CN115600193A - 应用监控方法、装置、电子设备和计算机可读存储介质 - Google Patents

Abstract

本申请提供了一种应用监控方法、装置、电子设备和计算机可读存储介质，其中，该方法包括：在目标应用程序运行之初，根据该目标应用程序的应用相关文件，计算出第一验证值；在该目标应用程序运行过程中，根据目标应用程序的应用相关文件，计算出第二验证值；将该第一验证值与该第二验证值进行对比，以确定出该目标应用程序的验证结果；根据该验证结果以及该目标应用程序对应的监控策略，确定出监控动作。

Description

应用监控方法、装置、电子设备和计算机可读存储介质

技术领域

本申请涉及计算机安全技术领域，具体而言，涉及一种应用监控方法、装置、电子设备和计算机可读存储介质。

背景技术

随着各种网络设备、移动设备之间数据流交互日益增加，各数据交流流程的安全性也就直接关系到用户数据、计算机设备的安全。而一个完整的数据交互流程中，承载着数据收发、数据处理等操作的应用程序的安全也就直接关系到数据交流流程的安全。而目前的应用程序的监控，通常是通过设置监控策略监控应用的动作是否存在异常，但是目前的应用程序的监控的手段安全性与可靠性依然存在不足。

发明内容

本申请的目的在于提供一种应用监控方法、装置、电子设备和计算机可读存储介质，以改善应用的监控所存在的安全性不足的问题。

第一方面，本发明提供一种应用监控方法，包括：在目标应用程序运行之初，根据所述目标应用程序的应用相关文件，计算出第一验证值；在所述目标应用程序运行过程中，根据目标应用程序的应用相关文件，计算出第二验证值；将所述第一验证值与所述第二验证值进行对比，以确定出所述目标应用程序的验证结果；根据所述验证结果以及所述目标应用程序对应的监控策略，确定出监控动作。

在上述实施方式中，通过对比应用程序运行之初以及运行过程中的应用相关文件是否存在变化，以确定出该应用程序是否被篡改，以确定该应用程序的运行是否存在安全隐患，基于该安全隐患的确定提供相关的监控动作，可以实现更准确地确定当前的应用程序的运行的安全性，以及提供相应的监控动作，也能够对存在潜在风险的应用程序提供有利的操作，从而提高应用程序运行的安全性。

在可选的实施方式中，所述应用相关文件包括所述目标应用程序的目标应用文件和所述目标应用程序的目标内存映像；

所述在目标应用程序运行之初，根据所述目标应用程序的应用相关文件，计算出第一验证值，包括：在目标应用程序运行之初，根据所述目标应用程序的目标应用文件，计算出第一应用验证值；以及根据所述目标应用程序的目标内存映像，计算出第一映像验证值；

所述在所述目标应用程序运行过程中，根据所述目标应用程序的应用相关文件，计算出第二验证值，包括：在所述目标应用程序运行过程中，根据所述目标应用程序的目标应用文件，计算出第二应用验证值；以及根据所述目标应用程序的目标内存映像，计算出第二映像验证值；

所述将所述第一应用验证值与所述第二应用验证值进行对比，以确定出所述目标应用程序的验证结果，包括：将所述第一应用验证值与所述第二应用验证值进行对比，以及将所述第一映像验证值与所述第二映像验证值进行对比，以确定出所述目标应用程序的验证结果。

在上述实施方式中，可以监控应用程序的应用文件，以及被执行过程中的内存映像是否存在异常，可以实现更全面地应用程序的识别，识别出应用程序是否被篡改，从而也可以使应用程序的监控可以更准确，对应的监控动作也可以更及时应对监控需求，从而提高应用程序的安全性。

在可选的实施方式中，所述根据所述目标应用程序的目标应用文件，计算出第二应用验证值，包括：

使用第一散列算法，根据所述目标应用程序的目标应用文件，计算出第二应用验证值；

所述根据目标应用程序的目标内存映像，计算出第二映像验证值，包括：

使用第二散列算法，根据所述目标应用程序的目标内存映像，计算出第二映像验证值，其中，所述第一散列算法与所述第二散列算法为相同的算法，或者，所述第一散列算法与所述第二散列算法为不同的算法。

在上述实施方式中，通过使用目标应用文件匹配的第一散列算法，目标内存映像匹配的第二散列算法，以适应应用程序的不同文件的计算需求。

在可选的实施方式中，所述第一散列算法为哈希算法；所述第二散列算法为哈希运算消息认证码算法。

在上述实施方式中，第一散列算法使用哈希算法可以提高对目标应用文件的验证值的计算效率，第二散列算法使用哈希运算消息认证码算法可以提高对目标内存映像计算的安全性，从而可以更好地适应不同文件的计算需求。

在可选的实施方式中，所述使用第二散列算法，根据所述目标应用程序的目标内存映像，计算出第二映像验证值，包括：使用第二散列算法，根据所述目标应用程序的目标内存映像以及预存的计算密钥，计算出第二映像验证值。

