CN112395601B - 一种应用层内存访问的监控方法和装置 - Google Patents
一种应用层内存访问的监控方法和装置 Download PDFInfo
- Publication number
- CN112395601B CN112395601B CN201910755841.6A CN201910755841A CN112395601B CN 112395601 B CN112395601 B CN 112395601B CN 201910755841 A CN201910755841 A CN 201910755841A CN 112395601 B CN112395601 B CN 112395601B
- Authority
- CN
- China
- Prior art keywords
- application layer
- access
- access event
- abnormal
- attribute
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000000034 method Methods 0.000 title claims abstract description 228
- 238000012544 monitoring process Methods 0.000 title claims abstract description 73
- 230000008569 process Effects 0.000 claims abstract description 177
- 230000002159 abnormal effect Effects 0.000 claims abstract description 73
- 238000004590 computer program Methods 0.000 claims description 13
- 230000005856 abnormality Effects 0.000 claims description 11
- 230000006399 behavior Effects 0.000 abstract description 9
- 230000007246 mechanism Effects 0.000 abstract description 6
- 230000001066 destructive effect Effects 0.000 abstract description 2
- 230000006378 damage Effects 0.000 description 3
- 230000006870 function Effects 0.000 description 3
- 238000012806 monitoring device Methods 0.000 description 3
- 238000010586 diagram Methods 0.000 description 2
- 230000003068 static effect Effects 0.000 description 2
- 238000005516 engineering process Methods 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 230000008439 repair process Effects 0.000 description 1
- 238000006467 substitution reaction Methods 0.000 description 1
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
- G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Software Systems (AREA)
- Theoretical Computer Science (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Physics & Mathematics (AREA)
- Health & Medical Sciences (AREA)
- General Health & Medical Sciences (AREA)
- Virology (AREA)
- Debugging And Monitoring (AREA)
- Storage Device Security (AREA)
Abstract
本发明公开了一种应用层内存访问的监控方法和装置、计算机存储介质及计算设备。该方法包括：对应用层的进程的内存页设置指定属性；基于设置的所述指定属性，监控所述应用层的进程的内存页的访问事件；当监控到所述访问事件时，确定所述访问事件是否异常；若确定所述访问事件异常，则对所述应用层的进程执行安全防护操作。本发明实施例可以达成对应用层关键内存区域的稳定监控机制，从而有效防止对应用层内存的未知攻击，并在攻击发生后的第一时间内限制攻击的扩大和破坏行为。
