CN110889112B - 一种基于白名单机制的软件运行统一控制系统及方法 - Google Patents

一种基于白名单机制的软件运行统一控制系统及方法 Download PDF

Info

Publication number
CN110889112B
CN110889112B CN201911013565.2A CN201911013565A CN110889112B CN 110889112 B CN110889112 B CN 110889112B CN 201911013565 A CN201911013565 A CN 201911013565A CN 110889112 B CN110889112 B CN 110889112B
Authority
CN
China
Prior art keywords
software
white list
client
local
server
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201911013565.2A
Other languages
English (en)
Other versions
CN110889112A (zh
Inventor
陈漠
杨隽
闫陈静
孟小娟
薛琼
贾之楠
张伟
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Aerospace Academy Of Systems Science And Engineering
Original Assignee
China Aerospace Academy Of Systems Science And Engineering
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Aerospace Academy Of Systems Science And Engineering filed Critical China Aerospace Academy Of Systems Science And Engineering
Priority to CN201911013565.2A priority Critical patent/CN110889112B/zh
Publication of CN110889112A publication Critical patent/CN110889112A/zh
Application granted granted Critical
Publication of CN110889112B publication Critical patent/CN110889112B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Computer And Data Communications (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

一种基于白名单机制的软件运行统一控制系统及方法，属于信息安全技术领域。本发明包括客户机白名单初始化及软件验证功能启动；以及用户申请在客户机添加新软件进入本地软件白名单，客户机准备要加入白名单的软件实体，然后将软件实体及其类型发送给服务机，服务机根据软件类型计算得到软件白名单变化量，客户机收到并添加进本地软件白名单，之后新软件就可以安装使用；以及用户申请在客户机上将某软件从本地软件白名单中移除，计算要从本地软件白名单移除的软件的特征值发送给服务机，服务机利用特征值在本机日志中查询该软件对应的白名单变化量并发送给客户机，客户机从本地软件白名单中去除软件白名单变化量里的元素，软件就被禁止执行使用。

