[发明专利]一种实现操作系统完整性保护的方法和装置

说明书

一种实现操作系统完整性保护的方法和装置，包括：可信控制核心模块获取被保护的操作系统和/或虚拟机监控模块中被监控操作行为的一个或一个以上度量参数对应的度量值，将获得的所有度量参数的度量值发送给可信度量模块；可信度量模块从可信基准库模块中获取所有度量参数的基准度量值，判断出一个或一个以上度量参数的度量值与对应的基准度量不相同，向可信控制核心模块发送表示阻止被监控操作行为的信息；可信控制核心模块阻止被监控操作行为和/或记录被监控操作行为；其中，可信控制核心模块设置在虚拟机监控模块中，虚拟机监控模块、可信度量模块、可信基准库模块设置在被保护的操作系统的外部。

技术领域

本文涉及但不限于信息技术领域，尤指一种实现操作系统完整性保护的方法和装置。

背景技术

随着可信计算技术的不断深入和发展，在多个方面都取到一定的突破性进展。在安全保护范围方面从操作系统启动时对操作系统的初始状态的可信确认发展到操作系统运行时对操作系统的可信确认。操作系统运行时对操作系统的完整性保护是保障操作系统运行时可信的关键技术，利用该技术可以识别非法篡改或注入代码等行为，从而保障操作系统运行时安全可信。

国际商业机器公司(IBM，International Business Machines Corporation)首先开发的完整性度量架构(IMA，Integrity Measurement Architecture)/政策减少完整性测量体系结构(PRIMA，Policy Reduced Integrity Measurement Architecture)完整性检查机制，在现有Linux内核中新增IMA模块，通过IMA模块结合Linux系统对例如文件读、文件写、文件映射等等的调用来构造完整性检查功能。

相关技术对被保护的操作系统的完整性检查的所有功能模块都寄生于被保护的操作系统中，即在被保护的操作系统的内核中实现，当被保护的操作系统存在安全漏洞并被攻击时，对被保护的操作系统的完整性检查的功能模块可能被劫持并失效，导致无法保证检查结果的正确性。

发明内容

本发明实施例提出了一种实现操作系统完整性保护的方法和装置，能够提高检查结果的正确性。

本发明实施例提出了一种实现操作系统完整性保护的方法，包括：

可信控制核心模块获取被保护的操作系统和/或虚拟机监控模块中被监控操作行为的一个或一个以上度量参数对应的度量值，将获得的所有度量参数的度量值发送给可信度量模块；

可信度量模块从可信基准库模块中获取所有度量参数的基准度量值，判断出一个或一个以上度量参数的度量值与对应的基准度量不相同，向可信控制核心模块发送表示阻止被监控操作行为的信息；

可信控制核心模块阻止被监控操作行为和/或记录被监控操作行为；

其中，可信控制核心模块设置在虚拟机监控模块中，虚拟机监控模块、可信度量模块、可信基准库模块设置在被保护的操作系统的外部。

可选的，所述将获得的所有度量参数的度量值发送给可信度量模块包括：

所述可信控制核心模块将所述所有度量参数的度量值发送给可信基模块；所述可信基模块将所述所有度量参数的度量值发送给所述可信度量模块；

所述可信度量模块从可信基准库模块中获取所有度量参数的基准度量值包括：

所述可信度量模块向所述可信基模块发送表示获取所有度量参数的基准度量值的信息；所述可信基模块向所述可信基准库模块发送所述表示获取所有度量参数的基准度量值的信息；所述可信基准库模块在预先设置的度量参数和基准度量值之间的对应关系中，查找每一个度量参数对应的基准度量值，将查找到的所有度量参数的基准度量值发送给可信基模块；所述可信基模块将所述所有度量参数的基准度量值发送给可信度量模块；