CN111581646B - 数据处理方法、装置、存储介质和处理器 - Google Patents

Abstract

本发明公开了一种数据处理方法、装置、存储介质和处理器。其中，该方法包括：确定目标操作的第一度量对象和第二度量对象，其中，第一度量对象和第二度量对象相关联；对第一度量对象进行静态度量，得到第一度量结果，且对第二度量对象进行动态度量，得到第二度量结果；基于第一度量结果和第二度量结果执行目标操作。本发明解决了无法全面地对操作中的数据进行度量的技术问题。

Description

数据处理方法、装置、存储介质和处理器

技术领域

本发明涉及数据处理领域，具体而言，涉及一种数据处理方法、装置、存储介质和处理器。

背景技术

目前，对数据的度量包括静态度量和动态度量。但是，静态度量和动态度量各有局限性，无法实现对数据进行全面度量，比如，静态度量无法对相关的系统环境进行度量，这会导致登录程序合法，但登录环境已经被破坏导致不可信，用户登录时会被窃取用户名以及密码；另外，静态度量无法在可执行代码运行过程中对其进行检查。而动态度量为定时度量，无法作到实时度量，也无法做到控制拦截，从而存在无法全面地对操作中的数据进行度量的技术问题。

针对上述现有技术无法全面地对操作中的数据进行度量的问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例提供了一种数据处理方法、装置、存储介质和处理器，以至少解决无法全面地对操作中的数据进行度量的技术问题。

根据本发明实施例的一个方面，提供了一种数据处理方法。该方法可以包括：确定目标操作的第一度量对象和第二度量对象，其中，第一度量对象和第二度量对象相关联；对第一度量对象进行静态度量，得到第一度量结果，且对第二度量对象进行动态度量，得到第二度量结果；基于第一度量结果和第二度量结果执行目标操作。

可选地，确定目标操作的第一度量对象和第二度量对象，包括：在目标操作中的度量对象的类型为第一类型的情况下，将度量对象确定为第一度量对象，其中，第一类型包括以下至少之一：可执行代码，脚本文件，动态链接库，内核模块；在目标操作中的度量对象的类型为第二类型的情况下，将度量对象确定为第二度量对象，其中，第二类型包括以下至少之一：内核数据结构、内核跳转表，内核执行代码段。

可选地，确定目标操作的第一度量对象和第二度量对象，包括：当目标操作中的度量对象执行时，将度量对象确定为第一度量对象，将与度量对象相关联的系统环境确定为第二度量对象。

可选地，当目标操作中的度量对象执行时，将度量对象确定为第一度量对象，包括：当目标操作中的可执行代码执行时，将目标操作的目标程序和动态链接库确定为第一度量对象。

可选地，将与度量对象相关联的系统环境确定为第二度量对象，包括：确定与目标操作的目标程序相关联的系统调用环境，其中，系统调用环境包括以下至少之一：调用第一系统打开目标文件的环境，调用第二系统读取输入操作的环境；将系统调用环境确定为第二度量对象。

可选地，确定目标操作的第二度量对象，包括：当目标操作中的可执行代码在运行过程中时，将可执行代码确定为第二度量对象，其中，可执行代码为目标远程服务的代码。

可选地，对以下至少之一第二度量对象进行动态度量，得到第二度量结果：进程代码段，内核代码段，系统调用表，中断描述符表，网络地址族或协议族，文件系统，驱动代码段。

可选地，对第一度量对象进行静态度量，得到第一度量结果，包括：基于第二度量结果对第一度量对象进行静态度量，得到第一度量结果。

可选地，基于第二度量结果对第一度量对象进行静态度量，得到第一度量结果，包括：基于第二度量结果对程序文件、动态库文件、键盘驱动中至少之一验证拦截程序加载的合法性，和/或，基于第二度量结果对配置文件验证拦截文件访问的合法性，得到第一度量结果。

根据本发明实施例的另一方面，还提供了一种数据处理装置。该装置可以包括：确定单元，用于确定目标操作的第一度量对象和第二度量对象，其中，第一度量对象和第二度量对象相关联；度量单元，用于对第一度量对象进行静态度量，得到第一度量结果，且对第二度量对象进行动态度量，得到第二度量结果；执行单元，用于基于第一度量结果和第二度量结果执行目标操作。

