[发明专利]保护操作系统资源

权利要求书

1.一种保护操作系统资源的方法，所述方法包括：

通过虚拟机监控器提供至少一个第一分区和一个第二分区；

在不可由在操作系统特权模式中操作的实体访问的存储器中接收标识运行在 虚拟机监控器提供的第一分区中的操作系统的一组一个或多个资源的强制实施策 略；

利用所述强制实施策略从不可由在操作系统特权模式(126)中操作的实体访 问的存储器中标识(704)所述运行在虚拟机监控器提供的第一分区中的操作系统 (114)的那组一个或多个资源(120)；

从所述存储器中确定(706)所述那组一个或多个资源(120)中的一个或多 个是否已被更改；以及

响应于确定所述那组一个或多个资源(120)中的一个或多个已被更改：(i) 终止所述操作系统或者(ii)在重新引导时将非法操作通知给所述操作系统，

其中接收所述强制实施策略、标识一组一个或多个资源、以及确定所述那组 一个或多个资源中的一个或多个是否已被更改发生在(i)虚拟机监控器下或者(ii) 由所述虚拟机提供的第二分区内。

2.如权利要求1所述的方法，其特征在于，还包括向所述操作系统(114)展 示应用程序编程接口(API)并经由所述API来接收对所述那组一个或多个资源 (120)中的一个或多个的标识。

3.如权利要求1所述的方法，其特征在于，所述那组一个或多个资源(120) 包括系统服务分派表(SSDT)、中断分派表(IDT)或全局描述符表(GDT)。

4.一种保护操作系统资源的方法，包括：

更改(802)虚拟机监控程序的侦听管理器(146)以便有效地允许接收与 操作系统资源(120)相关联的存储器页或寄存器已被更改的指示，所述操作系统 资源位于由所述虚拟机监控程序提供的分区内；

在所述虚拟机监控程序处接收(804)标识所述操作系统资源(120)以及 一个或多个其他操作系统资源(120)的强制实施策略；

由所述虚拟机监控程序的侦听管理器接收(806)所述与操作系统资源(120) 相关联的存储器页或寄存器已被更改的指示；以及

响应于接收到所述指示来关闭(808)操作系统特权模式(126)以便有效 地关闭与所述操作系统资源(120)相关联的操作系统(114)。

5.如权利要求4所述的方法，其特征在于，所述操作系统资源(120)是在所 述存储器页处的中断分派表(IDT)并且所述与操作系统资源(120)相关联的寄 存器是IDT寄存器。

6.如权利要求4所述的方法，其特征在于，所述操作系统资源(120)是系统 服务分派表(SSDT)或全局描述符表(GDT)。

7.如权利要求4所述的方法，其特征在于，所述操作系统特权模式(126)的 关闭(808)由虚拟机监控程序(108)执行。

8.如权利要求4所述的方法，其特征在于，所述强制实施策略还描述与所标 识的操作系统资源(120)中的每一个相关联的保护属性，所述保护属性中的至少 一个将对应资源(120)描述为只读。

9.如权利要求8所述的方法，其特征在于，还包括针对与将所述资源描述为 只读的保护属性相关联的资源(120)强制实施不变性。

10.一种保护系统资源的方法，所述方法包括：

将计算设备虚拟化为至少第一和第二虚拟机分区，其中与操作系统特权模式 相关联的操作系统驻留在第一分区，而一个或多个计算机可读介质驻留在第二分区 内；

标识被设计成在操作系统特权模式中操作的一个或多个操作系统资源并确定 所述一个或多个操作系统资源中的一个或多个是否已被更改，其中所述一个或多个 计算机可读介质不易受到来自于所述操作系统特权模式中的攻击；以及

响应于确定所述一个或多个操作系统资源中的一个或多个已被更改，在第一 虚拟机分区下关闭与所述操作系统特权模式相关联的操作系统。