[发明专利]存储器层次结构监测系统和方法

说明书

各个方面的系统、方法和设备通过监测由在计算设备上运行的应用进行的存储器访问，来实现对异常应用行为的识别。在各个方面，存储器访问监测的水平可以是基于在计算设备上运行的应用的风险水平的。可以基于由计算设备中选择的一个或多个存储器层次结构层的地址监测单元所监测的应用的存储器地址访问，来确定风险水平。被选择用于监测针对应用的存储器地址访问的存储器层次结构层，可以是基于所确定的该应用的风险水平的。可以通过启用与所选择的一个或多个存储器层次结构层相关联的一个或多个地址监测单元(AMU)，来监测所选择的存储器层次结构层。对选择的AMU的启用可以是由AMU选择模块来完成的。

背景技术

便携式电子设备、计算设备和通信设备提供各种各样的特征和服务，所述特征和服务向它们的用户提供对信息、资源和通信的空前水平的访问。为了提供这种服务，计算设备可以在设备上执行一个或多个应用，以及计算设备可以与一个或多个通信网络进行通信，通常来发送和/或接收针对一个或多个应用的信息。提供高级信息服务的计算设备越来越普遍，以及越来越依赖所述计算设备来执行可能涉及机密或敏感信息(例如，信用卡信息、联系人等等)的重要的安全敏感操作。监测针对故障和恶意攻击的这种计算设备的完整性越来越重要。

安全敏感操作可以与对一个或多个代码线程的执行(例如，调用敏感API或者从外围设备读取敏感数据)相对应。在监测执行事件的一种方法中，处理器可以监测CPU指令流以识别存储器中对特定地址的执行。该方法可以是精确的，但实现起来可能较复杂，以及可能是不必要的资源密集型的。在监测执行事件的另一种方法中，处理器可以监测高速缓存访问流以识别存储器中的特定地址的状态。该方法可以是高效的，但由于CPU预取优化而可能是不准确的。此外，这些已知方法中的任何一种都不可以被动态地调整，以对(除了其它事物之外)测量的准确性或者进行测量可以具有的效率作出说明。

发明内容

各个方面的系统、方法和设备使计算设备的处理器能够通过以下步骤来使计算设备的处理器来监测存储器层次结构(hierarchy)：基于由计算设备的一个或多个选择的存储器层次结构层的地址监测单元来监测的应用的存储器地址访问，来确定在计算设备上运行的应用的风险水平；以及基于所确定的应用的风险水平，来选择一个或多个存储器层次结构层以监测应用的存储器地址访问。在一个方面，基于由计算设备的一个或多个选择的存储器层次结构层的地址监测单元来监测的应用的存储器地址访问，来确定在计算设备上运行的应用的风险水平，可以包括以下操作：从地址监测单元接收存储器访问事件，所述存储器访问事件将由计算设备上运行的应用进行的存储器访问特性化；以及基于接收的存储器访问事件来确定应用的风险水平。

在一个方面，确定在计算设备上运行的应用的风险水平可以包括以下操作：接收与存储器访问事件有关的上下文信息，所述存储器访问事件将由计算设备上运行的应用进行的存储器访问特性化；以及基于上下文信息，来确定应用的风险水平。在一个方面，基于所确定的应用的风险水平，来选择一个或多个存储器层次结构层以监测应用的存储器地址访问，可以包括以下操作：基于所确定的应用的风险水平，来使所选择的一个或多个存储器层次结构层中的一个或多个地址监测单元能够监测应用的存储器地址访问。

在一个方面，确定在计算设备上运行的应用的风险水平可以以下操作：基于应用的存储器地址访问来生成行为向量；将一个或多个分类器模型应用于所生成的行为向量；以及基于将一个或多个分类器模型应用于所生成的行为向量的结果，来确定应用的风险水平。在一个方面，基于应用的存储器地址访问来生成行为向量可以包括基于与应用的存储器访问有关的上下文信息来生成行为向量。