一种用于收集和截获计算机内存行为的蜜罐机制及其方法

摘要

一种用于收集和截获计算机内存行为的蜜罐机制及方法，包括：内存虚拟化模块、蜜罐模块、内省模块、控制模块和蜜罐记录模块；本机制基于内存虚拟化技术，支持SMP结构，可以在操作系统运行时部署轻量化虚拟机，对蜜罐中的内存行为进行监视；也可作为其它虚拟机的子模块实现相同功能；蜜罐在系统运行时监视多个核中的每个进程对内存关键区域的精确修改情况，由位图表示，同时通过内省模块收集相关的进程详细信息和进程当时完整的运行时状态，所有记录统一集中到蜜罐记录模块；本发明基于事件驱动，不修改目标操作系统的任何代码，相对于现有的指令级监视性能损耗低，灵活度高，适合用于实时取证和动态分析。

主权项

一种用于收集和截获计算机内存行为的蜜罐机制，其特征在于：包括内存虚拟化模块、蜜罐模块、内省模块、控制模块和蜜罐记录模块；所述内存虚拟化模块用于控制虚拟机内存操作权限，包括二级地址转换功能、和在地址转换过程中的读写及执行权限的控制，在发生违反读、写或执行权限的事件时，将当前CPU的控制流转到蜜罐模块的事件处理函数中，在函数返回后，恢复CPU的正常运行；所述蜜罐模块由多个可配置的独立蜜罐个体组成，每个蜜罐个体对应操作系统中的一张内存页，即成为蜜罐页；蜜罐模块以蜜罐页为单位，在系统运行时监视多个核中的各个进程对蜜罐区域的精确修改情况，并由位图表示；所述内省模块在蜜罐模块收集信息的同时，收集相关的进程详细信息和进程当时完整的运行时状态；所述控制模块提供外部控制接口，并将控制命令信号转发到蜜罐模块对应的控制接口中，用于设置蜜罐模块监视的内存区域，启动、停止和重置蜜罐功能；所述蜜罐记录模块收集蜜罐模块和內省模块提交的数据，记录每个进入蜜罐进程的完整行为。