CN103679009A - 终端安全防御的方法及终端安全防御装置 - Google Patents

Abstract

本发明涉及一种终端安全防御方法，包括如下步骤：步骤S11：当应用程序向操作系统的服务管理端请求访问应用服务时，对该访问应用服务请求进行权限管理，判断该访问应用服务请求是否合法；步骤S12：当权限管理通过该应用程序的访问应用服务请求时，应用程序的访问应用服务请求发送至操作系统的服务管理端，通过操作系统执行该应用程序的访问应用服务请求，否则，则返回应用程序。相对于现有技术，本发明的终端安全防御方法在应用程序向服务管理端发送请求之前就对其请求进行拦截和权限管理，防御更为主动，且占用较少的操作系统资源。

Description

终端安全防御的方法及终端安全防御装置

技术领域

本发明涉及通信领域，具体涉及一种终端安全防御的方法及终端安全防御装置。

背景技术

随着技术的发展，现有的很多终端开始多功能化。例如，在智能手机终端安装有相应开放式操作系统，可以在该系统上安装或卸载应用程序，使手机实现较丰富的功能。现有的智能手机部分会采用Android操作系统。手机Android操作系统的底层以Linux内核工作为基础，只提供基本功能，而其他功能则由各公司开发的应用程序实现。由于JAVA语言具有将源代码编译成字节码，然后依赖各种不同平台上的虚拟机来解释执行字节码，进而实现“一次编译、到处执行”的特性，所以应用程序基本上均采用JAVA语言进行编写。采用Android操作系统的智能手机，可以通过Android Runtime（Android运行时）软件使由JAVA语言编写的应用程序在Android平台上运行。

然而，随着智能手机的不断普及，应用程序有可能遭到恶意篡改，或者安装的应用程序本身会运行用户并不想进行的进程，因此需要对应用程序进行权限管理等实现手机等终端的安全防御。

请参阅图1，其是现有技术的一种终端安全防御方法的流程图。其主要包括以下几个步骤：

步骤D1：安装或运行应用程序；

步骤D2：应用程序向操作系统的服务管理端请求调用应用服务；

步骤D3：服务管理端调用应用服务时，对应用程序的调用请求进行权限管理，判断其是否为合法请求；如果是，进入步骤D4，如果否，则返回步骤D1。

步骤D4：调用请求的应用服务。

但是，技术人员在实现上述终端安全防御过程中发现，上述终端安全防御方法是在服务管理端向系统调用应用服务时才对其进行权限管理，在权限管理的过程中较为被动，不能及时拦截非法的调用应用服务请求，且浪费了一定的系统资源。

发明内容

本发明的目的在于克服现有技术中的缺点与不足，提供一种更为主动的终端安全防御方法。

本发明是采用以下的技术方案实现的：一种终端安全防御方法，包括如下步骤：

步骤S11：当应用程序向操作系统的服务管理端请求访问应用服务时，对该访问应用服务请求进行权限管理，判断该访问应用服务请求是否合法；

步骤S12：当权限管理通过该应用程序的访问应用服务请求时，应用程序的访问应用服务请求发送至操作系统的服务管理端，通过操作系统执行该应用程序的访问应用服务请求，否则，则返回应用程序。

相对于现有技术，本发明的终端安全防御方法在应用程序向服务管理端发送请求之前就对其请求进行拦截和权限管理，防御更为主动，且占用较少的操作系统资源。

进一步，在步骤S12之后还包括步骤：在操作系统执行该应用程序的访问网络请求时，对该应用程序进行网络管理，判断是否进行网络链接，并执行网络链接或阻止网络链接。

进一步，还包括步骤：对该应用程序进行广告管理，其在步骤S11之前、之后或与步骤S11同步实施。

该权限管理为对应用程序的访问应用服务请求进行权限拦截，拦截的方法为用户控制、行为拦截或云拦截。其中，该用户控制拦截为对应用程序的访问应用服务请求进行拦截，然后在一显示界面上提示是否拦截，包括拒绝、允许或执行默认操作。该行为拦截为自行根据默认的基础规则判断是否进行拦截。该云拦截为对应用程序的访问应用服务请求进行拦截，然后将拦截的访问应用服务请求的信息发送到云端的数据库进行比对，判断是否为恶意信息，最后从云端获得拒绝或允许访问的控制信息。