在上述实施方式中，可以结合计算密钥计算目标内存映像对应的第二映像验证值，可以使计算的第二映像验证值更好地体现目标内存映像，也能够使目标内存映像的验证更准确。

在可选的实施方式中，所述使用第二散列算法，根据所述目标应用程序的目标内存映像以及预存的计算密钥，计算出第二映像验证值，包括：

调用目标密码卡，使用所述目标密码卡提供的第二散列算法，根据所述目标内存映像以及预存的计算密钥，计算得到第二映像验证值。

在可选的实施方式中，所述调用目标密码卡，使用所述目标密码卡提供的第二散列算法，根据所述目标内存映像以及预存的计算密钥，计算得到第二映像验证值，包括：

调用目标密码卡，通过所述目标密码卡提供的第二散列算法接口，获取所述目标内存映像以及计算密钥标识；

根据所述计算密钥标识确定出计算密钥；

使用所述第二散列算法接口提供的第二散列算法，根据所述目标内存映像以及所述计算密钥，计算得到第二映像验证值。

在可选的实施方式中，所述使用第一散列算法，根据所述目标应用程序的目标应用文件，计算出第二应用验证值，包括：

调用目标密码卡，通过所述目标密码卡提供的第一散列算法，根据所述目标应用程序的目标应用文件，计算出第二应用验证值。

在上述实施方式中，可以通过调用密码卡计算各项验证值，可以使各项验证值的计算的密码算法正确性、安全性、有效性均相对更好，从而提高计算得到的各项验证值的准确。

在可选的实施方式中，应用于电子设备，所述电子设备中运行有应用监控服务，所述应用监控服务用于执行对所述目标应用程序进行监控的流程；

在所述在目标应用程序运行之初，根据所述目标应用程序的应用相关文件，计算出第一验证值之前，所述方法还包括：

对所述目标密码卡进行初始化处理，以生成验签密钥对和加密密钥对；

使用所述验签密钥对和所述加密密钥对，对所述应用监控服务进行初始化处理，以得到计算密钥和所述计算密钥对应的计算密钥标识。

在上述实施方式中，还可以对该目标密码卡和应用监控服务进行初始化处理，从而实现密码卡中的密钥管理与配置，使密码卡的使用更安全与灵活。

在可选的实施方式中，所述使用所述验签密钥对和所述加密密钥对，对所述应用监控服务进行初始化处理，以得到计算密钥和所述计算密钥对应的计算密钥标识，包括：

通过所述应用监控服务调用所述目标密码卡的生成接口生成计算密钥和所述计算密钥对应的计算密钥标识；

使用所述验签密钥对中的签名密钥对所述计算密钥进行签名，生成密钥签名值；

使用所述加密密钥对中的加密密钥对所述密钥签名值进行加密，生成签名密文；

通过所述应用监控服务调用所述目标密码卡的验证接口，使用所述加密密钥对应的解密密钥对所述签名密文进行解密，以得到解密签名值；

使用所述验签密钥对中的验签密钥，对所述解密签名值进行验证；

若对所述解密签名值验证通过，则完成对所述应用监控服务的初始化。

在上述实施方式中，可以通过目标密码卡的初始化的密钥对应用监控服务与密码卡之间的调用关系进行初始化，可以使应用监控服务与密码卡之间的调用可以更加顺畅，也使应用监控服务与密码卡之间的调用更加安全。

在可选的实施方式中，所述方法还包括：若所述应用监控服务调用所述目标密码卡的生成接口失败，或者，所述应用监控服务调用所述目标密码卡的验证接口失败，通过所述目标密码卡向所述应用监控服务返回调用接口异常提示。

在上述实施方式中，在应用监控服务初始化过程中，如果对密码卡的接口的调用失败，还可以给用户提示，以供用户能够给予相应的补救措施。

在可选的实施方式中，所述方法还包括：

启动所述应用监控服务，读取所述应用监控服务的配置文件，所述配置文件中包括待监控应用列表；

确定当前运行中的应用程序是否存在属于待监控应用列表的应用程序；

若当前运行中的应用程序不存在属于待监控应用列表的应用程序，则输出告警提示。

在上述实施方式中，还可以通过应用监控服务对多个应用进行管理，在无应用启动时，输出相关告警提示，以提高应用监控服务的工作的有效率。

在可选的实施方式中，所述根据所述目标应用程序的应用相关文件，计算出第一验证值，包括：调用目标钩子函数，通过所述目标钩子函数调用目标应用程序，以获得所述目标应用程序的应用相关文件；根据所述应用相关文件，计算出第一验证值；

所述根据所述目标应用程序的应用相关文件，计算出第二验证值，包括：调用目标钩子函数，通过所述目标钩子函数调用目标应用程序，以获得所述目标应用程序的应用相关文件；根据所述应用相关文件，计算出第二验证值。

第二方面，本发明提供一种应用监控装置，包括：

第一计算模块，用于在目标应用程序运行之初，根据所述目标应用程序的应用相关文件，计算出第一验证值；

第二计算模块，用于在所述目标应用程序运行过程中，根据目标应用程序的应用相关文件，计算出第二验证值；

对比模块，用于将所述第一验证值与所述第二验证值进行对比，以确定出所述目标应用程序的验证结果；

第一确定模块，用于根据所述验证结果以及所述目标应用程序对应的监控策略，确定出监控动作。

第三方面，本发明提供一种电子设备，包括：处理器、存储器，所述存储器存储有所述处理器可执行的机器可读指令，当电子设备运行时，所述机器可读指令被所述处理器执行时执行如前述实施方式任意一项所述的方法的步骤。

第四方面，本发明提供一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，该计算机程序被处理器运行时执行如前述实施方式任意一项所述的方法的步骤。

本申请实施例的有益效果是：

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本申请实施例提供的电子设备的方框示意图；

图2为本申请实施例提供的应用监控方法的流程图；

图3为本申请实施例提供的应用监控方法的另一流程图；

图4为本申请实施例提供的应用监控方法的步骤212的可选流程图；

图5为本申请实施例提供的应用监控方法的再一流程图；

图6为本申请实施例提供的应用监控装置的功能模块示意图。

具体实施方式

下面将结合本申请实施例中附图，对本申请实施例中的技术方案进行描述。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。同时，在本申请的描述中，术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