Description

一种基于白名单机制的软件运行统一控制系统及方法
技术领域
本发明涉及一种基于白名单机制的软件运行统一控制系统及方法，属于信息安全技术领域。
背景技术
随着网络攻击技术的发展，计算机恶意软件、病毒、木马的数量和种类呈现逐年上升的态势，并逐步蔓延到工业控制网络中，对信息安全构成巨大威胁。对于大多数企业工业控制计算机设备，由于其与互联网相对隔离、软硬件更新相对滞后且一般仅运行特定若干软件，采取安装杀毒软件、主机防火墙等安全手段不能很好地适应工业控制计算机设备的性能现状和业务需求。
采用软件白名单机制是一种很好的安全防护方法，软件白名单机制可以防止不在白名单的任何已知和未知的恶意软件、病毒、木马运行，同时可以用于规范用户操作行为，未经管理员批准，用户无法自行安装任何软件，大大降低工业控制计算机设备的系统运行风险。
但是现有针对工业控制网络等局域网的软件白名单机制，缺乏完整的从管理员到用户的管理方法和流程，且没有针对软件安装包和可直接执行软件两种不同的软件形式制定不同的白名单生成和下发方法。
发明内容
本发明解决的技术问题是：克服现有技术的不足，提供了一种基于白名单机制的软件运行统一控制系统及方法，解决现有软件白名单机制缺少基于C/S架构的统一软件运行控制系统和方法的问题。
本发明的技术解决方案是：一种基于白名单机制的软件运行统一控制系统，包括客户机和服务机；所述客户机和服务机处于同一个局域网中，所述客户机包括若干个；
所述客户机向服务机发送本地软件清单和指令信息；所述指令信息包括在客户机添加新软件进入本地软件白名单的添加申请指令以及在客户机上将某软件从本地软件白名单中移除的移除申请指令；接收服务机发送的初始软件白名单和软件白名单变化量，根据软件白名单变化量更新本地软件白名单，并根据本地软件白名单控制本机软件运行；
所述服务机接收客户机发送的本地软件清单和指令信息，根据所述本地软件清单计算初始软件白名单，根据所述和指令信息计算软件白名单变化量，并将初始软件白名单和软件白名单变化量通过局域网发送给对应客户机。
根据所述的一种基于白名单机制的软件运行统一控制系统实现的基于白名单机制的软件运行统一控制方法，包括如下步骤：
客户机上运行软件前，生成本机软件清单，将本机软件清单发送至服务机；
服务机根据客户机的本机软件清单计算生成初始软件白名单，将初始软件白名单发送至客户机；
客户机接收初始软件白名单，将初始软件白名单存为本地软件白名单，对将要执行的软件检测其是否在本地软件白名单中；若在，则允许执行；否则，不允许执行。
进一步地，所述生成本机软件清单的方法为：遍历客户机Ui中所有的可执行文件，得到所有可执行文件的路径集合Pi＝{pi1,pi2,…,pik,…,pin}，其中pik为单个可执行文件的路径；然后使用SHA1算法计算集合Pi中每个元素所对应的可执行文件的特征值，得到可执行文件的特征值集合Hi＝{hi1,hi2,…,hik,…,hin}作为本机软件清单。
进一步地，所述服务机根据客户机的本机软件清单计算生成初始软件白名单的方法为：
服务机根据接收的客户机Ui的特征值集合Hi，即客户机Ui的本机软件清单，利用EncF算法计算得到客户机的初始软件白名单Li＝{li1,li2,…,lik,…,lin}，其中元素lik为软件白名单元素值，具体为代表第k个可执行文件的特征值及特征值的签名值所组成的二元组；
服务机将客户机的初始软件白名单Li保存在本地日志中，并发给对应客户机。
进一步地，所述对将要执行的软件检测其是否在本地软件白名单中的方法为：
将要执行的软件运行前，客户机使用HOOK方法拦截本机操作系统内核函数NtCreateSection
通过函数NtCreateSection的ObjectAttributes参数获得将要加载的可执行模块的全路径名称ObjectName，判断ObjectName字符串是否以.exe或.msi结尾；如果不是则允许其加载；如果是，则利用SHA1算法计算ObjectName所对应的可执行文件的特征值，得到特征值hx；利用DecF算法，计算res＝DecF(hx)；如果res为0，则不允许该软件加载；如果res为1，则允许其加载。
进一步地，还包括根据添加申请指令在客户机本地软件白名单中添加软件的如下步骤：
S61，用户在客户机Ui向服务机发送添加申请指令、需要添加进白名单的软件本体A及其软件类型；所述软件本体包括软件安装包和可直接执行的软件文件；所述软件类型包括软件安装包类型和可直接执行软件类型；
S62，服务机接收到添加申请指令、软件本体A及其软件类型后，利用SHA1算法计算软件本体A的特征值hi0；
