CN103561045A - 用于Android系统的安全监测系统和方法 - Google Patents

Abstract

本发明提供了一种用于Android系统的安全监测系统，包括：配置管理单元，被配置为对安全策略进行配置；集中管理单元，被配置为根据安全策略来执行安全检测；以及多个检测单元，每一个检测单元被配置为通过集中管理单元来检测要执行的应用是否安全，其中，多个检测单元位于Android系统中的不同层级。本发明还提供了一种用于Android系统的安全监测方法。采用本发明，能够有效地防止对Android系统资源、数据、访问行为的非授权的非安全获取，极大地提高了Android系统的安全性。

Description

用于Android系统的安全监测系统和方法

技术领域

本发明涉及移动通信领域。更具体地，本发明涉及一种用于Android系统的安全监测系统和方法。

背景技术

Android系统因为其开放性和过度开放，对Android系统资源的使用缺乏有效安全监管和越权使用，导致因为权限和资源滥用产生病毒、木马、漏洞等安全危害。目前，基于Android的安全产品或技术已经对资源的越权行为进行了告警或限制等操作，并通过应用层的管理配置可以设定安全访问控制策略，实现一定程度的资源或数据的安全访问管理。

针对资源或数据的安全访问管理，现有安全技术主要通过应用层安全检测和增强技术对资源非安全使用进行监控和管理，但是对Android内核的安全研究不够。加上安全策略局限性和专业知识用户决策缺乏以及无法在中间层防止已经允许安装的应用引起的权限提升攻击和未授权的数据共享，所以不能够有效地防止对Android系统资源、数据、访问行为的非授权的非安全获取。

发明内容

为了解决上述问题，本发明提供了一种在android系统上实现的资源安全访问的安全监测机制，能够有效地防止对android系统资源、数据、访问行为的非授权的非安全获取。

具体地，本发明提出一种在Android系统上实现资源安全访问的安全监测机制，以HOOK技术为基础实现以Android系统资源为保护对象的内核动态控制机制。设计从应用层到虚拟机到内核层到指令级别的HOOK检测机制，形成以HOOK集中管理器(MC)为检测中心，应用层HOOK模块(AH)、虚拟机HOOK模块(DH)、内核层HOOK模块(KH)和指令级HOOK模块(OH)的四级监控体系，结合配置管理应用(CM)进行安全检测策略设置，在系统不同层次执行安全策略检查工作，检测和判断执行过程、资源申请和使用、信息数据访问和使用过程是否安全。在本申请中，HOOK机制指在原有业务逻辑流程中加入新的业务逻辑模块，实现设计需要的功能。例如，原有业务逻辑为Flow1->Flow2，则在其中加入新业务逻辑检查(Check)，即，Flow1->Check->Flow2。

根据本发明的第一方案，提供了一种用于Android系统的安全监测系统，包括：配置管理单元，被配置为对安全策略进行配置；集中管理单元，被配置为根据安全策略来执行安全检测；以及多个检测单元，每一个检测单元被配置为通过集中管理单元来检测要执行的应用是否安全，其中，多个检测单元位于Android系统中的不同层级。

在一个实施例中，配置管理单元被配置为：将安全策略存储在指定位置，并且向集中管理单元和多个检测单元通知该指定位置。

在一个实施例中，集中管理单元被配置为：从指定位置获取安全策略，与每一个检测单元之间建立通信信道，以监听和处理来自每一个检测单元的安全检测请求。

在一个实施例中，多个检测单元包括应用层检测单元、虚拟机检测单元、内核层检测单元和指令级检测单元。

在一个实施例中，多个检测单元被配置为：根据配置管理单元所设置的日志管理规则，将各自的工作日志存储在指定位置。

在一个实施例中，多个检测单元被配置为：采用DES或3DES算法对各自的工作日志进行加密。

在一个实施例中，应用层检测单元被配置为：获取应用的行为信息及其关联的安全上下文信息，将获取的信息传递给集中管理单元以执行安全检测；以及如果集中管理单元的安全检测未通过，使所述应用停止执行并且将监测信息写入日志文件。