为了提高应用程序运行的安全性，目前会对运行中的应用程序进行安全监控。目前一种对应用程序的监控方式是：先生成运行环境因素可信数据库，设置各项运行环境因素权重以及目标总体匹配度；然后获取Linux系统的各项运行环境因素计算实际总体匹配度，判断实际总体匹配度是否大于等于设置的目标总体匹配度，并以此来控制web应用是否可以运行。从上述实现方式可以看出，已处于运行状态的应用程序可能会跳出限制条件，导致出现环境不可信后应用程序仍在运行的状况。从而导致应用程序的运行存在安全隐患。

基于此，本申请提供的一种应用监控方法、装置、电子设备和计算机可读存储介质，可以提高应用程序运行的安全性。

为便于对本实施例进行理解，首先对执行本申请实施例所公开的应用监控方法的电子设备进行详细介绍。

如图1所示，是电子设备的方框示意图。电子设备100可以包括存储器111、处理器113。本领域普通技术人员可以理解，图1所示的结构仅为示意，其并不对电子设备100的结构造成限定。例如，电子设备100还可包括比图1中所示更多或者更少的组件，或者具有与图1所示不同的配置。

上述的存储器111、处理器113各元件相互之间直接或间接地电性连接，以实现数据的传输或交互。例如，这些元件相互之间可通过一条或多条通讯总线或信号线实现电性连接。上述的处理器113用于执行存储器中存储的可执行模块。

其中，存储器111可以是，但不限于，随机存取存储器(Random Access Memory，简称RAM)，只读存储器(Read Only Memory，简称ROM)，可编程只读存储器(ProgrammableRead-Only Memory，简称PROM)，可擦除只读存储器(Erasable Programmable Read-OnlyMemory，简称EPROM)，电可擦除只读存储器(Electric Erasable Programmable Read-OnlyMemory，简称EEPROM)等。其中，存储器111用于存储程序，该处理器113在接收到执行指令后，执行该程序，本申请实施例任一实施例揭示的过程定义的电子设备100所执行的方法可以应用于处理器113中，或者由处理器113实现。

上述的处理器113可能是一种集成电路芯片，具有信号的处理能力。上述的处理器113可以是通用处理器，包括中央处理器(Central Processing Unit，简称CPU)、网络处理器(Network Processor，简称NP)等；还可以是数字信号处理器(digital signalprocessor，简称DSP)、专用集成电路(Application Specific Integrated Circuit，简称ASIC)、现场可编程门阵列(FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

本实施例中的电子设备100可以用于执行本申请实施例提供的各个方法中的各个步骤。下面通过几个实施例详细描述应用监控方法的实现过程。

请参阅图2，是本申请实施例提供的应用监控方法的流程图。下面将对图2所示的具体流程进行详细阐述。

步骤220，在目标应用程序运行之初，根据该目标应用程序的应用相关文件，计算出第一验证值。

示例性地，可以在启动对应用程序监控后，该目标应用程序首次启动时，根据该目标应用程序的应用相关文件，计算出第一验证值。

可选地，在计算得到该第一验证值之后，可以将该第一验证值存入指定内容空间中，以用于后续对该目标应用程序的验证。

可选地，可以调用目标钩子函数，通过该目标钩子函数调用目标应用程序，以获得该目标应用程序的应用相关文件；根据该应用相关文件，计算出第一验证值。

步骤220，在该目标应用程序运行过程中，根据目标应用程序的应用相关文件，计算出第二验证值。

本实施例中，可以预先设置对各应用程序的验证频率，则可以在该目标应用程序在运行过程中，根据该验证频率计算出第二验证值。

可选地，调用目标钩子函数，通过该目标钩子函数调用目标应用程序，以获得该目标应用程序的应用相关文件；根据该应用相关文件，计算出第二验证值。

步骤260，将该第一验证值与该第二验证值进行对比，以确定出该目标应用程序的验证结果。

若该第一验证值与该第二验证值相同，则可以确定该目标应用程序在运行过程中没有被篡改，则可以确定该目标应用程序的状态为正常。若该第一验证值与该第二验证值不相同，则可以确定该目标应用程序在运行过程中没有被篡改，则可以确定该目标应用程序的状态为异常。

步骤280，根据该验证结果以及该目标应用程序对应的监控策略，确定出监控动作。

该监控策略中可以定义有不同的验证结果所需的不同的监控动作。示例性地，该监控动作可以包括：告警提示、退出应用、标记应用状态、应用的验证结果等。

不同的验证结果可以对应不同的监控动作，例如，若验证结果表征目标应用程序的状态为异常，可以输出告警提示，以提示用户目标应用程序的运行可能存在异常。再例如，若验证结果表征目标应用程序的状态为异常，可以直接退出目标应用程序的运行，以及时中断异常保证计算机设备以及目标应用程序的数据安全。再例如，若验证结果表征目标应用程序的状态为正常，可以在记录数据中记录该目标应用程序为正常状态。

当然根据实际场景的不同，还可以设置更多的监控动作，以适应不同的环境需求。

本是实例中，通过对比应用程序运行之初以及运行过程中的应用相关文件是否存在变化，以确定出该应用程序是否被篡改，以确定该应用程序的运行是否存在安全隐患，基于该安全隐患的确定提供相关的监控动作，可以实现更准确地确定当前的应用程序的运行的安全性，以及提供相应的监控动作，也能够对存在潜在风险的应用程序提供有利的操作，从而提高应用程序运行的安全性。

