一种基于动态库的虚拟机进程行为监控方法与系统

摘要

本发明公开了一种基于动态库的虚拟机进程行为监控方法，包括：基于动态链接库，在二进制的基础上，在API函数入口处设置钩子，实现对虚拟机进程调用API函数的截获；利用虚拟化隔离特性和内存保护技术，保护钩子不被虚拟机和虚拟机里的进程感知，达到透明监控的目的。本发明在对虚拟机完全透明的情形下，截获虚拟机进程的API函数调用，实现了对虚拟机进程行为细粒度的透明监控。本发明还提供了相应的基于动态库的虚拟机进程行为监控系统。

主权项

一种基于动态库的虚拟机进程行为监控方法，其特征在于，所述方法包括如下步骤：(1)依据动态链接库的二进制内容格式和被监控的API函数名字，获取API函数在动态库被加载到进程时，API函数的入口地址相对于动态链接库装载地址的偏移；(2)安全监控程序启动监控时，截获虚拟机的进程切换；(3)设置钩子，截获到进程切换时，判断系统监控的API函数相应动态链接库此进程是否已经加载，依据步骤(1)获取的偏移地址和动态库在进程中的加载地址，对此进程相关的动态链接库内存空间设置钩子，并且设置内存保护，隐藏自身，保证对虚拟机内部透明不可知；(4)截获API调用，当进程调用相应的API函数时，由于相应的函数入口被设置钩子，此时陷入虚拟机管理器，对进程行为进行截获，并且依据安全策略相做应处理；(5)内存保护，当虚拟机系统或者虚拟机里的进程访问被设置的动态链接库空间时，由于内存保护机制，陷入到虚拟机管理器，对内存访问行为做相应处理，保证钩子对虚拟机内部的透明。