[发明专利]用于基于虚拟机监视器的反恶意软件安全的系统和方法

权利要求书

1.一种用于针对恶意软件保护电子设备的系统，包括：

硬件处理器；

存储器，其与所述存储器通信耦合；

操作系统，用于在所述操作系统中加载和卸载驱动程序；

捕获代理，包含由所述处理器执行的所述存储器中的指令，并且用于捕获对所述操作系统的一个或多个资源的意图的访问，所述意图的访问包括在所述操作系统中意图的对驱动程序的加载或卸载，其中所述意图的访问是通过捕获包含用于系统功能的代码的存储器页面的执行来捕获的，所述系统功能用来加载或卸载所述驱动程序；和

已触发事件应对程序，包含由所述处理器执行的所述存储器中的指令；其中

所述捕获代理还用于将关于被捕获的尝试的信息发送给所述已触发事件应对程序，所述被捕获的尝试包括对驱动程序的加载或卸载；

所述已触发事件应对程序用于：

根据所述信息，访问一个或多个安全规则；

参照所述安全规则，评估意图的对驱动程序的加载或卸载；以及

将评价发送给所述捕获代理；并且

所述捕获代理还用于：

当所述评价包括意图的对驱动程序的加载或卸载为恶意的指示时，采取矫正动作；以及

当所述评价包括所述意图的对驱动程序的加载或卸载为安全时，允许所述意图的对驱动程序的加载或卸载；并且

所述捕获代理和所述已触发事件应对程序还用于以低于访问所述一个或多个资源的所述电子设备的所有操作系统的级别执行，包括在所述系统的存储器上运行但不使用操作系统。

2.如权利要求1所述的系统，其特征在于，所述捕获代理还用于捕获系统功能的用于加载或卸载所述驱动程序的子功能的意图的执行。

3.如权利要求1所述的系统，其特征在于，参照所述安全规则来评估意图的对驱动程序的加载或卸载包括：确定和评估将要加载的所述驱动程序的身份。

4.如权利要求1所述的系统，其特征在于，参照所述安全规则来评估意图的对驱动程序的加载或卸载包括：确定和评估尝试加载或卸载所述驱动程序的实体。

5.一种用于针对恶意软件保护电子设备的系统，包括：

硬件处理器；

存储器，其与所述存储器通信耦合；

操作系统，用于在所述操作系统中加载和卸载驱动程序；

捕获代理，包含由所述处理器执行的所述存储器中的指令，并且用于捕获对所述操作系统的一个或多个资源的意图的访问，所述意图的访问包括在所述操作系统中意图的对驱动程序的加载或卸载，其中所述意图的访问是通过捕获包含用于系统功能的代码的物理存储器地址的执行来捕获的，所述系统功能用来加载或卸载所述驱动程序；和

已触发事件应对程序，包含由所述处理器执行的所述存储器中的指令；其中

所述捕获代理还用于将关于被捕获的尝试的信息发送给所述已触发事件应对程序，所述被捕获的尝试包括对驱动程序的加载或卸载；

所述已触发事件应对程序用于：

根据所述信息，访问一个或多个安全规则；

参照所述安全规则，评估意图的对驱动程序的加载或卸载；以及

将评价发送给所述捕获代理；并且

所述捕获代理还用于：

当所述评价包括意图的对驱动程序的加载或卸载为恶意的指示时，采取矫正动作；以及

当所述评价包括所述意图的对驱动程序的加载或卸载为安全时，允许所述意图的对驱动程序的加载或卸载；并且

所述捕获代理和所述已触发事件应对程序还用于在低于所述电子设备的所有操作系统的级别执行，包括访问所述系统的存储器但不使用操作系统。

6.如权利要求5所述的系统，其特征在于，所述捕获代理还用于捕获系统功能的用于加载或卸载所述驱动程序的子功能的意图的执行，所述系统功能是由所述操作系统提供的。

7.如权利要求5所述的系统，其特征在于，参照所述安全规则来评估意图的对驱动程序的加载或卸载包括：确定和评估将要加载的所述驱动程序的身份。