在一个实施例中，虚拟机检测单元被配置为：监测Java对象，将获取的Java对象的信息传递给集中管理单元以执行安全检测；以及如果集中管理单元的安全检测未通过，使所述应用停止执行并且将监测信息写入日志文件。

在一个实施例中，内核层检测单元被配置为：监测对内核资源的使用，将监测的内容传递给集中管理单元以执行安全检测；以及如果集中管理单元的安全检测未通过，使所述应用停止执行并且将监测信息写入日志文件。

在一个实施例中，指令级检测单元被配置为：对应用要被执行的二进制代码进行反汇编分析，将原始代码翻译为等效指令，并插入行为监控指令，以形成分析信息并将分析信息传递给集中管理单元以执行安全检测；以及如果集中管理单元的安全检测未通过，使所述应用停止执行并且将监测信息写入日志文件。

根据本发明的第二方案，提供了一种用于Android系统的安全监测方法，包括：对安全策略进行配置；以及在Android系统中的不同层级中，分别通过与集中管理单元进行通信而执行安全检测；其中，所述不同层级包括应用层、虚拟机、内核层和指令级。

在一个实施例中，将安全策略存储在指定位置，并且通知该指定位置。

在一个实施例中，从指定位置获取安全策略，与每一个层级之间建立通信信道，以监听和处理来自每一个层级的安全检测请求。

在一个实施例中，根据日志管理规则，将与不同层级的检测相对应的工作日志存储在指定位置。

在一个实施例中，采用DES或3DES算法对各自的工作日志进行加密。

在一个实施例中，应用层的检测包括：获取应用的行为信息及其关联的安全上下文信息，将获取的信息传递给集中管理单元以执行安全检测；以及如果集中管理单元的安全检测未通过，使所述应用停止执行并且将监测信息写入日志文件。

在一个实施例中，虚拟机的检测包括：监测Java对象，将获取的Java对象的信息传递给集中管理单元以执行安全检测；以及如果集中管理单元的安全检测未通过，使所述应用停止执行并且将监测信息写入日志文件。

在一个实施例中，内核层的检测包括：监测对内核资源的使用，将监测的内容传递给集中管理单元以执行安全检测；以及如果集中管理单元的安全检测未通过，使所述应用停止执行并且将监测信息写入日志文件。

在一个实施例中，指令级的检测包括：对应用要被执行的二进制代码进行反汇编分析，将原始代码翻译为等效指令，并插入行为监控指令，以形成分析信息并将分析信息传递给集中管理单元以执行安全检测；以及如果集中管理单元的安全检测未通过，使所述应用停止执行并且将监测信息写入日志文件。

优选地，本发明可以通过采用动态二进制代码补丁的方式进行加载。这样，运行过程中可以不用对内核及应用层进行重新编译。

采用本发明，能够有效地防止对Android系统资源、数据、访问行为的非授权的非安全获取，极大地提高了Android系统的安全性。

附图说明

通过下面结合附图说明本发明的优选实施例，将使本发明的上述及其它目的、特征和优点更加清楚，其中：

图1是示出了根据本发明一个实施例的用于Android系统的安全监测系统的框图。

图2是示出了根据本发明一个实施例的用于Android系统的安全监测方法的流程图。

在本发明的所有附图中，相同或相似的结构均以相同或相似的附图标记来标识。

具体实施方式

下面参照附图对本发明的优选实施例进行详细说明，在描述过程中省略了对于本发明来说是不必要的细节和功能，以防止对本发明的理解造成混淆。

图1是示出了根据本发明一个实施例的用于Android系统的安全监测系统的框图。如图1所示，系统10包括配置管理单元110、集中管理单元120和多个检测单元130-160。下面，对图1所示的系统10的各个组件进行详细描述。

配置管理单元110被配置为对安全策略进行配置。例如，配置管理单元110可以将安全策略存储在指定位置，并且向集中管理单元120和多个检测单元130-160通知该指定位置。

集中管理单元120被配置为根据安全策略来执行安全检测。例如，集中管理单元120可以从指定位置获取安全策略，与每一个检测单元之间建立通信信道，以监听和处理来自每一个检测单元的安全检测请求。