Description
技术领域
本发明涉及计算机技术领域，尤其是涉及到一种应用层内存访问的监控方法和装置、计算机存储介质及计算设备。
背景技术
黑客攻击都是基于漏洞，而漏洞又是必然存在，且呈逐年上涨趋势。针对已知漏洞的防护，可以依赖生产厂商的静态补丁，可较之完美地修复漏洞杜绝攻击行为发生，亦可使用安全厂商的动态补丁进行应急，也可以有效地填补漏洞。但对未知漏洞的防护，通过打补丁的技术手段显然已是力不从心，无论是生产厂商的静态补丁，还是安全公司的动态补丁，都是只针对已知漏洞所做的防护手段，对未知漏洞，是完全没有效果的。应用层的进程有独立的内存空间，并且随着内存压力可随时被交换至内存交换文件，针对应用层内存访问的监控存在非常多的不确定性，亟待解决这一技术问题。
发明内容
有鉴于此，本发明提供了一种应用层内存访问的监控方法和装置、计算机存储介质及计算设备，可以达成对应用层关键内存区域的稳定监控机制。
根据本发明的一方面，提供了一种应用层内存访问的监控方法，包括：
对应用层的进程的内存页设置指定属性；
基于设置的所述指定属性，监控所述应用层的进程的内存页的访问事件；
当监控到所述访问事件时，确定所述访问事件是否异常；
若确定所述访问事件异常，则对所述应用层的进程执行安全防护操作。
可选地，所述指定属性包括Guard Page属性。
可选地，基于设置的所述指定属性，监控所述应用层的进程的内存页的访问事件，包括：
对所述应用层的进程所在的操作系统生成的指定异常进行监控，其中，当所述应用层的进程的内存页被设置所述指定属性后，若所述应用层的进程的内存页被访问，则所述应用层的进程所在的操作系统生成所述指定异常；
若监控到所述指定异常，则确定监控到所述访问事件。
可选地，确定所述访问事件是否异常，包括：
确定所述访问事件对应的访问者是否属于预设的白名单；
若所述访问事件对应的访问者不属于预设的白名单，则确定所述访问事件异常。
可选地，对所述应用层的进程执行安全防护操作，包括：
生成表示所述应用层的进程存在异常访问的报警信息。
可选地，对所述应用层的进程执行安全防护操作，包括：
对所述应用层的进程的相关进程的内存页设置所述指定属性。
可选地，对所述应用层的进程的相关进程的内存页设置所述指定属性之后，所述方法还包括：
基于设置的所述指定属性，监控所述应用层的进程相关进程的内存页的访问事件；
当监控到所述访问事件时，确定所述访问事件是否异常；
若确定出所述访问事件异常，则对所述应用层的进程的相关进程执行安全防护操作。
可选地，对所述应用层的进程的相关进程执行安全防护操作，包括：
生成表示所述应用层的进程的相关进程存在异常访问的报警信息。
可选地，对所述应用层的进程的相关进程执行安全防护操作，包括：
重新对所述应用层的进程的内存页设置所述指定属性。
根据本发明的另一方面，提供了一种应用层内存访问的监控装置，包括：
设置模块，适于对应用层的进程的内存页设置指定属性；
监控模块，适于基于设置的所述指定属性，监控所述应用层的进程的内存页的访问事件；
确定模块，适于当监控到所述访问事件时，确定所述访问事件是否异常；
处理模块，适于若确定所述访问事件异常，则对所述应用层的进程执行安全防护操作。
可选地，所述指定属性包括Guard Page属性。
可选地，所述监控模块还适于：
对所述应用层的进程所在的操作系统生成的指定异常进行监控，其中，当所述应用层的进程的内存页被设置所述指定属性后，若所述应用层的进程的内存页被访问，则所述应用层的进程所在的操作系统生成所述指定异常；
若监控到所述指定异常，则确定监控到所述访问事件。
可选地，所述确定模块还适于：
确定所述访问事件对应的访问者是否属于预设的白名单；
若所述访问事件对应的访问者不属于预设的白名单，则确定所述访问事件异常。
可选地，所述处理模块还适于：
生成表示所述应用层的进程存在异常访问的报警信息。
可选地，所述处理模块还适于：
对所述应用层的进程的相关进程的内存页设置所述指定属性。
可选地，所述处理模块还适于：
对所述应用层的进程的相关进程的内存页设置所述指定属性之后，基于设置的所述指定属性，监控所述应用层的进程相关进程的内存页的访问事件；
当监控到所述访问事件时，确定所述访问事件是否异常；
若确定出所述访问事件异常，则对所述应用层的进程的相关进程执行安全防护操作。
可选地，所述处理模块还适于：
生成表示所述应用层的进程的相关进程存在异常访问的报警信息。
可选地，所述处理模块还适于：
重新对所述应用层的进程的内存页设置所述指定属性。
根据本发明的又一方面，还提供了一种计算机存储介质，所述计算机存储介质存储有计算机程序代码，当所述计算机程序代码在计算设备上运行时，导致所述计算设备执行上述的应用层内存访问的监控方法。
根据本发明的再一方面，还提供了一种计算设备，包括：处理器；存储有计算机程序代码的存储器；当所述计算机程序代码被所述处理器运行时，导致所述计算设备执行上述的应用层内存访问的监控方法。
