CN107818260B - 保障系统安全的方法及装置 - Google Patents

保障系统安全的方法及装置 Download PDF

Info

Publication number
CN107818260B
CN107818260B CN201610827022.4A CN201610827022A CN107818260B CN 107818260 B CN107818260 B CN 107818260B CN 201610827022 A CN201610827022 A CN 201610827022A CN 107818260 B CN107818260 B CN 107818260B
Authority
CN
China
Prior art keywords
file
security configuration
designated
under
module
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201610827022.4A
Other languages
English (en)
Other versions
CN107818260A (zh
Inventor
费立华
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
ZTE Corp
Original Assignee
ZTE Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ZTE Corp filed Critical ZTE Corp
Priority to CN201610827022.4A priority Critical patent/CN107818260B/zh
Priority to PCT/CN2017/099338 priority patent/WO2018049977A1/zh
Publication of CN107818260A publication Critical patent/CN107818260A/zh
Application granted granted Critical
Publication of CN107818260B publication Critical patent/CN107818260B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/54—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by adding security routines or objects to programs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/604—Tools and structures for managing or administering access control systems
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2141—Access rights, e.g. capability lists, access control lists, access tables, access matrices

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Health & Medical Sciences (AREA)
  • Automation & Control Theory (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)
  • Debugging And Monitoring (AREA)

Abstract

本发明提供了一种保障系统安全的方法及装置，其中，该方法包括：在EPG设备的Linux系统中设置有可动态加载的内核模块LKM，将预先设置好的安全配置文件加载到LKM中，在执行文件操作时，先依据上述安全配置文件检测本次文件操作是否合法，在确定文件操作是合法的情况下，执行本次文件操作，否则拒绝执行上述文件操作。采用上述技术方案，解决了相关技术中EPG设备安全级别低的问题，大幅提升了EPG设备的安全性。