多个检测单元130-160中的每一个检测单元被配置为通过集中管理单元来检测要执行的应用是否安全。其中，多个检测单元位于Android系统中的不同层级。例如，如图1所示，在本实施例中，多个检测单元130-160可以包括应用层检测单元130、虚拟机检测单元140、内核层检测单元150和指令级检测单元160。

多个检测单元130-160可以根据配置管理单元110所设置的日志管理规则，将各自的工作日志存储在指定位置。优选地，多个检测单元130-160可以采用DES或3DES算法对各自的工作日志进行加密。

在本实施例中，应用层检测单元130获取应用的行为信息及其关联的安全上下文信息，将获取的信息传递给集中管理单元120以执行安全检测。如果集中管理单元120的安全检测未通过，则应用层检测单元130使所述应用停止执行，并且将监测信息写入日志文件。

在本实施例中，虚拟机检测单元140监测Java对象，将获取的Java对象的信息传递给集中管理单元120以执行安全检测。如果集中管理单元120的安全检测未通过，则虚拟机检测单元140使所述应用停止执行，并且将监测信息写入日志文件。

在本实施例中，内核层检测单元150监测对内核资源的使用，将监测的内容传递给集中管理单元120以执行安全检测。如果集中管理单元120的安全检测未通过，则内核层检测单元150使所述应用停止执行，并且将监测信息写入日志文件。

在本实施例中，指令级检测单元160对应用要被执行的二进制代码进行反汇编分析，将原始代码翻译为等效指令，并插入行为监控指令，以形成分析信息并将分析信息传递给集中管理单元120以执行安全检测。如果集中管理单元120的安全检测未通过，则指令级检测单元160使所述应用停止执行，并且将监测信息写入日志文件。

下面，详细描述图1所示的系统10的一个应用示例。

实现

配置管理单元110完成安全策略配置、HOOK检测模块控制和日志管理方式的配置管理功能。安全策略配置设计或修改完毕后，通过明文方式存储在系统指定位置，例如/sdcard/hook/secpolicy。

集中管理单元120完成分析引擎和与HOOK模块的通信机制，并以最高权限系统后台Service方式运行。按照配置管理单元110设定的日志记录方式，将工作日志采用DES或3DES算法加密后存放在指定位置，例如/sdcard/hook/mcanalysis_log。

应用层检测单元130以后台Service方式运行。按照配置管理单元110设定的日志记录方式，将工作日志采用DES或3DES算法加密后存放在指定位置，比如，/sdcard/hook/appcheck_log。

虚拟机检测单元140工作在虚拟机内部，按照配置管理单元110设定的日志记录方式，将工作日志采用DES或3DES算法加密后存放在指定位置，例如/sdcard/hook/dalvikcheck_log。

内核层检测单元150工作在Android内核层，通过内核模块方式运行。按照配置管理单元110设定的日志记录方式，采用DES或3DES算法加密后存放在指定位置，例如/sdcard/hook/kernelcheck_log。

指令级检测单元160工作在Android内核层，包括反汇编分析引擎(AF)和指令翻译引擎(OE)，并通过内核模块方式运行。按照配置管理单元110设定的日志记录方式，采用DES或3DES算法加密后存放在指定位置，例如/sdcard/hook/opcheck_log。

操作流程

系统启动后，依次启动配置管理单元110、集中管理单元120、应用层检测单元130、虚拟机检测单元140、内核层检测单元150和指令级检测单元160。

配置管理单元110启动完毕后，从指定的文件路径将安全检测策略通过共享内存方式加载至内存，并将该段起始地址存放在应用可访问的指定路径和文件中，例如/sdcard/hook/secpolicy_addr。然后，配置管理单元110通过系统消息机制发出通知。同时，在运行过程中，一旦配置管理单元110对安全检测策略进行配置更新，在更新完毕后需要通过系统消息方式通知各个检测单元。

集中管理单元120收到配置管理单元110的通知消息后，从指定路径和文件中(例如/sdcard/hook/secpolicy_addr)获取共享内存地址信息，然后从指定位置中读取当前安全检测策略配置。之后，形成多个安全检测规则队列。集中管理单元120监听和处理来自各个检测单元的安全检测请求，并决定被检测的应用是否能够继续执行。

当应用被系统或用户启动后，检测单元130-160将从各自所在层级进行监测，实现了多层级监测过程。具体如下：

当应用从应用层发出资源请求时，应用层检测单元130对两类对象目标受控应用和系统关键服务进行监控，获取比内核更为详细的应用行为信息。应用层检测单元130拦截到关键行为后，获取其关联安全上下文信息，并将其一方面传递给集中管理单元120，另一方面将其值作为参数传给指定系统调用，以保证后续的内核层检测单元150可以获取到应用层相关信息，从而进行后续行为判断。

应用层检测单元130等待集中管理单元120的检测结果。如果检测通过，应用可以继续执行并发出后续的资源请求行为。如果检测失败，应用层检测单元130发送系统消息和触发相应的系统模块采取动作终止应用的继续执行，并将监测信息通过明文方式写入指定的日志文件中。

应用通过应用层检测单元130的检测后，由虚拟机检测单元140进行检测。此时，虚拟机检测单元140通过HOOK内部接口，实现对应用执行过程中Java对象创建行为的拦截，并且将其替换为这里设计实现的HOOK对象。这样，保证了针对Java对象的所有调用首先进入HOOK对象，从而完成对Java对象的监控。HOOK对象会保存原Java对象的引用信息，以确保可根据需要调用原对象的任何方法，并将监控获得到的消息传递给集中管理单元120进行安全检测分析。

虚拟机检测单元140等待集中管理单元120的检测结果。如果检测通过，应用将继续执行并可产生后续的资源请求行为。如果检测失败，虚拟机检测单元140发送系统消息和触发相应的系统模块采取动作终止应用的继续执行，并将监测信息通过明文方式写入指定的日志文件中。

通过虚拟机检测单元140实现的HOOK安全检查后，应用后续对内核资源的申请使用将会被内核层检测单元150进行安全检测。内核层检测单元150通过对系统调用表进行HOOK，对应用层向内核层的发起的调用请求通过内核HOOK层进行校验。通过对IPC内容使用内核层HOOK获取并解析通信数据，拦截应用层之间的接口调用行为。将监控到的内容传递给集中管理单元120进行安全检测分析。

内核层检测单元150等待集中管理单元120的检测结果。如果检测通过，应用继续执行。如果检测失败，内核层检测单元150发送系统消息和触发相应的系统模块采取动作终止应用的继续执行，并将监测信息通过明文方式写入指定的日志文件中。

通过对系统调用阶段的资源申请的HOOK安全检查后，应用后续对内核资源的申请使用是否安全会由指令级检测单元160采用针对ARM平台的内联HOOK方式进行安全检测。指令级检测单元160对应用在CPU阶段可能会被执行的目标接口二进制代码进行反汇编分析，提取指令序列中的跳转代码，识别出可替换的指令序列，并进行翻译。指令级检测单元160将原始代码翻译成ARM平台等效指令，并在其尾部插入行为监控指令以形成集中管理单元120可检测的分析信息。将该信息通过指定的通信方式传递给集中管理单元120，以进行安全检测分析。

指令级检测单元160等待集中管理单元120的检测结果。如果检测通过，应用继续执行。如果检测失败，指令级检测单元160发送系统消息和触发相应的系统模块采取动作终止应用的继续执行，并将监测信息通过明文方式写入指定的日志文件中。

应用如果通过了应用层检测单元130、虚拟机检测单元140、内核层检测单元150和指令级检测单元160的安全HOOK检测，则认为该应用在Android终端上的资源申请访问行为是安全的，同时全部监测结果会被写入指定的日志文件和配置文件中，例如写入以下地址：/sdcard/hook/appmonitoF_result。