借由上述技术方案，本发明提供的应用层内存访问的监控方法通过对应用层的进程的内存页设置指定属性，可以监控到内存页的访问事件，进而确定访问事件是否异常，在确定异常时执行安全防护操作，可以达成对应用层关键内存区域的稳定监控机制，从而有效防止对应用层内存的未知攻击，并在攻击发生后的第一时间内限制攻击的扩大和破坏行为。
上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。
根据下文结合附图对本发明具体实施例的详细描述，本领域技术人员将会更加明了本发明的上述以及其他目的、优点和特征。
附图说明
此处所说明的附图用来提供对本发明的进一步理解，构成本发明的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：
图1示出了根据本发明一实施例的应用层内存访问的监控方法的流程图；
图2示出了根据本发明另一实施例的应用层内存访问的监控方法的流程图；以及
图3示出了根据本发明一实施例的应用层内存访问的监控装置的结构示意图。
具体实施方式
下面将参照附图更详细地描述本发明的示例性实施例。虽然附图中显示了本发明的示例性实施例，然而应当理解，可以以各种形式实现本发明而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本发明，并且能够将本发明的范围完整的传达给本领域的技术人员。
为解决上述技术问题，本发明实施例提供了一种应用层内存访问的监控方法。图1示出了根据本发明一实施例的应用层内存访问的监控方法的流程图。如图1所示，该方法可以包括以下步骤S101至S104：
步骤S101，对应用层的进程的内存页设置指定属性；
步骤S102，基于设置的指定属性，监控应用层的进程的内存页的访问事件；
步骤S103，当监控到访问事件时，确定访问事件是否异常；
步骤S104，若确定访问事件异常，则对应用层的进程执行安全防护操作。
本发明实施例提供的应用层内存访问的监控方法通过对应用层的进程的内存页设置指定属性，可以监控到内存页的访问事件，进而确定访问事件是否异常，在确定异常时执行安全防护操作，可以达成对应用层关键内存区域的稳定监控机制，从而有效防止对应用层内存的未知攻击，并在攻击发生后的第一时间内限制攻击的扩大和破坏行为。
上面步骤S101中提及的指定属性可以是用来保护内存页的Guard Page属性，当然还可以是其它属性，本发明实施例对此不作限制。当内存页被设置Guard Page属性后，内存页被保护起来，任何访问内存页的行为都会被操作系统判定为异常，本发明实施例可以捕获该异常来判断访问内存页的行为是否为异常行为，如果访问内存页的行为是异常行为，则对该访问内存页的行为执行安全防护操作。
上面步骤S102中基于设置的指定属性，监控应用层的进程的内存页的访问事件，本发明实施例提供了一种可选的方案，在该方案中，可以对应用层的进程所在的操作系统生成的指定异常进行监控，其中，当应用层的进程的内存页被设置指定属性后，若应用层的进程的内存页被访问，则应用层的进程所在的操作系统生成指定异常；若监控到指定异常，则确定监控到访问事件；若未监控到指定异常，则确定未监控到访问事件。
在可选的实施例中，可以采用预设函数来捕获指定异常，从而实现对指定异常的监控。
上面步骤S103中当监控到访问事件时，确定访问事件是否异常，本发明实施例提供了一种可选的方案，在该方案中，可以确定访问事件对应的访问者是否属于预设的白名单；若访问事件对应的访问者不属于预设的白名单，则确定访问事件异常；若访问事件对应的访问者属于预设的白名单，则确定访问事件属于正常访问事件。
在本发明的可选实施例中，步骤S104中对应用层的进程执行安全防护操作，可以是生成表示应用层的进程存在异常访问的报警信息，也可以是对应用层的进程的相关进程的内存页设置指定属性。这里的进程可以是应用层的核心进程，进程的相关进程可以是核心进程的相关进程，本发明实施例可以根据实际情况或需求来确定核心进程，对此不作限制。
进一步地，在对应用层的进程的相关进程的内存页设置指定属性之后，还可以基于设置的指定属性，监控应用层的进程相关进程的内存页的访问事件；随后当监控到访问事件时，确定访问事件是否异常；若确定出访问事件异常，则对应用层的进程的相关进程执行安全防护操作。
在可选的实施例中，在对应用层的进程的相关进程执行安全防护操作时，可以生成表示应用层的进程的相关进程存在异常访问的报警信息，还可以重新对应用层的进程的内存页设置指定属性。当内存页被访问后，对其设置的指定属性会被取消，重新对内存页设置指定属性，可以将内存页重新保护起来，可以达成对应用层关键内存区域的稳定监控机制，有效防止对应用层内存的未知攻击，并在攻击发生后的第一时间内限制攻击的扩大和破坏行为。
以上介绍了图1所示的实施例中各个环节的多种实现方式，下面将通过具体的实施例对本发明实施例提供的应用层内存访问的监控方法做进一步说明。
图2示出了根据本发明另一实施例的应用层内存访问的监控方法的流程图。在该实施例中，指定属性为Guard Page属性。如图2所示，该方法可以包括以下步骤S201至步骤S205。
