CN109787943B - 一种抵御拒绝服务攻击的方法及设备 - Google Patents

一种抵御拒绝服务攻击的方法及设备 Download PDF

Info

Publication number
CN109787943B
CN109787943B CN201711124979.3A CN201711124979A CN109787943B CN 109787943 B CN109787943 B CN 109787943B CN 201711124979 A CN201711124979 A CN 201711124979A CN 109787943 B CN109787943 B CN 109787943B
Authority
CN
China
Prior art keywords
access
service
interface
access request
access behavior
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201711124979.3A
Other languages
English (en)
Other versions
CN109787943A (zh
Inventor
谢淼
姚英亮
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Priority to CN201711124979.3A priority Critical patent/CN109787943B/zh
Priority to PCT/CN2018/110296 priority patent/WO2019095911A1/zh
Priority to EP18877968.0A priority patent/EP3694170B1/en
Publication of CN109787943A publication Critical patent/CN109787943A/zh
Priority to US16/870,203 priority patent/US20200274898A1/en
Application granted granted Critical
Publication of CN109787943B publication Critical patent/CN109787943B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本申请实施例提供一种抵御DoS攻击的方法，可应用于包含互相隔离的可信执行环境TEE以及富执行环境REE的终端设备，包括：获取REE中运行的客户端应用程序对服务或接口发起的访问请求，该访问请求用于请求服务或资源；将所述访问请求传递给所述TEE中部署的抵御模块；所述抵御模块基于根据访问行为模型确定出的管控策略决定是否授权所述访问请求，所述访问行为模型是通过统计学方法或者机器学习算法对多个正常CA访问所述服务/接口的访问行为数据集进行训练后得到的。本申请提供的方法可以精准识别并阻止具有潜在DoS攻击威胁的访问请求，提升了设备的安全性。

