CN117313110A - 一种对软件的完整性和运行状态的保护方法及系统 - Google Patents

一种对软件的完整性和运行状态的保护方法及系统 Download PDF

Info

Publication number
CN117313110A
CN117313110A CN202311590097.1A CN202311590097A CN117313110A CN 117313110 A CN117313110 A CN 117313110A CN 202311590097 A CN202311590097 A CN 202311590097A CN 117313110 A CN117313110 A CN 117313110A
Authority
CN
China
Prior art keywords
software
core
attack behaviors
layer
integrity
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202311590097.1A
Other languages
English (en)
Inventor
赵师伟
朱能飞
吴科
于慧超
石永杰
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Wangteng Technology Co ltd
Original Assignee
Beijing Wangteng Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Wangteng Technology Co ltd filed Critical Beijing Wangteng Technology Co ltd
Priority to CN202311590097.1A priority Critical patent/CN117313110A/zh
Publication of CN117313110A publication Critical patent/CN117313110A/zh
Pending legal-status Critical Current

Links

Classifications

    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55Detecting local intrusion or implementing counter-measures
    • G06F21/554Detecting local intrusion or implementing counter-measures involving event detection and direct action

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种对软件的完整性和运行状态的保护方法及系统,涉及信息安全技术领域。一种对软件的完整性和运行状态的保护方法,包括:通过用户层将任意一个或多个软件添加为核心软件;将核心软件的软件特征下发至驱动层;驱动层接收到软件特征后,将自身嵌入各核心软件的操作系统获取疑似攻击行为,并利用软件特征判断所述疑似攻击行为是否属于恶意攻击行为,当判断为恶意攻击行为时对恶意攻击行为进行拦截。本发明能同时对软件完整性和运行状态进行保护,确保软件及其数据的安全性。

