WO2020007249A1 - 一种操作系统安全主动防御方法及操作系统 - Google Patents

一种操作系统安全主动防御方法及操作系统 Download PDF

Info

Publication number
WO2020007249A1
WO2020007249A1 PCT/CN2019/093831 CN2019093831W WO2020007249A1 WO 2020007249 A1 WO2020007249 A1 WO 2020007249A1 CN 2019093831 W CN2019093831 W CN 2019093831W WO 2020007249 A1 WO2020007249 A1 WO 2020007249A1
Authority
WO
WIPO (PCT)
Prior art keywords
check
operating system
defense
sub
security
Prior art date
Application number
PCT/CN2019/093831
Other languages
English (en)
French (fr)
Inventor
戚跃民
宋汉石
曹宇
汪毅
孟飞宇
马哲
蒋利兵
Original Assignee
中国银联股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中国银联股份有限公司 filed Critical 中国银联股份有限公司
Publication of WO2020007249A1 publication Critical patent/WO2020007249A1/zh

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/033—Test or assess software
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/034—Test or assess a computer or a system

Definitions

  • the present invention relates to computer technology, and in particular, to an active security defense method of an operating system and an operating system.
  • the intelligent operating system represented by Android is widely used in smart POS because of rich interface functions and convenient application development.
  • the popularity of smart POS is getting higher and higher.
  • the Andorid system belongs to a common operating system and frequent version updates, there are inevitably many types of security vulnerabilities such as cache overflows and elevation of privileges.
  • the present invention aims to provide an operating system security active defense method capable of actively detecting the security state of the system and whether key components are invaded, and an operating system.
  • the legitimacy check step checks the legitimacy of the active defense program itself, and loads and runs the active defense program when the check is legal;
  • the defense checking step is performed periodically.
  • the defense inspection step includes one or more of the following sub-steps:
  • Custom check sub-step to check user-defined system abnormal behavior.
  • the file system check sub-step it is checked whether an unknown file other than the white list exists in a key location of the file system in the operating system, and the checked location is located in a directory where the system executable program and the configuration file are located.
  • the key process checking sub-step it is checking whether a privileged process other than the white list exists in the operating system.
  • the configuration checking sub-step it is checked whether a critical security configuration has been tampered with.
  • the network communication checking sub-step it is checked whether all TCP / UDP ports listening to the external operating system are in a white list.
  • identifying a malicious program that has a high CPU usage for a long time or frequent memory application or frequent access violations is identified.
  • the method further includes:
  • the safety action execution step the active defense program automatically executes a predetermined safety action.
  • the operating system is an operating system of a POS terminal.
  • the operating system of the present invention is characterized in that a kernel module is provided in a system kernel of the operating system, and the kernel module is provided with:
  • the legitimacy check submodule is used to check the legitimacy of the active defense program itself, and load and run the active defense program if the check is legal;
  • the defense inspection module includes one or more of the following submodules:
  • a file system check submodule that performs a file system check
  • a configuration check submodule that performs a security configuration check of the operating system
  • a network communication inspection sub-module that performs a network communication inspection
  • a system resource check submodule that performs a system resource occupancy check
  • Custom check submodule that checks user-defined system abnormal behavior.
  • the operating system is an operating system of a POS terminal.
  • the operating system of the present invention is characterized in that an executable file module is integrated into the firmware of the operating system, and the executable file module includes:
  • the legitimacy check submodule is used to check the legitimacy of the active defense program itself, and load and run the active defense program if the check is legal;
  • the defense inspection module includes one or more of the following submodules:
  • a file system check submodule that performs a file system check
  • a configuration check submodule that performs a security configuration check of the operating system
  • a network communication inspection sub-module that performs a network communication inspection
  • a system resource check submodule that performs a system resource occupancy check
  • Custom check submodule that checks user-defined system abnormal behavior.
  • the operating system is an operating system of a POS terminal.