另外，对应用的HOOK安全监测可以通过配置管理单元110的状态显示功能实现对应用执行安全监控状态的动态监控。

采用本发明，能够有效地防止对Android系统资源、数据、访问行为的非授权的非安全获取，极大地提高了Android系统的安全性。

图2是示出了根据本发明一个实施例的用于Android系统的安全监测方法的流程图。。如图2所示，方法20在步骤S210处开始。

在步骤S220处，对安全策略进行配置。例如，可以将安全策略存储在指定位置，并且通知该指定位置。

在步骤S230处，在Android系统中的不同层级中，分别通过与集中管理单元进行通信而执行安全检测。其中，所述不同层级可以包括应用层、虚拟机、内核层和指令级。可以从指定位置获取安全策略，与每一个层级之间建立通信信道，以监听和处理来自每一个层级的安全检测请求。备选地，根据日志管理规则，将与不同层级的检测相对应的工作日志存储在指定位置。优选地，可以采用DES或3DES算法对各自的工作日志进行加密。

例如，应用层的检测可以包括：获取应用的行为信息及其关联的安全上下文信息，将获取的信息传递给集中管理单元以执行安全检测；以及如果集中管理单元的安全检测未通过，使所述应用停止执行并且将监测信息写入日志文件。

例如，虚拟机的检测可以包括：监测Java对象，将获取的Java对象的信息传递给集中管理单元以执行安全检测；以及如果集中管理单元的安全检测未通过，使所述应用停止执行并且将监测信息写入日志文件。

例如，内核层的检测可以包括：监测对内核资源的使用，将监测的内容传递给集中管理单元以执行安全检测；以及如果集中管理单元的安全检测未通过，使所述应用停止执行并且将监测信息写入日志文件。

例如，指令级的检测可以包括：对应用要被执行的二进制代码进行反汇编分析，将原始代码翻译为等效指令，并插入行为监控指令，以形成分析信息并将分析信息传递给集中管理单元以执行安全检测；以及如果集中管理单元的安全检测未通过，使所述应用停止执行并且将监测信息写入日志文件。

应用如果通过了上述多个层级的安全HOOK检测，则认为该应用在Android终端上的资源申请访问行为是安全的，同时全部监测结果会被写入指定的日志文件和配置文件中。

最后，方法20在步骤S240处结束。

应该理解，本发明的上述实施例可以通过软件、硬件或者软件和硬件两者的结合来实现。例如，图1所示的系统10内的各种组件可以通过多种器件来实现，这些器件包括但不限于：模拟电路、数字电路、通用处理器、数字信号处理(DSP)电路、可编程处理器、专用集成电路(ASIC)、现场可编程门阵列(FPGA)、可编程逻辑器件(CPLD)，等等。另外，系统10内的各种组件也可以通过硬件与软件相结合的方式来实现，或者完全以软件的形式来实现。

另外，本领域的技术人员可以理解，本发明实施例中描述的数据可以存储在本地数据库中，也可以存储在分布式数据库中或者可以存储在远程数据库中。

此外，这里所公开的本发明的实施例可以在计算机程序产品上实现。更具体地，该计算机程序产品是如下的一种产品：具有计算机可读介质，计算机可读介质上编码有计算机程序逻辑，当在计算设备上执行时，该计算机程序逻辑提供相关的操作以实现本发明的上述技术方案。当在计算系统的至少一个处理器上执行时，计算机程序逻辑使得处理器执行本发明实施例所述的操作(方法)。本发明的这种设置典型地提供为设置或编码在例如光介质(例如CD-ROM)、软盘或硬盘等的计算机可读介质上的软件、代码和/或其他数据结构、或者诸如一个或多个ROM或RAM或PROM芯片上的固件或微代码的其他介质、或一个或多个模块中的可下载的软件图像、共享数据库等。软件或固件或这种配置可安装在计算设备上，以使得计算设备中的一个或多个处理器执行本发明实施例所描述的技术方案。

至此已经结合优选实施例对本发明进行了描述。应该理解，本领域技术人员在不脱离本发明的精神和范围的情况下，可以进行各种其它的改变、替换和添加。因此，本发明的范围不局限于上述特定实施例，而应由所附权利要求所限定。

Claims (19)

