[发明专利]入侵的检测方法和装置、存储介质、电子装置

权利要求书

1.一种入侵的检测方法，其特征在于，包括：

确定系统内核中的目标进程，其中，所述目标进程为待确认是否为入侵所述系统内核所产生的异常进程；

通过通信连接获取所述目标进程的事件数据，其中，所述通信连接为与所述系统内核之间进行通信的连接，所述事件数据为所述目标进程的关联事件产生的数据；

根据所述事件数据的数据特征确定所述目标进程是否为异常进程。

2.根据权利要求1所述的方法，其特征在于，

在通过通信连接获取所述目标进程的事件数据之前，所述方法还包括：建立监控应用与所述系统内核之间的所述通信连接，其中，所述监控应用为用户态的应用；

通过通信连接获取所述目标进程的事件数据包括：在所述监控应用中，通过调用所述通信连接获取所述目标进程的事件数据。

3.根据权利要求2所述的方法，其特征在于，建立监控应用与所述系统内核之间的所述通信连接包括：

向所述系统内核发送第一指示信息，其中，所述第一指示信息用于指示所述系统内核建立连接器实例，所述第一指示信息中携带有所述连接器实例的实例标识，所述连接器实例用于实现所述监控应用与所述系统内核之间的所述通信连接，所述连接器实例为内核态的应用实例；

在接收到所述系统内核的表示建立成功的第一响应消息的情况下，向所述系统内核发送第二指示信息，其中，所述第二指示信息用于指示所述系统内核将所述实例标识加入到目标标识集合中，所述目标标识集合中的标识用于表示所述内核态中允许与所述用户态中应用进行通信的应用；

在接收所述系统内核的表示加入成功的第二响应消息的情况下，利用所述连接器实例建立所述监控应用与所述系统内核之间的所述通信连接。

4.根据权利要求2所述的方法，其特征在于，在根据所述事件数据的数据特征确定所述目标进程是否为异常进程之后，所述方法还包括：

在所述监控应用中展示所述目标进程是否为异常进程的提示信息。

5.根据权利要求1所述的方法，其特征在于，确定系统内核中的目标进程包括：

接收所述系统内核中的连接器实例监听到的进程创建消息，其中，所述进程创建消息中携带有在所述系统内核中创建的进程的进程标识；

将所述进程标识所表示的进程作为所述目标进程。

6.根据权利要求1至5中任意一项所述的方法，其特征在于，根据所述事件数据的数据特征确定所述目标进程是否为异常进程包括：

在检测出所述事件数据中携带有第一类命令的情况下，确定所述目标进程属于第一类型的异常进程，其中，所述第一类命令携带于第二终端向第一终端发送的数据中，所述第一终端为所述系统内核所在的终端，所述第一类型的异常进程为执行所述第一类命令创建的；和/或，

在检测出所述事件数据中携带有第二类命令的情况下，确定所述目标进程属于第二类型的异常进程，其中，所述第二类命令为在所述第二终端的目标窗口输入的命令，所述目标窗口为所述第一终端的控制窗口，所述第二类型的异常进程为执行所述第二类命令创建的。

7.根据权利要求6所述的方法，其特征在于，在根据所述事件数据的数据特征确定所述目标进程是否为异常进程之前，所述方法还包括：

将所述系统内核监听到的进程创建消息中携带的进程标识与目标标识集合中的标识进行比较，其中，所述目标标识集合中的标识为所述系统内核中应用创建的进程标识；

其中，在所述目标标识集合中不存在与所述进程创建消息中携带的进程标识匹配的标识进的情况下，执行根据所述事件数据的数据特征确定所述目标进程是否为异常进程的步骤。

8.一种入侵的检测装置，其特征在于，包括：

确定单元，用于确定系统内核中的目标进程，其中，所述目标进程为待确认是否为入侵所述系统内核所产生的异常进程；

获取单元，用于通过通信连接获取所述目标进程的事件数据，其中，所述通信连接为与所述系统内核之间进行通信的连接，所述事件数据为所述目标进程的关联事件产生的数据；

检测单元，用于根据所述事件数据的数据特征确定所述目标进程是否为异常进程。