[发明专利]一种Linux内核数据攻击的检测方法、防御方法及系统

权利要求书

1.一种Linux内核数据攻击的检测方法，其特征在于，包括如下步骤：

步骤1：根据Linux内核数据与安全相关度从Linux内核数据中提取安全关键数据；

步骤2：对Linux内核数据进行静态分析获得Linux内核数据的数据流；

步骤3：从Linux内核数据的数据流中提取安全关键数据之间关系获得安全关键数据的数据流；

步骤4：对Linux内核运行过程中关键数据进行监控，并与安全关键数据的数据流进行比较，若Linux内核运行过程中关键数据偏离安全关键数据的数据流，则输出Linux内核数据受到攻击，否则，输出Linux内核数据未受到攻击；

步骤2中静态分析包括如下步骤：

步骤21：将Linux内核源码翻译为底层虚拟机中间语言；

步骤22：对底层虚拟机中间语言进行流敏感的别名分析获得别名分析结果；

步骤23：将别名分析的结果作为前置条件进行路径敏感的数据流分析获得Linux内核数据的数据流。

2.如权利要求1所述的检测方法，其特征在于，步骤1中安全关键数据包括与访问权限相关的数据、安全检查相关的数据以及唯一标识的数据。

3.如权利要求1至2任一项所述的检测方法，其特征在于，通过Intel TSX技术实现对对Linux内核运行过程中关键数据进行监控。

4.一种基于权利要求1所述的检测方法的防御方法，其特征在于，包括如下步骤：

步骤1：通过所述检测方法确定Linux内核数据是否受到攻击；

步骤2：当Linux内核运行过程中关键数据受到攻击时，则将Linux内核运行过程中关键数据回滚至被攻击前状态；当Linux内核运行过程中关键数据不受到攻击时，则不对Linux内核运行过程中关键数据进行处理。

5.一种基于权利要求1所述的检测方法的检测系统，其特征在于，包括：

数据提取模块，用于根据Linux内核数据与安全相关度从Linux内核数据中提取安全关键数据；

内核数据流分析模块，用于对Linux内核数据进行静态分析获得Linux内核数据的数据流；

关键数据流分析模块，其第一输入端与内核数据流分析模块的输出端连接，其第二输入端与数据提取模块的输出端连接，用于从Linux内核数据的数据流中提取安全关键数据之间关系获得安全关键数据的数据流；

攻击判断模块，其输入端与关键数据流分析模块的输出端连接，用于对Linux内核运行过程中关键数据进行监控，并与安全关键数据的数据流进行比较，并根据比较结果输出Linux内核数据攻击状态；

内核数据流分析模块包括：

翻译单元，用翻译器将Linux内核源码翻译为底层虚拟机中间语言；

别名分析单元，其输入端与翻译单元的输出端连接，用于对底层虚拟机中间语言进行流敏感的别名分析获得别名分析结果；

数据流分析单元，其输入端与别名分析单元的输出端连接，用于将别名分析的结果作为前置条件进行路径敏感的数据流分析获得Linux内核数据的数据流。

6.如权利要求5所述的检测系统，其特征在于，包括输入端与攻击判断模块的输出端连接的防御模块，用于当Linux内核数据攻击状态为受到攻击时，对Linux内核运行过程中关键数据进行回滚处理，使Linux内核运行过程中关键数据回到未攻击状态。