[发明专利]用于虚拟机内省的系统、方法及非暂时性计算机可读介质

权利要求书

1.一种存储指令的非暂时性计算机可读介质，所述指令可由计算机执行以使所述计算机进行以下操作：

实施虚拟机VM硬盘映像的离线分析；

在所述离线分析期间，定位与操作系统OS关联的核心OS文件；

基于所述核心OS文件，从符号服务器访问OS结构符号；

通过关联的管理器访问与所述VM的内存关联的二进制数据；

使用所述OS结构符号来解释与所述VM的内存关联的所述二进制数据；以及

基于所述二进制数据的解释，检测在所述VM的内存中是否存在恶意软件。

2.根据权利要求1所述的介质，包括可执行以进行以下操作的指令：使用所访问的OS结构符号来读取所述VM的内存。

3.根据权利要求1所述的介质，包括可执行以进行以下操作的指令：在更新所述符号服务器时接收与所访问的OS结构符号关联的更新。

4.根据权利要求1所述的介质，其中在启动所述VM之前，与所述OS关联的所述核心OS文件被定位。

5.根据权利要求1所述的介质，包括可执行以进行以下操作的指令：

修改管理器控制命令操纵器；以及

通过所述管理器控制命令操纵器，检测对所述VM的内存的改变。

6.根据权利要求1所述的介质，包括可执行以进行以下操作的指令：

在所述离线分析期间识别OS版本；以及

基于所述OS版本，定位与所述OS关联的核心OS文件。

7.根据权利要求1所述的介质，其中所述OS结构符号是基于OS版本而从所述符号服务器访问的。

8.根据权利要求1所述的介质，包括可执行以进行以下操作的指令：使用与VM控制结构关联的管理函数提取VM中央处理单元状态信息。

9.一种用于虚拟机VM内省的系统，包括：

实施分析引擎，用于在启动所述VM之前实施VM硬盘映像的离线分析；

定位引擎，用于在所述离线分析期间定位程序数据库文件名和与所述VM的操作系统OS关联的标识符；

访问引擎，用于使用所述程序数据库文件名和与所述VM的OS关联的标识符来访问包含OS结构符号的程序数据库；以及

内省引擎，用于通过关联的管理器访问与所述VM的内存关联的二进制数据，使用所述OS结构符号来解释与所述VM的内存关联的所述二进制数据，以及基于所述二进制数据的解释，检测在所述VM的内存中是否存在恶意软件。

10.根据权利要求9所述的系统，包括用于进行以下操作的引擎：分配主机内存的与所述VM关联的部分来实施所述内省引擎的操作。

11.根据权利要求9所述的系统，包括用于进行以下操作的引擎：

在启动所述VM之前，使用所述VM硬盘映像生成文件偏移量；

监视VM盘活动；以及

基于所生成的文件偏移量和所监视的VM盘活动的比较，确定所述OS正在访问的文件。

12.根据权利要求11所述的系统，其中所述程序数据库位于与所述OS关联的文件系统中。

13.一种用于虚拟机VM内省的方法，包括：

在启动所述VM之前，实施VM硬盘映像的离线分析；

在所述离线分析期间，定位程序数据库文件名和与所述VM的操作系统OS关联的标识符；

使用所述程序数据库文件名和与所述VM的所述OS关联的标识符，访问包含OS结构符号的程序数据库；

通过关联的管理器访问与所述VM的内存关联的二进制数据；

使用所述OS结构符号来解释与所述VM的内存关联的所述二进制数据；以及

基于所述二进制数据的解释，检测在所述VM的内存中是否存在恶意软件。