Description

保障系统安全的方法及装置
技术领域
本发明涉及通信领域，具体而言，涉及一种保障系统安全的方法及装置。
背景技术
交互式网络电视(Internet Protocol TV or Interactive Personal TV，简称为IPTV)，是以电视机、电脑及手机设备为显示终端，将机顶盒、计算机或手机设备接入到互联网络，通过互联网络，特别是宽带网络，向TV、PC、移动终端等多种用户提供各种实时、非实时的多媒体业务。
IPTV系统中一些核心设备都是部署在防火墙内，但是为用户提供服务的电子节目指南(Electronic Program Guide，简称为EPG)设备则必须部署在防火墙外的，经常遭到黑客攻击，导致程序被篡改或者被删除，直接导致IPTV业务异常，无法为用户提供服务。
相关技术中的加固策略都是基于Linux设备进行安全加固，即对Linux设备的登录方式进行安全加固，使得黑客无法破解Linux设备的登录方式，从而无法登录。但是现有的安全加固还是存在风险，一旦登录方式长期不更新被人为泄露或者被黑客攻破，一旦黑客可以登录到EPG设备上就可以对程序进行任意的篡改、删除。
针对相关技术中EPG设备安全级别低的问题，目前还没有有效的解决方案。
发明内容
本发明实施例提供了一种保障系统安全的方法及装置，以至少解决相关技术中EPG设备安全级别低的问题。
根据本发明的一个实施例，提供了一种保障系统安全的方法，包括：
将安全配置文件加载到可动态加载的内核模块LKM中，其中，所述LKM设置于Linux系统中，其中，所述安全配置文件包括用于对文件操作进行合法性检查的规则；
依据所述安全配置文件对检测到的文件操作进行合法性检查，在确定所述文件操作为合法操作时，执行所述文件操作。
可选地，所述安全配置文件中包含有文件访问路径；依据所述安全配置文件对检测到的文件操作进行合法性检查，包括：
判断所述文件操作所对应的文件是否位于所述文件访问路径，其中，在所述文件未位于所述文件访问路径的情况下，确定所述文件操作为合法操作。
可选地，所述安全配置文件还包含所述文件访问路径下的指定文件，依据所述安全配置文件对检测到的文件操作进行合法性检查，包括：
判断所述文件操作所对应的文件是否为所述指定文件，其中，在所述文件未属于所述指定文件的情况下，确定所述文件操作为合法操作。
可选地，所述安全配置文件中还包括所述指定文件对应的指定操作进程，判断所述文件操作所对应的文件是否为所述指定文件，包括：
判断所述文件操作所对应的第一操作进程是否为所述指定操作进程，其中，在所述第一操作进程为所述指定操作进程的情况下，确定通过所述第一操作进程对所述指定文件执行的文件操作为合法操作。
可选地，依据所述安全配置文件对检测到的文件操作进行合法性检查之后，所述方法还包括：
在确定所述文件操作为非法操作的情况下，触发告警。
可选地，在所述安全配置文件存在更新信息的情况下，将所述更新信息加载到所述LKM中，形成更新后的安全配置信息；
依据所述更新后的安全配置文件对检测到的文件操作进行合法性检查。
根据本发明另一个实施例，还提供了一种保障系统安全的装置，其特征在于，包括：
加载模块，用于将安全配置文件加载到可动态加载的内核模块LKM中，其中，所述LKM设置于Linux系统中，其中，所述安全配置文件包括用于对文件操作进行合法性检查的规则；
检查模块，用于依据所述安全配置文件对检测到的文件操作进行合法性检查，在确定所述文件操作为合法操作时，执行所述文件操作。
可选地，在所述安全配置文件中包含有文件访问路径的情况下，所述检查模块还用于判断所述文件操作所对应的文件是否位于所述文件访问路径，其中，在所述文件未位于所述文件访问路径的情况下，确定所述文件操作为合法操作。
可选地，在所述安全配置文件还包含所述文件访问路径下的指定文件的情况下，所述检查模块还用于判断所述文件操作所对应的文件是否为所述指定文件，其中，在所述文件未属于所述指定文件的情况下，确定所述文件操作为合法操作。
可选地，在所述安全配置文件中还包括所述指定文件对应的指定操作进程的情况下，所述检查模块还用于判断所述文件操作所对应的第一操作进程是否为所述指定操作进程，其中，在所述第一操作进程为所述指定操作进程的情况下，确定通过所述第一操作进程对所述指定文件执行的文件操作为合法操作。