S63，判断软件本体A的软件类型；如果是软件安装包类型，则转到S64；如果是可直接执行软件类型，则利用算法EncF，计算l0＝EncF(h0)，得到软件白名单变化量L′i＝li0，将软件白名单变化量L′i记录到客户端本地日志中，并发送给客户机Ui，转到S65；
S64，在客户机上安装软件A，并计算软件A及其安装过程中所释放的所有可执行文件的软件白名单元素值，构成软件白名单变化量，转到S65；
S65，客户机Ui将软件白名单变化量添加进本地软件白名单Li中，完成在客户机本地软件白名单中添加软件。
进一步地，所述计算软件A及其安装过程中所释放的所有可执行文件的软件白名单元素值的方法为：
软件A在安装过程中释放文件时，利用HOOK方法拦截操作系统内核函数NtCreateFile；
通过函数NtCreateFile的ObjectAttributes参数获得创建文件的全路径名称ObjectName，判断ObjectName字符串是否以.exe或.msi结尾；如果不是则继续；如果是，则利用SHA1算法计算并记录ObjectName所对应的可执行文件的特征值，直到软件A安装完成，得到软件A安装所释放的所有可执行文件特征值，与软件A的特征值hi0一起，形成集合H′i＝{hi0,h′i1,h′i2,…,h′ik,…,h′in}；利用算法EncF，计算公式L’i＝EncF(H’i)，得到软件白名单变化量L′i＝{li0,l′i1,l′i2,…,l′ik,…,l′in}，记录到客户机Ui本地日志中，并发送给客户机Ui。
进一步地，还包括根据移除申请指令在客户机本地软件白名单中删除软件的如下步骤：
客户机Ui根据SHA1算法计算需要从白名单中删除的软件本体A的特征值hi0，连同移除申请指令，发送至服务机；
服务机接收移除申请指令和软件本体A的特征值hi0后，通过查询日志得到其所对应的软件白名单变化量L′i，然后将L′i发送给客户机Ui；
客户机Ui收到L′i后，将同时属于L′i和本地软件白名单Li的软件白名单元素从Li中删除，完成在客户机本地软件白名单中删除软件。
进一步地，所述EncF算法的方法为：输入软件特征值hx，利用RSA加密算法和一个公私钥对key＝<kpri,kpub>的私钥kpri，对hx进行签名操作，得到签名值rx，进而得到lx＝<hx,rx>，输出软件白名单元素lx；各个软件白名单元素构成软件白名单。
进一步地，DecF算法的方法为：输入软件特征值hx，在本地软件白名单L中搜索是否存在lk＝<hk,rk>使得hx＝hk，如果不存在则输出0，如果存在则利用RSA加密算法和公私钥对key＝<kpri,kpub>的公钥kpub，对rk进行验证，得到验证值h′k，如果h′k＝hk，输出1，否则输出0。
本发明与现有技术相比的优点在于：
(1)在同一局域网中，利用白名单机制，可以用一台服务机对所有客户机的软件运行进行控制，客户机本地软件白名单的初始创建、添加和删除全部通过网络完成，方便统一管理。
(2)本地软件白名单利用数字签名技术，具有防止篡改功能，有效防止黑客通过技术手段篡改本地软件白名单，从而确保不在本地白名单的软件不能执行。
附图说明
图1为本发明客户机白名单初始化及软件验证功能启动示意图；
图2为本发明用户申请在客户机添加新软件进入白名单示意图；
图3为本发明用户申请在客户机上将某软件从白名单中移除示意图。
具体实施方式
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
一种基于白名单机制的软件运行统一控制系统，包括客户机和服务机；所述客户机和服务机处于同一个局域网中，所述客户机包括若干个；所述客户机向服务机发送本地软件清单和指令信息；所述指令信息包括在客户机添加新软件进入本地软件白名单的添加申请指令以及在客户机上将某软件从本地软件白名单中移除的移除申请指令；接收服务机发送的初始软件白名单和软件白名单变化量，根据软件白名单变化量更新本地软件白名单，并根据本地软件白名单控制本机软件运行；所述服务机接收客户机发送的本地软件清单和指令信息，根据所述本地软件清单计算初始软件白名单，根据所述和指令信息计算软件白名单变化量，并将初始软件白名单和软件白名单变化量通过局域网发送给对应客户机。
如图1所示，本发明实施例1
某局域网有两台客户机U1和U2进行白名单初始化及软件验证功能启动。
