CN108965251B - 一种云端结合的安全手机防护系统 - Google Patents

Abstract

本发明公开了一种云端结合的安全手机防护系统，通过手机终端上的安全监控模块劫持手机终端上所有APP的访问行为，并根据预设的URL名单列表，确定被劫持访问行为的执行动作，实现APP访问的放行或阻断。而在安全监控模块无法决策时，通过云端监管服务器进行分析决策，判断该访问行为是否为恶意访问。本发明技术方案在确保手机APP的访问安全前提下，能有效感知恶意APP的访问行为，降低手机被攻击和植入恶意代码的可能性。

Description

一种云端结合的安全手机防护系统

技术领域

本发明涉及手机安全技术领域，尤其涉及一种云端结合的安全手机防护系 统。

背景技术

随着移动互联网的快速发展，智能手机已经渗透到人们工作和生活的各个 方面。而由于智能手机操作系统的开发性导致所有人都可以开发、安装自己的 app，随之而来的就是智能手机的安全问题。据中国互联网协会发布的《中国移 动互联网发展状况及其安全报告(2017)》显示，2016年CNCERT/CC捕获和通 过厂商交换获得的移动互联网恶意程序按行为属性统计，行为类的恶意程序数 量为1,255,301个(占61.13％)，恶意扣费类373,212个(占18.17％)、资费消耗 类278,481个(占13.56％)分列第二、三位。

如果智能手机遭到木马病毒攻击，可能导致敏感信息泄露、恶意扣费、国 家和商业秘密泄露等严重后果。譬如手机被植入恶意软件导致通话内容、敏感 数据、手机中存储的重要信息外泄，又或者是手机成为木马病毒的“摆渡”攻 击窃密的载体，窃取与手机连接的计算机中的机密文件。

而现有技术为了解决手机安全问题，如360、腾讯等互联网厂商提供的应用 层安全软件、手机安全管家、杀毒软件等。另一些厂商从手机的一体化安全出 发，提出安全手机概念，主要从应用安全、数据安全、网络通信安全、芯片安 全、操作系统安全、安全密钥等角度为用户提供安全手机解决方案。该方案大 都从系统漏洞加固、终端安全检测，数据加密和隔离，通信防窃听的角度来解 决手机安全问题。具体地，当前的安全手机为了防止被窃听增加了一个通信信 道的加/解密模块。每次打电话时，先从运营商申请一个密码，然后进行加密通 话。但是这种方案只能解决语音通话传输的安全，而对于网络数据传输以及数据本身存储、访问、篡改等安全问题就不一定有效。

发明内容

本发明实施例提出一种云端结合的安全手机防护系统，能有效感知恶意 APP的访问行为，降低手机被攻击和植入恶意代码的可能性。

本发明实施例提供一种云端结合的安全手机防护系统，包括：手机终端和 云端监管服务器；

其中，所述手机终端上设置有安全监控模块；所述安全监控模块用于劫持 所述手机终端上所有APP的访问行为，并根据预设的URL名单列表，确定被劫 持访问行为的执行动作；所述URL名单列表包括：白名单列表、灰名单列表和 黑名单列表；所述执行动作包括：放行或阻断访问；

所述云端监管服务器用于配置所述URL名单列表，并在接收到所述安全监 控模块发送的第一决策请求时，分析所述决策请求中的第一访问行为，向所述 安全监控模块发送第一决策命令，以使所述安全监控模块根据所述第一决策命 令，确定所述第一访问行为的执行动作。

进一步的，所述安全监控模块根据预设的URL名单列表，确定被劫持访问 行为的执行动作，具体为：

所述安全监控模块提取所述被劫访问行为的第二访问地址；

当所述第二访问地址在所述白名单列表中，则确定所述被劫持访问行为的 执行动作为放行；

当所述第二访问地址在所述黑名单列表中，则确定所述被劫持访问行为的 执行动作为阻断访问；

当所述第二访问地址在所述灰名单列表中，则向所述云端监管服务器发送 包含所述第二访问地址的第二决策请求。

进一步的，所述云端监管服务器在接收到包含所述第二访问地址的决策请 求时，通过监管引擎分析所述第二访问地址，并根据分析结果向所述安全监控 模块发送第二决策命令，以使所述安全监控模块根据所述决策命令，确定所述 被劫访问行为的执行动作。

进一步的，所述监管引擎包括：WAF组件、NGFW组件、恶意行为检测引 擎和恶意URL分析引擎。

进一步的，所述根据分析结果向所述安全监控模块发送第二决策命令，具 体为：

如果所述分析结果为所述第二访问地址为安全访问地址，则向所述安全监 控模块发送包含放行指令的第二决策命令；

如果所述分析结果为所述第二访问地址为恶意访问地址，则向所述安全监 控模块发送包含阻断指令的第二决策命令；

如果所述分析结果为所述第二访问地址既不是安全访问地址也不是恶意访 问地址，则检测所述被劫访问行为，判断所述被劫访问行为是否为恶意访问行 为，如果是，则向所述安全监控模块发送包含阻断指令的第二决策命令；如果 不是，则向所述安全监控模块发送包含放行指令的第二决策命令。

