[发明专利]管理设备驱动器跨环访问

权利要求书

1.一种用于管理在计算设备上的设备驱动器的跨环存储器访问的计算设备，所述计算设备包括：

安全模块，用于（i）将与所述设备驱动器相关联的存储器页表配置为禁用所述设备驱动器的跨环存储器访问，以及（ii）在配置相关联的存储器页表之后截获所述设备驱动器的试图的跨环存储器访问；以及

恶意软件分析模块，用于响应于截获所述试图的跨环存储器访问而分析所述设备驱动器和所述试图的跨环存储器访问，以判定所述设备驱动器是否是恶意的，

其中，所述安全模块还用于（i）响应于所述恶意软件分析模块判定所述设备驱动器是恶意的而拒绝所述试图的跨环存储器访问，或（i）响应于所述恶意软件分析模块判定所述设备驱动器不是恶意的，而更新与所述设备驱动器相关联的存储器页表，以允许所述试图的跨环存储器访问。

2.如权利要求1所述的计算设备，其中，所述恶意软件分析模块包括用于以下的恶意软件分析模块：

匹配所述设备驱动器与存储于本地安全数据库中的参考设备驱动器；以及

将所述参考设备驱动器的驱动器指纹与所述设备驱动器进行比较。

3.如权利要求2所述的计算设备，其中，所述恶意软件分析模块包括用于将所述驱动器指纹的地址与所述试图的跨环存储器访问所源自的所述设备驱动器的地址进行比较的恶意软件分析模块。

4.如权利要求3所述的计算设备，其中，所述恶意软件分析模块包括用于将预先定义的位屏蔽与和所述设备驱动器相关联的存储器页表进行比较的恶意软件分析模块。

5.如权利要求1所述的计算设备，其中，所述恶意软件分析模块包括用于以下的恶意软件分析模块：

判定所述设备驱动器是否与存储于本地安全数据库中的参考设备驱动器匹配；以及

响应于所述设备驱动器与存储于所述本地安全数据库中的任意参考驱动器不匹配，而产生用于所述设备驱动器的驱动器指纹。

6.如权利要求1所述的计算设备，其中，所述恶意软件分析模块包括用于以下的恶意软件分析模块：

判定所述设备驱动器是否与存储于所述本地安全数据库中的参考设备驱动器匹配；以及

响应于所述设备驱动器与存储于所述本地安全数据库中的任意参考设备驱动器不匹配，而更新与所述设备驱动器相关联的存储器页表以允许所述试图的跨环存储器访问。

7.如权利要求1所述的计算设备，其中，所述恶意软件分析模块包括用于以下的恶意软件分析模块：将所述试图的跨环存储器访问的目的地址与先前跨环存储器访问到所述目的地址的启发数据进行比较。

8.一种用于管理在计算设备上的设备驱动器的跨环存储器访问的方法，所述方法包括：

在所述计算设备上，将与所述设备驱动器相关联的存储器页表配置为禁用所述设备驱动器的跨环存储器访问；

在配置相关联的存储器页表之后，截获所述设备驱动器的试图的跨环存储器访问；

响应于截获所述试图的跨环存储器访问而分析所述设备驱动器和所述试图的跨环存储器访问，以判定所述设备驱动器是否是恶意的；

响应于判定所述设备驱动器是恶意的而拒绝所述试图的跨环存储器访问；以及

响应于判定所述设备驱动器不是恶意的，而更新与所述设备驱动器相关联的存储器页表，以允许所述试图的跨环存储器访问。

9.如权利要求8所述的方法，其中，分析所述设备驱动器包括：

匹配所述设备驱动器与存储于本地安全数据库中的参考设备驱动器；以及

将所述参考设备驱动器的驱动器指纹与所述设备驱动器进行比较。

10.如权利要求9所述的方法，其中，比较所述驱动器指纹包括：将所述驱动器指纹的地址与所述试图的跨环存储器访问所源自的所述设备驱动器的地址进行比较。

11.如权利要求9所述的方法，其中，比较所述驱动器指纹包括：将预先定义的位屏蔽与和所述设备驱动器相关联的存储器页表进行比较。

12.如权利要求10所述的方法，其中，分析所述设备驱动器包括：

判定所述设备驱动器是否与存储于本地安全数据库中的参考设备驱动器匹配；以及

响应于所述设备驱动器与存储于所述本地安全数据库中的任意参考设备驱动器不匹配，而更新与所述设备驱动器相关联的存储器页表以允许所述试图的跨环存储器访问。