[发明专利]一种终端防御的方法、装置及计算机可读介质

说明书

本发明公开了一种终端防御的方法、装置及计算机可读介质，涉及计算机安全领域。通过获取文件的加载动作，计算所述文件的特征值；在本地白名单数据库和匹配的其他终端的白名单数据库中查找是否存在有所述特征值；当本地白名单数据库和匹配的其他终端的白名单数据库中都存在有所述特征值时，加载所述文件。避免了现有技术中将各个终端上的文件特征值上传至一台单独的白名单服务器，该白名单服务器容易被黑客攻陷、篡改而出现的安全单点瓶颈的技术问题。解决了现有技术中使用白名单技术对计算机进行防御时容易被黑客攻陷的技术问题，并取得了积极的技术效果。

技术领域

本发明涉及计算机安全领域，尤其涉及一种终端防御的方法、装置及计算机可读介质。

背景技术

随着时代的发展，功能相对固定的专用主机在工业生产、金融服务等多个国家关键领域的信息系统中发挥着重要作用。由于其重要性，逐渐成为网络攻击的热点和主要对象。由于攻击者通常采用APT攻击、木马、零日攻击等攻击手段进行攻击，与此同时，大多数专用主机的行为和状态较为固定，基本不会安装未知软件，所以专用主机的主流防御手段之一是白名单技术。

白名单技术的原理是只有受信任的软件才会被允许执行，而不在白名单内的一切未知行为都会被阻止执行。当前常用的白名单技术对各个终端的正常组件、软件等文件进行扫描，提取特征值在服务器端建立白名单，当终端运行文件时，提取其特征值与服务器白名单进行比对，只有其在白名单之内时，才会被允许执行；否则，会对一切未知文件的加载、安装、运行等行为进行阻拦，消除未知威胁。

首先，白名单模块收集终端所有文件信息，通过自动创建和人工维护的方式，生成白名单；其次，当终端程序执行时，检测模块检测待执行程序是否合法，通过服务器端控制，从而保证本地文件安全性。现有技术中将各个终端上的文件特征值上传至一台单独的服务器，构成了单点瓶颈。如果黑客攻陷了存储该白名单的服务器，并对某文件的特征值进行篡改，那么在所有的终端上，该文件将无法正常执行，而只能执行具备篡改后特征值对应的恶意文件。

发明内容

本发明提供一种终端防御的方法、装置及计算机可读介质，用以解决现有技术中使用白名单技术对计算机进行防御时容易被黑客攻陷的技术问题。

依据本发明的一个方面，提供一种终端防御的方法，所述方法包括：

获取文件的加载动作，计算所述文件的特征值；

在本地白名单数据库和匹配的其他终端的白名单数据库中查找是否存在有所述特征值；

当本地白名单数据库和匹配的其他终端的白名单数据库中都存在有所述特征值时，加载所述文件。

可选的，在获取文件的加载动作，计算所述文件的特征值之前，所述方法还包括：

对本地文件进行扫描，并计算每一文件对应的特征值，生成白名单，并将所述白名单及其对应的数字证书写入到本地白名单数据库中；

接收匹配的其他终端发送的白名单及对应的数字证书；以及

将接收到的其他终端发送的白名单及对应的数字证书写入到本地白名单数据库中。

可选的，所述方法还包括：

获取管理员权限，响应管理员对本地白名单进行的更改，并将更改后的白名单及其对应的数字证书写入到本地和匹配的其他终端的白名单数据库中。

可选的，所述方法还包括：

记录管理员对本地白名单进行更改的日志。

可选的，所述方法还包括：

当本地白名单数据库和匹配的其他终端的白名单数据库中不是全部存在有所述特征值时，生成警告信息。

依据本发明的二个方面，提供一种终端防御的装置，所述装置包括：