进一步的，所述检测所述被劫访问行为，判断所述被劫访问行为是否为恶 意访问行为，具体为：

步骤1：生成所述被劫访问行为的模拟访问；

步骤2：获取所述模拟访问返回的脚本和文件样本；

步骤3：将所述脚本和文件样本放到沙箱中，并根据不同的移动操作系统和 应用进行虚拟执行和重放，获得虚拟执行结果；

步骤4：按照步骤2和步骤3分别采集所述白名单列表和黑名单列表中各地 址所对应的脚步、文件样本和虚拟执行结果，并根据采集到的文件、URL地址、 证书、文件类型以及虚拟执行结果，构建特征矩阵，再结合机器学习算法，使 用所述特征矩阵训练检测模型，最后根据所述检测模型判断所述被劫访问行为 是否为恶意访问行为。

进一步的，在所述步骤4之后还包括步骤5：构建专家知识库，并通过所述 专家知识库将所述步骤4得出的判定结果进行二次判断，输出最终的判定结果。

进一步的，所述云端监管服务器还用于根据所述分析结果，更新所述安全 监控模块存储的URL名单列表。

实施本发明实施例，具有如下有益效果：

本发明实施例提供的云端结合的安全手机防护系统，通过手机终端上的安 全监控模块劫持手机终端上所有APP的访问行为，并根据预设的URL名单列表， 确定被劫持访问行为的执行动作，实现APP访问的放行或阻断。而在安全监控 模块无法决策时，通过云端监管服务器进行分析决策，判断该访问行为是否为 恶意访问。相比于现有技术不能够有效应对未知的安全威胁，本发明技术方案 在确保手机APP的访问安全前提下，能有效感知恶意APP的访问行为，降低手 机被攻击和植入恶意代码的可能性。

附图说明

图1是本发明提供的云端结合的安全手机防护系统的一种实施例的结构示 意图；

图2是本发明提供的云端结合的安全手机防护方法的一种实施例的流程示 意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清 楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是 全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造 性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

参见图1，是本发明提供的云端结合的安全手机防护系统的一种实施例的结 构示意图。如图1所示，该系统包括：，该方法包括手机终端1和云端监管服务 器2；其中，手机终端1上设置有安全监控模块。

安全监控模块用于劫持手机终端上所有APP的访问行为，并根据预设的 URL名单列表，确定被劫持访问行为的执行动作；URL名单列表包括：白名单 列表、灰名单列表和黑名单列表；执行动作包括：放行或阻断访问。

云端监管服务器2用于配置URL名单列表，并在接收到安全监控模块发送 的第一决策请求时，分析决策请求中的第一访问行为，向安全监控模块发送第 一决策命令，以使安全监控模块根据所述第一决策命令，确定第一访问行为的 执行动作。

在本实施例中，安全监控模块可以但不限于为手机终端中的硬件模块或软 件程序。所有APP访问互联网都通过安全监控模块作为本地的代理转发到云端 监管服务器2。在云端监管服务器2利用专家系统和大数据安全分析对APP的 访问行为做进一步的深度检测，以识别访问恶意行为。安全监控模块主要目标 是识别植入手机APP中的病毒、木马、蠕虫、网马、僵尸网络等访问互联网行 为。

在本实施例中，URL名单列表包括白名单列表、灰名单列表和黑名单列表。 白名单列表为预先设置的，其记录了可安全访问的地址，比如微信、滴滴等常 用APP的服务端地址。黑名单列表是根据云端检测并设置的，其记录的地址均 是检测到存在恶意行为的地址。灰名单列表记录的地址为APP所有访问的地址 减去白名单列表记录地址，再减去黑名单列表记录的地址而得出。

在本实施例中，安全监控模块根据预设的URL名单列表，确定被劫持访问 行为的执行动作，具体为：安全监控模块提取被劫访问行为的第二访问地址； 当第二访问地址在白名单列表中，则确定被劫持访问行为的执行动作为放行； 当第二访问地址在黑名单列表中，则确定被劫持访问行为的执行动作为阻断访 问；当第二访问地址在灰名单列表中，则向云端监管服务器2发送包含第二访 问地址的第二决策请求。

作为本实施例的一种举例，当第二访问地址在灰名单列表中时，安全监控 模块可向用户发送提示消息。用户可同意该提示消息，向云端监管服务器2发 送包含第二访问地址的第二决策请求。或者用户不同意该提示消息，放行该访 问行为，但其安全风险由用户承担。