  • the computer-readable medium of the present invention has a computer program stored thereon, which is characterized in that the computer program implements the above-mentioned method of operating system active and active defense when executed by a processor.
  • the computer equipment of the present invention includes a memory, a processor, and a computer program stored on the memory and can be run on the processor, characterized in that, when the processor executes the computer program, the above-mentioned method for implementing active and secure defense of an operating system .
  • an active defense scheme for an intelligent POS terminal operating system is proposed, which can actively detect the security status of the system and whether key components have been invaded, which is in line with other schemes of the same type Compared, it has the characteristics of strong versatility and ability to defend against unknown threats.
  • FIG. 1 is a flowchart showing a method for operating system security and active defense according to the present invention.
  • FIG. 2 shows a specific embodiment of the validity check step S100.
  • FIG. 3 is a schematic structural diagram of an operating system according to an embodiment of the present invention.
  • FIG. 4 is a schematic structural diagram of a defense inspection module according to an embodiment of the present invention.
  • FIG. 5 is a block diagram of an operating system according to still another embodiment of the present invention.
  • FIG. 6 is a schematic diagram showing a structure of a defense inspection module according to still another embodiment of the present invention.
  • a main invention point of the present invention is that an active defense program code is embedded in the firmware of the operating system.
  • the active defense program is integrated in the system kernel or firmware. If it is integrated in the system kernel, it is reflected as an Android kernel module.
  • Integrated in the firmware it is embodied as an executable file. Its physical storage location can be in the Boot partition or the System partition.
  • Another main invention of the present invention is to define the behavior characteristics of the active defense program. Through these actions, it is possible to detect intrusions against the operating system in a timely manner and perform corresponding security actions.
  • FIG. 1 is a flowchart showing a method for operating system security and active defense according to the present invention.
  • the operating system security active defense method of the present invention includes:
  • Step S100 of legitimacy check check the legitimacy of the active defense program itself, and load and run the active defense program under the condition of legality check;
  • Defense check step S200 system security check using an active defense program
  • Safety action execution step S300 The active defense program automatically executes a predetermined safety action.
  • the legitimacy check step S100 is to ensure the legitimacy of the active defense program itself.
  • the checking method is completed by the self-check of the POS terminal.
  • the check includes whether the digital signatures of the executable file and configuration file of the active defense program are legitimate Whether the process status of the defense program is normal. If the firmware legitimacy check program finds an exception, it triggers the terminal to fail or self-destruct.
  • FIG. 2 shows a specific embodiment of the validity check step S100.
  • step S1 the digital signature of the active defense program is read in step S2
  • step S3 the corresponding public key in the operating system is read in step S3
  • step S4 the digital signature is checked in step S4 If it is valid, the next check step (ie, the defense check step S200) is continued in step S5. If the check result is illegal, the check fails.
  • the active defense program in the present invention is automatically started and executed before the operating system is started. If the active defense program is integrated in the system kernel, it is directly initialized and executed by the kernel. If the program is integrated in the firmware, it is directly initialized and executed by the Init process. After the legality check step of the active defense program is completed, it will automatically load and run, and continue to the defense check step S200 to confirm the security status of the system.
  • a timer is set, and then the defense check step S200 is performed periodically, thereby actively checking the security environment of the operating system.
  • the purpose of the file system check is to check whether there are unknown files outside the white list at the key locations of the file system.
  • the check locations are located in the directory where the system executables and configuration files are located.
  • the files checked include but are not limited to:
  • the purpose of checking the system's key processes is to check whether there are any privileged processes outside the white list in the operating system.
