[发明专利]基于虚拟机的内核漏洞检测进程保护方法及装置

说明书

本发明公开了一种基于虚拟机的内核漏洞检测进程保护方法及装置。其中方法包括：获取各检测子进程的相关信息，将各检测子进程的相关信息写入进程过滤名单中；利用挂钩技术，在调用指定API之前，获取当前上下背景文进程的相关信息和操作目标进程的相关信息；判断所述操作目标进程的相关信息是否记录在所述进程过滤名单中，且所述当前上下背景文进程的相关信息是否未记录在所述进程过滤名单中；若是，终止调用所述指定API。利用本发明，可保护在虚拟机沙箱隔离环境下运行的检测进程的地址空间，防止被沙箱逃逸的恶意样本进程访问，避免机密信息失窃，提升在虚拟机沙箱隔离环境下内核漏洞检测的安全性。

技术领域

本发明涉及计算机安全技术领域，具体涉及一种基于虚拟机的内核漏洞检测进程保护方法及装置。

背景技术

网络恶意行为是指网络系统的硬件、软件及其系统中的数据受到恶意代码攻击而遭到破坏、更改、泄露，致使系统不能连续可靠正常地运行，网络服务中断的行为。随着信息化的普及，网络新应用的大量出现，网络恶意代码所表现出的行为也层出不穷，目前最流行的网络恶意行为是网页挂马、盗取帐号、端口扫描、漏洞扫描、ARP(Address ResolutionProtocol，地址解析协议)欺骗、IP(Internet Protocol，因特网协议)劫持、DDOS(Distributed Denial of Service，分布式拒绝服务)攻击、溢出攻击、木马攻击等。

漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统。内核作为操作系统的核心，如何检测内核漏洞是安全防护工作的重中之重。现有技术中，黑客在入侵系统时，往往通过提权的方式获得系统的最高权限，从而取得操作系统的控制权。简单来说，提权就是将一个低权限、受限制很多的用户提升到系统中最高权限(如管理员权限)。权限控制是系统安全的基石，也是一切安全软件的基石，一旦这道门槛被突破，任何防御措施都是无效的。因此，如何能够有效地检测内核漏洞，预防黑客通过提权的方式进行系统攻击成为现有技术亟待解决的问题。在内核漏洞检测过程中，如何避免恶意样本进程访问检测进程，破坏检测过程也是一个重要的问题。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的基于虚拟机的内核漏洞检测进程保护方法及装置。

根据本发明的一个方面，提供了一种基于虚拟机的内核漏洞检测进程保护方法，所述方法在虚拟机沙箱隔离环境下运行，方法包括：

获取各检测子进程的相关信息，将各检测子进程的相关信息写入进程过滤名单中；

利用挂钩技术，在调用指定API之前，获取当前上下背景文进程的相关信息和操作目标进程的相关信息；

判断所述操作目标进程的相关信息是否记录在所述进程过滤名单中，且所述当前上下背景文进程的相关信息是否未记录在所述进程过滤名单中；

若是，终止调用所述指定API。

根据本发明的另一方面，提供了一种基于虚拟机的内核漏洞检测进程保护装置，所述装置在虚拟机沙箱隔离环境下运行，装置包括：

写入模块，适于获取各检测子进程的相关信息，将各检测子进程的相关信息写入进程过滤名单中；

挂钩处理模块，适于利用挂钩技术，在调用指定API之前，获取当前上下背景文进程的相关信息和操作目标进程的相关信息；

判断模块，适于判断所述操作目标进程的相关信息是否记录在所述进程过滤名单中，且所述当前上下背景文进程的相关信息是否未记录在所述进程过滤名单中；

终止模块，适于若所述判断模块判断出所述操作目标进程的相关信息记录在所述进程过滤名单中，且所述当前上下背景文进程的相关信息未记录在所述进程过滤名单中，终止调用所述指定API。