根据本发明实施例的另一方面，还提供了一种存储介质。该存储介质包括存储的程序，其中，在程序被处理器运行时控制存储介质所在设备执行本发明实施例的数据处理方法。

根据本发明实施例的另一方面，还提供了一种处理器。该处理器用于运行程序，其中，程序运行时执行本发明实施例的数据处理方法。

本发明实施例的数据处理方法，通过确定目标操作的第一度量对象和第二度量对象，其中，第一度量对象和第二度量对象相关联；对第一度量对象进行静态度量，得到第一度量结果，且对第二度量对象进行动态度量，得到第二度量结果；基于第一度量结果和第二度量结果执行目标操作。也就是说，本申请将静态度量和动态度量进行结合，补足各自缺陷，实现了一种可信协同机制，避免单一使用一种度量导致无法对操作中的数据进行全面度量，解决了无法全面地对操作中的数据进行度量的技术问题，达到了全面地对操作中的数据进行度量的技术效果。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明实施例的一种数据处理方法的流程图；

图2是根据本发明实施例的一种可信系统机制的示意图；以及

图3是根据本发明实施例的一种数据处理装置的示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

实施例1

根据本发明实施例，提供了一种数据处理方法的实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

图1是根据本发明实施例的一种数据处理方法的流程图。如图1所示，该数据处理方法可以包括以下步骤：

步骤S102，确定目标操作的第一度量对象和第二度量对象，其中，第一度量对象和第二度量对象相关联。

在本发明上述步骤S102提供的技术方案中，目标操作为需要进行验证的操作，比如，为用户登录操作。确定目标操作的第一度量对象和第二度量对象。其中，第一度量对象为需要进行静态度量的对象，可以包括二进制可执行程序(比如，linux系统的ELF格式的程序)、脚本文件、动态链接库(比如，pam库等)和内核模块等；第二对象为需要进行动态度量的对象，可以包括内核数据结构、内核跳转表、内核执行代码段等，其中，内核数据结构也即内核关键数据结构，可以进一步包括网络地址族或协议族，文件系统关键结构等，其中，网络地址族或协议族可以与远程安全(Secure Shell，简称为SSH)登录相关网络协议有关；内核跳转表也即内核关键跳转表，可以包括中断描述符表(Interrupt Descriptor Table，简称为IDT)，系统调用表(syscall)等，其中，系统调用表可以与Open系统调用打开程序文件和读(Read)系统调用读取用户名/密码有关；内核执行代码段也即内核关键执行代码段，可以包括进程代码段、驱动代码段、内核代码段等，其中，进程代码段可以与登录(Login)进程代码段有关。

该实施例的第一度量对象和第二度量对象具有关联关系，该关联关系可以是在通过对第一度量对象进行静态度量而无法实现全面度量时，可以通过对第二度量对象进行动态度量，以达到度量互补的目的，比如，第一度量对象为执行时的可执行代码，则第二度量对象为与其相关联的系统环境；再比如，在SSH服务启动时，SSH服务可以为第一度量对象，而在SSH服务运行过程中，其可以为第二度量对象。

步骤S104，对第一度量对象进行静态度量，得到第一度量结果，且对第二度量对象进行动态度量，得到第二度量结果。

在本发明上述步骤S104提供的技术方案中，在确定目标操作的第一度量对象和第二度量对象之后，对第一度量对象进行静态度量，得到第一度量结果，且对第二度量对象进行动态度量，得到第二度量结果。

在该实施例中，对第一度量对象进行静态度量，得到第一度量结果，也即，对第一度量对象使用静态度量功能，该静态度量功能是用于阻止未经许可的代码执行，是系统运行时可信最重要的功能。采用静态度量的技术方案可以遵循可信软件基整体方案，并且可以采用度量、判定、控制机制等来完成静态度量功能。

在该实施例中，对第二度量对象进行动态度量，得到第二度量结果，也即，对第二度量对象使用动态度量功能，该动态度量功能是针对不同的度量对象，选择合适的度量时机，且采用合理的度量方法，对系统中的度量对象的运行状况进行度量的，是监控系统运行状态、分析系统可信性的关键。

该实施例将静态度量与动态度量有机结合，补足各自缺陷，不能进行静态度量的数据，可以进行动态度量，而不能进行动态度量的数据，可以进行静态度量，从而保证对数据度量的全面性，从而提高数据的安全性。

步骤S106，基于第一度量结果和第二度量结果执行目标操作。

在本发明上述步骤S106提供的技术方案中，在对第一度量对象进行静态度量，得到第一度量结果，且对第二度量对象进行动态度量，得到第二度量结果之后，可以基于第一度量结果和第二度量结果执行目标操作。

