CN109831420A - 内核进程权限的确定方法及装置 - Google Patents

Abstract

本申请公开了一种内核进程权限的确定方法、装置、计算机设备及计算机存储介质，涉及计算机安全技术领域，可以降低计算机系统存在的安全风险，提高系统内核的安全性。所述方法包括：获取属于内核进程权限执行的行为信息；汇总所述属于内核进程权限执行的行为信息，生成属于内核进程权限执行的行为白名单；监控通过内核进程加载预设操作行为时，判断所述预设操作行为是否处于所述行为白名单中；如果否，则判定所述预设操作行为不具有内核进程权限，并拦截启动所述预设操作行为。

Description

内核进程权限的确定方法及装置

技术领域

本发明涉及计算机安全技术领域，尤其是涉及内核进程权限的确定方法、装置、计算机设备及计算机存储介质。

背景技术

内核进程权限是Windows操作系统页面内存管理进程，拥有最高级别的优先权，是系统启动过程中必须启动的进程。Windows内核除了接受来自应用程序的系统服务调用，它自己也有一些线程用于实现各种功能，而这些线程就依附在内核进程中，可以说内核进程是Windows内核的一个运行实例，权限很大。

在登陆之前所有程序都是在内核进程权限下执行的，该内核进程权限是为了防止系统被恶意破坏和用户乱使用而设定的仅由机器管理的用户，从开机到桌面加载完成都是由它在操作，可以说，内核进程是Windows个人系统的最高统治者。

然而，由于内核进程权限具有用户最高权限，而攻击者往往利用系统漏洞进行提权，将权限升级至内核进程权限，从而作为服务用户登录系统，以控制整个操作系统，使得计算机系统存在重大安全隐患，降低了系统内核的安全性。

发明内容

有鉴于此，本发明提供了一种内核进程权限的确定方法、装置、计算机设备及计算机存储介质，主要目的在于降低计算机系统存在的安全风险，提高系统内核的安全性。

依据本发明一个方面，提供了一种内核进程权限的确定方法，该方法包括：

获取属于内核进程权限执行的行为信息；

汇总所述属于内核进程权限执行的行为信息，生成属于内核进程权限执行的行为白名单；

监控通过内核进程加载预设操作行为时，判断所述预设操作行为是否处于所述行为白名单中；

如果否，则判定所述预设操作行为不具有内核进程权限，并拦截启动所述预设操作行为。

进一步地，所述获取属于内核进程权限执行的行为信息包括：

通过任务管理器查看内核进程对应的属性信息，并根据所述内核进程对应的属性信息确定内核进程所属的权限信息；

根据所述内核进程所属的权限信息，获取属于内核进程权限的行为信息。

进一步地，所述通过任务管理器查看内核进程对应的属性信息，并根据所述内核进程对应的属性信息确定内核进程所属的权限信息包括：

遍历所述任务管理器中各个内核进程对应的属性信息，从所述属性信息中提取各个内核进程对应的权限标识；

根据所述各个内核进程对应的权限标识，确定各个内核进程所属的权限信息；

所述根据所述内核进程所属的权限信息，获取属于内核进程权限的行为信息包括：

从所述各个内核进程所属的权限信息中查找权限标识为内核进程权限标识的内核进程；

获取所述权限标识为内核进程权限标识的行为信息，得到属于内核进程权限的行为信息。

进一步地，在所述汇总所述属于内核进程权限执行的行为信息，生成属于内核进程权限执行的行为白名单之前，所述方法还包括：

识别所述属于内核进程权限执行的行为信息中的权限误报信息，所述权限误报信息为执行进程过程中出现行为权限归属错误的信息；

根据所述行为权限误报信息将权限归属错误的行为信息从所述属于内核进程权限执行的行为信息中删除。

进一步地，所述行为白名单中记录有属于内核进程权限执行操作行为的行为标识符，所述监控通过内核进程加载预设操作行为时，判断所述预设操作行为是否处于所述行为白名单中包括：