  • the checking methods include but are not limited to:
  • the purpose of the system's security configuration check is to check whether the critical security configuration has been tampered with.
  • the inspection methods mainly include reading configuration information and attempting illegal operations, including but not limited to:
  • An illegal operation is attempted, such as running a diagnostic program as an unprivileged user, attempting to access an unauthorized path or elevating permissions, and it is expected to fail.
  • the purpose of the system's network communication check is to check whether unknown network services are turned on. These services may be created by Trojans.
  • the main method is to check whether all TCP / UDP ports listening on the outside are in the white list.
  • the purpose of checking the system resource occupation is to identify some characteristic behaviors of malicious programs when exploiting vulnerabilities, such as high CPU usage for a long time, frequent memory application, and frequent access violations.
  • a security action execution step S300 may be further performed (this step is an optional step).
  • the active defense program automatically performs a predetermined security action. For example, such as securely locking the smart POS, or triggering a self-destruct operation.
  • the user may be notified at the same time by means of screen display and sound alarm, or send alarm information to the management platform in the background.
  • the operating system of the operating system POS terminal includes but is not limited to the operating system in the POS.
  • FIG. 3 is a schematic structural diagram of an operating system according to an embodiment of the present invention.
  • the system kernel 100 of the operating system of the present invention includes a kernel module 110, and the kernel module 110 includes: a legality check submodule 111 for checking the legality of the active defense program itself. Load and run the active defense program under legal conditions.
  • the defense check sub-module 112 is used for system security check using the active defense program.
  • the security action execution module 113 automatically executes predetermined security actions by the active defense program.
  • FIG. 4 is a schematic structural diagram of a defense inspection module according to an embodiment of the present invention.
  • the defense check module 112 includes one or more of the following sub-modules: a file system check sub-module 11 performing a file system check; a key process check sub-module 12 performing a key process check; and an operating system execution Configuration check submodule 13 for security configuration check; network communication check submodule 14 for performing network communication check; system resource check submodule 15 for performing system resource occupancy check; and custom check for user-defined system abnormal behavior Sub-module 16.
  • FIG. 5 is a block diagram of an operating system according to still another embodiment of the present invention.
  • an executable file module 210 is integrated into the firmware 200 of the operating system according to another embodiment of the present invention.
  • the executable file module 210 is provided with: a legitimacy check submodule 211 that checks the legitimacy of the active defense program itself, and loads and runs the active defense program if the check is legal; the defense check submodule 212 uses active defense The program performs a system security check; and a security action execution module 113 uses an active defense program to automatically execute a predetermined security action.
  • the defense check module 212 includes one or more of the following sub-modules: a file system check sub-module 21 that performs a file system check; a key process check sub-module 22 that performs a key process check; and a security configuration check of an operating system Configuration check sub-module 23; network communication check sub-module 24 that performs check of network communication; system resource check sub-module 25 that performs system resource occupancy check; and custom check sub-module 26 that checks user-defined system abnormal behavior.
  • the present invention also provides a computer-readable medium having a computer program stored thereon, which is characterized in that the computer program implements the above-mentioned method of operating system security and active defense when executed by a processor.
  • the present invention also provides a computer device including a memory, a processor, and a computer program stored on the memory and executable on the processor, wherein the processor implements the foregoing operations when the computer program is executed. Active approach to system security.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computing Systems (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Computer And Data Communications (AREA)
  • Stored Programmes (AREA)

