[发明专利]主动防御方法及装置有效
申请号: | 201510221827.X | 申请日: | 2012-09-29 |
公开(公告)号: | CN104811453B | 公开(公告)日: | 2018-05-01 |
发明(设计)人: | 闫继平 | 申请(专利权)人: | 北京奇虎科技有限公司;奇智软件(北京)有限公司 |
主分类号: | H04L29/06 | 分类号: | H04L29/06 |
代理公司: | 北京华沛德权律师事务所11302 | 代理人: | 刘杰 |
地址: | 100088 北京市西城区新*** | 国省代码: | 北京;11 |
权利要求书: | 查看更多 | 说明书: | 查看更多 |
摘要: | |||
搜索关键词: | 主动 防御 方法 装置 | ||
1.一种主动防御方法,包括:
通过监控与远程过程调用协议RPC相关的API函数,对预置接口产生的RPC调用进行跟踪;
当用户权限的进程通过预置接口发起调用系统服务进程的请求时,拦截所述请求,从所述请求中提取源文件的路径,并建立所述源文件的路径与被调用的系统服务进程之间的关联;
如果有操作行为触发基于主机的入侵防御系统HIPS规则、并根据进程链追溯到发起所述操作行为的进程是被调用的系统服务进程,根据所述源文件的路径与被调用的系统服务进程之间的关联,将所述源文件的路径确定为所述操作行为的来源;
根据所述源文件的危险等级,执行主机入侵防御处理。
2.根据权利要求1所述的方法,所述源文件包括MSI安装包文件,所述对预置接口的RPC调用进行跟踪包括:
对接口IMSIServer::DoInstallRemote的RPC调用进行跟踪,以便获取所述MSI安装包文件在系统中的保存路径。
3.根据权利要求1所述的方法,所述源文件包括MSI安装包文件中的动态链接库DLL文件,所述对预置接口的RPC调用进行跟踪包括:
对接口CMsiCustomAction::PrepareDLLCustomAction的RPC调用进行跟踪,以便获取所述MSI安装包文件中的DLL文件的DLL路径。
4.根据权利要求1至3任一项所述的方法,所述根据所述源文件的危险等级,执行主机入侵防御处理包括:
确定源文件的危险等级;
根据所述源文件的危险等级,对所述操作行为执行拦截。
5.根据权利要求1至3任一项所述的方法,所述根据所述源文件的危险等级,执行主机入侵防御处理包括:
根据所述源文件的危险等级,向用户进行风险提示,并将所述源文件的信息提示给用户。
6.一种主动防御装置,包括:
跟踪单元,用于通过监控与远程过程调用协议RPC相关的API函数,对预置接口产生的RPC调用进行跟踪;
拦截单元,用于当用户权限的进程通过预置接口发起调用系统服务进程的请求时,拦截所述请求,从所述请求中提取源文件的路径,并建立所述源文件的路径与被调用的系统服务进程之间的关联;
来源确定单元,用于如果有操作行为触发基于主机的入侵防御系统HIPS规则、并根据进程链追溯到发起所述操作行为的进程是被调用的系统服务进程,根据所述源文件的路径与被调用的系统服务进程之间的关联,将所述源文件的路径确定为所述操作行为的来源;
处理单元,用于根据所述源文件的危险等级,执行主机入侵防御处理。
7.根据权利要求6所述的装置,所述源文件包括MSI安装包文件,所述跟踪单元包括:
第一跟踪子单元,用于对接口IMSIServer::DoInstallRemote的RPC调用进行跟踪,以便获取所述MSI安装包文件在系统中的保存路径。
8.根据权利要求6所述的装置,所述源文件包括MSI安装包文件中的动态链接库DLL文件,所述跟踪单元包括:
第二跟踪子单元,用于对接口CMsiCustomAction::PrepareDLLCustomAction的RPC调用进行跟踪,以便获取所述MSI安装包文件中的DLL文件的DLL路径。
9.根据权利要求6至8任一项所述的装置,所述处理单元包括:
危险等级确定子单元,用于确定源文件的危险等级;
操作拦截子单元,用于根据所述源文件的危险等级,对所述操作行为执行拦截。
10.根据权利要求6至8任一项所述的装置,所述处理单元包括:
风险提示子单元,用于根据所述源文件的危险等级,向用户进行风险提示,并将所述源文件的信息提示给用户。
该专利技术资料仅供研究查看技术是否侵权等信息,商用须获得专利权人授权。该专利全部权利属于北京奇虎科技有限公司;奇智软件(北京)有限公司,未经北京奇虎科技有限公司;奇智软件(北京)有限公司许可,擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作,请联系【客服】
本文链接:http://www.vipzhuanli.com/pat/books/201510221827.X/1.html,转载请声明来源钻瓜专利网。
- 上一篇:一种云征信系统及其查询方法
- 下一篇:一种基于攻击关联的安全检测方法和系统