CN116074130B - 系统防护方法、装置、设备和介质 - Google Patents

Abstract

本发明提供了一种系统防护方法、装置、设备和介质，属于信息安全技术领域，可以解决由于应用层无法对某些有害操作进行拦截而导致系统可能被攻击的问题。该方法包括：响应于当前触发的目标系统调用为eBPF程序挂钩的系统调用，通过所述eBPF程序捕获所述目标系统调用，其中，所述eBPF程序为注入到所述系统的内核空间的程序，所述eBPF程序包含有害操作拦截配置信息；通过所述eBPF程序匹配所述目标系统调用与所述有害操作拦截配置信息；如果匹配成功，则所述eBPF程序拦截所述目标系统调用；以及如果匹配不成功，则所述eBPF程序放行所述目标系统调用。从而，本发明可以在系统的内核空间对影响系统状态的有害操作进行拦截，进一步保护系统状态的稳定性和健壮性。

Description

系统防护方法、装置、设备和介质

技术领域

本发明涉及信息安全技术领域，更具体地涉及一种系统防护方法、装置、设备、介质和程序产品。

背景技术

随着网络的普及和应用，许多业务都通过网络实现线上化，给生产生活带来极大便利。然而网络的公开化和共用性，导致网络系统容易遭遇各种攻击，对网络系统的稳定性产生巨大威胁。当网络系统中某个设备由于用户的不当操作或者恶意攻击而遭到破坏后，就会影响该设备的服务状态。相关技术中，虽然都有一些对恶意操作或漏洞攻击行为的拦截手段，然而这些手段多数都是在应用层进行拦截。而如果恶意操作或漏洞攻击行为绕开了应用层的拦截的话，相关技术中则缺乏有效的应对机制。

发明内容

鉴于上述问题，本发明提供了一种可以在系统的内核空间对影响系统状态的有害操作进行有效拦截的系统防护方法、装置、设备、介质和程序产品。

本发明实施例的第一方面，提供了一种系统防护方法。所述方法包括：响应于当前触发的目标系统调用为eBPF程序挂钩的系统调用，通过所述eBPF程序捕获所述目标系统调用，其中，所述eBPF程序为注入到所述系统的内核空间的程序，所述eBPF程序包含有害操作拦截配置信息；通过所述eBPF程序匹配所述目标系统调用与所述有害操作拦截配置信息；如果匹配成功，则所述eBPF程序拦截所述目标系统调用；以及如果匹配不成功，则所述eBPF程序放行所述目标系统调用。

根据本发明的实施例，所述通过所述eBPF程序匹配所述目标系统调用与所述有害操作拦截配置信息包括：当所述目标系统调用属于所述有害操作拦截配置信息中设置的第一类系统调用时，匹配成功。

根据本发明的实施例，所述第一类系统调用包括以下至少之一：关机、重启或修改防火墙策略。

根据本发明的实施例，所述通过所述eBPF程序匹配所述目标系统调用与所述有害操作拦截配置信息包括：当所述目标系统调用属于所述有害操作拦截配置信息中设置的第二类系统调用时，匹配所述目标系统调用的参数与所述有害操作拦截配置信息中针对所述目标系统调用设置的第一入参数据；以及当所述目标系统调用的参数属于所述第一入参数据时，匹配成功。

根据本发明的实施例，所述第二类系统调用包括以下至少之一：用于修改网络通信的地址信息的系统调用；用于修改资产的配置信息的系统调用；或用于文件写操作的系统调用。

根据本发明的实施例，所述响应于当前触发的目标系统调用为eBPF程序挂钩的系统调用，通过所述eBPF程序捕获所述目标系统调用之前，所述方法还包括：接收第一终端设备发送的用户请求；以及基于所述用户请求，触发所述目标系统调用。

根据本发明的实施例，所述如果匹配成功，则所述eBPF程序拦截所述目标系统调用还包括：向第二终端设备发送对所述目标系统调用的拦截信息，其中，所述拦截信息包括所述用户请求的信息，其中，所述第二终端设备与所述第一终端设备不同。

根据本发明的实施例，向所述内核空间注入所述eBPF程序的过程如下：获取源信息，所述源信息包括要拦截的操作的信息和/或要拦截的操作的内容的信息；基于源信息，生成所述eBPF程序的代码，其中，在所述eBPF程序中，根据所述要拦截的操作的信息得到所述有害操作拦截配置信息中的第一类系统调用，以及根据所述要拦截的操作的内容的信息得到所述有害操作拦截配置信息中的第二类系统调用以及所述第二类系统调用的入参数据；以及将所述eBPF程序的代码注入到所述内核空间中，其中，在所述eBPF程序的代码注入到所述内核空间的过程中，将所述eBPF程序与所述第一类系统调用和所述第二类系统调用均进行挂钩。

根据本发明的实施例，在将所述eBPF程序的代码注入到所述内核空间中的过程中，不重启所述系统。

根据本发明的实施例，所述将所述eBPF程序的代码注入到所述内核空间中包括：将所述eBPF程序的代码编译为字节码；调用所述系统中的eBPF程序加载接口函数；以及利用所述eBPF程序加载接口函数将所述字节码加载到所述内核空间。