利用钩子函数监控通过内核进程权限加载预设操作行为的行为信息；

当监控到通过内核进程权限加载预设操作行为的行为信息时，从所述通过内核进程权限加载的预设操作行为中提取行为标识符；

判断所述行为白名单中是否记录有所述预设操作行为的行为标识符。

进一步地，在所述判断所述行为白名单中是否记录有所述预设操作行为的行为标识符之后，所述方法还包括：

如果是，则判定所述预设操作行为具有内核进程权限，并执行启动所述预设操作行为。

依据本发明另一个方面，提供了一种内核进程权限的确定装置，所述装置包括：

获取单元，用于获取属于内核进程权限执行的行为信息；

生成单元，用于汇总所述属于内核进程权限执行的行为信息，生成属于内核进程权限执行的行为白名单；

判断单元，用于监控通过内核进程加载预设操作行为时，判断所述预设操作行为是否处于所述行为白名单中；

确定单元，用于如果所述预设操作行为未处于所述行为白名单中，则判定所述预设操作行为不具有内核进程权限，并拦截启动所述预设操作行为。

进一步地，所述获取单元包括：

确定模块，用于通过任务管理器查看内核进程对应的属性信息，并根据所述内核进程对应的属性信息确定内核进程所属的权限信息；

获取模块，用于根据所述内核进程所属的权限信息，获取属于内核进程权限的行为信息。

进一步地，所述确定模块，具体用于遍历所述任务管理器中各个内核进程对应的属性信息，从所述属性信息中提取各个内核进程对应的权限标识；

所述确定模块，具体还用于根据所述各个内核进程对应的权限标识，确定各个内核进程所属的权限信息；

所述获取模块，具体用于从所述各个内核进程所属的权限信息中查找权限标识为内核进程权限标识的进程；

所述获取模块，具体还用于获取所述权限标识为内核进程权限标识的行为信息，得到属于内核进程权限的行为信息。

进一步地，所述装置还包括：

识别单元，用于在所述汇总所述属于内核进程权限执行的行为信息，生成属于内核进程权限执行的行为白名单之前，识别所述属于内核进程权限执行的行为信息中的权限误报信息，所述权限误报信息为执行进程过程中出现行为权限归属错误的信息；

删除单元，用于根据所述行为权限误报信息将权限归属错误的行为信息从所述属于内核进程权限执行的行为信息中删除。

进一步地，所述行为白名单中记录有属于内核进程权限执行操作行为的行为标识符，所述判断单元包括：

监控模块，用于利用钩子函数监控通过内核进程权限加载预设操作行为的行为信息；

拦截模块，用于当监控到通过内核进程权限加载预设操作行为的行为信息时，从所述通过内核进程权限加载的预设操作行为中提取行为标识符；

判断模块，用于判断所述行为白名单中是否记录有所述预设操作行为的行为标识符。

进一步地，所述确定单元，还用于如果所述行为白名单中记录有所述预设操作行为的行为标识符，则判定所述预设操作行为具有内核进程权限，并执行启动所述预设操作行为。

依据本发明又一个方面，提供了一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现内核进程权限的确定方法的步骤。

依据本发明再一个方面，提供了一种计算机存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现内核进程权限的确定方法的步骤。

借由上述技术方案，本发明提供一种内核进程权限的确定方法及装置，通过汇总属于内核进程权限执行的行为信息，生成属于内核进程权限执行的行为白名单，使得在行为白名单内的操作行为可以正常执行，不在行为白名单内的操作行为被拦截，从而提高系统的安全性。与现有技术中不存在白名单拦截机制的内核进程权限的确定方式相比，由于内核进程权限执行的操作行为比较固定，本发明实施例将属于内核进程权限执行的行为信息汇总至行为白名单，根据行为白名单来监控通过内核进程权限加载的预设操作行为是否属于行为白名单内的操作行为，对不属于内核进程权限的预设操作行为进行拦截，从而降低系统的安全风险，提高系统内核的安全性。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了本发明实施例提供的一种内核进程权限的确定方法流程示意图；

图2示出了本发明实施例提供的另一种内核进程权限的确定方法流程示意图；

图3示出了本发明实施例提供的一种内核进程权限的确定装置结构示意图；

图4示出了本发明实施例提供的另一种内核进程权限的确定装置结构示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

本发明实施例提供了一种内核进程权限的确定方法，可以降低计算机系统存在的安全风险的目的，如图1所示，该方法包括：

101、获取属于内核进程权限执行的行为信息。

不同的程序在运行时是以不同的权限进行的，例如，在执行写注册表、注册组件等高权限操作行为是以内核进程权限进行的，需要使用具有内核进程权限的账户登录，在执行设置账户图片、密码等操作时是以标准用户权限进行的，需要使用具有标准用户权限的账户登录，当然可以根据具体情况设置不同的分组权限，为分组内的账户设置不同的操作权限。

其中，内核进程权限是保证了系统服务的正常运行，赋予系统及系统服务的权限，该属于内核进程权限的账户是系统产生的，为了避免用户管理员权限的滥用，保护Windows的安全运行，一般的权限都是无法获取与内核进程权限等价的权限。

通常情况下，Windows下的服务程序都是以内核进程权限启动的，通过服务程序启动的程序自然也是内核进程权限的，而如果开发服务程序的时候没有考虑内核进程权限的情况，可能导致服务无程序无法运行于内核进程权限下。对于本发明实施例，属于内核进程权限的进程是可以是通过具有内核进程权限的系统服务创建的进程，当然还可以是系统运行时的必要进程，这里不进行限定，具体可以通过大数据和长期运营的方式收集内核进程权限信息，从而获取属于内核进程权限执行的行为信息。

102、汇总所述属于内核进程权限执行的行为信息，生成属于内核进程权限执行的行为白名单。

其中，属于内核进程权限执行的行为信息可以包括行为名称、行为路径以及行为标识符等信息，通过汇总属于内核进程权限执行的行为信息，将具有内核进程权限的行为信息加入行为白名单，该行为白名单相当于行为通行证，使得在行为白名单中的操作行为才可以使用内核进程权限的身份执行该操作行为，而不在行为白名单中的行为无法使用内核进程权限的身份执行该操作行为，从而实现对内核进程权限进行管理，提高系统的安全性。

对于本发明实施例，具体可以通过对属于内核进程权限执行的行为信息进行监听，生成属于内核进程权限执行的行为白名单。例如，监听内核进程139端口、445端口，监听到内核进程加载HTTP.sys驱动文件的文件名、散列值、产品名以及产品版本等信息，并记录内核进程加载HTTP.sys驱动文件的行为信息，从而形成属于内核进程权限执行的行为白名单。

103、监控通过内核进程加载预设操作行为时，判断所述预设操作行为是否处于所述行为白名单中。

由于Windows系统的安全机制是以自主访问控制为基础，不同权限身份启动的操作行为具有不同的内核进程权限，例如，lsass.exe是以内核进程权限身份启动的进程，具有最高管理权限，conime.exe是以普通管理员权限身份启动的进程，具有普通管理员权限。

对于本发明实施例，以内核进程权限身份启动的预设操作行为通常对应为系统程序或者Windows中的服务程序，具有最高管理权限，而系统攻击者往往利用漏洞提权，并以此来获得高权限运行恶意软件，使得系统存在极大的安全隐患。由于内核进程权限身份具有最高管理权限，为了避免攻击者获取到内核进程权限，这里通过监控通过内核进程加载预设操作行为时，对以内核进程加载的预设操作行为进行筛查，判断预设操作行为是否处于属于内核进程权限执行的行为白名单中，该行为白名单记录了经过确认的内核进程权限可以执行的操作行为，对于在行为白名单内的操作行为才可以使用内核进程权限身份执行程序，对于不在行为白名单内以系统身份启动的内核进程加载的预设行为操作可能是攻击者利用漏洞将权限提升至内核进程权限后，以内核进程权限执行的行为操作，应该对预设行为操作进行拦截。

104、如果否，则判定所述预设操作行为不具有内核进程权限，并拦截启动所述预设操作行为。

对于本发明实施例，如果预设操作行为不处于属于内核进程执行的行为白名单中，则说明预设操作行为的行为信息不具有内核进程权限，可能为攻击者利用漏洞提权，将权限提升至内核进程权限后，以内核进程权限身份执行的行为操作，例如，Jdbgmgr.exe加载的行为操作不在行为白名单中，监控到Jdbgmgr.exe通过内核进程权限加载行为操作，则对该行为操作进行拦截。

本发明提供一种内核进程权限的确定方法，通过汇总属于内核进程权限执行的行为信息，生成属于内核进程权限执行的行为白名单，使得在行为白名单内的操作行为可以正常执行，不在行为白名单内的操作行为被拦截，从而提高系统的安全性。与现有技术中不存在白名单拦截机制的内核进程权限的确定方式相比，由于内核进程权限执行的操作行为比较固定，本发明实施例将属于内核进程权限执行的行为信息汇总至行为白名单，根据行为白名单来监控通过内核进程权限加载的预设操作行为是否属于行为白名单内的操作行为，对不属于内核进程权限的预设操作行为进行拦截，从而降低系统的安全风险，提高系统内核的安全性。