能够表示应用程序的是主要是应用程序的应用文件，和应用程序运行过程中的内存映像。为了使验证值能够更全面地体现出该应用程序，可以分别基于应用文件和内存映像计算两项验证值。基于此，应用相关文件包括该目标应用程序的目标应用文件和该目标应用程序的目标内存映像。上述的步骤220可以包括：在目标应用程序运行之初，根据该目标应用程序的目标应用文件，计算出第一应用验证值；以及根据该目标应用程序的目标内存映像，计算出第一映像验证值；

上述的步骤240可以包括：在该目标应用程序运行过程中，根据该目标应用程序的目标应用文件，计算出第二应用验证值；以及根据该目标应用程序的目标内存映像，计算出第二映像验证值。

本实施例中，计算第一应用验证值所使用的算法可以与计算第二应用验证值所使用的算法相同，计算第一映像验证值所使用的算法可以与计算第二映像验证值所使用的算法相同。

示例性地，若计算映像验证值时需要使用到密钥，则计算第一映像验证值与计算第二映像验证值所使用的密钥为相同的密钥。

可选地，可以使用第一散列算法，根据该目标应用程序的目标应用文件，计算出第一应用验证值；也就使用第一散列算法，根据该目标应用程序的目标应用文件，计算出第二应用验证值。

可选地，可以使用第二散列算法，根据该目标应用程序的目标内存映像，计算出第一映像验证值，也就使用第二散列算法，根据该目标应用程序的目标内存映像，计算出第二映像验证值。

其中，该第一散列算法与该第二散列算法可以为相同的算法，该第一散列算法与该第二散列算法也可以为不同的算法。

可选地，该第一散列算法可以为哈希算法，例如，SM3哈希算法、MD5算法、SHA-1算法等。

可选地，该第二散列算法为HMAC(Hash-based Message Authentication Code，哈希运算消息认证码)算法。

本实施例中，第二散列算法为HMAC算法时，计算第一映像验证值和第二映像验证值需要结合密钥。因此，可以使用第二散列算法，根据该目标应用程序的目标内存映像以及预存的计算密钥，计算出第一映像验证值；可以使用第二散列算法，根据该目标应用程序的目标内存映像以及预存的计算密钥，计算出第二映像验证值。

其中，该计算密钥可以是预先存储在指定内存空间的密钥，需要使用时可以从该指定内存空间中获取该密钥。

上述的步骤260，可以包括：将该第一应用验证值与该第二应用验证值进行对比，以及将该第一映像验证值与该第二映像验证值进行对比，以确定出该目标应用程序的验证结果。

若第一应用验证值与该第二应用验证值相同，且第一映像验证值与该第二映像验证值也相同，则可以确定该目标应用程序在运行过程中没有被篡改，则可以确定该目标应用程序的状态为正常。

若第一应用验证值与该第二应用验证值不相同，或者，第一映像验证值与该第二映像验证值不相同，则可以确定该目标应用程序在运行过程中应用文件或内存映像存在误差，可能被篡改，则可以确定该目标应用程序的状态为异常。

通过结合两个散列算法，分别计算应用文件的应用验证值，以及内存映像的映象验证值，从而可以实现应用程序的多类文件的识别，提高应用程序监控的准确性，也就能够进一步地提高应用程序监控的准确性。

本实施例中，为了提高验证值计算的准确性，以及计算过程中的安全性，还可以通过调用密码卡的方式计算。基于此，上述的步骤240可以包括：调用目标密码卡，使用该目标密码卡提供的第二散列算法，根据该目标内存映像以及预存的计算密钥，计算得到第二映像验证值。

本实施例中，上述步骤220至步骤280可以由应用监控服务实现，该应用监控服务可以是设备驱动程序。

通过该应用监控服务调用目标密码卡，使用该目标密码卡提供的第二散列算法，根据该目标内存映像以及预存的计算密钥，计算得到第二映像验证值。

可选地，该目标密码卡可以是PCI-E((peripheral component interconnectexpress，高速串行计算机扩展总线标准)密码卡。

本实施例中，步骤220中所计算的第一映像验证值，也可以调用目标密码卡，使用该目标密码卡提供的第二散列算法，根据该目标内存映像以及预存的计算密钥，计算得到第一映像验证值。

本实施例中，计算第一映像验证值所使用的计算密钥与计算第二映像验证值所使用的计算密钥为相同的密钥。

不同之处在于，计算第一映像验证值与计算第二映像验证值使用的是目标应用程序在不同阶段的内存映像。

为了提高计算密钥的安全性，可以降低计算密钥在各个程序之间传输，可以通过传递计算密钥标识，需要计算时，可以根据该计算密钥标识在密钥存储位置获取该计算密钥标识对应的计算密钥。上述的调用目标密码卡，使用该目标密码卡提供的第二散列算法，根据该目标内存映像以及预存的计算密钥，计算得到第二映像验证值，可以包括以下步骤a至步骤c。

步骤a，调用目标密码卡，通过该目标密码卡提供的第二散列算法接口，获取该目标内存映像以及计算密钥标识。

该目标密码卡可以提供多个计算接口，例如，其中一个计算接口可以提供该第二散列算法。

步骤b，根据该计算密钥标识确定出计算密钥。

可选地，可以通过该计算密钥标识在存储计算密钥的数据库中进行查询，以得到该计算密钥。

步骤c，使用该第二散列算法接口提供的第二散列算法，根据该目标内存映像以及该计算密钥，计算得到第二映像验证值。

本实施例中，第一映像验证值也可以使用步骤a至步骤c类似的方式实现。

本实施例中，计算第二应用验证值也可以通过目标密码卡实现。基于此，上述的步骤240可以包括：调用目标密码卡，通过该目标密码卡提供的第一散列算法，根据该目标应用程序的目标应用文件，计算出第二应用验证值。