Description

一种对软件的完整性和运行状态的保护方法及系统
技术领域
本发明涉及信息安全技术领域,具体涉及一种对软件的完整性和运行状态的保护方法及系统。
背景技术
软件是一系列按照特定顺序组织的计算机数据和指令的集合,即软件=程序+数据+文档。软件任一部分被恶意侵入,都可能导致软件的运行异常或者生产事故。目前的软件保护方法主要有两种:1.网络隔离,该方法要求设备不得接入公共网络,但是在实际操作过程中往往会有U盘使用导致病毒入侵,以及局域网病毒入侵。2.依靠划分程序和文件的权限等级,但是恶意程序往往会通过提权漏洞进行权限升级。目前,需要一种排除上述方法,能够同时对软件的完整性和运行状态进行保护的方法,确保软件及其数据的安全性。
发明内容
本发明所要解决的技术问题是如何不采用网络隔离和划分权限等级的方法,同时对软件完整性和运行状态进行保护,确保软件及其数据的安全性,目的在于提供一种对软件的完整性和运行状态的保护方法及系统,解决了上述技术问题。
本发明通过下述技术方案实现:
一种对软件的完整性和运行状态的保护方法,包括:通过用户层将任意一个或多个软件添加为核心软件;将上述核心软件的软件特征下发至驱动层;上述驱动层接收到上述软件特征后,将自身嵌入各上述核心软件的本地主机操作系统获取疑似攻击行为,并利用上述软件特征判断上述疑似攻击行为是否属于恶意攻击行为,当判断为上述恶意攻击行为时对上述恶意攻击行为进行拦截。
上述软件特征包括可执行文件、动态库、注册表、软件名称、软件提供商中的任意一项或多项数据。
上述驱动层接收到上述软件特征后,将自身嵌入各上述核心软件的本地主机操作系统获取疑似攻击行为,并利用上述软件特征判断上述疑似攻击行为是否属于恶意攻击行为,当判断为上述恶意攻击行为时对上述恶意攻击行为进行拦截,包括:当且仅当上述疑似攻击行为的被操作者是核心部件时,判断操作者是否可信;当且仅当操作者不可信时,认定上述疑似攻击行为属于所述恶意攻击行为后进行拦截,记录上述恶意攻击行为的行为信息并上传到上述用户层。
上述恶意攻击行为的行为信息包括时间、用户名、程序PID、程序路径、攻击行为,以及被攻击的程序或者文件路径中的任意一项或多项。
上述将任意一个或多个软件添加为核心软件,包括:获取本地主机所有软件的上述软件特征,根据各软件的软件特征与核心软件特征库相匹配,匹配成功后将软件添加为核心软件,然后供用户通过下发上述软件特征将任意一个或多个软件新增为上述核心软件。
上述获取本地主机所有软件的上述软件特征,通过扫描本地主机获取;通过云服务端统计上述用户层的软件扫描日志和上述驱动层的攻击保护日志。
采集多组软件保护数据;每组上述软件保护数据均包括任意一个上述核心软件的上述软件特征、上述软件扫描日志以及上述攻击保护日志;多组上述软件保护数据通过训练得到软件保护模型;上述软件保护模型用于输出各上述核心软件的软件保护策略。
一种对软件的完整性和运行状态的保护系统,包括用户层和驱动层;上述用户层用于判断是否进行初始化;当初始化时,将核心软件的软件特征下发至驱动层;并且当不初始化时,将任意一个或多个软件添加为核心软件;对上述核心软件进行管理,并将上述核心软件的软件特征下发至上述驱动层;上述驱动层用于接收到上述软件特征后,将自身嵌入各上述核心软件的本地主机操作系统获取疑似攻击行为,并利用上述软件特征判断上述疑似攻击行为是否属于恶意攻击行为,当判断为上述恶意攻击行为时对上述恶意攻击行为进行拦截。
本发明与现有技术相比,具有如下的优点和有益效果:
本发明提供一种对软件的完整性和运行状态的保护方法及系统,其首先通过用户层判断是否进行初始化;当初始化时,对核心软件进行管理,并将核心软件的软件特征下发至驱动层;当不初始化时,将各软件添加为核心软件;然后对核心软件进行管理,并将核心软件的软件特征下发至驱动层;驱动层接收到软件特征后,将自身嵌入各核心软件的操作系统实现对各核心软件的管控,从而得到各核心软件在运行时或不运行时的所有操作行为,利用软件特征判断所有操作行为是否属于恶意程序的疑似攻击行为。并对恶意程序的疑似攻击行为进行拦截,保护核心软件及其数据不被外界恶意修改。本发明能够同时对软件完整性和运行状态进行保护,确保了软件及其数据的安全性,既实现了软件未运行时软件文件及数据的完整性,又实现了当病毒已经侵入电脑时,核心软件和数据仍然不会被修改破坏,保证软件的安全运行状态。相比于网络隔离和划分权限等级的方法,能够同时防止U盘使用以及局域网导致病毒入侵的问题,也解决了由于恶意程序进行权限升级侵入的风险。
附图说明
为了更清楚地说明本发明示例性实施方式的技术方案,下面将对实施例中所需要使用的附图作简单地介绍,应当理解,以下附图仅示出了本发明的某些实施例,因此不应被看作是对范围的限定,对于本领域普通技术人员来讲,在不付出创造性劳动的前提下,还可以根据这些附图获得其他相关的附图。在附图中:
图1为本申请实施例1的软件保护架构图;
图2为本申请实施例1的用户层扫描流程图;
图3为本申请实施例1的驱动层拦截流程图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚明白,下面结合实施例和附图,对本发明作进一步的详细说明,本发明的示意性实施方式及其说明仅用于解释本发明,并不作为对本发明的限定。
实施例1
如图1~图3所示,本申请实施例提供一种对软件的完整性和运行状态的保护方法,包括:通过用户层判将任意一个或多个软件添加为核心软件;将上述核心软件的软件特征下发至驱动层;上述驱动层接收到上述软件特征后,将自身嵌入各上述核心软件的本地主机操作系统获取疑似攻击行为,并利用上述软件特征判断上述疑似攻击行为是否属于恶意攻击行为,当判断为上述恶意攻击行为时对上述恶意攻击行为进行拦截。
上述软件特征包括可执行文件、动态库、注册表、软件名称、软件提供商中的任意一项或多项数据。
