[发明专利]SGX恶意软件检测方法及系统

权利要求书

1.一种SGX恶意软件检测方法，其特征在于，包括：

A1、构建驱逐集；

A2、从每个所述驱逐集中随机选取一个内存行，将所有选取的所述内存行组织到一个集合中形成探测集；

A3、通过将所述探测集中的内存行放入到CPU的最后一级缓存的一个缓存集中以实现连续访问所述探测集的每一个内存行，并且记录本次访存花费的访问时间；如果所述访问时间大于特定阈值，则表明本次访问对应的所述缓存集被过度使用，从而得到一个表示所述缓存集是否被过度使用的缓存监控矩阵，其中，缓存监控矩阵的每一列代表某个缓存集，缓存监控矩阵的每一行则代表某次扫描；缓存监控矩阵中的每个元素均为0或1，1代表此刻该缓存集被过度使用，而0则相反；

A4、基于所述缓存监控矩阵检测恶意行为；

还包括：B1、通过观察侧信道信息来监控Enclave对不可信程序的内存访问；

所述B1具体包括：

B11、在CPU切换到Enclave模式之前，清除不可信内存所有可执行页面的页表项的Accessed位，并且在快表TLB中移除所述Accessed位的记录；

B12、在CPU从Enclave模式切换到普通模式之前，重复地进行以下操作：a)、检查不可信内存可执行页面的Accessed位；b)、如果所述Accessed位被置1，则将所述Accessed位记录并清零；c)、清除快表TLB中的记录；

B13、构建一个表示内存页面是否被访问的内存访问监控矩阵；

B14、基于所述内存访问监控矩阵检测恶意内存访问行为。

2.根据权利要求1所述方法，其特征在于，还包括：C1、静态地分析主应用程序和Enclave文件的二进制代码来提取Enclave元数据和ECall或OCall的函数原型。

3.根据权利要求2所述方法，其特征在于，

还包括：D1、通过对Enclave线程控制结构页面的监控来捕捉Enclave入口；

所述D1具体包括：

D11、在SGX驱动加载Enclave页面进入Enclave时，获得一个Enclave中所有的线程控制结构页面的地址；

D12、当Enclave通过EINIT指令初始化完毕，则清除线程控制结构页面PTE的Present位并在快表TLB中移除所述Present位的记录；

D13、获得当前的上下文信息并与标准的Enclave入口比较，以检测异常的Enclave进入行为。

4.根据权利要求2所述方法，其特征在于，

还包括：E1、利用产品版Enclave提供的反调试功能来捕捉Enclave退出；

所述E1具体包括：

E11、为当前线程设置调试标志；

E12、获取异常上下文并与标准的Enclave退出位置进行比较，以检测异常的退出。

5.根据权利要求2所述方法，其特征在于，还包括：F1、通过检查Enclave进出前后的栈帧和寄存器值来检测控制流劫持攻击。

6.根据权利要求2所述方法，其特征在于，

还包括：H1、通过创建钩子的方式来监控标准的Enclave接口行为；

所述H1具体包括：挂钩sgx_ecall和sgx_ecall_switchless函数来监控ECall；挂钩sgx_ocall和process_fcall来监控OCall；挂钩内核中的syscall_table来监控系统调用。

7.一种SGX恶意软件检测系统，其特征在于：用于执行根据权利要求1至6任一项所述方法，包括静态分析程序模块、监控程序模块和检测引擎；所述静态分析程序模块用于分析Enclave不变的静态特征；所述监控程序模块包括CPU缓存行为监控程序模块、内存访问行为监控程序模块和接口行为监控程序模块，分别用于监控CPU缓存行为、内存访问行为和Enclave接口行为；所述检测引擎用于检测恶意的SGX程序。

8.一种计算机可读存储介质，其特征在于：所述计算机可读存储介质中存储有程序指令，所述程序指令被计算机的处理器执行时使所述处理器执行根据权利要求1至6任一项所述方法。