CN103235912B - 可信进程识别装置和可信进程识别方法 - Google Patents

Abstract

本发明提出了一种可信进程识别装置和一种可信进程识别方法，其中，可信进程识别装置包括：配置单元，用于配置可信进程的基本信息，基本信息包括第一可执行文件的信息、第一特征值和安全等级；计算单元，用于根据安全等级调用相应的特征值算法，基于所述第一可执行文件的信息，生成第一特征值，以及用于获取待匹配进程的第二可执行文件的信息，根据可信进程的安全等级调用相应的特征值算法，基于第二可执行文件的信息，生成第二特征值；匹配单元，用于判断第二特征值与第一特征值是否相同，根据判断结果确定待匹配进程是否为可信进程。通过本发明可灵活运用进程的各种信息来计算特征值，使一个配置适用多个版本的可信进程识别。

Description

可信进程识别装置和可信进程识别方法

技术领域

本发明涉及计算机技术领域，具体而言，涉及一种可信进程识别装置和可信进程识别方法。

背景技术

在信息安全领域，经常要对计算机系统中运行的软件进程进行控制，只有配置为可信的进程才能访问某些资源，其控制基本流程为：

1）提取要配置为可信进程的特征值，并将其记录到可信进程配置列表中；

2)）当有进程要访问特定资源时，用同样的方法提取此进程的特征值，然后将其与之前配置的可信进程列表中的各特征值进程匹配，只要匹配上一个，就认为此进程可信，允许其访问特定资源。

目前常用的计算软件进程特征值计算方法为使用散列算法（MD5、SHA等）计算进程可执行文件二进制数据的哈希值，这种方法有个致命的缺点就是当软件稍微有点版本升级时，其可执行文件的二进制数据就会跟着变化，这样就要重新计算其特征值并配置为可信，同时当要支持同一款软件多个版本时，要为每个版本都配置一遍，比较繁琐，因此现有技术至少具有以下缺点：

1.软件可信进程配置无法适应软件版本升级，已配置好的可信进程，会因软件一个微小版本的变化而需重新配置，因为其可执行文件的哈希值已产生变化；

2.在软件存在多个版本时，要为每个版本都配置一个可信进程配置项，给实际应用带来很大麻烦；

3.当软件进程对应的可执行文件比较大时，根据文件二进制数据计算其特征值将比较慢，这样在频繁进行进程匹配时，将较大影响性能。

发明内容

本发明正是基于上述问题至少之一，提出了一种可信进程识别技术，可根据不同的安全需要，采用不同的特征值计算方法计算其特征值，灵活运用可信进程的多种信息，灵活实现可信进程的识别。

根据本发明的一个方面，提供了一种可信进程识别装置，包括：配置单元，用于配置可信进程的基本信息，所述基本信息包括第一可执行文件的信息、第一特征值和安全等级；计算单元，用于根据所述安全等级调用相应的特征值算法，基于所述第一可执行文件的信息，生成所述第一特征值，以及用于获取待匹配进程的第二可执行文件的信息，根据所述可信进程的安全等级调用所述相应的特征值算法，基于所述第二可执行文件的信息，生成第二特征值；匹配单元，用于判断所述第二特征值与所述第一特征值是否相同，根据判断结果确定所述待匹配进程是否为可信进程。

在配置可信进程时，可配置相应的安全等级，并根据配置的安全等级采用相应的特征值算法来计算出可信进程的特征值并存入配置列表中；在验证待匹配进程时，同样根据之前设置的安全等级来调用相应的特征值算法来计算出该待匹配进程的特征值，从配置列表中取出可信进程的特征值，将该特征值与计算出的待匹配进程的特征值进行比较，若相同，则确定待匹配进程为可信进程，若不相同，在确定待匹配进程不是可信进程，禁止访问特定资源。

在上述技术方案中，优选的，所述计算单元在所述安全等级为第一级时，调用的所述相应的特征值算法为：使用可执行文件的数字签名信息和文件版本信息计算得到可信进程特征值，以及在所述安全等级为第二级时，调用的所述相应的特征值算法为：使用所述可执行文件的文件版本信息计算得到可信进程特征值，以及在所述安全等级为第三级时，调用的所述相应的特征值算法为：使用所述可执行文件的文件名计算得到可信进程特征值。

