[发明专利]检测对计算设备中的进程的软件攻击

说明书

各种实施例包括用于检测对在计算设备上执行的进程的软件攻击的方法。各种实施例方法可以包括：监测由所述进程使用的多个虚拟存储器区域的结构性属性；以及将所监测的结构性属性与所述多个VMR的预期结构性属性进行比较。各种实施例方法还可以包括：基于所监测的结构性属性与所述预期结构性属性之间的所述比较来确定所监测的结构性属性是否表示所述进程的异常行为。

相关申请

本申请要求于2015年9月17日提交的标题为“Detecting Software Attacks onProcesses in Computing Devices”的美国临时申请No.62/219,970的优先权，其全部内容通过引用方式并入本文。

背景技术

包括台式计算机、膝上型计算机、平板计算机和诸如智能电话的等移动通信设备的各种计算设备根据存储在存储器中的软件指令来执行应用和系统进程。某些应用进程或系统服务进程可能对计算设备具有较高的访问权限(例如，根访问权限)。这些进程可能是控制劫持软件的目标，所述控制劫持软件旨在控制特权进程并执行恶意代码。控制劫持软件的目标可能是试图获取shell或窃取私人数据。

存在数种不同类型的控制劫持软件攻击。例如，“栈溢出”可能涉及创建栈缓存器溢出并执行插入到栈中的恶意代码。堆缓存器溢出类似于使堆溢出并导致执行插入在存储器中另一位置的恶意代码那样工作。面向返回的编程(return-oriented-programming)或攻击会产生堆溢出，其后是执行现有代码的选定部分，当其连接在一起时会实现恶意目的。

发明内容

各种实施例包括在计算设备上实现的用于检测对在计算设备上执行的进程的软件攻击的方法。各种实施例可以包括：监测由所述进程使用的多个虚拟存储器区域的结构性属性；将所监测的结构性属性与所述多个虚拟存储器区域的预期结构性属性进行比较；以及基于所监测的结构性属性与所述预期结构性属性之间的所述比较来确定所监测的结构性属性是否表示所述进程的异常行为。

一些实施例还可以包括响应于确定所监测的结构性属性表示异常行为而发起保护性动作。在一些实施例中，所述多个虚拟存储器区域的所监测的结构性属性包括；由所述进程使用的虚拟存储器区域的数量、所述多个虚拟存储器区域中的每一个的大小、所述多个虚拟存储器区域的地址空间布局改变、所述多个虚拟存储器区域的访问权限改变、和/或所述多个虚拟存储器区域的状态转换历史。

在一些实施例中，监测由所述进程使用的所述多个虚拟存储器区域的结构性属性可以包括：存储关于所述进程正在其中执行的当前虚拟存储器区域的信息；接收关于当前正由所述进程执行的指令的新信息；基于所述新信息来确定是否有过从当前虚拟存储器区域的转换；以及在确定有过从所述当前虚拟存储器区域的转换时，记录从所述当前虚拟存储器区域到新的虚拟存储器区域的所述转换。在一些实施例中，所述新信息包括程序计数器和进程标识符。

在一些实施例中，监测由所述进程使用的所述多个虚拟存储器区域的结构性属性可以包括：存储关于所述进程正在其中执行的当前虚拟存储器区域的信息；在所述多个虚拟存储器区域上实现一个或多个虚拟存储器区域跟踪策略；根据所述一个或多个虚拟存储器区域跟踪策略，确定是否有过从所述当前虚拟存储器区域的转换；以及在确定有过从所述当前虚拟存储器区域的转换时，记录从所述当前虚拟存储器区域到新的虚拟存储器区域的转换。在一些实施例中，所述一个或多个虚拟存储器区域跟踪策略包括由选择性跟踪、定期跟踪、机会性跟踪、以及基于寻呼错误的跟踪组成的组中的至少一个成员。

在一些实施例中，将所述多个虚拟存储器区域的所监测的结构性属性与预期结构性属性进行比较可以包括向所监测的结构性属性应用规则集合，其中，所述规则集合基于所述多个虚拟存储器区域的所述预期结构性属性。在一些实施例中，将所述多个虚拟存储器区域的所监测的结构性属性与预期结构性属性进行比较可以包括对所述多个虚拟存储器区域的所述预期结构性属性建立模型并且将所监测的结构性属性与所述模型进行比较。