[发明专利]一种实时度量方法及装置

说明书

技术领域

本发明涉及IT(Information Technology，信息技术)与信息安全领域，尤其涉及一种实时度量方法及装置。

背景技术

嵌入式系统广泛的应用于通信、工控、交通等行业，但是对传统IT系统而言，嵌入式系统的处理器性能普遍低于服务器和PC(personal computer，个人计算机)的处理器性能，并且嵌入式系统常常处于无人值守的状态，不同于IT系统可以专门的管理员角色并可以经常对系统安全进行持续维护或升级版本，所以在嵌入式系统的安全问题不能照搬IT系统的使用杀毒软件、持续更新补丁等思路，需要考虑适合嵌入式系统的主动安全机制实现安全自动化。

在现有技术中，可信计算利用TPM/TCM可信芯片在启动时对操作系统、业务系统等逐级进行完整性度量，可以确保系统启动时系统是可信的、未被篡改的。IBM在此基础上开发IMA/PRIMA采用基于Linux的LSM(Linux Security Module)钩子机制，在文件读写、关键函数调用的过程中对当前函数行为的主体、客体或强制访问控制策略进行完整性度量，保证系统运行时可信并且未被篡改。采用这种动态完整性度量方法，其度量时机依赖Linux的LSM注册钩子函数点，度量时机是否完整依赖LSM钩子是否完整。而在具体执行时，动态度量的时机来源于固定的事件、或周期性的定时度量、或者由用户或外部系统决定，这样就存在TOCTOU(Time of check,Time of use)攻击的风险，也即当度量时系统完整性未被攻击，但在使用时却被攻击注入黑客代码。

发明内容

本发明要解决的主要技术问题是，提供一种度量方法及装置，避免现有技 术中由于不能实时的度量而导致的存在TOCTOU攻击风险的问题。

为解决上述问题，本发明提供一种实时度量方法，包括：

实时监控被监控区域上的操作；所述被监控区域为敏感信息对应的存储地址，所述敏感信息为预先定义的需要进行度量的信息；

当监控到所述被监控区域上针对被监控区域发起的敏感操作，判断所述敏感操作是否合法；

若判断结果为所述敏感操作为合法，允许所述敏感操作继续执行；

若判断结果为所述敏感操作为非法，阻止所述敏感操作继续执行。

本发明一种实施例中，在实时监控被监控区域上的操作之前还包括：确定敏感信息，并判断所述敏感信息是否已在系统中被创建，若是，则读取所述敏感信息对应的存储地址，并将所述存储地址设置为被监控区域。

本发明一种实施例中，判断所述操作是否合法包括：判断所述敏感操作是否合法包括：通过判断所述敏感操作或执行所述敏感操作的主体是否满足对应的度量规则来判断所述敏感操作是否合法，若满足，则所述敏感操作是合法的；若不满足，则所述敏感操作是非法的。

本发明一种实施例中，所述敏感信息包括栈、堆、进程和内核关键数据；

当所述敏感信息为栈时，所述度量规则包括：当前操作地址属于所述栈的有效范围、访问所述栈的主体为所述栈的所有者、所述栈符合应用程序二进制接口规范约定；

当所述敏感信息为堆时，所述度量规则包括：当前操作的地址不属于空闲堆空间范围、当前操作区间不得跨越不同的堆空间对象、当前操作线程为合法线程；

当所述敏感信息为进程时，所述度量规则包括：当前进程对应的代码段可被操作、当前进程的栈区间可执行；

当所述敏感信息为内核关键数据时，所述度量规则包括：关键数据的访问 线程属于合法线程、执行操作的程序的地址属于合法可信的代码区间。

本发明一种实施例中，当所述敏感操作为非法时，通知用户。

本发明一种实施例中，在监控到所述被监控区域上针对被监控区域发起的敏感操作之后，判断所述敏感操作是否合法之前还包括：产生异常，使所述敏感操作过程被中断。

本发明一种实施例中，当所述敏感操作为非法的，若所敏感述操作处于内核态，则调用系统异常接口触发系统异常；若所述敏感操作处于用户态，则系统不再为所述操作的执行分配资源。

本发明一种实施例中，实时监控被监控区域上的操作包括：通过内存管理单元实时监控对内存的操作，并判断所述操作是否是针对被监控区域发起的敏感操作。

本发明还提供一种实时度量装置，包括：

监控模块：用于实时监控被监控区域上的操作，所述被监控区域为敏感信息对应的存储地址，所述敏感信息为预先定义的需要进行度量的信息；