CN108256320B - 微分域动态检测方法及装置、设备和存储介质 - Google Patents

Abstract

本发明提供一种微分域动态检测方法及装置、设备和存储介质，该方法包括：在嵌入式终端的用户态中在线实时监控该终端中各应用程序的操作；在该终端的内核态中通过对操作所访问的系统资源进行识别，生成系统资源分类结果；在用户态中根据预配置的检测规则和系统资源分类结果对操作进行合法性检测；在用户态中合法性检测的结果为不合法时生成异常信息进行报警，并发送至服务端。本发明一方面通过植入用户态的程序与植入内核态的程序之间的关联调用实现了两者的相互保护；另一方面通过对在线监控到的应用程序的操作所访问的系统资源进行识别分类，根据分类结果和检测规则进行合法性检测，从而实现了对异常操作的准确分类识别。

Description

微分域动态检测方法及装置、设备和存储介质

技术领域

本申请涉及嵌入式终端技术领域，具体涉及一种微分域动态检测方法及装置、设备和存储介质。

背景技术

当前物联网的嵌入式终端发展非常迅速，预计到2020年将有约200亿嵌入式终端。在这些海量的终端中，将有近60％的终端将采用Linux或Android操作系统。但如今市场上通常没有专门针对物联网的嵌入式终端的威胁检测解决方案。

当前市场上较为接近的方案，一类是安卓手机的安全保护方案，例如主数据管理(Master Data Management，简称MDM)、第三方安全应用等，另一类是在设备中集成专用的安全芯片。

前者的缺陷在于，一方面，只适用安卓系统，而不适用于Linux等其它系统的嵌入式终端，另一方面，该类解决方案相当于在应用层安装一个程序，并没有深入到内核层，很容易被删除掉，导致安全威胁；再一方面，没有对嵌入式终端面临的异常威胁进行准确分类，导致无法准确地应对安全风险。

后者的缺陷在于，一方面，需要芯片厂商支持，导致受制于芯片厂商，另一方面，同样没有对嵌入式终端面临的异常威胁进行准确分类，导致无法准确地应对安全风险。

发明内容

鉴于现有技术中的上述缺陷或不足，期望提供一种适用于嵌入式终端、不易被删除且对嵌入式终端面临的异常威胁进行准确分类的微分域动态检测方法及装置、设备和存储介质。

第一方面，本发明提供一种微分域动态检测方法，包括：

在嵌入式终端的用户态中在线实时监控该终端中各应用程序的操作；

在该终端的内核态中通过对操作所访问的系统资源进行识别，生成系统资源分类结果；

在用户态中根据预配置的检测规则和系统资源分类结果对操作进行合法性检测；

在用户态中合法性检测的结果为不合法时生成异常信息进行报警，并将异常信息发送至服务端。

第二方面，本发明提供一种微分域动态检测装置，配置于嵌入式终端中，包括配置于在用户态运行的在线监控单元、检测单元和报警单元，以及配置于在内核态运行的微分域单元。

在线监控单元配置用于在线实时监控所述终端中各应用程序的操作；

微分域单元配置用于通过对所述操作所访问的系统资源进行识别，生成系统资源分类结果；

检测单元配置用于根据预配置的检测规则和所述系统资源分类结果对所述操作进行合法性检测；

报警单元配置用于在所述合法性检测的结果为不合法时生成异常信息进行报警，并将异常信息发送至服务端。

第三方面，本发明还提供一种设备，包括一个或多个处理器和存储器，其中存储器包含可由该一个或多个处理器执行的指令以使得该一个或多个处理器执行根据本发明各实施例提供的微分域动态检测方法。

第四方面，本发明还提供一种存储有计算机程序的存储介质，该计算机程序使计算机执行根据本发明各实施例提供的微分域动态检测方法。

本发明诸多实施例提供的微分域动态检测方法及装置、设备和存储介质一方面通过植入用户态的程序与植入内核态的程序之间的关联调用实现了两者的相互保护，从而避免了用户态的程序被轻易删除而导致安全风险；另一方面通过对在线监控到的应用程序的操作所访问的系统资源进行识别分类，根据分类结果和检测规则进行合法性检测，从而实现了对异常操作的准确分类识别；

本发明一些实施例提供的微分域动态检测方法及装置、设备和存储介质进一步通过根据进程类等无需访问资源的操作的识别进行合法性检测，保障了异常威胁检测的全面性，提高了安全性。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本申请的其它特征、目的和优点将会变得更明显：

图1为本发明一实施例提供的一种微分域动态检测方法的流程图。

图2为图1所示方法的一种优选实施方式的流程图。

图3为图1所示方法的一种优选实施方式的流程图。

图4为本发明一实施例提供的一种微分域动态检测装置的结构示意图。

图5为图4所示装置的一种优选实施方式的结构示意图。

图6为图4所示装置的一种优选实施方式的结构示意图。

图7为本发明一实施例提供的一种设备的结构示意图。

具体实施方式

下面结合附图和实施例对本申请作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释相关发明，而非对该发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与发明相关的部分。