Description

一种抵御拒绝服务攻击的方法及设备
技术领域
本申请涉及安全领域，更为具体地，涉及一种抵御拒绝服务(Denial of Service，DoS) 攻击的方法、及设备。
背景技术
近年来，随着移动互联网的发展，智能终端设备的数量急剧增加。为了提供智能移动终端的丰富功能和可扩展属性，终端设备通常都是构建在提供开放式操作环境的富执行环境(Rich Execution Environment，REE)之上，REE也被称为一般运行环境，主要包括运行于通用处理器上的富操作系统(Rich Operating System，Rich OS)，如
Figure GDA0003308634470000011
Figure GDA0003308634470000012
操作系统，及运行在Rich OS上的客户端应用程序(client application，CA)。REE 的一个主要优点是用户可以随时添加应用程序，然而，这种开放式的环境也为信息泄露和恶意软件传播提供了通道，使终端设备暴露在不断增长的多种形式的攻击之下，因此很容易被恶意软件破解，导致终端设备的各种安全问题也日益凸显。
REE本身是不可信的已成为业内共识，针对这一问题，开放移动终端组织(OpenMobile Terminal Platform，OMTP)首先提出了可信执行环境(Trusted ExecutionEnvironment，TEE)概念。2010年7月，全球平台组织(Global
Figure GDA0003308634470000013
GP)提出了TEE标准。TEE是运行于REE之外的独立运行环境，并且与REE隔离。运行在TEE 内中的每一个可信应用程序(Trusted Application，TA)都是独立的，TA不能未经授权访问另一个TA的安全资源。REE中的CA无法直接访问TEE的硬件和软件安全资源，因此它能够抵御在REE侧发生的软件攻击。REE中的CA在通过TEE身份认证的情况下，可以调用特定的应用编程接口(Application Programming Interface，API)调用TEE的资源或服务，如密码运算和存储，或者访问运行于TEE中的TA的数据。
尽管TEE试图通过硬件隔离的方式阻止REE侧的攻击，进而保证敏感数据的安全，但是TEE本质还是一个公共安全“平台”，在GP标准里，明确指出TA和CA为TEE 的应用软件，整个TEE需要为他们提供必不可少的服务。为了利用TEE增强安全性，许多软件开发厂商会利用TEE，以及TEE的特定接口开发和部署自己的CA与TA，以支撑其应用程序的安全性。因此，TEE也逐渐成为保护REE侧应用程序与数据安全的重要基石，其在一定程度上决定了终端设备的安全程度。但是由于TEE的软硬件资源是非常有限的，当CA存在漏洞或者REE侧被Root后，恶意应用可以很容易地利用现有接口来频繁调用TEE侧的服务。这种情况下，一旦将TEE的资源全部占用，且长时间不释放，即可造成拒绝服务(Denial of Service，DoS)攻击，导致REE侧和TEE侧的服务不可用，甚至设备重启等状况。由此可见，目前终端设备(REE侧和TEE侧)发生DoS攻击的可能性较大，严重威胁终端设备的安全。
发明内容
本申请提供一种抵御拒绝服务(Denial of Service，DoS)攻击的方法，以及用于实施该方法的设备，以降低设备内部的DoS发生的概率，保证设备的安全运行。
第一方面，本申请实施例提供一种抵御DoS攻击的方法，可应用于包含可信执行环境TEE以及富执行环境REE的终端设备或其它类似设备，其中，REE中运行有客户端应用程序CA，该方法包括：获取CA对服务/接口发起的访问请求，所述服务/接口为所述REE或者所述TEE提供的服务或接口，所述CA通过向所述服务/接口发起该访问请求以请求服务或资源；将所述访问请求通过终端设备内的消息传递机制传递给所述TEE 中部署的抵御模块；所述抵御模块根据管控策略决定是否授权所述访问请求；其中，所述管控策略是根据访问行为模型确定的；所述访问行为模型是通过统计学方法或者机器学习算法对访问行为数据集进行训练后得到的，用于表征至少一个CA访问所述服务/接口的行为特征，其中，所述访问行为数据集包括在所述TEE中采集到的所述至少一个CA 访问所述服务/接口的访问行为日志。本申请实施例提供的方法，利用访问行为特征模型来确定管控策略，抵御模块进而基于管控策略对访问请求进行针对性管控，从而可以精准识别并阻止具有潜在DoS攻击威胁的访问请求，提升了设备的安全性。由于训练访问行为特征模型所使用的访问行为数据集合是在TEE中采集的，可以防止行为数据被篡改，保证了数据样本的真实性以及访问行为模型的准确性，同时，抵御模块也部署于TEE内部，保证了其自身的安全性。
在一种可能的实现方式中，在将所述访问请求传递给所述抵御模块之前，先在TEE内部对发起所述访问请求的所述CA进行身份认证，在所述CA未通过身份认证的情况下，阻止该访问请求；在所述CA通过身份认证的情况下，再将所述访问请求传递给所述抵御模块以进行进一步管控。通过这种方式，可以提前对访问请求进行初步鉴别，减轻抵御模块的负载，避免抵御模块成为性能瓶颈。
在一种可能的实现方式中，所述访问行为数据集合可以由TEE中部署的访问行为数据采集器来采集，以保证访问行为数据的可靠性，防止被REE侧恶意程序篡改。
在一种可能的实现方式中，所述访问行为数据采集器记录所述至少一个CA对所述服务/接口发起的多个访问请求对应的多个访问行为日志；根据所述多个访问行为日志构建所述访问行为数据集。
在一种可能的实现方式中，当所述CA通过身份认证后，还可以将所述访问请求传递给所述访问行为数据采集器，所述访问行为数据采集器记录所述访问请求对应的访问行为日志，并增量更新所述访问行为数据集合；基于更新后的访问行为数据集合训练出的访问行为模型会愈来愈精确，从而可以实现管控策略的迭代优化。
在一种可能的实现方式中，所述管控策略包括至少一个管控参数的阈值；所述至少一个管控参数是根据所述访问行为模型确定的；所述至少一个管控参数的阈值是基于DoS攻击抵御能力分析公式，在完成DoS攻击所需的最小资源量超出刚性指标的前提下，求解得到的；其中，所述DoS攻击抵御能力分析公式表征完成DoS攻击所需的最小资源量与管控参数之间的约束关系，所述刚性指标与所述终端设备的硬件资源限制、或者操作系统的限制，或者业务场景的限制相关。完成DoS攻击所需的最小资源量超出刚性指标意味着发生DoS攻击的概率为0，因此，通过DoS攻击抵御能力分析公式求解出的管控参数的阈值可以使得发生DoS攻击的概率降到最低，与仅通过访问行为模型来管控访问请求的方案相比，管控参数更加精准，并且能保证终端设备内针对该待保护服务/接口发起的DoS攻击的概率最低。
在一种可能的实现方式中，所述抵御模块根据所述访问请求，以及管控策略决定是否授权所述访问请求包括：若所述访问请求会触发所述至少一个管控参数超出所述阈值，则阻止所述访问请求，否则授权所述访问请求。这种基于阈值的管控方式，计算开销较小，因此对系统性能的影响较小。
在一种可能的实现方式中，在阻止所述访问请求后，所述抵御模块通知或提醒用户决策是否授权所述访问请求；若所述用户授权所述访问请求，则根据所述访问请求的访问行为日志，通过增强学习算法更新所述访问行为模型，以得到更新后的访问行为模型。通过该技术方案，当抵御模块发生误判后，可以及时对访问行为模型进行纠偏，提升访问行为模型的精度。进一步地，可以根据更新后的访问行为模型更新管控策略，从而实现管控策略的动态调整，以提升对访问请求管控的精准性。
在一种可能的实现方式中，访问行为数据采集器采集的访问行为日志包括：所述多个访问请求中每一个访问请求的发起实体的信息，所述多个访问请求中每一个访问请求的时间戳，所述多个访问请求中每一个访问请求涉及的资源的数量；所述至少一个管控参数包括如下至少一种：同一CA两次访问所述服务/接口的时间间隔，同一CA持有所述服务/接口相关的资源的数量，以及同一CA持有所述服务/接口相关的资源的时间。访问行为数据采集器采集针对性地采集这些可用于判别DoS攻击行为的关键信息，采集的数据量少，对TEE侧的资源消耗较少。
在一种可能的实现方式中，所述TEE中运行有可信应用程序TA，所述访问请求用于在所述TA中打开一个与所述CA的会话；所述至少一个管控参数包括如下至少一种：同一CA两次访问所述服务/接口的时间间隔，同一CA持有的与所述TA之间的会话数量，以及同一CA持有的与所述TA之间的会话的时间。
在一种可能的实现方式中，所述至少一个管控参数的阈值包括：同一CA两次访问所述服务/接口的时间间隔阈值；所述抵御模块根据管控策略决定是否授权所述访问请求包括：计算所述CA发起所述访问请求以及所述CA向所述服务/接口发起的上一次访问请求的时间间隔；当计算出的时间间隔小于所述时间间隔阈值时，所述抵御模块阻止所述访问请求；当所述计算出的时间间隔大于所述时间间隔阈值时，所述抵御模块授权所述访问请求。
在一种可能的实现方式中，所述至少一个管控参数的阈值包括：同一CA持有的与所述TA之间的会话数量的上限值；所述抵御模块根据管控策略决定是否授权所述访问请求包括：根据所述CA当前的请求状态，确定所述CA已持有的与所述TA之间的会话数量；当确定出的会话数量大于或等于所述上限值，则所述抵御模块阻止所述访问请求；当所述确定出的会话数量小于所述上限值，则所述抵御模块授权所述访问请求。
第二方面，本申请实施例提供一种生成管控策略的方法，该管控策略用于管控应用程序对终端设备中的服务/接口发起的访问请求，该终端设备包含可信执行环境TEE以及富执行环境REE，该方法包括：根据访问行为数据集，通过机器学习算法训练得到访问行为模型；其中，访问行为数据集是部署在TEE中的访问行为数据采集器采集的，包括一个或多个CA访问所述服务/接口的访问行为日志，所述访问行为模型用于刻画所述一个或多个CA的访问行为特征；根据所述访问行为模型确定管控参数，根据DoS攻击抵御能力分析公式求解管控参数的约束条件；根据所述管控参数的约束条件生成管控策略；其中，DoS攻击抵御能力分析公式用于表示完成DoS攻击所需的最小资源量与管控参数之间的约束关系。通过DoS攻击抵御能力分析公式求解出的管控参数的约束条件可以使得发生DoS攻击的概率最小化，与直接通过访问行为模型确定管控参数的约束条件的方案相比，管控参数更加精准，并且能保证终端设备内针对该待保护服务/接口发起的DoS 攻击的概率最低。
在一种可能的实现方式中，完成DoS攻击所需的最小资源量可以为需要在终端设备上同时运行的应用程序的个数，或者需要占用共享内存的大小，或者需要在终端设备上同时运行的进程或线程的个数等。
在一种可能的实现方式中，根据DoS攻击抵御能力分析公式求解管控参数的约束条件包括：基于DoS攻击抵御能力分析公式，在完成DoS攻击所需的最小资源量超出刚性指标(即发生DoS攻击概率为0)的前提下，求解管控参数的值。求解出的值可以作为管控参数的约束条件。
在一种可能的实现方式中，刚性指标与终端设备硬件资源的限制、或者软件(比如操作系统)的限制，或者业务场景的限制有关。例如，刚性指标可以为终端设备上最多可同时运行的应用程序、进程或线程的个数。