上述驱动层接收到上述软件特征后,将自身嵌入各上述核心软件的本地主机操作系统获取疑似攻击行为,并利用上述软件特征判断上述疑似攻击行为是否属于恶意攻击行为,当判断为上述恶意攻击行为时对上述恶意攻击行为进行拦截,包括:当且仅当上述疑似攻击行为的被操作者是核心部件时,判断操作者是否可信;当且仅当操作者不可信时,认定上述疑似攻击行为属于所述恶意攻击行为后进行拦截,记录上述恶意攻击行为的行为信息并上传到上述用户层。
上述恶意攻击行为的行为信息包括时间、用户名、程序PID、程序路径、攻击行为,以及被攻击的程序或者文件路径中的任意一项或多项。
上述将任意一个或多个软件添加为核心软件,包括:获取本地主机所有软件的上述软件特征,根据各软件的软件特征与核心软件特征库相匹配,匹配成功后将软件添加为核心软件,然后供用户通过下发上述软件特征将任意一个或多个软件新增为上述核心软件。
上述获取本地主机所有软件的上述软件特征,通过扫描本地主机获取;通过云服务端统计上述用户层的软件扫描日志和上述驱动层的攻击保护日志。
采集多组软件保护数据;每组上述软件保护数据均包括任意一个上述核心软件的上述软件特征、上述软件扫描日志以及上述攻击保护日志;多组上述软件保护数据通过训练得到软件保护模型;上述软件保护模型用于输出各上述核心软件的软件保护策略。
应用时,本方法采用保护核心软件的软件实现,保护核心软件的如那件包括用户层和驱动层,该软件安装后,可以扫描主机内部所有软件,获取各软件的软件特征并分析其是否是核心软件,从而将符合的软件添加为核心软件。如果有新的软件需要被保护,用户可以通过本地主机手动添加该新增软件的特征数据,也可以通过云服务端直接下发需要被保护的新增软件的特征数据。
用户层在添加核心软件前,可以首先判断是否进行初始化;当初始化时,将当前核心软件的软件特征下发至驱动层,在将当前核心软件的软件特征下发至驱动层之前,用户可以对当前核心软件进行管理。当不初始化时,可以一键实现主机内部的自动扫描,从而更新所有软件的相关数据特征并向用户展示。经过汇总数据后,根据各软件的软件特征与已有核心软件特征库中的相关案例相匹配,从而自动添加核心软件,无需人为干预,提高了保护效率和减轻了管理负担。其中,可以设置各特征的权重大小从而计算得到匹配是否成功的结果。存储软件相关特征数据后,可以供用户将普通软件添加为核心软件,并且此时还可以同时添加自动匹配成功的核心软件。
用户层获取核心软件的特征之后,将相关特征下发至驱动层。驱动层通过将自身嵌入操作系统,实现对所有危险行为的管控,最后由驱动层进行拦截判断操作。通过驱动层的拦截,无论软件是否运行,核心软件都可以得到保护。核心软件为需要保障其程序和数据不被外界恶意修改的软件,当软件运行时,即使已经有勒索软件等病毒运行,其本身也能够正常运行不被外界干扰。当程序未运行时,数据将会保持其完整性。当上述核心软件未运行时,核心软件及其数据无法被其他程序进行修改、删除等操作;核心软件运行后,将无法被其他软件进行杀死、调试和修改内存等行为。当有恶意程序运行时,通过保护核心软件的软件自动记录该恶意程序的相关消息,供审计和溯源使用。通过对特征数据的扫描和记录,可以对恶意程序进行识别和记录,提高了审计和溯源的效率。
云服务端提供了集中化管理的功能,可以对核心软件进行统一管理,同时也可以供用户查看保护核心软件的软件的扫描情况和攻击防御状态。同时也可以下发所需保护的新软件特征,实现与本地管理相同的效果。该方法的自动化和集中化管理功能可以减轻管理员的工作量,提高保护效率。
上述保护核心软件的软件和核心软件可以在windows和linux系统下运行,且不影响被保护软件的正常运行。云服务端可以使用常规的服务器架设,支持多种操作系统。
实施例2
本申请实施例基于实施例1的方法提供一种对软件的完整性和运行状态的保护系统,包括用户层和驱动层;上述用户层用于判断是否进行初始化;当初始化时,将核心软件的软件特征下发至驱动层;并且当不初始化时,将任意一个或多个软件添加为核心软件;对上述核心软件进行管理,并将上述核心软件的软件特征下发至上述驱动层;上述驱动层用于接收到上述软件特征后,将自身嵌入各上述核心软件的本地主机操作系统获取疑似攻击行为,并利用上述软件特征判断上述疑似攻击行为是否属于恶意攻击行为,当判断为上述恶意攻击行为时对上述恶意攻击行为进行拦截。
上述实施例对软件的完整性和运行状态的保护系统为实施例1中的保护核心软件的软件,其原理与实施例1相同,在此不做重复描述。
综上,本申请实施例提供一种对软件的完整性和运行状态的保护方法及系统,其首先通过用户层判断是否进行初始化;当初始化时,对核心软件进行管理,并将核心软件的软件特征下发至驱动层;当不初始化时,将各软件添加为核心软件;然后对核心软件进行管理,并将核心软件的软件特征下发至驱动层;驱动层接收到软件特征后,将自身嵌入各核心软件的操作系统实现对各核心软件的管控,从而得到各核心软件在运行时或不运行时的所有操作行为,利用软件特征判断所有操作行为是否属于恶意程序的疑似攻击行为。并对恶意程序的疑似攻击行为进行拦截,保护核心软件及其数据不被外界恶意修改。本发明能够同时对软件完整性和运行状态进行保护,确保了软件及其数据的安全性,既实现了软件未运行时软件文件及数据的完整性,又实现了当病毒已经侵入电脑时,核心软件和数据仍然不会被修改破坏,保证软件的安全运行状态。相比于网络隔离和划分权限等级的方法,能够同时防止U盘使用以及局域网导致病毒入侵的问题,也解决了由于恶意程序进行权限升级侵入的风险。
本发明所提供的软件保护方法可以保障软件的完整性和运行时状态,避免了因为病毒攻击导致的业务损失和数据泄露问题,减轻了企业的风险和损失。同时,该方法具有自动化和集中化管理的特点,减轻了管理员的工作量,降低了管理成本。即使在存在病毒入侵的情况下,核心软件仍然能够正常运行,不影响业务的正常开展。
以上所述的具体实施方式,对本发明的目的、技术方案和有益效果进行了进一步详细说明,所应理解的是,以上所述仅为本发明的具体实施方式而已,并不用于限定本发明的保护范围,凡在本发明的精神和原则之内,所做的任何修改、等同替换、改进等,均应包含在本发明的保护范围之内。

Claims (10)

1.一种对软件的完整性和运行状态的保护方法,其特征在于,包括:通过用户层将任意一个或多个软件添加为核心软件;将所述核心软件的软件特征下发至驱动层;所述驱动层接收到所述软件特征后,将自身嵌入各所述核心软件的本地主机操作系统获取疑似攻击行为,并利用所述软件特征判断所述疑似攻击行为是否属于恶意攻击行为,当判断为所述恶意攻击行为时对所述恶意攻击行为进行拦截。
2.根据权利要求1所述的一种对软件的完整性和运行状态的保护方法,其特征在于,所述软件特征包括可执行文件、动态库、注册表、软件名称、软件提供商中的任意一项或多项数据。
3.根据权利要求1所述的一种对软件的完整性和运行状态的保护方法,其特征在于,所述驱动层接收到所述软件特征后,将自身嵌入各所述核心软件的本地主机操作系统获取疑似攻击行为,并利用所述软件特征判断所述疑似攻击行为是否属于恶意攻击行为,当判断为所述恶意攻击行为时对所述恶意攻击行为进行拦截,包括:当且仅当所述疑似攻击行为的被操作者是核心部件时,判断操作者是否可信;当且仅当操作者不可信时,认定所述疑似攻击行为属于所述恶意攻击行为后进行拦截,记录所述恶意攻击行为的行为信息并上传到所述用户层。
4.根据权利要求3所述的一种对软件的完整性和运行状态的保护方法,其特征在于,所述恶意攻击行为的行为信息包括时间、用户名、程序PID、程序路径、攻击行为,以及被攻击的程序或者文件路径中的任意一项或多项。
5.根据权利要求1所述的一种对软件的完整性和运行状态的保护方法,其特征在于,所述将任意一个或多个软件添加为核心软件,包括:获取本地主机所有软件的所述软件特征,根据各软件的软件特征与核心软件特征库相匹配,匹配成功后将软件添加为核心软件,然后供用户通过下发所述软件特征将任意一个或多个软件新增为所述核心软件。
6.根据权利要求5所述的一种对软件的完整性和运行状态的保护方法,其特征在于,所述获取本地主机所有软件的所述软件特征,通过扫描本地主机获取;通过云服务端统计所述用户层的软件扫描日志和所述驱动层的攻击保护日志。
7.根据权利要求6所述的一种对软件的完整性和运行状态的保护方法,其特征在于,采集多组软件保护数据;每组所述软件保护数据均包括任意一个所述核心软件的所述软件特征、所述软件扫描日志以及所述攻击保护日志;多组所述软件保护数据通过训练得到软件保护模型;所述软件保护模型用于输出各所述核心软件的软件保护策略。
8.一种对软件的完整性和运行状态的保护系统,其特征在于,包括用户层和驱动层;所述用户层用于判断是否进行初始化;当初始化时,将核心软件的软件特征下发至驱动层;并且当不初始化时,将任意一个或多个软件添加为核心软件;对所述核心软件进行管理,并将所述核心软件的软件特征下发至所述驱动层;所述驱动层用于接收到所述软件特征后,将自身嵌入各所述核心软件的本地主机操作系统获取疑似攻击行为,并利用所述软件特征判断所述疑似攻击行为是否属于恶意攻击行为,当判断为所述恶意攻击行为时对所述恶意攻击行为进行拦截。
9.一种电子设备,包括存储器、处理器以及在所述处理器上运行的计算机程序,其特征在于:所述处理器执行所述计算机程序时实现如权利要求1至7中任一项所述方法的步骤。
10.一种计算机可读存储介质,所述计算机可读存储介质存储有计算机程序,其特征在于:所述计算机程序被处理器执行时实现如权利要求1至7中任一项所述方法的步骤。
CN202311590097.1A 2023-11-27 2023-11-27 一种对软件的完整性和运行状态的保护方法及系统 Pending CN117313110A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202311590097.1A CN117313110A (zh) 2023-11-27 2023-11-27 一种对软件的完整性和运行状态的保护方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202311590097.1A CN117313110A (zh) 2023-11-27 2023-11-27 一种对软件的完整性和运行状态的保护方法及系统

Publications (1)

Publication Number Publication Date
CN117313110A true CN117313110A (zh) 2023-12-29

Family

ID=89281408

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202311590097.1A Pending CN117313110A (zh) 2023-11-27 2023-11-27 一种对软件的完整性和运行状态的保护方法及系统

Country Status (1)

Country Link
CN (1) CN117313110A (zh)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106682495A (zh) * 2016-11-11 2017-05-17 腾讯科技(深圳)有限公司 安全防护方法及安全防护装置
US20170353434A1 (en) * 2016-06-07 2017-12-07 Qualcomm Incorporated Methods for detection of reflected cross site scripting attacks
CN108229158A (zh) * 2018-01-10 2018-06-29 西安电子科技大学 一种Android中存储的用户隐私信息的保护方法
CN112653689A (zh) * 2020-12-16 2021-04-13 北京观数科技有限公司 一种终端零信任安全控制方法及系统
CN114662093A (zh) * 2020-12-08 2022-06-24 南京邮电大学 一种基于决策树分类器的php应用自我保护方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20170353434A1 (en) * 2016-06-07 2017-12-07 Qualcomm Incorporated Methods for detection of reflected cross site scripting attacks
CN106682495A (zh) * 2016-11-11 2017-05-17 腾讯科技(深圳)有限公司 安全防护方法及安全防护装置
CN108229158A (zh) * 2018-01-10 2018-06-29 西安电子科技大学 一种Android中存储的用户隐私信息的保护方法
CN114662093A (zh) * 2020-12-08 2022-06-24 南京邮电大学 一种基于决策树分类器的php应用自我保护方法
CN112653689A (zh) * 2020-12-16 2021-04-13 北京观数科技有限公司 一种终端零信任安全控制方法及系统

Similar Documents

Publication Publication Date Title
US11625485B2 (en) Method of malware detection and system thereof
US10977370B2 (en) Method of remediating operations performed by a program and system thereof
US11507663B2 (en) Method of remediating operations performed by a program and system thereof
US8074281B2 (en) Malware detection with taint tracking
RU2698776C2 (ru) Способ ведения базы данных и соответствующий сервер
US8065728B2 (en) Malware prevention system monitoring kernel events
CN103620613B (zh) 用于基于虚拟机监视器的反恶意软件安全的系统和方法
US6907396B1 (en) Detecting computer viruses or malicious software by patching instructions into an emulator
US7620990B2 (en) System and method for unpacking packed executables for malware evaluation
EP3362937B1 (en) Method of remediating a program and system thereof by undoing operations
CN102332072A (zh) 用于检测恶意软件和管理恶意软件相关信息的系统和方法
CN102629310A (zh) 用于保护计算机系统免遭恶意对象活动侵害的系统和方法
KR20090031393A (ko) 패턴 탐지 기반의 웹쉘 관제 시스템 및 그 방법
CN115906184B (zh) 一种控制进程访问文件的方法、装置、介质及电子设备
CN117032894A (zh) 容器安全状态检测方法、装置、电子设备及存储介质
CN115086081B (zh) 一种蜜罐防逃逸方法及系统
CN117313110A (zh) 一种对软件的完整性和运行状态的保护方法及系统
CN114186222A (zh) 一种勒索病毒的防护方法及系统
KR101234063B1 (ko) 악성코드 자동 수집 시스템
CN115080357A (zh) 一种复杂工控中各工控运行设备中数据的监测方法及系统
GB2612380A (en) Verification method and verification system for information and communication safety protection mechanism
CN114115936A (zh) 一种计算机程序的升级方法、装置、电子设备及存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination