[发明专利]一种监测单元及方法

权利要求书

1.一种操作系统的监测单元，所述操作系统包括提供核心操作的内核空间和提供各种应用的用户空间，所述用户空间中的应用通过发起系统调用来调用内核空间中提供的相应核心操作，其中，

该监测单元加载于操作系统的内核空间中，其包括：

截获模块，适于在与系统调用相对应的核心操作被执行之前截获所述系统调用；

判断模块，适于判断所述系统调用是否合法;

告警模块，在所述判断模块判断该系统调用非法时，拒绝该系统调用并生成告警信息；以及

恢复模块，在所述判断模块判断该系统调用合法时，允许该系统调用，恢复该系统调用的执行，

其中，所述核心操作为各种与文件相关的操作，以及所述系统调用为各种与文件操作相关的系统调用。

2.根据权利要求1所述的监测单元，其中，

所述判断模块包括配置信息，所述配置信息包括一个或者多个配置项，每个配置项包括所述系统调用涉及的文件的文件信息和/或发起该系统调用的应用的应用信息，

其中所述判断模块根据所述配置信息来判断该系统调用是否合法。

3.根据权利要求2所述的监测单元，其中所述文件信息包括文件的路径信息和/或名称，所述应用信息包括所述应用在操作系统中的唯一标识号。

4.根据权利要求2或3所述的监测单元，其中在所述配置信息中的每个配置项包括文件的文件信息和应用的唯一标识号的情形下，当所述系统调用涉及的文件的文件信息以及发起该系统调用的应用的唯一标识号不存在于所述配置信息的任一个配置项中时，所述判断模块判断该系统调用为非法。

5.根据权利要求4所述的监测单元，其中每个配置项还包括操作权限；

当所述系统调用涉及的文件的文件信息以及发起该系统调用的应用的唯一标识号存在于所述配置信息的配置项中,但是该系统调用所需要的文件操作权限和所述配置项中的操作权限不匹配时，所述判断模块判断该系统调用为非法。

6.根据权利要求4或5所述的监测单元，还包括：

通信模块，其与所述用户空间的监测客户端进行通信，读取所述监测客户端中的配置信息并将其传送给判断模块，以及将告警模块生成的告警信息传送至所述监测客户端。

7.一种监测操作系统的监测方法,所述操作系统包括提供核心操作的内核空间和提供各种应用的用户空间，所述用户空间中的应用通过发起系统调用来调用内核空间中提供的相应核心操作，所述核心操作为各种与文件相关的操作，以及所述系统调用为各种与文件操作相关的系统调用，所述监测方法包括:

在与系统调用相对应的核心操作被执行之前截获所述系统调用;以及

判断所述系统调用是否合法,当其合法时允许该系统调用,否则拒绝该系统调用。

8.根据权利要求7所述的监测方法，其中，所述判断所述系统调用是否合法的步骤包括：根据所述系统调用涉及的文件信息和/或发起该系统调用的应用的应用信息来判断该系统调用是否合法。

9.根据权利要求8所述的监测方法，其中，

所述文件信息包括文件的路径信息和/或名称，所述应用信息包括所述应用在操作系统中的唯一标识号，

所述方法还包括：

在所述内核空间存储配置信息，所述配置信息包括一个或者多个配置项，每个配置项包括文件的文件信息和应用的唯一标识号；

其中，所述判断所述系统调用是否合法的步骤为：当系统调用涉及的文件的文件信息以及发起该系统调用的应用的唯一标识号不存在于所述配置信息的任一个配置项中时，判断该系统调用为非法，否则判断该系统调用为合法。

10.根据权利要求9所述的监测方法，其中，

每个配置项还包括操作权限；

所述判断所述系统调用非法的步骤为：当系统调用涉及的文件的文件信息以及发起该系统调用的应用的唯一标识号存在于所述配置信息的配置项中,但是该系统调用所需要的文件操作权限和所述配置项中的操作权限不匹配时，判断该系统调用为非法。

11.根据权利要求7-10中任一个所述的监测方法，其中，

在判断该系统调用非法时拒绝该系统调用的步骤之后还包括：生成告警信息。

12.根据权利要求7-11中任一个所述的监测方法，还包括：

接收监测客户端每隔一段时间发送的心跳检测，并向监测客户端发送相应的反馈信息。