[发明专利]一种内核模块的交互行为监控方案

摘要

本发明涉及一种内核模块的交互行为监控方案，利用硬件虚拟化技术的VM Func机制，可以在不陷入虚拟机监控器VMM的情况下完成VMM层EPT页表的切换，减少了陷入到VMM之中的次数；将监控程序放在Guest OS内的地址空间内，使得监控时不必再陷入到VMM之中；去除VMM不必要的虚拟化功能，让Guest OS直接与硬件交互，从而减少不必要的性能开销。本方法减少了系统运行时陷入到VMM中的次数，提升了内核模块的隔离性能，可提高内核的安全性。

主权项

一种内核模块的交互行为监控方案，其特征在于：一种内核模块交互行为的监控系统，组件包括内核模块隔离器，内核交互监控模块，内核模块接口。本方案的关键操作如下：1)内核模块隔离器的初始化：在操作系统启动时，进行虚拟化环境的配置工作；2)内核函数的提取与改写：对于拟监控的内核模块，提取内核模块用到的内核函数，并进行改写，以便内核交互监控模块对其交互行为即内核函数的调用进行监控；3)监控模块的设置：监控模块用于对整个系统实施监控，首先分配监控模块运行时所需的数据空间，然后根据提取到调用的内核函数，按照页对齐的方式生成监控模块的两个逻辑部分，即检测程序和内核模块接口；4)内核和监控模块保护的设置：内核模块加载时，会触发加载过程中设置的内核钩子，内核钩子首先会获取内核空间的地址布局，然后会调用内核模块隔离器提供的内核接口完成两套EPT页表的设置，对监控模块和内核进行保护，实现隔离；5)内核模块交互行为的监控：由于经过了改写，内核拓展模块与内核进行交互时，内核交互监控模块将进行监控。