在一种可能的实现方式中，管控参数包括：预定义的正常CA持有待保护服务/接口相关的资源的最长持有时间b、预定义的正常CA两次访问该待保护服务/接口的时间最小间隔a、同一个CA在访问过程中持有该待保护服务/接口相关的资源的数量上限m。
在一种可能的实现方式中，DoS攻击抵御能力分析公式为计算要完成DoS攻击，所需的资源Y的下限值的计算公式，即：Y＝(a/b)*m，其中，Y为完成DoS攻击所需的资源量。
在一种可能的实现方式中，在Y>＝γ的前提条件下，求解a,b,m的值，使得恶意CA能够造成DoS攻击的概率最小化，以得到管控参数a,b,m的约束条件；其中，γ是与终端设备硬件资源的限制、或者软件(比如操作系统)的限制，或者业务场景的限制直接相关的一个软/硬件资源阈值。
在一种可能的实现方式中，管控参数的约束条件为管控参数的取值，或者取值范围。
在一种可能的实现方式中，管控策略由管控参数的约束条件转换得到。
本申请实施例第二方面提供的生成管控策略的方法可以单独实施，也可以结合前面第一方面的抵御DoS攻击的方法来实施，即生成的管控策略可以应用于第一方面的抵御DoS攻击的方法中，从而实现对访问请求的精准管控。
第三方面，本申请实施例提供一种终端设备，包括用于执行上述第一方面至第二方面中任一方面所描述的方法的一个或多个功能单元，这些功能单元可以由软件模块实现，或者由硬件，比如处理器实现，或者由软件结合必要的硬件实现。
第四方面，本申请实施例提供一种终端设备，包括存储器、处理器以及存储在所述存储器上的计算机程序，当所述处理器执行所述计算机程序时实现上述第一方面至第二方面中任一方面所描述的方法的步骤。
第五方面，本申请实施例提供一种计算机可读存储介质，其上存储有计算机程序(指令)，该程序(指令)被处理器执行时实现上述第一方面至第二方面中任一方面所描述的方法的步骤。
第六方面，本申请实施例提供一种抵御服务器中的拒绝服务DoS攻击的方法，所述服务器包括互相隔离的安全域以及非安全域，所述非安全域中运行有客户端应用程序CA，其特征在于，所述方法包括：获取所述CA对服务/接口发起的访问请求，所述服务/接口为所述安全域或所述非安全域提供的接口，所述CA通过访问所述服务/接口来请求资源或服务；将所述访问请求传递给所述安全域中部署的访问行为数据采集器；所述访问行为数据采集器将访问请求传递给所述安全域中部署的抵御模块；所述抵御模块根据所述访问请求的访问，以及管控策略决定是否授权所述访问请求；其中，所述管控策略是根据访问行为模型确定的；所述访问行为模型是通过统计学方法或者机器学习算法对访问行为数据集进行训练后得到的，用于表征CA发起的访问请求的行为特征，其中，所述访问行为数据集包括一个或多个CA访问所述服务/接口的访问行为日志。
本申请通过以上技术方案，可以减少设备内部发生DoS攻击的概率，保证设备的安全运行。
附图说明
为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍。
图1是本申请实施例的终端设备的示意图。
图2是本申请实施例的终端设备的示意图。
图3是本申请实施例的抵御拒绝服务(DoS)攻击的方法的过程示意图。
图4是本申请实施例的抵御DoS攻击的方法流程图。
图5是本申请实施例的客户端应用程序与可信应用程序之间的交互示意图。
图6是本申请实施例的抵御DoS攻击的方法的过程示意图。
图7是本申请实施例的访问行为数据采集示意图。
图8是本申请实施例的访问行为模型训练过程示意图。
图9是本申请实施例的生成管控策略的过程示意图。
图10是本申请实施例的终端设备的示意图。
图11是本申请实施例的终端设备的示意图。
图12是本申请实施例的服务器的示意图。
具体实施方式
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行详细描述，显然，所描述的实施例是本申请的一部分实施例，而不是全部实施例。
本申请实施例提供一种抵御拒绝服务(Denial of Service，DoS)攻击的方法，以识别和阻止恶意程序通过调用设备内的特定接口或服务发起的DoS攻击，提高设备的安全性。本申请提供的方法可典型地应用于终端设备，或者也可以应用于服务器等计算机系统。本申请实施例及权利要求所述的终端设备指向用户提供语音和/或数据连通性的设备，包括无线终端或有线终端。无线终端可以经无线接入网(radio access network，RAN)与一个或多个核心网进行通信，无线终端可以是移动终端，如移动电话(或称为“蜂窝”电话)和具有移动终端的计算机，例如，可以是便携式、袖珍式、手持式、计算机内置的或者车载的移动装置。接口，也称为应用编程接口(Application Programming Interface， API)，是由计算机程序代码实现的特定功能的封装和抽象表达，应用程序通过调用接口可以实现特定功能。服务是可以在后台执行而不提供用户界面的应用组件，服务可由其他应用程序或应用组件启动。
下面将参照附图更详细地描述本申请涉及的终端设备。需要说明的是，后置用语“单元”和“模块”仅仅是为了描述的方便，并且这些后置用语不具有相互区分的含义或功能。
图1示出了本申请实施例提供的终端设备100的架构图，根据图1，终端设备100 包括硬件平台110，以及运行在硬件平台100上的互相隔离两个运行环境，即富执行环境(Rich Execution Environment，REE)120和可信执行环境(Trusted ExecutionEnvironment， TEE)140，两个运行环境分别有独立的硬件资源和操作系统。通过硬件隔离技术，比如
Figure GDA0003308634470000061
TrustZone机制，可以实现REE 120和TEE 140的硬件资源的隔离，同时通过虚拟化技术实现REE 120和TEE 140的操作系统之间，以及应用之间的隔离。这样，TEE140所能访问的软硬件资源是与REE是分离的，并且，TEE 140对应用程序可访问的数据和功能做了非常严格的限制，使其安全级别满足特定的安全需求，因此TEE 140通常被认为是安全的执行环境。REE 120是TEE140之外的运行环境，相比于TEE140，REE 120 的安全性更低，是一个易于被攻击的环境，而运行于REE 120中的应用程序也被认为是不可信的。运行在TEE140中的应用程序115为可信应用程序(Trusted Application，TA)， TA 115可以为TEE 140外的客户端应用程序(client application，CA)或者TEE 140内的其它TA提供安全相关的功能或服务。运行在REE 120中的CA可以利用TEE外部接口125来请求TEE 140中的TA 115所提供的安全服务。在TEE 140中运行的可信的操作系统(Trusted Operating System，Trusted OS)143向TA115提供TEE内部接口145，TA 115通过TEE内部接口145来获取安全资源和服务的访问权限，这些安全资源和服务包括但不限于：密钥注入和管理、加密、安全存储、安全时钟、可信用户界面(UI)和可信键盘等。REE 120中的富操作系统(Rich OperatingSystem，Rich OS)123提供了比TEE 140中的Trusted OS 143更广泛的特性，Rich OS 123非常开放，能接受各种类型的应用程序，但其安全性也低于Trusted OS 143。Rich OS 123可以为
Figure GDA0003308634470000062
等终端操作系统。
关于本申请所有实施例涉及的REE、TEE、CA、TA、Rich OS、Trusted OS等术语的定义，可以参见全球平台组织(Global
Figure GDA0003308634470000063
GP)提出的TEE相关标准。
在一个实施例中，如图2所示，终端设备100的硬件平台110包括公共外设121和可信外设141，Rich OS 123和可信操作系统143分别包含公共外设驱动128以及可信外设驱动147，TEE内核149。可信外设141包括只能被TEE140控制和访问的安全元件 (SecureElement，SE)，比如安全存储器、安全时钟、可信键盘等。公共外设121是可被REE 120中的Rich OS 123控制和访问的设备。图1中的TEE外部接口125具体可以包括TEE功能接口(TEEfunctional API)127和TEE客户端接口(TEE client API)126。 TEE功能接口127向REE 120中的CA 113提供一套应用编程接口(Application Programming Interface，API)，CA 113通过TEE功能接口127可以调用部分TEE服务，如加解密运算或安全存储等。TEE客户端接口126是一个低级的通信接口，它被设计用于使运行于Rich OS 123中的CA 113访问和交换运行于TEE140中的可信应用程序115 的数据。REE 120和TEE 140中分别部署有REE通信代理129和TEE通信代理146，用以支持CA 113和TA 115之间的消息交互。REE通信代理129和TEE通信代理146协同工作，并利用底层的消息路由机制为CA 113和TA 115之间的消息交互提供安全保障。
基于图1或图2所描述的终端设备100，本申请实施例提供一种抵御终端设备100中的DoS攻击的方法。终端设备100内部发生的DoS攻击通常都具有如下特征：
(1)DoS攻击发起方为在终端设备上直接运行的应用程序，例如CA，或者REE 侧的其它应用程序；
(2)DoS攻击发起方会频繁调用接口或服务以达到占用资源的目的；
(3)DoS攻击发起方会长时间占用所获得的有限的系统资源。
由于终端设备100的运行资源有限，其上所能部署及运行的应用个数有限，该特征正是区别于传统网络DoS攻击的最为本质的差别。鉴于此，本申请实施例中“抵御终端设备中的DoS攻击”包括：(1)针对REE120和/或TEE140侧的待保护服务或接口，例如TA打开会话(OpenSession)接口，使得所有预定义的正常CA(例如某个CA集合) 能够顺利访问，不发生拒绝服务问题；(2)阻止/中断恶意CA对待保护服务或接口的调用，这里的“待保护服务或接口”即为本申请实施例的方法所针对的目标对象。其中，待保护接口可以为TEE内部接口143，也可以为TEE外部接口125，比如TEE功能接口127 和/或TEE客户端接口126；待保护服务可以是TEE侧和/或REE侧的服务。当应理解的是，除了终端设备以外，本申请实施例提供的抵御Dos攻击的方法也可以应用于其他类型的计算机系统，比如具有双域系统(安全域和非安全域)的服务器、数据中心等。
