[发明专利]一种基于综合特征值检测文件被篡改的方法在审
申请号: | 201410246809.2 | 申请日: | 2014-06-05 |
公开(公告)号: | CN104036157A | 公开(公告)日: | 2014-09-10 |
发明(设计)人: | 杨育斌;柯宗贵;赵必厦 | 申请(专利权)人: | 蓝盾信息安全技术有限公司 |
主分类号: | G06F21/10 | 分类号: | G06F21/10;G06F21/56;G06F17/30;H04L29/06 |
代理公司: | 暂无信息 | 代理人: | 暂无信息 |
地址: | 510665 广东省广州市*** | 国省代码: | 广东;44 |
权利要求书: | 查看更多 | 说明书: | 查看更多 |
摘要: | |||
搜索关键词: | 一种 基于 综合 特征值 检测 文件 篡改 方法 | ||
技术领域
本发明涉及网络安全技术领域,尤其涉及一种基于综合特征值检测文件被篡改的方法。
背景技术
随着云计算、移动互联网、物联网的崛起与发展,大数据的时代已经来临。传统的基线检测文件是否篡改的方法应用到大数据集群,处理速度会比较慢,因此,需要进行一定的改造与优化。
基于特征值来判断文件是否篡改的方法有很多,例如通过比较名称、类型、文件夹路径、大小、创建时间、修改时间、访问时间、属性、所有者、权限、内容等。
计算文件内容的MD5/SHA1作为特征值,可以发现文件内容是否被篡改,但是无法发现文件属性是否被篡改。例如,非法入侵者使用“chmod+x run.sh”赋予run.sh执行权限,单凭使用MD5作为特征值,是无法发现的。但是,逐一比较这些特征值是比较耗时的,况且单独的计算属性或内容特征值无法准确地识别出文件是否被篡改。
发明内容
本发明为了解决现有技术中在大规模集群中对文件进行基线检测的时候,使用全节点全文提交来检测文件是否篡改的方法,效率会比较低下。如果只比较文件的某个属性/内容特征值,则无法准确发现文件个别属性是否被篡改的缺点或不足,采用了综合考虑文件的属性特征值与内容特征值,并组合成文件的综合特征值,使用文件的综合特征值来快速准确发现文件是否被篡改。
一种基于综合特征值检测文件被篡改的方法,其有效组合了文件的属性特征值与内容特征值作为文件的综合特征值,监控主机定时从节点主机获取综合特征值信息,判断综合特征值是否一致,从而达到快速准确检测文件是否被篡改的目的,具体检测阶段的逻辑处理流程如下:
s11)Server进程请求获取集群节点Agent进程所有被监控文件的综合特征值,并等待返回;
s12)Agent进程接收到Server进程的请求,计算全部被监控文件的综合特征值,并返回给Server进程;
s13)Server进程把Agent端返回的所有综合特征值与数据库中的综合特征值进行逐一比较,判断是否一致;
s14)如果文件被篡改,跳转到s16),否则跳转到s15);
s15)更新相应的信息到数据库中;
s16)流程结束。
当检测到文件被篡改后,决策阶段的逻辑处理流程如下:
s21)Server进程从数据库中读取被篡改文件的信息;
s22)Server进程等待用户做决策,是否同意修改,如果是,跳转到s23),否则跳转到s24);
s23)Server进程把新的文件内容及其综合特征值更新到数据库中,跳转到s25);
s24)Agent进程对节点恢复旧的文件内容,跳转到s25);
s25)流程结束。
在上述方法中,计算出所有被监控文件当前的综合特征值,并存储在数据库中,综合特征值是经过计算组合数据库中的表存储的信息中的其它列属性得到的,而其它列属性是可以通过API接口获得的;如果使用的是Java语言,则可以通过Java读写文件的API来获得这些列属性。
文件的综合特征值由属性特征值与内容特征值组合而成,属性特征值主要包括文件exists是否存在、canExecute是否可执行、canRead是否可读、canWrite是否可写、isDirectory是否目录、isFile是否文件、isHidden是否隐藏文件、lastModified文件的最后修改时间、length文件的大小、name文件的名称、parent文件的父目录的绝对路径,内容特征值主要包括文件内容的MD5值contentMd5。
本发明技术方案具有如下的特点:
1、综合考虑属性特征值与内容特征值,最大限度发现文件是否被篡改
本方法综合考虑了文件的属性特征值与内容特征值,可以最大限度发现文件是否被篡改。文件的属性特征值主要包括文件exists(是否存在)、canExecute(是否可执行)、canRead(是否可读)、canWrite(是否可写)、isDirectory(是否目录)、isFile(是否文件)、isHidden(是否隐藏文件)、lastModified(文件的最后修改时间)、length(文件的大小)、name(文件的名称)、parent(文件的父目录的绝对路径),文件的内容特征值主要是计算文件内容的MD5/SHA1的值。
2、通信传输量少,基本不占带宽流量:
该专利技术资料仅供研究查看技术是否侵权等信息,商用须获得专利权人授权。该专利全部权利属于蓝盾信息安全技术有限公司,未经蓝盾信息安全技术有限公司许可,擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作,请联系【客服】
本文链接:http://www.vipzhuanli.com/pat/books/201410246809.2/2.html,转载请声明来源钻瓜专利网。