根据本发明的实施例，所述获取源信息包括：向第二终端设备提供规则模板；以及接收所述第二终端设备发送的报文，其中，所述报文是基于在所述规则模板中填写完成的所述源信息而生成的。

本发明实施例的第二方面，提供了一种系统防护装置。所述装置包括有害操作拦截模块，所述有害操作拦截模块为由注入到系统的内核空间的eBPF程序。所述有害操作拦截模块包括捕获单元、匹配单元和处理单元。捕获单元用于响应于当前触发的目标系统调用为所述eBPF程序挂钩的系统调用，捕获所述目标系统调用，其中，所述eBPF程序包含有害操作拦截配置信息。匹配单元用于匹配所述目标系统调用与所述有害操作拦截配置信息。处理单元用于如果匹配成功，则拦截所述目标系统调用；以及如果匹配不成功，则放行所述目标系统调用。

根据本发明的实施例，所述系统防护装置还包括信息获取模块、以及代码生成和注入模块。其中，所述信息获取模块用于获取源信息，所述源信息包括要拦截的操作的信息和/或要拦截的操作的内容的信息。所述代码生成和注入模块用于：基于所述源信息，生成所述eBPF程序的代码，其中，在所述eBPF程序中，根据所述要拦截的操作的信息得到所述有害操作拦截配置信息中的第一类系统调用，以及根据所述要拦截的操作的内容的信息得到所述有害操作拦截配置信息中的第二类系统调用以及所述第二类系统调用的入参数据；以及将所述eBPF程序的代码注入到所述内核空间中，其中，在所述eBPF程序的代码注入到所述内核空间的过程中，将所述eBPF程序与所述第一类系统调用和所述第二类系统调用均进行挂钩。

本发明实施例的第三方面，提供了一种电子设备。所述电子设备包括一个或多个处理器和存储器。所述存储器用于存储一个或多个程序，其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得一个或多个处理器执行上述方法。

本发明实施例的第四方面，还提供了一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器执行上述方法。

本发明实施例的第五方面，还提供了一种计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现上述方法。

上述一个或多个实施例具有如下优点或有益效果：可以借助于eBPF技术，在系统的内核空间预先注入包含用户自定义的有害操作拦截配置信息的eBPF程序，从而当由用户空间中的操作所触发的系统调用要执行的操作属于有害操作拦截配置信息中需要禁止的操作时，会拦截该系统调用。这样即使存在应用层没能有效拦截的有害操作，在系统底层也会被拦截，进一步保护系统状态的稳定性和健壮性。

附图说明

通过以下参照附图对本发明实施例的描述，本发明的上述内容以及其他目的、特征和优点将更为清楚，在附图中：

图1示意性示出了根据本发明实施例的系统防护方法、装置、设备、介质和程序产品的应用场景图；

图2示意性示出了根据本发明实施例的系统防护方法的流程图；

图3示意性示出了本发明一实施例的系统防护方法中向内核空间注入eBPF程序代码的流程图；

图4示意性示出了eBPF程序的代码加载到内核空间的原理图；

图5示意性示出了根据本发明实施例的系统防护装置的方框图；

图6示意性示出了本发明实施例的系统防护方法和装置在网络安全夺旗赛中的应用场景；

图7示意性示出了图6所示的系统防护装置中的策略管理子系统的结构框图；

图8示意性示出了图6所示的系统防护装置中的无害化处理子系统的结构框图；

图9示意性示出了图6所示的系统防护装置的工作流程图；以及

图10示意性示出了适于实现根据本发明实施例的系统防护方法的电子设备的方框图。

具体实施方式

以下，将参照附图来描述本发明的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本发明的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本发明实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本发明的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本发明。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语（包括技术和科学术语）具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释（例如，“具有A、B和C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等）。本文中术语“第一”、“第二”等命名都仅用于区分，而不具有任何限制含义，以及附图中的任何元素数量均用于示例而非限制。

扩展的伯克利数据包过滤器（Extended Berkeley Packet Filter，eBPF）是一种高级的内核态编程技术，可以通过该技术实现自定义编写程序并加载到内核空间中。

本发明实施例提供了一种系统防护方法、装置、设备、介质和程序产品，可以借助于eBPF技术，在系统的内核空间注入包含用户自定义的有害操作拦截配置信息的eBPF程序，从而当用户空间触发的系统调用要执行的操作属于根据有害操作拦截配置信息需要禁止的有害操作时，会拦截该系统调用。以此方式，可以根据有害操作拦截配置信息，从系统底层对有害操作进行拦截，保护系统状态的稳定性和健壮性。

需要说明的是，本发明实施例确定的系统防护方法、装置、设备、介质和程序产品可用于金融领域，也可用于除金融领域之外的任意领域，本发明对应用领域不做限定。

图1示意性示出了根据本发明实施例的系统防护方法、装置、设备、介质和程序产品的应用场景图。

如图1所示，根据该实施例的应用场景100可以包括第一终端设备101、102、103，网络104和服务器105。进一步地，在另一些实施例中，应用场景100还可以进一步包括第二终端设备107和网络106，第二终端设备107可以通过网络106与服务器105通信。网络104和网络106可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。在一个实施例中，网络104可以是互联网，网络106可以是内网。

用户可以使用第一终端设备101、102、103通过网络104与服务器105交互，以接收或发送消息等。第一终端设备101、102、103上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等（仅为示例）。