图3示出了本申请实施例提供的抵御拒绝服务攻击的方法涉及的功能实体和主要步骤。如图3所示，本申请实施例提供的抵御拒绝服务攻击的方法包括3个阶段：(1)客户端应用程序(CA)的访问行为数据采集阶段(下文简称“数据采集阶段”)；(2)CA 行为模型训练阶段(下文简称“模型训练阶段”)；(3)CA访问行为管控阶段(下文简称“管控阶段”)。其中，数据采集阶段和模型训练阶段通常是离线进行，即在终端设备操作系统发布前，系统软件开发与部署时进行样本数据采集和模型训练。应理解的是，在方案的具体实现中，这三个阶段并非全然是串行执行的。
在数据采集阶段，需要采集CA访问待保护服务/接口10的访问行为数据样本，以作为模型训练阶段的输入，并且要保证采集的访问行为数据样本可信，能反映在真实的业务场景下，CA访问待保护服务/接口10时的访问行为特征。因此，本申请实施例将访问行为数据采集器134在部署TEE 140中，以保证访问行为数据采集的安全性，防止访问行为数据被REE120侧的恶意程序篡改。访问行为数据采集器134通过采集一个或多个正常CA访问待保护服务/接口10时的访问行为日志，以构建访问行为数据集138。这里的“正常CA”是相对于潜在可能发动DoS攻击的恶意CA而言的，正常CA通常是指用户或者应用开发者预定义的，或者通过安全性检测的可靠CA。待保护服务/接口10可以是REE的服务或接口，也可以是TEE的服务或接口。若待保护服务/接口10部署在 REE 120中，则待保护服务/接口10会将CA对其发起的访问请求转发给REE中的关键资源访问代理130，关键资源访问代理130为一个代理程序，负责将来自待保护服务/接口的访问请求转发到TEE 140中部署的关键资源申请接口132。关键资源申请接口132 负责对接收到的访问请求的发起实体进行身份认证，当通过身份认证后，关键资源申请接口132将访问请求转发给部署在TEE 140中的访问行为数据采集器134，访问行为数据采集器134会记录该访问请求对应的访问行为日志。若待保护服务/接口10部署在TEE 140中，则可以由待保护服务/接口10直接将CA的访问请求直接发送TEE侧的关键资源申请接口132，而不需要经过关键资源访问代理130。
在模型训练阶段，行为建模器150以访问行为数据集138为数据源，通过统计学方法和/或机器学习方法，例如最大似然估计方法，训练得到DoS攻击分析器160所需要的访问行为模型，该访问行为模型可以表征正常CA对待保护服务/接口10的访问行为的特征，比如两次访问待保护服务/接口10的时间间隔，访问过程中持有待保护服务/接口10 相关的关键资源的数量等。模型的训练包括模型建立以及模型参数的调优过程，训练出来的访问行为模型或者模型参数会被存储起来，用于管控阶段使用。基于访问行为数据集138训练访问行为模型的过程可以使用多种现有技术来实现，在此不进行详细说明。
在管控阶段，DoS攻击分析器160利用其内置的DoS攻击抵御能力分析公式，以行为建模器150输出的访问行为模型为输入，对抵御模块170所需的管控参数求解计算，以得到管控策略。管控策略用于表示管控参数需要满足的约束条件，可以包括至少一个管控参数的阈值或取值范围。管控策略可以转化为判断逻辑并由抵御模块170执行。当关键资源申请接口132接收到针对待保护服务/接口的访问请求，先对访问请求的发起实体进行身份认证，若身份认证不通过，则可以直接阻止该访问请求；若身份认证通过，则关键资源申请接口132将访问请求发送给访问行为数据采集器134，访问行为数据采集器134将该访问请求转发给抵御模块170，抵御模块170根据该管控策略授权或者阻止该访问请求。其中，关键资源申请接口132和抵御模块170阻止该访问请求可以通过多种方式实现。比如可以返回一个命令、消息或参数给待保护服务/接口10，以指示待保护服务/接口10拒绝该访问请求；或者也可以调用某个系统函数或接口来拒绝该访问请求。作为一种可选的实施方式，在身份认证通过后，关键资源申请接口132也可以直接将该访问请求发送给抵御模块170，而不是经过访问行为数据采集器134转发。抵御模块170 部署于TEE 140中，利用TEE 140本身的安全机制保护自身以及管控策略的安全性与机密性不受到破坏。抵御模块170依赖少量的管控参数来管控针对待保护接口的访问请求，以降低终端设备内拒绝服务攻击发生的概率，保证终端系统的安全运行。
下面示例性地分别介绍以上三个阶段的详细实现方式。
在数据采集阶段，行为数据采集器134不需要采集正常CA的全量访问行为数据，可以根据管控的需求，针对性采集部分访问行为数据，以减少系统资源开销。例如，行为数据采集器134可以根据终端设备100内部发生的DoS攻击的根因，确定需要采集的访问行为日志的类型，并在数据采集阶段，将多个正常CA访问待保护服务/接口10的部分访问行为日志记录在系统中，最终输出离线过程所需要的访问行为数据集138。需要采集的访问行为日志的类型包括记录有CA访问待保护服务/接口时的关键行为特征的日志，这里的关键行为特征是指能够区分正常CA与潜在可能发动DoS攻击的CA的行为特征。在一个实施例中，行为数据采集器134采集的访问行为日志包含CA在访问待保护服务/ 接口10过程中的时间维度和资源维度的特征。具体地，时间维度的特征包括但不限于如下一项或多项：CA访问服务/接口的时间戳、同一CA两次访问该服务或接口的时间间隔，CA持有该服务或接口相关的资源的时间(CA请求关键资源与CA释放资源的时间差)；时间维度的特征包括但不限于如下一项或多项：CA在访问过程中持有该服务/接口相关的资源的数量。服务/接口相关的资源包括实现该服务/接口的功能所占用的系统资源，或者应用程序通过访问或调用该服务/接口可获得的系统资源，比如会话、CPU、内存等资源。相应地，行为数据采集器134在多个正常CA访问或调用待保护服务/接口10 的过程中，记录每个CA的访问行为日志，并最终输出访问行为数据集138。
在一个实施例中，行为数据采集器134可以采集到的原始数据存储到存储器中，或者也可以将原始数据经过清洗/加工后再存储到存储器中。数据清洗(Data cleaning)指的是计算机对数据进行重新审查和校验的过程，目的在于删除重复信息、纠正存在的错误，并提供数据一致性。数据加工指的是对数据进行类型、格式等变化，或对数据进行数学变换等处理。
访问行为数据集138包含了每个正常CA的访问行为日志。在模型训练阶段，行为建模器150对访问行为数据集138进行特征提取，将提取的特征转换为机器学习算法可处理的特征向量，然后使用机器学习算法，比如softmax算法等训练出访问行为模型，该访问行为模型表征正常CA发起的访问请求的行为特征或者规律。DoS攻击分析器160 基于访问行为模型确定出管控参数，并基于DoS攻击抵御能力分析公式计算出管控参数的约束条件，以形成管控策略。在一个实施例中，为了使访问行为模型更加精确，在行为建模器150进行模型训练之前，可以将采集的访问行为数据集138从一个维度或多个维度分为多类，针对这多个类别分别训练各自的访问行为模型。例如，可以按照CA的维度来划分数据集，即将每个CA的访问行为日志作为一个分类；也可以按照业务场景的维度来划分数据集，即将同一业务场景下所有正常CA的访问行为日志作为一个分类。由于在不同的业务场景下，同一个CA调用同一个服务/接口的行为日志也可能是有区别的，而分业务场景去收集行为数据及建模更能准确体现不同场景下CA的调用行为特征，因此可以同时参考CA和业务场景两个维度的信息来对访问行为数据集进行更精细的划分。可以理解的是，为了便于数据集的划分，行为数据采集器134在数据采集阶段可以对CA的访问行为日志进行必要的备注，例如将访问行为日志对应的CA的标识和/或业务场景进行记录。这样，对划分之后的各个分类进行机器学习，可以得到多个分类分别对应的多个访问行为模型(或模型参数)。
DoS攻击分析器160根据行为建模器150训练输出的访问行为模型(或模型参数)，确定抵御DoS攻击所需的管控参数，以及管控参数的初始约束条件，其中，约束条件可是个一个特定的值，或者一个取值范围。管控参数可以指示CA访问待保护服务/接口时的部分访问行为特征，比如时间或资源维度的特征。在一个实施例中，管控参数可以包括访问待保护服务/接口的时间间隔，访问待保护服务/接口时占用或持有资源的数量，持有或占用资源的时间等。通常，如果对待保护服务/接口发起访问的CA对应的管控参数满足管控参数的初始约束条件，则认为该CA是正常CA，即发起DoS攻击的可能性较低，否则就认为该CA是潜在会发起DoS攻击的恶意CA。然而，直接使用根据管控参数的初始约束条件来判定发生DoS攻击的可能，准确性可能无法保证。也就是说，即便CA对应的管控参数满足管控参数的初始约束条件，仍然不能保证发生DoS攻击的概率最小。因此，DoS攻击分析器160可以基于DoS攻击抵御能力分析公式对管控参数的约束条件进行优化，以使得发生DoS攻击的概率最小化。其中，DoS攻击抵御能力分析公式用于表示完成DoS攻击所需的最小资源量与管控参数之间的约束关系。完成DoS 攻击所需的最小资源量可以为需要在终端设备上同时运行的恶意程序的个数，或者需要占用共享内存的大小等。由于终端设备的软硬件资源有限，所以，如果完成DoS攻击所需的最小资源量如果超过了与终端设备的硬件资源限制或者软件(比如操作系统)限制相关的某个刚性指标，则代表DoS攻击发生的概率为0。也就是说，通过DoS攻击抵御能力分析公式可以评估DoS攻击发生的概率，管控参数的不同取值对应于不同的DoS攻击发生概率，当DoS攻击发生的概率最小时(最优为0)，求解出的管控参数的取值为最优。鉴于此，DoS攻击分析器160可以基于DoS攻击抵御能力分析公式，在完成DoS 攻击所需的最小资源量超出刚性指标(即发生DoS攻击概率为0)的前提下，求解管控参数的值。求解出的值可以作为管控参数优化后的约束条件。进一步地，DoS攻击分析器160可以根据管控参数优化后的约束条件生成对应的管控策略。抵御模块170基于该管控策略管控针对待保护服务/接口的访问请求。
具体地，在一个实施例中，假设根据行为建模器150训练输出的访问行为模型，确定管控参数为：
(1).预定义的正常CA持有待保护服务/接口相关的资源的最长持有时间，用符号b代表；
(2).预定义的正常CA两次访问该待保护服务/接口的时间最小间隔，用符号 a代表；
(3)同一个CA在访问过程中持有该待保护服务/接口相关的资源的数量上限，用符号m代表。
那么终端设备的DoS攻击抵御能力分析公式可以为计算要完成DoS攻击所需的资源Y的下限值的计算公式例如，可以为：
Y＝(a/b)*m，
其中，所需的资源Y可以为需要同时运行的恶意程序的个数，或占用共享内存的大小等。当Y>＝γ，即可抵御DoS攻击的发生，γ为一个刚性指标，γ与终端设备硬件资源的限制、或者软件(比如操作系统)的限制，或者业务场景的限制有关。例如，γ可以为终端设备上最多可同时运行的应用程序或者进程的个数，因此，当Y表示完成DoS攻击需要同时运行的恶意程序的个数时，只要令Y>＝γ，即可抵御DoS攻击的发生。
