[发明专利]一种基于内存类型感知的恶意进程检测方法和系统在审
| 申请号： | 201811267347.7 | 申请日： | 2018-10-29 |
| 公开（公告）号： | CN109582437A | 公开（公告）日： | 2019-04-05 |
| 发明（设计）人： | 崔磊;郝志宇;李大辉;陈宇;宋铮 | 申请（专利权）人： | 中国科学院信息工程研究所;公安部第三研究所 |
| 主分类号： | G06F9/455 | 分类号： | G06F9/455;G06F21/56 |
| 代理公司： | 北京君尚知识产权代理事务所(普通合伙) 11200 | 代理人： | 邱晓锋 |
| 地址： | 100093 *** | 国省代码： | 北京;11 |
| 权利要求书： | 查看更多 | 说明书： | 查看更多 |
| 摘要： | 本发明涉及一种基于内存类型感知的恶意进程检测方法和系统。该方法包括以下步骤：1)采用虚拟机自省技术，在虚拟机监控器层识别虚拟机的内存页面的类型；2)基于识别出的内存页面类型，建立内存页面与用户进程的关联关系，得到进程列表视图；将客户机中应用程序获取的进程列表视图以及步骤2)得到的进程列表视图进行对比，识别出隐藏的恶意进程。本发明利用内存类型识别对内存进行分类，通过只对关键内存进行逆向映射，减小了检测时需扫描的虚拟机内核数据结构，从而可以减小系统带来的性能损失；通过对分类后的内存逆向映射，建立内存与用户进程的关联，可以检测隐藏到用户空间及内核空间的进程，实现更为全面的恶意程序检测。 | ||
| 搜索关键词： | 内存 恶意进程 列表视图 内存类型 检测 内存页面 用户进程 虚拟机 映射 减小 感知 进程 恶意程序检测 虚拟机监控器 虚拟机内核 关联关系 内核空间 数据结构 性能损失 应用程序 用户空间 客户机 分类 扫描 关联 | ||
【主权项】：
1.一种基于内存类型感知的恶意进程检测方法，其特征在于，包括以下步骤：1)在虚拟机监控器层识别虚拟机的内存页面的类型；2)基于识别出的内存页面类型，建立内存页面与用户进程的关联关系，得到进程列表视图；3)将客户机中应用程序获取的进程列表视图以及步骤2)得到的进程列表视图进行对比，进而识别出隐藏的恶意进程。
下载完整专利技术内容需要扣除积分，VIP会员可以免费下载。
该专利技术资料仅供研究查看技术是否侵权等信息，商用须获得专利权人授权。该专利全部权利属于中国科学院信息工程研究所;公安部第三研究所，未经中国科学院信息工程研究所;公安部第三研究所许可，擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作，请联系【客服】
本文链接：http://www.vipzhuanli.com/patent/201811267347.7/，转载请声明来源钻瓜专利网。
