THREAT DEFENSE TECHNIQUES

In an approach, an intermediary guest manager operates within a virtual machine hosted by a host machine and managed by a hypervisor. The intermediary guest manager manages one or more guest operating systems operating within the virtual machine and implements one or more security services for the guest operating systems. The security services provided to the guest operating systems may include system call filtering, memory protections, secure memory dumps, and others. In some cases, the intermediary guest manager consults a threat defense policy which contains a number of records, where each record has one or more triggers representing suspicious activity and one or more actions to take in response to being triggered. When the intermediary guest manager identifies a request, such as a system call or memory access, that meets the trigger of a particular record, the intermediary guest manager executes the associated actions to remediate the suspicious activity. Dans une approche, un gestionnaire d'invité intermédiaire fonctionne dans une machine virtuelle hébergée par une machine hôte et gérée par un hyperviseur. Le gestionnaire d'invité intermédiaire gère un ou plusieurs systèmes d'exploitation invités s'exécutant dans la machine virtuelle et met en œuvre un ou plusieurs services de sécurité pour les systèmes d'exploitation invités. Les services de sécurité fournis aux systèmes d'exploitation invités peuvent comprendre un filtrage d'appels système, des protections de mémoire, des vidages de mémoire sécurisés, etc. Dans certains cas, le gestionnaire d'invité intermédiaire consulte une politique de défense contre les menaces qui contient un certain nombre d'enregistrements, chaque enregistrement comprenant un ou plusieurs déclencheurs représentant une activité suspecte ainsi qu'une ou plusieurs actions à effectuer en réponse à un déclenchement. Lorsque le gestionnaire d'invité intermédiaire identifie une demande, telle qu'un appel système ou un accès mémoire, qui répond au déclenchement d'un enregistrement particulier, le gestionnaire d'invité intermédiaire exécute les actions associées afin de remédier à l'activité suspecte.