Abstract

本发明涉及一种操作系统安全主动防御方法以及操作系统。该操作系统安全主动防御方法包括下述步骤：合法性检查步骤，对主动防御程序自身的合法性进行检查，在检查合法的情况下加载运行主动防御程序加载；以及防御检查步骤，利用主动防御程序进行系统安全检查。根据本发明的操作系统以及操作系统安全主动防御方法，能够发现利用未公开的漏洞入侵的恶意程序，而且，具备对关键位置出现的外源性代码的检测能力。

Description

一种操作系统安全主动防御方法及操作系统 技术领域
本发明涉及计算机技术，具体地操作系统安全主动防御方法以及一种操作系统。
背景技术
随着支付技术的发展，以Android为代表的智能操作系统因为界面功能丰富、应用开发便捷等原因而在智能POS上广泛使用，智能POS的普及率越来越高。在提升支付体验的同时，由于Andorid系统属于通用操作系统，且版本更新频繁，不可避免的存在大量诸如缓存溢出、提权等类型的安全漏洞。
目前行业通行做法是通过建立漏洞监控机制，及时更新安全补丁来减缓漏洞的影响，但这无法防御小范围传播的未被官方修复的0Day漏洞。
由于交易应用都是安装在Android操作系统中，这些漏洞会对智能POS整体安全性造成威胁。因此有必要找到一种能够减缓未知漏洞威胁的防御机制，能够及时发现系统入侵行为，并进行锁定和告警。
公开于本发明背景部分的信息仅仅旨在增加对本发明的总体背景的理解，而不应当被视为承认或以任何形式暗示该信息构成已为本领域一般技术人员所公知的现有技术。
发明内容
鉴于上述问题，本发明旨在提供一种能够主动检测系统的安全状态以及关键组件是否被入侵的操作系统安全主动防御方法以及一种操作系统。
本发明的操作系统安全主动防御方法，其特征在于，包括下述步骤：
合法性检查步骤，对主动防御程序自身的合法性进行检查，在检查合法的情况下加载运行主动防御程序加载；以及
防御检查步骤，利用主动防御程序进行系统安全检查。
可选地，周期性执行所述防御检查步骤。
可选地，在所述防御检查步骤中包括以下的一个子步骤或者多个子步骤：
执行文件系统的检查的文件系统检查子步骤；
执行关键进程的检查的关键进程检查子步骤；
执行操作系统的安全配置检查的配置检查子步骤；
执行网络通信的检查的网络通信检查子步骤；
执行系统资源占用情况检查的系统资源检查子步骤；以及
检查用户自定义的系统异常行为的自定义检查子步骤。
可选地，在文件系统检查子步骤中，检查操作系统中的文件系统关键位置是否存在白名单以外的未知文件，并且，检查的位置位于系统可执行程序和配置文件所在的目录。
可选地，在所述关键进程检查子步骤中，是检查操作系统中是否存在白名单之外的特权进程。
可选地，在所述配置检查子步骤中，检查关键的安全配置是否被篡改。
可选地，在所述网络通信检查子步骤中，检查操作系统的所有对外侦听的TCP/UDP端口是否都在白名单中。
可选地，在所述系统资源检查子步骤中，识别恶意程序长时间CPU占用过高或频繁的内存申请或频繁访问违例。
可选地，当所述防御检查步骤中检查到系统安全存在的问题的情况下，后进一步具备：
安全动作执行步骤，主动防御程序自动执行预定的安全动作。
可选地，所述操作系统是POS终端的操作系统。
本发明的操作系统，其特征在于，在所述操作系统的系统内核中具备内核模块，在所述内核模块具备：
合法性检查子模块，用于对主动防御程序自身的合法性进行检查，在检查为合法的情况下加载运行主动防御程序加载；以及
防御检查子模块，用于利用主动防御程序进行系统安全检查。
可选地，所述防御检查模块包括以下的一个子模块或者多个子模块：
执行文件系统的检查的文件系统检查子模块；
执行关键进程的检查的关键进程检查子模块；
执行操作系统的安全配置检查的配置检查子模块；
执行网络通信的检查的网络通信检查子模块；
执行系统资源占用情况检查的系统资源检查子模块；以及
检查用户自定义的系统异常行为的自定义检查子模块。
可选地，所述操作系统是POS终端的操作系统。
本发明的操作系统，其特征在于，在所述操作系统的固件中集成有可执行文件模块，所述可执行文件模块具备：
合法性检查子模块，用于对主动防御程序自身的合法性进行检查，在检查为合法的情况下加载运行主动防御程序加载；以及
防御检查子模块，用于利用主动防御程序进行系统安全检查。
可选地，所述防御检查模块包括以下的一个子模块或者多个子模块：
执行文件系统的检查的文件系统检查子模块；
执行关键进程的检查的关键进程检查子模块；
执行操作系统的安全配置检查的配置检查子模块；
执行网络通信的检查的网络通信检查子模块；
执行系统资源占用情况检查的系统资源检查子模块；以及
检查用户自定义的系统异常行为的自定义检查子模块。
可选地，所述操作系统是POS终端的操作系统。
本发明的计算机可读介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现上述的操作系统安全主动防御方法。