因此，管控参数的求解目标，即在Y>＝γ的前提条件下，求解a,b,m的值，使得恶意CA能够造成DoS攻击的概率最小化。基于上述前提条件对管控参数进行求解计算，可以得到管控参数的约束条件(优化后)，比如管控参数的取值范围，阈值等等。管控参数的约束条件可以转化为管控策略或者判断逻辑固化在抵御模块170中，抵御模块170 基于该管控策略来对针对该待保护服务/接口的访问请求进行安全管控。具体地，如图4 所示，以REE侧CA发起对REE或TEE侧的待保护服务/接口10的访问请求为例，使用抵御模块170中对访问请求的管控方法包括如下步骤：
步骤401：REE侧的CA 113发起对待保护服务/接口10的访问请求。
步骤403：待保护服务/接口10将访问请求封装后，连同该请求的发起实体(即步骤401中的CA 113)的信息传递给REE侧的关键资源访问代理130。
步骤405：关键资源访问代理130通过TEE侧部署在REE侧的程序接口，将访问请求及请求发起实体(即CA 113)的信息传入TEE侧的关键资源申请接口132。
步骤407：关键资源申请接口132对请求发起实体进行身份认证，在其通过身份认证的条件下，将访问请求对应发送给访问行为数据采集器134，访问行为数据采集器134 将存储该访问请求对应的访问行为日志。
步骤409：访问行为数据采集器134将访问请求连同该发请求起实体当前的请求状态一并传递给TEE侧的抵御模块170。可选地，在该步骤中，访问行为数据采集器134 也记录该访问请求对应的访问行为日志，以更新访问行为数据集138。
步骤411：抵御模块170根据管控策略决策是否授权本次访问请求，抵御模块170根据管控策略做出授权或阻止访问请求的决策之后，通过关键资源申请接口132将决策结果反馈给待保护服务/接口10，待保护服务/接口10基于决策结果响应本次访问请求，或者拒绝本次访问请求。
可以理解的是，当TEE侧的TA发起对REE或TEE侧的待保护服务/接口10的访问请求时，待保护服务/接口10可直接将访问请求直接发送给访问行为数据采集器134，而不需要通过关键资源访问代理和关键资源申请接口。
在一个实施例中，假设CA 113发起对待保护服务/接口10的访问请求为在TA 115中打开一个与CA113的会话的请求，管控策略包括：同一CA两次访问所述服务/接口的时间间隔阈值，和/或同一CA持有的与所述TA之间的会话数量的上限值。则抵御模块 170计算述CA 113发起所述访问请求以及向所述服务/接口发起的上一次访问请求的时间间隔；当计算出的时间间隔小于所述时间间隔阈值时，抵御模块170阻止所述访问请求；当所述计算出的时间间隔大于所述时间间隔阈值时，抵御模块170授权所述访问请求。或者，若CA 113已持有的与TA 115之间的会话数量大于或等于上述上限值时，抵御模块170阻止所述访问请求，否则，抵御模块170授权所述访问请求。
可选地，在对安全性要求较低，但对易用性要求较高的情况下，该方法还可以包括：
步骤413：当抵御模块做出阻止本次访问的决策后，可以通过用户反馈的机制，请求用户决策该访问主体是否可信，如果可信，那么授权本次请求，并通过行为模型纠偏器151对该次请求信息进行记录，并通过增强学习等方法对访问行为模型和管控策略进行刷新。由于在离线过程训练访问行为模型时，是基于访问行为数据集138的，该数据集为正常CA访问待保护服务/接口的访问行为数据的抽样，因此可能与实际的访问行为存在一定偏差。行为模型纠偏器151的功能是通过实时捕获的行为日志数据，来判断访问行为模型是否与实际访问行为存在偏差，如果存在偏差，那么将通过在线学习方法，对访问行为模型进行更新，DoS攻击分析器160进而根据更新后的访问行为模型更新管控策略。相应地，抵御模块170会基于更新后的管控策略对后续的访问请求进行管控。
本申请实施例通过上述方案，在TEE侧部署行为数据采集器，采集多个预定义正常CA访问待保护服务/接口10的访问行为日志，并输出访问行为数据集，保证了访问行为日志数据采集的可信性。进一步地，基于机器学习方法对正常CA的有限个访问行为参数的概率分布或其上下限进行学习，训练有效的访问行为模型，并根据访问行为模型来确定精确的管控策略，然后基于管控策略对待保护服务/接口上的访问请求进行管控，从而及时抵御利用待保护服务/接口发起的DoS攻击，提升了终端设备的安全性。
下面结合图5和图6来描述抵御终端设备100中的DoS攻击的方法的一个更具体的实施例。假设终端设备100的REE为
Figure GDA0003308634470000111
操作系统，TEE为基于信任区域(Trustzone) 硬件技术实现的Trusted OS。REE与TEE的交互及其接口完全满足Global Platform对的TEE标准。图5展示了在该实施例中，REE中的CA与TEE中的TA进行交互的流程图，涉及初始化上下文(InitializeContext)，打开会话(OpenSession)，调用命令 (InvokeCommand)，关闭会话(CloseSession)，结束上下文(FinalizeContext)等5 个主要过程。
CA调用OpenSession接口以使指定TA打开一个与该CA的会话，即Session，该 CA后续调用TA的某个服务的操作即在该Session所指定的上下文中进行。因此在TEE 中，由于计算资源的限制，不能允许CA无限制地打开某个TA的Session，否则就可能造成DoS攻击。如果预先规定一个CA可以同时打开的Session个数的上限，那么不能避免DoS攻击的发生，而且不能确保预定义的正常CA能够访问成功。若规定的上限值太小，则比较容易遭受DoS攻击，也不能满足正常CA需要；若规定的上限值太大，可能使得资源消耗大，TEE系统资源难于承受，容易崩溃，进而也导致系统拒绝服务的情况。因此一个统一的阈值很难设定，即使设定了也无据可循，很难抵御DoS攻击。
访问OpenSession接口的CA大多由第三方开发。在一个实施例中，如图6所示，我们以其中的三个CA为例，组成预定义的正常CA：指纹CA、数字证书CA和安全键盘CA。图6给出了在申请实施例中，实现抵御DoS功能的关键组件的部署方式。待保护的OpenSession接口处于REE侧用户态的TEE Client API库中，任何CA都可以调用该OpenSession接口，在TEE侧依赖鉴权模型对CA的身份进行认证，但是由于REE侧为非安全侧，恶意CA可以通过仿冒身份信息来绕过TEE侧身份认证机制。关键资源访问代理130负责将预定义的正常CA发起的OpenSession请求打包成安全监控调用(Secure Monitor Call，SMC)命令传递给TEE侧全局任务(Global Task)模块142。为了提升数据采集的安全性，关键资源访问代理130为内核态的进程或线程，其功能可由内核中的 Tzdriver组件来承担。Global Task模块为TEE侧访问处理的核心模块，实现了本申请前述实施例中的关键资源申请接口132和访问行为数据采集器134的功能，Global Task模块142中包含了CA的鉴权模型，当CA通过身份认证后，将该CA的访问行为数据进行记录，形成访问行为日志，存储于持久化存储介质中。在离线处理过程，即系统开发阶段，将这些访问行为日志导出，得到针对OpenSession接口的访问行为数据集138。以该访问行为数据集作为数据样本，通过行为建模器150得出可以训练出刻画预定义的正常 CA访问行为的访问行为模型，最终由DoS攻击分析器160根据该访问行为模型确定出管控策略固化在抵御模块170中，抵御模块170基于该管控策略来对针对OpenSession 接口的访问请求进行安全管控。
在系统开发完成后，在某个CA调用OpenSession接口时，关键资源访问代理130 将发送对应的SMC请求到Global Task模块142，如果该CA通过Global Task模块142 的身份认证，那么将CA当前的访问状态发送给抵御模块170，如果抵御模块170根据管控策略授权该次访问，那么将调用对应TA执行打开会话操作，并将会话句柄返回该CA。如果抵御模块170拒绝该次访问，那么可以以对话框的形式，通知用户决策是否授权本次访问，如果用户确认授权，那么说明抵御模块170阻止了正常CA的运行，因此为误判，那么Global Task模块142会将本次访问行为数据进行记录，并传递给行为模型纠偏器151，当行为模型纠偏器151中的数据量达到设定阈值，假设为100条，那么将会启动纠偏过程，以对访问行为模型进行重新学习，并产生新的管控策略，降低系统错误率。
接下来进一步阐述采集访问行为数据集、训练访问行为模型，以及计算管控策略的实现细节。
如图7所示，可以先确定预定义正常CA调用OpenSession接口的一种或多种业务场景，针对每种场景，对各个正常CA调用或访问OpenSession接口进行测试，在测试的过程中，Global Task模块142将每个正常CA每一次的访问行为数据记录到存储器中，例如，GlobalTask模块142可以记录并维护每个CA访问OpenSession的时间戳、 CloseSession的时间戳、以及CA每次请求Session时已持有的Session的数量等等。在特定时机，可以将记录的访问行为数据批量导出，然后分别计算出：(1)同一个CA两次调用OpenSession接口的访问间隔时间J；(2)CA持有Session的时间长度L，即持有 OpenSession接口所涉及的关键资源的时间长度(3)同一个CA在访问过程中同时持有 Session的数量m。这些参数能够刻画各个正常CA在具体的业务场景下访问OpenSession 接口的行为特征，因此，基于计算出的这些参数，可以构建各个正常CA在每种业务场景下的最小行为日志集合，这些最小日志集合最终构成了访问行为数据集。
进一步地，如图8所示，行为建模器150可以遍历各个预定义正常CA(比如指纹 CA、数字证书CA、安全键盘CA)在调用OpenSession接口时Global Task模块142记录的访问行为日志集合，通过数据分析过滤掉极端情况下产生的异常行为数据，然后通过机器学习方法训练出每个正常CA的访问行为模型。首先假设访问行为数据集中，每个数据采样都是独立同分步的。CA持有Session的时间长度L和同一个CA两次调用 OpenSession接口的间隔时间J的数据的统计分布满足高斯分布。在一个实施例中，对访问行为模型的学习可以建模为(以持有Session的时间长度L为例)求解高斯分布的参数 u和σ,使得访问行为数据集合中L的采样值发生的概率最大化。
参数u和σ的模型f1产生访问行为数据集中L的采样值的概率，可以表达为：
Figure GDA0003308634470000131
即求解参数u和σ使得上述表达式最大化，其中f即为似然函数。
在本实施例中，采用最大似然方法对L和J的分布参数进行学习，对似然函数求导等零，即可得出参数的近似估计表达式：
Figure GDA0003308634470000132
Figure GDA0003308634470000133
例如，针对数字证书CA的访问行为数据集进行统计学习后，可得到每个业务场景下的访问行为模型，以支付业务场景为例，得到的L，J的模型为：
u(L)＝100ms,σ(L)＝30ms，u(J)＝10s,σ(J)＝2s，m的最大值为2。
