[发明专利]用于基于虚拟机监视器的反恶意软件安全的系统和方法

摘要

一种用于保护电子设备的系统包括存储器、处理器、驻留在存储器中以供由处理器执行的一个或多个操作系统、通信上耦合到操作系统的电子设备的资源、被配置为以低于访问资源的电子设备的所有操作系统的级别在电子设备上执行的虚拟机监视器、以及被配置为以低于访问资源的电子设备的所有操作系统的级别在电子设备上执行的安全代理。该虚拟机监视器被配置为截取从高于虚拟机监视器的级别做出的对资源的请求并向安全代理告知该请求。安全代理被配置为判断该请求是否指示恶意软件。

主权项

一种用于针对恶意软件保护电子设备的系统，包括：硬件处理器；存储器，其与所述存储器通信耦合；操作系统，用于在所述操作系统中加载和卸载驱动程序；捕获代理，包含由所述处理器执行的所述存储器中的指令，并且用于捕获对所述操作系统的一个或多个资源的意图的访问，所述意图的访问包括在所述操作系统中意图的对驱动程序的加载或卸载，其中所述意图的访问是通过捕获包含用于系统功能的代码的存储器页面的执行来捕获的，所述系统功能用来加载或卸载所述驱动程序；和已触发事件应对程序，包含由所述处理器执行的所述存储器中的指令；其中所述捕获代理还用于将关于被捕获的尝试的信息发送给所述已触发事件应对程序，所述被捕获的尝试包括对驱动程序的加载或卸载；所述已触发事件应对程序用于：根据所述信息，访问一个或多个安全规则；参照所述安全规则，评估意图的对驱动程序的加载或卸载；以及将评价发送给所述捕获代理；并且所述捕获代理还用于：当所述评价包括意图的对驱动程序的加载或卸载为恶意的指示时，采取矫正动作；以及当所述评价包括所述意图的对驱动程序的加载或卸载为安全时，允许所述意图的对驱动程序的加载或卸载；并且所述捕获代理和所述已触发事件应对程序还用于以低于访问所述一个或多个资源的所述电子设备的所有操作系统的级别执行，包括在所述系统的存储器上运行但不使用操作系统。