在该实施例中，该实施例可以通过第一度量结果和第二度量结果确定目标操作是否合法，可以在目标操作合法的情况下，执行目标操作，比如，执行登录操作。

本申请通过上述步骤S102至步骤S106，确定目标操作的第一度量对象和第二度量对象，其中，第一度量对象和第二度量对象相关联；对第一度量对象进行静态度量，得到第一度量结果，且对第二度量对象进行动态度量，得到第二度量结果；基于第一度量结果和第二度量结果执行目标操作。也就是说，该实施例将静态度量和动态度量进行结合，补足各自缺陷，实现了一种可信协同机制，避免单一使用一种度量导致无法对操作中的数据进行全面度量，解决了无法全面地对操作中的数据进行度量的技术问题，达到了全面地对操作中的数据进行度量的技术效果。

下面对该实施例的上述方法进行进一步介绍。

作为一种可选的实施方式，步骤S102，确定目标操作的第一度量对象和第二度量对象，包括：在目标操作中的度量对象的类型为第一类型的情况下，将度量对象确定为第一度量对象，其中，第一类型包括以下至少之一：可执行代码，脚本文件，动态链接库，内核模块；在目标操作中的度量对象的类型为第二类型的情况下，将度量对象确定为第二度量对象，其中，第二类型包括以下至少之一：内核数据结构、内核跳转表，内核执行代码段。

在该实施例中，在实现确定目标操作的第一度量对象和第二度量对象时，可以判断目标操作中涉及的度量对象的类型是否为第一类型，该第一类型为针对第一度量对象预先设定的类型，比如，为可执行代码，脚本文件，动态链接库，内核模块。如果判断出目标操作中的度量对象的类型为第一类型，则可以将度量对象确定为第一度量对象。

可选地，该实施例还可以判断目标操作中的度量对象的类型是否为第二类型，该第二类型为针对第二度量对象预先设定的类型，可以为内核数据结构(比如，网络地址族/协议族，文件系统关键结构等)、内核跳转表(比如，idt中断描述符表，syscall系统调用表等)，内核执行代码段(比如，进程代码段、驱动代码段、内核代码段等)等。如果判断出目标操作中的度量对象的类型为第二类型，则可以将度量对象确定为第二度量对象。

作为一种可选的实施方式，步骤S102，确定目标操作的第一度量对象和第二度量对象，包括：当目标操作中的度量对象执行时，将度量对象确定为第一度量对象，将与度量对象相关联的系统环境确定为第二度量对象。

在该实施例中，在实现确定目标操作的第一度量对象和第二度量对象时，当目标操作中的度量对象执行时，则将目标操作中的度量对象确定为第一度量对象，也即，静态度量只有在上述第一度量对象执行时检查其是否合法，而无法对与其相关的系统环境进行度量，则将与第一度量对象相关联的系统环境确定为第二度量对象，可以对其进行动态度量。

作为一种可选的实施方式，当目标操作中的度量对象执行时，将度量对象确定为第一度量对象，包括：当目标操作中的可执行代码执行时，将可执行代码确定为第一度量对象，可以是将目标操作的目标程序和动态链接库确定为需要进行静态度量的第一度量对象。

在该实施例中，目标操作中的度量对象可以为可执行代码，静态度量只有在可执行代码执行时检查其是否合法，该实施例可以将可执行代码确定为第一度量对象。

可选地，当目标操作为用户登录操作时，启动目标程序，该目标程序也即登录(login)程序，静态度量只能做到度量login程序以及相关的动态链接库是否合法，可以将login程序以及相关的动态链接库确定为第一度量对象。

作为一种可选的实施方式，将与度量对象相关联的系统环境确定为第二度量对象，包括：确定与可执行代码相关联的系统调用环境，可以是确定与目标操作的目标程序相关联的系统调用环境，其中，系统调用环境包括以下至少之一：调用第一系统打开目标文件的环境，调用第二系统读取输入操作的环境；将系统调用环境确定为第二度量对象。

在该实施例中，静态度量只有在可执行代码执行时检查其是否合法，而无法对与其相关的系统环境进行度量，这会导致虽然程序合法，但环境已经被破坏导致不可信，会被窃取信息，比如，目标操作为用户登录操作，这会导致虽然录程序合法，但登录环境已经被破坏导致不可信，用户登录时会被窃取用户名以及密码，而该实施例可以确定与执行代码相关联的系统调用环境，该系统调用环境可以由系统调用表来实现，进而将系统调用环境确定为需要进行动态度量的第二度量对象，从而避免环境被破坏导致不可信，被窃取信息的问题。

