[发明专利]用于保护多个网络端点的双重存储器内省

摘要

描述的系统及方法实现使多个客户端系统(例如，企业网络)免受计算机安全威胁(例如恶意软件及入侵)。在一些实施例中，每一受保护客户端操作现场内省引擎及按需内省引擎。所述现场内省引擎检测暴露于相应客户端系统上的受保护虚拟机内某些事件的发生，且将所述发生传送到远程安全服务器。所述服务器又可通过指示待由所述客户端执行的取证工具来请求来自所述客户端系统的所述事件的取证分析。取证工具可存储于所述客户端可存取的中央存储库中。响应于接收所述分析请求，所述按需内省引擎可检索及执行所述取证工具，且将所述取证分析的结果传送到所述安全服务器。所述服务器可使用所述信息确定所述相应客户端是否处于恶意软件或入侵者的攻击下。

主权项

1.一种客户端计算机系统，其包括经配置以执行管理程序、现场内省引擎及按需内省引擎的硬件处理器，其中：所述管理程序经配置以暴露客户虚拟机VM及与所述客户VM不同的安全VM，其中所述按需内省引擎在所述安全VM内执行，且其中所述现场内省引擎在所述客户VM及安全VM外部执行；所述现场内省引擎经配置响应于检测到所述客户VM内事件的发生通过通信网络将所述事件的指示符发射到远程服务器计算机系统；且所述按需内省引擎经配置以：响应于所述现场内省引擎将所述事件的所述指示符发射到所述远程服务器计算机系统，从所述远程服务器计算机系统接收分析请求，所述分析请求指示驻存于远程工具存储库中的安全工具，所述远程工具存储库经配置以将安全工具分布到包含所述客户端计算机系统的多个客户端，所述安全工具包括经配置以分析所述事件的所述发生的软件，所述安全工具由所述远程服务器计算机系统根据所述事件的事件类型选择，响应于接收所述分析请求，根据所述分析请求识别所述安全工具，响应于识别所述安全工具，从所述工具存储库选择性地检索所述安全工具，其中检索所述安全工具包括通过所述通信网络连接到所述中央工具存储库，响应于选择性地检索所述安全工具，执行所述安全工具，及响应于执行所述安全工具，将执行所述安全工具的结果发射到所述远程服务器计算机系统。