不同的安全等级，其对应的特征值算法也不一样，由于可执行文件的数字签名安全性高，难伪造，文件版本信息信息量小，获取速度快，因此根据数字签名和文件版本信息计算可信进程特征值，不仅计算速度快，而且安全性能高，并且由于软件进程各版本对应的可执行文件的数字签名信息和文件版本信息基本都一样，因此可做到一个配置适用多个版本，从而解决了相关技术中因软件版本升级所带来的需重新配置特征值的技术问题。

在上述技术方案中，优选的，所述计算单元还用于在所述安全等级为第一级时，若所述数字签名信息无效，则根据所述可执行文件的文件二进制数据计算得到所述可信进程特征值。

本发明可灵活运用可执行文件的各种信息，在数字签名无效的情况下，可根据可执行文件的二进制数据来计算可信进程特征值。

在上述技术方案中，优选的，所述计算单元用于随机获取所述可执行文件的文件二进制数据中的预设块指定长度数据来计算得到所述可信进程特征值。

在使用可执行文件的二进制数据来计算特征值时，随机获取二进制数据中的n块指定长度数据来计算特征值，而不是全部数据，这样在计算文件大小较大的可执行文件的特征值时，可大大提升计算速度。

在上述任一技术方案中，优选的，将所述相应的特征值算法与散列算法相结合生成所述第一特征值和所述第二特征值。

根据本发明的另一方面，还提供了一种可信进程识别方法，包括：配置可信进程的基本信息，所述基本信息包括第一可执行文件的信息、第一特征值和安全等级，其中，根据所述安全等级调用相应的特征值算法，基于所述第一可执行文件的信息，生成所述第一特征值；获取待匹配进程的第二可执行文件的信息，根据所述可信进程的安全等级调用所述相应的特征值算法，基于所述第二可执行文件的信息生成第二特征值；判断所述第二特征值与所述第一特征值是否相同，根据判断结果确定所述待匹配进程是否为可信进程。

在配置可信进程时，可配置相应的安全等级，并根据配置的安全等级采用相应的特征值算法来计算出可信进程的特征值并存入配置列表中；在验证待匹配进程时，同样根据之前设置的安全等级来调用相应的特征值算法来计算出该待匹配进程的特征值，从配置列表中取出可信进程的特征值，将该特征值与计算出的待匹配进程的特征值进行比较，若相同，则确定待匹配进程为可信进程，若不相同，在确定待匹配进程不是可信进程，禁止访问特定资源。

在上述技术方案中，优选的，在所述安全等级为第一级时，所述相应的特征值算法为：使用可执行文件的数字签名信息和文件版本信息计算得到可信进程特征值；在所述安全等级为第二级时，所述相应的特征值算法为：使用所述可执行文件的文件版本信息计算得到可信进程特征值；在所述安全等级为第三级时，所述相应的特征值算法为：使用所述可执行文件的文件名计算得到可信进程特征值。

不同的安全等级，其对应的特征值算法也不一样，由于可执行文件的数字签名安全性高，难伪造，文件版本信息信息量小，获取速度快，因此根据数字签名和文件版本信息计算可信进程特征值，不仅计算速度快，而且安全性能高，并且由于软件进程各版本对应的可执行文件的数字签名信息和文件版本信息基本都一样，因此可做到一个配置适用多个版本，从而解决了相关技术中因软件版本升级所带来的需重新配置特征值的技术问题。

在上述技术方案中，优选的，在所述安全等级为第一级时，若所述数字签名信息无效，则根据所述可执行文件的文件二进制数据计算得到所述可信进程特征值。

本发明可灵活运用可执行文件的各种信息，在数字签名无效的情况下，可根据可执行文件的二进制数据来计算可信进程特征值。

在上述技术方案中，优选的，根据所述可执行文件的文件二进制数据计算得到所述可信进程特征值的步骤具体包括：随机获取所述可执行文件的文件二进制数据中的预设块指定长度数据来计算得到所述可信进程特征值。