服务器105可以是提供各种服务的服务器，例如对用户利用第一终端设备101、102、103所浏览的网站提供支持的后台管理服务器（仅为示例）。后台管理服务器可以对接收到的用户请求等数据进行分析等处理，并将处理结果（例如根据用户请求获取或生成的网页、信息、或数据等）反馈给第一终端设备101、102、103。

第二终端设备107可以是运维人员或者软件开发人员使用的终端设备。运维人员或者软件开发人员可以通过在第二终端设备107中的操作，向服务器105下发指令，控制在服务器105的内核空间中注入eBPF程序。从而在服务器105与第一终端设备101、102、103交互过程中，对服务器105的系统提供防护。

可见，在应用场景100中，本发明实施例所提供的系统防护方法可以由服务器105执行。相应地，本发明实施例所提供的系统防护装置、设备、介质和程序产品可以设置于服务器105中。需要注意的是，图1所示仅为可以应用本发明实施例的系统架构的示例，以帮助本领域技术人员理解本发明的技术内容，但并不意味着本发明不可以用于其他设备、系统、环境或场景。

以下将基于图1描述的场景，通过图2~图4对本发明各个实施例的系统防护方法进行详细描述。应注意，以下方法中各个操作的序号仅作为该操作的表示以便描述，而不应被看作表示该各个操作的执行顺序。除非明确指出，否则该方法不需要完全按照所示顺序来执行。

图2示意性示出了根据本发明实施例的系统防护方法的流程图。

如图2所示，该实施例的系统防护方法可以包括操作S201~操作S205。

在操作S201，响应于当前触发的目标系统调用为eBPF程序挂钩的系统调用，通过eBPF程序捕获目标系统调用，其中，eBPF程序为注入到系统的内核空间的程序，该eBPF程序包含有害操作拦截配置信息。

eBPF程序在注入到内核空间时，可以根据用户在eBPF程序中的设置，挂钩（即，hook）到指定的系统调用。

eBPF程序注入到系统的内核空间的过程，可以是通过用户交互的方式注入的，例如在第二终端设备107中提供用户交互界面，由用户填写信息或编写程序，然后数据传输到服务器105中进行编译并加载到内核；也可以是先开发好程序安装包，然后通过安装包安装加载到内核。

在操作S202，通过eBPF程序匹配目标系统调用与有害操作拦截配置信息。

在操作S203，判断操作S202中是否匹配成功。如果匹配成功执行操作S204，如果不成功执行操作S205。

具体地在操作S204，当目标系统调用与有害操作拦截配置信息匹配成功，则eBPF程序拦截目标系统调用。

而在操作S205，当目标系统调用与有害操作拦截配置信息匹配不成功，则eBPF程序放行目标系统调用。

本发明实施例中，eBPF程序hook的系统调用可以分为两类。

第一类系统调用可以是操作本身就会对系统状态产生影响的系统调用，诸如关机、重启或修改防火墙策略等系统调用。对于这一类系统调用需要被禁止执行，即只要触发这类系统调用，就会拦截。

第二类系统调用可以是仅系统调用的某些操作内容或操作对象会对系统状态产生影响，例如用于修改网络通信的地址信息（如IP地址、或端口号等）的系统调用，用于修改资产的配置信息（如应用程序或服务的版本或安全等级等）的系统调用，或者用于文件写操作（例如修改密码文件）的系统调用。对于这类系统调用，在捕获到后需要进一步分析参数，才能确定是否拦截。

可以在有害操作拦截配置信息中对第一类系统调用和第二类系统调用进行区别配置。其中，对于第一类系统调用，在有害操作拦截配置信息中可以仅配置对应的系统调用的名称。而对于第二类系统调用，在有害操作拦截配置信息中不仅要配置系统调用的名称，还要配置系统调用的参数。

从而，当目标系统调用属于有害操作拦截配置信息中设置的第一类系统调用时，意味着与有害操作拦截配置信息匹配成功，可以直接拦截。而当目标系统调用属于有害操作拦截配置信息中设置的第二类系统调用时，还要进一步匹配目标系统调用的参数与有害操作拦截配置信息中针对目标系统调用设置的入参数据，当目标系统调用的参数属于该入参数据时，才确定与有害操作拦截配置信息匹配成功，然后可以对该目标系统调用进行拦截。

本发明实施例可以保护系统免于执行有害操作拦截配置信息中配置的有害的系统调用，可以保护系统状态的稳定性，避免因访问者的破坏行为对系统状态造成损害，而导致大量其他访问者无法正常使用服务的问题，提高系统的稳定性以及对外服务的公平性。

在应用场景100中，目标系统调用可以是由第一终端设备101、102、103传输而来的用户请求触发的。具体的，服务器105可以接收用户通过第一终端设备101、102、103发送来的用户请求，然后基于用户请求，触发目标系统调用。进一步地，当eBPF程序拦截目标系统调用之后，服务器105还可以将拦截信息发送给运维人员使用的第二终端设备107。在一些实施例中，发送给第二终端设备107中的拦截信息可以包括触发该系统调用的用户请求的信息，方便运维人员对用户的攻击行为或操作意图进行分析和处理。

