CN115828246A - 一种恶意程序监测方法、装置、介质及设备 - Google Patents

Abstract

本发明属于网络安全技术领域，具体而言涉及一种恶意程序监测方法、装置、介质及设备。通过修改主引导扇区的内容，插入检测程序，在系统启动之前对计算机进行全盘扫描，并且通过在系统内核安装内核监控模块，系统启动之后加载内核以自动监控运行程序可能的恶意行为。实现了在操作系统启动前后对恶意程序的检测管控，保证了检测程序在所有程序之前运行，避免被绕过，提高了信息系统的安全性。

Description

一种恶意程序监测方法、装置、介质及设备

技术领域

本发明属于网络安全技术领域，具体而言涉及一种恶意程序监测方法、装置、介质及设备。

背景技术

终端设备是计算机信息系统的重要组成部分，是信息系统中进行数据处理的设备，在计算机系统中，计算机终端数量多、分布广，终端使用者的技术水平参差不齐，使得计算机终端容易成为网络攻击的目标，针对计算机终端的安全攻击事件时有发生。通常计算机终端还会被攻击者作为跳板，发起对特定服务器或者特定网络的攻击。

从计算机诞生以来，计算机终端无时无刻不遭受计算机病毒和恶意代码的攻击。在一些与互联网隔离的政府、军队等专用的信息系统，计算机终端的安全问题也不容忽视，一方面光盘和U盘信息交互检查不严格造成病毒感染和传播，另一方面计算机终端使用控制不严格导致数据有泄露风险。

所以，计算机终端信息系统对于恶意程序的有效检测显得尤为重要，本发明的目的在于提高计算机信息系统的安全性能。

发明内容

基于上述现有技术存在的不足，本发明提供一种恶意程序监测方法，以提高计算机系统对于恶意程序监测的安全性能，包括以下步骤：

S10、读取主引导扇区，进入检测程序；

S20、所述检测程序扫描硬盘，并根据恶意程序信息匹配识别出恶意程序，对所述恶意程序进行隔离；

S30、执行所述主引导扇区中位于所述检测程序之后的主引导程序，以进入系统；

S40、所述系统加载内核，所述内核包括内核监控模块，所述内核监控模块对所述系统中的行为进行监控，识别并管控其中的恶意行为。

在一些实施例中，所述检测程序为预先被写入所述主引导扇区的主引导程序之前；

所述内核监控模块为预先被安装到所述内核；

还包括预先被安装部署的综合安全管理服务器，所述综合安全管理服务器与所述系统通信连接，所述综合安全管理服务器向所述系统下发管控策略信息。

在一些实施例中，步骤S20中所述检测程序包括

接收所述管控策略信息，所述管控策略信息包括恶意程序信息；

对所述硬盘进行扫描并通过所述恶意程序信息进行匹配识别；

将与所述恶意程序信息相匹配的程序隔离。

在一些实施例中，所述管控策略信息还包括外接设备管控策略；

所述检测程序还包括

对所述系统的外接设备进行扫描；

根据所述外接设备管控策略禁止目标外接设备的加载；

保存扫描日志，在进入所述系统后通过所述系统将所述扫描日志上传至所述综合安全管理服务器。

在一些实施例中，步骤S40所述内核监控模块包括

接收所述管控策略信息，所述管控策略信息包括行为黑名单；

捕获行为消息并获取其控制权；

根据所述行为黑名单和所述行为消息匹配判定所述行为是否为所述恶意行为，若是则禁止所述恶意行为的执行；

记录运行日志并上传至所述综合安全管理服务器。

在一些实施例中，所述行为黑名单包括破坏数据、篡改系统文件、远程控制、修改注册表、控制鼠标键盘、浏览器劫持中的一种或多种的组合。

在一些实施例中，所述管控策略信息还包括程序白名单，所述行为黑名单还包括运行不属于所述程序白名单中的程序。

本发明还提供一种恶意程序监测装置，包括：

读取单元，用于读取主引导扇区，进入检测程序；

检测单元，通过所述检测程序扫描硬盘，并根据恶意程序信息匹配识别出恶意程序，对所述恶意程序进行隔离；

启动单元，执行所述主引导扇区中位于所述检测程序之后的主引导程序，以进入系统；

监控单元，通过所述系统加载内核，所述内核包括内核监控模块，所述内核监控模块对所述系统中的行为进行监控，识别并管控其中的恶意行为。

本发明还提供一种电子设备，包括存储器和处理器，所述存储器存储有计算机程序，所述计算机程序被所述处理器执行时实现如上任一项所述的恶意程序监测方法。

本发明还提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现如上任一项所述的恶意程序监测方法。

本发明提供的技术方案，通过修改主引导扇区的内容，插入检测程序，在系统启动之前对计算机进行全盘扫描，并且通过在系统内核安装内核监控模块，系统启动之后加载内核以自动监控运行程序可能的恶意行为。实现了在操作系统启动前后对恶意程序的检测管控，保证了检测程序在所有程序之前运行，避免被绕过，提高了信息系统的安全性。

附图说明

为了更清楚地说明本说明书实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本说明书实施例中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图。

图1为本发明提供的一种恶意程序监测方法流程图；

图2为本发明实施例应用的网络环境拓扑图；

图3为本发明实施例检测程序流程图；

图4为本发明实施例内核监控模块流程图；

图5为本发明提供的一种恶意程序监测装置架构示意图；

图6为本发明提供的一种电子设备架构示意图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

为便于对本申请实施例的理解，下面将结合附图以具体实施例做进一步的解释说明，实施例并不构成对本申请实施例的限定。

本发明实施例提供一种恶意程序监测方法，如图1所示，包括以下步骤：

S10、读取主引导扇区，进入检测程序。

其中，主引导扇区是计算机系统开机以后访问硬盘时所必须要读取的第一个扇区，主引导记录程序是指的系统未被修改过的主引导扇区的开头的446字节记载的内容，此外，原始的主引导扇区还包括主引导记录程序之后的4个16字节的“磁盘分区表”（DPT），以及2字节的结束标志（55AA）。在一些实施例中，通过安装模块对系统的原始主引导扇区的内容进行修改，可以将检测程序或者其加载程序插入到原始主引导扇区前446字节内容的最靠前的部分，以实现在执行主引导记录程序启动系统之前便对计算机的先行扫描。

具体地，修改系统主引导扇区，写入磁盘0柱面0磁头1扇区可执行程序的过程包括：

复制0000:7c00h地址的 512字节到0000:0600的位置。

强行跳转到60：10e的位置开始运行，即程序由0柱面 0磁头1扇区的位置跳转到复制到后面的0600处开始。

调用INT13 AH:8 DL:80H得到当前硬盘的驱动器参数。

调用INT13 AH:41h DL:80H，如果出错，即CF 进位标志寄存器被设置 则转入到normal_int13，否则设置成功的标志 extendint13为YES.41h功能是判断当前的硬盘是否支持扩展int 13功能。

在一些优选实施例中，步骤S10之前除了包括修改主引导扇区和安装内核监控模块以外，还包括预先安装部署的如图2所示的综合安全管理服务器，综合安全管理服务器与所属网络中的终端计算机各自的系统通信连接，通过综合安全管理服务器向每一系统下发管控策略信息。通过服务器和终端的布局模式，便于对信息系统中的每一终端计算机的系统进行统一的恶意程序监测管控，并且共享恶意程序监测反馈结果以进一步地统一优化管控策略。避免了由于各终端计算机使用者的技术水平参差不齐造成的信息系统的网络安全存在绝对薄弱环节。

S20、所述检测程序扫描硬盘，并根据恶意程序信息匹配识别出恶意程序，对所述恶意程序进行隔离。

需要说明的是，本发明是完成对系统主引导扇区和内核的修改之后重新启动系统而执行的，系统重启之后，并进行例行的BIOS加电自检完成后，系统启动把控制权交给硬盘，读取修改后的主引导扇区，通过调用写入主引导扇区前466字节中的脚本加载检测程序到内存，启动检测程序。

具体地，检测程序可以根据系统本有的管控策略进行扫描以发现恶意程序进行管控，其中系统本有的管控策略可以根据综合安全管理服务器下发的管控策略信息进行更新。

较佳地，在一些实施例中，检测程序也可以包括：

接收来自综合安全管理服务器下发的管控策略信息，该管控策略信息例如包括恶意程序信息，也即恶意程序的代码特征等内容。

对硬盘进行扫描并且根据恶意程序信息进行匹配识别。

将找出的与恶意程序信息匹配的恶意程序隔离。

可选地，在一些实施例中，管控策略信息还包括外接设备管控策略，外接设备管控策略例如为经过认证识别过的允许接入的外接设备白名单。此外，进一步地，检测程序还包括反馈机制，将扫描日志反馈至综合安全管理服务器以优化安全策略并且同步至其他终端计算机系统。则如图3所示，检测程序包括：

S201、接收来自综合安全管理服务器下发的管控策略信息。

S202、对硬盘进行扫描并且根据恶意程序信息进行匹配识别，将找出的与恶意程序信息匹配的恶意程序隔离。

S203、对系统连接的每一外接设备进行扫描，根据外接设备管控策略禁止目标外接设备的加载。其中目标外接设备也即不属于外接设备白名单的设备。

S204、保存扫描日志，在进入系统后通过系统将扫描日志上传至综合安全管理服务器。

接着，S30、执行所述主引导扇区中位于所述检测程序之后的主引导程序，以进入系统。

S40、所述系统加载内核，所述内核包括内核监控模块，所述内核监控模块对所述系统中的行为进行监控，识别并管控其中的恶意行为。

具体地，内核监控模块在操作系统启动后进行加载，建立在Windows操作系统时间驱动的消息处理机制之上，优先捕获事件消息，获取到控制权。内核监控模块可以根据终端计算机本地的管控策略中的行为黑名单进行行为管控，该行为黑名单也可以根据综合安全管理服务器下发的管控策略信息中的对应内容进行更新。同样的，内核监控模块也可以将监控日志上传至综合安全管理服务器。或者在一些实施例中，也可以由内核监控模块实时接收管控策略信息。其中，行为黑名单例如包括破坏数据、篡改系统文件、远程控制、修改注册表、控制鼠标键盘、浏览器劫持中的一种或多种的组合。则如图4所示实施例中，内核监控模块包括：

S401、接收来自综合安全管理服务器的管控策略信息。

S402、捕获行为消息并获取其控制权。

S403、根据该行为消息和行为黑名单判断是否为恶意行为，若是则禁止该恶意行为的执行。

S404、记录运行日志并上传至综合安全管理服务器。

可选地，在一些实施例中，管控策略信息还包括程序白名单，行为黑名单中的恶意行为还包括运行不属于程序白名单中的程序。

本发明的实现方法，能够在BIOS 加电自检完成后，第一时间启动修改后的主引导扇区，运行恶意程序检测流程，再启动系统原主引导记录程序，不影响操作系统的正常启动。并在操作系统正常启动后，再运行系统底层内核监控程序监控所有程序运行，保证了检测程序在所有程序之前运行，不被绕过，提高了检测软件的安全性。

本发明实现了在操作系统启动前后，对恶意代码的检测流程。在主引导记录启动阶段对终端外接设备，硬盘文件进行度量审计，结合内核程序的加载，在操作系统启动过程中对程序的行为进行监控，阻止外接设备中软件的危险程序的运行，并将记录软件异常行为，生成日志文件上报综合安全管理服务器，能够进一步杜绝恶意程序的扩散。

需要说明的是，附图中的流程图和框图，图示了按照本申请各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，该模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

虽然采用特定次序描绘了各操作，但是这不应当理解为要求这些操作以所示出的特定次序或以顺序次序执行来执行。在一定环境下，多任务和并行处理可能是有利的。

本发明还提供一种恶意程序监测装置，如图5所示，包括：

读取单元，用于读取主引导扇区，进入检测程序；

检测单元，通过所述检测程序扫描硬盘，并根据恶意程序信息匹配识别出恶意程序，对所述恶意程序进行隔离；

启动单元，执行所述主引导扇区中位于所述检测程序之后的主引导程序，以进入系统；

监控单元，通过所述系统加载内核，所述内核包括内核监控模块，所述内核监控模块对所述系统中的行为进行监控，识别并管控其中的恶意行为。

本发明还提供一种电子设备，如图6所示，包括存储器和处理器，所述存储器存储有计算机程序，所述计算机程序被所述处理器执行时实现如上任一实施例所述的恶意程序监测方法。

本发明还提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现如上任一实施例所述的恶意程序监测方法。

计算机可读存储介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

专业人员应该还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器（RAM）、内存、只读存储器（ROM）、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

以上所述的具体实施方式，对本申请的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本申请的具体实施方式而已，并不用于限定本申请的保护范围，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (10)

1.一种恶意程序监测方法，其特征在于，包括以下步骤：

S10、读取主引导扇区，进入检测程序；

S20、所述检测程序扫描硬盘，并根据恶意程序信息匹配识别出恶意程序，对所述恶意程序进行隔离；

S30、执行所述主引导扇区中位于所述检测程序之后的主引导程序，以进入系统；

S40、所述系统加载内核，所述内核包括内核监控模块，所述内核监控模块对所述系统中的行为进行监控，识别并管控其中的恶意行为。

2.根据权利要求1所述的恶意程序监测方法，其特征在于：所述检测程序为预先被写入所述主引导扇区的主引导程序之前；

所述内核监控模块为预先被安装到所述内核；

还包括预先被安装部署的综合安全管理服务器，所述综合安全管理服务器与所述系统通信连接，所述综合安全管理服务器向所述系统下发管控策略信息。

3.根据权利要求2所述的恶意程序监测方法，其特征在于：步骤S20中所述检测程序包括

接收所述管控策略信息，所述管控策略信息包括所述恶意程序信息；

对所述硬盘进行扫描并通过所述恶意程序信息进行匹配识别；

将与所述恶意程序信息相匹配的程序隔离。

4.根据权利要求3所述的恶意程序监测方法，其特征在于：所述管控策略信息还包括外接设备管控策略；

所述检测程序还包括

对所述系统的外接设备进行扫描；

根据所述外接设备管控策略禁止目标外接设备的加载；

保存扫描日志，在进入所述系统后通过所述系统将所述扫描日志上传至所述综合安全管理服务器。

5.根据权利要求2所述的恶意程序监测方法，其特征在于：步骤S40所述内核监控模块包括

接收所述管控策略信息，所述管控策略信息包括行为黑名单；

捕获行为消息并获取其控制权；

根据所述行为黑名单和所述行为消息匹配判定所述行为是否为所述恶意行为，若是则禁止所述恶意行为的执行；

记录运行日志并上传至所述综合安全管理服务器。

6.根据权利要求5所述的恶意程序监测方法，其特征在于：所述行为黑名单包括破坏数据、篡改系统文件、远程控制、修改注册表、控制鼠标键盘、浏览器劫持中的一种或多种的组合。

7.根据权利要求5所述的恶意程序监测方法，其特征在于：所述管控策略信息还包括程序白名单，所述行为黑名单还包括运行不属于所述程序白名单中的程序。

8.一种恶意程序监测装置，其特征在于，包括：

读取单元，用于读取主引导扇区，进入检测程序；

检测单元，通过所述检测程序扫描硬盘，并根据恶意程序信息匹配识别出恶意程序，对所述恶意程序进行隔离；

启动单元，执行所述主引导扇区中位于所述检测程序之后的主引导程序，以进入系统；

监控单元，通过所述系统加载内核，所述内核包括内核监控模块，所述内核监控模块对所述系统中的行为进行监控，识别并管控其中的恶意行为。

9.一种电子设备，其特征在于，包括存储器和处理器，所述存储器存储有计算机程序，所述计算机程序被所述处理器执行时实现如权利要求1-7任一项所述的恶意程序监测方法。

10.一种计算机可读存储介质，其特征在于，其上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1-7任一项所述的恶意程序监测方法。

Images