步骤S201，对应用层的进程的内存页设置Guard Page属性。
步骤S202，对应用层的进程所在的操作系统生成的指定异常进行监控，其中，当应用层的进程的内存页被设置Guard Page属性后，若应用层的进程的内存页被访问，则应用层的进程所在的操作系统生成指定异常；若监控到指定异常，则确定监控到访问事件；若未监控到指定异常，则确定未监控到访问事件。
在该步骤中，可以采用预设函数来捕获指定异常，从而实现对指定异常的监控。
步骤S203，当监控到访问事件时，确定访问事件对应的访问者是否属于预设的白名单；若访问事件对应的访问者不属于预设的白名单，则确定访问事件异常；若访问事件对应的访问者属于预设的白名单，则确定访问事件属于正常访问事件。
在该步骤中，预设的白名单中保存了被认为是正常合规的访问者信息。
步骤S204，若确定访问事件异常，则生成表示应用层的进程存在异常访问的报警信息，并对应用层的进程的相关进程的内存页设置Guard Page属性。
这里的进程可以是应用层的核心进程，进程的相关进程可以是核心进程的相关进程，本发明实施例可以根据实际情况或需求来确定核心进程，对此不作限制。
步骤S205，基于设置的Guard Page属性，监控应用层的进程相关进程的内存页的访问事件；随后当监控到访问事件时，确定访问事件是否异常；若确定出访问事件异常，则对应用层的进程的相关进程执行安全防护操作。
该步骤可以参考上面步骤S201至步骤S204执行。在可选的实施例中，在对应用层的进程的相关进程执行安全防护操作时，可以生成表示应用层的进程的相关进程存在异常访问的报警信息，还可以重新对应用层的进程的内存页设置指定属性。当内存页被访问后，对其设置的指定属性会被取消，重新对内存页设置指定属性，可以将内存页重新保护起来，可以达成对应用层关键内存区域的稳定监控机制，有效防止对应用层内存的未知攻击，并在攻击发生后的第一时间内限制攻击的扩大和破坏行为。
需要说明的是，实际应用中，上述所有可选实施方式可以采用结合的方式任意组合，形成本发明的可选实施例，在此不再一一赘述。
基于上文各个实施例提供的应用层内存访问的监控方法，基于同一发明构思，本发明实施例还提供了一种应用层内存访问的监控装置。
图3示出了根据本发明一实施例的应用层内存访问的监控装置的结构示意图。如图3所示，该装置可以包括设置模块310、监控模块320、确定模块330以及处理模块340。
现介绍本发明实施例的应用层内存访问的监控装置的各组成或器件的功能以及各部分间的连接关系：
设置模块310，适于对应用层的进程的内存页设置指定属性；
监控模块320，与设置模块310相耦合，适于基于设置的指定属性，监控应用层的进程的内存页的访问事件；
确定模块330，与监控模块320相耦合，适于当监控到访问事件时，确定访问事件是否异常；
处理模块340，与确定模块330相耦合，适于若确定访问事件异常，则对应用层的进程执行安全防护操作。
在本发明的可选实施例中，指定属性包括Guard Page属性。
在本发明的可选实施例中，监控模块320还适于：
对应用层的进程所在的操作系统生成的指定异常进行监控，其中，当应用层的进程的内存页被设置指定属性后，若应用层的进程的内存页被访问，则应用层的进程所在的操作系统生成指定异常；
若监控到指定异常，则确定监控到访问事件。
在本发明的可选实施例中，确定模块330还适于：
确定访问事件对应的访问者是否属于预设的白名单；
若访问事件对应的访问者不属于预设的白名单，则确定访问事件异常。
在本发明的可选实施例中，处理模块340还适于：
生成表示应用层的进程存在异常访问的报警信息。
在本发明的可选实施例中，处理模块340还适于：
对应用层的进程的相关进程的内存页设置指定属性。
在本发明的可选实施例中，处理模块340还适于：
对应用层的进程的相关进程的内存页设置指定属性之后，基于设置的指定属性，监控应用层的进程相关进程的内存页的访问事件；
当监控到访问事件时，确定访问事件是否异常；
若确定出访问事件异常，则对应用层的进程的相关进程执行安全防护操作。
在本发明的可选实施例中，处理模块340还适于：
生成表示应用层的进程的相关进程存在异常访问的报警信息。
在本发明的可选实施例中，处理模块340还适于：
重新对应用层的进程的内存页设置指定属性。
基于同一发明构思，本发明实施例还提供了一种计算机存储介质，该计算机存储介质存储有计算机程序代码，当计算机程序代码在计算设备上运行时，导致计算设备执行上述的应用层内存访问的监控方法。
基于同一发明构思，本发明实施例还提供了一种计算设备，包括：处理器；存储有计算机程序代码的存储器；当计算机程序代码被处理器运行时，导致计算设备执行上述的应用层内存访问的监控方法。
所属领域的技术人员可以清楚地了解到，上述描述的系统、装置、单元和模块的具体工作过程，可以参考前述方法实施例中的对应过程，为简洁起见，在此不另赘述。
另外，在本发明各个实施例中的各功能单元可以物理上相互独立，也可以两个或两个以上功能单元集成在一起，还可以全部功能单元都集成在一个处理单元中。上述集成的功能单元既可以采用硬件的形式实现，也可以采用软件或者固件的形式实现。