S1、客户机上运行软件前，生成本机软件清单，将本机软件清单发送至服务机。首先，遍历客户机U1系统中所有的可执行文件(exe)，得到所有可执行文件的路径集合P1＝{C:\\1.exe,C:\\2.exe}；然后利用SHA1算法，计算集合P1中每个元素所对应的可执行文件的特征值，得到特征值集合H1＝{5ef3…a263,5977…93b0}(由于SHA1和RSA加密值过长，故省略中间一部分值，下同)，将集合H1的内容发送给服务机。同理，遍历客户机U2系统中所有的可执行文件(exe)，得到所有可执行文件的路径集合P2＝{C:\\3.exe,C:\\4.exe}；然后利用SHA1算法，计算集合P2中每个元素所对应的可执行文件的特征值，得到特征值集合H2＝{845a…f480,1805…257c}，将集合H2的内容发送给服务机。
S2、服务机根据客户机的本机软件清单计算生成初始软件白名单，将初始软件白名单发送至客户机。服务机收到来自客户机U1发来的特征值集合H1，利用算法EncF，得到客户机U1的初始软件白名单L1＝{<5ef3…a263,4590…ae98>,<5977…93b0,5632…66cf>}；然后，服务机将L1保存在本地日志中，并发给客户机U1。同理，服务机收到来自客户机U2发来的特征值集合H2，计算得到客户机U2的初始软件白名单L2＝{<845a…f480,e396…fe21>,<1805…257c,1132…11cf>}；然后，服务机将L2保存在本地日志中，并发给客户机U2。
S3、客户机接收初始软件白名单，将初始软件白名单存为本地软件白名单，对将要执行的软件检测其是否在本地软件白名单中；若在，则允许执行；否则，不允许执行。客户机U1接收来自服务机的初始软件白名单L1，形成本地软件白名单L1；然后利用HOOK技术拦截操作系统内核函数NtCreateSection，这时有一个软件准备加载运行，触发这个拦截操作；接着，通过函数NtCreateSection的ObjectAttributes参数获得将要加载的可执行模块的全路径名称ObjectName，ObjectName是D:\\a.exe，由于它是.exe结尾的文件，所以利用SHA1算法计算其所对应的可执行文件的特征值，得到特征值4573…ab23；最后，利用算法DecF，计算公式res＝DecF(4573…ab23)，由于这个特征值不在本地软件白名单中，所以res值为0，不允许该软件加载。同理，客户机U2接收来自服务机的初始软件白名单L2；然后利用HOOK技术拦截操作系统内核函数NtCreateSection，这时有一个软件准备加载运行，触发这个拦截操作；接着，通过函数NtCreateSection的ObjectAttributes参数获得将要加载的可执行模块的全路径名称ObjectName，ObjectName是C:\\3.exe，由于它是.exe结尾的文件，所以利用SHA1算法计算其所对应的可执行文件的特征值，得到特征值845a…f480；最后，利用算法DecF，计算公式res＝DecF(845a…f480)，由于这个特征值在本地软件白名单中，所以res值为1，允许该软件加载。
如图2所示，本发明实施例2
某用户申请在客户机U1添加新软件进入本地软件白名单。
S1、用户在客户机U1向服务机提交需要添加进白名单的软件sample1.exe及其软件类型：可直接执行软件类型。
S2、服务机收到申请及软件sample1.exe后，首先，利用SHA1算法计算得到软件sample1.exe的特征值3316…de05，然后判断软件类型为可直接执行软件类型；然后，利用算法EncF，计算公式l0＝EncF(h0)，得到软件白名单变化量L′1＝{<3316…de05,1109…887e>}；最后，将L′1记录到本地日志中，并发送给客户机U1。
S3、客户机U1收到软件白名单变化量L′1，将其添加进本地软件白名单L1中；然后用户可以在客户机U1使用软件sample1.exe。
如图3所示，本发明实施例3
用户申请在客户机U2上将某软件从本地软件白名单中移除。
S1、客户机U2向服务机提交需要从本地软件白名单中移除的软件sample2.exe的特征值673e…acd3。
S2、服务端收到申请和软件sample2.exe的特征值673e…acd3后，通过查询日志得到其所对应的软件白名单变化量L′2＝{<673e…acd3,7732…1290>}，然后将L′2发送给客户机U2。
S3、客户机U2收到L′2后，将同时属于L′2和本地软件白名单L2的软件白名单元素值从L2中删除(即<673e…acd3,7732…1290>)；然后软件sample2.exe就不可以在客户机U2上使用了。
虽然结合附图描述了本发明的实施方式，但是本领域技术人员可以在不脱离本发明的精神和范围的情况下做出各种修改和变型，这样的修改和变型均落入由所附权利要求所限定的范围之内。
本发明说明书中未作详细描述的内容属本领域技术人员的公知技术。