在使用可执行文件的二进制数据来计算特征值时，随机获取二进制数据中的n块指定长度数据来计算特征值，而不是全部数据，这样在计算文件大小较大的可执行文件的特征值时，可大大提升计算速度。

在上述任一技术方案中，优选的，将所述相应的特征值算法与散列算法相结合生成所述第一特征值和所述第二特征值。

根据本发明的技术方案，能够灵活利用进程的各种信息（数字签名、文件版本、文件二进制数据、文件名等）计算其特征值；根据可信进程安全级别使用不同进程信息计算特征值，既满足了安全需要，又实现了可信进程智能识别（即一个可信进程配置可匹配同一款软件的多种版本进程）；使用文件二进制数据计算特征值时，随机获取二进制数据中的n块指定长度数据来计算特征值，而不是全部数据，这样在计算文件大小较大的可执行文件时很大地提升了计算速度。

附图说明

图1示出了根据本发明的实施例的可信进程识别装置的框图；

图2示出了根据本发明的实施例的可信进程识别装置中个模块之间进行交互的示意图；

图3示出了根据本发明的实施例的可信进程配置流程图；

图4示出了根据本发明的实施例的终端的可信进程识别过程的流程图；

图5示出了根据本发明的实施例的根据安全等级选择特征值算法的流程图；

图6示出了根据本发明的实施例的可信进程识别方法的流程图。

具体实施方式

为了能够更清楚地理解本发明的上述目的、特征和优点，下面结合附图和具体实施方式对本发明进行进一步的详细描述。需要说明的是，在不冲突的情况下，本申请的实施例及实施例中的特征可以相互组合。

在下面的描述中阐述了很多具体细节以便于充分理解本发明，但是，本发明还可以采用不同于在此描述的第二方式来实施，因此，本发明的保护范围并不受下面公开的具体实施例的限制。

图1示出了根据本发明的实施例的可信进程识别装置的框图。

如图1所示，根据本发明的实施例的可信进程识别装置100，包括：配置单元102，用于配置可信进程的基本信息，所述基本信息包括第一可执行文件的信息、第一特征值和安全等级；计算单元104，用于根据所述安全等级调用相应的特征值算法，基于所述第一可执行文件的信息，生成所述第一特征值，以及用于获取待匹配进程的第二可执行文件的信息，根据所述可信进程的安全等级调用所述相应的特征值算法，基于所述第二可执行文件的信息，生成第二特征值；匹配单元106，用于判断所述第二特征值与所述第一特征值是否相同，根据判断结果确定所述待匹配进程是否为可信进程。

在配置可信进程时，可配置相应的安全等级，并根据配置的安全等级采用相应的特征值算法来计算出可信进程的特征值并存入配置列表中；在验证待匹配进程时，同样根据之前设置的安全等级来调用相应的特征值算法来计算出该待匹配进程的特征值，从配置列表中取出可信进程的特征值，将该特征值与计算出的待匹配进程的特征值进行比较，若相同，则确定待匹配进程为可信进程，若不相同，在确定待匹配进程不是可信进程，禁止访问特定资源。

在上述技术方案中，优选的，所述计算单元104在所述安全等级为第一级时，调用的所述相应的特征值算法为：使用可执行文件的数字签名信息和文件版本信息计算得到可信进程特征值，以及在所述安全等级为第二级时，调用的所述相应的特征值算法为：使用所述可执行文件的文件版本信息计算得到可信进程特征值，以及在所述安全等级为第三级时，调用的所述相应的特征值算法为：使用所述可执行文件的文件名计算得到可信进程特征值。

不同的安全等级，其对应的特征值算法也不一样，由于可执行文件的数字签名安全性高，难伪造，文件版本信息信息量小，获取速度快，因此根据数字签名和文件版本信息计算可信进程特征值，不仅计算速度快，而且安全性能高，并且由于软件进程各版本对应的可执行文件的数字签名信息和文件版本信息基本都一样，因此可做到一个配置适用多个版本，从而解决了相关技术中因软件版本升级所带来的需重新配置特征值的技术问题。

在上述技术方案中，优选的，所述计算单元104还用于在所述安全等级为第一级时，若所述数字签名信息无效，则根据所述可执行文件的文件二进制数据计算得到所述可信进程特征值。

