[发明专利]检测对计算设备中的进程的软件攻击

权利要求书

1.一种用于检测对在计算设备上执行的进程的软件攻击的方法，包括：

监测由所述进程使用的多个虚拟存储器区域的结构性属性，其中，所监测的结构性属性包括：

所述多个虚拟存储器区域的地址空间布局；

所述多个虚拟存储器区域中包括的虚拟存储器区域的数量；或者

所述多个虚拟存储器区域中包括的虚拟存储器区域的大小；

将所监测的结构性属性与所述多个虚拟存储器区域的预期结构性属性进行比较；以及

基于所监测的结构性属性与所述预期结构性属性之间的所述比较来确定所监测的结构性属性是否表示所述进程的异常行为。

2.根据权利要求1所述的方法，还包括：

响应于确定所监测的结构性属性表示异常行为而发起保护性动作。

3.根据权利要求1所述的方法，其中，监测由所述进程使用的所述多个虚拟存储器区域的所述结构性属性还包括：

监测所述地址空间布局的改变；

监测所述多个虚拟存储器区域的访问权限的改变；或者

监测所述多个虚拟存储器区域的状态转换历史。

4.根据权利要求1所述的方法，其中，监测由所述进程使用的所述多个虚拟存储器区域的所述结构性属性包括：

存储关于所述进程正在其中执行的当前虚拟存储器区域的信息；

接收关于当前正由所述进程执行的指令的新信息；

基于所接收的新信息来确定是否有过从所述当前虚拟存储器区域的转换；以及

响应于确定有过从所述当前虚拟存储器区域的所述转换，记录从所述当前虚拟存储器区域到新的虚拟存储器区域的所述转换。

5.根据权利要求4所述的方法，其中，接收关于由所述进程当前正在执行的所述指令的所述新信息包括接收程序计数器值和进程标识符。

6.根据权利要求1所述的方法，其中，监测由所述进程使用的所述多个虚拟存储器区域的结构性属性包括：

存储关于所述进程正在其中执行的当前虚拟存储器区域的信息；

在所述多个虚拟存储器区域上实现一个或多个虚拟存储器区域跟踪策略；

基于所述一个或多个虚拟存储器区域跟踪策略，确定是否有过从所述当前虚拟存储器区域的转换；以及

响应于确定有过从所述当前虚拟存储器区域的所述转换，记录从所述当前虚拟存储器区域到新的虚拟存储器区域的转换。

7.根据权利要求6所述的方法，其中，在所述多个虚拟存储器区域上实现所述一个或多个虚拟存储器区域跟踪策略包括在所述多个虚拟存储器区域上实现选择性跟踪、定期跟踪、机会性跟踪、或者基于寻呼错误的跟踪。

8.根据权利要求1所述的方法，其中，将所述多个虚拟存储器区域的所监测的结构性属性与所述预期结构性属性进行比较包括：向所监测的结构性属性应用规则集合，其中，所述规则集合是基于所述多个虚拟存储器区域的所述预期结构性属性的。

9.根据权利要求1所述的方法，其中，将所述多个虚拟存储器区域的所监测的结构性属性与所述预期结构性属性进行比较包括：

对所述多个虚拟存储器区域的所述预期结构性属性建立模型以生成模型；并且

将所监测的结构性属性与所述模型进行比较。