示例性地，该目标密码卡提供的多个计算接口中，其中一个计算接口可用于提供第一散列算法。

可以通过该应用监控服务调用目标密码卡，使用该目标密码卡提供的第一散列算法，根据该目标应用文件，计算得到第二应用验证值。

本实施例中，步骤220中所计算的第一应用验证值，也可以调用目标密码卡，使用该目标密码卡提供的第一散列算法，根据该目标应用文件以及预存的计算密钥，计算得到第一应用验证值。

本实施例中，计算第一应用验证值所使用的计算密钥与计算第二应用验证值所使用的计算密钥为相同的密钥。

不同之处在于，计算第一应用验证值与计算第二应用验证值使用的是目标应用程序在不同阶段的应用文件。

可以通过调用密码卡计算各项验证值，可以使各项验证值的计算的密码算法正确性、安全性、有效性均相对更好，从而提高计算得到的各项验证值的准确。

本实施例中的方法可以应用于电子设备，该电子设备中运行有应用监控服务，该应用监控服务用于执行对该目标应用程序进行监控的流程，也就是可以由该应用监控服务直接或间接执行上述步骤220至步骤280。

在步骤220之前，如图3所示，本实施例的应用监控方法还可以包括步骤211和步骤212。

步骤211，对该目标密码卡进行初始化处理，以生成验签密钥对和加密密钥对。

可选地，在对该目标密码卡进行初始化之前，可以先对该目标密码卡进行自检，以确定该目标密码卡是否被初始化过，以避免重复初始化造成重复动作，或者，覆盖之前初始化的内容，造成后续的监控错误。

示例性地，可以自检过程中发现该目标密码卡中的安全存储单元中已经存储有两对密钥对，则确定该目标密码卡已经被初始化处理过，则不需要再进行初始化。

示例性地，可以自检过程中发现该目标密码卡中的安全存储单元中未存储有两对密钥对，可以会清空该目标密码卡内的密码数据。并生成两对密钥对。示例性地，可以将两对密钥对存储在该目标密码卡内的安全存储单元中。

可选地，两对密钥对可以分别为对称密钥对，例如，两对密钥对可以分别表示为KeyS0和KeyE0。其中，密钥对KeyS0可以用于签名和验签运算，密钥对KeyE0可以用于加密和解密运算。

可选地，两对密钥对可以分别为非对称密钥对，例如，两对密钥对可以分别表示为KeyS0、KeyS1和KeyE0、KeyE1。其中，密钥对KeyS0、KeyS1可以用来签名和验签运算，密钥对KeyE0、KeyE1可以用于加密和解密运算。

可选地，两对密钥对可以是SM2密钥、SM3密钥等。

步骤212，使用该验签密钥对和该加密密钥对，对该应用监控服务进行初始化处理，以得到计算密钥和该计算密钥对应的计算密钥标识。

可选地，如图4所示，上述的步骤212可以包括以下步骤2121至步骤2124。

步骤2121，通过应用监控服务调用该目标密码卡的生成接口生成计算密钥和该计算密钥对应的计算密钥标识。

示例性地，该计算密钥可以表示为密钥KeyD0。该计算密钥标识可以是该计算密钥的唯一标识，也就是通过该唯一标识可以对应查询到该计算密钥。

示例性地，第二散列计算可以是HAMC计算，则该计算密钥可以是HMAC密钥，该生成接口可以是生成HMAC密钥函数接口。

在步骤2121之前，还可以将该应用监控服务对应的数据库进行清空处理，指定内存空间进行清空处理，以及该应用监控服务对应的配置文件进行清空处理。其中，该应用监控服务可以是运行在电子设备上的设备驱动程序，该应用监控服务对应的数据库可以是该电子设备中的数据库，或该电子设备所连接支持的数据库。该指定内存空间可以在该电子设备中为该应用监控服务申请的内存空间。

步骤2122，使用该验签密钥对中的签名密钥对该计算密钥进行签名，生成密钥签名值。

可以使用用于签名和验签运算的密钥KeyS0对计算密钥KeyD0进行签名，以产生密钥签名值SignKeyD0。

步骤2123，使用该加密密钥对中的加密密钥对该密钥签名值进行加密，生成签名密文。

可以使用用于加密和解密运算的密钥KeyE0对密钥签名值SignKeyD0进行加密产生签名密文EncSignKeyD0。

本实施例中，上述的步骤2122和步骤2123也可以使用目标密码卡的生成接口实现。

示例性地，应用监控服务调用生成接口成功后可以返回计算密钥的计算密钥标识、签名密文EncSignKeyD0。可选地，可以将计算密钥标识和签名密文存入应用监控服务对应的数据库中。

示例性地，若应用监控服务调用生成接口失败，且该生成接口会向应用监控服务返回失败原因。其中，失败原因可以是生成计算密钥失败、签名密文生成失败等。

步骤2124，通过该应用监控服务调用该目标密码卡的验证接口，使用该加密密钥对应的解密密钥对该签名密文进行解密，以得到解密签名值。

该验证接口可以是对生成的计算密钥的有效性进行验证。该验证接口可以是HMAC密钥完整性验证接口。

示例性地，可以使用加密和解密运算的密钥KeyE0解密签名值进行解密处理，可以得到EncSignKeyD0的解密签名值SignKeyD0Tmp。

示例性地，该应用监控服务可以将计算密钥标识和签名密文传输给验证接口，该目标密码卡可以对计算密钥标识和签名密文进行后续的步骤2124和步骤2125进行处理。

步骤2125，使用该验签密钥对中的验签密钥，对该解密签名值进行验证。

示例性地，可以对解密签名值SignKeyD0Tmp进行验签处理，可以得到KeyD0Tmp，确定该KeyD0Tmp与KeyD0是否相同，若相同，可以表示对解密签名值的验证通过。

示例性地，可以对解密签名值SignKeyD0Tmp进行验签处理，可以得到KeyD0Tmp，然后将该KeyD0Tmp与接收到的计算密钥标识对应的计算密钥进行对比，如果相同，则可以确定对解密签名值的验证通过。

若对该解密签名值验证通过，则完成对该应用监控服务的初始化。并将上述的计算密钥对应的计算密钥标识用于对应用监控过程中的计算。

本实施例中，若该应用监控服务调用该目标密码卡的生成接口失败，或者，该应用监控服务调用该目标密码卡的验证接口失败，通过该目标密码卡向该应用监控服务返回调用接口异常提示。

不同的失败，可以对应不同的提示。若对该解密签名值验证失败，或者应用监控服务调用该目标密码卡的验证接口失败，可以返回失败原因给应用监控服务。示例性地，该失败原因可以是解密失败、验签失败、还可以是接口调用失败等。

通过上述方式，可以通过目标密码卡的初始化的密钥对应用监控服务与密码卡之间的调用关系进行初始化，可以使应用监控服务与密码卡之间的调用可以更加顺畅，也使应用监控服务与密码卡之间的调用更加安全。

本实施例中的方法可以通过应用监控服务实现，因此，如图5所示，在步骤220之前，应用监控方法还可以包括：步骤213和步骤215。

步骤213，启动应用监控服务，读取该应用监控服务的配置文件。

该配置文件可以按需设置，可选地，该应用监控服务的配置端可以提供有显示界面，该显示界面可以用于接收用户设置的监控策略，以为基于该监控策略生成配置文件。

示例性地，该配置文件中可以包括待监控应用列表。该配置文件中还可以包括监控策略、不同的验证结果对应的不同监控动作、验证周期等信息。该验证周期可以表示监控待监控应用列表中的整个周期的时长。

步骤214，确定当前运行中的应用程序是否存在属于待监控应用列表的应用程序。

若当前运行中的应用程序不存在属于待监控应用列表的应用程序，则执行步骤215。

步骤215，输出告警提示。

示例性地，该告警提示可以用于提示当前不存在需要监控的应用程序。

输出该告警提示后，该应用监控服务可以等待上述的待监控应用列表中的应用程序启动。

可选地，该应用监控程序也可以按照待监控应用列表的顺序，确定出该待监控应用列表中各应用程序是否启动。

本实施例中，上述的目标应用程序可以为该待监控应用列表中任意一个应用程序。

可选地，在应用监控服务的配置端接收到监控结果查看请求后，可以输出对待监控应用列表中的各项应用程序的监控结果。其中，该监控结果可以包括对应用程序的验证值的验证结果以及对应用程序的监控动作等。

通过配置应用监控服务的配置文件，可以基于配置文件对各应用程序进行监控，可以使用应用程序的监控更加地灵活。

基于同一申请构思，本申请实施例中还提供了与应用监控方法对应的应用监控装置，由于本申请实施例中的装置解决问题的原理与前述的应用监控方法实施例相似，因此本实施例中的装置的实施可以参见上述方法的实施例中的描述，重复之处不再赘述。

请参阅图6，是本申请实施例提供的应用监控装置的功能模块示意图。本实施例中的应用监控装置中的各个模块用于执行上述方法实施例中的各个步骤。应用监控装置包括：第一计算模块310、第二计算模块320、对比模块330以及第一确定模块340；其中各个模块的内容如下所示：

第一计算模块310，用于在目标应用程序运行之初，根据该目标应用程序的应用相关文件，计算出第一验证值；

第二计算模块320，用于在该目标应用程序运行过程中，根据目标应用程序的应用相关文件，计算出第二验证值；

对比模块330，用于将该第一验证值与该第二验证值进行对比，以确定出该目标应用程序的验证结果；

第一确定模块340，用于根据该验证结果以及该目标应用程序对应的监控策略，确定出监控动作。

一种可能的实施方式中，该应用相关文件包括该目标应用程序的目标应用文件和该目标应用程序的目标内存映像；

该第一计算模块310，用于在目标应用程序运行之初，根据该目标应用程序的目标应用文件，计算出第一应用验证值；以及根据该目标应用程序的目标内存映像，计算出第一映像验证值；

该第二计算模块320，用于在该目标应用程序运行过程中，根据该目标应用程序的目标应用文件，计算出第二应用验证值；以及根据该目标应用程序的目标内存映像，计算出第二映像验证值；

该对比模块330，用于将该第一应用验证值与该第二应用验证值进行对比，以及将该第一映像验证值与该第二映像验证值进行对比，以确定出该目标应用程序的验证结果。

一种可能的实施方式中，该第二计算模块320，用于使用第一散列算法，根据该目标应用程序的目标应用文件，计算出第二应用验证值；使用第二散列算法，根据该目标应用程序的目标内存映像，计算出第二映像验证值，其中，该第一散列算法与该第二散列算法为相同的算法，或者，该第一散列算法与该第二散列算法为不同的算法。