本发明的计算机设备，包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现上述的操作系统安全主动防御方法。
根据本发明的操作系统安全主动防御方法以及操作系统，提出了一种用于智能POS终端操作系统的主动防御方案，能够主动检测系统的安全状态以及关键组件是否被入侵，与同类型其他方案相比，具有通用性强、能够防御未知威胁等特点。
通过纳入本文的附图以及随后与附图一起用于说明本发明的某些原理的具体实施方式，本发明的方法和装置所具有的其它特征和优点将更为具体地变得清楚或得以阐明。
附图说明
图1是表示本发明的操作系统安全主动防御方法的流程图。
图2是表示合法性检查步骤S100的一个具体的实施方式。
图3是本发明的一实施方式的操作系统的构造示意图。
图4是本发明的一实施方式的防御检查模块的构造示意图。
图5是本发明再一实施方式的操作系统的框图。
图6是表示本发明再一实施方式的防御检查模块的构造示意图。
具体实施方式
下面介绍的是本发明的多个实施例中的一些，旨在提供对本发明的基本了解。并不旨在确认本发明的关键或决定性的要素或限定所要保护的范围。
本发明的一个主要发明点在于，在操作系统的固件中嵌入一段主动防御程序代码，该主动防御程序集成在系统内核或固件中，如果集成在系统内核中，则体现为一个Android内核模块，如果集成在固件中，则体现为一个可执行文件。其物理存储位置可以在Boot分区，也可以在System分区。
本发明另一个主要发明点在于，定义了该主动防御程序的行为特征。通过这些行为，能够及时发现针对操作系统的入侵行为，并执行相应的安全动作。
首先，对于本发明的操作系统安全主动防御方法进行说明。
图1是表示本发明的操作系统安全主动防御方法的流程图。
如图1所示，本发明的操作系统安全主动防御方法包括：
合法性检查步骤S100：对主动防御程序自身的合法性进行检查，在检查合法的情况下加载运行主动防御程序加载；
防御检查步骤S200：利用主动防御程序进行系统安全检查；以及
安全动作执行步骤S300：主动防御程序自动执行预定的安全动作。
接着，对于这些步骤的具体内容进行说明。以下说明以操作系统是POS终端的情况进行说明。
合法性检查步骤S100是用于确保主动防御程序自身的合法性，检查的方法由POS终端的自检完成，检查的内容包括主动防御程序自身的可执行文件和配置文件的数字签名是否合法，主动防御程序的进程状态是否正常等。如果固件合法性检查程序发现异常，则触发终端失效或自毁。
图2是表示合法性检查步骤S100的一个具体的实施方式。
如图2所示，在步骤S1中操作系统开机，在步骤S2中读取主动防御程序 的数字签名，在步骤S3中读取操作系统中对应的公钥，在步骤S4中检查数字签名是否合法，若合法则在步骤S5中继续下一步的检查步骤(即防御检查步骤S200)，若检查结果为非合法，则提示检查失败。
本发明中的主动防御程序是在操作系统开机前期自动启动执行。如果主动防御程序集成在系统内核中，则由内核直接初始化执行。如果程序集成在固件中，则由Init进程直接初始化执行。当主动防御程序的合法性检查步骤完成之后，则自动加载运行，继续进防御检查步骤S200，由此来确认系统的安全状态。
作为防御检查步骤S200的具体内容可以列举以下检查：
(1)检查文件系统关键位置的文件是否都在白名单中；
(2)检查加载的内核模块是否都在白名单中；
(3)检查以特权用户运行的进程是否都在白名单中；
(4)检查所有正在运行的进程是否都来源于已知位置；
(5)检查是否存在资源占用异常的进程；
(6)检查操作系统关键配置是否与预定义的值一致；
(7)检查网络侦听端口是否都在白名单中；
(8)检查其它用户自定义的异常行为特征。
在本发明中，对于防御检查步骤S200，作为一个实施方式，设置一个定时器，然后周期性地执行防御检查步骤S200，由此，对操作系统安全环境进行主动检查。
以上是是举例说明防御检查步骤S200的一些检查内容。如果对于防御检查步骤S200的内容进行分类的话，大致可以分为以下几类：
(a)文件系统的检查；
(b)关键进程的检查；
(c)操作系统的安全配置检查；
(d)网络通信的检查；
(e)系统资源占用情况检查；以及
(f)其他用户自定义的系统异常行为的检查。
接着，对于这些检查分类的具体内容进行说明。
(a)对文件系统的检查。
对于文件系统检查的目的是检查文件系统关键位置是否存在白名单以外的未知文件，检查的位置位于系统可执行程序和配置文件所在的目录，检查的文件包括但不限于：
1)文件系统根目录:/
2)PATH环境变量中所包含的路径，包括/sbin；/system/bin；/system/xbin等，且应包括su/busybox等与提权相关的文件；
3)关键的系统目录，如/system/lib/modules等。
(b)对于系统关键进程的检查
对于系统关键进程的检查其目的是检查操作系统中是否存在白名单之外的特权进程，检查手段包括但不限于：
1)检查已加载的内核模块是否都在白名单中；
2)检查以非shell和应用用户运行的进程是否都在白名单中；
3)检查进程的启动命令行和位置是否来源于常见目录，是否存在无对应可执行文件的进程。
(c)对于系统的安全配置检查
对于系统的安全配置检查其目的是检查关键的安全配置是否被篡改，检查手段主要是通过读取配置信息、尝试非法操作等，包括但不限于：
1)检查系统安全属性值，如ro.secure和ro.debuggable；
2)检查安全机制是否开启，如randomize_va_space等；
3)检查关键分区和文件属性，如system分区是否为ro；
4)尝试非法操作，如以非特权用户运行诊断程序，尝试访问未授权路径或提升权限，预期失败。
(d)对于系统的网络通信检查
对于系统的网络通信检查其目的是检查是否开启了未知的网络服务，这些服务可能是由木马所创建的，主要手段是检查所有对外侦听的TCP/UDP端口是否都在白名单中。
(e)对于系统资源占用情况的检查
对于系统资源占用情况的检查其目的是识别恶意程序在利用漏洞时的一些特征行为，如长时间CPU占用过高、频繁的内存申请、频繁访问违例等。
另外，当防御检查步骤S200的检查过程中发现异常后，接着可以进一步进行安全动作执行步骤S300(该步骤为可选步骤)。在安全动作执行步骤S300中，主动防御程序自动执行预定的安全动作。例如，如安全锁定智能POS，或者触发自毁操作等。进一步也可以同时，屏幕显示、声音报警等方式告知用户，或者后台发送告警信息给管理平台。
以上是以操作系统POS终端的操作系统为例进行说明，但是本发明的操作系统包含但不限于POS中的操作系统。
以上说明了本发明的操作系统安全主动防御方法，接着对于本发明的操作系统的进行说明。
图3是本发明的一实施方式的操作系统的构造示意图。
如图2所示，本发明的操作系统的系统内核100中具备内核模块110，在内核模块110具备：合法性检查子模块111，用于对主动防御程序自身的合法性进行检查，在检查为合法的情况下加载运行主动防御程序加载；防御检查子模块112，用于利用主动防御程序进行系统安全检查；以及安全动作执行模块113，由主动防御程序自动执行预定的安全动作。
图4是本发明的一实施方式的防御检查模块的构造示意图。如图3所示，防御检查模块112包括以下的一个子模块或者多个子模块：执行文件系统的检查的文件系统检查子模块11；执行关键进程的检查的关键进程检查子模块12；执行操作系统的安全配置检查的配置检查子模块13；执行网络通信的检查的网络通信检查子模块14；执行系统资源占用情况检查的系统资源检查子模块15以及检查用户自定义的系统异常行为的自定义检查子模块16。
接着，对于本发明再一实施方式的操作系统进行说明。
图5是本发明再一实施方式的操作系统的框图。如图4所示，本发明再一实施方式的操作系统的固件200中集成有可执行文件模块210。其中，可执行文件模块210具备：合法性检查子模块211，对主动防御程序自身的合法性进行检查，在检查为合法的情况下加载运行主动防御程序加载；防御检查子模块212，利用主动防御程序进行系统安全检查；以及安全动作执行模块113，利用主动防御程序自动执行预定的安全动作。
图6是本发明再一实施方式的防御检查模块的构造示意图。所述防御检查 模块212包括以下的一个子模块或者多个子模块：执行文件系统的检查的文件系统检查子模块21；执行关键进程的检查的关键进程检查子模块22；执行操作系统的安全配置检查的配置检查子模块23；执行网络通信的检查的网络通信检查子模块24；执行系统资源占用情况检查的系统资源检查子模块25以及检查用户自定义的系统异常行为的自定义检查子模块26。
进一步，本发明还提供一种计算机可读介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现上述的操作系统安全主动防御方法。
进一步，本发明还提供一种计算机设备，包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现上述的操作系统安全主动防御方法。
根据本发明的操作系统以及操作系统安全主动防御方法，能够发现利用未公开的漏洞入侵的恶意程序，而且，具备对关键位置出现的外源性代码的检测能力。
以上，例子主要说明了本发明的操作系统以及操作系统安全主动防御方法。尽管只对其中一些本发明的具体实施方式进行了描述，但是本领域普通技术人员应当了解，本发明可以在不偏离其主旨与范围内以许多其他的形式实施。因此，所展示的例子与实施方式被视为示意性的而非限制性的，在不脱离如所附各权利要求所定义的本发明精神及范围的情况下，本发明可能涵盖各种的修改与替换。

Claims (18)

  1. 一种操作系统安全主动防御方法，其特征在于，包括：
    合法性检查步骤，对主动防御程序自身的合法性进行检查，在检查合法的情况下加载运行主动防御程序加载；以及
    防御检查步骤，利用主动防御程序进行系统安全检查。
  2. 如权利要求1所述的操作系统安全主动防御方法，其特征在于，
    周期性执行所述防御检查步骤。
  3. 如权利要求1所述的操作系统安全主动防御方法，其特征在于，
    在所述防御检查步骤中包括以下的一个子步骤或者多个子步骤：
    执行文件系统的检查的文件系统检查子步骤；
    执行关键进程的检查的关键进程检查子步骤；
    执行操作系统的安全配置检查的配置检查子步骤；
    执行网络通信的检查的网络通信检查子步骤；
    执行系统资源占用情况检查的系统资源检查子步骤；以及
    检查用户自定义的系统异常行为的自定义检查子步骤。
  4. 如权利要求3所述的操作系统安全主动防御方法，其特征在于，
    在文件系统检查子步骤中，检查操作系统中的文件系统关键位置是否存在白名单以外的未知文件，并且，检查的位置位于系统可执行程序和配置文件所在的目录。
  5. 如权利要求3所述的操作系统安全主动防御方法，其特征在于，
    在所述关键进程检查子步骤中，是检查操作系统中是否存在白名单之外的特权进程。
  6. 如权利要求3所述的操作系统安全主动防御方法，其特征在于，
    在所述配置检查子步骤中，检查关键的安全配置是否被篡改。
  7. 如权利要求3所述的操作系统安全主动防御方法，其特征在于，
    在所述网络通信检查子步骤中，检查操作系统的所有对外侦听的TCP/UDP端口是否都在白名单中。
  8. 如权利要求3所述的操作系统安全主动防御方法，其特征在于，
    在所述系统资源检查子步骤中，识别恶意程序长时间CPU占用过高或频繁的内存 申请或频繁访问违例。
  9. 如权利要求1所述的操作系统安全主动防御方法，其特征在于，当所述防御检查步骤中检查到系统安全存在的问题的情况下，后进一步具备：
    安全动作执行步骤，主动防御程序自动执行预定的安全动作。
  10. 如权利要求1～9任意一项所述的操作系统安全主动防御方法，其特征在于，所述操作系统是POS终端的操作系统。
  11. 一种操作系统，其特征在于，在所述操作系统的系统内核中具备内核模块，在所述内核模块具备：
    合法性检查子模块，用于对主动防御程序自身的合法性进行检查，在检查为合法的情况下加载运行主动防御程序加载；以及
    防御检查子模块，用于利用主动防御程序进行系统安全检查。
  12. 如权利要求11所述的操作系统，其特征在于，
    所述防御检查模块包括以下的一个子模块或者多个子模块：
    执行文件系统的检查的文件系统检查子模块；
    执行关键进程的检查的关键进程检查子模块；
    执行操作系统的安全配置检查的配置检查子模块；
    执行网络通信的检查的网络通信检查子模块；
    执行系统资源占用情况检查的系统资源检查子模块以及
    检查用户自定义的系统异常行为的自定义检查子模块。
  13. 如权利要求11或12所述操作系统，其特征在于，
    所述操作系统是POS终端的操作系统。
  14. 一种操作系统，其特征在于，在所述操作系统的固件中集成有可执行文件模块，所述可执行文件模块具备：
    合法性检查子模块，用于对主动防御程序自身的合法性进行检查，在检查为合法的情况下加载运行主动防御程序加载；以及
    防御检查子模块，用于利用主动防御程序进行系统安全检查。
  15. 如权利要求14所述的操作系统，其特征在于，
    所述防御检查模块包括以下的一个子模块或者多个子模块：
    执行文件系统的检查的文件系统检查子模块；
    执行关键进程的检查的关键进程检查子模块；
    执行操作系统的安全配置检查的配置检查子模块；
    执行网络通信的检查的网络通信检查子模块；
    执行系统资源占用情况检查的系统资源检查子模块；以及
    检查用户自定义的系统异常行为的自定义检查子模块。
  16. 如权利要求14或15所述的操作系统，其特征在于，
    所述操作系统是POS终端的操作系统。
  17. 一种计算机可读介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现权利要求1～10中任意一项所述的操作系统安全主动防御方法。
  18. 一种计算机设备，包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1～10中任意一项所述的操作系统安全主动防御方法。
PCT/CN2019/093831 2018-07-03 2019-06-28 一种操作系统安全主动防御方法及操作系统 WO2020007249A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201810715441.8 2018-07-03
CN201810715441.8A CN109271787A (zh) 2018-07-03 2018-07-03 一种操作系统安全主动防御方法及操作系统

Publications (1)

Publication Number Publication Date
WO2020007249A1 true WO2020007249A1 (zh) 2020-01-09

Family

ID=65152833

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2019/093831 WO2020007249A1 (zh) 2018-07-03 2019-06-28 一种操作系统安全主动防御方法及操作系统

Country Status (2)

Country Link
CN (1) CN109271787A (zh)
WO (1) WO2020007249A1 (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109271787A (zh) * 2018-07-03 2019-01-25 中国银联股份有限公司 一种操作系统安全主动防御方法及操作系统
CN110688653A (zh) * 2019-09-29 2020-01-14 北京可信华泰信息技术有限公司 客户端的安全防护方法及装置、终端设备

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103324887A (zh) * 2013-07-05 2013-09-25 百度在线网络技术（北京）有限公司 移动终端的安全防御装置、方法和移动终端
CN103473498A (zh) * 2013-09-12 2013-12-25 深圳市文鼎创数据科技有限公司 应用程序安全验证方法及终端
KR20160037415A (ko) * 2014-09-29 2016-04-06 박성빈 운영체제 불법 복제 방지 방법
CN106203125A (zh) * 2016-07-11 2016-12-07 北京小米移动软件有限公司 操作系统及其安全检测方法、安全检测装置和终端
US20170300688A1 (en) * 2016-04-14 2017-10-19 Endgame, Inc. System and Method for Detecting and Preventing Execution of Malicious Instructions within a Processor of a Computing Device
CN107491693A (zh) * 2017-07-24 2017-12-19 南京南瑞集团公司 一种具有自学习特性的工控操作系统主动防御方法
CN109271787A (zh) * 2018-07-03 2019-01-25 中国银联股份有限公司 一种操作系统安全主动防御方法及操作系统

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102571476B (zh) * 2010-12-27 2015-08-19 中国银联股份有限公司 一种实时监控终端命令行的方法和装置
CN103473508B (zh) * 2013-09-17 2016-07-27 肖楠 操作系统内核运行时安全验证方法
CN104809401B (zh) * 2015-05-08 2017-12-19 南京大学 一种操作系统内核完整性保护方法
CN104899511B (zh) * 2015-05-21 2018-01-19 成都中科慧创科技有限公司 一种基于程序行为算法的主动防御方法
CN107944232A (zh) * 2017-12-08 2018-04-20 郑州云海信息技术有限公司 一种基于白名单技术的主动防御系统的设计方法及系统

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103324887A (zh) * 2013-07-05 2013-09-25 百度在线网络技术（北京）有限公司 移动终端的安全防御装置、方法和移动终端
CN103473498A (zh) * 2013-09-12 2013-12-25 深圳市文鼎创数据科技有限公司 应用程序安全验证方法及终端
KR20160037415A (ko) * 2014-09-29 2016-04-06 박성빈 운영체제 불법 복제 방지 방법
US20170300688A1 (en) * 2016-04-14 2017-10-19 Endgame, Inc. System and Method for Detecting and Preventing Execution of Malicious Instructions within a Processor of a Computing Device
CN106203125A (zh) * 2016-07-11 2016-12-07 北京小米移动软件有限公司 操作系统及其安全检测方法、安全检测装置和终端
CN107491693A (zh) * 2017-07-24 2017-12-19 南京南瑞集团公司 一种具有自学习特性的工控操作系统主动防御方法
CN109271787A (zh) * 2018-07-03 2019-01-25 中国银联股份有限公司 一种操作系统安全主动防御方法及操作系统

Also Published As

Publication number Publication date
CN109271787A (zh) 2019-01-25

Similar Documents

Publication Publication Date Title
US11120126B2 (en) Method and system for preventing and detecting security threats
RU2390836C2 (ru) Отображение достоверности из высоконадежной среды на незащищенную среду
EP3039608B1 (en) Hardware and software execution profiling
US8028172B2 (en) Systems and methods for updating a secure boot process on a computer with a hardware security module
KR101700552B1 (ko) 보안 운영 체제 환경으로의 콘텍스트 기반 전환
US20140053267A1 (en) Method for identifying malicious executables
KR20180032566A (ko) 다수 소프트웨어 개체들에 걸쳐서 악성 행동을 트래킹하기 위한 시스템들 및 방법들
CN110119619B (zh) 创建防病毒记录的系统和方法
KR100745639B1 (ko) 파일 시스템 및 레지스트리를 보호하는 방법 및 그 장치
WO2020007249A1 (zh) 一种操作系统安全主动防御方法及操作系统
KR100745640B1 (ko) 커널 메모리를 보호하는 방법 및 그 장치
CN110941825B (zh) 一种应用监控方法及装置
KR100666562B1 (ko) 커널 드라이버 및 프로세스 보호 방법
US11822647B1 (en) Data structure for trust store
Corregedor et al. Implementing rootkits to address operating system vulnerabilities
US11928205B1 (en) Systems and methods for implementing cybersecurity using blockchain validation
RU2673407C1 (ru) Система и способ определения вредоносного файла
US20220342984A1 (en) Integrity monitor
CN117786658A (zh) 非授权应用判定方法、电子设备、计算机可读介质
CN113836542A (zh) 可信白名单匹配方法、系统和装置
He et al. An Application Vulnerability Solution
He et al. Anti-attack Model of Application in Storing State

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19831374

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19831374

Country of ref document: EP

Kind code of ref document: A1