本发明实施例提供了另一种内核进程权限的确定方法，可以降低计算机系统存在的安全风险的目的，如图2所示，所述方法包括：

201、通过任务管理器查看内核进程对应的属性信息，并根据所述内核进程对应的属性信息确定内核进程所属的权限信息。

对于本发明实施例，具体的可以通过遍历任务管理器中各个内核进程对应的属性信息，从属性信息中提取各个内核进程对应的权限标识，并根据各个内核进程对应的权限标识，确定各个内核进程所属的权限信息。

Windows的每个用户登录系统后，系统会产生一个访问令牌，该访问令牌相当于内核进程对应的权限标识，其中关联了当前用户的权限信息，用户登录后创建的每一个内核进程都含有用户的访问令牌，当内核进程视图执行某些特殊权限操作或是访问受保护的内核对象时，系统会检查访问令牌中的权限信息以决定是否授权操作。

通常情况下，任务管理器显示了计算机中所有运行的程序和进程的详细信息，由于内核进程在创建的时候便赋予内核进程所属的权限，并记录在任务管理器中，所以通过任务管理器可以查看内核进程对应的属性信息，例如，内核进程对应的文件名称、文件位置以及进程所属的权限信息等，进一步根据内核进程对应的属性信息确定内核进程所属的权限信息。

202、根据所述内核进程所属的权限信息，获取属于内核进程权限的行为信息。

由于内核进程所属的权限信息中记录有内核进程所属权限的行为，例如，spoolsv.exe进程是Windows打印任务控制程序，用以打印机就绪，属于该内核进程权限的行为是打印任务控制程序等涉及打印功能的操作行为，通过内核进程所属的权限信息，可以找到内核进程的功能，进一步获取属于内核进程权限的行为信息。

对于本发明实施例，具体可以通过从各个内核进程所属的权限信息中查找权限标识为内核进程权限标识的进程，从而获取权限标识为内核进程权限标识的行为信息，得到属于内核进程权限的行为信息。

203、识别所述属于内核进程权限执行的行为信息中的权限误报信息。

可以理解的是，为了保证属于内核进程权限的行为信息的准确性，在获取属于内核进程权限的行为信息之后，会识别属于内核进程权限执行的行为信息中的权限误报信息，该权限误报信息通常为执行进程过程中出现行为权限归属错误，通过识别属于内核进程权限执行的行为信息中的权限误报信息可以及时发现不属于内核进程权限执行的行为信息。

204、根据所述权限误报信息将行为权限归属错误的行为信息从所述属于内核进程权限执行的行为信息中删除。

对于本发明实施例，一旦发现权限误报信息，则说明该内核进程所属的权限存在错误信息，可能并非内核进程权限，需要对权限归属错误的行为信息进程处理，以免后续在形成白名单的时候将错误归属权限的行为信息加入白名单，进一步将权限归属错误的行为信息从属于内核进程权限执行的行为信息中删除。

205、汇总所述属于内核进程权限执行的行为信息，生成属于内核进程权限执行的行为白名单。

对于本发明实施例，汇总属于内核进程权限执行的行为信息，生成属于内核进程权限执行的行为白名单的具体实现过程可以参见步骤102，在此不进行赘述。

206、利用钩子函数监控通过内核进程权限加载预设操作行为的行为信息。

其中，钩子函数是Windows消息处理机制第一部分，通过设置钩子函数可以捕捉进程内或者其他进程发生的事件，对于本实施例，通过钩子函数可以监控到以内核进程权限加载的预设行为操作。

具体地，当创建一个钩子函数时，Windows会先在内存中创建一个数据结构，该数据结构包含了钩子函数的相关信息，通过相关信息来捕获执行以内核进程权限身份加载预设操作行为的消息。

需要说明的是，钩子函数没有系统的中断功能，并不能随心所欲的截获系统的底层功能，钩子函数只是Windows消息机制中设置的一个监控点，可以捕获内核进程发生的预设操作行为事件，一旦监控到预设操作行为的事件的发生后，可以通过调用其他处理函数来实现不同的处理功能。

