[发明专利]经由多层文件系统状态检测文件系统修改的系统和方法

权利要求书

1.一种方法，包括：

由一个或多个处理器输出文件的文件状态；

由所述一个或多个处理器基于所述文件的所述文件状态确定多层文件系统中的能够找到与所述文件相对应的一个或多个对象的一个或多个层；

由所述一个或多个处理器基于找到与所述文件相对应的所述一个或多个对象的所述一个或多个层来检测对所述多层文件系统的潜在威胁；以及

响应于所述潜在威胁而采取动作。

2.根据权利要求1所述的方法，进一步包括：

确定在所述多层文件系统的上层中的可修改镜像中找到的与所述文件相对应的对象包含对在所述多层文件系统的下层中的基础镜像中找到的与所述文件相对应的对象的修改，

其中检测所述潜在威胁进一步基于确定在所述可修改镜像中找到的与所述文件相对应的所述对象包含对在所述基础镜像中找到的与所述文件相对应的所述对象的修改。

3.根据权利要求1所述的方法，进一步包括：

确定在所述多层文件系统的下层中的基础镜像中没有找到与所述文件相对应的所述一个或多个对象，

其中检测所述潜在威胁进一步基于确定在所述基础镜像中没有找到与所述文件相对应的所述一个或多个对象。

4.根据权利要求3所述的方法，进一步包括：

创建所述基础镜像，

其中检测所述潜在威胁进一步基于确定所述文件状态指示所述文件在所述基础镜像之后被创建。

5.根据权利要求3所述的方法，进一步包括：

在所述多层文件系统的上层中构造一个或多个可修改镜像，使得所述一个或多个可修改镜像包含在应用的运行时期间对所述基础镜像做出的修改，

其中检测所述潜在威胁进一步基于确定所述文件状态指示所述文件在所述应用的运行时期间被创建。

6.根据权利要求3所述的方法，进一步包括：

在所述多层文件系统的上层中构造一个或多个可修改镜像，使得所述一个或多个可修改镜像包含在运行应用的容器的实例期间对所述基础镜像做出的修改，

其中检测所述潜在威胁进一步基于确定所述文件状态指示所述文件在所述容器的所述实例期间被创建。

7.根据权利要求1所述的方法，进一步包括：

确定所述文件是否是可执行二进制文件，

其中检测所述潜在威胁进一步基于确定所述文件是可执行二进制文件。

8.根据权利要求1所述的方法，进一步包括：

确定所述文件是否是库文件，

其中检测所述潜在威胁进一步基于确定所述文件是库文件。

9.根据权利要求1所述的方法，进一步包括：

确定所述文件是否是脚本，

其中检测所述潜在威胁进一步基于确定所述文件是脚本。

10.根据权利要求1所述的方法，进一步包括：

确定涉及所述文件的进程是否使得处理资源的使用率满足阈值，

其中检测所述潜在威胁进一步基于确定所述处理资源的使用率满足所述阈值。

11.根据权利要求1所述的方法，进一步包括：

确定所述文件是否存储在硬盘中，

其中检测所述潜在威胁进一步基于所述文件未被存储在硬盘中。

12.根据权利要求1所述的方法，响应于所述潜在威胁而采取动作包括基于所述潜在威胁生成通知，以及

将所述通知输出到用户界面。