可选地，所述检查模块用于依据所述安全配置文件对检测到的文件操作进行合法性检查之后，在确定所述文件操作为非法操作的情况下，触发告警。
可选地，在所述安全配置文件存在更新信息的情况下，将所述更新信息加载到所述LKM中，形成更新后的安全配置信息；依据所述更新后的安全配置文件对检测到的文件操作进行合法性检查。
根据本发明的又一个实施例，还提供了一种存储介质。该存储介质设置为存储用于执行以下步骤的程序代码：
将安全配置文件加载到可动态加载的内核模块LKM中，其中，所述LKM设置于Linux系统中，其中，所述安全配置文件包括用于对文件操作进行合法性检查的规则；
依据所述安全配置文件对检测到的文件操作进行合法性检查，在确定所述文件操作为合法操作时，执行所述文件操作。
可选地，所述装置还包括：监控模块，用于监控所述加载模块或者所述检查模块，并在所述加载模块或者所述检查模块出现异常的情况下，重新启动所述加载模块或者所述检查模块。
通过本发明，在EPG设备的Linux系统中设置有可动态加载的内核模块LKM，将预先设置好的安全配置文件加载到LKM中，在执行文件操作时，先依据上述安全配置文件检测本次文件操作是否合法，在确定文件操作是合法的情况下，执行本次文件操作，否则拒绝执行上述文件操作。解决了相关技术中EPG设备安全级别低的问题，大幅提升了EPG设备的安全性。
附图说明
此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：
图1是根据本发明实施例的一种保障系统安全的方法流程图；
图2是根据本发明优选实施例中的LKM的示意图；
图3是根据本发明优选实施例中文件系统内核函数重写示意图；
图4是根据本发明优选实施例的实现文件防篡改的流程示意图；
图5是根据本发明实施例的保障系统安全的装置的结构框图。
具体实施方式
下文中将参考附图并结合实施例来详细说明本发明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。
需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。
实施例1
本申请文件的技术方案可以运行于IPTV业务系统中的EPG设备，即在EPG设备中的Linux系统中执行该申请文件中的技术方案。
图1是根据本发明实施例的一种保障系统安全的方法流程图，如图1所示，该流程包括：
步骤S102，将安全配置文件加载到可动态加载的内核模块LKM中，其中，该LKM设置于Linux系统中，其中，该安全配置文件包括用于对文件操作进行合法性检查的规则；
步骤S104，依据该安全配置文件对检测到的文件操作进行合法性检查，在确定该文件操作为合法操作时，执行该文件操作。
需要说明的是，上述步骤中记载的文件操作包括修改文件，删除文件，移动文件等等。
可选地，该安全配置文件中包含有文件访问路径，判断该文件操作所对应的文件是否位于该文件访问路径，其中，在该文件未位于该文件访问路径的情况下，确定该文件操作为合法操作。
需要补充的是，在一个可选实施例中，也可以设置安全配置文件中包含的文件访问路径是可以执行文件操作的路径，除这些路径外的其他文件路径都不可以访问，其实这跟上面的可选实施例中的技术方案本质上没有什么区别。
可选地，该安全配置文件还包含该文件访问路径下的指定文件，判断该文件操作所对应的文件是否为该指定文件，其中，在该文件未属于该指定文件的情况下，确定该文件操作为合法操作。需要说明的是，该可选实施例中的指定文件还可以是指定文件类型，即在该访问路径中的指定文件类型都在保护范围内，都不可以被随意的操作修改。
可选地，该安全配置文件中还包括该指定文件对应的指定操作进程，判断该文件操作所对应的第一操作进程是否为该指定操作进程，其中，在该第一操作进程为该指定操作进程的情况下，确定通过该第一操作进程对该指定文件执行的文件操作为合法操作。例如，在C盘某一位置中的文件只可以被复制，不可以被删除。
对于上述三个可选实施例中的技术方案，分别是列举了三种合法性检测的详细情况。
可选地，依据该安全配置文件对检测到的文件操作进行合法性检查之后，在确定该文件操作为非法操作的情况下，触发告警，并生成相关告警日志供用户参考，另增加监控进程，监控上述方法步骤是否正常执行，发现异常重新启动。
可选地，在该安全配置文件存在更新信息的情况下，将该更新信息加载到该LKM中，形成更新后的安全配置信息；