本领域普通技术人员可以理解：所述集成的功能单元如果以软件的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，其包括若干指令，用以使得一台计算设备(例如个人计算机，服务器，或者网络设备等)在运行所述指令时执行本发明各实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM)、随机存取存储器(RAM)，磁碟或者光盘等各种可以存储程序代码的介质。
或者，实现前述方法实施例的全部或部分步骤可以通过程序指令相关的硬件(诸如个人计算机，服务器，或者网络设备等的计算设备)来完成，所述程序指令可以存储于一计算机可读取存储介质中，当所述程序指令被计算设备的处理器执行时，所述计算设备执行本发明各实施例所述方法的全部或部分步骤。
最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：在本发明的精神和原则之内，其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案脱离本发明的保护范围。
本发明实施例的一方面，提供了A1.一种应用层内存访问的监控方法，包括：
对应用层的进程的内存页设置指定属性；
基于设置的所述指定属性，监控所述应用层的进程的内存页的访问事件；
当监控到所述访问事件时，确定所述访问事件是否异常；
若确定所述访问事件异常，则对所述应用层的进程执行安全防护操作。
A2.根据A1所述的方法，所述指定属性包括Guard Page属性。
A3.根据A1所述的方法，基于设置的所述指定属性，监控所述应用层的进程的内存页的访问事件，包括：
对所述应用层的进程所在的操作系统生成的指定异常进行监控，其中，当所述应用层的进程的内存页被设置所述指定属性后，若所述应用层的进程的内存页被访问，则所述应用层的进程所在的操作系统生成所述指定异常；
若监控到所述指定异常，则确定监控到所述访问事件。
A4.根据A1-A3中任一项所述的方法，确定所述访问事件是否异常，包括：
确定所述访问事件对应的访问者是否属于预设的白名单；
若所述访问事件对应的访问者不属于预设的白名单，则确定所述访问事件异常。
A5.根据A1-A3中任一项所述的方法，对所述应用层的进程执行安全防护操作，包括：
生成表示所述应用层的进程存在异常访问的报警信息。
A6.根据A1-A3中任一项所述的方法，对所述应用层的进程执行安全防护操作，包括：
对所述应用层的进程的相关进程的内存页设置所述指定属性。
A7.根据A6所述的方法，对所述应用层的进程的相关进程的内存页设置所述指定属性之后，所述方法还包括：
基于设置的所述指定属性，监控所述应用层的进程相关进程的内存页的访问事件；
当监控到所述访问事件时，确定所述访问事件是否异常；
若确定出所述访问事件异常，则对所述应用层的进程的相关进程执行安全防护操作。
A8.根据A7所述的方法，对所述应用层的进程的相关进程执行安全防护操作，包括：
生成表示所述应用层的进程的相关进程存在异常访问的报警信息。
A9.根据A7所述的方法，对所述应用层的进程的相关进程执行安全防护操作，包括：
重新对所述应用层的进程的内存页设置所述指定属性。
本发明实施例的另一方面，还提供了B10.一种应用层内存访问的监控装置，包括：
设置模块，适于对应用层的进程的内存页设置指定属性；
监控模块，适于基于设置的所述指定属性，监控所述应用层的进程的内存页的访问事件；
确定模块，适于当监控到所述访问事件时，确定所述访问事件是否异常；
处理模块，适于若确定所述访问事件异常，则对所述应用层的进程执行安全防护操作。
B11.根据B10所述的装置，所述指定属性包括Guard Page属性。
B12.根据B10所述的装置，所述监控模块还适于：
对所述应用层的进程所在的操作系统生成的指定异常进行监控，其中，当所述应用层的进程的内存页被设置所述指定属性后，若所述应用层的进程的内存页被访问，则所述应用层的进程所在的操作系统生成所述指定异常；
若监控到所述指定异常，则确定监控到所述访问事件。
B13.根据B10-B12中任一项所述的装置，所述确定模块还适于：
确定所述访问事件对应的访问者是否属于预设的白名单；
若所述访问事件对应的访问者不属于预设的白名单，则确定所述访问事件异常。
B14.根据B10-B12中任一项所述的装置，所述处理模块还适于：
生成表示所述应用层的进程存在异常访问的报警信息。
B15.根据B10-B12中任一项所述的装置，所述处理模块还适于：
对所述应用层的进程的相关进程的内存页设置所述指定属性。
B16.根据B15所述的装置，所述处理模块还适于：
对所述应用层的进程的相关进程的内存页设置所述指定属性之后，基于设置的所述指定属性，监控所述应用层的进程相关进程的内存页的访问事件；
当监控到所述访问事件时，确定所述访问事件是否异常；
若确定出所述访问事件异常，则对所述应用层的进程的相关进程执行安全防护操作。
B17.根据B16所述的装置，所述处理模块还适于：
