技术总结
本发明公开了一种基于版本控制的在线快照管理方法及系统，属于计算机安全领域。本发明基于特定内核事件的增量快照机制能够及时生成增量快照以记录被取证系统的状态信息，设置增量快照容量上限，当快照占用空间超过阀值时，自动将某一时间以前的增量快照和基快照合并成新的基快照，基快照能够通过和增量快照进行合并操作还原到已记录的，任意时间任意地址时的虚拟机内存状态。在对快照进行机器语言到应用语言的翻译，发现系统状态的异常改变。本发明还实现了该方法的系统。本发明独立于被取证系统，使得快照和分析结果具有高可信性，另外基于内核特定事件的增量快照机制实时运行开销小，能有效记录关键事件发生时系统的状态。
技术研发人员：邹雅毅;张盼
受保护的技术使用者：华中科技大学附属中学;华中科技大学
文档号码：201610763864
技术研发日：2016.08.30
技术公布日：2017.02.22