[发明专利]系统管理存储器一致性检测

说明书

在一个示例中，系统包括固件控制器以发起系统的SM执行模式。固件控制器针对过程池标签扫描存储器。固件控制器将过程池标签与操作系统过程池标签集合进行比较，并检测过程池标签和操作系统过程池标签集合之间的一致性差异。固件控制器退出系统的SM执行模式。

背景技术

固件控制器为引导操作系统提供支持。在将系统控制移交给操作系统之前，固件控制器提供硬件和低级别驱动程序初始化。

附图说明

图1图示了根据示例的利用系统管理存储器一致性检测的系统；

图2是根据示例的用于系统管理存储器一致性检测的存储器分配的框图；

图3是图示根据本公开的示例的利用系统管理存储器一致性检测的方法的流程图；和

图4是图示根据示例的在计算设备处用于支持系统管理存储器一致性检测的方法的图解。

具体实施方式

在计算机系统中，已经开发了恶意软件注入技术来模仿或屏蔽操作系统内的资源以避免检测。恶意软件可以采取非恶意应用以及对操作系统隐藏资源的形式。恶意软件应用可能对操作系统隐藏其对应的过程池信息，由此对主机操作系统以及依赖于操作系统的防病毒应用隐藏它们自己。本文中公开了一种用于系统管理存储器一致性检测的系统。

本文中描述的示例提供了一种检测系统管理存储器一致性的方法。在一个示例中，系统可以包括SM存储器段、操作系统存储器段和固件控制器。固件控制器可以被配置为进入SM执行模式。在SM执行模式期间，固件控制器可以从操作系统存储器段检索过程池标签集合。固件控制器可以将所述过程池标签集合与存储在SM存储器段中的第二过程池标签集合进行比较。固件控制器可以基于比较来检测一致性差异，并生成系统中断。然后，固件控制器退出SM执行模式。

图1图示了根据示例的利用系统管理存储器一致性检测的系统100。系统100可以包括固件控制器102、存储器104、SM存储器段106和操作系统（OS）存储器段108。系统100可以在计算设备内部实现，该计算设备包括但不限于膝上型个人计算机、台式个人计算机、服务器或移动手持设备。固件控制器102可以包括用于系统100硬件的设置和配置的UEFI实现。固件控制器102可以通信地耦合到通信信道（未示出）以对接存储器104。此外，固件控制器102可以通信地耦合到CPU。固件控制器102可以包括执行编程指令的逻辑，以支持比较器运算符以及存储器访问读取和写入。固件控制器102可以包括系统管理中断（SMI）处理程序。SMI处理程序是当操作系统实例化SMI时执行的例程。SMI处理程序可以包括用于扫描OS存储器段108和定位过程池标签的逻辑。过程池标签可能跨操作系统变化，然而，标签中的信息允许解释它所对应的过程的位置和类型。过程池标签可以允许解释存储器中对应于过程的数据结构。过程池标签可以被映射到操作系统内的特定驱动程序文件，以标识该驱动程序的存储器活动（例如，分配、释放等）。操作系统可以提供特定过程池标签到相应驱动程序文件的映射。过程池标签可以对应于但不限于包括过程、线程、互斥体、驱动程序对象和内核模块的操作系统构造。

存储器104支持固件控制器102和CPU（未示出）二者。当操作系统正在执行时，存储器104为固件控制器102以及CPU提供对存储装置的随机访问。存储器104可以包括但不限于任何形式的动态随机存取存储器（RAM），包括同步动态随机存取存储器（SDRAM）和高带宽存储器（HBM）。在个人计算机实现中，存储器104可以是双列直插式存储器模块（DIMM）。存储器104可以支持对固件控制器102的读取和写入访问。

SM存储器段106可以是存储器104中的保留存储器段。在系统100引导期间，固件控制器102可以为SM执行模式分配一段存储器。SM存储器段106可以包括一个或多个保留的可寻址存储器，以支持CPU的上下文切换。此外，固件控制器102可以保留SM存储器段106的一部分，以用于检测操作系统存储器一致性。