诸如虚拟机或硬化操作系统中的计算机安全管理技术方案

一种安全方案为在计算机上执行的一个或多个自包含的操作环境实例提供安全。该安全方案可包括实现一组可由监管进程控制的安全应用程序等等。这组安全应用程序和监管进程都可在计算机的主机系统上运行，主机系统还可提供用于执行一个或多个自包含的操作环境的平台。该安全方案保护运行于一个或多个自包含的操作环境的进程以及运行于计算机上自包含的操作环境之外的进程。

【技术实现步骤摘要】

所描述技术一般涉及维护计算机操作系统的安全性与完整性。
技术介绍
当被特别设计成损害或破坏系统的软件(例如，恶意软件或“malware(恶意软件)”)入侵计算机系统时，计算机操作系统的完整性以及因此整个计算机系统遭受危害。尽管假设病毒、蠕虫和特洛伊木马威胁的出现，计算机用户的安全考虑和需求的范围是广泛的，然而大多数计算机用户关心的是诸如操作系统进程、存储器进程等其计算机的关键基础结构组件的完整性。某些类型的恶意软件使用了操作系统的特许操作来攻击计算机。这样的特许操作一般包括只能由特许用户或进程访问的指令或指令集。例如，当恶意软件不知何故能够访问这些特许操作中的一个或多个时，这可能导致操作系统文件的删除或破坏、对存储器中的操作系统组件的攻击、用户文件的删除、以及许多其它有害的可能性。在某些情况下，甚至非恶意进程也可能通过访问特许操作的无意行为而损坏计算机系统。更普遍地，几乎任何进程都可能通过简单地假冒特许用户的身份而获得对特许操作的访问。通常，操作系统提供用于主存进程并为那些进程提供系统服务的基础结构。操作系统一般提供基本安全保护，诸如在系统资源上实施访问控制和所有权权限。例如，在正常的操作系统环境中，诸如主机防火墙、易受攻击性评价、补丁检测、行为阻断、主机或网络入侵检测以及反病毒技术等保护性安全服务都作为操作系统中的本机应用程序来运行。尽管有这些措施，然而操作系统有时仍不能准确判定是否受到了攻击。特别地，一旦一段恶意代码或其它恶意软件攻击了计算机系统并获得足够的控制(例如，管理员级访问)，则操作系统用来判定它是否处于攻击之下的所有进一步尝试都不再有价值，因为用于这种尝试的机制也被破坏了。这是因为恶意代码可有效地修改操作系统或者用来保护它的应用程序所使用的存储器内或盘上结构的任何内容。一种保护计算机系统及其操作系统的方法涉及安装一组安全应用程序，诸如反病毒软件、个人防火墙及入侵检测系统。在有多个计算机系统的系统中，诸如计算机网络或布署在阵列中的计算机系统的集群，每个独立计算机系统运行它自己的那组安全应用程序。这是因为网络或阵列中的每个计算机系统都是具有其自己网络附件、它自己的中央处理单元、它自己的操作系统实例等的物理上独立的实体。尽管这样的安全应用程序可安装在每个计算机系统上以防止计算机系统及其操作系统受到危害，但这样的安全应用程序可能太易于失败而不能保护计算机系统，因为就象任何运行在计算机系统上的其它应用程序一样，它们也易于受到攻击。在保护计算机系统及其操作系统的另一种方法中，计算机系统的各方面，如存储器，都由计算机系统的隔离方面保护。
技术实现思路
这里所描述的计算机安全技术提供了各种不同的安全特征，包括使用单个安全进程(或安全进程组)来监视、保护和修复运行在主机系统上的多个逻辑上隔离的虚拟机。在某些实施例中，该安全技术对在计算机上执行的一个或多个自包含的操作环境实例提供了安全性。该安全技术可包括实现可由监管进程控制的安全应用程序。安全应用程序可监视一个或多个虚拟机。这种监视可使用各种不同的技术来完成，包括由安全应用程序对虚拟机的离线扫描、实现运行于每个虚拟机上的代理安全进程等等。在某些实施例中，这组安全应用程序和监管进程都可运行于计算机的主机系统上，它可提供用于执行一个或多个自包含操作环境的平台。该安全技术可保护运行于一个或多个自包含操作环境中的进程以及运行于计算机上在自包含操作环境之外的进程。附图说明图1是示出在一个实施例中用于实现安全技术的系统示例的框图。图2是示出图1系统中的虚拟机的离线扫描的示例的框图。图3A是示出图1系统中的虚拟机的离线扫描的可选示例的框图。图3B是示出图1系统中的虚拟机的离线扫描的另一示例的框图。图3C是示出图1系统中的虚拟机的离线扫描的又一示例的框图。图4是示出由监管进程执行的监视图1的系统中的操作系统的例程的流程图。