Claims (8)

1.一种基于白名单机制的软件运行统一控制系统，其特征在于：包括客户机和服务机；所述客户机和服务机处于同一个局域网中，所述客户机包括若干个；
所述客户机向服务机发送本地软件清单和指令信息；所述指令信息包括在客户机添加新软件进入本地软件白名单的添加申请指令以及在客户机上将某软件从本地软件白名单中移除的移除申请指令；接收服务机发送的初始软件白名单和软件白名单变化量，根据软件白名单变化量更新本地软件白名单，并根据本地软件白名单控制本机软件运行；
所述服务机接收客户机发送的本地软件清单和指令信息，根据所述本地软件清单计算初始软件白名单，根据所述和指令信息计算软件白名单变化量，并将初始软件白名单和软件白名单变化量通过局域网发送给对应客户机；
所述服务机根据客户机的本机软件清单计算生成初始软件白名单的方法为：
服务机根据接收的客户机Ui的特征值集合Hi，即客户机Ui的本机软件清单，利用EncF算法计算得到客户机的初始软件白名单Li＝{li1,li2,…,lik,…,lin}，其中元素lik为软件白名单元素值，具体为代表第k个可执行文件的特征值及特征值的签名值所组成的二元组；
服务机将客户机的初始软件白名单Li保存在本地日志中，并发给对应客户机；
所述EncF算法的方法为：输入软件特征值hx，利用RSA加密算法和一个公私钥对key＝<kpri,kpub>的私钥kpri，对hx进行签名操作，得到签名值rx，进而得到lx＝<hx,rx>，输出软件白名单元素lx；各个软件白名单元素构成软件白名单。
2.根据权利要求1所述的一种基于白名单机制的软件运行统一控制系统实现的基于白名单机制的软件运行统一控制方法，其特征在于，包括如下步骤：
客户机上运行软件前，生成本机软件清单，将本机软件清单发送至服务机；
服务机根据客户机的本机软件清单计算生成初始软件白名单，将初始软件白名单发送至客户机；
客户机接收初始软件白名单，将初始软件白名单存为本地软件白名单，对将要执行的软件检测其是否在本地软件白名单中；若在，则允许执行；否则，不允许执行；
所述服务机根据客户机的本机软件清单计算生成初始软件白名单的方法为：
服务机根据接收的客户机Ui的特征值集合Hi，即客户机Ui的本机软件清单，利用EncF算法计算得到客户机的初始软件白名单Li＝{li1,li2,…,lik,…,lin}，其中元素lik为软件白名单元素值，具体为代表第k个可执行文件的特征值及特征值的签名值所组成的二元组；
服务机将客户机的初始软件白名单Li保存在本地日志中，并发给对应客户机；
所述EncF算法的方法为：输入软件特征值hx，利用RSA加密算法和一个公私钥对key＝<kpri,kpub>的私钥kpri，对hx进行签名操作，得到签名值rx，进而得到lx＝<hx,rx>，输出软件白名单元素lx；各个软件白名单元素构成软件白名单。
3.根据权利要求2所述的基于白名单机制的软件运行统一控制方法，其特征在于，所述生成本机软件清单的方法为：遍历客户机Ui中所有的可执行文件，得到所有可执行文件的路径集合Pi＝{pi1,pi2,…,pik,…,pin}，其中pik为单个可执行文件的路径；然后使用SHA1算法计算集合Pi中每个元素所对应的可执行文件的特征值，得到可执行文件的特征值集合Hi＝{hi1,hi2,…,hik,…,hin}作为本机软件清单。
4.根据权利要求2所述的基于白名单机制的软件运行统一控制方法，其特征在于，所述对将要执行的软件检测其是否在本地软件白名单中的方法为：
将要执行的软件运行前，客户机使用HOOK方法拦截本机操作系统内核函数NtCreateSection
通过函数NtCreateSection的ObjectAttributes参数获得将要加载的可执行模块的全路径名称ObjectName，判断ObjectName字符串是否以.exe或.msi结尾；如果不是则允许其加载；如果是，则利用SHA1算法计算ObjectName所对应的可执行文件的特征值，得到特征值hx；利用DecF算法，计算res＝DecF(hx)；如果res为0，则不允许该软件加载；如果res为1，则允许其加载。
5.根据权利要求2所述的基于白名单机制的软件运行统一控制方法，其特征在于，还包括根据添加申请指令在客户机本地软件白名单中添加软件的如下步骤：
S61，用户在客户机Ui向服务机发送添加申请指令、需要添加进白名单的软件本体A及其软件类型；所述软件本体包括软件安装包和可直接执行的软件文件；所述软件类型包括软件安装包类型和可直接执行软件类型；
S62，服务机接收到添加申请指令、软件本体A及其软件类型后，利用SHA1算法计算软件本体A的特征值hi0；
S63，判断软件本体A的软件类型；如果是软件安装包类型，则转到S64；如果是可直接执行软件类型，则利用EncF算法，计算l0＝EncF(h0)，得到软件白名单变化量L′i＝li0，将软件白名单变化量L′i记录到客户端本地日志中，并发送给客户机Ui，转到S65；
S64，在客户机上安装软件A，并计算软件A及其安装过程中所释放的所有可执行文件的软件白名单元素值，构成软件白名单变化量，转到S65；
S65，客户机Ui将软件白名单变化量添加进本地软件白名单Li中，完成在客户机本地软件白名单中添加软件。
6.根据权利要求5所述的基于白名单机制的软件运行统一控制方法，其特征在于，所述计算软件A及其安装过程中所释放的所有可执行文件的软件白名单元素值的方法为：
软件A在安装过程中释放文件时，利用HOOK方法拦截操作系统内核函数NtCreateFile；
通过函数NtCreateFile的ObjectAttributes参数获得创建文件的全路径名称ObjectName，判断ObjectName字符串是否以.exe或.msi结尾；如果不是则继续；如果是，则利用SHA1算法计算并记录ObjectName所对应的可执行文件的特征值，直到软件A安装完成，得到软件A安装所释放的所有可执行文件特征值，与软件A的特征值hi0一起，形成集合H′i＝{hi0,h′i1,h′i2,…,h′ik,…,h′in}；利用算法EncF，计算公式L’i＝EncF(H’i)，得到软件白名单变化量L′i＝{li0,l′i1,l′i2,…,l′ik,…,l′in}，记录到客户机Ui本地日志中，并发送给客户机Ui。
7.根据权利要求5所述的基于白名单机制的软件运行统一控制方法，其特征在于，还包括根据移除申请指令在客户机本地软件白名单中删除软件的如下步骤：
客户机Ui根据SHA1算法计算需要从白名单中删除的软件本体A的特征值hi0，连同移除申请指令，发送至服务机；
服务机接收移除申请指令和软件本体A的特征值hi0后，通过查询日志得到其所对应的软件白名单变化量L′i，然后将L′i发送给客户机Ui；
客户机Ui收到L′i后，将同时属于L′i和本地软件白名单Li的软件白名单元素从Li中删除，完成在客户机本地软件白名单中删除软件。
8.根据权利要求4所述的基于白名单机制的软件运行统一控制方法，其特征在于，DecF算法的方法为：输入软件特征值hx，在本地软件白名单L中搜索是否存在lk＝<hk,rk>使得hx＝hk，如果不存在则输出0，如果存在则利用RSA加密算法和公私钥对key＝<kpri,kpub>的公钥kpub，对rk进行验证，得到验证值h′k，如果h′k＝hk，输出1，否则输出0。
CN201911013565.2A 2019-10-23 2019-10-23 一种基于白名单机制的软件运行统一控制系统及方法 Active CN110889112B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201911013565.2A CN110889112B (zh) 2019-10-23 2019-10-23 一种基于白名单机制的软件运行统一控制系统及方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201911013565.2A CN110889112B (zh) 2019-10-23 2019-10-23 一种基于白名单机制的软件运行统一控制系统及方法

Publications (2)

Publication Number Publication Date
CN110889112A CN110889112A (zh) 2020-03-17
CN110889112B true CN110889112B (zh) 2022-03-04

Family

ID=69746414

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201911013565.2A Active CN110889112B (zh) 2019-10-23 2019-10-23 一种基于白名单机制的软件运行统一控制系统及方法

Country Status (1)

Country Link
CN (1) CN110889112B (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112069137B (zh) * 2020-09-02 2024-05-17 阿波罗智联(北京)科技有限公司 生成信息的方法、装置、电子设备及计算机可读存储介质
CN112565256A (zh) * 2020-12-05 2021-03-26 星极实业(深圳)有限公司 一种可实时拦截及报警的工业控制系统入侵检测系统

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102646173A (zh) * 2012-02-29 2012-08-22 成都新云软件有限公司 基于黑白名单的安全防护控制方法及系统
CN104380302A (zh) * 2012-06-07 2015-02-25 迈可菲公司 评估是阻止还是允许软件应用的安装
CN107480518A (zh) * 2016-06-07 2017-12-15 华为终端（东莞）有限公司 一种白名单更新方法和装置
CN107944232A (zh) * 2017-12-08 2018-04-20 郑州云海信息技术有限公司 一种基于白名单技术的主动防御系统的设计方法及系统
CN109471800A (zh) * 2018-10-31 2019-03-15 中国航天系统科学与工程研究院 一种基于Windows操作系统的软件无限断点设置方法
CN109711144A (zh) * 2018-12-24 2019-05-03 广州微算互联信息技术有限公司 云手机应用黑、白名单的管理方法

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP5557623B2 (ja) * 2010-06-30 2014-07-23 三菱電機株式会社 感染検査システム及び感染検査方法及び記録媒体及びプログラム
US10104107B2 (en) * 2015-05-11 2018-10-16 Qualcomm Incorporated Methods and systems for behavior-specific actuation for real-time whitelisting
CN105138901B (zh) * 2015-08-03 2018-03-13 浪潮电子信息产业股份有限公司 一种基于白名单的云主机主动防御实现方法

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102646173A (zh) * 2012-02-29 2012-08-22 成都新云软件有限公司 基于黑白名单的安全防护控制方法及系统
CN104380302A (zh) * 2012-06-07 2015-02-25 迈可菲公司 评估是阻止还是允许软件应用的安装
CN107480518A (zh) * 2016-06-07 2017-12-15 华为终端（东莞）有限公司 一种白名单更新方法和装置
CN107944232A (zh) * 2017-12-08 2018-04-20 郑州云海信息技术有限公司 一种基于白名单技术的主动防御系统的设计方法及系统
CN109471800A (zh) * 2018-10-31 2019-03-15 中国航天系统科学与工程研究院 一种基于Windows操作系统的软件无限断点设置方法
CN109711144A (zh) * 2018-12-24 2019-05-03 广州微算互联信息技术有限公司 云手机应用黑、白名单的管理方法

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
Schneier on Security;佚名;《网页在线公开：https://www.schneier.com/blog/archives/2011/01/whitelisting_vs.html》;20110128;第1-11页 *
集中统一的可信计算平台管理模型研究及其应用;黄强等;《信息网络安全》;20170527(第4期);第9-14页 *

Also Published As

Publication number Publication date
CN110889112A (zh) 2020-03-17

Similar Documents

Publication Publication Date Title
US11637855B2 (en) Systems and methods for managing cyber vulnerabilities
US11340890B2 (en) Integrity assurance and rebootless updating during runtime
EP2860657B1 (en) Determining a security status of potentially malicious files
US9015829B2 (en) Preventing and responding to disabling of malware protection software
US8291493B2 (en) Windows registry modification verification
JP2016507124A (ja) 仮想化環境においてアプリケーション及びデバイスを制御する方法並びに技術
CN110598434A (zh) 基于区块链网络的房屋信息处理方法、装置、电子设备及存储介质
US11533182B2 (en) Identity-based security platform and methods
CN110889112B (zh) 一种基于白名单机制的软件运行统一控制系统及方法
CN105760787A (zh) 用于检测随机存取存储器中的恶意代码的系统及方法
JP2014096142A (ja) 情報処理装置、情報処理システムおよび情報処理方法
CN115904605A (zh) 软件防御方法以及相关设备
Joshi et al. Signature-less ransomware detection and mitigation
RU2708355C1 (ru) Способ обнаружения вредоносных файлов, противодействующих анализу в изолированной среде
US20220188408A1 (en) Software Build System Protection Engine
JP6253333B2 (ja) 情報処理装置、情報処理システムおよび情報処理方法
WO2020161780A1 (ja) 行動計画推定装置、行動計画推定方法、及びコンピュータ読み取り可能な記録媒体
Kumar et al. Debugging using MD5 process firewall
JP2019008568A (ja) ホワイトリスト管理システムおよびホワイトリスト管理方法
KR102260404B1 (ko) 물리 머신을 이용한 악성 코드 탐지 방법 및 악성 코드 탐지 시스템
WO2022229731A1 (en) Systems and methods for side scanning

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant