[发明专利]一种针对工控设备的恶意代码发现方法

权利要求书

1.一种针对工控设备的恶意代码发现方法，是对系统中所有线程或操作系统的执行单元的CPU的PC寄存器定时进行检查，通过对线程或操作系统的执行单元的PC寄存器位置所属的可执行模块进行比对，根据执行位置来判断是否属于系统自身可执行文件，还是可读写内存区域(非代码区域)，还是位于临时位置的可执行文件，从而发现针对工控设备的恶意代码；所述发现方法包括如下步骤：

1)工控终端操作系统启动；

2)工控终端保护应用启动；

3)工控终端保护应用开始对操作系统内核，已经运行的所有进程依次进行快照；所述快照内容包含：

3.1)进程内存镜像；

3.2)进程执行单元镜像；

3.3)进程执行者身份标识及开启的特权状态快照；

3.4)工控操作系统所带有的特有属性的状态快照；

4)工控终端保护应用开始步骤3获得的信息进行恶意代码可疑度分析；

5)在步骤3.4过程中，工控终端保护应用周期性检测自身CPU资源占用量，适当约束CPU使用量；

6)当检测出可疑代码时，根据如果可疑代码位置位于可执行文件映射区域，则计算出可执行文件名；当所属可执行代码位置位于动态链接库映射区域，则可以计算出动态链接库名；当所属可执行代码位置位于进程堆或栈区域，则可判断为远程恶意代码已注入正常进程；

所述的工控终端保护应用，是单独的可执行程序、或集成至操作系统内核的内核模块、或可执行程序的部分或以库的形式存在；

所述的快照，为给定时间下的静态视图；获取快照，是指获取运行中的程序在某时间点下的静态视图。

2.根据权利要求1所述的一种针对工控设备的恶意代码发现方法，其特征在于，所述的镜像，是与目标完全一致的副本。

3.根据权利要求2所述的一种针对工控设备的恶意代码发现方法，其特征在于，所述副本是制作镜像的对象、或内存，或线程的上下文状态、或进程的地址空间布局、或进程执行者的身份信息、或特权信息或特权启用状态信息。

4.根据权利要求1所述的一种针对工控设备的恶意代码发现方法，其特征在于，所述的资源，是CPU使用时间。