СИСТЕМЫ И СПОСОБЫ ОБЕСПЕЧЕНИЯ КОМПЬЮТЕРНОЙ БЕЗОПАСНОСТИ, ИСПОЛЬЗУЮЩИЕ ИСКЛЮЧЕНИЯ АСИНХРОННОЙ ИНТРОСПЕКЦИИ

1. Хостовая система, содержащая аппаратный процессор и память, причем аппаратный процессор выполнен с возможностью исполнения целевого объекта, синхронного анализатора исключений и асинхронного анализатора исключений, причем аппаратный процессор дополнительно выполнен с возможностью
в ответ на обнаружение наступления события, вызванного исполнением целевого объекта, приостанавливать исполнение целевого объекта, и
в ответ на приостановку исполнения целевого объекта, переключаться на исполнение синхронного анализатора исключений;
причем синхронный анализатор исключений выполнен с возможностью:
определять, подозревается ли целевой объект во вредоносности согласно указанному событию,
в ответ, когда целевой объект подозревается во вредоносности, выборочно извлекать сигнатуру исключения из правила из множества сигнатур исключения из правила, причем сигнатура исключения из правила извлекается согласно указанному событию, причем сигнатура исключения из правила содержит кодировку первого условия и кодировку второго условия;
в ответ на извлечение сигнатуры исключения из правила, определять, удовлетворено ли первое условие согласно указанному событию и согласно целевому объекту;
в ответ на определение, удовлетворено ли первое условие, когда первое условие удовлетворено, заставлять аппаратный процессор возобновлять исполнение целевого объекта; и
в ответ на определение, удовлетворено ли первое условие, когда первое условие где удовлетворено, определять, что целевой объект является вредоносным; причем асинхронный анализатор исключений выполнен с возможностью:
в ответ на возобновление аппаратным процессором исполнения целевого объекта, определять, удовлетворено ли второе условие согласно указанному событию и согласно целевому объекту;
в ответ на определение, удовлетворено ли второе условие, когда второе условие удовлетворено, определять, что целевой объект не является вредоносным; и
в ответ на определение, удовлетворено ли второе условие, когда второе условие не удовлетворено, определять, что целевой объект является вредоносным.
2. Хостовая система по п. 1, причем
синхронный анализатор исключений дополнительно выполнен с возможностью, в ответ на определение, удовлетворено ли первое условие, когда первое условие удовлетворено, включать запрос на проведение анализа в очередь запросов, причем запрос на проведение анализа формулируется в соответствии со вторым условием, согласно указанному событию, а также согласно целевому объекту; и
асинхронный анализатор исключений дополнительно выполнен с возможностью, при подготовке к определению, удовлетворено ли второе условие, удалять запрос на проведение анализа из очереди запросов.
3. Хостовая система по п. 1, причем аппаратный процессор дополнительно выполнен с возможностью
в ответ на обнаружение попытки завершить целевой объект, приостанавливать указанную попытку; и
в ответ на приостановку попытки, переключаться на исполнение контроллера завершения, соединенного с асинхронным анализатором исключений, причем контроллер завершения выполнен с возможностью
искать в очереди запросов второй запрос на проведение анализа, сформулированного согласно целевому объекту, причем второй запрос на проведение анализа указывает третье условие,
запускать асинхронный анализатор исключений для обработки второго запроса на проведение анализа, и
в ответ на запуск асинхронного анализатора исключений, когда асинхронный анализатор исключений определяет, что третье условие удовлетворено, заставлять аппаратный процессор возобновить попытку завершения целевого объекта.
4. Хостовая система по п. 1, причем целевой объект исполняется внутри гостевой виртуальной машины, открытой посредством хостовой системы, при этом асинхронный анализатор исключений исполняется за пределами гостевой виртуальной машины.
5. Хостовая система по п. 1, причем асинхронный анализатор исключений исполняется в пределах виртуальной машины обеспечения безопасности, открытой посредством гостевой системы, при этом виртуальная машина обеспечения безопасности исполняется одновременно с гостевой виртуальной машиной.
