[发明专利]基于虚拟机架构的恶意行为跟踪系统和方法

摘要

本发明公开了一种基于虚拟机架构的恶意行为跟踪方法，包括：接收污点数据，将污点数据存储于客户操作系统的虚拟内存中，并在实际内存中分配一块内存区域存储该污点信息，在Xen中将客户操作系统内存中污点数据所处地方的对应影子页表处内存状态修改为不存在，修改虚拟机控制结构域，并且客户操作系统陷入虚拟机管理器层执行，对操作系统状态进行语义翻译，以获取高级语义信息，并将高级语义信息记录在污点数据结构中，跟踪客户操作系统的指令流的单步执行以及污点数据的传播过程，根据污点数据的传播过程生成传播图，对传播图进行检测，以判断是否存在有分支。本发明可实时准确地检测虚拟化平台上的操作系统内的恶意行为。

主权项

一种基于虚拟机架构的恶意行为跟踪方法，其特征在于，包括：(1)接收污点数据，将污点数据存储于客户操作系统的虚拟内存中，并在实际内存中分配一块内存区域存储该污点信息；(2)在Xen中将客户操作系统内存中污点数据所处地方的对应影子页表处内存状态修改为不存在；(3)客户操作系统进入处理污点数据的状态，修改虚拟机控制结构域，并且客户操作系统陷入虚拟机管理器层执行；(4)对操作系统状态进行语义翻译，以获取高级语义信息，并将高级语义信息记录在污点数据结构中；(5)跟踪客户操作系统的指令流的单步执行以及污点数据的传播过程；(6)根据污点数据的传播过程生成传播图；(7)对传播图进行检测，以判断是否存在有分支，若存在有分支，则说明有恶意行为发生，并进入步骤(8)，否则说明没有恶意行为发生，并进入步骤(10)；(8)将传播图中分支处的进程信息通知给用户；(9)返回步骤(8)，直到传播图中所有的分支均已检测完毕为止；(10)还原虚拟机控制结构域，以使客户操作系统能够正常执行。