图5是示出使用周期性扫描来监视图1的系统中的虚拟机的安全监控例程的示例的流程图。图6是示出使用虚拟机结构安装来监视图1的系统中的虚拟机的安全监控例程的第二示例的流程图。图7是示出不使用虚拟机结构安装来监视图1的系统中的虚拟机的安全监控例程的第三示例的流程图。图8是示出使用运行于虚拟机中的代理进程来监控图1的系统中的虚拟机的安全监控例程的第二示例的流程图。在附图中，同样的参考标号标识相同或基本相似的元素或动作。为便于对任意特定元素或动作的讨论，参考标号中的最高一位数字指的是首次引入该元素的图号(例如，元素204是关于图2第一次引入和讨论的)。具体实施例方式现在将参考各实施例描述本专利技术。以下描述提供了用于本专利技术这些实施例的全面理解和开放描述的特定细节。然而，本领域的技术人员将理解，本专利技术可不采用这些细节而实施。在其它实例中，没有详细示出或描述众所周知的结构和功能，以免不必要地模糊对本专利技术实施例的描述。所呈现描述中使用的术语旨在以其最广泛合理的方式解释，即使是与本专利技术某个特定实施例的详细描述结合起来使用的。某些术语会在下面强调；然而，旨在以任何受限方式解释的任何术语都将公开而明确地如本详细描述部分中这样定义。I.综述这里所描述的计算机安全技术提供了各种不同的安全特征，包括使用单个安全进程(或安全进程组)来监视、保护和修复运行于主机系统上的多个逻辑上隔离的虚拟机。在某些实施例中，在物理机上执行的主机系统提供了其上可执行操作系统和应用程序的虚拟机。尽管许多进程可在虚拟机上执行，但通常执行于虚拟机上的操作系统和应用程序不能访问资源(例如存储器和设备)，除非提供虚拟机的主机系统允许或者由已经分配给虚拟机的询问指定。如果虚拟机执行了恶意软件，任何损害都被限制在虚拟机的操作系统、应用程序和可访问资源中。这样，计算机可充分受保护而不被虚拟机上执行的恶意软件影响。在某些实施例中，主机系统可防止在虚拟机上执行的操作系统和应用程序进行可引起对物理机的资源或操作系统的不合需要的改变的特许操作。例如，在虚拟机上执行的操作系统可在虚拟机中给以管理员权限，但不是在物理机内。在某些实施例中，主机系统实现抢先安全进程。这样的安全进程的示例包括主机防火墙监控程序、易受攻击性评价监控程序、补丁检测监控程序、行为阻断监控程序、主机或网络入侵检测监控程序以及反病毒技术。通常，配置安全进程来增强虚拟机、主机系统以及进而是物理机的安全性。在某些实施例中，安全进程被实施为或受控于运行在主机系统上的监管进程。监管进程可有助于或为安全进程提供对虚拟机组件的某种级别的访问或可见性，包括虚拟存储器、虚拟盘、虚拟网络适配器、虚拟驱动器等(例如，以存储器中的数据结构或对象模型的形式)。例如，监管进程可允许安全进程扫描存储器中或存储在对应于虚拟机的虚拟硬盘的磁盘上的数据结构以寻找恶意软件或安全漏洞的证据。此外(或可供选择地)，当提供了由主机系统支持的对象模型时，监管进程可帮助返回有关虚拟机状态(诸如存储器状态或通信状态)的信息至主机系统。通常，由于主机系统和监管进程提供了某种级别的隔离，安全进程可监管和监视虚拟机的安全，同时还保持对这些虚拟机中执行的有害程序的不可访问。这样，保护安全进程不被它们所要监控的程序篡改或摧毁。在某些实施例中，安全进程可用于监视和修复处于已保存状态的虚拟机，其中虚拟机监控程序的执本文档来自技高网...

【技术保护点】
在计算机中，一种用于监视和保护包含的进程执行环境的多个实例的方法，其中，所述多个实例的每一个都访问所述计算机的仿真资源，所述方法包括：　　　　在所述计算机上执行至少一个安全应用程序，所述安全应用程序用于监视包含的进程执行环境的多个实例的每一个以检测有害进程，其中，所述至少一个安全应用程序在包含的进程执行环境的多个实例之外执行；以及　　　　通过单组安全应用程序帮助扫描包含的进程执行环境的多个实例的每一个的虚拟资源，其中，所述虚拟资源包括所述计算机的仿真资源，并且其中，所述帮助包括配置所述安全应用程序组以了解由所述计算机的主操作系统所察觉的资源。

【技术特征摘要】
...

【专利技术属性】
技术研发人员：B阿姆斯特朗，J加姆斯，KD雷，M克莱默，P英格兰德，SA菲尔德，
申请(专利权)人：微软公司，
类型：发明
国别省市：US[美国]