207、当监控到通过内核进程权限加载预设操作行为的行为信息时，从所述通过内核进程权限加载的预设操作行为中提取行为标识符。

由于以内核进程权限身份执行的预设操作行为具有系统最高的权限，为了保证系统的安全性，需要对预设行为操作所属的权限信息进一步确认，所以通过从以内核进程权限身份加载的预设操作行为中提取行为标识符，来判定该预设行为操作是否为内核进程权限可以执行安全操作。

对于本发明实施例，由于每一个操作行为都有唯一的行为标识符，因为其唯一，所以系统可以通过行为标识符定位到进程的操作行为，具体可以通过解析进程拥有的子目录，该子目录中存储有进程执行行为操作的信息，进而从子目录中记录获取进程执行操作行为的行为标识符。

208、判断所述行为白名单中是否记录有所述预设操作行为的行为标识符。

由于行为白名单中记录有属于内核进程执行操作行为的行为标识符，且该行为标识符为标识内核进程执行操作行为的唯一标识，可以用来准确定位内核进程。

对于本发明实施例，由于预设操作行为可能并非是经过安全认证的进程，可能为不具有内核进程权限身份执行的进程，而是通过漏洞提升权利至内核进程权限后执行的行为操作，通过判断行为白名单中是否记录有预设操作行为的行为标识符，可以判断预设行为操作是否处于行为白名单中经过安全认证的行为操作中，从而提高系统运行过程中的安全性。

209a、如果否，则判定所述预设操作行为不具有内核进程权限，并执行拦截所述预设操作行为。

对于本发明实施例，如果行为白名单中未记录有预设操作行为的行为标识符，说明预设操作行为并未处于行为白名单中经过安全认证的操作行为中，则判定预设操作行为不具有内核进程权限，并执行拦截预设操作行为，从而针对不属于内核进程权限的行为操作进行限制和管理，提高系统运行的安全性。

与步骤209a对应的有步骤209b、如果是，则判定所述预设操作行为具有内核进程权限，并执行启动所述预设操作行为。

对于本发明实施例，如果行为白名单中记录有预设操作行为的行为标识符，说明预设操作行为处于行为白名单中经过安全认证的操作行为中，则判定预设操作行为具有内核进程权限，为安全进程，并执行启动预设操作行为。

本发明提供另一种内核进程权限的确定方法，通过汇总属于内核进程权限执行的行为信息，生成属于内核进程权限执行的行为白名单，使得在行为白名单内的操作行为可以正常执行，不在行为白名单内的操作行为被拦截，从而提高系统的安全性。与现有技术中不存在白名单拦截机制的内核进程权限的确定方式相比，由于内核进程权限执行的操作行为比较固定，本发明实施例将属于内核进程权限执行的行为信息汇总至行为白名单，根据行为白名单来监控通过内核进程权限加载的预设操作行为是否属于行为白名单内的操作行为，对不属于内核进程权限的预设操作行为进行拦截，从而降低系统的安全风险，提高系统内核的安全性。

进一步地，作为图1所述方法的具体实现，本发明实施例提供了一种内核进程权限的确定装置，如图3所示，所述装置包括：获取单元31、生成单元32、判断单元33、确定单元34。

获取单元31，可以用于获取属于内核进程权限执行的行为信息；

生成单元32，可以用于汇总所述属于内核进程权限执行的行为信息，生成属于内核进程权限执行的行为白名单；

判断单元33，可以用于监控通过内核进程加载预设操作行为时，判断所述预设操作行为是否处于所述行为白名单中；

确定单元34，可以用于如果所述预设操作行为未处于所述行为白名单中，则判定所述预设操作行为不具有内核进程权限，并拦截启动所述预设操作行为。

本发明提供一种内核进程权限的确定装置，通过汇总属于内核进程权限执行的行为信息，生成属于内核进程权限执行的行为白名单，使得在行为白名单内的操作行为可以正常执行，不在行为白名单内的操作行为被拦截，从而提高系统的安全性。与现有技术中不存在白名单拦截机制的内核进程权限的确定方式相比，由于内核进程权限执行的操作行为比较固定，本发明实施例将属于内核进程权限执行的行为信息汇总至行为白名单，根据行为白名单来监控通过内核进程权限加载的预设操作行为是否属于行为白名单内的操作行为，对不属于内核进程权限的预设操作行为进行拦截，从而降低系统的安全风险，提高系统内核的安全性。