在本实施例中，云端监管服务器2在接收到包含第二访问地址的决策请求 时，通过监管引擎分析第二访问地址，并根据分析结果向安全监控模块发送第 二决策命令，以使安全监控模块根据决策命令，确定被劫访问行为的执行动作。

进一步的，云端监管服务器根据分析结果向所述安全监控模块发送第二决 策命令，具体为：如果分析结果为第二访问地址为安全访问地址，则向安全监 控模块发送包含放行指令的第二决策命令；如果分析结果为第二访问地址为恶 意访问地址，则向安全监控模块发送包含阻断指令的第二决策命令；如果分析 结果为第二访问地址既不是安全访问地址也不是恶意访问地址，则检测被劫访 问行为，判断被劫访问行为是否为恶意访问行为，如果是，则向安全监控模块 发送包含阻断指令的第二决策命令；如果不是，则向安全监控模块发送包含放 行指令的第二决策命令。本系统的监控方法流程可以但不限于参见图2。

作为本实施例的一种举例，该分析结果可以反馈给安全监控模块，以告知 用户。

在本实施例中，监管引擎包括：WAF组件、NGFW组件(下一代防火墙)、 恶意行为检测引擎和恶意URL分析引擎。监管引擎支持即插即用组件，即可以 在线上实时添加删除功能的组件，也可以线上升级某一功能的组件。这些组件 包括下一代防火墙(NGFW)、基于虚拟执行环境的恶意文件识别、基于机器学 习技术的深度识别与管控、应用层威胁防御、海量恶意URL识别等组件。一旦 某个用户的某个APP访问了灰地址，首先云端监管引擎将对这个地址进行分析， 利用海量恶意URL识别组件检测访问地址是否合法，然后交由应用层威胁防御 组件拦截访问的黑名单的文件和代码，最后通过虚拟执行组件和机器学习组件 等检测访问的文件和流量是否保护恶意的代码，主要包括手机恶意代码特征库； 手机恶意行为模式库；然后将检测结果交由专家判定后标记黑白，并反馈给手 机侧的安全监控软件

在本实施例中，如果监管引擎确定该地址既不是安全访问地址也不是和恶 意访问地址，则通过深度学习的恶意行为云检测方法检测该地址。其中，检测 被劫访问行为，判断被劫访问行为是否为恶意访问行为，具体为：

步骤1：生成所述被劫访问行为的模拟访问；

步骤2：获取所述模拟访问返回的脚本和文件样本；

步骤3：将所述脚本和文件样本放到沙箱中，并根据不同的移动操作系统和 应用进行虚拟执行和重放，获得虚拟执行结果；

步骤4：按照步骤2和步骤3分别采集所述白名单列表和黑名单列表中各地 址所对应的脚步、文件样本和虚拟执行结果，并根据采集到的文件、URL地址、 证书、文件类型以及虚拟执行结果，构建特征矩阵，再结合机器学习算法，使 用所述特征矩阵训练检测模型，最后根据所述检测模型判断所述被劫访问行为 是否为恶意访问行为。

在本实施例中，该方法可以通过以下例子来说明。步骤1为模拟访问，云 端将灰名单地址的APP的访问请求事先模拟访问。步骤2为捕获文件数据，即 提取目标服务器返回的脚本和文件样本。步骤3为虚拟执行，即将步骤2的输 出放到沙箱(sandbox)中依据不同的移动操作系统和应用进行虚拟执行和重放。 步骤4为深度学习，具体地，利用步骤2和步骤3过程分别采集白名单列表和 黑名单列表的数据集，包括URL地址、文件、目标服务器响应的脚本和文件样 本、虚拟执行后的程序行为等。其次对采集到的数据提取文件大小、URL地址、 证书、文件类型、以及虚拟执行后程序执行的各种行为特征进行处理得到特征 矩阵；然后，选择监督学习、强化学习等机器学习的算法，使用特征矩阵训练 检测模型。最后计算模型的准确度，并使用检测模型判断未知URL的决策请求 是恶意的还是正常的访问。

进一步的，在步骤4之后还包括步骤5：构建专家知识库，并通过专家知识 库将步骤4得出的判定结果进行二次判断，输出最终的判定结果。云端监管服 务器2基于深度学习的检测识别结果，构建手机恶意代码特征库、手机恶意行 为模式库；然后，依据专家知识库判定后标记黑白名单列表的URL地址库，能 够进一步提高模型判定的准确度。

在本实施例中，安全监控模块中存储的URL名单列表由云端监管服务器2 配置，并根据上述的分析结果，将新的URL地址更新到安全监控模块存储的URL名单列表中。或者，安全监控模块预先存储有URL名单列表，通过云端监 管服务器2分析引擎检测结果，不断更新原先存储的URL名单列表。

