[发明专利]一种虚拟机恶意行为检测方法和系统

摘要

本发明公开了一种虚拟机恶意行为检测方法和系统。所述方法包括监视目标虚拟机内进程的创建和退出事件，维护一个记录目标虚拟机内实际运行进程的可信进程列表，通过遍历记录有目标虚拟机中的进程信息的相关数据结构，获得记录目标虚拟机内的进程的不可信进程列表，通过比较可信进程列表和不可信进程列表，判断目标虚拟机中的隐藏进程；截获进出目标虚拟机的数据包，确定目标虚拟机中的当前活动的网络连接及其所属的进程在目标虚拟机的外部重构所述当前活动的网络连接及其所属进程的相关信息通过分析重构的所述相关信息确定目标虚拟机中的寄生进程。本发明的技术方案，能够全面检测虚拟机中的隐藏进程和寄生进程。

主权项

一种虚拟机恶意行为检测方法，其中，该方法包括：监视目标虚拟机内进程的创建和退出事件，维护一个记录所述目标虚拟机内实际运行进程的可信进程列表；通过遍历记录有目标虚拟机中的进程信息的相关数据结构，获得记录目标虚拟机内的进程的一个或多个不可信进程列表；通过比较可信进程列表和不可信进程列表，判断出目标虚拟机中的隐藏进程；截获进出目标虚拟机的数据包，根据所截获的数据包，确定目标虚拟机中的当前活动的网络连接及其所属的进程；在目标虚拟机的外部重构所述当前活动的网络连接及其所属进程的相关信息；通过分析重构的所述相关信息确定目标虚拟机中的寄生进程。