依据该更新后的安全配置文件对检测到的文件操作进行合法性检查。
下面结合本发明优选实施例进行详细说明。
本申请文件中的技术方案的目的在于提供一种禁止恶意篡改的安全加固方法，根据IPTV业务系统中EPG设备提供的具体业务实现，只允许指定进程操作指定目录下的指定文件类型或者指定文件，也就是说，只要EPG设备上部署了该安全加固程序，即使用户以root用户登录系统，也无法进行数据、文件的修改。
本发明优选实施例中采用以下技术方案，使用事件触发技术，实现一个Linux可动态加载的内核模块LKM(Loadable Kernel Modules)：重写文件系统的内核函数，对文件系统的操作进行修改时，先进行合法性检查，对于非法操作进行告警和拒绝，对于合法的操作继续原有的文件操作，以达到程序防篡改的目的。
本申请文件的核心技术在于实现一个Linux可动态加载的内核模块LKM(LoadableKernel Modules)：重写文件系统的内核函数。用户对文件系统的操作进行修改时，重写文件系统的内核函数根据加载的安全配置文件规则进行合法性检查，满足规则则认为是合法的文件操作，对于合法的操作继续原有的文件操作，否则给予拦截和告警。
以下是本发明优选实施例中的具体实施方式。
首先介绍Linux的文件系统调用过程，Linux的文件系统调用过程分为2个部分：用户空间的处理和内核空间的处理。
用户空间处理部分是系统调用从用户态切换到内核态的过程。当系统调用发生时，库函数在保存该系统调用号和相应参数后，进入0x80中断。这时系统调用在用户空间的处理就完成了。
内核空间处理部分则是系统调用在Linux内核中处理的整个过程。ox80中断处理程序接管执行后，先检查其系统调用号，然后根据系统调用号查找系统调用表，并从系统调用表中得到处理该系统调用的内核函数，最后传递参数并运行此函数。至此内核真正开始处理该系统调用。
其次介绍Linux可动态加载的内核模块LKM(Loadable Kernel Modules)实现需要的安全配置文件。图2是根据本发明优选实施例中的LKM的示意图。安全配置文件是LKM内核模块实现文件操作安全性的判断准则，LKM按照安全配置文件中的配置来判断文件是否允许操作的。
安全配置文件可以包含如下组成：
1、程序保护的指定全路径。
2、程序包含的指定路径下的指定文件或者指定文件类型，支持通配符，多个文件或文件类型可用，分割。如：*.jsp,*.jpg。
3、允许文件操作的进程名称，可配置多个进程，用，分割。如/bin/cp,/usr/bin/vi。
其中1、2、3中的内容可以使用：进行分割。例如安全配置文件中配置：
/home/test:*.jsp,*.jpg:/bin/cp,/usr/bin/vi
依据上述设定，可以得出上述语句表示/home/test目录下以jsp和jpg结尾的文件只允许/bin/cp,/usr/bin/vi进程操作，其他进程均不能操作。
再进一步介绍可动态加载的内核模块LKM，LKM可理解成一种自定义实现。任何的文件操作进入内核态调用0x80中断操作，会进入LKM中自定义程序入口，自定义程序要判断是否允许执行文件操作，如果不是允许操作，则直接拒绝。
下面将重点介绍该发明的核心技术，即Linux可动态加载的内核模块LKM重写文件系统的内核函数时重写的实现以及安全配置文件的部署和生效。
图3是根据本发明优选实施例中文件系统内核函数重写示意图，如图3所示，包括以下步骤：
步骤一，用户态有进行文件操作，进入内核态的ox80中断调用操作，进入自定义程序LKM。
步骤二，LKM首先判断LKM内存中的安全配置内容是否为空，若为空，则允许上述文件操作，不做任何限制。
步骤三，若不为空，再判断要操作的文件是否在安全配置中，判定在安全配置中的逻辑需同时包括下面几个：
1)在安全配置的指定目录下；
2)是安全配置的指定文件类型或者指定文件；
步骤四，操作的文件在安全配置中没有设置，则允许操作，不做任何限制处理。
步骤五，操作的文件在安全配置中有设置，则获取文件操作的进程名称。
步骤六，根据安全配置中设置的规则判断，此进程是否被允许对此文件做此操作，若允许，则继续文件操作，不做任何限制。
步骤七，若不允许操作，则触发告警，生成告警日志。
图4是根据本发明优选实施例的实现文件防篡改的流程示意图，如图4所示，安全配置文件在操作系统部署后，LKM对安全配置文件生效，实现文件防篡改的实现流程如下：