一种可能的实施方式中，该第一散列算法为哈希算法；该第二散列算法为哈希运算消息认证码算法。

一种可能的实施方式中，该第二计算模块320，还用于使用第二散列算法，根据该目标应用程序的目标内存映像以及预存的计算密钥，计算出第二映像验证值。

一种可能的实施方式中，该第二计算模块320，还用于调用目标密码卡，使用该目标密码卡提供的第二散列算法，根据该目标内存映像以及预存的计算密钥，计算得到第二映像验证值。

一种可能的实施方式中，该第二计算模块320，还用于：

调用目标密码卡，通过该目标密码卡提供的第二散列算法接口，获取该目标内存映像以及计算密钥标识；

根据该计算密钥标识确定出计算密钥；

使用该第二散列算法接口提供的第二散列算法，根据该目标内存映像以及该计算密钥，计算得到第二映像验证值。

一种可能的实施方式中，该第二计算模块320，用于调用目标密码卡，通过该目标密码卡提供的第一散列算法，根据该目标应用程序的目标应用文件，计算出第二应用验证值。

一种可能的实施方式中，应用于电子设备，该电子设备中运行有应用监控服务，该应用监控服务用于执行对该目标应用程序进行监控的流程；

本是实例中的应用监控装置还可以包括：第一初始化模块，用于对该目标密码卡进行初始化处理，以生成验签密钥对和加密密钥对；

第二初始化模块，用于使用该验签密钥对和该加密密钥对，对该应用监控服务进行初始化处理，以得到计算密钥和该计算密钥对应的计算密钥标识。

一种可能的实施方式中，第二初始化模块，用于：

通过该应用监控服务调用该目标密码卡的生成接口生成计算密钥和该计算密钥对应的计算密钥标识；

使用该验签密钥对中的签名密钥对该计算密钥进行签名，生成密钥签名值；

使用该加密密钥对中的加密密钥对该密钥签名值进行加密，生成签名密文；

通过该应用监控服务调用该目标密码卡的验证接口，使用该加密密钥对应的解密密钥对该签名密文进行解密，以得到解密签名值；

使用该验签密钥对中的验签密钥，对该解密签名值进行验证；

若对该解密签名值验证通过，则完成对该应用监控服务的初始化。

一种可能的实施方式中，本是实例中的应用监控装置还可以包括：第一提示模块，用于若该应用监控服务调用该目标密码卡的生成接口失败，或者，该应用监控服务调用该目标密码卡的验证接口失败，通过该目标密码卡向该应用监控服务返回调用接口异常提示。

一种可能的实施方式中，本是实例中的应用监控装置还可以包括：

启动模块，用于启动该应用监控服务，读取该应用监控服务的配置文件，该配置文件中包括待监控应用列表；

第二确定模块，用于确定当前运行中的应用程序是否存在属于待监控应用列表的应用程序；

第二提示模块，用于若当前运行中的应用程序不存在属于待监控应用列表的应用程序，则输出告警提示。

一种可能的实施方式中，第一计算模块310，用于调用目标钩子函数，通过该目标钩子函数调用目标应用程序，以获得该目标应用程序的应用相关文件；根据该应用相关文件，计算出第一验证值；

第二计算模块320，用于调用目标钩子函数，通过该目标钩子函数调用目标应用程序，以获得该目标应用程序的应用相关文件；根据该应用相关文件，计算出第二验证值。

此外，本申请实施例还提供一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，该计算机程序被处理器运行时执行上述方法实施例中所述的应用监控方法的步骤。

本申请实施例所提供的应用监控方法的计算机程序产品，包括存储了程序代码的计算机可读存储介质，所述程序代码包括的指令可用于执行上述方法实施例中所述的应用监控方法的步骤，具体可参见上述方法实施例，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本申请的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

另外，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

所述功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上所述仅为本申请的优选实施例而已，并不用于限制本申请，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以权利要求的保护范围为准。

Claims (16)

1.一种应用监控方法，其特征在于，包括：

在目标应用程序运行之初，根据所述目标应用程序的应用相关文件，计算出第一验证值；

在所述目标应用程序运行过程中，根据目标应用程序的应用相关文件，计算出第二验证值；

将所述第一验证值与所述第二验证值进行对比，以确定出所述目标应用程序的验证结果；

根据所述验证结果以及所述目标应用程序对应的监控策略，确定出监控动作。

2.根据权利要求1所述的方法，其特征在于，所述应用相关文件包括所述目标应用程序的目标应用文件和所述目标应用程序的目标内存映像；

所述在目标应用程序运行之初，根据所述目标应用程序的应用相关文件，计算出第一验证值，包括：

在目标应用程序运行之初，根据所述目标应用程序的目标应用文件，计算出第一应用验证值；以及根据所述目标应用程序的目标内存映像，计算出第一映像验证值；

所述在所述目标应用程序运行过程中，根据所述目标应用程序的应用相关文件，计算出第二验证值，包括：

在所述目标应用程序运行过程中，根据所述目标应用程序的目标应用文件，计算出第二应用验证值；以及根据所述目标应用程序的目标内存映像，计算出第二映像验证值；

所述将所述第一应用验证值与所述第二应用验证值进行对比，以确定出所述目标应用程序的验证结果，包括：

将所述第一应用验证值与所述第二应用验证值进行对比，以及将所述第一映像验证值与所述第二映像验证值进行对比，以确定出所述目标应用程序的验证结果。

3.根据权利要求2所述的方法，其特征在于，所述根据所述目标应用程序的目标应用文件，计算出第二应用验证值，包括：

使用第一散列算法，根据所述目标应用程序的目标应用文件，计算出第二应用验证值；

所述根据目标应用程序的目标内存映像，计算出第二映像验证值，包括：

使用第二散列算法，根据所述目标应用程序的目标内存映像，计算出第二映像验证值，其中，所述第一散列算法与所述第二散列算法为相同的算法，或者，所述第一散列算法与所述第二散列算法为不同的算法。

4.根据权利要求3所述的方法，其特征在于，所述第一散列算法为哈希算法；所述第二散列算法为哈希运算消息认证码算法。

5.根据权利要求3所述的方法，其特征在于，所述使用第二散列算法，根据所述目标应用程序的目标内存映像，计算出第二映像验证值，包括：

使用第二散列算法，根据所述目标应用程序的目标内存映像以及预存的计算密钥，计算出第二映像验证值。

6.根据权利要求5所述的方法，其特征在于，所述使用第二散列算法，根据所述目标应用程序的目标内存映像以及预存的计算密钥，计算出第二映像验证值，包括：

调用目标密码卡，使用所述目标密码卡提供的第二散列算法，根据所述目标内存映像以及预存的计算密钥，计算得到第二映像验证值。

7.根据权利要求3所述的方法，其特征在于，所述调用目标密码卡，使用所述目标密码卡提供的第二散列算法，根据所述目标内存映像以及预存的计算密钥，计算得到第二映像验证值，包括：

调用目标密码卡，通过所述目标密码卡提供的第二散列算法接口，获取所述目标内存映像以及计算密钥标识；

根据所述计算密钥标识确定出计算密钥；

使用所述第二散列算法接口提供的第二散列算法，根据所述目标内存映像以及所述计算密钥，计算得到第二映像验证值。

8.根据权利要求3所述的方法，其特征在于，所述使用第一散列算法，根据所述目标应用程序的目标应用文件，计算出第二应用验证值，包括：

调用目标密码卡，通过所述目标密码卡提供的第一散列算法，根据所述目标应用程序的目标应用文件，计算出第二应用验证值。

9.根据权利要求6-8任意一项所述的方法，其特征在于，应用于电子设备，所述电子设备中运行有应用监控服务，所述应用监控服务用于执行对所述目标应用程序进行监控的流程；

在所述在目标应用程序运行之初，根据所述目标应用程序的应用相关文件，计算出第一验证值之前，所述方法还包括：

对所述目标密码卡进行初始化处理，以生成验签密钥对和加密密钥对；

使用所述验签密钥对和所述加密密钥对，对所述应用监控服务进行初始化处理，以得到计算密钥和所述计算密钥对应的计算密钥标识。

10.根据权利要求9所述的方法，其特征在于，所述使用所述验签密钥对和所述加密密钥对，对所述应用监控服务进行初始化处理，以得到计算密钥和所述计算密钥对应的计算密钥标识，包括：

通过所述应用监控服务调用所述目标密码卡的生成接口生成计算密钥和所述计算密钥对应的计算密钥标识；

使用所述验签密钥对中的签名密钥对所述计算密钥进行签名，生成密钥签名值；

使用所述加密密钥对中的加密密钥对所述密钥签名值进行加密，生成签名密文；

通过所述应用监控服务调用所述目标密码卡的验证接口，使用所述加密密钥对应的解密密钥对所述签名密文进行解密，以得到解密签名值；

使用所述验签密钥对中的验签密钥，对所述解密签名值进行验证；

若对所述解密签名值验证通过，则完成对所述应用监控服务的初始化。

11.根据权利要求10所述的方法，其特征在于，所述方法还包括：

若所述应用监控服务调用所述目标密码卡的生成接口失败，或者，所述应用监控服务调用所述目标密码卡的验证接口失败，通过所述目标密码卡向所述应用监控服务返回调用接口异常提示。

12.根据权利要求9所述的方法，其特征在于，所述方法还包括：

启动所述应用监控服务，读取所述应用监控服务的配置文件，所述配置文件中包括待监控应用列表；

确定当前运行中的应用程序是否存在属于待监控应用列表的应用程序；

若当前运行中的应用程序不存在属于待监控应用列表的应用程序，则输出告警提示。

13.根据权利要求1所述的方法，其特征在于，所述根据所述目标应用程序的应用相关文件，计算出第一验证值，包括：

调用目标钩子函数，通过所述目标钩子函数调用目标应用程序，以获得所述目标应用程序的应用相关文件；

根据所述应用相关文件，计算出第一验证值；

所述根据所述目标应用程序的应用相关文件，计算出第二验证值，包括：

调用目标钩子函数，通过所述目标钩子函数调用目标应用程序，以获得所述目标应用程序的应用相关文件；

根据所述应用相关文件，计算出第二验证值。

14.一种应用监控装置，其特征在于，包括：

第一计算模块，用于在目标应用程序运行之初，根据所述目标应用程序的应用相关文件，计算出第一验证值；

第二计算模块，用于在所述目标应用程序运行过程中，根据目标应用程序的应用相关文件，计算出第二验证值；

对比模块，用于将所述第一验证值与所述第二验证值进行对比，以确定出所述目标应用程序的验证结果；

第一确定模块，用于根据所述验证结果以及所述目标应用程序对应的监控策略，确定出监控动作。

15.一种电子设备，其特征在于，包括：处理器、存储器，所述存储器存储有所述处理器可执行的机器可读指令，当电子设备运行时，所述机器可读指令被所述处理器执行时执行如权利要求1至13任意一项所述的方法的步骤。

16.一种计算机可读存储介质，其特征在于，该计算机可读存储介质上存储有计算机程序，该计算机程序被处理器运行时执行如权利要求1至13任意一项所述的方法的步骤。

Images