进一步，操作系统执行该应用程序的访问应用服务请求包括如下步骤：

步骤S131：服务管理端将应用程序的访问应用服务请求发送至对应的应用服务；

步骤S132：应用服务根据该应用程序的访问应用服务请求调用基础库对应的库函数；

步骤S133：操作系统执行该库函数；

该网络管理为在该操作系统执行该库函数之前，对基础库的网络函数进行拦截并进行网络管理。

另外，本发明还提供一种更为主动的终端安全防御装置。

一种终端安全防御装置，包括权限管理模块。当应用程序向操作系统的服务管理端请求访问应用服务时，该权限管理模块对该访问应用服务请求进行权限管理，判断该访问应用服务请求是否合法，若合法，应用程序的访问应用服务请求发送至操作系统的服务管理端，通过操作系统执行该应用程序的访问应用服务请求，否则，则返回应用程序。

还包括网络管理模块，在操作系统执行该应用程序的访问网络请求时，对该应用程序进行网络管理，判断是否进行网络链接，并执行网络链接或阻止网络链接。

进一步包括广告管理模块，其对应用程序进行广告管理，扫描该应用程序是否携带广告信息，并对其广告信息进行拦截并关闭。

相对于现有技术，本发明的终端安全防御装置包括权限管理模块、网络管理模块和广告管理模块，权限管理模块在应用程序向服务管理端发送请求之前就对其请求进行拦截和权限管理，防御更为主动，且占用较少的操作系统资源。进一步，网络管理模块对应用程序进行的网络链接进行拦截并且提示用户，避免应用程序进行非法网络链接导致用户的损失。以及该广告管理模块可主动拦截关闭广告信息。

为了能更清晰的理解本发明，以下将结合附图说明阐述本发明的具体实施方式。

附图说明

图1是现有技术的一种终端安全防御方法的流程图。

图2是本发明的第一实施例的终端安全防御方法的流程图。

图3是本发明的第一实施例的终端安全防御装置的结构示意图。

图4是本发明的第二实施例的终端安全防御方法流程图。

图5是本发明的第二实施例的终端安全防御装置的结构示意图。

图6是本发明的第三实施例的终端安全防御方法流程图。

图7是本发明的第三实施例的终端安全防御装置的结构示意图。

图8是Android操作系统的系统架构图。

具体实施方式

实施例1

请参阅图2，其是本发明的第一实施例的终端安全防御方法的流程图。该终端安全防御方法包括如下步骤：

步骤S11：当应用程序向操作系统的服务管理端请求访问应用服务时，对该访问应用服务请求进行权限管理，判断该访问应用服务请求是否合法。

具体地，该权限管理为对应用程序的访问应用服务请求进行权限拦截，拦截的方法包括用户控制、行为拦截和云拦截三种方式。用户控制的方式具体表现为：对应用程序的访问应用服务请求进行拦截，然后在一显示界面上提示用户是否拦截，由用户选择拒绝、允许或执行默认操作。该行为拦截不需要用户的干预，而是设置一基础规则，根据该默认的基础规则自行学习，判断是否进行拦截。该云自动拦截的方式具体表现为：对应用程序的访问应用服务请求进行拦截，然后将拦截的访问应用服务请求的信息发送到云端的数据库进行比对，判断是否为恶意信息，最后从云端获得拒绝或允许访问的控制信息。

步骤S12：当权限管理通过该应用程序的访问应用服务请求时，应用程序的访问应用服务请求发送至操作系统的服务管理端，通过操作系统执行该应用程序的请求，否则，则返回应用程序；

进一步，该操作系统执行该应用程序的请求包括了以下步骤：

步骤S131：服务管理端将应用程序的访问应用服务请求发送至对应的应用服务。其中，该服务管理端管理着操作系统的多个应用服务。

步骤S132：应用服务根据该应用程序的访问应用服务请求调用基础库对应的库函数；

步骤S133：操作系统执行该库函数。

请参阅图3，其是本发明的第一实施例的终端安全防御装置的结构示意图。该终端安全防御装置包括权限管理模块11。另外，操作系统包括服务管理端12、应用服务13、基础库14和操作系统内核15。