首先说明的是，防篡改程序需要在设备上部署2个进程和1个告警模块，2个进程可分别定义为防篡改监控进程和防篡改安全操作进程。流程如下：
步骤一，防篡改程序启动2个进程，一个是监控进程，一个用于安全操作进程，监控进程监控安全进程，如果安全进程挂起或被kill，监控将安全进程启动起来。
步骤二，LKM发现不允许的文件操作，要进行告警时，发送消息给安全操作进程，此进程再发送给告警模块。
步骤三，安全操作进程可实时监控安全配置文件，如果发现安全配置文件有修改，则认为安全配置文件有更新。
步骤四，安全操作进程也可定时读取更新的安全配置文件内容，并发送更新后的内容给LKM。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。
实施例2
在本实施例中还提供了一种保障系统安全的装置，该装置用于实现上述实施例及优选实施方式，已经进行过说明的不再赘述。如以下所使用的，术语“模块”可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。
图5是根据本发明实施例的保障系统安全的装置的结构框图，如图5所示，该装置包括：
加载模块52，用于将安全配置文件加载到可动态加载的内核模块LKM中，其中，该LKM设置于Linux系统中，其中，该安全配置文件包括用于对文件操作进行合法性检查的规则；
检查模块54，连接至该加载模块52，用于依据该安全配置文件对检测到的文件操作进行合法性检查，在确定该文件操作为合法操作时，执行该文件操作。
可选地，在该安全配置文件中包含有文件访问路径情况下，该检查模块54还用于判断该文件操作所对应的文件是否位于该文件访问路径，其中，在该文件未位于该文件访问路径的情况下，确定该文件操作为合法操作。
可选地，在该安全配置文件还包含该文件访问路径下的指定文件的情况下，该检查模块54还用于判断该文件操作所对应的文件是否为该指定文件，其中，在该文件未属于该指定文件的情况下，确定该文件操作为合法操作。
可选地，在该安全配置文件中还包括该指定文件对应的指定操作进程的情况下，该检查模块54还用于判断该文件操作所对应的第一操作进程是否为该指定操作进程，其中，在该第一操作进程为该指定操作进程的情况下，确定通过该第一操作进程对该指定文件执行的文件操作为合法操作。
可选地，该检查模块54用于依据该安全配置文件对检测到的文件操作进行合法性检查之后，在确定该文件操作为非法操作的情况下，触发告警。
可选地，在该安全配置文件存在更新信息的情况下，将该更新信息加载到该LKM中，形成更新后的安全配置信息；依据该更新后的安全配置文件对检测到的文件操作进行合法性检查。
可选地，该装置还包括：监控模块，用于监控该加载模块或者该检查模块，并在该加载模块或者该检查模块出现异常的情况下，重新启动该加载模块或者该检查模块。需要说明的是，该监控模块监控的是加载模块或者检查模块的运行状态，即两个模块可以正常执行上述实施例中记载的功能步骤。
需要说明的是，上述各个模块是可以通过软件或硬件来实现的，对于后者，可以通过以下方式实现，但不限于此：上述模块均位于同一处理器中；或者，上述各个模块以任意组合的形式分别位于不同的处理器中。
实施例3
本发明的实施例还提供了一种存储介质。可选地，在本实施例中，上述存储介质可以被设置为存储用于执行以下步骤的程序代码：
S1，将安全配置文件加载到可动态加载的内核模块LKM中，其中，该LKM设置于Linux系统中，其中，该安全配置文件包括用于对文件操作进行合法性检查的规则；
S2，依据该安全配置文件对检测到的文件操作进行合法性检查，在确定该文件操作为合法操作时，执行该文件操作。
可选地，在本实施例中，上述存储介质可以包括但不限于：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。
可选地，在本实施例中，处理器根据存储介质中已存储的程序代码执行上述可选实施例中的方法步骤。
可选地，本实施例中的具体示例可以参考上述实施例及可选实施方式中所描述的示例，本实施例在此不再赘述。
显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。
以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (7)

1.一种保障系统安全的方法，其特征在于，包括：
将安全配置文件加载到可动态加载的内核模块LKM中，其中，所述LKM设置于Linux系统中，其中，所述安全配置文件包括用于对文件操作进行合法性检查的规则，以及文件访问路径、文件访问路径下的指定文件、指定文件对应的指定操作进程中的至少一种；
依据所述安全配置文件对检测到的文件操作进行合法性检查，在确定所述文件操作为合法操作时，执行所述文件操作；
所述依据所述安全配置文件对检测到的文件操作进行合法性检查，包括：
判断所述文件操作所对应的文件是否位于所述文件访问路径，其中，在所述文件未位于所述文件访问路径的情况下，确定所述文件操作为合法操作；
在所述文件位于所述文件访问路径的情况下，判断所述文件操作所对应的文件是否为所述指定文件，其中，在所述文件未属于所述指定文件的情况下，确定所述文件操作为合法操作；
在所述文件属于所述指定文件的情况下，判断所述文件操作所对应的第一操作进程是否为指定操作进程，其中，在所述第一操作进程为所述指定操作进程的情况下，确定通过所述第一操作进程对所述指定文件执行的文件操作为合法操作。
2.根据权利要求1所述的方法，其特征在于，依据所述安全配置文件对检测到的文件操作进行合法性检查之后，所述方法还包括：
在确定所述文件操作为非法操作的情况下，触发告警。
3.根据权利要求1所述的方法，其特征在于，在所述安全配置文件存在更新信息的情况下，将所述更新信息加载到所述LKM中，形成更新后的安全配置信息；
依据所述更新后的安全配置文件对检测到的文件操作进行合法性检查。
4.一种保障系统安全的装置，其特征在于，包括：
加载模块，用于将安全配置文件加载到可动态加载的内核模块LKM中，其中，所述LKM设置于Linux系统中，其中，所述安全配置文件包括用于对文件操作进行合法性检查的规则，以及文件访问路径、文件访问路径下的指定文件、指定文件对应的指定操作进程中的至少一种；
检查模块，用于依据所述安全配置文件对检测到的文件操作进行合法性检查，在确定所述文件操作为合法操作时，执行所述文件操作；
检查模块，用于依据所述安全配置文件对检测到的文件操作进行合法性检查，包括：
判断所述文件操作所对应的文件是否位于所述文件访问路径，其中，在所述文件未位于所述文件访问路径的情况下，确定所述文件操作为合法操作；
在所述文件位于所述文件访问路径的情况下，判断所述文件操作所对应的文件是否为所述指定文件，其中，在所述文件未属于所述指定文件的情况下，确定所述文件操作为合法操作；
在所述文件属于所述指定文件的情况下，判断所述文件操作所对应的第一操作进程是否为指定操作进程，其中，在所述第一操作进程为所述指定操作进程的情况下，确定通过所述第一操作进程对所述指定文件执行的文件操作为合法操作。
5.根据权利要求4所述的装置，其特征在于，所述检查模块还用于依据所述安全配置文件对检测到的文件操作进行合法性检查之后，在确定所述文件操作为非法操作的情况下，触发告警。
6.根据权利要求4所述的装置，其特征在于，在所述安全配置文件存在更新信息的情况下，将所述更新信息加载到所述LKM中，形成更新后的安全配置信息；依据所述更新后的安全配置文件对检测到的文件操作进行合法性检查。
7.根据权利要求4所述的装置，其特征在于，所述装置还包括：
监控模块，用于监控所述加载模块或者所述检查模块，并在所述加载模块或者所述检查模块出现异常的情况下，重新启动所述加载模块或者所述检查模块。
CN201610827022.4A 2016-09-14 2016-09-14 保障系统安全的方法及装置 Active CN107818260B (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201610827022.4A CN107818260B (zh) 2016-09-14 2016-09-14 保障系统安全的方法及装置
PCT/CN2017/099338 WO2018049977A1 (zh) 2016-09-14 2017-08-28 保障系统安全的方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610827022.4A CN107818260B (zh) 2016-09-14 2016-09-14 保障系统安全的方法及装置

