RU107620U1 - SYSTEM FOR MONITORING PROGRAM PROGRESS - Google Patents
SYSTEM FOR MONITORING PROGRAM PROGRESS Download PDFInfo
- Publication number
- RU107620U1 RU107620U1 RU2011113989/08U RU2011113989U RU107620U1 RU 107620 U1 RU107620 U1 RU 107620U1 RU 2011113989/08 U RU2011113989/08 U RU 2011113989/08U RU 2011113989 U RU2011113989 U RU 2011113989U RU 107620 U1 RU107620 U1 RU 107620U1
- Authority
- RU
- Russia
- Prior art keywords
- input
- addresses
- processor
- bus
- output
- Prior art date
Links
Landscapes
- Storage Device Security (AREA)
- Debugging And Monitoring (AREA)
Abstract
1. Система для контроля хода выполнения программ, содержащая процессор, первый вход-выход которого соединен с входом-выходом системной шины компьютера, и оперативное запоминающее устройство, вход-выход которого соединен со вторым входом-выходом процессора, отличающаяся тем, что введены блок памяти адресов точек возврата, первый вход которого соединен с первым выходом процессора шиной загрузки адресов точек возврата, а второй вход соединен со вторым выходом процессора шиной подачи команд входа и выхода из процедур, и блок сравнения адресов, первый вход которого соединен с выходом блока памяти адресов точек возврата шиной чтения адресов точек возврата, второй вход соединен с шиной процессора адресов записи в оперативную память, а выход соединен с входом процессора для сигнализации о нарушении целостности точки возврата. ! 2. Система по п.1, отличающаяся тем, что процессором через шину загрузки адресов точек возврата по команде Call, поступающей по шине подачи команд входа и выхода из процедур, в блок памяти адресов точек возврата заносится адрес точки возврата, при выполнении текущей процедуры адреса, формируемые для записи в оперативное запоминающее устройство, проступают в блок сравнения адресов из процессора по шине подачи текущих адресов записи информации и сравниваются с адресами точек возврата, занесенными в блок памяти адресов точек возврата, и при совпадении адресов из блока сравнения адресов по шине подачи сигнала запрета записи в точку возврата в процессор подается сигнал прерывания текущей операции записи и перехода на выполнение процедуры антивирусной защиты, а по команде Ret, поступающей по шине 1. A system for monitoring the progress of programs, comprising a processor, the first input-output of which is connected to the input-output of the computer system bus, and a random access memory device, the input-output of which is connected to the second input-output of the processor, characterized in that a memory unit is introduced return point addresses, the first input of which is connected to the first output of the processor by the load bus of addresses of the return points, and the second input is connected to the second output of the processor by the bus of command input and output from the procedures, and the address comparison unit a first input coupled to an output of the memory address bus cusps read addresses of return points, the second input is connected to the processor address bus write into memory, and an output coupled to an input processor for signaling the violation of the integrity of the cusps. ! 2. The system according to claim 1, characterized in that the processor through the download bus addresses of the return points by the Call command received on the bus for supplying commands to enter and exit the procedures, the address of the return points is entered into the memory block of the addresses of the return points, when the current address procedure is performed , formed for writing to the random access memory, appear in the block comparing addresses from the processor via the bus for supplying current addresses of information recording and are compared with the addresses of the return points entered in the memory block of the addresses of the return points, and when ADEN address of the block address comparing bus signal supply prohibition to record a return point to the processor interrupt signal supplied current recording operation and the transition to execution of anti-virus protection procedure, and for Ret command received through the bus
Description
Полезная модель относится к области антивирусной защиты в системах передачи и обработки данных и может быть использована для выявления вирусов в процессе контроля хода выполнения программ.The utility model relates to the field of anti-virus protection in data transmission and processing systems and can be used to detect viruses in the process of monitoring program execution.
Известно устройство, предотвращающий распространение компонентов вредоносного программного обеспечения, расположенное между персональным компьютером и накопителем информации, содержащий минимум два интерфейса, один из которых подключают к системной шине компьютера, а другой подключают к носителю информации, являющийся при этом прозрачным фильтром, обеспечивающим передачу данных между интерфейсами, фильтрация упомянутых данных осуществляется центральным процессором антивируса, который использует оперативное запоминающее устройство, при этом основная работа антивируса заключается в фильтрации поступающих данных с носителя информации, и если в них обнаружен компонент вредоносного программного обеспечения, то данные блокируют, иначе данные передают на интерфейс, который подключен к системной шине [RU 92217, U1, G06N 99/00, 10.03.2010].A device is known that prevents the spread of malware components located between a personal computer and an information storage device, containing at least two interfaces, one of which is connected to the computer’s system bus, and the other is connected to the storage medium, which is a transparent filter that ensures data transfer between interfaces , the filtering of the mentioned data is carried out by the central antivirus processor, which uses random access memory yours, while the main work of the antivirus is to filter incoming data from the storage medium, and if a malware component is detected in them, then the data is blocked, otherwise the data is transferred to the interface that is connected to the system bus [RU 92217, U1, G06N 99 / 00, 03/10/2010].
Недостатком устройства является относительно узкие функциональные возможности, поскольку способ обнаружения вирусов, реализуемый устройством, предполагает обнаружение только известных вирусов, сигнатуры которых имеются в памяти устройства. Кроме того нет возможности осуществлять фильтрацию выходного потока в упакованных форматах (типа архивов).The disadvantage of the device is its relatively narrow functionality, since the method of detecting viruses implemented by the device involves the detection of only known viruses whose signatures are in the device’s memory. In addition, there is no way to filter the output stream in packaged formats (such as archives).
Наиболее близким по технической сущности к предложенному, является устройство, расположенное между персональным компьютером и накопителем информации, содержащее минимум два интерфейса, один из которых подключают к системной шине компьютера, а другой подключают к носителю информации, являющимся, при этом, прозрачным фильтром, обеспечивающим передачу данных между интерфейсами, фильтрация упомянутых данных осуществляется центральным процессором антивируса, который использует оперативное запоминающее устройство, причем, основная работа антивируса заключается в фильтрации поступающих данных, и если в них не обнаружен компонент вредоносного программного обеспечения, то данные записывают на носитель информации, если же в данных обнаружен компонент вредоносного программного обеспечения, то данные не записывают [RU 85249, U1, G06N 1/00, 27.07.2009].The closest in technical essence to the proposed one, is a device located between a personal computer and an information storage device, containing at least two interfaces, one of which is connected to the computer system bus, and the other is connected to the storage medium, which is, at the same time, a transparent filter that ensures transmission data between interfaces, the filtering of the data is carried out by the central processor of the antivirus, which uses random access memory, moreover, the main work and the antivirus consists in filtering the incoming data, and if no malware component is detected in them, then the data is recorded on the storage medium, if the malware component is found in the data, then the data is not recorded [RU 85249, U1, G06N 1/00 July 27, 2009].
Недостатком наиболее близкого технического решения является относительно узкие функциональные возможности, поскольку способ обнаружения вирусов, реализуемый устройством, предполагает обнаружение только известных вирусов, сигнатуры которых имеются в памяти устройства. Кроме того нет возможности осуществлять фильтрацию входного потока в упакованных форматах (типа архивов).The disadvantage of the closest technical solution is the relatively narrow functionality, since the method of detecting viruses implemented by the device involves the detection of only known viruses whose signatures are in the device’s memory. In addition, there is no way to filter the input stream in packaged formats (such as archives).
Требуемый технический результат заключается в расширении функциональных возможностей.The required technical result is to expand the functionality.
Требуемый технический результат достигается тем, что в устройство, содержащее процессор, первый вход-выход которого соединен с входом-выходом системной шины компьютера, и оперативное запоминающее устройство, вход-выход которого соединен со вторым входом-выходом процессора, введены блок памяти адресов точек возврата, первый вход которого соединен с первым выходом процессора шиной загрузки адресов точек возврата, а второй вход - соединен со вторым выходом процессора шиной подачи команд входа и выхода из процедур, и блок сравнения адресов, первый вход которого соединен с выходом блока памяти адресов точек возврата шиной чтения адресов точек возврата, второй вход соединен с шиной процессора адресов записи в оперативную память, а выход - соединен с входом процессора для сигнализации о нарушении целостности точки возврата.The required technical result is achieved in that in the device containing the processor, the first input-output of which is connected to the input-output of the computer system bus, and the random access memory, the input-output of which is connected to the second input-output of the processor, a memory block of addresses of the return points the first input of which is connected to the first output of the processor by a bus for loading addresses of return points, and the second input is connected to the second output of the processor by a bus of command input and output from procedures, and the address comparison unit, the first input of which is connected to the output of the memory unit of the address of the return points by a bus for reading the addresses of the return points, the second input is connected to the bus of the processor of the write addresses in the main memory, and the output is connected to the input of the processor to signal a violation of the integrity of the return point.
Требуемый технический результат достигается тем, что, в предложенной системе процессором через шину загрузки адресов точек возврата по команде Call, поступающей по шине подачи команд входа и выхода из процедур, в блок памяти адресов точек возврата заносится адрес точки возврата, при выполнении текущей процедуры адреса, формируемые для записи в оперативное запоминающее устройство, проступают в блок сравнения адресов из процессора по шине подачи текущих адресов записи информации и сравниваются с адресами точек возврата, занесенными в блок памяти адресов точек возврата и при совпадении адресов из блока сравнения адресов по шине подачи сигнала запрета записи в точку возврата в процессор подается сигнал прерывания текущей операции записи и перехода на выполнение процедуры антивирусной защиты, а по команде Ret, поступающей по шине подачи команд входа и выхода из процедур в блок памяти адресов точек возврата, адрес текущей точки возврата исключатся из блока памяти адресов точек возврата.The required technical result is achieved by the fact that, in the proposed system, the processor through the bus for loading the addresses of the return points by the Call command received on the bus for supplying commands to enter and exit the procedures, the address of the point of return is entered into the memory block of the addresses of the return points, when the current address procedure is executed, formed for writing to random access memory, appear in the block comparing addresses from the processor via the bus for supplying current addresses of information recording and are compared with the addresses of the return points entered in the block the memory of the addresses of the return points and if the addresses from the address comparison block match the write prohibition signal supply bus, the processor receives an interrupt signal for the current write operation and the transition to the anti-virus protection procedure, and by the Ret command received via the input and output command bus from procedures to the block of addresses of return points, the address of the current point of return is excluded from the block of memory of addresses of points of return.
Кроме того, требуемый технический результат достигается тем, что, система может быть реализована аппаратно в виде специализированного вычислительного устройства в составе блока сравнения адресов и блока памяти адресов точек возврата, которые размещаются в процессоре, реализующем соответствующие связи между блоком сравнения адресов, блоком памяти адресов точек возврата, оперативным запоминающим устройством и системной шиной компьютера.In addition, the required technical result is achieved in that the system can be implemented in hardware in the form of a specialized computing device as part of the address comparison unit and the address memory unit of the return point addresses, which are located in a processor that implements the appropriate connections between the address comparison unit, the point address memory unit return, random access memory and system bus of the computer.
Кроме того, требуемый технический результат достигается тем, что, система может быть реализована виртуально путем эмуляции процессором.In addition, the required technical result is achieved in that the system can be implemented virtually by emulation by the processor.
На чертеже представлена функциональная схема системы для контроля хода выполнения программ.The drawing shows a functional diagram of a system for monitoring the progress of programs.
Система для контроля хода выполнения программ содержит процессор 1, первый вход-выход которого соединен с входом-выходом системной шины 2 компьютера, и оперативное запоминающее устройство 3, вход-выход которого соединен со вторым входом-выходом процессора 1.The system for monitoring the progress of programs includes a processor 1, the first input-output of which is connected to the input-output of the system bus 2 of the computer, and random access memory 3, the input-output of which is connected to the second input-output of the processor 1.
Кроме того, система для контроля хода выполнения программ содержит блок 4 памяти адресов точек возврата, первый вход которого соединен с первым выходом процессора 1 шиной 5 загрузки адресов точек возврата, а второй вход - соединен со вторым выходом процессора 1 шиной 6 подачи команд входа и выхода из процедур, и блок 7 сравнения адресов, первый вход которого соединен с выходом блока 4 памяти адресов точек возврата шиной 8 чтения адресов точек возврата, второй вход соединен с шиной процессора 1 адресов записи в оперативную память, а выход - соединен с входом процессора 1 для сигнализации о нарушении целостности точки возврата.In addition, the system for monitoring the progress of programs contains a block 4 memory addresses of the return points, the first input of which is connected to the first output of the processor 1 bus 5 load addresses of the return points, and the second input is connected to the second output of the processor 1 bus 6 of the input and output commands from the procedures, and an address comparison unit 7, the first input of which is connected to the output of the return point address block 4 by the bus 8 of reading the return point addresses, the second input is connected to the processor bus 1 of the write addresses in the main memory, and the output is the connection n 1 to the input of the processor to signal the breakage point of return.
Работает система для контроля хода выполнения программ следующим образом.The system operates to monitor the progress of programs as follows.
Расширение функциональных возможностей обеспечивается путем использования следующей технологии.Enhanced functionality is provided by using the following technology.
Программные компоненты большинства антивирусных программ работают на том же самом уровне, что и сами вирусы, не имея перед ними приоритета. Следовательно, для повышения эффективности антивирусной защиты аппаратура контроля должна инициировать программные модули на уровне, недоступном для любых пользовательских программ, включая даже для тех, которые работают на уровне ядра операционной системы.The software components of most anti-virus programs operate at the same level as the viruses themselves, without priority over them. Therefore, to increase the effectiveness of anti-virus protection, the control equipment should initiate software modules at a level inaccessible to any user programs, including even those that operate at the kernel level of the operating system.
В предложенной системе реализуется следующая технология.The proposed system implements the following technology.
Известно, что вход в процедуры осуществляется машинной командой Call, при этом, точка возврата (адрес следующей команды) сохраняется в стеке вызовов процессора компьютера.It is known that procedures are entered by the Call machine command, and the return point (address of the next command) is stored in the call stack of the computer processor.
Выход из процедуры осуществляется командой Ret, которая читает из стека вызовов адрес возврата и передает на него управление процессором. Вирусы могут затирать адрес возврата в стеке вызовов и подставляют вместо него собственный.The procedure is exited by the Ret command, which reads the return address from the call stack and transfers processor control to it. Viruses can overwrite the return address in the call stack and substitute their own instead.
Таким образом, характерным признаком вирусной атаки является запись в ячейку памяти, хранящую точку возврата, информации до выполнения команды Ret.Thus, a characteristic sign of a virus attack is the recording in the memory cell that stores the return point of information before executing the Ret command.
В предложенной системе процессором 1 через шину 5 загрузки адресов точек возврата по команде Call, поступающей по шине 6 подачи команд входа и выхода из процедур, в блок 4 памяти адресов точек возврата заносится адрес точки возврата.In the proposed system, the processor 1 through the bus 5 downloads the addresses of the return points by the Call command received on the bus 6 of the command input and output from the procedures, the address of the return point is entered into the memory unit 4 of the address memory of the return points.
При выполнении текущей процедуры адреса, формируемые в оперативном запоминающем устройстве 3, проступают в блок 7 сравнения адресов из процессора 1 и сравниваются с адресами точек возврата, занесенными в блок 4 памяти адресов точек возврата и при совпадении адресов из блока 7 сравнения адресов в процессор 1 подается команда запрета записи, а по команде Ret, поступающей по шине 6 подачи команд входа и выхода из процедур в блок 4 памяти адресов точек возврата, адрес текущей точки возврата исключается из блока 4 памяти адресов точек возврата.When performing the current procedure, the addresses generated in the random access memory 3 appear in block 7 comparing the addresses from processor 1 and are compared with the addresses of the return points stored in block 4 of the memory of the addresses of the points of return, and when the addresses from the block 7 comparing the addresses are sent to the processor 1 write inhibit command, and by the Ret command received on the bus 6 of the input and exit commands to the block 4 of the address memory of the return points, the address of the current return point is deleted from the block 4 of the memory of the address of the return points.
Система может быть реализована аппаратно в виде специализированного вычислительного устройства в составе блока 7 сравнения адресов и блока 4 памяти адресов точек возврата, которые размещаются в процессоре 1, реализующего соответствующие связи между блоком 7 сравнения адресов, блоком 4 памяти адресов точек возврата, оперативного запоминающего устройства 3 и системной шиной 2 компьютера.The system can be implemented in hardware in the form of a specialized computing device as part of an address comparison unit 7 and return point address memory unit 4, which are located in a processor 1 that implements the appropriate communications between address comparison unit 7, address point return memory unit 4, random access memory 3 and system bus 2 computers.
Таким образом, благодаря усовершенствованию известного устройства, достигается требуемый технический результат, заключающийся в расширении функциональных возможностей, поскольку в предложенной системе реализуется метод контроля поведения процессора во время выполнения программ, который исключает возможность внедрения вирусов, использующих метод переполнения буферов данных, размещаемых в стеке. На базе реализованного метода в системе обеспечивается возможность детектировать неизвестные вирусы, использующие неизвестные уязвимости (0day уязвимости), а также известные вирусы, использующие методы самомодификации, и вирусы, размещаемые в упакованных контейнерах.Thus, due to the improvement of the known device, the required technical result is achieved by expanding the functionality, since the proposed system implements a method for monitoring the behavior of the processor during program execution, which eliminates the possibility of introducing viruses using the method of overflowing data buffers placed on the stack. Based on the implemented method, the system provides the ability to detect unknown viruses that use unknown vulnerabilities (0day vulnerabilities), as well as known viruses that use self-modification methods, and viruses placed in packaged containers.
Claims (4)
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| RU2011113989/08U RU107620U1 (en) | 2011-04-12 | 2011-04-12 | SYSTEM FOR MONITORING PROGRAM PROGRESS |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| RU2011113989/08U RU107620U1 (en) | 2011-04-12 | 2011-04-12 | SYSTEM FOR MONITORING PROGRAM PROGRESS |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| RU107620U1 true RU107620U1 (en) | 2011-08-20 |
Family
ID=44756127
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| RU2011113989/08U RU107620U1 (en) | 2011-04-12 | 2011-04-12 | SYSTEM FOR MONITORING PROGRAM PROGRESS |
Country Status (1)
| Country | Link |
|---|---|
| RU (1) | RU107620U1 (en) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2013154459A1 (en) * | 2012-04-11 | 2013-10-17 | Открытое Акционерное Общество "Информационные Технологии И Коммуникационные Системы" | Method for detecting malware in an operating system kernel |
-
2011
- 2011-04-12 RU RU2011113989/08U patent/RU107620U1/en not_active IP Right Cessation
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2013154459A1 (en) * | 2012-04-11 | 2013-10-17 | Открытое Акционерное Общество "Информационные Технологии И Коммуникационные Системы" | Method for detecting malware in an operating system kernel |
| US9177149B2 (en) | 2012-04-11 | 2015-11-03 | Joint Stock Company “InfoTeCS” | Method of detecting malware in an operating system kernel |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US9507939B1 (en) | Systems and methods for batch processing of samples using a bare-metal computer security appliance | |
| US8990934B2 (en) | Automated protection against computer exploits | |
| JP6326103B2 (en) | System and method for detecting malicious executable files that have an interpreter by combining emulators | |
| JP6129897B2 (en) | Method and system for realizing identification of header field attribute indicating malware by computer | |
| US10083300B2 (en) | Segregating executable files exhibiting network activity | |
| CN105723348B (en) | Unauthorized memory modification and access are detected using transactional memory | |
| KR101759008B1 (en) | Profiling code execution | |
| US7845008B2 (en) | Virus scanner for journaling file system | |
| US9111089B1 (en) | Systems and methods for safely executing programs | |
| Qi et al. | ForenVisor: A tool for acquiring and preserving reliable data in cloud live forensics | |
| US8943596B2 (en) | System and method for improving the efficiency of application emulation acceleration | |
| KR101701014B1 (en) | Reporting malicious activity to an operating system | |
| JP2012212391A (en) | System, method and program for protection against unauthorized access | |
| WO2018125948A1 (en) | Detecting execution of modified executable code | |
| US8683448B2 (en) | Protecting integrity of breakpoints in a software debugger | |
| US10275595B2 (en) | System and method for characterizing malware | |
| US11126721B2 (en) | Methods, systems and apparatus to detect polymorphic malware | |
| RU107619U1 (en) | SYSTEM FOR MONITORING PROGRAM PROGRESS | |
| CN111428240B (en) | Method and device for detecting illegal access of memory of software | |
| RU107620U1 (en) | SYSTEM FOR MONITORING PROGRAM PROGRESS | |
| US20200242255A1 (en) | Systems and methods for monitoring attacks to devices | |
| EP2720170B1 (en) | Automated protection against computer exploits | |
| US10572671B2 (en) | Checking method, checking system and checking device for processor security | |
| RU107621U1 (en) | SYSTEM FOR MONITORING PROGRAM PROGRESS | |
| CN104331352A (en) | Out-of-band reading detection method and out-of-band reading detection device for cache consistency chip address |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| MM1K | Utility model has become invalid (non-payment of fees) |
Effective date: 20130413 |