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

图1为本发明一实施例提供的一种微分域动态检测方法的流程图。

如图1所示，在本实施例中，本发明提供一种微分域动态检测方法，包括：

S20：在嵌入式终端的用户态中在线实时监控该终端中各应用程序的操作；

S40：在该终端的内核态中通过对操作所访问的系统资源进行识别，生成系统资源分类结果；

S60：在用户态中根据预配置的检测规则和系统资源分类结果对操作进行合法性检测；

S80：在用户态中合法性检测的结果为不合法时生成异常信息进行报警，并将异常信息发送至服务端。

具体地，在本实施例中，该嵌入式终端的操作系统为Linux系统，具体通过分别在Linux系统的用户态植入应用软件，并在内核态植入驱动程序来实现。在更多实施例中还可应用于操作系统为安卓或Unix等不同操作系统的嵌入式终端。

以下以在Linux系统的用户态植入应用软件P、在内核态植入驱动程序Q为例对上述方法进行详细说明：

在步骤S20中，植入在用户态中的应用软件P对该嵌入式终端中各应用程序的进程操作进行在线实时监控，由于只对各应用程序的进程进行监控，而并未进行任何影响各进程执行操作的动作，因此能够保证在线监控的实时性。

其中，由于各应用程序在执行操作的过程中会产生不同的进程，即便特殊情况下不同应用程序使用相同的进程，各应用程序的进程ID也不相同，因此可以实现对各应用程序的分别监控。

在步骤S40中，以在线实时监控检测到应用程序A的进程执行了访问文件a的操作为例，应用软件P检测到该操作后，实时调用内核态的驱动程序Q，通过对文件a的存储路径和存储类型进行识别，识别出文件a，从而完成对应用程序A所访问的系统资源的识别，生成系统资源分类结果。

除了上述例举的通过识别文件或数据的路径和存储类型，识别所访问的文件或数据外，还可以通过以下任意不同方式来识别操作所访问的系统资源：通过识别操作所调用的接口驱动程序，识别所访问的接口资源；通过识别目标IP地址或URL地址，识别所访问的网络资源；等等。

驱动程序Q在生成上述系统资源分类结果后，实时调用应用软件P以将系统资源分类结果返回给应用软件P。

驱动程序Q和应用程序P之间通过上述相互关联调用等保护的机制，保障了两者中的任意一项都无法被单独删除，从而避免被恶意程序轻易删除，提高了解决方案的安全性。

在步骤S60中，应用程序P接收到驱动程序Q所返回的系统资源分类结果后，根据预配置的检测规则对该系统资源分类结果进行规则匹配，以判断该访问文件a的操作是否合法。例如，预配置的检测规则为应用程序A访问自身创建的文件为合法，而访问其它程序创建的文件为不合法，则可以通过系统资源分类结果判断文件a是否由应用程序A所创建，进而判断应用程序A访问文件a的操作是否合法。

在步骤S80中，若步骤S60中合法性检测的结果为合法，则返回继续进行步骤S20的在线实时监控；若合法性检测的结果为不合法，则应用程序P根据应用程序A及其进程的信息、该访问文件a的操作信息、文件a的信息等各项信息中的任意一项或多项生成异常信息进行报警，并将该异常信息上传至后台的服务端，以供服务端进行统计、分析、呈现等。其中，报警可以通过将异常信息发送至指定终端或报警平台等本领域常用的报警方式进行。

上述实施例一方面通过植入用户态的程序与植入内核态的程序之间的关联调用实现了两者的相互保护，从而避免了用户态的程序被轻易删除而导致安全风险；另一方面通过对在线监控到的应用程序的操作所访问的系统资源进行识别分类，根据分类结果和检测规则进行合法性检测，从而实现了对异常操作的准确分类识别。

图2为图1所示方法的一种优选实施方式的流程图。如图2所示，在一优选实施例中，上述方法还包括：

S50：在用户态中对操作进行识别，生成操作识别结果。

步骤S60包括对应于步骤S40的S61：根据预配置的检测规则和所述系统资源分类结果对所述操作进行第一合法性检测；以及，

对应于步骤S50的S63：根据预配置的检测规则和操作识别结果对操作进行第二合法性检测。

具体地，图2所示方法与图1所示方法的区别在于还包括步骤S50和S63。由于应用程序的某些操作可能不会对系统资源产生访问行为，例如创建进程等操作，因此对于这些操作无法通过上述步骤S40进行识别，进而导致步骤S60无法对该类操作进行合法性检测。此时则需要通过步骤S50对该类操作进行识别，并通过步骤S63进行合法性检测。