在该实施例中，静态度量只能做到度量目标程序以及相关的动态链接库是否合法，而无法对与目标程序相关的系统调用环境进行度量。而该实施例可以确定与目标程序相关联的系统调用环境，进而将系统调用环境确定为第二度量对象。

在该实施例中，系统调用环境可以是调用第一系统打开目标文件的环境，比如，第一系统为open系统，目标文件为passwd文件，也即，调用open系统用来打开passwd文件；该实施例的系统调用环境还可以是调用第二系统读取输入操作的环境，比如，第二系统为读(read)系统，输入操作为键盘输入等，也即，调用读(read)系统用来读取键盘输入等。

作为一种可选的实施方式，确定目标操作的第二度量对象，包括：当度量对象在运行过程中，将度量对象确定为第二度量对象，可以是当目标操作中的可执行代码在运行过程中时，将可执行代码确定为第二度量对象，其中，可执行代码为目标远程服务的代码。

在该实施例中，当目标操作中的度量对象在运行过程中时，静态度量无法对其进行检查，从而度量对象在运行过程中是否被篡改，通过静态度量是无法验证的，可以将其确定为需要进行动态度量的第二度量对象。

在该实施例中，当目标操作中的可执行代码在运行过程中时，静态度量无法在可执行代码运行过程中对其进行检查，从而可执行代码在运行过程中是否被篡改，通过静态度量是无法验证的，可以将运行过程中的可执行代码确定为需要进行动态度量的第二度量对象。

在该实施例中，当目标操作中的可执行代码在运行过程中时，将可执行代码确定为第二度量对象，可执行代码可以为目标远程服务的代码，该目标远程服务可以是SSH服务，在启动时静态度量会验证其是否合法，但SSH服务在运行过程中是否被篡改静态度量是无法验证的，从而将其确定为需要进行动态度量的第二度量对象。

作为一种可选的实施方式，对以下至少之一第二度量对象进行动态度量，得到第二度量结果：进程代码段，内核代码段，系统调用表，中断描述符表，网络地址族或协议族，文件系统，驱动代码段。

在该实施例中，在实现对第二度量对象进行动态度量时，可以是对通过Login进程代码段确定的进程代码段进行动态度量，也可以是对内核代码段进行动态度量，也可以使对由Open系统调用打开程序文件、Read系统调用读取用户名/密码确定的系统调用表进行动态度量，也可以是对中断描述符进行动态度量，也可以是对通过远程SSH登录相关网络协议确定的网络地址族/协议族进行动态度量，也可以是对文件系统进行动态度量，也可以是对由鼠标/键盘驱动代码段、网卡驱动代码段确定的驱动代码段进行动态度量，从而得到第二度量结果。

作为一种可选的实施方式，对第一度量对象进行静态度量，得到第一度量结果，包括：基于第二度量结果对第一度量对象进行静态度量，得到第一度量结果。其中，基于第二度量结果对程序文件、动态库文件、键盘驱动中至少之一验证拦截程序加载的合法性，和/或，基于第二度量结果对配置文件验证拦截文件访问的合法性，得到第一度量结果。

在该实施例中，在实现对第一度量对象进行静态度量，得到第一度量结果时，可以是基于第二度量结果对第一度量对象进行静态度量，可以是在Login程序执行后，在加载程序文件、加载动态库文件(比如，pam库等)、键盘驱动加载中至少之一时，进行验证拦截程序加载的合法性。

在对第二度量对象进行动态度量，得到第二度量结果之后，该实施例还可以针对读取配置文件(比如，passwd文件验证用户名密码)进行静态度量，可以是验证拦截文件访问的合法性，其中，读取配置文件可以是在读取用户名/密码之后所执行的步骤。

该实施例将静态度量和动态度量进行结合，补足各自缺陷，可以避免静态度量只有在可执行代码执行时检查其是否合法，而无法对与其相关的当前系统环境进行度量，也可以避免静态度量无法在可执行代码运行过程中对其进行检查，动态度量无法在系统环境受破坏时及时度量以及无法做到控制拦截，从而实现了一种可信协同机制，避免单一使用一种度量导致无法对操作中的数据进行全面度量，解决了无法全面地对操作中的数据进行度量的技术问题，达到了全面地对操作中的数据进行度量的技术效果。

