[发明专利]基于微内核操作系统的安全监控方法、装置、设备及芯片

权利要求书

1.一种基于微内核操作系统的安全监控方法，其特征在于，所述方法在微内核操作系统架构上通过增加安全监控系统实现，所述安全监控系统的功能作为用户空间服务程序实现；所述方法包括：

响应于用户空间的执行对象对微内核操作系统中的系统调用接口的调用请求，在内核空间将所述调用请求对应的系统调用事件类型与预先配置的审计配置信息进行匹配；其中，通过在用户空间启动一个或多个检测线程检测用户空间的执行对象对微内核操作系统中的系统调用接口的调用请求；

在所述系统调用事件类型与所述审计配置信息相匹配时，将所述系统调用接口进入内核空间运行时的入口审计信息记录在所述执行对象的审计上下文结构中，并将所述系统调用接口退出时的出口审计信息也记录在所述执行对象的审计上下文结构中；

在退出所述系统调用接口时将所述审计上下文结构中的入口审计信息和出口审计信息从所述内核空间输出至用户空间的审计缓冲区；其中，所述系统调用接口退出时，由一个或多个信息输出线程将所述审计上下文结构中的入口审计信息和出口审计信息输出至用户空间的审计缓冲区中；

其中，所述用户空间的审计缓冲区采用双缓冲区模式；在审计缓冲区的双缓冲模式下，当前写审计信息的第一审计缓冲区写满后，调换第一审计缓冲区和第二审计缓冲区的地址，使得内核态的审计输出线程写审计信息的缓冲区指针从用户空间的所述第一审计缓冲区的地址切换至指向第二审计缓冲区的地址，而审计读取线程读取审计信息的缓冲区指针指向所述第一审计缓冲区的地址。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在所述调用请求对应的系统调用事件类型与所述审计配置信息不相匹配时，将所述系统调用接口在内核空间执行过程中所产生的第一内核态日志信息写入用户空间的日志缓冲区中。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

将用户空间产生的用户态日志信息写入所述日志缓冲区中；和/或，

将内核空间产生的第二内核态日志信息写入所述日志缓冲区中；其中，所述第二内核态日志信息为非系统调用接口在内核空间产生的日志信息。

4.根据权利要求2所述的方法，其特征在于，所述方法还包括：

在用户空间读取所述日志缓冲区中的日志信息；

调用文件系统接口将所述日志缓冲区中的所述日志信息输出至控制台或日志文件中。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

获取用户空间产生的用户空间审计信息；

将所述用户空间审计信息与所述审计配置信息进行匹配；

在所述用户空间审计信息与所述审计配置信息相匹配时，将所述用户空间审计信息写入所述审计缓冲区中。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：

接收用户在用户空间通过预设接口输入的用户配置信息；

基于所述用户配置信息更新在用户空间存储的所述审计配置信息。

7.根据权利要求4所述的方法，其特征在于，所述方法还包括：

接收用户在用户空间对日志文件的查看请求；

基于所述查看请求向用户输出所述日志文件。

8.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在用户空间读取所述审计缓冲区中的审计信息；

调用文件系统接口将所述审计缓冲区中的所述审计信息输出至审计文件中。

9.根据权利要求8所述的方法，其特征在于，所述方法还包括：

接收用户在用户空间对所述审计文件的查看请求；

基于所述审计文件中的审计信息向用户输出审计报告。