[发明专利]一种基于操作系统内核级数据交换识别方法

说明书

本发明公开了一种基于操作系统内核级数据交换识别方法，包括以下步骤：S1：对所有经过内核的存储资源调用请求进行拦截；S2：对发起存储资源调用的进线程进行特征审查；S3：对内核函数将调用资源与进线程特征进行关联分析；S4：对通过审查正常执行的数据交换行为进行记录，并完成数据交换过程的识别管理。本发明中，该交换识别方法以操作系统内核的安全启动机制为基础，以内核对进程的调度功能和资源分配功能为入手点，通过在进程调度和资源分配过程中加入对进线程及资源申请内容的识别和审计，对所有数据交换过程进行识别和管控，确保了数据交换过程的安全。

技术领域

本发明涉及设备数据交换识别技术领域，尤其涉及一种基于操作系统内核级数据交换识别方法。

背景技术

在搭载任意操作系统的设备中，内核所承担的主要功能是为硬件资源提供管理服务并向上层提供统一的接口，内核管理的硬件资源是以处理器为核心的的设备计算资源、中断资源以及存储资源。内核通过内核对象的方式对所有资源和功能进行抽象管理，不同类型的内核对象实现对相应资源或功能的抽象表示，而与内核对象对应实现的特定的内核函数则是被设计用来操作内核对象，例如，内核通过实现线程控制函数模块来控制管理抽象化的处理器资源，为上层用户态代码能够以线程的形式执行和接受调度提供支持。

授权的用户态线程先通过系统调用切换到内核态，之后处于内核态的线程可以通过对内核函数的调用实现对内核对象的操作，并进行访问系统资源或执行内核功能等操作，一般的内核支持的内核对象类型包括：地址空间对象、线程控制块对象、端点对象、事件对象、中断管理对象以及权能对象等。

而数据交换过程本质上就是具有一定特征的系统资源调用过程，其构成安全风险的主要原因就是恶意的数据交换过程可以破坏系统数据完整性和安全性，而这种恶意行为必然需要的就是通过操作系统内核对系统硬件资源进行识别和管控。

发明内容

本发明的目的是为了解决现有技术中存在的缺点，而提出通过在进程调度和资源分配过程中加入对进线程及资源申请内容的识别和审计，对所有数据交换过程进行识别和控制的一种基于操作系统内核级数据交换识别方法。

为了实现上述目的，本发明采用了如下技术方案：一种基于操作系统内核级数据交换识别方法，包括以下步骤：

S1：对所有经过内核的存储资源调用请求进行拦截；

S2：对发起存储资源调用的进线程进行特征审查；

S3：对内核函数将调用资源与进线程特征进行关联分析；

S4：对通过审查正常执行的数据交换行为进行记录，并完成数据交换过程的识别管理。

作为上述技术方案的进一步描述：

所述步骤S1中，在拦截调用请求时，同时需要对原本的调用过程进行挂机。

作为上述技术方案的进一步描述：

所述步骤S2中，特征审查的审查方式为：判断调用来源进线程特征是否满足系统安全要求；

其中，对包含不属于系统设置的安全特征的进线程进行拦截，拒绝其对资源的调用，终止相应的资源调用过程，并记录相应的调用终止事件；

对包含属于系统设置的安全特征的进线程进行通过，并进入步骤S3。

作为上述技术方案的进一步描述：

所述步骤S3中，关联分析的方式为：判断资源调用内容是否满足系统内部访问控制策略；

其中，拒绝不满足系统内部访问控制策略的资源调用请求，终止相应的资源调用过程，并记录相应的调用终止事件；

通过满足系统内部访问控制策略的资源调用请求，并进入步骤S4。

作为上述技术方案的进一步描述：