作为图4中所示内核进程权限的确定装置的进一步说明，图4是根据本发明实施例另一种内核进程权限的确定装置的结构示意图，如图4所示，所述装置还包括：

识别单元35，可以用于在所述汇总所述属于内核进程权限执行的行为信息，生成属于内核进程权限执行的行为白名单之前，识别所述属于内核进程权限执行的行为信息中的权限误报信息，所述权限误报信息为执行进程过程中出现行为权限归属错误的信息；

删除单元36，可以用于根据所述行为权限误报信息将权限归属错误的行为信息从所述属于内核进程权限执行的行为信息中删除。

进一步地，所述确定单元34，还可以用于如果所述行为白名单中记录有所述预设操作行为的行为标识符，则判定所述预设操作行为具有内核进程权限，并执行启动所述预设操作行为。

进一步地，所述获取单元31包括：

确定模块311，可以用于通过任务管理器查看内核进程对应的属性信息，并根据所述内核进程对应的属性信息确定内核进程所属的权限信息；

获取模块312，可以用于根据所述内核进程所属的权限信息，获取属于内核进程权限的行为信息。

进一步地，所述确定模块311，具体可以用于遍历所述任务管理器中各个内核进程对应的属性信息，从所述属性信息中提取各个内核进程对应的权限标识；

所述确定模块311，具体还可以用于根据所述各个内核进程对应的权限标识，确定各个内核进程所属的权限信息；

所述获取模块312，具体可以用于从所述各个内核进程所属的权限信息中查找权限标识为内核进程权限标识的进程；

所述获取模块312，具体还可以用于获取所述权限标识为内核进程权限标识的行为信息，得到属于内核进程权限的行为信息。

进一步地，所述行为白名单中记录有属于内核进程权限执行操作行为的行为标识符，所述判断单元33包括：

监控模块331，可以用于利用钩子函数监控通过内核进程权限加载预设操作行为的行为信息；

拦截模块332，可以用于当监控到通过内核进程权限加载预设操作行为的行为信息时，从所述通过内核进程权限加载的预设操作行为中提取行为标识符；

判断模块333，可以用于判断所述行为白名单中是否记录有所述预设操作行为的行为标识符。

需要说明的是，本实施例提供的一种内核进程权限的确定装置所涉及各功能单元的其他相应描述，可以参考图1和图2中的对应描述，在此不再赘述。

基于上述如图1和图2所示方法，相应的，本实施例还提供了一种存储介质，其上存储有计算机程序，该程序被处理器执行时实现上述如图1和图2所示的内核进程权限的确定方法。

基于这样的理解，本申请的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施场景所述的方法。

基于上述如图1和图2所示的方法，以及图3和图4所示的虚拟装置实施例，为了实现上述目的，本申请实施例还提供了一种计算机设备，具体可以为个人计算机、服务器、网络设备等，该实体设备包括存储介质和处理器；存储介质，用于存储计算机程序；处理器，用于执行计算机程序以实现上述如图1和图2所示的内核进程权限的确定方法。

可选地，该计算机设备还可以包括用户接口、网络接口、摄像头、射频(RadioFrequency，RF)电路，传感器、音频电路、WI-FI模块等等。用户接口可以包括显示屏(Display)、输入单元比如键盘(Keyboard)等，可选用户接口还可以包括USB接口、读卡器接口等。网络接口可选的可以包括标准的有线接口、无线接口(如蓝牙接口、WI-FI接口)等。

本领域技术人员可以理解，本实施例提供的内核进程权限的确定的实体设备结构并不构成对该实体设备的限定，可以包括更多或更少的部件，或者组合某些部件，或者不同的部件布置。

存储介质中还可以包括操作系统、网络通信模块。操作系统是管理上述计算机设备硬件和软件资源的程序，支持信息处理程序以及其它软件和/或程序的运行。网络通信模块用于实现存储介质内部各组件之间的通信，以及与该实体设备中其它硬件和软件之间通信。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本申请可以借助软件加必要的通用硬件平台的方式来实现，也可以通过硬件实现。通过应用本申请的技术方案，与目前现有技术相比，由于内核进程权限执行的进程比较固定，本发明实施例将属于内核进程权限执行的进程汇总至行为白名单，根据行为白名单来监控以内核进程权限执行的进程是否属于行为白名单内的进程，对不属于内核进程权限的进程的行为信息进行拦截，从而降低系统的安全风险，提高系统内核的安全性。

