[发明专利]系统内核数据的攻击检测方法及装置、存储介质、计算机设备

权利要求书

1.一种系统内核数据的攻击检测方法，其特征在于，包括：

当系统内核接收到访问请求时，对所述访问请求的调用路径进行实时监测；

当所述访问请求根据所述调用路径中的调用指令，试图调用与所述访问请求对应的系统服务时，利用硬件虚拟化机制拦截对应所述访问请求的欲调用行为；

根据拦截到的对应所述访问请求的欲调用行为，判断所述访问请求是否为针对内核数据的攻击行为。

2.根据权利要求1所述的方法，其特征在于，所述调用路径是指，访问请求定位内核支持函数的定位路径，所述内核支持函数为与所述访问请求对应的系统服务。

3.根据权利要求1所述的方法，其特征在于，所述当所述访问请求根据所述调用路径中的调用指令，试图调用与所述访问请求对应的系统服务时，利用硬件虚拟化机制拦截对应所述访问请求的欲调用行为的步骤之前，具体还包括：

利用调试断点机制预设中断条件，所述中断条件为访问PE头或者对应所述PE头的导出表的访问行为。

4.根据权利要求1或3所述的方法，其特征在于，所述当所述访问请求根据所述调用路径中的调用指令，试图调用与所述访问请求对应的系统服务时，利用硬件虚拟化机制拦截对应所述访问请求的欲调用行为，具体包括：

将所述调试断点机制预设的中断条件与所述访问请求试图调用与所述访问请求对应的系统服务的欲调用行为进行比对；

若所述调试断点机制预设的中断条件与所述访问请求试图调用与所述访问请求对应的系统服务的欲调用行为一致，则利用硬件虚拟化机制拦截对应所述访问请求的欲调用行为。

5.根据权利要求4所述的方法，其特征在于，所述若所述调试断点机制预设的中断条件与所述访问请求试图调用与所述访问请求对应的系统服务的欲调用行为一致，则利用硬件虚拟化机制拦截对应所述访问请求的欲调用行为，具体包括：

若监测到所述访问请求访问PE头或者对应所述PE头的导出表，则确定所述调试断点机制预设的中断条件与所述访问请求试图调用与所述访问请求对应的系统服务的欲调用行为一致；

利用调试断点机制中断所述访问请求访问PE头或者对应所述PE头的导出表的访问行为；

利用硬件虚拟化机制获取通过中断得到的所述访问请求访问PE头或者对应所述PE头的导出表的访问行为。

6.根据权利要求1或3所述的方法，其特征在于，所述访问请求根据所述调用路径中的调用指令，试图调用与所述访问请求对应的系统服务，具体包括：

所述访问请求根据所述调用路径中的调用指令，查询与所述调用指令对应的内核模块；

根据查询到的内核模块访问PE头以及对应所述PE头的导出表，其中，对应所述PE头的导出表用于所述访问请求调用与所述访问请求对应的系统服务。

7.根据权利要求1所述的方法，其特征在于，所述系统内核为Windows内核。

8.一种系统内核数据的攻击检测装置，其特征在于，包括：

监测模块，用于当系统内核接收到访问请求时，对所述访问请求的调用路径进行实时监测；

拦截模块，用于当所述访问请求根据所述调用路径中的调用指令，试图调用与所述访问请求对应的系统服务时，利用硬件虚拟化机制拦截对应所述访问请求的欲调用行为；

判断模块，用于根据拦截到的对应所述访问请求的欲调用行为，判断所述访问请求是否为针对内核数据的攻击行为。

9.一种存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现权利要求1至7中任一项所述的系统内核数据的攻击检测装置方法。

10.一种计算机设备，包括存储介质、处理器及存储在存储介质上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现权利要求1至7中任一项所述的系统内核数据的攻击检测装置方法。