类似地，采用上述算法可以得出各个正常CA在每种场景下的访问行为模型参数。
进一步地，如图9所示，DoS攻击分析器160根据访问行为模型确定出一个或多个管控参数，然后利用其内置的DoS攻击抵御能力分析公式，求解在发生DoS攻击的概率最小的前提下，管控参数的阈值或取值范围。以数字证书CA应用于支付业务为例，根据业务场景可知，终端设备内能够运行的CA个数有限，通常不超过100个，因此设置刚性指标γ＝100。由于假设L，J满足高斯分布，根据高斯分布特点，数据处于在x＝u 的3σ的范围内的概率可以高达99.730020％，因此根据模型u(L)＝0.1s,σ(L)＝0.03s， u(J)＝10s,σ(J)＝2s,管控参数a可以以99.730020％的置信度，按照如下方式计算:a＝ u(J)-3σ(J)，即计算可得a＝4。同理可得，b＝u(L)+3σ(L)＝0.19。那么当完成DoS攻击所需要的最小资源量Y超出刚性指标γ时，发生DoS攻击的概率最小，为0；其中， Y可以为需要同时运行的恶意程序的个数。因此，根据Y＝(a/b)*m≧γ,可得21.06*m≧ 100,m≧4.76≈5。
综上，可得管控参数的阈值如下：
a＝4,即访问OpenSession接口的最小时间间隔为4s 。
b＝0.19,即持有Session的最大时间为0.19s。
m＝5,即一个CA同时持有Session的最大数量的上限为5。
最后，将管控参数的阈值转化为管控策略固化在抵御模块170中。例如，根据上述管控参数的阈值，可以转化得到如下管控策略：
计算CA本次访问OpenSession接口与上一次访问OpenSession接口之间的时间间隔 t；
如果(t<4)，那么拒绝本次访问请求；
否则，计算本次访问的CA主体已持有的Session数量s，如果(s>5),那么拒绝本次访问，否则授权本次访问请求。
计算持有该TA的Session的所有CA，如果某个CA持有Session的时间多于0.19s，那么强制释放该CA的Session。
可以将上述管控策略以代码的方式实现，并加载到抵御模块170中，抵御模块170通过执行该代码即可实现访问请求的管控。
图10示出了本申请实施例提供的另一种终端设备200的示例。根据图10，终端设备200包括通信子系统210、电源220、输入设备230、显示设备240、处理单元250、以及存储器260。存储器260存储有计算机程序或指令，该计算机程序包括操作系统294 和应用程序292等。处理单元250被配置用于执行存储器260中的计算机程序，从而实现该计算机程序定义的方法，例如处理单元250运行操作系统294从而在终端设备200 上实现操作系统的各种功能。
处理单元250可以包括一个或多个处理器，例如，处理单元250可以包括应用处理器、图形处理器、数字信号处理器等。当处理单元250包括多个处理器时，这多个处理器可以集成在同一块芯片上，也可以各自为独立的芯片。
存储器260还存储有除计算机程序之外的其他数据296，其他数据296可包括操作系统294或应用程序292运行过程中产生的数据，比如系统数据(例如操作系统294的配置参数)和用户数据。
存储器260一般包括内存和外存。内存包括但不限于随机存取存储器(randomaccess memory，RAM)，只读存储器(read-only memory,ROM)，或高速缓存(cache)等。外存包括但不限于闪存(flash memory)、硬盘、通用串行总线(universal serial bus,USB) 盘等，计算机程序通常被存储在外存上，处理单元250在执行计算机程序前会将该程序从外存加载到内存。
在一个实施例中，操作系统294中包含了用于实现本申请实施例所提供的抵御DoS攻击的方法的计算机程序，从而使得处理器250运行操作系统294后，实现本申请实施例提供的抵御DoS攻击的方法的步骤。示例性地，前述实施例所描述的关键资源访问代理130、关键资源申请接口132、访问行为数据采集器134、行为建模器150、DoS攻击分析器160以及抵御模块170可以以计算机程序(指令)的方式实现，处理器250加载并运行这些计算机程序(指令)后，实现这些模块各自的功能。
输入设备230，用于接收用户输入信息，比如数字/字符信息、触摸操作或手势，以及产生对应的输入信号。具体地，在一个实施例中，该输入设备230包括触控面板。触控面板，也称为触摸屏，可收集用户在其上的触摸操作，并生成触控信号以驱动相关的组件响应用户的操作。除了触控面板，输入设备230还可以包括其他输入设备，包括但不限于物理键盘、功能键(比如音量控制按键、开关按键等)、轨迹球、鼠标、操作杆等中的一种或多种。
显示设备240可以为液晶显示器(liquidcrystal display，LCD)、有机发光二极管(organic light-emitting diode,OLED)等显示面板。在一些实施例中，触控面板可覆盖显示设备240上，以形成触摸显示屏。
通信子系统210为终端200的基本通信单元，用于终端200的数据发送和接收。电源220用于给上述各个部件供电，具体可以为电源管理芯片。
当终端设备200为无线终端时，通信子系统210包括无线调制解调器(wirelessmodem)，主要实现基带处理、调制解调、信号放大和滤波、均衡等功能。在一个实施例中，通信子系统210包括：基带处理器、射频电路和天线。其中，射频电路和天线主要负责信号发送和接收；基带处理器负责信号的处理，比如信号的A/D、D/A转换、信号的编解码等等。基带处理器支持无线通信标准中的一种或多种，这里的无线通信标准包括但不限于全球移动通信系统(global system for mobile communications,GSM)、码分多址接入(code divisionmultiple access,CDMA)、宽带码分多址(wideband code division multiple access,WCDMA)、高速分组接入(high speed packet access,HSPA)、长期演进 (long-termevolution,LTE)等。基带处理器可以为一个单独的芯片，也可以和处理单元250 所包含的处理器可以集成在同一芯片中。
可选地，终端设备200还包括一个或多个传感器280，例如加速度传感器、光传感器等。
本申请实施例提供的抵御DoS攻击的方法可由终端设备200的软件、硬件和/或固件的适当组合执行。例如，可以由图10所示的操作系统294结合必要的硬件来实施。
此外，所属领域的技术人员可以理解终端200可包括比图10中所示部件更少或更多的部件，图10所示的终端设备200仅示出了与本申请实施例所公开的多个实现方式更加相关的部件。
基于以上实施例描述的抵御DoS攻击的方法，本申请实施例还提供一种终端设备400，如图11所示，该终端设备400包括：处理电路402，以及与其连接的通信接口404和存储介质406。
处理电路402用于处理数据，控制数据访问和存储，发出命令以及控制其它组件执行操作。处理电路402可以被实现为一个或多个处理器，一个或多个控制器和/或可用于执行程序的其它结构。处理电路402具体可以包括通用处理器，数字信号处理器(digitalsignal processor,DSP)，专用集成电路(application-specific integrated circuit,ASIC)，现场可编程门阵列(field-programmable gate array,FPGA)或其它可编程逻辑组件中的至少一种。通用处理器可以包括微处理器，以及任何常规的处理器，控制器，微控制器，或状态机。处理电路402也可以实现为计算组件，例如DSP和微处理器的组合。
存储介质406可以包括非瞬时计算机可读存储介质(non-transitory computer-readable storage medium)，如磁存储设备(例如，硬盘，软盘，磁条)，光存储介质(例如，数字多功能光盘(digital versatile disc,DVD))，智能卡，闪存设备，RAM，ROM，可编程只读存储器(programmable read-only memory,PROM)，可编程可擦除只读存储器 (erasableprogrammable read-only memory,EPROM)，寄存器，以及它们的任意组合。存储介质406可以耦合到处理电路402以使得处理电路402可读取信息和将信息写入到存储介质406。具体地，存储介质406可以集成到处理电路402，或者存储介质406和处理电路402可以是分开的。
通信接口404可包括电路和/或程序以实现终端设备400与一个或多个网络设备(例如，路由器、交换机、接入点等等)之间的双向通信。通信接口404包括至少一个接收电路416和/或至少一个发射电路418。在一个实施例中，通信接口404可以是全部或部分由无线调制解调器来实现。
在一个实施例中，存储介质406中存储有程序(指令)420，处理电路402被适配为执行存储在存储介质406中的程(指令)序420，以实现本申请任一方法实施例中的部分或全部步骤。
本申请实施例还提供一种计算机可读存储介质，该计算机可读存储介质存储有实现本申请任一方法实施例中的方法步骤的代码、指令或程序。
所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
如图12所示，本申请实施例提供的抵御DoS攻击的方法也可以应用于具有双域系统的服务器300，其中服务器300包括互相隔离的非安全域310和安全域320，其中，安全域320的安全等级高于非安全域310。与前述实施例所描述的TEE和REE类似，非安全域310中运行的CA也可以通过特定接口请求安全域320中运行的TA的服务。恶意应用程序可能会通过频繁调用非安全域310或安全域320中的某个服务/接口11来实现DoS 攻击。因此，可以使用本申请前述实施例提供的抵御DoS攻击的方法来保护该服务/接口 11。具体的，在安全域320中部署行为数据采集器，采集非安全域310中运行的多个预定义正常CA访问服务/接口11的访问行为日志，并构建访问行为数据集。进一步地，基于机器学习方法训练出一个或多个访问行为模型，并根据访问行为模型来确定精确的管控策略，然后，部署在安全域320中的抵御模块基于管控策略对服务/接口11上的访问请求进行管控，从而及时抵御利用服务/接口11发起的DoS攻击，提升了设备的安全性。其中，数据采集、模型训练以及访问管控的具体实现细节可以参照前述方法实施例，不在此赘述。
在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。
所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以计算机软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：USB闪存盘、移动硬盘、ROM、RAM、或者光盘等各种可以存储程序代码的介质。