Publications (2)

Publication Number Publication Date
CN107818260A CN107818260A (zh) 2018-03-20
CN107818260B true CN107818260B (zh) 2023-04-25

Family

ID=61600408

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610827022.4A Active CN107818260B (zh) 2016-09-14 2016-09-14 保障系统安全的方法及装置

Country Status (2)

Country Link
CN (1) CN107818260B (zh)
WO (1) WO2018049977A1 (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110968356B (zh) * 2018-09-29 2023-09-29 北京金山云网络技术有限公司 配置信息获取的方法和装置
CN116257266A (zh) * 2022-11-22 2023-06-13 浙江御安信息技术有限公司 一种Linux系统主机自动化安全加固方法和设备

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8272048B2 (en) * 2006-08-04 2012-09-18 Apple Inc. Restriction of program process capabilities
CN101996154B (zh) * 2009-08-10 2012-09-26 北京多思科技发展有限公司 支持可重组安全设计的通用处理器
CN102930202A (zh) * 2012-11-05 2013-02-13 曙光信息产业(北京)有限公司 在Linux系统中执行操作的方法
CN104102878B (zh) * 2013-04-10 2017-02-08 中国科学院计算技术研究所 一种Linux平台下的恶意代码分析方法及系统
CN103561045B (zh) * 2013-11-21 2017-01-04 北京网秦天下科技有限公司 用于Android系统的安全监测系统和方法
CN103778006B (zh) * 2014-02-12 2017-02-08 成都卫士通信息安全技术有限公司 一种操作系统进程控制方法
CN104866778A (zh) * 2015-01-30 2015-08-26 武汉华工安鼎信息技术有限责任公司 一种基于Linux内核的文档安全访问控制方法和装置

Also Published As

Publication number Publication date
WO2018049977A1 (zh) 2018-03-22
CN107818260A (zh) 2018-03-20

Similar Documents

Publication Publication Date Title
US10623440B2 (en) Method and system for protecting web applications against web attacks
CN105427096B (zh) 支付安全沙箱实现方法及系统与应用程序监控方法及系统
CN104376263B (zh) 应用程序行为拦截的方法和装置
CN102110220A (zh) 一种应用程序监控方法及装置
CN106778243B (zh) 基于虚拟机的内核漏洞检测文件保护方法及装置
US10649877B2 (en) Macro-script execution control
CN104484599A (zh) 一种基于应用程序的行为处理方法和装置
CN107196951A (zh) 一种hdfs系统防火墙的实现方法和防火墙系统
CN106778244B (zh) 基于虚拟机的内核漏洞检测进程保护方法及装置
CN106778242B (zh) 基于虚拟机的内核漏洞检测方法及装置
CN113138836B (zh) 一种使用基于Docker容器的防逃逸系统的防逃逸方法
CN111651754A (zh) 入侵的检测方法和装置、存储介质、电子装置
CN108334404B (zh) 应用程序的运行方法和装置
CN106127031A (zh) 一种保护进程的方法、装置及电子设备
CN105095758A (zh) 锁屏应用程序处理方法、装置以及移动终端
CN107818260B (zh) 保障系统安全的方法及装置
CN101854359A (zh) 基于虚拟化计算的权限控制方法
CN105844148A (zh) 一种保护操作系统的方法、装置及电子设备
CN111783087A (zh) 可执行文件恶意执行的检测方法及装置、终端、存储介质
CN113297628A (zh) 一种修改行为审计方法、装置、设备及可读存储介质
CN113518055B (zh) 数据安全防护的处理方法及装置、存储介质、终端
CN113836529A (zh) 进程检测方法、装置、存储介质以及计算机设备
CN109800580B (zh) 系统进程的权限控制方法及装置、存储介质、计算机设备
CN106203189A (zh) 设备数据获取方法、装置和终端设备
CN116956310B (zh) 漏洞防护方法、装置、设备和可读存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
TA01 Transfer of patent application right

Effective date of registration: 20180417

Address after: 518057 Nanshan District science and technology, Guangdong Province, South Road, No. 55, No.

Applicant after: ZTE Corp.

Address before: Yuhuatai District of Nanjing City, Jiangsu province 210012 Bauhinia Road No. 68

Applicant before: Nanjing Zhongxing New Software Co.,Ltd.

TA01 Transfer of patent application right
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant