuele machine uitsluitend gebruik kan maken van de toegewezen partitie.

Elk van deze elementen voert zijn conventionele functies uit zoals bekend in de techniek. In het bijzonder kunnen systeemgeheugen 304 en massa-opslag 306 gebruikt 30 worden om een werkkopie en een permanente kopie van de programmeerinstructies op te slaan implementerende alle of een geselecteerd aspect van de geheugenmanager, integri-teitsmeetmodule, code-instrumentatiemachine, verificatie-machine, enzovoorts, hier collectief aangeduid als 322. De 35 instructies kunnen gecompileerd worden uit assembler-instructies ondersteund door processor(en) 302 of talen van hoger niveau, zoals C.

18

De permanente kopie van de programmeerinstructies kan geplaatst worden in permanente opslag 306 in de fabriek, of in het veld, via bijvoorbeeld, een (niet weergegeven) distributiemedium, zoals een compact disk (CD) of via com-5 municatie-interface 310 (van een (niet weergegeven) dis-tributieserver).

De samenstelling van deze elementen 302-312 is bekend, en zal dienovereenkomstig niet verder beschreven worden.

10 Hoewel specifieke uitvoeringen hierin getoond en be schreven zijn, zal het voor diegenen met normale bekwaamheid in de techniek duidelijk zijn dat een grote verscheidenheid aan alternatieve en/of equivalente implementaties gesubstitueerd kan worden voor de specifieke uitvoeringen 15 die getoond en beschreven zijn, zonder af te wijken van de omvang van de uitvoeringen van de onderhavige uitvinding. Deze aanvrage is bedoeld om alle aanpassingen of variaties van de hierin beschreven uitvoeringen te dekken. Dientengevolge wordt uitdrukkelijk bedoeld dat de uitvoeringen 20 van de onderhavige uitvinding uitsluitend beperkt worden door de conclusies en de equivalenten daarvan.

1034451

Claims

1. Een werkwijze omvattende: het door een virtuele machinemanager van een fysieke inrichting waarnemen van het uitvoeren van een doelproces van een virtuele machine van de fysieke inrichting, omvat-5 tende virtuele adressen van de virtuele machine waarnaar gedurende het uitvoeren verwezen wordt; en het door de virtuele machinemanager bepalen of het doelproces wordt uitgevoerd op een verwachte manier gebaseerd ten minste gedeeltelijk op de waargenomen virtuele 10 adresreferenties en verwachte virtuele adresreferenties.

2. De werkwijze volgens conclusie 1, waarin de verwachte uitvoeringsmanier wordt weergegeven in een integri-teitsmanifest, waarbij het manifest virtuele adressen waarvan verwacht wordt dat het doelproces naar verwijst 15 omvat, en het bepalen het vergelijken van de waargenomen virtuele adresreferenties met de verwachte virtuele adresreferenties door de virtuele machinemanager omvat.

3. De werkwijze volgens conclusie 2, waarin het waarnemen wordt uitgevoerd door een geheugenmanager van de 20 virtuele machinemanager, en de werkwijze verder het wijzigen van actieve bladzijdetabellen van de virtuele machinemanager door de geheugenmanager omvat, zodat de referenties naar virtuele adressen voor verwerking door de geheugenmanager worden gevangen.

4. De werkwijze volgens conclusie 3, waarin het wij zigen, door de geheugenmanager, het wijzigen omvat van de actieve bladzijdetabellen van de virtuele machinemanager zodat de referenties naar virtuele adressen bladzijdefou-ten aan de geheugenmanager veroorzaken. 1034451

5. De werkwijze volgens conclusie 2, waarin het waarnemen wordt uitgevoerd door een geheugenmanager van de virtuele machinemanager, en de werkwijze verder het wijzigen, door de geheugenmanager, omvat van genestelde en uit- 5 gebreide bladzijdetabellen van de virtuele machinemanager, zodat de referenties naar virtuele adressen voor verwerking door de geheugenmanager worden gevangen.

6. De werkwijze volgens conclusie 2, waarin het waarnemen wordt uitgevoerd door een code-instrumentatiemachine 10 van de virtuele geheugenmanager, en de werkwijze verder het wijzigen van het doelproces door de code- instrumentatiemachine omvat, zodat de referenties naar de virtuele adressen voor verwerking door de code- instrumentatiemachine worden gevangen.

7. De werkwijze volgens conclusie 6, waarin het wij zigen het wijzigen omvat van het doelproces voor het oproepen van de code-instrumentatiemachine wanneer naar de virtuele adressen verwezen dient te worden, en de werkwijze verder omvat: 20 eerst, bij het vangen van een referentie, het opnieuw opslaan, door de code-instrumentatiemachine, van vervangen instructies van het doelproces om toe te staan dat een originele functie wordt uitgevoerd, als tweede, bij het vangen van een referentie, het 25 notificeren, door de code-instrumentatiemachine, van een verificatiemachine van het vangen, waarbij de verificatie-machine de referentie naar het virtuele adres opmerkt, en als derde, bij het uitvoeren, het opnieuw wijzigen, door de code-instrumentatiemachine, van de instructie voor 30 het mogelijk maken van toekomstige referentie naar het virtuele adres dat opnieuw gevangen dient te worden naar de code-instrumentatiemachine.

8. De werkwijze volgens conclusie 1, waarin de virtuele adressen geheugen-afgebeeld worden op een rekeninrich- 35 tingregister.

9. De werkwijze volgens conclusie 1, verder omvattende het additioneel waarnemen van een type van geheugentoe gang voor ten minste één van de waargenomen virtuele adresreferenties.

10. De werkwijze volgens conclusie 1, verder omvattende een verificatiemachine die referentiestatistiek van 5 verscheidene virtuele adressen vergelijkt met corresponderende drempelmeeteenheden.

11. De werkwijze volgens conclusie 1, waarin het doelproces een intrusiedetectieproces is.

12. De werkwijze volgens conclusie 1, waarin het 10 waarnemen verder het bewaken omvat van ten minste één van onderlinge afhankelijkheden en oproep- en terugkeerpunten van het doelproces en een ander proces waarnaar virtueel door het doelproces verwezen wordt.

13. Een fysieke inrichting omvattende: 15 één of meerdere processoren; en een virtuele machinemanager bediend door de één of meerdere processoren en aangepast om het uitvoeren van een doelproces van een virtuele machine van de fysieke inrichting waar te nemen, omvattende het waarnemen van virtuele 20 adressen van de virtuele machine waarnaar gedurende het uitvoeren verwezen wordt, en om te bepalen of het doelproces op een verwachte manier wordt uitgevoerd gebaseerd ten minste gedeeltelijk op de waargenomen virtuele adresreferenties en verwachte vir-25 tuele adresreferenties, waarbij de virtuele machinemanager een geheugenmanager bevat aangepast om het waarnemen uit te voeren, omvattende het wijzigen van actieve bladzijde-tabellen zodat referenties naar virtuele adressen voor verwerking door de geheugenmanager worden gevangen.

14. De fysieke inrichting volgens conclusie 13, waar in de virtuele machine en de virtuele machinemanager door dezelfde processor worden bediend.

15. De fysieke inrichting volgens conclusie 13, waarin de geheugenmanager aangepast is om de actieve bladzij -35 detabellen van de virtuele machinemanager te wijzigen zodat de referenties naar virtuele adressen bladzijdefouten aan de geheugenmanager veroorzaken.

16. De fysieke inrichting volgens conclusie 15, waarin de verwachte uitvoeringsmanier wordt gereflecteerd in een integriteitsmanifest, waarbij het manifest virtuele adressen bevat waarvan verwacht wordt dat het doelproces 5 naar verwijst, en de virtuele machinemanager verder een verificatiemachine bevat aangepast voor het uitvoeren van het bepalen door vergelijking van de waargenomen virtuele adresreferenties met de verwachte virtuele adresreferenties en voor het opwekken van referentiestatistiek geba-10 seerd op de vergelijking.

17. De fysieke inrichting volgens conclusie 16, waarin de virtuele machinemanager verder een integriteitsmana-gementsmodule bevat aangepast voor het verifiëren van de integriteit van het doelproces door gebruik te maken van 15 het integriteitsmanifest, waarin het integriteitsmanifest verder het doelproces beschrijft wanneer dit wordt geladen in geheugen van de fysieke inrichting.

18. De fysieke inrichting volgens conclusie 16, waarin de verificatiemachine verder aangepast is voor het ver- 20 gelijken van de referentiestatistiek van verscheidene virtuele adressen met corresponderende drempelmeeteenheden.

19. De fysieke inrichting volgens conclusie 13, waarin het doelproces een intrusiedetectieproces is.

20. Een voorwerp van vervaardiging omvattende: 25 een opslagmedium; en een veelvoud van programmeerinstructies ontworpen voor het programmeren van een fysieke inrichting voor het verschaffen van een virtuele machinemanager omvattende een code-instrumentatiemachine voor de fysieke inrichting, om 30 toe te staan dat de fysieke inrichting door gebruik te maken van de code-instrumentatiemachine een doelproces van een virtuele machine van de fysieke inrichting wijzigt, zodat de referenties naar virtuele adressen van de virtuele machine worden gevangen voor 35 verwerking door de code-instrumentatiemachine, door gebruik te maken van de code-instrumentatiemachine van de virtuele machinemanager van de fysieke inrichting het uitvoeren van het doelproces waar te nemen, omvattende virtuele adressen van de virtuele machine waarnaar gedurende het uitvoeren verwezen wordt, en 5 door de virtuele machinemanager te bepalen of het doelproces op een verwachte manier wordt uitgevoerd gebaseerd ten minste gedeeltelijk op de waargenomen virtuele adresreferenties en verwachte virtuele adresreferenties.