6. Хостовая система по п. 1, причем сигнатура исключения из правила выполнена так, что определение, удовлетворено ли первое условие, имеет существенно более низкие вычислительные затраты по сравнению с определением, удовлетворено ли второе условие.
7. Хостовая система по п. 1, причем событие включает в себя попытку доступа к памяти, при которой нарушается разрешение на доступ к памяти.
8. Хостовая система по п. 1, причем
определение, удовлетворено ли первое условие, предусматривает определение, внедрил ли целевой объект код во второй объект, и
определение, удовлетворено ли второе условие, предусматривает определение, является ли код вредоносным.
9. Долговременный машиночитаемый носитель информации, хранящий инструкции процессора, которые, при исполнении их аппаратным процессором хостовой системы, заставляют хостовую систему формировать синхронный анализатор исключений и асинхронный анализатор исключений, причем аппаратный процессор выполнен с возможностью
в ответ на обнаружение наступления события, вызванного исполнением целевого объекта, приостанавливать исполнение целевого объекта, и
в ответ на приостановку исполнения целевого объекта, переключаться на исполнение синхронного анализатора исключений;
причем синхронный анализатор исключений выполнен с возможностью:
определять, подозревается ли целевой объект во вредоносности согласно указанному событию,
в ответ, когда целевой объект подозревается во вредоносности, выборочно извлекать сигнатуры исключения из правила из множества сигнатур исключения из правила, причем сигнатура исключения из правила извлекается согласно указанному событию, причем сигнатура исключения из правила содержит кодировку первого условия и кодировку второго условия;
в ответ на извлечение сигнатуры исключения из правила определять, удовлетворено ли первое условие согласно указанному событию и согласно целевому объекту;
в ответ на определение, удовлетворено ли первое условие, когда первое условие удовлетворено, заставлять аппаратный процессор возобновлять исполнение целевого объекта; и
в ответ на определение, удовлетворено ли первое условие, когда первое условие не удовлетворено, определять, что целевой объект является вредоносным;
причем асинхронный анализатор исключений выполнен с возможностью:
в ответ на возобновление аппаратным процессором исполнения целевого объекта, определять, удовлетворено ли второе условие согласно указанному событию и согласно целевому объекту;
в ответ на определение, удовлетворено ли второе условие, когда второе условие удовлетворено, определять, что целевой объект не является вредоносным; и
в ответ на определение, удовлетворено ли второе условие, когда второе условие не удовлетворено, определять, что целевой объект является вредоносным.
10. Машиночитаемый носитель информации по п. 9, причем
синхронный анализатор исключений дополнительно выполнен с возможностью, в ответ на определение, удовлетворено ли первое условие, когда первое условие удовлетворено, включать запрос на проведение анализа в очередь запросов, причем запрос на проведение анализа формулируется в соответствии со вторым условием, согласно указанному событию, а также согласно целевому объекту, и
асинхронный анализатор исключений дополнительно выполнен с возможностью, при подготовке к определению, удовлетворено ли второе условие, удалять запрос на проведение анализа из очереди запросов.
11. Машиночитаемый носитель информации по п. 10, причем аппаратный процессор дополнительно выполнен с возможностью
в ответ на обнаружение попытки завершить целевой объект, приостанавливать указанную попытку; и
в ответ на приостановку попытки, переключаться на исполнение контроллера завершения, соединенного с асинхронным анализатором исключений, причем контроллер завершения выполнен с возможностью:
искать в очереди запросов второй запрос на проведение анализа, сформулированный согласно целевому объекту, причем второй запрос на проведение анализа указывает третье условие,
запускать асинхронный анализатор исключений для обработки второго запроса на проведение анализа, и
в ответ на запуск асинхронного анализатора исключений, когда асинхронный анализатор исключений определяет, что третье условие удовлетворено, заставлять аппаратный процессор возобновлять попытку завершения целевого объекта.