当应用程序向操作系统的服务管理端12请求访问应用服务13时，该权限管理模块11对该访问应用服务请求进行权限管理，判断该访问应用服务请求是否合法。

具体地，该权限管理模块11的具体管理方式为对应用程序的请求访问应用服务13进行权限拦截，拦截的方法包括用户控制、行为拦截和云拦截三种方式。用户控制的方式具体表现为：对应用程序的访问应用服务13的请求进行拦截，然后在一显示界面上提示用户是否拦截，由用户选择拒绝、允许或执行默认操作。行为拦截不需要用户的干预，而是在该权限管理模块11设置一基础规则，该权限管理模块11根据该默认的基础规则自行学习，判断是否进行拦截。该云拦截的方式具体表现为：对应用程序的访问应用服务13的请求进行拦截，然后将拦截的访问应用服务13的请求信息发送到云端的数据库进行比对，判断是否为恶意信息，最后从云端获得拒绝或允许访问的控制信息。

当该权限管理模块11通过该应用程序的访问应用服务13的请求时，应用程序的访问应用服务13的请求发送至服务管理端12，通过操作系统执行该应用程序的请求。

具体地，是由该操作系统的服务管理端12、应用服务13、基础库14和操作系统内核15来执行该应用程序的请求。其中，该服务管理端12管理着多个应用服务13，服务管理端12首先将应用程序的访问应用服务13的请求发送至对应的应用服务13。该应用服务13根据该应用程序的请求调用基础库14对应的库函数。该基础库14存放了供操作系统内核15执行的各种执行函数。操作系统内核15根据该调用的库函数执行该应用服务。

相对于现有技术，该终端安全防御方法在应用程序向服务管理端发送访问应用服务请求之前就对其该请求进行拦截和权限管理，防御更为主动，且占用较少的操作系统资源。

实施例2

请参阅图4，其是本发明的第二实施例的终端安全防御方法的流程图。该终端安全防御方法包括如下步骤：

步骤S11：当应用程序向操作系统的服务管理端请求访问应用服务时，对该请求访问应用服务进行权限管理，判断该请求访问应用服务是否合法。

具体地，该权限管理为对应用程序的访问应用服务请求进行权限拦截，拦截的方法包括用户控制、行为拦截和云拦截三种方式。用户控制的方式具体表现为：对应用程序的访问应用服务请求进行拦截，然后在一显示界面上提示用户是否拦截，由用户选择拒绝、允许或执行默认操作。该行为拦截不需要用户的干预，而是设置一基础规则，根据该默认的基础规则自行学习，判断是否进行拦截。该云自动拦截的方式具体表现为：对应用程序的访问应用服务请求进行拦截，然后将拦截的访问应用服务请求的信息发送到云端的数据库进行比对，判断是否为恶意信息，最后从云端获得拒绝或允许访问的控制信息。

步骤S12：当权限管理通过该应用程序访问应用服务请求时，应用程序的访问应用服务请求发送至操作系统的服务管理端，通过操作系统执行该应用程序的访问应用服务请求，否则，则返回应用程序；

步骤S25：在操作系统执行该应用程序的访问网络请求时，对该应用程序进行网络管理。

具体地，该步骤S25贯穿在操作系统执行该应用程序的请求的步骤中。具体步骤如下：

步骤S131：服务管理端将应用程序的访问应用服务请求发送至对应的应用服务。其中，该服务管理端管理着操作系统的多个应用服务。

步骤S132：应用服务根据该应用程序的访问应用服务请求调用基础库对应的库函数。

步骤S25：在操作系统执行该库函数之前，对基础库的网络函数进行拦截并进行网络管理。

具体的，该网络管理为拦截基础库的网络函数，并在一显示界面上显示网络链接地址并记录在日志上，用户根据提示选择阻止、限制或允许进行该网络链接。

步骤S133：当选择允许网络链接时，操作系统执行该库函数和网络函数，若选择阻止或限制网络链接时，操作系统执行该库函数。

请参阅图5，其是本发明的第二实施例的终端安全防御装置的结构示意图。该终端安全防御装置包括权限管理模块11和网络管理模块25。另外，操作系统包括服务管理端12、应用服务13、基础库14和操作系统内核15。

