[发明专利]行为堆栈信息获取方法及装置

说明书

本发明公开了一种行为堆栈信息获取方法及装置，涉及安全技术领域，主要目的在于能够获取终端设备上所有进程的行为堆栈信息，无需重复在进程中注入捕获模块，能够简化行为堆栈信息的获取步骤，从而能够提升行为堆栈信息的获取效率。此外，能够避免干扰终端设备的正常运行进程，保证用户正常使用终端设备。所述方法包括：在终端设备的内核层监控所述终端设备中运行进程的行为事件；当监控到所述行为事件发生时，在所述行为事件对应的当前进程线程空间对所述运行进程的系统调用进行堆栈信息回溯，得到所述运行进程的行为堆栈信息。本发明适用于行为堆栈信息的获取。

技术领域

本发明涉及安全技术领域，特别是涉及一种行为堆栈信息获取方法及装置。

背景技术

随着互联网技术的高速发展，为了方便用户的生活和工作，越来越多的应用程序出现并被广泛应用到终端设备上。因此，为了避免终端设备数据泄露，造成用户财产损失，终端设备数据安全变防护变得越来越重要。在实际应用中，通常获取终端设备中进程的行为堆栈信息，根据行为堆栈信息构建行为堆栈特征数据库，然后将所述行为堆栈特征数据库作为判定进程的正常操作行为和异常操作行为的依据，从而为病毒木马查杀添加新手段，为终端安全保驾护航。

目前，通常利用在进程中注入捕获模块的方式获取进程的行为堆栈信息。然而，通过每个捕获模块仅能获取到对应被注入进程的行为堆栈信息，在终端设备通常可以创建多个进程，若通过上述方式获取行为堆栈信息，需要重复注入捕获模块的步骤，造成行为堆栈信息获取的步骤较复杂，从而导致行为堆栈信息获取效率较低。此外，当进程被创建时，说明终端设备正在运行进程，此时在进程中注入捕获模块会干扰终端设备的正常运行进程，从而干扰用户正常使用终端设备。

发明内容

有鉴于此，本发明提供一种行为堆栈信息获取方法及装置，主要目的在于能够获取终端设备上所有进程的行为堆栈信息，无需重复在进程中注入捕获模块，能够简化行为堆栈信息的获取步骤，从而能够提升行为堆栈信息的获取效率。此外，能够避免干扰终端设备的正常运行进程，保证用户正常使用终端设备。

依据本发明第一方面，提供了一种行为堆栈信息获取方法，包括：

在终端设备的内核层监控所述终端设备中运行进程的行为事件；

当监控到所述行为事件发生时，在所述行为事件对应的当前进程线程空间对所述运行进程的系统调用进行堆栈信息回溯，得到所述运行进程的行为堆栈信息。

可选地，所述当监控到所述行为事件发生时，在所述行为事件对应的当前进程线程空间对所述运行进程的系统调用进行堆栈信息回溯，得到所述运行进程的行为堆栈信息包括：

当监控到所述行为事件发生时，在所述行为事件对应的当前进程线程空间利用所述行为事件对应的回溯函数，对所述目标进程的系统调用进行堆栈信息回溯，得到所述目标进程的行为堆栈信息。

可选地，所述当监控到所述行为事件发生时，在所述行为事件对应的当前进程线程空间利用所述行为事件对应的回溯函数，得到所述运行进程的行为堆栈信息，包括：

当监控到所述行为事件发生时，在所述行为事件对应的当前进程线程空间确定在预定义的内核通知链上注册所述回溯函数的内核模式驱动；

通知所述内核模式驱动调用所述回溯函数对所述运行进程的系统调用进行堆栈信息回溯，得到所述运行进程的行为堆栈信息。

可选地，所述内核模式驱动为系统过滤框架的过滤管理器，所述当监控到所述行为事件发生时，通知所述内核模式驱动调用所述回溯函数对所述运行进程的系统调用进行堆栈信息回溯，得到所述运行进程的行为堆栈信息，包括：

当监控到所述行为事件发生时，通知所述过滤管理器调用所述回溯函数对所述运行进程的系统调用进行堆栈信息回溯，得到所述运行进程的行为堆栈信息。