[发明专利]基于虚拟化的主机行为主被动结合检测系统和方法

摘要

本发明涉及一种基于虚拟化的主机行为主被动结合检测系统和方法。该系统包括主动监控获取数据模块、被动监控获取数据模块、数据转发模块和行为分析模块，其中主动监控获取数据模块采用主动监控方式主动获取虚拟机内部当前时刻的静态数据；被动监控获取数据模块采用异步侦听方式截获虚拟机内部的系统调用和系统指令数据；数据转发模块负责将本地获取的数据远程转发至行为分析服务器进行；行为分析模块接收数据转发模块发送的行为数据，并根据数据来源，动态控制分析线程对行为数据进行分析。本发明采用主动监控与被动监控相结合的方式，实现了具有透明性、实时性、灵活性等特点的集中式虚拟机监控机制。

主权项

1.一种基于虚拟化的主机行为主被动结合检测系统，其特征在于，包括主动监控获取数据模块、被动监控获取数据模块、数据转发模块和行为分析模块，其中主动监控获取数据模块采用主动监控方式主动获取虚拟机内部当前时刻的静态数据；被动监控获取数据模块采用异步侦听方式截获虚拟机内部的系统调用和系统指令数据；数据转发模块负责将本地获取的数据远程转发至行为分析服务器进行，转发的数据包括主动方式获取的行为数据及异步侦听方式获取的行为数据；行为分析模块接收数据转发模块发送的行为数据，并根据数据来源，动态控制分析线程对行为数据进行分析；所述被动监控获取数据模块通过事件接收器不断拦截虚拟机中发生的事件，事件接收器拦截到异常信息时，判断是否由syscall或sysret引起的，若是由这两条指令引起的，则收集系统调用号、系统调用参数、系统调用进程号、发生系统调用的地址、虚拟机的基本信息；事件接收器将收集到的数据放入由共享内存实现的环形缓冲区内；系统调用信息收集结束之后，事件接收器通过事件通道机制通知数据转发模块取走数据，同时模拟syscall或sysret指令的运行，恢复虚拟机的操作。