本发明可灵活运用可执行文件的各种信息，在数字签名无效的情况下，可根据可执行文件的二进制数据来计算可信进程特征值。

在上述技术方案中，优选的，所述计算单元104用于随机获取所述可执行文件的文件二进制数据中的预设块指定长度数据来计算得到所述可信进程特征值。

在使用可执行文件的二进制数据来计算特征值时，随机获取二进制数据中的n块指定长度数据来计算特征值，而不是全部数据，这样在计算文件大小较大的可执行文件的特征值时，可大大提升计算速度。

在上述任一技术方案中，优选的，将所述相应的特征值算法与散列算法相结合生成所述第一特征值和所述第二特征值。

图2示出了根据本发明的实施例的可信进程识别装置中个模块之间进行交互的示意图。

根据本发明的实施例的可信进程识别装置中各单元模块之间的动作关系如图2所示，首先通过配置单元102输入可信进程的基本信息，该基本信息包括可信进程名称、可信进程安全等级、可执行文件名，通过配置单元102可获取可信进程可执行文件的相关信息，计算单元104根据配置单元102获取的可执行文件的相关信息以及根据可信进程的安全等级，选择相应的特征值计算方法计算出可信进程的特征值，并将计算得到的特征值反馈至配置单元102，配置单元102将可信进程的基本信息和特征值对应保存至存储单元202。在有待匹配进程访问特定资源时，匹配单元106获取该待匹配进程的可执行文件的相关信息并从存储单元202中获取可信进程的配置信息，以及将获取的可执行文件的相关信息和相应的安全等级信息输入计算单元104，计算单元104根据安全等级调用相应的特征值计算方法，计算出待匹配进程的特征值，并将计算出的特征值反馈至匹配单元106。匹配单元106将该特征值与从存储单元202获取的可信进程的特征值进行比较，若相同，则确定该待匹配进程为可信进程，若不相同，则确定该待匹配进程不是可信进程，禁止其访问特定资源。

接下来结合图3至图6详细说明根据本发明的可信进程识别方法。

首先如图3所示，在步骤302，输入可信进程的配置基本信息。在步骤304，选择可信进程的安全等级以及可执行文件路径。在步骤306，根据可信进程的安全等级调用相应的特征值算法，从可执行文件中提取相应的信息计算特征值。在步骤308，存储可信进程的配置基本信息和特征值。

其中，存储的可信进程配置基本信息包括：可信进程名称、可信进程安全等级、可执行文件名；可信进程安全等级包括：高、中、低，各安全等级对应特征值计算方法参见图5。

图4示出了根据本发明的实施例的终端的可信进程识别过程的流程图。如图4所示，在步骤402，获取待匹配进程的可执行文件的文件名和绝对路径。在步骤404，获取已配置的可信进程列表。在步骤406，从可信进程列表中按顺序获取一个可信进程配置信息。在步骤408，判断可信进程配置信息中的可执行文件名是否与待匹配进程的可执行文件名一致。若否，则进入步骤414，否则，进入步骤410。

在步骤410，根据可信进程配置信息中的安全等级确定待匹配进程的特征值计算方法并计算其特征值。在步骤412，判断可信进程的特征值是否与待匹配进程的特征值相同，若是，则匹配成功，否则，肌肉男步骤414，判断是否已到可信进程列表的尾部，若是，则匹配失败，否则继续回到步骤406。

其中，根据安全等级确定待匹配进程的特征值计算方法的具体处理流程如图5所示。

在步骤502，传入可信进程的安全类型。在步骤504，判断可信进程安全类别。若安全类别为高，则进入步骤506，若安全类别为低，则进入步骤512，若安全类别为中，则进入步骤510。

在步骤506，判断可信进程的可执行文件的数字签名是否有效，若有效，则随机获取可执行文件二进制数据中的N段长度为L的二进制数据。若无效，则获取可执行文件的数字签名信息和文件版本信息。其中，N、L可根据需要设置。然后进入步骤508，采用散列算法计算哈希值即特征值。

