[发明专利]用于容器文件完整性监视的系统和方法

权利要求书

1.一种用于监视主机计算设备中的多个容器的文件完整性的系统，所述主机计算设备包括处理器和存储计算机可执行代码的存储设备，其中当在所述处理器处执行时，所述计算机可执行代码配置为：

提供所述容器、所述容器外部的代理、以及为所述容器配置策略的策略文件；

由所述代理拦截对所述容器中的一个容器的第一系统调用，所述第一系统调用指示容器文件路径挂载到对应的主机文件路径；

由所述代理构建所述容器文件路径和所述主机文件路径之间的第一对应关系；

由所述代理拦截对所述容器中的所述一个容器的第二系统调用，所述第二系统调用指示打开所述策略文件，并且所述策略文件包含所述容器文件路径和与所述容器文件路径对应的违规；

由所述代理构建所述容器文件路径和所述违规之间的第二对应关系；

由所述代理聚合所述第一对应关系和所述第二对应关系以获取所述主机文件路径和所述容器的违规之间的第三对应关系；以及

由所述代理通过检测所述第三对应关系中主机文件路径的违规来监视所述容器的文件完整性。

2.根据权利要求1所述的系统，其中所述第一对应关系和所述第二对应关系中的每个利用所述容器的标识(cid)来标识，并且当所述第一对应关系和所述第二对应关系具有相同的cid时，将它们聚合。

3.根据权利要求2所述的系统，其中所述第一系统调用的cid是基于第一系统调用的进程标识(pid)来定义的，所述第二系统调用的cid是基于第二系统调用的pid来定义的。

4.根据权利要求3所述的系统，其中所述第一系统调用的pid和所述第二系统调用的pid中的至少一个与初始化所述容器的进程的pid相同。

5.根据权利要求3所述的系统，其中所述第一系统调用的pid和所述第二系统调用的pid中的至少一个是初始化所述容器的进程的pid的派生物。

6.根据权利要求3所述的系统，所述计算机可执行代码进一步配置为：构建进程标识和所述容器的标识之间的映射，使得进程的pid能够基于所述映射转换成进程的cid。

7.根据权利要求1所述的系统，所述计算机可执行代码进一步配置为：使用所述第三对应关系来更新所述策略文件，以及使用更新后的策略文件来监视所述容器的文件完整性。

8.根据权利要求1所述的系统，其中所述计算机可执行代码进一步配置为：在拦截所述第二系统调用之后以及构建所述第二对应关系之前，从所述策略文件中获取用于所述容器的策略。

9.一种用于监视主机计算设备中的多个容器的文件完整性的方法，所述方法包括：

在所述容器外部提供所述主机计算设备中的代理并提供为所述容器配置策略的策略文件；

由所述代理拦截对所述容器中的一个容器的第一系统调用，所述第一系统调用指示容器文件路径挂载到对应的主机文件路径；

由所述代理构建所述容器文件路径和所述主机文件路径之间的第一对应关系；

由所述代理拦截对所述容器中的所述一个容器的第二系统调用，所述第二系统调用指示打开所述策略文件，并且所述策略文件包含所述容器文件路径和与所述容器文件路径对应的违规；

由所述代理构建所述容器文件路径和所述违规之间的第二对应关系；

由所述代理聚合所述第一对应关系和所述第二对应关系以获取所述主机文件路径和所述容器的违规之间的第三对应关系；以及

由所述代理通过检测所述第三对应关系中主机文件路径的违规来监视所述容器的文件完整性。

10.根据权利要求9所述的方法，其中所述第一对应关系和所述第二对应关系中的每个利用所述容器的标识(cid)来标识，并且当所述第一对应关系和所述第二对应关系具有相同的cid时，将它们聚合。