[发明专利]基于轻量虚拟机监控器的沙盒系统及用其监控OS的方法

摘要

本发明公开了一种基于轻量虚拟机监控器的沙盒系统以及用该沙盒系统来监控OS的方法。本发明沙盒系统包括虚拟化管理模块、沙盒策略模块、虚拟机通信模块和轻量虚拟化沙盒模块，如附图1所示。本发明的沙盒系统可以在按照用户的保护需求动态加载一个为沙盒安全目的设计的轻量虚拟机沙盒。该轻量虚拟机沙盒将操作系统迁移到轻量虚拟机沙盒内，并监控、拦截目标进程的系统调用，将目标进程对文件系统的可疑操作重定向到沙盒保护路径下。本发明的沙盒系统具有对操作系统透明、代码少、虚拟化开销小等优点。

主权项

一种基于轻量虚拟机监控器的沙盒系统，包括支持硬件虚拟化或支持硬件虚拟化技术的处理器，其特征在于，它还包括：虚拟化管理模块、沙盒安全策略模块、虚拟机通信模块和轻量虚拟化沙盒模块；所述的虚拟化管理模块用于动态载入所述轻量虚拟化沙盒模块，和/或用于动态卸载所述轻量虚拟化沙盒模块；所述的沙盒安全策略模块包含配置文件，该配置文件定义了沙盒系统的安全策略，并且它由可疑进程列表、重定向保护路径和重定向文件路径信息三部分组成；所述的虚拟机通信模块能够将所述沙盒安全策略模块中包含的配置文件中的安全策略传递给所述的轻量虚拟化沙盒模块；所述的轻量虚拟化沙盒模块是指为了完成监控和拦截相应的目标进程及系统调用功能的特定轻量虚拟机监控器，它不具备有虚拟化资源设备和创建多个虚拟机的能力；它包括监控拦截模块和保护实施模块；所述的监控拦截模块通过所述的虚拟机通信模块获取配置文件中的可疑进程列表，然后，对可疑进程列表的目标进程和系统调用进行监控；所述的保护实施模块接收监控拦截模块拦截的系统调用，获取目标进程打开文件的全路径名称，从全路径中获取文件名，将其读写操作重定向到所述配置文件设定的保护路径下的同名文件中，并将匹配信息写入所述的重定向路径信息文件中；所述的虚拟化管理模块、沙盒安全策略模块和虚拟机通信模块驻留在用户操作系统中，随着操作系统启动加载到操作系统中；所述轻量虚拟化沙盒模块由用户的动态载入而载入或动态卸载而卸载。