12. Машиночитаемый носитель информации по п. 9, причем целевой объект исполняется внутри гостевой виртуальной машины, открытой посредством хостовой системы, причем асинхронный анализатор исключений исполняется за пределами гостевой виртуальной машины.
13. Машиночитаемый носитель информации по п. 12, причем асинхронный анализатор исключений исполняется в пределах виртуальной машины обеспечения безопасности, открытой посредством гостевой системы, при этом виртуальная машина обеспечения безопасности исполняется одновременно с гостевой виртуальной машиной.
14. Машиночитаемый носитель информации по п. 9, причем сигнатура исключения из правила выполнена так, что определение, удовлетворено ли первое условие, имеет существенно более низкие вычислительные затраты по сравнению с определением, удовлетворено ли второе условие.
15. Машиночитаемый носитель информации по п. 9, причем событие включает в себя попытку получить доступ к памяти хостовой системы, при которой нарушается разрешение на доступ к памяти.
16. Машиночитаемый носитель информации по п. 9, причем
определение, удовлетворено ли первое условие, предусматривает определение, внедрил ли целевой объект код во второй объект; и
определение, удовлетворено ли второе условие, предусматривает определение, является ликод вредоносным.
17. Способ защиты хостовой системы от угроз нарушения компьютерной безопасности, причем хостовая система содержит аппаратный процессор и память, в соответствии с которым
применяют аппаратный процессор для обнаружения наступления события, вызванного исполнением целевого объекта;
в ответ на обнаружение наступления события, применяют аппаратный процессор для приостановки исполнения целевого объекта; и
в ответ на приостановку исполнения целевого объекта, применяют аппаратный процессор для переключения на исполнение синхронного анализатора исключений, выполненного с возможностью:
определять, подозревается ли целевой объект во вредоносности согласно указанному событию,
в ответ, когда целевой объект подозревается во вредоносности, выборочно извлекать сигнатуру исключения из правила из множества сигнатур исключения из правила, причем сигнатура исключения из правила извлекается согласно указанному событию, причем сигнатура исключения из правила содержи т кодировку первого условия и кодировку второго условия,
в ответ на извлечение сигнатуры исключения из правила, определяют, удовлетворено ли первое условие согласно указанному событию и согласно целевому объекту,
в ответ на определение, удовлетворено ли первое условие, когда первое условие удовлетворено, заставляют аппаратный процессор возобновлять исполнение целевого объекта, и
в ответ на определение, удовлетворено ли первое условие, когда первое условие не удовлетворено, определяют, что целевой объект является вредоносным;
в ответ на возобновление аппаратным процессором исполнения целевого объекта, применяют аппаратный процессор для определения, удовлетворено ли второе условие согласно указанному событию и согласно целевому объекту;
в ответ на определение, удовлетворено ли второе условие, когда второе условие удовлетворено, определяют, что целевой объект не является вредоносным; и
в ответ на определение, удовлетворено ли второе условие, когда второе условие не удовлетворено, определяют, что целевой объект является вредоносным.
18. Способ по п. 17, в котором дополнительно
в ответ на определение, удовлетворено ли первое условие, когда первое условие удовлетворено, применяют аппаратный процессор для включения запроса на проведение анализа в очередь запросов, причем запрос на проведение анализа формулируют в соответствии со вторым условием, согласно указанному событию, а также согласно целевому объекту; и
при подготовке к определению, удовлетворено ли второе условие, применяют аппаратный процессор для удаления запроса на проведение анализа из очереди запросов.
19. Способ по п. 18, в котором дополнительно
в ответ на обнаружение попытки завершить целевой объект применяют аппаратный процессор для приостановки указанной попытки; и
в ответ на приостановку попытки применяют аппаратный процессор для поиска в очереди запросов второго запроса на проведение анализа, сформулированного согласно целевому объекту, причем второй запрос на проведение анализа указывает третье условие,
в ответ на поиск второго запроса на проведение анализа определяют, удовлетворено ли третье условие согласно целевому объекту;
в ответ, когда третье условие удовлетворено, применяют аппаратный процессор для завершения целевого объекта.