Claims (26)

1.一种抵御终端设备中的拒绝服务DoS攻击的方法，所述终端设备包括可信执行环境TEE以及富执行环境REE，所述REE中运行有客户端应用程序CA，其特征在于，所述方法包括：
接收所述CA对服务/接口发起的访问请求，所述服务/接口为所述REE提供的服务或接口，或者为所述TEE提供的服务或接口；所述CA通过访问所述服务/接口来请求服务或资源；
将所述访问请求传递给所述TEE中部署的抵御模块；
所述抵御模块根据管控策略决定是否授权所述访问请求；其中，所述管控策略是根据访问行为模型确定的；所述访问行为模型是通过机器学习算法对访问行为数据集进行训练后得到的，用于表征至少一个CA访问所述服务/接口的行为特征，其中，所述访问行为数据集包括在所述TEE中采集到的所述至少一个CA访问所述服务/接口的访问行为日志，所述管控策略包括至少一个管控参数的阈值，所述至少一个管控参数是根据所述访问行为模型确定的；
所述抵御模块根据所述管控策略决定是否授权所述访问请求包括：
若所述访问请求会触发所述至少一个管控参数未超出所述阈值，则授权所述访问请求。
2.根据权利要求1所述的方法，其特征在于，还包括：
在所述CA通过身份认证的情况下，将所述访问请求传递给所述TEE中部署的访问行为数据采集器；
所述访问行为数据采集器记录所述访问请求对应的访问行为日志。
3.根据权利要求2所述的方法，其特征在于，还包括：
所述访问行为数据采集器记录所述至少一个CA对所述服务/接口发起的多个访问请求对应的多个访问行为日志；
所述访问行为数据采集器根据所述多个访问行为日志构建所述访问行为数据集；所述访问行为数据集被用于训练所述访问行为模型。
4.根据权利要求3所述的方法，其特征在于，所述至少一个管控参数的阈值是基于DoS攻击抵御能力分析公式，在完成DoS攻击所需的最小资源量超出刚性指标的约束条件下求解得到的；其中，所述DoS攻击抵御能力分析公式表征完成DoS攻击所需的最小资源量与管控参数之间的约束关系，所述刚性指标与所述终端设备的硬件资源限制、或者操作系统的限制，或者业务场景的限制相关。
5.根据权利要求4所述的方法，其特征在于，所述完成DoS攻击所需的最小资源量为需要在终端设备上同时运行的应用程序的个数；所述刚性指标为终端设备可支持同时运行的应用程序的数量的最大值。
6.根据权利要求5所述的方法，其特征在于，所述抵御模块根据所述管控策略决定是否授权所述访问请求包括：
若所述访问请求会触发所述至少一个管控参数超出所述阈值，则阻止所述访问请求。
7.根据权利要求6所述的方法，其特征在于，还包括：
在阻止所述访问请求后，通知用户决策是否授权所述访问请求；
若所述用户授权所述访问请求，则根据所述访问请求的访问行为日志，更新所述访问行为模型，以得到更新后的访问行为模型。
8.根据权利要求7所述的方法，其特征在于，还包括：
根据所述更新后的访问行为模型，更新所述管控策略。
9.根据权利要求4所述的方法，其特征在于，所述多个访问请求对应的多个访问行为日志包括：所述多个访问请求中每一个访问请求的发起实体的信息，所述多个访问请求中每一个访问请求的时间戳，所述多个访问请求中每一个访问请求涉及的资源的数量；所述至少一个管控参数包括如下至少一种：同一CA两次访问所述服务/接口的时间间隔，同一CA持有所述服务/接口相关的资源的数量，以及同一CA持有所述服务/接口相关的资源的时间。
10.根据权利要求4至9任一项所述的方法，其特征在于，所述TEE中运行有可信应用程序TA，所述访问请求用于在所述TA中打开一个与所述CA的会话；所述至少一个管控参数包括如下至少一种：同一CA两次访问所述服务/接口的时间间隔，同一CA持有的与所述TA之间的会话数量，以及同一CA持有的与所述TA之间的会话的时间。
11.根据权利要求10所述的方法，其特征在于，所述至少一个管控参数的阈值包括：同一CA两次访问所述服务/接口的时间间隔阈值；所述抵御模块根据管控策略决定是否授权所述访问请求包括：
计算所述CA发起所述访问请求以及所述CA向所述服务/接口发起的上一次访问请求的时间间隔；
当计算出的时间间隔小于所述时间间隔阈值时，所述抵御模块阻止所述访问请求；
当所述计算出的时间间隔大于所述时间间隔阈值时，所述抵御模块授权所述访问请求。
12.根据权利要求10所述的方法，其特征在于，所述至少一个管控参数的阈值包括：同一CA持有的与所述TA之间的会话数量的上限值；所述抵御模块根据管控策略决定是否授权所述访问请求包括：
根据所述CA当前的请求状态，确定所述CA已持有的与所述TA之间的会话数量；
当确定出的会话数量大于或等于所述上限值，则所述抵御模块阻止所述访问请求；
当所述确定出的会话数量小于所述上限值，则所述抵御模块授权所述访问请求。
13.一种终端设备，包括互相隔离的可信执行环境TEE以及富执行环境REE，所述REE中运行有客户端应用程序CA，其特征在于，所述终端设备还包括：
服务/接口，用于接收所述CA发起的访问请求，并将所述访问请求传递给部署于所述TEE中的抵御模块；其中，所述服务/接口为所述REE提供的服务或接口，或者为所述TEE提供的服务或接口；所述CA通过访问所述服务/接口来请求服务或资源；
所述抵御模块，用于根据管控策略决定是否授权所述访问请求；其中，所述管控策略是根据访问行为模型确定的；所述访问行为模型是通过机器学习算法对访问行为数据集进行训练后得到的，用于表征至少一个CA访问所述服务/接口的行为特征，其中，所述访问行为数据集包括在所述TEE中采集到的所述至少一个CA访问所述服务/接口的访问行为日志，所述管控策略包括至少一个管控参数的阈值；
DoS攻击分析器，用于根据所述访问行为模型确定至少一个管控参数，所述管控策略包括所述至少一个管控参数的阈值；
所述抵御模块根据所述管控策略决定是否授权所述访问请求包括：
若所述访问请求会触发所述至少一个管控参数未超出所述阈值，则授权所述访问请求。
14.如权利要求13所述的终端设备，其特征在于，所述服务/接口为所述REE提供的服务或接口；所述服务/接口具体用于，将所述访问请求传递给所述REE中部署的关键资源访问代理；
所述关键资源访问代理，用于通过所述TEE部署在所述REE侧的接口，将所述访问请求转发到所述TEE的关键资源申请接口；
所述关键资源申请接口，用于在所述CA通过身份认证的情况下，将所述访问请求传递给所述抵御模块。
15.如权利要求13所述的终端设备，其特征在于，还包括：访问行为数据采集器，所述访问行为数据采集器部署于所述TEE中，用于采集所述至少一个CA对所述服务/接口发起的多个访问请求对应的多个访问行为日志，根据所述多个访问行为日志构建所述访问行为数据集；所述访问行为数据集被用于训练所述访问行为模型。
16.如权利要求15所述的终端设备，其特征在于，还包括：DoS攻击分析器，用于基于DoS攻击抵御能力分析公式，求解在完成DoS攻击所需的最小资源量超出刚性指标的约束条件下，所述至少一个管控参数的阈值；其中，所述DoS攻击抵御能力分析公式表征完成DoS攻击所需的最小资源量与管控参数之间的约束关系，所述刚性指标与所述终端设备的硬件资源限制、或者操作系统的限制，或者业务场景的限制相关。
17.根据权利要求16所述的终端设备，其特征在于，所述完成DoS攻击所需的最小资源量为需要在终端设备上同时运行的应用程序的个数；所述刚性指标为终端设备可支持同时运行的应用程序的数量的最大值。
18.根据权利要求17所述的终端设备，其特征在于，所述抵御模块具体用于，若所述访问请求会触发所述至少一个管控参数超出所述阈值，则阻止所述访问请求。
19.如权利要求18所述的终端设备，其特征在于，还包括：行为模型纠偏器；所述抵御模块还用于，在阻止所述访问请求后，通知用户决策是否授权所述访问请求；若所述用户授权所述访问请求，则触发所述行为模型纠偏器根据所述访问请求的访问行为日志，更新所述访问行为模型，以得到更新后的访问行为模型。
20.如权利要求19所述的终端设备，其特征在于，所述DoS攻击分析器还用于，根据所述更新后的访问行为模型，更新所述管控策略。
21.根据权利要求16至20任一项所述的终端设备，其特征在于，所述多个访问请求对应的多个访问行为日志包括：所述多个访问请求中每一个访问请求的发起实体的信息，所述多个访问请求中每一个访问请求的时间戳，所述多个访问请求中每一个访问请求涉及的资源的数量；所述至少一个管控参数包括如下至少一种：同一CA两次访问所述服务/接口的时间间隔，同一CA持有所述服务/接口相关的资源的数量，以及同一CA持有所述服务/接口相关的资源的时间。
22.根据权利要求21所述的终端设备，其特征在于，所述TEE中运行有可信应用程序TA，所述访问请求用于在所述TA中打开一个与所述CA的会话；所述至少一个管控参数包括如下至少一种：同一CA两次访问所述服务/接口的时间间隔，同一CA持有的与所述TA之间的会话数量，以及同一CA持有的与所述TA之间的会话的时间。
23.如权利要求22所述的终端设备，其特征在于，所述至少一个管控参数的阈值包括：同一CA两次访问所述服务/接口的时间间隔阈值；
所述抵御模块具体用于，计算所述CA发起所述访问请求以及所述CA向所述服务/接口发起的上一次访问请求的时间间隔；当计算出的时间间隔小于所述时间间隔阈值时，阻止所述访问请求；当所述计算出的时间间隔大于所述时间间隔阈值时，授权所述访问请求。
24.如权利要求22所述的终端设备，其特征在于，所述至少一个管控参数的阈值包括：同一CA持有的与所述TA之间的会话数量的上限值；
所述抵御模块具体用于，根据所述CA当前的请求状态，确定所述CA已持有的与所述TA之间的会话数量；当确定出的会话数量大于或等于所述上限值，则阻止所述访问请求；当所述确定出的会话数量小于所述上限值，则授权所述访问请求。
25.一种终端设备，包括处理器、存储器及存储在所述存储器上并可被所述处理器执行的计算机程序，其特征在于，所述处理器执行所述程序时实现权利要求1至12中任一项所述方法的步骤。
26.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现权利要求1至12中任一项所述方法的步骤。
CN201711124979.3A 2017-11-14 2017-11-14 一种抵御拒绝服务攻击的方法及设备 Active CN109787943B (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN201711124979.3A CN109787943B (zh) 2017-11-14 2017-11-14 一种抵御拒绝服务攻击的方法及设备
PCT/CN2018/110296 WO2019095911A1 (zh) 2017-11-14 2018-10-15 一种抵御拒绝服务攻击的方法及设备
EP18877968.0A EP3694170B1 (en) 2017-11-14 2018-10-15 Method and device for withstanding denial-of-service attack
US16/870,203 US20200274898A1 (en) 2017-11-14 2020-05-08 Method And Device For Defending Against Denial Of Service Attacks