当应用程序向操作系统的服务管理端12请求访问应用服务13时，该权限管理模块11对该访问应用服务请求进行权限管理，判断该访问应用服务请求是否合法。

具体地，该权限管理模块11的具体管理方式为对应用程序的请求访问应用服务13进行权限拦截，拦截的方法包括用户控制、行为拦截和云拦截三种方式。用户控制的方式具体表现为：对应用程序的访问应用服务13的请求进行拦截，然后在一显示界面上提示用户是否拦截，由用户选择拒绝、允许或执行默认操作。行为拦截不需要用户的干预，而是在该权限管理模块11设置一基础规则，该权限管理模块11根据该默认的基础规则自行学习，判断是否进行拦截。该云拦截的方式具体表现为：对应用程序的访问应用服务13的请求进行拦截，然后将拦截的访问应用服务13的请求信息发送到云端的数据库进行比对，判断是否为恶意信息，最后从云端获得拒绝或允许访问的控制信息。

当该权限管理模块11通过该应用程序的访问应用服务13的请求时，应用程序的访问应用服务13的请求发送至服务管理端12，通过操作系统执行该应用程序的请求。

在操作系统执行该应用程序的访问网络请求时，该网络管理模块25对该应用程序进行网络管理，即拦截应用程序的网络链接，并在一显示界面上显示网络链接地址并记录在日志上，用户根据提示选择阻止、限制或允许进行该网络链接。

具体地，服务管理端12首先将应用程序的访问应用服务13的请求发送至对应的应用服务13。该应用服务13根据该应用程序的请求调用基础库14对应的库函数。该基础库14存放了供操作系统内核15执行的各种库函数，包括网络函数等。在操作系统执行该库函数之前，对基础库14的网络函数进行拦截并进行网络管理，拦截基础库的网络函数，并在一显示界面上显示网络链接地址并记录在日志上，用户根据提示选择阻止、限制或允许进行该网络链接。操作系统内核15根据该调用的库函数执行该应用服务。

相对于现有技术，该终端安全防御方法在应用程序向服务管理端发送访问应用服务请求之前就对其请求进行拦截和权限管理，防御更为主动，且占用较少的操作系统资源。进一步，在操作系统的底层进行网络管理，对应用程序进行的网络链接进行拦截并且提示用户，避免应用程序进行非法网络链接导致用户的损失。

实施例3

请参阅图6，其是本发明的第三实施例的终端安全防御方法的流程图。该终端安全防御方法与实施例二的终端安全防御方法大致相同，其区别仅在于：还包括步骤：

步骤S31：对应用程序进行广告管理。

其中，步骤S31在本实施例中是与步骤S11的权限管理同步。此外，在其他实施例中，该步骤S31广告管理可在步骤S11权限管理之前或者之后实施。

具体地，该广告管理为扫描该应用程序是否携带广告信息，并对其广告信息进行拦截并关闭。

请参阅图7，其是本发明的第三实施例的终端安全防御装置的结构示意图。该终端安全防御装置包括权限管理模块11、网络管理模块25和广告管理模块31。另外，操作系统包括服务管理端12、应用服务13、基础库14和操作系统内核15。

当应用程序向操作系统的服务管理端12请求访问应用服务13时，该权限管理模块11对该访问应用服务请求进行权限管理，判断该访问应用服务请求是否合法。

具体地，该权限管理模块11的具体管理方式为对应用程序的请求访问应用服务13进行权限拦截，拦截的方法包括用户控制、行为拦截和云拦截三种方式。用户控制的方式具体表现为：对应用程序的访问应用服务13的请求进行拦截，然后在一显示界面上提示用户是否拦截，由用户选择拒绝、允许或执行默认操作。行为拦截不需要用户的干预，而是在该权限管理模块11设置一基础规则，该权限管理模块11根据该默认的基础规则自行学习，判断是否进行拦截。该云拦截的方式具体表现为：对应用程序的访问应用服务13的请求进行拦截，然后将拦截的访问应用服务13的请求信息发送到云端的数据库进行比对，判断是否为恶意信息，最后从云端获得拒绝或允许访问的控制信息。