具体地，同样以应用软件P和驱动程序Q为例：当应用程序P在步骤S20的在线实时监控检测到应用程序B执行某一操作时，通过监控信息判断该操作是否访问系统资源：是，则实时调用内核态的驱动程序Q，进入步骤S40；否，则调用用户态的识别程序，进入步骤S50。

步骤S40与步骤S61的识别分类与合法性检测原理与图1所示方法相同，此处不再赘述；

步骤S50通过监控信息中的进程信息等信息对操作进行分类识别，从而生成操作识别结果，在步骤S63中，根据预配置的检测规则对该操作识别结果进行规则匹配，以判断该操作是否合法。

上述实施例进一步通过根据进程类等无需访问资源的操作的识别进行合法性检测，保障了异常威胁检测的全面性，提高了安全性。

图3为图1所示方法的一种优选实施方式的流程图。如图3所示，在一优选实施例中，上述方法还包括：

S10：接收服务端发送的检测规则并存储至闪存中。

具体地，在本实施例中通过服务端来配置检测规则，在更多实施例中，还可以由管理员等操作人员通过终端来配置检测规则。

图4为本发明一实施例提供的一种微分域动态检测装置的结构示意图。图4所示的装置可对应执行图1所示的方法。

如图4所示，在本实施例中，本发明提供一种微分域动态检测装置10，配置于嵌入式终端20中，包括在线监控单元12、微分域单元14、检测单元16和报警单元18。

其中，在线监控单元12、检测单元16和报警单元18配置于在用户态运行，微分域单元14配置于在内核态运行。

在线监控单元12配置用于在线实时监控该嵌入式终端20中各应用程序的操作；

微分域单元14配置用于通过对操作所访问的系统资源进行识别，生成系统资源分类结果；

检测单元16配置用于根据预配置的检测规则和系统资源分类结果对操作进行合法性检测；

报警单元18配置用于合法性检测的结果为不合法时生成异常信息进行报警，并将异常信息发送至服务端30。

上述装置的微分域动态检测原理参见图1所示的方法，此处不再赘述。

图5为图4所示装置的一种优选实施方式的结构示意图。图5所示的装置可以对应执行图2所示的方法。

如图5所示，在一优选实施例中，该微分域动态检测装置10还包括识别单元15。识别单元15配置于在用户态运行，用于对操作进行识别，生成操作识别结果。

检测单元16包括第一检测子单元161和第二检测子单元163。

第一检测子单元161配置用于根据预配置的检测规则和系统资源分类结果对操作进行第一合法性检测；

第二检测子单元163配置用于根据预配置的检测规则和操作识别结果对操作进行第二合法性检测。

上述装置的微分域动态检测原理参见图2所示的方法，此处不再赘述。

图6为图4所示装置的一种优选实施方式的结构示意图。图6所示装置可对应执行图3所示的方法。

如图6所示，在一优选实施例中，该微分域动态检测装置10还包括规则配置单元11。规则配置单元11配置用于接收服务端30发送的检测规则并存储至闪存中。

优选地，微分域单元14包括接口资源识别子单元141、网络资源识别子单元143、文件数据识别子单元145和结果生成子单元147。

接口资源识别子单元141配置用于通过识别操作所调用的接口驱动程序，识别所访问的接口资源；

网络资源识别子单元143配置用于通过识别目标IP地址或URL地址，识别所访问的网络资源；

文件数据识别子单元145配置用于通过识别文件或数据的路径和存储类型，识别所访问的文件或数据；

结果生成子单元147配置用于根据接口资源识别子单元141、网络资源识别子单元143和/或文件数据识别子单元145的识别结果生成系统资源分类结果。

上述装置的微分域动态检测原理参见图3所示的方法，此处不再赘述。

图7为本发明一实施例提供的一种设备的结构示意图。

如图7所示，作为另一方面，本申请还提供了一种设备，包括一个或多个中央处理单元(CPU)701，其可以根据存储在只读存储器(ROM)702中的程序或者从存储部分708加载到随机访问存储器(RAM)703中的程序而执行各种适当的动作和处理。在RAM703中，还存储有设备操作所需的各种程序和数据。CPU701、ROM702以及RAM703通过总线704彼此相连。输入/输出(I/O)接口705也连接至总线704。

以下部件连接至I/O接口705：包括键盘、鼠标等的输入部分706；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分707；包括硬盘等的存储部分708；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分709。通信部分709经由诸如因特网的网络执行通信处理。驱动器710也根据需要连接至I/O接口705。可拆卸介质711，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器710上，以便于从其上读出的计算机程序根据需要被安装入存储部分708。

特别地，根据本公开的实施例，上述任一实施例描述的微分域动态检测方法可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括有形地包含在机器可读介质上的计算机程序，所述计算机程序包含用于执行微分域动态检测方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分709从网络上被下载和安装，和/或从可拆卸介质711被安装。

作为又一方面，本申请还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例的装置中所包含的计算机可读存储介质；也可以是单独存在，未装配入设备中的计算机可读存储介质。计算机可读存储介质存储有一个或者一个以上程序，该程序被一个或者一个以上的处理器用来执行描述于本申请的微分域动态检测方法。

附图中的流程图和框图，图示了按照本发明各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，该模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这根据所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以通过执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以通过专用硬件与计算机指令的组合来实现。

描述于本申请实施例中所涉及到的单元或模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的单元或模块也可以设置在处理器中，例如，各所述单元可以是设置在计算机或移动智能设备中的软件程序，也可以是单独配置的硬件装置。其中，这些单元或模块的名称在某种情况下并不构成对该单元或模块本身的限定。

以上描述仅为本申请的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本申请中所涉及的发明范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离本申请构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本申请中公开的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims (10)

1.一种微分域动态检测方法，其特征在于，包括：

在嵌入式终端的用户态中植入应用软件，在线实时监控所述终端中各应用程序的操作；

在所述终端的内核态中通过植入与所述应用软件相互关联调用的驱动程序，对所述操作所访问的系统资源进行识别，生成系统资源分类结果；

在所述用户态中根据预配置的检测规则和所述系统资源分类结果对所述操作进行合法性检测；

在所述用户态中所述合法性检测的结果为不合法时生成异常信息进行报警，并将所述异常信息发送至服务端。

2.根据权利要求1所述的方法，其特征在于，还包括：

在所述用户态中对所述操作进行识别，生成操作识别结果；

所述在所述用户态中根据预配置的检测规则和所述系统资源分类结果对所述操作进行合法性检测包括以下至少一项：

根据预配置的检测规则和所述系统资源分类结果对所述操作进行第一合法性检测；

根据预配置的检测规则和所述操作识别结果对所述操作进行第二合法性检测。

3.根据权利要求1所述的方法，其特征在于，所述对所述操作所访问的系统资源进行识别包括以下至少一项：

通过识别所述操作所调用的接口驱动程序，识别所访问的接口资源；

通过识别目标IP地址或URL地址，识别所访问的网络资源；

通过识别文件或数据的路径和存储类型，识别所访问的文件或数据。

4.根据权利要求1-3任一项所述的方法，其特征在于，还包括：

接收所述服务端发送的检测规则并存储至闪存中。

5.一种微分域动态检测装置，配置于嵌入式终端中，其特征在于，包括：

在线监控单元，配置用于在所述嵌入式终端的用户态中植入应用软件，在线实时监控所述终端中各应用程序的操作；

微分域单元，配置用于通过在所述终端的内核态中植入与所述应用软件相互关联调用的驱动程序，对所述操作所访问的系统资源进行识别，生成系统资源分类结果；

检测单元，配置用于根据预配置的检测规则和所述系统资源分类结果对所述操作进行合法性检测；

报警单元，配置用于在所述合法性检测的结果为不合法时生成异常信息进行报警，并将所述异常信息发送至服务端；

其中，所述在线监控单元、检测单元和报警单元配置于在用户态运行，所述微分域单元配置于在内核态运行。

6.根据权利要求5所述的装置，其特征在于，还包括：

识别单元，配置于在用户态运行，用于对所述操作进行识别，生成操作识别结果；

所述检测单元包括：

第一检测子单元，配置用于根据预配置的检测规则和所述系统资源分类结果对所述操作进行第一合法性检测；

第二检测子单元，配置用于根据预配置的检测规则和所述操作识别结果对所述操作进行第二合法性检测。

7.根据权利要求5所述的装置，其特征在于，所述微分域单元包括：

接口资源识别子单元，配置用于通过识别所述操作所调用的接口驱动程序，识别所访问的接口资源；

网络资源识别子单元，配置用于通过识别目标IP地址或URL地址，识别所访问的网络资源；

文件数据识别子单元，配置用于通过识别文件或数据的路径和存储类型，识别所访问的文件或数据；

结果生成子单元，配置用于根据所述接口资源识别子单元、所述网络资源识别子单元和/或所述文件数据识别子单元的识别结果生成系统资源分类结果。

8.根据权利要求5-7任一项所述的装置，其特征在于，还包括：

规则配置单元，配置用于接收所述服务端发送的检测规则并存储至闪存中。

9.一种设备，其特征在于，所述设备包括：

一个或多个处理器；

存储器，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器执行如权利要求1-4中任一项所述的方法。

10.一种存储有计算机程序的存储介质，其特征在于，该程序被处理器执行时实现如权利要求1-4中任一项所述的方法。

Images