21. Het voorwerp volgens conclusie 20, waarin de ver-10 wachte uitvoeringsmanier wordt gereflecteerd in een integ- riteitsmanifest, waarbij het manifest virtuele adressen bevat waarvan verwacht wordt dat het doelproces naar verwijst, en de programmeerinstructies het verder mogelijk maken dat de fysieke inrichting het bepalen door de virtu-15 ele machinemanager uitvoert door vergelijking van de waargenomen virtuele adresreferenties met de verwachte virtuele adresreferenties.

22. Het voorwerp volgens conclusie 21, waarin het veelvoud van programmeerinstructies verder ontworpen is 20 voor het verschaffen van de virtuele machinemanager met een verificatiemachine, waardoor mogelijk wordt gemaakt dat de fysieke inrichting verder het bepalen door de veri-ficatiemachine uitvoert door vergelijking van referentie-statistiek van verscheidene virtuele adressen met corres-25 ponderende drempelmeeteenheden.

23. Het voorwerp volgens conclusie 20, waarin het veelvoud van programmeerinstructies verder ontworpen is voor het programmeren van de fysieke inrichting om het mogelijk te maken dat de fysieke inrichting het doelproces 30 wijzigt, door gebruik te maken van de code- instrumentatiemachine, zodat het doelproces de code-instrumentatiemachine oproept wanneer naar de virtuele adressen verwezen dient te worden, en het veelvoud van programmeerinstructies verder ont-35 worpen is voor het programmeren van de fysieke inrichting voor het mogelijk maken dat de fysieke inrichting het doelproces opnieuw opslaat na het vangen van een referen- tie, door gebruik te maken van de code-instrumentatie-machine, onder het vervangen van instructies van het doel-proces voor het mogelijk maken dat een originele functie uitgevoerd wordt, en voor het opnieuw wijzigen van het 5 proces na uitvoering, om opnieuw toekomstige referentie naar het te vangen virtuele adres naar de code-instrumentatie-machine mogelijk te maken.

24. Het voorwerp volgens conclusie 23, waarin de pro-grammeerinstructies verder aangepast zijn voor het ver- 10 schaffen van de virtuele machinemanager met een verifica-tiemachine, en voor het verschaffen van de code-instrumentatiemachine aangepast om de verificatiemachine te modificeren, na het vangen van een referentie, waarbij de verificatiemachine de referentie naar het virtuele 15 adres opmerkt.

25. Het voorwerp volgens conclusie 20, waarin het doelproces een intrusiedetectieproces is.

26. Een systeem omvattende: één of meerdere processoren; 20 vluchtig geheugen gekoppeld aan de één of meer pro cessoren, en in staat tot het opslaan van waargenomen virtuele adressen waarnaar verwezen wordt gedurende het uitvoeren van een doelproces van een virtuele machine van het systeem en verwachte virtuele adresreferenties voor verge-25 lijking; en een massa-opslag gekoppeld aan de één of meer processoren, en met daarin opgeslagen instructies implementerende een virtuele machinemanager bediend door één van de één of meer processoren en aangepast om: 30 door de virtuele machinemanager het uitvoeren van het doelproces waar te nemen, omvattende de virtuele adressen waarnaar gedurende het uitvoeren verwezen wordt; en te bepalen of het doelproces op een verwachte manier wordt uitgevoerd gebaseerd ten minste gedeeltelijk op de 35 waargenomen virtuele adresreferenties en verwachte virtuele adresreferenties.

27. Het systeem volgens conclusie 26, waarin de virtuele machinemanager verder een geheugenmanager bevat aangepast voor het uitvoeren van het waarnemen en het wijzigen van actieve bladzijdetabellen van de virtuele machine- 5 manager zodat de referenties naar virtuele adressen blad-zijdefouten naar de geheugenmanager veroorzaken.

28. Het systeem volgens conclusie 26, waarin de verwachte uitvoeringsmanier wordt gereflecteerd in een integ-riteitsmanifest, waarbij het manifest virtuele adressen 10 bevat waarvan verwacht wordt dat het doelproces naar verwijst en de virtuele machinemanager verder een verifica-tiemachine bevat aangepast voor het vergelijken van de waargenomen virtuele adresreferenties met de verwachte virtuele adresreferenties en voor het opwekken van de re-15 ferentiestatistiek gebaseerd op de vergelijking.

29. Het systeem volgens conclusie 28, waarin de virtuele machinemanager verder een integriteitsmanagementmo-dule bevat, waarbij de integriteitsmanagementsmodule aangepast is voor het verifiëren van de integriteit van het 20 doelproces door gebruik te maken van het integriteitsmani-fest, waarin het integriteitsmanifest verder het doelproces beschrijft wanneer dit in de massa-opslag wordt geladen .

30. Het systeem volgens conclusie 26, waarin het 25 doelproces een intrusiedetectieproces is. 1034451