[发明专利]一种基于驱动级程序的APT预防方法及系统

权利要求书

1.一种基于驱动级程序的APT预防方法，其特征在于，包括：

在系统启动前，HOOK拦截操作系统所有启动项；

判断所拦截的操作系统启动项是否为最小启动项；如果是，则加载所述操作系统启动项，否则拦截，并进行静态模式匹配；所述最小启动项为能够完成操作系统基本服务的启动项；

判断所述静态模式匹配为普通用户模式或专业用户模式，如果为普通用户模式，则判断所述操作系统启动项是否在预设启动规则中，如果是，则加载所述操作系统启动项，否则拦截所述操作系统启动项；

如果为专业用户模式，则判断所述操作系统启动项是否在手动配置启动规则中，如果是，则加载所述操作系统启动项，否则拦截所述操作系统启动项；

根据加载的操作系统启动项，运行操作系统。

2.如权利要求1所述的方法，其特征在于，在加载所述操作系统启动项之前，还包括：校验所述操作系统启动项。

3.如权利要求1所述的方法，其特征在于，所述预设启动规则，为由系统管理员预先设定的启动项列表；所述手动配置启动规则，为由用户在系统运行过程中，手动添加的启动项列表。

4.如权利要求1所述方法，其特征在于，运行操作系统后，若系统当前为专业用户模式，则还包括：

若检测到操作系统中的进程进行写启动项操作，则进行HOOK拦截，并向用户发出警告；

根据用户指令进行相应操作。

5.如权利要求4所述的方法，其特征在于，所述用户指令包括：允许写入启动项，并将所述启动项添加到手动配置启动规则中；或上报所述写启动项行为信息。

6.一种基于驱动级程序的APT预防系统，其特征在于，包括：

系统启动项拦截模块，用于在系统启动前，HOOK拦截操作系统所有启动项；

最小启动项模块，用于判断所拦截的操作系统启动项是否为最小启动项；如果是，则加载所述操作系统启动项，否则拦截，并进行静态模式匹配；所述最小启动项为能够完成操作系统基本服务的启动项；

静态模式匹配模块，判断所述静态模式匹配为普通用户模式或专业用户模式，如果为普通用户模式，则判断所述操作系统启动项是否在预设启动规则中，如果是，则加载所述操作系统启动项，否则拦截所述操作系统启动项；

如果为专业用户模式，则判断所述操作系统启动项是否在手动配置启动规则中，如果是，则加载所述操作系统启动项，否则拦截所述操作系统启动项；

启动模块，用于根据加载的操作系统启动项，运行操作系统。

7.如权利要求6所述的系统，其特征在于，在加载所述操作系统启动项之前，还包括：校验所述操作系统启动项。

8.如权利要求6所述的系统，其特征在于，所述预设启动规则，为由系统管理员预先设定的启动项列表；所述手动配置启动规则，为由用户在系统运行过程中，手动添加的启动项列表。

9.如权利要求6所述系统，其特征在于，运行操作系统后，若系统当前为专业用户模式，则还包括：

动态预警模块，若检测到操作系统中的进程进行写启动项操作，则进行HOOK拦截，并向用户发出警告；

根据用户指令进行相应操作。

10.如权利要求9所述的系统，其特征在于，所述用户指令包括：允许写入启动项，并将所述启动项添加到手动配置启动规则中；或上报所述写启动项行为信息。