節(jié)點主動監(jiān)控機制一般是通過調用在操作系統(tǒng)伤为、虛擬機監(jiān)視器（VMM）袱耽、底層函數和中間件中的鉤子函數來實現對上層行為的監(jiān)控粱锐。監(jiān)控過程過程可抽象為可信度量、可信決策扛邑、可信控制怜浅。同時，對系統(tǒng)中已有的安全機制，可信軟件也可以通過策略輸出和審計接入將它們納入系統(tǒng)的可信保障體系架構中恶座，并向這些安全機制提供可信支撐搀暑。
鉤子機制原理
鉤子機制是windows、linux等同樣操作系統(tǒng)以及虛擬機跨琳、中間件等場合常用的安全機制自点，為開發(fā)者提供相對獨立的安全機制開發(fā)環(huán)境÷鋈茫可信軟件基與操作系統(tǒng)訪問控制機制的對接就是通過鉤子機制實現的桂敛。
Linux安全模塊(LSM)是代表性的安全鉤子機制，通過在操作系統(tǒng)內核中提供一個通用的訪問控制框架來解決系統(tǒng)安全問題溅潜。LSM允許安全策略以內核模塊的形式加載术唬，目標是通過給Linux一個安全策略執(zhí)行的標準API接口，以方便Linux環(huán)境的安全改造滚澜。
LSM采取鉤子機制接入系統(tǒng)調用中對內核的內部對象（任務粗仓、索引節(jié)點、文件等）處理過程设捐，一般流程為：在系統(tǒng)調用的合適位置插入一個函數調用接口借浊，該接口提供一組通用的安全API，用戶可以按照這些API自行編寫安全策略處理函數萝招，并通過LSM加載機制讓用戶的安全策略處理流程對接到這些API上蚂斤。當用戶執(zhí)行系統(tǒng)調用時，首先按照正常的系統(tǒng)調用順序執(zhí)行到LSM機制插入的函數調用接口處槐沼，調用接口通過安全API訪問用戶提供的安全策略處理函數曙蒸，完成后返回出處理結果。系統(tǒng)調用可以根據這一處理結果決定調用是否返回母赵，也可以存儲處理過程中獲取的信息以備其他鉤子函數使用。
主動免疫機制
系統(tǒng)運行時的主動免疫機制由控制機制具滴、判定機制凹嘲、度量機制和可信基準庫聯合組成」乖希控制機制實現與系統(tǒng)監(jiān)視點和安全機制點的對接周蹭，度量機制對系統(tǒng)的行為實施度量，判定機制根據判定策略決定對系統(tǒng)行為的授權疲恢、拒絕和其他處理方式凶朗。每一個機制都有自己的策略庫，而可信基準庫則為系統(tǒng)安全機制和安全策略提供可信基準值显拳，為系統(tǒng)度量本地節(jié)點和遠程節(jié)點提供可信依據棚愤，以支撐主動免疫機制的可信運行。
系統(tǒng)運行時主動免疫的工作流程分為四個步驟：
- 控制機制依據策略對系統(tǒng)實施主動監(jiān)控，控制包括文件/設備的打開宛畦、讀瘸洛、寫、程序的執(zhí)行等次和，并收集度量點處受度量對象的上下文信息（主體反肋、客體、操作踏施、環(huán)境）傳遞給度量機制石蔗。
- 度量機制依據度量策略對不同的度量點（如系統(tǒng)環(huán)境度量點、進程環(huán)境度量點畅形、文件訪問控制度量點养距、設備控制度量點、網絡通信度量點等）設置合適的度量方法（如完整性度量和行為度量方法等）束亏。度量機制依據度量策略對控制機制傳遞的受度量信息（主體铃在、客體、操作碍遍、環(huán)境等）進行可信度量定铜，并將度量結果發(fā)送至判定機制。
- 判定機制對度量信息機制產生的度量結果進行綜合判定怕敬。判定機制利用系統(tǒng)運行環(huán)境的基準配置信息對系統(tǒng)運行環(huán)境的度量結果進行判定揣炕，利用應用的基準配置信息對應用啟動時的度量結果進行判定，利用應用的基準行為信息對應用的行為度量結果進行判定东跪。
- 控制機制根據判定機制返回的判定結果對受度量對象進行處理畸陡，包括執(zhí)行、阻止虽填、隔離丁恭、審計等。處理方式根據系統(tǒng)的實際安全需求靈活配置斋日。
可信機制與已有安全機制的對接
可信3.0不會取代現有安全機制牲览，它可以為安全機制提供可信支撐，保障安全機制運行環(huán)境的可信恶守，讓安全機制更好地集成到系統(tǒng)安全框架中第献。
各種安全產品的安全機制，實質是依據一定的安全策略兔港，對其上層的運行環(huán)境進行監(jiān)控庸毫。可抽象為一個輸入安全策略衫樊、完成功能并輸出審計信息的模塊飒赃，這一模塊需要有一個底層的可信運行環(huán)境來支持其可靠運行，并通過它的安全功能保護其上層運行環(huán)境的安全。
在可信3.0體系下：
- 底層的可信計算機制可以對產品安全機制的底層運行環(huán)境進行可信度量盒揉，確保其底層運行環(huán)境的可信晋被。
- 與產品安全機制同一層面的可信計算機制可以與安全產品對接，將安全管理中心配置的安全策略發(fā)送給產品安全機制刚盈，同時接受產品安全機制獲得的審計信息羡洛，并將其發(fā)送給安全管理中心進行分析，使產品安全機制可以集成到系統(tǒng)的可信保障體系中藕漱。
- 主動可信免疫還可以建立起安全機制和其他安全機制之間的協(xié)作關系欲侮。
、
