[发明专利]用于虚拟机内省的系统、方法及非暂时性计算机可读介质

说明书

虚拟机内省可以包括：实施虚拟机硬盘映像的离线分析。可以在该离线分析期间定位与操作系统关联的核心操作系统文件。基于该核心操作系统文件，可以从符号服务器中访问操作系统结构符号。可以使用所访问的操作系统结构符号来实施该虚拟机的内省。

背景技术

虚拟化的机器可以用于管理应用和服务。但是，恶意软件(例如，电脑病毒)可以安装在虚拟机(VM)上，并且用于破坏VM的操作、收集存储在VM上的信息和/或获得计算系统的访问权。恶意软件在复杂性和系统感染率方面已经增长。若不做防卫，则VM可能处于抵御恶意软件的风险中。

附图说明

图1图示根据本公开的用于虚拟机内省的环境的示例。

图2图示根据本公开的用于虚拟机内省的系统的示例的图。

图3图示根据本公开的用于虚拟机内省的计算设备的示例的图。

图4图示根据本公开的用于虚拟机内省的方法的示例的流程图。

具体实施方式

恶意软件可能对VM带来许多问题。结果，已经设计出一些方法来帮助防止出现这些问题。一些方法尝试检测计算系统上的恶意软件，以允许采取补救措施。为了检测恶意软件，一些方法依赖于安装系统内监视代理，该系统内监视代理可以实施系统内的文件和代码执行的分析。但是，这些监视代理本身可能处于恶意软件攻击的风险中，并且复杂恶意软件的许多片段在感染系统时尝试识别并禁用任何检测到的安全软件。

一些方法通过安装系统内监视代理来尝试保持对操作系统(OS)应用编程接口(API)的访问，系统内监视代理被保护以防恶意修改。系统内监视代理随后可以针对恶意软件的攻击而监视OS。但是，虽然此方法旨在保护系统内监视代理，仍可能是：该代理的存在可以被恶意软件检测到并且恶意软件能够改变该代理的行为，以使该代理在检测恶意软件时失效。

其它方法通过监视类似系统的组并且通过比较从每个类似系统拍摄的内存快照来检测可能由恶意软件引起的未知的或意料不到的系统行为，对恶意软件进行检测。但是，此方法假设在拍摄内存快照并实施其分析之前，系统是未受感染的。因此，如果在拍摄内存快照以及随后比较内存快照之前多个系统感染了恶意软件，那么这些系统可能似乎未被恶意软件感染。

此外，一些方法通过内存快照或通过VM内省来实施系统内存的分析。但是，在更新与系统关联的OS更新时，必须手动地更新与这些方法关联的软件，这可能使该系统直到可以实施该更新为止易受攻击。

本公开的示例可以包括：实施VM硬盘映像的离线分析。在该离线分析期间可以定位与OS关联的核心OS文件。可以基于该核心操作系统文件从符号服务器中访问OS结构符号。可以使用被访问的OS结构符号来实施VM的内省。

图1图示用于实施VM机内省(introspection)的环境。该环境可以包括主机系统102、管理器106、VM 108、内省引擎110和生成的报告112。此外，该环境可以包括以下方法步骤：实施离线盘分析118，启动内省引擎116，以及启动虚拟机120。本公开的示例可以通过实施位于VM 108之外的分析来检测VM 108上的恶意软件。通过实施位于VM 108之外的分析，可以避免与其它方法关联的潜在缺陷。例如，如本文讨论的，虽然一些方法使用系统内监视代理，但是该代理可能被恶意软件损坏。通过外部地实施分析，恶意软件可能没有机会影响正实施的分析。可以使用内省(introspection)来实施该分析，内省可以被限定为以下分析：该分析绕过VM的OS以直接从与VM关联的硬盘读取二进制数据。

由于从虚拟机外部(例如，绕过OS)解释该虚拟机的内存可能困难，所以挑战可能与实施内省关联。例如，与虚拟机关联的内存可以包括二进制信息，该二进制信息通常可以由与OS关联的应用编程接口解释。因此，当绕过应用编程接口时，二进制信息必须被转换成有意义的信息。本公开的示例可以访问包含OS结构符号的程序数据库，OS结构符号可以用于解释与VM的内存关联的二进制数据。