由上可见，本发明实施例提供的云端结合的安全手机防护系统，通过手机 终端1上的安全监控模块劫持手机终端上所有APP的访问行为，并根据预设的 URL名单列表，确定被劫持访问行为的执行动作，实现APP访问的放行或阻断。 而在安全监控模块无法决策时，通过云端监管服务器2进行分析决策，判断该 访问行为是否为恶意访问。相比于现有技术不能够有效应对未知的安全威胁， 本发明技术方案在确保手机APP的访问安全前提下，能有效感知恶意APP的访 问行为，降低手机被攻击和植入恶意代码的可能性。

进一步的，该手机安全防护系统可有效感知恶意APP的访问行为，防止病 毒和木马对手机的攻击，窃听等恶意行为，具有良好的实时性，能够很好适应 不同类型的智能手机环境，因而具有较好的可行性和实用性。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程， 是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算 机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。 其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory， ROM)或随机存储记忆体(RandomAccess Memory，RAM)等。

以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技 术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这 些改进和润饰也视为本发明的保护范围。

Claims (3)

1.一种云端结合的安全手机防护系统，其特征在于，包括：手机终端和云端监管服务器；

其中，所述手机终端上设置有安全监控模块；所述安全监控模块用于劫持所述手机终端上所有APP的访问行为，并根据预设的URL名单列表，确定被劫持访问行为的执行动作；所述URL名单列表包括：白名单列表、灰名单列表和黑名单列表；

所述云端监管服务器用于配置所述URL名单列表，并在接收到所述安全监控模块发送的第一决策请求时，分析所述决策请求中的第一访问行为，向所述安全监控模块发送第一决策命令，以使所述安全监控模块根据所述第一决策命令，确定所述第一访问行为的执行动作；

其中，所述根据预设的URL名单列表，确定被劫持访问行为的执行动作具体为：

所述安全监控模块提取所述被劫访问行为的第二访问地址；

当所述第二访问地址在所述白名单列表中，则确定所述被劫持访问行为的执行动作为放行；

当所述第二访问地址在所述黑名单列表中，则确定所述被劫持访问行为的执行动作为阻断访问；

当所述第二访问地址在所述灰名单列表中，则向所述云端监管服务器发送包含所述第二访问地址的第二决策请求；

所述云端监管服务器包括监管引擎，所述监管引擎包括WAF组件、NGFW组件、恶意行为检测引擎和恶意URL分析引擎；

所述云端监管服务器，还用于在接收到包含所述第二访问地址的决策请求时，通过监管引擎中的恶意URL分析引擎，对所述第二访问地址进行分析；

如果分析结果为所述第二访问地址为安全访问地址，则向所述安全监控模块发送包含放行指令的第二决策命令，以使所述安全监控模块，确定所述被劫访问行为的执行动作为放行；

如果分析结果为所述第二访问地址为恶意访问地址，则向所述安全监控模块发送包含阻断指令的第二决策命令，以使所述安全监控模块，确定所述被劫访问行为的执行动作为阻断；

如果分析结果为所述第二访问地址既不是安全访问地址也不是恶意访问地址，则通过所述监管引擎中的恶意行为检测引擎，检测所述被劫访问行为，判断所述被劫访问行为是否为恶意访问行为，如果是，则向所述安全监控模块发送包含阻断指令的第二决策命令，以使所述安全监控模块，确定所述被劫访问行为的执行动作为阻断；如果不是，则向所述安全监控模块发送包含放行指令的第二决策命令，以使所述安全监控模块，确定所述被劫访问行为的执行动作为放行；

其中，所述判断所述被劫访问行为是否为恶意访问行为，具体为：

步骤1：生成所述被劫访问行为的模拟访问；

步骤2：获取所述模拟访问返回的脚本和文件样本；

步骤3：将所述脚本和文件样本放到沙箱中，并根据不同的移动操作系统和应用进行虚拟执行和重放，获得虚拟执行结果；

步骤4：按照步骤2和步骤3分别采集所述白名单列表和黑名单列表中各地址所对应的脚本、文件样本和虚拟执行结果，并根据采集到的文件、URL地址、证书、文件类型以及虚拟执行结果，构建特征矩阵，再结合机器学习算法，使用所述特征矩阵训练检测模型，最后根据所述检测模型判断所述被劫访问行为是否为恶意访问行为。

2.根据权利要求1所述的云端结合的安全手机防护系统，其特征在于，在所述步骤4之后还包括步骤5：构建专家知识库，并通过所述专家知识库将所述步骤4得出的判定结果进行二次判断，输出最终的判定结果。

3.根据权利要求1所述的云端结合的安全手机防护系统，其特征在于，所述云端监管服务器还用于根据所述分析结果，更新所述安全监控模块存储的URL名单列表。