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201711124979.3A CN109787943B (zh) 2017-11-14 2017-11-14 一种抵御拒绝服务攻击的方法及设备

Publications (2)

Publication Number Publication Date
CN109787943A CN109787943A (zh) 2019-05-21
CN109787943B true CN109787943B (zh) 2022-02-22

Family

ID=66493533

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201711124979.3A Active CN109787943B (zh) 2017-11-14 2017-11-14 一种抵御拒绝服务攻击的方法及设备

Country Status (4)

Country Link
US (1) US20200274898A1 (zh)
EP (1) EP3694170B1 (zh)
CN (1) CN109787943B (zh)
WO (1) WO2019095911A1 (zh)

Families Citing this family (28)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11556730B2 (en) * 2018-03-30 2023-01-17 Intel Corporation Methods and apparatus for distributed use of a machine learning model
CN110430158B (zh) * 2019-06-13 2020-07-03 中国科学院信息工程研究所 采集代理部署方法及装置
GB2586640B (en) * 2019-08-30 2021-12-08 Trustonic Ltd Trusted execution environment scheduling method
CN110545541B (zh) * 2019-09-20 2023-06-23 百度在线网络技术（北京）有限公司 防御攻击行为的方法、装置、设备、终端和介质
CN112765106B (zh) * 2019-10-21 2024-05-14 伊姆西Ip控股有限责任公司 文件访问方法、电子设备和计算机程序产品
US11416585B2 (en) * 2019-12-18 2022-08-16 Disney Enterprises, Inc. Define return value at runtime
US11436343B2 (en) * 2019-12-31 2022-09-06 Arm Limited Device, system, and method of policy enforcement for rich execution environment
CN111148070B (zh) * 2019-12-31 2021-06-15 华为技术有限公司 V2x通信方法、装置及车辆
CN113138878B (zh) * 2020-01-19 2022-11-18 华为技术有限公司 可信执行环境操作系统崩溃处理方法及电子设备
CN111949986B (zh) * 2020-02-19 2023-10-03 华控清交信息科技(北京)有限公司 业务处理方法、系统及存储介质
US11537913B2 (en) * 2020-03-12 2022-12-27 Aetna Inc. Artificial intelligence automation for enrollment
GB2594789A (en) * 2020-03-17 2021-11-10 Capital One Services Llc Adaptive artificial intelligence systems and methods for token verification
US10979422B1 (en) 2020-03-17 2021-04-13 Capital One Services, Llc Adaptive artificial intelligence systems and methods for token verification
CN113742740B (zh) * 2020-05-29 2024-06-18 华为技术有限公司 设备行为监督方法、装置及存储介质
CN113946528B (zh) * 2020-07-16 2024-07-30 华为技术有限公司 切换系统架构的方法与装置
CN112100625B (zh) * 2020-09-14 2021-10-19 浙江大学 一种基于模型检测的操作系统访问控制脆弱性发现方法
CN114462589B (zh) * 2021-09-28 2022-11-04 北京卫达信息技术有限公司 正常行为神经网络模型训练方法、系统、装置及存储介质
CN114124463B (zh) * 2021-10-27 2023-05-16 中国电子科技集团公司第三十研究所 基于网络行为特征的暗网加密应用服务识别方法及系统
CN113792276A (zh) * 2021-11-11 2021-12-14 麒麟软件有限公司 基于双体系结构的操作系统用户身份认证方法及系统
CN114070638B (zh) * 2021-11-22 2023-07-18 安天科技集团股份有限公司 一种计算机系统安全防御方法、装置、电子设备及介质
CN115017497B (zh) * 2021-11-24 2023-04-18 荣耀终端有限公司 信息处理方法、装置及存储介质
CN115016886B (zh) * 2021-12-31 2023-04-11 荣耀终端有限公司 业务处理方法和装置
CN114398653B (zh) * 2022-01-13 2022-11-08 百度在线网络技术（北京）有限公司 数据处理方法、装置、电子设备及介质
CN115037482A (zh) * 2022-06-10 2022-09-09 维沃移动通信有限公司 欺诈行为检测方法、装置、电子设备及可读存储介质
CN115086036B (zh) * 2022-06-15 2024-04-26 浙江浩瀚能源科技有限公司 云平台的安全防护方法、装置、设备及存储介质
CN115630373B (zh) * 2022-12-21 2023-04-07 四川知行志成科技有限公司 一种云服务安全分析方法、监控设备及分析系统
CN116070280B (zh) * 2023-04-06 2023-06-27 中诚华隆计算机技术有限公司 一种安全访问统计装置、方法和芯片
CN116483733A (zh) * 2023-06-12 2023-07-25 数据堂（北京）科技股份有限公司 多维度人工智能产品评测方法及装置

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10382454B2 (en) * 2014-09-26 2019-08-13 Mcafee, Llc Data mining algorithms adopted for trusted execution environment
TWI543014B (zh) * 2015-01-20 2016-07-21 動信科技股份有限公司 快速佈署可信任執行環境應用的系統與方法
CN104683336B (zh) * 2015-02-12 2018-11-13 中国科学院信息工程研究所 一种基于安全域的安卓隐私数据保护方法及系统
US20160241576A1 (en) * 2015-02-13 2016-08-18 Canon Kabushiki Kaisha Detection of anomalous network activity
CN104765612B (zh) * 2015-04-10 2018-05-08 武汉天喻信息产业股份有限公司 一种访问可信执行环境、可信应用的系统及方法
CN105138904B (zh) * 2015-08-25 2018-06-15 华为技术有限公司 一种访问控制方法和装置
CN105468980B (zh) * 2015-11-16 2018-07-03 华为技术有限公司 一种安全管控的方法、装置及系统
EP3179690A1 (en) * 2015-12-11 2017-06-14 Gemalto Sa Mobile device having trusted execution environment
TWI575402B (zh) * 2016-03-25 2017-03-21 晨星半導體股份有限公司 計算裝置與資料處理方法
CN105809036B (zh) * 2016-04-01 2019-05-10 中国银联股份有限公司 一种tee访问控制方法以及实现该方法的移动终端
KR102425368B1 (ko) * 2016-05-02 2022-07-27 삼성전자주식회사 가상 sim 운용 방법 및 그 장치
CN105978917B (zh) * 2016-07-19 2019-05-10 恒宝股份有限公司 一种用于可信应用安全认证的系统和方法

Also Published As

Publication number Publication date
US20200274898A1 (en) 2020-08-27
EP3694170A4 (en) 2020-10-14
EP3694170B1 (en) 2023-08-30
WO2019095911A1 (zh) 2019-05-23
CN109787943A (zh) 2019-05-21
EP3694170A1 (en) 2020-08-12

Similar Documents

Publication Publication Date Title
CN109787943B (zh) 一种抵御拒绝服务攻击的方法及设备
CN109871695B (zh) 一种计算与防护并行双体系结构的可信计算平台
US10516533B2 (en) Password triggered trusted encryption key deletion
US11757924B2 (en) Third-party application risk assessment in an authorization service
EP3029593B1 (en) System and method of limiting the operation of trusted applications in the presence of suspicious programs
US9684775B2 (en) Methods and systems for using behavioral analysis towards efficient continuous authentication
US9787695B2 (en) Methods and systems for identifying malware through differences in cloud vs. client behavior
US10496801B2 (en) System and method for providing an authentication engine in a persistent authentication framework
KR101720930B1 (ko) 행위 계약들을 사용한 가능성 있는 악성 루트킷 행위 사전 식별
US10867048B2 (en) Dynamic security module server device and method of operating same
CN110445769B (zh) 业务系统的访问方法及装置
CN105531709A (zh) 可执行对象在本地设备上的受信任的执行
CN105468980A (zh) 一种安全管控的方法、装置及系统
RU2666644C1 (ru) Система и способ выявления потенциально опасных устройств при взаимодействии пользователя с банковскими сервисами
US10019577B2 (en) Hardware hardened advanced threat protection
US11328050B2 (en) Measured execution of trusted agents in a resource constrained environment with proof of work
US10580004B2 (en) System and method of identifying new devices during a user&#39;s interaction with banking services
CN113821841B (zh) 资源管理方法、计算装置、计算设备和可读存储介质
CN118176698A (zh) 用于零信任访问的软件态势
Zhan et al. NSGA‐II‐Based Granularity‐Adaptive Control‐Flow Attestation
Yalew Mobile device security with ARM TrustZone
CN117134999B (zh) 一种边缘计算网关的安全防护方法、存储介质及网关
US12137114B2 (en) Third-party application risk assessment in an authorization service
Duru et al. A Datacentric Model for Mitigating Smartphone Vulnerabilities and Threats

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant