[发明专利]用于增加计算机安全的方法和系统

说明书

本申请涉及用于增加计算机安全的方法和系统。一种计算机实现的方法包括将与第一许可水平相关联的第一描述符表和与不同于第一许可水平的第二许可水平相关联的第二描述符表初始化。第一和第二描述符表与硬件处理器相关联并被操作系统内核初始化。响应于源自于软件进程的描述符表地址请求，提供与第一描述符表相关联的存储器地址，而响应于描述符表更新请求，第二描述符表被更新。

分案说明

本申请属于申请日为2012年10月16日的中国发明专利申请201611013568.2，该申请进一步属于申请日为2012年10月16日的中国发明专利申请201280061783.3的分案申请。

技术领域

本说明书涉及计算机安全。

背景技术

计算机系统可能受到敌对软件应用或进程(例如恶意软件、病毒等)的危害。敌对软件应用可能促使操作系统内核向由敌对软件应用指定的存储器位置写入数据。例如，敌对软件应用能够利用与操作系统相关联的缺陷和/或弱点并促使操作系统内核修改与内核相关联的指令(例如，插入允许用户或其他软件避开安全措施或准许用户或软件的不适当访问的后门)。作为另一示例，敌对软件应用能够促使操作系统内核修改存储于中央处理单元(CPU)或操作系统所使用的各种数据结构或表(例如，中断描述符表、全局描述符表等)中的数据。另外，敌对软件应用能够利用与操作系统相关联的缺陷和/或弱点使用与CPU相关联的命令来确定与CPU或操作系统相关联的资源(例如中断描述符表或全局描述符表)的位置。例如，敌对软件应用能够使用SIDT指令来促使CPU提供中断描述符表的地址。

发明内容

本说明书描述了涉及用于改善计算机安全的防御技术的技术。该系统能够将描述符表(例如中断描述符表或全局描述符表)初始化并将描述符表映射到不同的存储器位置。能够使描述符表的一个映射与读写许可相关联，并且能够使描述符表的第二映射与只读许可相关联。系统能够将只读描述符表(例如第二映射)的地址提供给CPU。当CPU接收到用以返回描述符表的值的命令时，CPU能够提供只读描述符表的地址。当操作系统内核接收有效指令以更新描述符表(例如，来自可信进程或来自操作系统的指令，与来自敌对软件应用的指令相反)时，操作系统内核能够访问描述符表并更新描述符表的值。

一般地，能够在包括以下动作的方法中体现在本说明书中描述的本主题的一个创新方面：将第一描述符表和描述符表的第二映射初始化，其中，描述符表的第一映射与第一许可水平相关联，并且其中描述符表的第二映射与不同于第一许可水平的第二许可水平相关联，并且其中，第一描述符表和第二描述符表与硬件处理器相关联并被操作系统内核初始化；响应于描述符表地址请求，提供与第一描述符表相关联的存储器地址，其中，描述符表地址请求由软件进程提供；以及响应于更新请求，更新第二描述符表。

能够在包括以下动作的方法中体现包括在本说明书中描述的本主题的另一创新方面：将描述符表初始化，其中，该描述符表被操作系统内核初始化并与硬件处理器相关联；将与描述符表相关联的许可水平变成第一许可水平；以及响应于更新请求，将与描述符表相关联的许可水平变成第二许可水平，其中，第二许可水平大于第一许可水平；在描述符表与第二许可水平相关联时更新描述符表，其中，该更新基于更新请求；以及在更新描述符表之后，将与描述符表相关联的许可水平变成第一许可水平，其中，操作系统内核改变与描述符表相关联的许可水平。

能够将在本说明书中描述的主题的特定实施例实现为实现以下优点中的一个或多个。例如，能够通过防止敌对软件应用或恶意软件访问或修改CPU和/或OS内核所使用的数据结构(例如，中断描述符表和全局描述符表)来增加网络和计算机安全。另外，能够更容易地调试操作系统，因为能够减少或防止描述符表的非有意的覆写。

在下面的附图和描述中阐述了在本说明书中描述的主题的一个或多个实施例的细节。根据描述、附图和权利要求，主题的其他特征、方面以及优点将变得显而易见。

附图说明