图3示意性示出了本发明一实施例的系统防护方法中向内核空间注入eBPF程序的代码的流程图。

如图3所示，根据该实施例的系统防护方法还包括操作S301~操作S303。其中，操作S301~操作S303在操作S201之前执行，用于向内核空间注入eBPF程序。

首先在操作S301，获取源信息，该源信息可以包括要拦截的操作的信息和/或要拦截的操作的内容的信息。该源信息可以是从根据开发人员或者运维人员在第二终端设备107中的操作传输而来的报文中携带的信息，也可以是存储在云端等位置的用户文档中的信息。

接下来在操作S302，基于源信息，生成eBPF程序的代码。该eBPF程序的代码例如可以是C、C++或Python等语言代码。

具体地，在eBPF程序的生成过程中，可以根据源信息中要拦截的操作的信息得到有害操作拦截配置信息中的第一类系统调用，以及根据源信息中要拦截的操作的内容的信息得到有害操作拦截配置信息中的第二类系统调用以及第二类系统调用的入参数据。

通过将源信息中要拦截的操作和/或要拦截的操作的内容，对应转换为特定编程语言的eBPF程序，可以方便非编程人员操作得到eBPF程序的代码。

例如，可以提供用户交互界面，由用户（例如，运维人员）在该用户交互界面中填写或选择要拦截的操作的信息和/或要拦截的操作的内容的信息。然后再将用户指定的操作转换为用特定编程语言代码描述的系统调用名，将要操作的内容转换为入参数据。

在一个实施例中，该用户交互界面可以是包含列表、下拉按钮或选择按钮等的规则模板。例如，可以向运维人员或者开发人员使用的第二终端设备107提供该规则模板，由运维人员或者开发人员在规则模板中填写上述源信息，填写完成后以报文的方式发送给服务器105。然后服务器105在收到该报文之后从中提取上述源信息，并转换生成eBPF程序的代码。使用规则模板可以降低编写有害操作拦截配置信息的门槛，并提高eBPF程序的生成效率。

然后在操作S303，将eBPF程序的代码注入到内核空间中。其中，在eBPF程序的代码注入到内核空间的过程中，将eBPF程序与第一类系统调用和第二类系统调用均进行hook挂钩。

图4示意性示出了eBPF程序的代码加载到内核空间的原理图。结合图4，在eBPF程序的代码注入到内核空间中时，先将eBPF程序的代码通过Clang编译器或底层虚拟机（LowLevel Virtual Machine，LLVM）编译为字节码，然后可以通过调用服务器105的系统中的eBPF程序加载接口函数（例如：bpf_attach_kprobe()、bpf_prog_load()等函数），将字节码动态地加载到内核空间，此过程不需要重启服务器105。

根据用户提供的源信息来得到有害操作拦截配置信息，可以实现根据具体地应用场景由用户自定义配置要拦截的有害操作。具体地，不同场景中有害操作可以不同。例如，在数据库中的数据存在保密要求时，从数据库中读写数据将均被视为有害操作，而在数据库中的数据保密级别较低或者不存在保密要求时，从数据库读数据可以视为对数据库无影响，而在数据库中进行某些数据的写操作则可能被视为有害操作。再例如，当系统对客户提供服务的场景下，对系统任意的可能的漏洞攻击操作都可以被视为有害操作，而在网络安全夺旗赛等漏洞攻击竞赛中，某些漏洞攻击操作是竞赛解题中允许的操作，而某些会影响竞赛平台公平性或稳定性的操作（例如，重启、关机等）则会被视为有害操作。

本实施例可以方便非专业的开发人员或运维人员进行自定义的有害操作拦截配置信息的编写，并自动化地向内核空间中注入eBPF程序。从而方便在服务器105底层进行系统调用命令的检测处理，提高对服务器105进行系统防护的灵活性，可以根据服务器105的应用场景或使用需求，针对性地保障服务器105的安全和稳定。

基于上述各个实施例的系统防护方法，本发明实施例还提供了一种系统防护装置。以下将结合图5对该系统防护装置进行详细描述。

图5示意性示出了根据本发明实施例的系统防护装置500的方框图。

如图5所示，该装置500可以包括有害操作拦截模块510、信息获取模块520、代码生成和注入模块530和结果反馈模块540。

有害操作拦截模块510为注入到系统的内核空间的eBPF程序。其中，有害操作拦截模块510包括捕获单元511、匹配单元512和处理单元513。

捕获单元511用于响应于当前触发的目标系统调用为eBPF程序挂钩的系统调用，捕获目标系统调用，其中，eBPF程序包含有害操作拦截配置信息。在一个实施例中，捕获单元510可以执行前文介绍的操作S201。

匹配单元512用于匹配目标系统调用与有害操作拦截配置信息。在一个实施例中，匹配单元512可以执行前文介绍的操作S202。

处理单元513用于：如果匹配成功，则拦截目标系统调用；以及如果匹配不成功，则放行目标系统调用。在一个实施例中，处理单元513可以执行前文介绍的操作S203~操作S205。

信息获取模块520用于获取源信息，源信息包括要拦截的操作的信息和/或要拦截的操作的内容的信息。在一个实施例中，信息获取模块520还用于：向第二终端设备提供规则模板；以及接收第二终端设备发送的报文，其中，报文是基于在规则模板中填写完成的源信息而生成的。在一个实施例中，信息获取模块520可以执行前文介绍的操作S301。

代码生成和注入模块530可以用于基于源信息，生成eBPF程序的代码，其中，在eBPF程序中，根据要拦截的操作的信息得到有害操作拦截配置信息中的第一类系统调用，并根据要拦截的操作的内容的信息得到有害操作拦截配置信息中的第二类系统调用以及第二类系统调用的入参数据。代码生成和注入模块530还用于将eBPF程序的代码注入到内核空间中，其中，在eBPF程序的代码注入到内核空间的过程中，将eBPF程序与第一类系统调用和第二类系统调用均进行挂钩。在一个实施例中，代码生成和注入模块530可以执行前文介绍的操作S302~操作S303。

结果反馈模块540用于在eBPF程序拦截目标系统调用之后，向第二终端设备发送对目标系统调用的拦截信息。在一个实施例中，结果反馈模块540还用于当目标系统调用为基于接收到的用户请求而触发的情况下，在该目标系统调用被eBPF程序拦截后，向第二终端设备（例如，运维终端）发送对目标系统调用的拦截信息，其中，拦截信息包括用户请求的信息。

系统防护装置500可以执行参考前述图2~图3所描述的方法，具体参考前文介绍，此处不再赘述。

根据本发明的实施例，有害操作拦截模块510、信息获取模块520、代码生成和注入模块530和结果反馈模块540中的任意多个模块可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本发明的实施例，有害操作拦截模块510、信息获取模块520、代码生成和注入模块530和结果反馈模块540中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列（FPGA）、可编程逻辑阵列（PLA）、片上系统、基板上的系统、封装上的系统、专用集成电路（ASIC），或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者有害操作拦截模块510、信息获取模块520、代码生成和注入模块530和结果反馈模块540中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

以下将通过图6~图9对本发明实施例的系统防护方法和装置在网络安全夺旗赛中的具体应用实例进行示例性介绍，以帮助本领域技术人员理解本发明实施例的系统防护方法和装置在网络安全夺旗赛中的具体实施过程，以及对提升赛事的公平性和竞赛平台的稳定性方面的贡献。本领域技术人员可以理解，以下图6~图9中的介绍仅为示例性的，不构成对本发明方案的限定。

具体地，网络安全夺旗赛（Capture The Flag，CTF）是一种模拟实际网络安全情景的竞赛。在这种竞赛中，参赛人员通过代理或者互联网接入竞赛平台网络，寻找系统漏洞，利用计算机技能和网络安全知识来解决题目，通过漏洞获取一个特定字符串，也就是“flag”旗帜。然而对于某些漏洞，例如：Java管理扩展（Java Management Extension，JMX）远程代码执行、Java反序列化漏洞、PHP超级文本预处理语言（PHP：HypertextPreprocessor，PHP）反序列化漏洞等可执行系统命令的漏洞题目，由于参赛人员的攻击载荷难以枚举，这些命令执行代码可能造成竞赛平台服务器关键文件损坏、泄露或可用性受到影响等，影响竞赛的公平性和参赛体验。

为解决该问题，可以将本发明实施例的系统防护方法和装置应用于网络安全夺旗赛中，其中，通过在有害操作拦截配置信息中配置需要拦截的有害系统命令，然后生成eBPF程序的代码，并注入到内核空间中，就可以在赛题服务器或虚拟机的系统的内核空间中过滤这些对平台有害的系统命令，放行允许进行攻击的命令，并将“flag”返回给参赛人员。从而可以在有效验证参赛人员解题正确性的基础上避免参赛人员影响竞赛平台的状态，保证竞赛平台的健壮性和稳定性。

图6示意性示出了本发明实施例的系统防护方法和装置在网络安全夺旗赛中的应用场景。

如图6所示，该应用场景600可以包括后台管理系统601、策略管理子系统602、无害化处理子系统603、竞赛平台604以及参赛者终端系统605。其中，竞赛平台604可以包括一个或多个赛题服务器或虚拟机。策略管理子系统602和无害化处理子系统603共同组成了对竞赛平台604进行防护的系统防护装置。

命题人员可以通过后台管理系统601配置有害操作拦截配置信息，其中，后台管理系统601可以运行在命题人员所使用的终端设备中。例如对于敏感文件读取漏洞，通过有害操作拦截配置信息中的配置，可以只允许参赛人员通过固定漏洞执行读取操作，而不能对竞赛平台604的系统中的敏感文件进行删除、改写或拷贝等，不能重启竞赛平台604中的赛题服务器或虚拟机，以及不能执行对赛服务器或虚拟机有害的其他操作。

策略管理子系统602可以与后台管理系统601一起集成在命题人员所使用的终端设备中。策略管理子系统602可以根据命题人员在后台管理系统601中填写或编辑的源信息，生成对应指令，并以报文的形式，通过http协议发送至无害化处理子系统603。其中，该源信息可以包括要拦截的操作的信息和/或要拦截的操作的内容的信息。

无害化处理子系统603部署在竞赛平台604的每一个赛题服务器或虚拟机上。无害化处理子系统603接收到策略管理子系统602的报文后，可以提取报文中的源信息并其转化为eBPF程序的代码，再将eBPF程序的代码编译为字节码，然后基于eBPF技术调用赛题服务器或虚拟机的系统的eBPF程序加载接口函数，将编译出的字节码动态附加到系统内核空间中，从而向内核空间中注入eBPF程序，过程中无需重启赛题服务器或虚拟机。