实施例2

下面结合优选的实施方式对本发明实施例的数据处理方法进行进一步举例说明。

在该实施例中，静态度量功能，是用于阻止未经许可的代码执行，是系统运行时可信最重要的功能。静态度量的技术方案遵循可信软件基整体方案，可以采用度量、判定、控制机制完成静态度量功能；该实施例的静态度量的对象可以包括二进制可执行程序(linux系统ELF格式的程序)，脚本文件，动态链接库和内核模块等。

在该实施例中，动态度量功能，是针对不同的度量对象，选择合适的度量时机，采用合理的度量方法，对系统中的度量对象的运行状况进行度量。动态度量是监控系统运行状态、分析系统可信性的关键。该实施例的动态度量对象可以分为三大类，可以包括内核关键数据结构(比如，网络地址族/协议族，文件系统关键结构等)、内核关键跳转表(比如，idt中断描述符表，syscall系统调用表等)、内核关键执行代码段(比如，进程代码段、驱动代码段、内核代码段等)。

当使用静态度量时，静态度量只有在可执行代码执行时检查其是否合法，而无法对与其相关的当前系统环境进行度量，比如，在进行用户登录操作时，启动login程序，但是静态度量只能做到度量login程序以及相关的动态链接库是否合法，而无法对与login相关的系统环境进行度量，其中，与login相关的系统环境可以是open系统调用用来打开passwd文件，read系统调用用来读取键盘输入等，虽然登录程序合法，但是会导致登录环境已经被破坏导致不可信，用户登录时会被窃取用户名以及密码；另外，静态度量无法在可执行代码运行过程中对其进行检查，比如，SSH服务在启动时静态度量会验证其是否合法，但是SSH服务在运行过程中是否被篡改静态度量是无法验证的。

当使用动态度量时，动态度量为定时度量，无法作到实时度量，也即，动态度量无法在系统环境受破坏时及时度量；另外，动态度量也无法做到控制拦截。

该实施例将静态度量和动态度量进行结合，补足各自缺陷。下面以用户登录操作对该实施例的可信系统机制进行举例介绍。

图2是根据本发明实施例的一种可信系统机制的示意图。如图2所示，该种可信系统机制涉及以下步骤：

步骤S201，Login程序执行。

步骤S202，加载程序文件。

步骤S203，加载动态库文件。

该实施例的动态库文件可以我pam库等。

步骤S204，键盘驱动加载。

步骤S205，读取用户名/密码。

步骤S206，读取配置文件。

该实施例的读取配置文件可以是读取如passwd文件验证用户名密码。

步骤S207，Login进程代码段。

步骤S208，确定进程代码段。

步骤S209，确定内核代码段。

步骤S210，Open系统调用打开程序文件。

步骤S211，Read系统调用读取用户名/密码。

步骤S212，确定系统调用表。

步骤S213，确定中断描述符。

步骤S214，远程SSH登录相关网络协议。

步骤S215，确定网络地址族/协议族。

步骤S216，确定文件系统。

步骤S217，鼠标/键盘驱动代码段、网卡驱动代码段。

步骤S218，确定驱动代码段。

步骤S219，进行动态度量。

该实施例对以下至少之一进行动态度量：进程代码段，内核代码段，系统调用表，中断描述符表，网络地址族或协议族，文件系统，驱动代码段。

步骤S220，验证拦截程序加载的合法性。

该实施例对程序文件、动态库文件、键盘驱动中至少之一验证拦截程序加载的合法性，以实现静态度量

步骤S221，验证拦截文件访问的合法性。

该实施例对配置文件验证拦截文件访问的合法性，以实现静态度量。

该实施例将静态度量和动态度量进行结合，补足各自缺陷，可以避免静态度量只有在可执行代码执行时检查其是否合法，而无法对与其相关的当前系统环境进行度量，也可以避免静态度量无法在可执行代码运行过程中对其进行检查，动态度量无法在系统环境受破坏时及时度量以及无法做到控制拦截，从而实现了一种可信协同机制，避免单一使用一种度量导致无法对操作中的数据进行全面度量，解决了无法全面地对操作中的数据进行度量的技术问题，进而达到了全面地对操作中的数据进行度量的技术效果。