1.一种用于Android系统的安全监测系统，包括：

配置管理单元，被配置为对安全策略进行配置；

集中管理单元，被配置为根据安全策略来执行安全检测；以及

多个检测单元，每一个检测单元被配置为通过集中管理单元来检测要执行的应用是否安全，其中，多个检测单元位于Android系统中的不同层级。

2.根据权利要求1所述的系统，其中，配置管理单元被配置为：将安全策略存储在指定位置，并且向集中管理单元和多个检测单元通知该指定位置。

3.根据权利要求1所述的系统，其中，集中管理单元被配置为：从指定位置获取安全策略，与每一个检测单元之间建立通信信道，以监听和处理来自每一个检测单元的安全检测请求。

4.根据权利要求1所述的系统，其中，多个检测单元包括应用层检测单元、虚拟机检测单元、内核层检测单元和指令级检测单元。

5.根据权利要求1所述的系统，其中，多个检测单元被配置为：根据配置管理单元所设置的日志管理规则，将各自的工作日志存储在指定位置。

6.根据权利要求5所述的系统，其中，多个检测单元被配置为：采用数据加密标准DES或三重数据加密标准3DES对各自的工作日志进行加密。

7.根据权利要求4所述的系统，其中，应用层检测单元被配置为：

获取应用的行为信息及其关联的安全上下文信息，将获取的信息传递给集中管理单元以执行安全检测；以及

如果集中管理单元的安全检测未通过，使所述应用停止执行并且将监测信息写入日志文件。

8.根据权利要求4所述的系统，其中，虚拟机检测单元被配置为：

监测Java对象，将获取的Java对象的信息传递给集中管理单元以执行安全检测；以及

如果集中管理单元的安全检测未通过，使所述应用停止执行并且将监测信息写入日志文件。

9.根据权利要求4所述的系统，其中，内核层检测单元被配置为：

监测对内核资源的使用，将监测的内容传递给集中管理单元以执行安全检测；以及

如果集中管理单元的安全检测未通过，使所述应用停止执行并且将监测信息写入日志文件。

10.根据权利要求4所述的系统，其中，指令级检测单元被配置为：

对应用要被执行的二进制代码进行反汇编分析，将原始代码翻译为等效指令，并插入行为监控指令，以形成分析信息并将分析信息传递给集中管理单元以执行安全检测；以及

如果集中管理单元的安全检测未通过，使所述应用停止执行并且将监测信息写入日志文件。

11.一种用于Android系统的安全监测方法，包括：

对安全策略进行配置；以及

在Android系统中的不同层级中，分别通过与集中管理单元进行通信而执行安全检测；

其中，所述不同层级包括应用层、虚拟机、内核层和指令级。

12.根据权利要求11所述的方法，其中，将安全策略存储在指定位置，并且通知该指定位置。

13.根据权利要求11所述的方法，其中，从指定位置获取安全策略，与每一个层级之间建立通信信道，以监听和处理来自每一个层级的安全检测请求。

14.根据权利要求11所述的方法，其中，根据日志管理规则，将与不同层级的检测相对应的工作日志存储在指定位置。

15.根据权利要求14所述的方法，其中，采用数据加密标准DES或三重数据加密标准3DES算法对各自的工作日志进行加密。

16.根据权利要求11所述的方法，其中，应用层的检测包括：

获取应用的行为信息及其关联的安全上下文信息，将获取的信息传递给集中管理单元以执行安全检测；以及

如果集中管理单元的安全检测未通过，使所述应用停止执行并且将监测信息写入日志文件。

17.根据权利要求11所述的方法，其中，虚拟机的检测包括：

监测Java对象，将获取的Java对象的信息传递给集中管理单元以执行安全检测；以及

如果集中管理单元的安全检测未通过，使所述应用停止执行并且将监测信息写入日志文件。

18.根据权利要求11所述的方法，其中，内核层的检测包括：

监测对内核资源的使用，将监测的内容传递给集中管理单元以执行安全检测；以及

如果集中管理单元的安全检测未通过，使所述应用停止执行并且将监测信息写入日志文件。

19.根据权利要求11所述的方法，其中，指令级的检测包括：

对应用要被执行的二进制代码进行反汇编分析，将原始代码翻译为等效指令，并插入行为监控指令，以形成分析信息并将分析信息传递给集中管理单元以执行安全检测；以及

如果集中管理单元的安全检测未通过，使所述应用停止执行并且将监测信息写入日志文件。

Images