在eBPF程序注入到系统的内核空间以后，若参赛人员执行有害操作拦截配置信息中规定的有害系统命令时，会触发eBPF程序中的判定策略，并阻断有害系统命令执行。而且在有害系统命令被阻断后，可以触发统一报错信息页面反馈给参赛人员，同时也可以将有害系统命令的拦截情况反馈给命题人员以供分析。

图7示意性示出了图6所示的系统防护装置中的策略管理子系统602的结构框图。

如图7所示，策略管理子系统602可以包括规则接收模块701、指令整合和下发模块702以及结果接收模块703。

规则接收模块701内置存储命令规则库，可以提供一套规则模板并显示在后台管理系统601的用户交互界面中。命题人员可以从规则模板中填写或选择要拦截的操作或者要拦截的操作内容等信息。

指令整合和下发模块702将规则模板中配置的源信息转化为具体的报文，此外报文参数还包括指定的赛题服务器或虚拟机的IP地址。指令整合和下发模块702通过http协议将报文发送到无害化处理子系统603。

结果接收模块703接收无害化处理子系统603反馈的拦截信息以及攻击信息，动态显示给后台管理系统601，供命题人员分析。

图8示意性示出了图6所示的系统防护装置中的无害化处理子系统603的结构框图。

如图8所示，无害化处理子系统603可以包括报文接收模块801、代码生成和注入模块530、有害操作拦截模块510和结果反馈模块540。

报文接收模块801负责接收由策略管理子系统602发送的报文。

代码生成和注入模块530一方面负责将接收到的报文中的源信息，转化为包含有害操作拦截配置信息的eBPF程序代码。其中，具体转换时，根据规则模板中定义的要拦截的操作的信息，转换得到有害操作拦截配置信息中被禁止的第一类系统调用的系统调用名，而根据规则模板中定义的要拦截的操作的内容的信息，转换得到有害操作拦截配置信息中的第二类系统调用的系统调用名以及对应的入参数据。

代码生成和注入模块530另一方面还负责将eBPF程序代码编译为字节码，并通过系统的eBPF程序加载接口函数将编译后的字节码加载到赛题服务器或虚拟机的系统内核空间中。具体地，通过接收到的报文中的IP地址等信息参数，调用对应赛题服务器或虚拟机的系统的eBPF程序加载接口函数（例如:bpf_attach_kprobe()、bpf_prog_load()等函数），将对eBPF程序的代码编译而得到的字节码动态加载到内核空间。eBPF程序加载原理如前文图4所示。在eBPF程序加载到内核空间时，可以根据有害操作拦截配置信息中配置的系统调用的名称对相应的系统调用设置eBPF程序钩子来hook住这些系统调用。

有害操作拦截模块510为加载到内核空间中的eBPF程序，即eBPF程序加载到内核空间后，就是有害操作拦截模块510。有害操作拦截模块510可以通过eBPF程序的执行，拦截有害操作拦截配置信息规定的有害操作，避免赛题服务器或虚拟机系统遭受不应当出现的攻击。eBPF程序代码的执行逻辑如下：当用户线程或进程进行系统调用时，如果该系统调用属于被eBPF程序hook的系统调用时，会触发eBPF程序钩子捕获此次系统调用。eBPF程序会对该系统调用或系统调用的参数，按有害操作拦截配置信息进行检查，判断此次系统调用是否匹配有害操作拦截配置信息，例如匹配系统调用命令是否是“vim /etc/psswd”（即，打开etc路径中的文件psswd，其中，该文件是敏感文件）、或者是否是restart重启命令等，若匹配成功则说明该系统调用会导致高危命令执行，则进行拦截并使其失效，同时可以上报命题人员；若未匹配成功，则放行该系统调用。

结果反馈模块540向命题人员反馈拦截的有害系统命令的具体内容，供命题人员分析。

图9示意性示出了图6所示的系统防护装置的工作流程图。

如图9所示，图6中的系统防护装置的工作流程包括以下步骤S1~S6。

步骤S1：命题人员在后台管理系统601的用户交互界面中的规则模板中，填写或编辑有害操作拦截配置信息的源信息。

步骤S2：根据有害操作拦截配置信息的源信息，生成包含有害操作拦截配置信息的eBPF程序的代码。

步骤S3：通过竞赛平台604中相应赛题服务器或虚拟机的系统中的eBPF程序加载接口函数将eBPF程序动态加载到系统的内核空间，过程中无需重启系统。

步骤S4：当参赛人员通过参赛者终端系统605向竞赛平台604发起解题攻击请求时，如果触发eBPF程序钩子钩住的某个系统调用时，捕获该系统调用。

步骤S5：进入eBPF程序中的有害操作拦截配置信息匹配阶段。判断捕获的系统命令是否命中有害操作拦截配置信息，若命中则阻断，并将对该请求的阻断报错信息（如“攻击无效”）返回给参赛者终端系统605；若没有命中则放行请求。

步骤S6：对于放行的请求，竞赛平台604判定是否解题成功。若成功返回“flag”，若不成功返回报错信息（如“攻击无效”）。

以此方式，保障了竞赛平台604的稳定性以及健壮性，可以在不影响参赛人员解题的前提下，避免参赛人员的不当操作或恶意攻击影响竞赛平台604的系统状态，提升竞赛的公平性。

图10示意性示出了适于实现根据本发明实施例的系统防护方法的电子设备的方框图。

如图10所示，根据本发明实施例的电子设备1000包括处理器1001，其可以根据存储在只读存储器（ROM）1002中的程序或者从存储部分1008加载到随机访问存储器（RAM）1003中的程序而执行各种适当的动作和处理。处理器1001例如可以包括通用微处理器（例如CPU）、指令集处理器和/或相关芯片组和/或专用微处理器（例如，专用集成电路（ASIC））等等。处理器1001还可以包括用于缓存用途的板载存储器。处理器1001可以包括用于执行根据本发明实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

在RAM 1003中，存储有电子设备1000操作所需的各种程序和数据。处理器 1001、ROM 1002以及RAM 1003通过总线1004彼此相连。处理器1001通过执行ROM 1002和/或RAM1003中的程序来执行根据本发明实施例的方法流程的各种操作。需要注意，所述程序也可以存储在除ROM 1002和RAM 1003以外的一个或多个存储器中。处理器1001也可以通过执行存储在所述一个或多个存储器中的程序来执行根据本发明实施例的方法流程的各种操作。

根据本发明的实施例，电子设备1000还可以包括输入/输出（I/O）接口1005，输入/输出（I/O）接口1005也连接至总线1004。电子设备1000还可以包括连接至I/O接口1005的以下部件中的一项或多项：包括键盘、鼠标等的输入部分1006；包括诸如阴极射线管（CRT）、液晶显示器（LCD）等以及扬声器等的输出部分1007；包括硬盘等的存储部分1008；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分1009。通信部分1009经由诸如因特网的网络执行通信处理。驱动器1010也根据需要连接至I/O接口1005。可拆卸介质1011，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器1010上，以便于从其上读出的计算机程序根据需要被安装入存储部分1008。

本发明还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本发明实施例的方法。

根据本发明的实施例，计算机可读存储介质可以是非易失性的计算机可读存储介质，例如可以包括但不限于：便携式计算机磁盘、硬盘、随机访问存储器（RAM）、只读存储器（ROM）、可擦式可编程只读存储器（EPROM或闪存）、便携式紧凑磁盘只读存储器（CD-ROM）、光存储器件、磁存储器件、或者上述的任意合适的组合。在本发明中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。例如，根据本发明的实施例，计算机可读存储介质可以包括上文描述的ROM 1002和/或RAM 1003和/或ROM 1002和RAM 1003以外的一个或多个存储器。

本发明的实施例还包括一种计算机程序产品，其包括计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。当计算机程序产品在计算机系统中运行时，该程序代码用于使计算机系统实现本发明实施例所提供的方法。

在该计算机程序被处理器1001执行时执行本发明实施例的系统/装置中限定的上述功能。根据本发明的实施例，上文描述的系统、装置、模块、单元等可以通过计算机程序模块来实现。

在一种实施例中，该计算机程序可以依托于光存储器件、磁存储器件等有形存储介质。在另一种实施例中，该计算机程序也可以在网络介质上以信号的形式进行传输、分发，并通过通信部分1009被下载和安装，和/或从可拆卸介质1011被安装。该计算机程序包含的程序代码可以用任何适当的网络介质传输，包括但不限于：无线、有线等等，或者上述的任意合适的组合。

在这样的实施例中，该计算机程序可以通过通信部分1009从网络上被下载和安装，和/或从可拆卸介质1011被安装。在该计算机程序被处理器1001执行时，执行本发明实施例的系统中限定的上述功能。根据本发明的实施例，上文描述的系统、设备、装置、模块、单元等可以通过计算机程序模块来实现。

根据本发明的实施例，可以以一种或多种程序设计语言的任意组合来编写用于执行本发明实施例提供的计算机程序的程序代码，具体地，可以利用高级过程和/或面向对象的编程语言、和/或汇编/机器语言来实施这些计算程序。程序设计语言包括但不限于诸如Java，C++，python，“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网（LAN）或广域网（WAN），连接到用户计算设备，或者，可以连接到外部计算设备（例如利用因特网服务提供商来通过因特网连接）。

附图中的流程图和框图，图示了按照本发明各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

本领域技术人员可以理解，本发明的各个实施例中记载的特征可以进行多种组合和/或结合，即使这样的组合或结合没有明确记载于本发明中。特别地，在不脱离本发明精神和教导的情况下，本发明的各个实施例中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本发明的范围。

以上对本发明的实施例进行了描述。但是，这些实施例仅仅是为了说明的目的，而并非为了限制本发明的范围。尽管在以上分别描述了各实施例，但是这并不意味着各个实施例中的措施不能有利地结合使用。不脱离本发明的范围，本领域技术人员可以做出多种替代和修改，这些替代和修改都应落在本发明的范围之内。

Claims (10)