与此同时，该广告管理模块31对该服务请求进行广告管理，具体为检测其是否携带广告信息，若有广告信息，则对该广告信息进行拦截并关闭。

当该权限管理模块11通过该应用程序的访问应用服务13的请求时，应用程序的访问应用服务13的请求发送至服务管理端12，通过操作系统执行该应用程序的请求。

在操作系统执行该应用程序的访问网络请求时，该网络管理模块25对该应用程序进行网络管理，即拦截应用程序的网络链接，并在一显示界面上显示网络链接地址并记录在日志上，用户根据提示选择阻止、限制或允许进行该网络链接。

具体地，服务管理端12首先将应用程序的访问应用服务13的请求发送至对应的应用服务13。该应用服务13根据该应用程序的请求调用基础库14对应的库函数。该基础库14存放了供操作系统内核15执行的各种库函数，包括网络函数等。在操作系统执行该库函数之前，对基础库14的网络函数进行拦截并进行网络管理，拦截基础库的网络函数，并在一显示界面上显示网络链接地址并记录在日志上，用户根据提示选择阻止、限制或允许进行该网络链接。操作系统内核15根据该调用的库函数执行该应用服务。

相对于现有技术，该终端安全防御方法在应用程序向服务管理端发送访问应用服务请求之前就对其请求进行拦截和权限管理，防御更为主动，且占用较少的操作系统资源。进一步，在操作系统的底层进行网络管理，可获得应用程序的网络连接信息，对应用程序进行的网络链接进行拦截并且提示用户，避免应用程序进行非法网络链接导致用户的损失。以及，对应用程序的广告信息进行主动拦截关闭。

以下以手机终端的Android操作系统为例，说明本发明实施例三的终端安全防御方法的实现。

请参阅图8，其是Android操作系统的系统架构图。该Anddoid操作系统包括APPLICATION（应用程序）、APPLICATION FRAMEWORK（应用程序框架）、LIBRARIES（库）、ANDROID RUNTIME（Android运行时）、LINUX KERNEL（Linux核心程序）五个层。

其中，在LINUX KERNEL层，Android基于Linux 2.6提供核心系统服务，例如：安全、内存管理、进程管理、网络堆栈、驱动模型。Linux Kernel也作为硬件和软件之间的抽象层，它隐藏具体硬件细节而为上层提供统一的服务。在ANDROID RUNTIME层，Android包含一个核心库的集合，提供大部分在Java编程语言核心类库中可用的功能。每一个Android应用程序是Dalvik虚拟机中的实例，运行在他们自己的进程中。在LIBRARIES层，Android包含一个C/C++库的集合，供Android系统的各个组件使用。这些功能通过Android的应用程序框架(application framework)暴露给开发者。在APPLICATION FRAMEWORK层，通过提供开放的开发平台，Android使开发者能够编制极其丰富和新颖的应用程序。以及在APPLICATION层，Android装配一个核心应用程序集合，包括电子邮件客户端、SMS程序、日历、地图、浏览器、联系人和其他设置。所有应用程序都是用Java编程语言写的。

在本发明的终端安全防御方法中，首先是通过修改Android的APPLICATION层，虚拟一权限控制接口和广告管理接口，获得权限管理和广告管理的控制权。进一步，通过替换LIBRARIES层的Libc接口，对其网络函数进行接管，获得应用程序的网络链接信息，记录并提示给用户，防止非法链接。

本发明的终端安全防御方法和系统并不限于在Android操作系统的使用，还可应用于其他任何操作系统。

本发明并不局限于上述实施方式，如果对本发明的各种改动或变形不脱离本发明的精神和范围，倘若这些改动和变形属于本发明的权利要求和等同技术范围之内，则本发明也意图包含这些改动和变形。

