[发明专利]行为堆栈信息获取方法及装置

权利要求书

1.一种行为堆栈信息获取方法，其特征在于，包括：

在终端设备的内核层监控所述终端设备中运行进程的行为事件；

当监控到所述行为事件发生时，在所述行为事件对应的当前进程线程空间对所述运行进程的系统调用进行堆栈信息回溯，得到所述运行进程的行为堆栈信息；

所述当监控到所述行为事件发生时，在所述行为事件对应的当前进程线程空间对所述运行进程的系统调用进行堆栈信息回溯，得到所述运行进程的行为堆栈信息包括：

当监控到所述行为事件发生时，在所述行为事件对应的当前进程线程空间确定在预定义的内核通知链上注册所述行为事件对应的回溯函数的内核模式驱动；

通知所述内核模式驱动调用所述回溯函数对所述运行进程的系统调用进行堆栈信息回溯，得到所述运行进程的行为堆栈信息。

2.根据权利要求1所述的方法，其特征在于，所述内核模式驱动为系统过滤框架的过滤管理器，所述当监控到所述行为事件发生时，通知所述内核模式驱动调用所述回溯函数对所述运行进程的系统调用进行堆栈信息回溯，得到所述运行进程的行为堆栈信息，包括：

当监控到所述行为事件发生时，通知所述过滤管理器调用所述回溯函数对所述运行进程的系统调用进行堆栈信息回溯，得到所述运行进程的行为堆栈信息。

3.根据权利要求1所述的方法，其特征在于，所述在终端设备的内核层监控所述终端设备中运行进程的行为事件，包括：

利用在所述终端设备的内核层设置的行为监控模块，监控所述终端设备中运行进程的行为事件。

4.根据权利要求1所述的方法，其特征在于，所述当监控到所述行为事件发生时，在所述行为事件对应的当前进程线程空间对所述运行进程的系统调用进行堆栈信息回溯，得到所述运行进程的行为堆栈信息之前，所述方法还包括：

在所述终端设备的内核层监控所述运行进程是否调用所述终端设备的系统功能函数；

若是，则确定监控到所述行为事件发生。

5.根据权利要求1所述的方法，其特征在于，所述当监控到所述行为事件发生时，在所述行为事件对应的当前进程线程空间中对所述运行进程的系统调用进行堆栈信息回溯，得到所述运行进程的行为堆栈信息之后，所述方法还包括：

将所述行为堆栈信息通过内核层网络通道发送给分布式服务器进行保存。

6.根据权利要求5所述的方法，其特征在于，所述将所述行为堆栈信息通过内核层网络通道发送给分布式服务器进行保存，包括：

将所述行为堆栈信息通过内核层网络通道发送给中转服务器，所述中转服务器用于将所述行为堆栈信息转发给所述分布式服务器进行保存。

7.一种行为堆栈信息获取装置，其特征在于，包括：

监控单元，用于在终端设备的内核层监控所述终端设备中运行进程的行为事件；

获取单元，用于当监控到所述行为事件发生时，在所述行为事件对应的当前进程线程空间对所述运行进程的系统调用进行堆栈信息回溯，得到所述运行进程的行为堆栈信息；所述获取单元包括：

确定模块，用于当监控到所述行为事件发生，在所述行为事件对应的当前进程线程空间确定在预定义的内核通知链上注册所述行为事件对应的回溯函数的内核模式驱动；

获取模块，用于当监控到所述行为事件发生时，通知所述内核模式驱动调用所述回溯函数对所述运行进程的系统调用进行堆栈信息回溯，得到所述运行进程的行为堆栈信息。

8.根据权利要求7所述的装置，其特征在于，

所述获取模块，具体用于当所述内核模式驱动为系统过滤框架的过滤管理器时，通知所述过滤管理器调用所述回溯函数对所述运行进程的系统调用进行堆栈信息回溯，得到所述运行进程的行为堆栈信息。

9.根据权利要求8所述的装置，其特征在于，

所述监控单元，具体用于利用在所述终端设备的内核层设置的行为监控模块，监控所述终端设备中运行进程的行为事件。