1.一种系统防护方法，其特征在于，所述方法应用于网络安全夺旗赛中的赛题服务器或虚拟机，所述方法包括：

响应于当前触发的目标系统调用为eBPF程序挂钩的系统调用，通过所述eBPF程序捕获所述目标系统调用，其中，所述eBPF程序为注入到系统的内核空间的程序，所述eBPF程序包含有害操作拦截配置信息；

通过所述eBPF程序匹配所述目标系统调用与所述有害操作拦截配置信息；

如果匹配成功，则所述eBPF程序拦截所述目标系统调用；以及

如果匹配不成功，则所述eBPF程序放行所述目标系统调用；其中，被放行的所述目标系统调用包括用于对所述系统进行攻击的命令；

其中，所述通过所述eBPF程序匹配所述目标系统调用与所述有害操作拦截配置信息包括：

当所述目标系统调用属于所述有害操作拦截配置信息中设置的第一类系统调用时，匹配成功；其中，所述第一类系统调用包括以下至少之一：关机、重启或修改防火墙策略；

当所述目标系统调用属于所述有害操作拦截配置信息中设置的第二类系统调用时，匹配所述目标系统调用的参数与所述有害操作拦截配置信息中针对所述目标系统调用设置的第一入参数据；以及当所述目标系统调用的参数属于所述第一入参数据时，匹配成功；其中，所述第二类系统调用包括以下至少之一：用于修改网络通信的地址信息的系统调用、用于修改资产的配置信息的系统调用或用于文件写操作的系统调用。

2.根据权利要求1所述的方法，其特征在于，向所述内核空间注入所述eBPF程序的过程如下：

获取源信息，所述源信息包括要拦截的操作的信息和/或要拦截的操作的内容的信息；

基于所述源信息，生成所述eBPF程序的代码，其中，在所述eBPF程序中，根据所述要拦截的操作的信息得到所述有害操作拦截配置信息中的第一类系统调用，以及根据所述要拦截的操作的内容的信息得到所述有害操作拦截配置信息中的第二类系统调用以及所述第二类系统调用的入参数据；以及

将所述eBPF程序的代码注入到所述内核空间中，其中，在所述eBPF程序的代码注入到所述内核空间的过程中，将所述eBPF程序与所述第一类系统调用和所述第二类系统调用均进行挂钩。

3.根据权利要求2所述的方法，其特征在于，在将所述eBPF程序的代码注入到所述内核空间中的过程中，不重启所述系统。

4.根据权利要求2所述的方法，其特征在于，所述将所述eBPF程序的代码注入到所述内核空间中包括：

将所述eBPF程序的代码编译为字节码；

调用所述系统中的eBPF程序加载接口函数；以及

利用所述eBPF程序加载接口函数将所述字节码加载到所述内核空间。

5.根据权利要求2所述的方法，其特征在于，所述获取源信息包括：

向第二终端设备提供规则模板；以及

接收所述第二终端设备发送的报文，其中，所述报文是基于在所述规则模板中填写完成的所述源信息而生成的。

6.根据权利要求1所述的方法，其特征在于，所述响应于当前触发的目标系统调用为eBPF程序挂钩的系统调用，通过所述eBPF程序捕获所述目标系统调用之前，所述方法还包括：

接收第一终端设备发送的用户请求；以及

基于所述用户请求，触发所述目标系统调用。

7.根据权利要求6所述的方法，其特征在于，在所述eBPF程序拦截所述目标系统调用之后，所述方法还包括：

向第二终端设备发送对所述目标系统调用的拦截信息，其中，所述拦截信息包括所述用户请求的信息，其中，所述第二终端设备与所述第一终端设备不同。

8.一种系统防护装置，其特征在于，所述装置设置于网络安全夺旗赛中的赛题服务器或虚拟机，所述装置包括有害操作拦截模块，所述有害操作拦截模块为注入到系统的内核空间的eBPF程序，其中，所述有害操作拦截模块包括：

捕获单元，用于响应于当前触发的目标系统调用为所述eBPF程序挂钩的系统调用，捕获所述目标系统调用，其中，所述eBPF程序包含有害操作拦截配置信息；

匹配单元，用于匹配所述目标系统调用与所述有害操作拦截配置信息；

处理单元，用于：如果匹配成功，则拦截所述目标系统调用；以及如果匹配不成功，则放行所述目标系统调用；其中，被放行的所述目标系统调用包括用于对所述系统进行攻击的命令；

其中，匹配单元还用于：

当所述目标系统调用属于所述有害操作拦截配置信息中设置的第一类系统调用时，匹配成功；其中，所述第一类系统调用包括以下至少之一：关机、重启或修改防火墙策略；

当所述目标系统调用属于所述有害操作拦截配置信息中设置的第二类系统调用时，匹配所述目标系统调用的参数与所述有害操作拦截配置信息中针对所述目标系统调用设置的第一入参数据；以及当所述目标系统调用的参数属于所述第一入参数据时，匹配成功；其中，所述第二类系统调用包括以下至少之一：用于修改网络通信的地址信息的系统调用、用于修改资产的配置信息的系统调用或用于文件写操作的系统调用。

9.一种电子设备，包括：

一个或多个处理器；

存储器，用于存储一个或多个程序，

其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器执行权利要求1~7中任一项所述的方法。

10.一种计算机可读存储介质，其上存储有计算机程序指令，该计算机程序指令被处理器执行时实现权利要求1~7中任一项所述的方法。

Images