实施例3

本发明实施例还提供了一种数据处理装置。需要说明的是，该实施例的数据处理装置可以用于执行本发明实施例1所述的数据处理方法。

图3是根据本发明实施例的一种数据处理装置的示意图。如图3所示，该数据处理装置30可以包括：确定单元31、度量单元32和执行单元33。

确定单元31，用于确定目标操作的第一度量对象和第二度量对象，其中，第一度量对象和第二度量对象相关联。

度量单元32，用于对第一度量对象进行静态度量，得到第一度量结果，且对第二度量对象进行动态度量，得到第二度量结果。

执行单元33，用于基于第一度量结果和第二度量结果执行目标操作。

该实施例的上述数据处理装置，将静态度量和动态度量进行结合，补足各自缺陷，实现了一种可信协同机制，避免单一使用一种度量导致无法对操作中的数据进行全面度量，解决了无法全面地对操作中的数据进行度量的技术问题，达到了全面地对操作中的数据进行度量的技术效果。

实施例4

根据本发明实施例，还提供了一种存储介质，该存储介质包括存储的程序，其中，所述程序被处理器执行实施例1中所述的数据处理方法。

实施例5

根据本发明实施例，还提供了一种处理器，该处理器用于运行程序，其中，所述程序运行时执行实施例1中所述的数据处理方法。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

在本发明的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，可以为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (9)

1.一种数据处理方法，其特征在于，包括：

确定目标操作的第一度量对象和第二度量对象，其中，所述第一度量对象和所述第二度量对象相关联；

对所述第一度量对象进行静态度量，得到第一度量结果，且对所述第二度量对象进行动态度量，得到第二度量结果；

基于所述第一度量结果和所述第二度量结果执行所述目标操作，其中，目标操作为需要进行验证的操作；

其中，确定目标操作的第一度量对象，包括：当所述目标操作中的可执行代码执行时，将所述目标操作的目标程序和动态链接库确定为所述第一度量对象。

2.根据权利要求1所述的方法，其特征在于，确定目标操作的第一度量对象和第二度量对象，包括：

在所述目标操作中的度量对象的类型为第一类型的情况下，将所述度量对象确定为所述第一度量对象，其中，所述第一类型包括以下至少之一：可执行代码，脚本文件，动态链接库，内核模块；

在所述目标操作中的度量对象的类型为第二类型的情况下，将所述度量对象确定为所述第二度量对象，其中，所述第二类型包括以下至少之一：内核数据结构、内核跳转表，内核执行代码段。

3.根据权利要求1所述的方法，其特征在于，确定目标操作的第一度量对象和第二度量对象，包括：

当所述目标操作中的度量对象执行时，将所述度量对象确定为所述第一度量对象，将与所述度量对象相关联的系统环境确定为所述第二度量对象。

4.根据权利要求3所述的方法，其特征在于，将与所述度量对象相关联的系统环境确定为所述第二度量对象，包括：

确定与所述目标操作的目标程序相关联的系统调用环境，其中，所述系统调用环境包括以下至少之一：调用第一系统打开目标文件的环境，调用第二系统读取输入操作的环境；

将所述系统调用环境确定为所述第二度量对象。

5.根据权利要求3所述的方法，其特征在于，确定目标操作的第二度量对象，包括：

当所述目标操作中的可执行代码在运行过程中时，将所述可执行代码确定为所述第二度量对象，其中，所述可执行代码为目标远程服务的代码。

6.根据权利要求1至5中任意一项所述的方法，其特征在于，对以下至少之一所述第二度量对象进行动态度量，得到所述第二度量结果：进程代码段，内核代码段，系统调用表，中断描述符表，网络地址族或协议族，文件系统，驱动代码段。

7.一种数据处理装置，其特征在于，包括：

确定单元，用于确定目标操作的第一度量对象和第二度量对象，其中，所述第一度量对象和所述第二度量对象相关联，其中，确定目标操作的第一度量对象，包括：当所述目标操作中的可执行代码执行时，将所述目标操作的目标程序和动态链接库确定为所述第一度量对象；

度量单元，用于对所述第一度量对象进行静态度量，得到第一度量结果，且对所述第二度量对象进行动态度量，得到第二度量结果；

执行单元，用于基于所述第一度量结果和所述第二度量结果执行所述目标操作，其中，目标操作为需要进行验证的操作。

8.一种存储介质，其特征在于，所述存储介质包括存储的程序，其中，在所述程序被处理器运行时控制所述存储介质所在设备执行权利要求1至6中任意一项所述的方法。

9.一种处理器，其特征在于，所述处理器用于运行程序，其中，所述程序运行时执行权利要求1至6中任意一项所述的方法。