在步骤510，在安全类别为中时，获取可执行文件版本信息，该版本信息包括公司名、产品名称和源文件名，然后进入步骤508，采用散列算法计算哈希值即特征值。

在步骤512，在安全类别为低时，获取可执行文件名，然后进入步骤508，采用散列算法计算哈希值即特征值。

因此，可灵活运用可信进程的可执行文件的数字签名信息、文件版本信息、文件二进制数据等信息计算进程特征值。可根据不同的安全等级要求和应用场景采用不同的特征值计算源信息，各种信息源计算特征值的优缺点说明如下：

A.文件数字签名信息

优点：安全性高，难伪造；

缺点：在网络不通时，较容易造成验证数字签名有效性耗时长，影响性能。

B.文件版本信息

优点：信息获取速度快，信息量小，因此计算特征值速度快；

缺点：安全性不高，较容易伪造。

C.文件二进制数据

　优点：安全性很高，无法伪造；

　缺点：兼容性差，同一款软件不同版本的特征值都不一样，实际应用时对每个版本都要配置特征值，可用性差。

由此可见，本发明至少解决了以下技术问题：1.只要一次可信进程配置就智能识别同一款软件不同版本的进程为可信进程；2.可根据不同的安全等级需要，使用不同的特征值计算源信息来计算进程特征值；3.提高了可执行文件大的软件进程的特征值计算速度。

图6示出了根据本发明的实施例的可信进程识别方法的流程图。

如图6所示，根据本发明的实施例的可信进程识别方法，可以包括以下步骤：步骤602，配置可信进程的基本信息，所述基本信息包括第一可执行文件的信息、第一特征值和安全等级，其中，根据所述安全等级调用相应的特征值算法，基于所述第一可执行文件的信息，生成所述第一特征值；步骤604，获取待匹配进程的第二可执行文件的信息，根据所述可信进程的安全等级调用所述相应的特征值算法，基于所述第二可执行文件的信息生成第二特征值；步骤606，判断所述第二特征值与所述第一特征值是否相同，根据判断结果确定所述待匹配进程是否为可信进程。

在配置可信进程时，可配置相应的安全等级，并根据配置的安全等级采用相应的特征值算法来计算出可信进程的特征值并存入配置列表中；在验证待匹配进程时，同样根据之前设置的安全等级来调用相应的特征值算法来计算出该待匹配进程的特征值，从配置列表中取出可信进程的特征值，将该特征值与计算出的待匹配进程的特征值进行比较，若相同，则确定待匹配进程为可信进程，若不相同，在确定待匹配进程不是可信进程，禁止访问特定资源。

在上述技术方案中，优选的，在所述安全等级为第一级时，所述相应的特征值算法为：使用可执行文件的数字签名信息和文件版本信息计算得到可信进程特征值；在所述安全等级为第二级时，所述相应的特征值算法为：使用所述可执行文件的文件版本信息计算得到可信进程特征值；在所述安全等级为第三级时，所述相应的特征值算法为：使用所述可执行文件的文件名计算得到可信进程特征值。

不同的安全等级，其对应的特征值算法也不一样，由于可执行文件的数字签名安全性高，难伪造，文件版本信息信息量小，获取速度快，因此根据数字签名和文件版本信息计算可信进程特征值，不仅计算速度快，而且安全性能高，并且由于软件进程各版本对应的可执行文件的数字签名信息和文件版本信息基本都一样，因此可做到一个配置适用多个版本，从而解决了相关技术中因软件版本升级所带来的需重新配置特征值的技术问题。

在上述技术方案中，优选的，在所述安全等级为第一级时，若所述数字签名信息无效，则根据所述可执行文件的文件二进制数据计算得到所述可信进程特征值。

本发明可灵活运用可执行文件的各种信息，在数字签名无效的情况下，可根据可执行文件的二进制数据来计算可信进程特征值。

在上述技术方案中，优选的，根据所述可执行文件的文件二进制数据计算得到所述可信进程特征值的步骤具体包括：随机获取所述可执行文件的文件二进制数据中的预设块指定长度数据来计算得到所述可信进程特征值。

在使用可执行文件的二进制数据来计算特征值时，随机获取二进制数据中的n块指定长度数据来计算特征值，而不是全部数据，这样在计算文件大小较大的可执行文件的特征值时，可大大提升计算速度。

在上述任一技术方案中，优选的，将所述相应的特征值算法与散列算法相结合生成所述第一特征值和所述第二特征值。

以上结合附图详细说明了根据本发明的技术方案，能够灵活利用进程的各种信息（数字签名、文件版本、文件二进制数据、文件名等）计算其特征值；根据可信进程安全级别使用不同进程信息计算特征值，既满足了安全需要，又实现了可信进程智能识别（即一个可信进程配置可匹配同一款软件的多种版本进程）；使用文件二进制数据计算特征值时，随机获取二进制数据中的n块指定长度数据来计算特征值，而不是全部数据，这样在计算文件大小较大的可执行文件时很大地提升了计算速度。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (8)

1.一种可信进程识别装置，其特征在于，包括：

配置单元，用于配置可信进程的基本信息，所述基本信息包括第一可执行文件的信息、第一特征值和安全等级；

计算单元，用于根据所述安全等级调用相应的特征值算法，基于所述第一可执行文件的信息，生成所述第一特征值，以及用于获取待匹配进程的第二可执行文件的信息，根据所述可信进程的安全等级调用所述相应的特征值算法，基于所述第二可执行文件的信息，生成第二特征值；

匹配单元，用于判断所述第二特征值与所述第一特征值是否相同，根据判断结果确定所述待匹配进程是否为可信进程，

所述计算单元在所述安全等级为第一级时，调用的所述相应的特征值算法为：使用可执行文件的数字签名信息和文件版本信息计算得到可信进程特征值，以及

在所述安全等级为第二级时，调用的所述相应的特征值算法为：使用所述可执行文件的文件版本信息计算得到可信进程特征值，以及

在所述安全等级为第三级时，调用的所述相应的特征值算法为：使用所述可执行文件的文件名计算得到可信进程特征值。

2.根据权利要求1所述的可信进程识别装置，其特征在于，所述计算单元还用于在所述安全等级为第一级时，若所述数字签名信息无效，则根据所述可执行文件的文件二进制数据计算得到所述可信进程特征值。

3.根据权利要求2所述的可信进程识别装置，其特征在于，所述计算单元用于随机获取所述可执行文件的文件二进制数据中的预设块指定长度数据来计算得到所述可信进程特征值。

4.根据权利要求1至3中任一项所述的可信进程识别装置，其特征在于，将所述相应的特征值算法与散列算法相结合生成所述第一特征值和所述第二特征值。

5.一种可信进程识别方法，其特征在于，包括：

配置可信进程的基本信息，所述基本信息包括第一可执行文件的信息、第一特征值和安全等级，其中，根据所述安全等级调用相应的特征值算法，基于所述第一可执行文件的信息，生成所述第一特征值；

获取待匹配进程的第二可执行文件的信息，根据所述可信进程的安全等级调用所述相应的特征值算法，基于所述第二可执行文件的信息生成第二特征值；

判断所述第二特征值与所述第一特征值是否相同，根据判断结果确定所述待匹配进程是否为可信进程，

在所述安全等级为第一级时，所述相应的特征值算法为：使用可执行文件的数字签名信息和文件版本信息计算得到可信进程特征值；

在所述安全等级为第二级时，所述相应的特征值算法为：使用所述可执行文件的文件版本信息计算得到可信进程特征值；

在所述安全等级为第三级时，所述相应的特征值算法为：使用所述可执行文件的文件名计算得到可信进程特征值。

6.根据权利要求5所述的可信进程识别方法，其特征在于，在所述安全等级为第一级时，若所述数字签名信息无效，则根据所述可执行文件的文件二进制数据计算得到所述可信进程特征值。

7.根据权利要求6所述的可信进程识别方法，其特征在于，根据所述可执行文件的文件二进制数据计算得到所述可信进程特征值的步骤具体包括：

随机获取所述可执行文件的文件二进制数据中的预设块指定长度数据来计算得到所述可信进程特征值。

8.根据权利要求5至7中任一项所述的可信进程识别方法，其特征在于，将所述相应的特征值算法与散列算法相结合生成所述第一特征值和所述第二特征值。