Claims (15)

1.一种终端安全防御方法，包括如下步骤：

步骤S11：当应用程序向操作系统的服务管理端请求访问应用服务时，对该访问应用服务请求进行权限管理，判断该访问应用服务请求是否合法；

步骤S12：当权限管理通过该应用程序的访问应用服务请求时，应用程序的访问应用服务请求发送至操作系统的服务管理端，通过操作系统执行该应用程序的访问应用服务请求，否则，则返回应用程序。

2.根据权利要求1所述的终端安全防御方法，其特征在于：在步骤S12之后还包括步骤：在操作系统执行该应用程序的访问网络请求时，对该应用程序进行网络管理，判断是否进行网络链接，并执行网络链接或阻止网络链接。

3.根据权利要求1或2所述的终端安全防御方法，其特征在于：还包括步骤：对该应用程序进行广告管理，其在步骤S11之前、之后或与步骤S11同步实施。

4.根据权利要求1所述的终端安全防御方法，其特征在于：该权限管理为对应用程序的访问应用服务请求进行权限拦截，拦截的方法为用户控制或自动拦截。

5.根据权利要求4所述的终端安全防御方法，其特征在于：该用户控制拦截为对应用程序的访问应用服务请求进行拦截，然后在一显示界面上提示是否拦截，包括拒绝、允许或执行默认操作。

6.根据权利要求4所述的终端安全防御方法，其特征在于：该云拦截为对应用程序的访问应用服务请求进行拦截，然后将拦截的访问应用服务请求的信息发送到云端的数据库进行比对，判断是否为恶意信息，最后从云端获得拒绝或允许访问的控制信息。

7.根据权利要求4所述的终端安全防御方法，其特征在于：该行为拦截为自行根据默认的基础规则判断是否进行拦截。

8.根据权利要求2所述的终端安全防御方法，其特征在于：操作系统执行该应用程序的访问应用服务请求包括如下步骤：

步骤S131：服务管理端将应用程序的访问应用服务请求发送至对应的应用服务；

步骤S132：应用服务根据该应用程序的访问应用服务请求调用基础库对应的库函数；

步骤S133：操作系统执行该库函数；

该网络管理为在该操作系统执行该库函数之前，对基础库的网络函数进行拦截并进行网络管理。

9.根据权利要求8所述的终端安全防御方法，其特征在于：该网络管理为拦截网络函数，并在一显示界面上显示网络链接地址并记录在日志上，提示选择阻止、限制或允许进行该网络链接。

10.根据权利要求3所述的终端安全防御方法，其特征在于：该广告管理为扫描该应用程序是否携带广告信息，并对其广告信息进行拦截并关闭。

11.一种终端安全防御装置，其特征在于，包括权限管理模块，当应用程序向操作系统的服务管理端请求访问应用服务时，该权限管理模块对该访问应用服务请求进行权限管理，判断该访问应用服务请求是否合法，若合法，应用程序的访问应用服务请求发送至操作系统的服务管理端，通过操作系统执行该应用程序的访问应用服务请求，否则，则返回应用程序。

12.根据权利要求11所述的终端安全防御装置，其特征在于：还包括网络管理模块，在操作系统执行该应用程序的访问网络请求时，对该应用程序进行网络管理，判断是否进行网络链接，并执行网络链接或阻止网络链接。

13.根据权利要求11或12所述的终端安全防御装置，其特征在于：进一步包括广告管理模块，其对应用程序进行广告管理，扫描该应用程序是否携带广告信息，并对其广告信息进行拦截并关闭。

14.根据权利要求13所述的终端安全防御装置，其特征在于：服务管理端将应用程序的访问应用服务请求发送至对应的应用服务，应用服务根据该应用程序的请求调用基础库对应的库函数；然后，该网络管理模块对基础库的网络函数进行拦截并进行网络管理，最后再由操作系统执行该库函数。

15.根据权利要求14所述的终端安全防御装置，其特征在于：该网络管理模块拦截基础库的网络函数，并在一显示界面上显示网络链接地址并记录在日志上，提示选择阻止、限制或允许进行该网络链接。

Images