[发明专利]使用系统调用序列的异常检测

权利要求书

1.一种检测调用序列异常的方法，所述方法包括：

接收指示调取操作系统的编程流程的消息，所述消息包括编程流程标识符、发送方进程标识符和接收方进程标识符，其中所述编程流程的调取是在由所述发送方进程标识符标识的进程做出的一系列操作系统的编程流程调取中的一个调取；

基于所述消息的至少一部分生成调取散列；

将所述调取散列翻译为调取标识符；

将所述调取标识符包括在已翻译的调用序列中，所述已翻译的调用序列包括所述一系列调取的调取标识符；

确定所述已翻译的调用序列是否包括在多个预定的调用序列中，每个所述预定的调用序列包括对应的调取标识符，其中每个所述对应的调取标识符被映射到调取散列；以及

如果所述已翻译的调用序列不包括在所述预定的调用序列中，则将所述已翻译的调用序列识别为异常，否则确定所述已翻译的调用序列为不异常。

2.根据权利要求1所述的方法，其中，所述调取散列至少基于所述接收方进程标识符生成。

3.根据权利要求1所述的方法，其中，所述调取散列至少基于所述发送方进程标识符和所述接收方进程标识符生成。

4.根据权利要求1所述的方法，其中，所述消息包括对传递给所述编程流程的参数的指示，以及所述调取散列还基于所述对传递给所述编程流程的参数的指示生成。

5.根据权利要求1所述的方法，其中，所述消息包括信道标识符，并且所述调取散列还基于所述信道标识符生成。

6.根据权利要求1所述的方法，其中，所述消息包括接收方节点标识符，并且所述调取散列还基于所述接收方节点标识符生成。

7.根据权利要求1至6中任一项所述的方法，其中，翻译所述调取散列包括在翻译表中搜索所述调取散列，所述翻译表包括与所述调取标识符相关联的调取散列。

8.根据权利要求7所述的方法，其中，所述调取标识符是包括所述调取散列的翻译表中的行号。

9.一种计算机可读存储介质，包括计算机可执行指令，所述计算机可执行指令能够由处理器执行，所述计算机可执行指令包括可执行以进行以下操作的指令：

接收指示调取操作系统的编程流程的消息，所述消息包括编程流程标识符、发送方进程标识符和接收方进程标识符，其中所述编程流程的调取是在由所述发送方进程标识符标识的进程做出的一系列操作系统的编程流程调取中的一个调取；

基于所述消息的至少一部分生成调取散列；

将所述调取散列翻译为调取标识符；

将所述调取标识符包括在已翻译的调用序列中，所述已翻译的调用序列包括所述一系列调取的调取标识符；

确定所述已翻译的调用序列是否包括在多个预定的调用序列中，每个所述预定的调用序列包括对应的调取标识符，其中每个所述对应的调取标识符被映射到调取散列；以及

如果所述已翻译的调用序列不包括在所述预定的调用序列中，则将所述已翻译的调用序列识别为异常，否则确定所述已翻译的调用序列为不异常。

10.根据权利要求9所述的计算机可读存储介质，其中，确定所述已翻译的调用序列是否包括在所述预定的调用序列中是基于在表中搜索所述已翻译的调用序列，所述表包括多行调取标识符集合，每个所述调取标识符在翻译数据结构中与对应的调取散列相关联。

11.根据权利要求9所述的计算机可读存储介质，其中，接收所述消息包括从跟踪文件中读取关于所述编程流程的调取的信息。

12.根据权利要求9所述的计算机可读存储介质，其中，接收所述消息包括以注册回调的形式从所述操作系统接收所述消息。