生成表示所述应用层的进程的相关进程存在异常访问的报警信息。
B18.根据B16所述的装置，所述处理模块还适于：
重新对所述应用层的进程的内存页设置所述指定属性。
本发明实施例的又一方面，还提供了C19.一种计算机存储介质，所述计算机存储介质存储有计算机程序代码，当所述计算机程序代码在计算设备上运行时，导致所述计算设备执行A1-A9中任一项所述的应用层内存访问的监控方法。
本发明实施例的再一方面，还提供了D20.一种计算设备，包括：处理器；存储有计算机程序代码的存储器；当所述计算机程序代码被所述处理器运行时，导致所述计算设备执行A1-A9中任一项所述的应用层内存访问的监控方法。
Claims (16)
1.一种应用层内存访问的监控方法，其特征在于，包括：
对应用层的核心进程的内存页设置指定属性；
基于设置的所述指定属性，监控所述应用层的核心进程的内存页的访问事件；
当监控到所述访问事件时，确定所述访问事件是否异常；
若确定所述访问事件异常，则对所述应用层的核心进程执行安全防护操作，当内存页被访问后，对其设置的指定属性会被取消，重新对内存页设置指定属性；
对所述应用层的核心进程执行安全防护操作，包括：
对所述应用层的核心进程的相关进程的内存页设置所述指定属性；
对所述应用层的核心进程的相关进程的内存页设置所述指定属性之后，所述方法还包括：
基于设置的所述指定属性，监控所述应用层的核心进程相关进程的内存页的访问事件；
当监控到所述访问事件时，确定所述访问事件是否异常；
若确定出所述访问事件异常，则对所述应用层的核心进程的相关进程执行安全防护操作。
2.根据权利要求1所述的方法，其特征在于，所述指定属性包括Guard Page属性。
3.根据权利要求1所述的方法，其特征在于，基于设置的所述指定属性，监控所述应用层的核心进程的内存页的访问事件，包括：
对所述应用层的核心进程所在的操作系统生成的指定异常进行监控，其中，当所述应用层的核心进程的内存页被设置所述指定属性后，若所述应用层的核心进程的内存页被访问，则所述应用层的核心进程所在的操作系统生成所述指定异常；
若监控到所述指定异常，则确定监控到所述访问事件。
4.根据权利要求1-3中任一项所述的方法，其特征在于，确定所述访问事件是否异常，包括：
确定所述访问事件对应的访问者是否属于预设的白名单；
若所述访问事件对应的访问者不属于预设的白名单，则确定所述访问事件异常。
5.根据权利要求1-3中任一项所述的方法，其特征在于，对所述应用层的核心进程执行安全防护操作，包括：
生成表示所述应用层的核心进程存在异常访问的报警信息。
6.根据权利要求1所述的方法，其特征在于，对所述应用层的核心进程的相关进程执行安全防护操作，包括：
生成表示所述应用层的核心进程的相关进程存在异常访问的报警信息。
7.根据权利要求1所述的方法，其特征在于，对所述应用层的核心进程的相关进程执行安全防护操作，包括：
重新对所述应用层的核心进程的内存页设置所述指定属性。
8.一种应用层内存访问的监控装置，其特征在于，包括：
设置模块，适于对应用层的核心进程的内存页设置指定属性；
监控模块，适于基于设置的所述指定属性，监控所述应用层的核心进程的内存页的访问事件；
确定模块，适于当监控到所述访问事件时，确定所述访问事件是否异常；
处理模块，适于若确定所述访问事件异常，则对所述应用层的核心进程执行安全防护操作，当内存页被访问后，对其设置的指定属性会被取消，重新对内存页设置指定属性；
所述处理模块还适于对所述应用层的核心进程的相关进程的内存页设置所述指定属性；
所述处理模块还适于对所述应用层的核心进程的相关进程的内存页设置所述指定属性之后，基于设置的所述指定属性，监控所述应用层的核心进程相关进程的内存页的访问事件，当监控到所述访问事件时，确定所述访问事件是否异常，若确定出所述访问事件异常，则对所述应用层的核心进程的相关进程执行安全防护操作。
9.根据权利要求8所述的装置，其特征在于，所述指定属性包括Guard Page属性。
10.根据权利要求8所述的装置，其特征在于，所述监控模块还适于：
对所述应用层的核心进程所在的操作系统生成的指定异常进行监控，其中，当所述应用层的核心进程的内存页被设置所述指定属性后，若所述应用层的核心进程的内存页被访问，则所述应用层的核心进程所在的操作系统生成所述指定异常；
若监控到所述指定异常，则确定监控到所述访问事件。
11.根据权利要求8-10中任一项所述的装置，其特征在于，所述确定模块还适于：
确定所述访问事件对应的访问者是否属于预设的白名单；
若所述访问事件对应的访问者不属于预设的白名单，则确定所述访问事件异常。
12.根据权利要求8-10中任一项所述的装置，其特征在于，所述处理模块还适于：
生成表示所述应用层的核心进程存在异常访问的报警信息。
13.根据权利要求8所述的装置，其特征在于，所述处理模块还适于：
生成表示所述应用层的核心进程的相关进程存在异常访问的报警信息。
14.根据权利要求8所述的装置，其特征在于，所述处理模块还适于：
重新对所述应用层的核心进程的内存页设置所述指定属性。
15.一种计算机存储介质，所述计算机存储介质存储有计算机程序代码，当所述计算机程序代码在计算设备上运行时，导致所述计算设备执行权利要求1-7中任一项所述的应用层内存访问的监控方法。
16.一种计算设备，包括：处理器；存储有计算机程序代码的存储器；当所述计算机程序代码被所述处理器运行时，导致所述计算设备执行权利要求1-7中任一项所述的应用层内存访问的监控方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201910755841.6A CN112395601B (zh) | 2019-08-15 | 2019-08-15 | 一种应用层内存访问的监控方法和装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201910755841.6A CN112395601B (zh) | 2019-08-15 | 2019-08-15 | 一种应用层内存访问的监控方法和装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN112395601A CN112395601A (zh) | 2021-02-23 |
| CN112395601B true CN112395601B (zh) | 2024-03-01 |
Family
ID=74601786
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201910755841.6A Active CN112395601B (zh) | 2019-08-15 | 2019-08-15 | 一种应用层内存访问的监控方法和装置 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN112395601B (zh) |
Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1924826A (zh) * | 2005-09-02 | 2007-03-07 | 中兴通讯股份有限公司 | 一种非法内存读写的检测方法 |
| CN102375947A (zh) * | 2010-08-16 | 2012-03-14 | 伊姆西公司 | 用于隔离计算环境的方法和系统 |
| CN103955362A (zh) * | 2014-04-03 | 2014-07-30 | 广东工业大学 | 一种基于Xen的操作系统内核监控方法 |
| CN106294089A (zh) * | 2015-06-23 | 2017-01-04 | 阿里巴巴集团控股有限公司 | 辅助对被监控内存空间的访问监控的方法和装置 |
| CN107220189A (zh) * | 2017-03-14 | 2017-09-29 | 晨星半导体股份有限公司 | 内存空间管理及内存访问控制方法及装置 |
| CN107977577A (zh) * | 2016-10-21 | 2018-05-01 | 龙芯中科技术有限公司 | 访存指令访问检测方法及装置 |
| CN109033828A (zh) * | 2018-07-25 | 2018-12-18 | 山东省计算中心（国家超级计算济南中心） | 一种基于计算机内存分析技术的木马检测方法 |
Family Cites Families (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US11188651B2 (en) * | 2016-03-07 | 2021-11-30 | Crowdstrike, Inc. | Hypervisor-based interception of memory accesses |
-
2019
- 2019-08-15 CN CN201910755841.6A patent/CN112395601B/zh active Active
Patent Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1924826A (zh) * | 2005-09-02 | 2007-03-07 | 中兴通讯股份有限公司 | 一种非法内存读写的检测方法 |
| CN102375947A (zh) * | 2010-08-16 | 2012-03-14 | 伊姆西公司 | 用于隔离计算环境的方法和系统 |
| CN103955362A (zh) * | 2014-04-03 | 2014-07-30 | 广东工业大学 | 一种基于Xen的操作系统内核监控方法 |
| CN106294089A (zh) * | 2015-06-23 | 2017-01-04 | 阿里巴巴集团控股有限公司 | 辅助对被监控内存空间的访问监控的方法和装置 |
| CN107977577A (zh) * | 2016-10-21 | 2018-05-01 | 龙芯中科技术有限公司 | 访存指令访问检测方法及装置 |
| CN107220189A (zh) * | 2017-03-14 | 2017-09-29 | 晨星半导体股份有限公司 | 内存空间管理及内存访问控制方法及装置 |
| CN109033828A (zh) * | 2018-07-25 | 2018-12-18 | 山东省计算中心（国家超级计算济南中心） | 一种基于计算机内存分析技术的木马检测方法 |
Non-Patent Citations (1)
| Title |
|---|
| 李清宝等.一种基于完整性保护的终端计算机安全防护方法.《计算机科学》.2015,全文. * |
Also Published As
| Publication number | Publication date |
|---|---|
| CN112395601A (zh) | 2021-02-23 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US20200159612A1 (en) | Process automation action repository and assembler | |
| CN108351938B (zh) | 校验针对程序代码的一部分所计算的安全值的装置、系统和方法 | |
| EP3457659B1 (en) | Method and system for detecting attacks on cyber-physical systems using redundant devices and smart contracts | |
| EP3437287A1 (en) | Systems and methods for detecting security threats | |
| CN112417391B (zh) | 信息数据安全处理方法、装置、设备及存储介质 | |
| CN110049028B (zh) | 监控域控管理员的方法、装置、计算机设备及存储介质 | |
| US10204036B2 (en) | System and method for altering application functionality | |
| JP6918269B2 (ja) | 攻撃推定装置、攻撃制御方法、および攻撃推定プログラム | |
| CN107045605A (zh) | 一种实时度量方法及装置 | |
| Azzam et al. | Forensic readiness of industrial control systems under stealthy attacks | |
| CN114116118A (zh) | 容器应用程序安全监测方法、装置、电子设备及介质 | |
| CN110941825B (zh) | 一种应用监控方法及装置 | |
| CN112395601B (zh) | 一种应用层内存访问的监控方法和装置 | |
| US20190347155A1 (en) | Mitigating actions | |
| Kahtan et al. | Dependability Attributes for increased Security in Component-based Software Development. | |
| CN103679024A (zh) | 病毒的处理方法及设备 | |
| US20230018096A1 (en) | Analysis apparatus, analysis method, and non-transitory computer readable medium storing analysis program | |
| CN112398783B (zh) | 一种网络共享会话的安全防护方法和装置 | |
| CN113779561B (zh) | 内核漏洞处理方法、装置、存储介质及电子设备 | |
| JP5955165B2 (ja) | 管理装置、管理方法及び管理プログラム | |
| CN108647512A (zh) | 终端安全控制方法、装置和计算机可读存储介质 | |
| US11960606B2 (en) | System and method for protecting against data storage attacks | |
| Khalili et al. | Software engineering issues regarding securing ICS: an industrial case study | |
| Okamura et al. | Quantitative security evaluation of an intrusion tolerant system | |
| CN116418593A (zh) | 一种动态可信度量方法、电子设备及存储介质 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |