[发明专利]虚拟机敏感文件的保护方法和装置

权利要求书

1.一种虚拟机敏感文件的保护方法，其特征在于，包括：

截获I/O操作指令，所述I/O操作指令中携带进行I/O操作的文件对应的磁盘数据块号；

根据所述对应的磁盘数据块号，判断进行I/O操作的文件是否为预设的敏感文件；

若确定所述进行I/O操作的文件是预设的只读敏感文件，则判断所述I/O操作是否为O操作；

若确定所述I/O操作为O操作，则禁止对所述进行I/O操作的文件的O操作；

若确定所述I/O操作为I操作，则允许对所述进行I/O操作的文件的I操作，并将所述I操作的文件缓存到内存中的内存页设置为只读内存页；

监测是否有以所述只读内存页为目标内存页的I/O操作或以所述只读内存页为目标内存页的除I/O操作外的写操作；

若监测到有以所述只读内存页为目标内存页的I/O操作，则判断对应I/O操作的文件是否为预设的另一只读敏感文件；

若所述对应I/O操作的文件不是预设的另一只读敏感文件，则解除对应只读内存页的只读限制；

其中，所述O操作是对虚拟磁盘文件的写入操作，所述O操作用于将内存缓存中的文件写入到虚拟磁盘中；

所述I操作是对虚拟磁盘文件的读取操作，所述I操作用于从虚拟磁盘中读取所需的文件。

2.根据权利要求1所述的方法，其特征在于，所述根据所述对应的磁盘数据块号，判断进行I/O操作的文件是否为预设的敏感文件之后，还包括：

若确定所述进行I/O操作的文件不是预设的只读敏感文件，则判断所述进行I/O操作的文件是否为预设的不可访问敏感文件；

若确定所述进行I/O操作的文件为预设的不可访问敏感文件，则禁止对所述进行I/O操作的文件的I/O操作。

3.根据权利要求2所述的方法，其特征在于，所述截获I/O操作指令，所述I/O操作指令中携带进行I/O操作的文件对应的磁盘数据块号之前，还包括：

根据文件保护等级，将所述预设的敏感文件设置为只读敏感文件和不可访问敏感文件；

将所述预设的只读敏感文件及所述预设的不可访问敏感文件的对应的磁盘数据块号分别进行存储。

4.根据权利要求1-3任一项所述的方法，其特征在于，所述监测是否有以所述只读内存页为目标内存页的I/O操作或除I/O操作外的写操作之后，还包括：

若监测到有以所述只读内存页为目标内存页的除I/O操作外的写操作，则查看对应的只读内存页的页面类型是否为缓存页；

若确定对应的只读内存页的页面类型不是缓存页，则解除对应只读内存页的只读限制。

5.一种虚拟机敏感文件的保护装置，其特征在于，包括：

截获模块，用于截获I/O操作指令，所述I/O操作指令中携带进行I/O操作的对象对应的磁盘数据块号；

判断模块，用于根据所述对应的磁盘数据块号，判断进行I/O操作的文件是否为预设的敏感文件；

所述判断模块，还用于若确定所述进行I/O操作的文件是预设的只读敏感文件，则判断所述I/O操作是否为O操作；

禁止操作模块，用于若确定所述I/O操作为O操作，则禁止对所述进行I/O操作的文件的O操作；

允许操作模块，用于若确定所述I/O操作为I操作，则允许对所述进行I/O操作的文件的I操作，并将所述I操作的文件缓存到内存中的内存页设置为只读内存页；

监测模块，用于监测是否有以所述只读内存页为目标内存页的I/O操作或以所述只读内存页为目标内存页的除I/O操作外的写操作；

所述判断模块还用于若监测到有以所述只读内存页为目标内存页的I/O操作，则判断对应I/O操作的文件是否为预设的另一只读敏感文件；

解除限制模块，用于若所述对应I/O操作的文件不是预设的另一只读敏感文件，则解除对应只读内存页的只读限制；

其中，所述O操作是对虚拟磁盘文件的写入操作，所述O操作用于将内存缓存中的文件写入到虚拟磁盘中；

所述I操作是对虚拟磁盘文件的读取操作，所述I操作用于从虚拟磁盘中读取所需的文件。