本领域技术人员可以理解附图只是一个优选实施场景的示意图，附图中的模块或流程并不一定是实施本申请所必须的。本领域技术人员可以理解实施场景中的装置中的模块可以按照实施场景描述进行分布于实施场景的装置中，也可以进行相应变化位于不同于本实施场景的一个或多个装置中。上述实施场景的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

上述本申请序号仅仅为了描述，不代表实施场景的优劣。以上公开的仅为本申请的几个具体实施场景，但是，本申请并非局限于此，任何本领域的技术人员能思之的变化都应落入本申请的保护范围。

Claims (10)

1.一种内核进程权限的确定方法，其特征在于，所述方法包括：

获取属于内核进程权限执行的行为信息；

汇总所述属于内核进程权限执行的行为信息，生成属于内核进程权限执行的行为白名单；

监控通过内核进程加载预设操作行为时，判断所述预设操作行为是否处于所述行为白名单中；

如果否，则判定所述预设操作行为不具有内核进程权限，并拦截启动所述预设操作行为。

2.根据权利要求1所述的方法，其特征在于，所述获取属于内核进程权限执行的行为信息包括：

通过任务管理器查看内核进程对应的属性信息，并根据所述内核进程对应的属性信息确定内核进程所属的权限信息；

根据所述内核进程所属的权限信息，获取属于内核进程权限的行为信息。

3.根据权利要求2所述的方法，其特征在于，所述通过任务管理器查看内核进程对应的属性信息，并根据所述内核进程对应的属性信息确定内核进程所属的权限信息包括：

遍历所述任务管理器中各个内核进程对应的属性信息，从所述属性信息中提取各个内核进程对应的权限标识；

根据所述各个内核进程对应的权限标识，确定各个内核进程所属的权限信息；

所述根据所述内核进程所属的权限信息，获取属于内核进程权限的行为信息包括：

从所述各个内核进程所属的权限信息中查找权限标识为内核进程权限标识的内核进程；

获取所述权限标识为内核进程权限标识的行为信息，得到属于内核进程权限的行为信息。

4.根据权利要求1所述的方法，其特征在于，在所述汇总所述属于内核进程权限执行的行为信息，生成属于内核进程权限执行的行为白名单之前，所述方法还包括：

识别所述属于内核进程权限执行的行为信息中的权限误报信息，所述权限误报信息为执行进程过程中出现行为权限归属错误的信息；

根据所述权限误报信息将行为权限归属错误的行为信息从所述属于内核进程权限执行的行为信息中删除。

5.根据权利要求1-4中任一项所述的方法，其特征在于，所述行为白名单中记录有属于内核进程权限执行操作行为的行为标识符，所述监控通过内核进程加载预设操作行为时，判断所述预设操作行为是否处于所述行为白名单中包括：

利用钩子函数监控通过内核进程权限加载预设操作行为的行为信息；

当监控到通过内核进程权限加载预设操作行为的行为信息时，从所述通过内核进程权限加载的预设操作行为中提取行为标识符；

判断所述行为白名单中是否记录有所述预设操作行为的行为标识符。

6.根据权利要求5所述的方法，其特征在于，在所述判断所述行为白名单中是否记录有所述预设操作行为的行为标识符之后，所述方法还包括：

如果是，则判定所述预设操作行为具有内核进程权限，并执行启动所述预设操作行为。

7.一种内核进程权限的确定装置，其特征在于，所述装置包括：

获取单元，用于获取属于内核进程权限执行的行为信息；

生成单元，用于汇总所述属于内核进程权限执行的行为信息，生成属于内核进程权限执行的行为白名单；

判断单元，用于监控通过内核进程加载预设操作行为时，判断所述预设操作行为是否处于所述行为白名单中；

确定单元，用于如果所述预设操作行为未处于所述行为白名单中，则判定所述预设操作行为不具有内核进程权限，并拦截启动所述预设操作行为。

8.根据权利要求7所述的装置，其特征在于，所述获取单元包括：

确定模块，用于通过任务管理器查看内核进程对应的属性信息，并根据所述内核进程对应的属性信息确定内核进程所属的权限信息；

获取模块，用于根据所述内核进程所属的权限信息，获取属于内核进程权限的行为信息。

9.一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至6中任一项所述方法的步骤。

10.一种计算机存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至6中任一项所述的方法的步骤。