[发明专利]一种虚拟机文件完整性监控方法及系统

权利要求书

1.一种虚拟机文件完整性监控方法，其特征在于，包括如下步骤：

捕获组件捕获虚拟机系统进程调用文件操作相关的系统调用，通过虚拟机自省来获取虚拟机内部语义信息，捕获组件将捕获的信息传递给分析处理组件；

分析处理组件接收传递过来的虚拟机文件操作信息，同时读取策略库中文件操作监控策略，进行分析来发现非法文件操作，如果发现有非法文件操作向响应处理组件发送警告信息；

响应处理组件接收到警告信息，阻止非法文件操作并将非法操作信息写入日志库。

2.根据权利要求1所述的一种虚拟机文件完整性监控方法，其特征在于，系统进程调用文件操作的过程包括如下步骤：

系统进程执行对文件操作时，调用接口函数；

接口函数通过系统调用指令调用内核层的系统调用服务程序；

当用户层程序切换进入内核层，操作系统内核读取参数信息，根据参数信息在系统调用表中进行索引，读取系统调用表项中存储的文件操作相关系统调用处理程序地址，进行跳转并执行；

执行完毕通过系统调用返回指令返回执行结果并恢复进程上下文，继续执行用户空间进程。

3.根据权利要求2所述的一种虚拟机文件完整性监控方法，其特征在于，步骤接口函数通过系统调用陷入指令调用内核层的系统调用服务程序还包括：接口函数通过系统调用指令调用内核层的系统调用服务程序并利用寄存器传递参数信息，所述参数信息包括系统调用号。

4.根据权利要求1或3所述的一种虚拟机文件完整性监控方法，其特征在于，分析处理组件接收传递过来的虚拟机文件操作信息，同时读取策略库中文件操作监控策略，进行分析，具体包括：

分析处理组件根据监控策略对接收到的虚拟机文件操作信息进行关联性分析提取特征信息与策略库中文件操作监控策略进行匹配，并将特征信息保存到策略库中。

5.根据权利要求4所述的一种虚拟机文件完整性监控方法，其特征在于，策略库存储虚拟机敏感文件监控策略，提供管理和配置接口，实现实时动态的配置文件访问监控策略。

6.一种虚拟机文件完整性监控系统，其特征在于，包括宿主机，所述宿主机包括虚拟机和虚拟机监视器，在宿主机加入监控模块，所述监控模块与虚拟机隔离；

所述监控模块包括捕获组件、分析处理组件、策略库、响应处理组件和日志库；

捕获组件捕获虚拟机进程调用文件操作相关的系统调用，通过虚拟机自省来获取虚拟机内部语义信息，捕获组件将捕获的信息传递给分析处理组件；

分析处理组件接收传递过来的虚拟机文件操作信息，同时读取策略库中文件操作监控策略，进行分析来发现非法文件操作，若发现有非法文件操作向响应处理组件发送警告信息；

响应处理组件接收到警告信息，阻止非法文件操作并将非法操作信息写入日志库。

7.根据权利要求6所述的一种虚拟机文件完整性监控系统，其特征在于，所述分析处理组件根据监控策略对接收到的虚拟机文件操作信息进行关联性分析提取特征信息与策略库中文件操作监控策略进行匹配，并将特征信息保存到策略库中。

8.根据权利要求7所述的一种虚拟机文件完整性监控系统，其特征在于，策略库存储虚拟机敏感文件监控策略，提供管理和配置接口，实现实时动态的配置文件访问监控策略。

9.根据权利要求8所述的一种虚拟机文件完整性监控系统，其特征在于，策略库保存在数据库或者文件中，完成监控配置后立即生效，无须重启虚拟机。

10.根据权利要求7或9所述的一种虚拟机文件完整性监控系统，其特征在于，日志库存储虚拟机敏感文件的非法操作，同时提供接口和离线分析功能。