[发明专利]计划任务内网远程横向渗透监测方法及装置

权利要求书

1.一种计划任务内网远程横向渗透监测方法，其特征在于，应用于内网中的设备，包括：

响应于操作系统的计划任务服务进程调用计划任务创建函数创建计划任务，获取所述计划任务的创建数据；

基于所获取的所述计划任务的创建数据，若确定所述计划任务的创建类型为远程调用类型，则获取发起所述计划任务创建的所述内网中的目标设备的地址；

将所获取的所述内网中的目标设备的地址和所述计划任务的创建数据，发送至威胁行为识别引擎，以监测创建所述计划任务的操作是否包含横向渗透行为。

2.根据权利要求1所述的计划任务内网远程横向渗透监测方法，其特征在于，所述监测方法由在所述内网中的设备的所述计划任务创建函数中设置HOOK函数执行；

在所述计划任务创建函数中设置所述HOOK函数，包括：

查找所述操作系统的所述计划任务服务进程，在所述计划任务服务进程中安装监控模块；

通过所述监控模块在所述计划任务服务进程的所述计划任务创建函数中设置所述HOOK函数。

3.根据权利要求2所述的计划任务内网远程横向渗透监测方法，其特征在于，在所述计划任务服务进程的计划任务创建函数中设置所述HOOK函数，包括：

确定所述计划任务服务进程调用的计划任务核心功能文件；

基于计划任务服务接口的标识符，在所述计划任务核心功能文件中确定所述计划任务服务接口；

在所确定的计划任务服务接口的所述计划任务创建函数中设置所述HOOK函数。

4.根据权利要求3所述的计划任务内网远程横向渗透监测方法，其特征在于，所述基于计划任务服务接口的标识符，在所述计划任务核心功能文件中确定所述计划任务服务接口的地址，包括：

基于所述操作系统的版本信息，确定所述计划任务服务接口的标识符；

基于所确定的所述计划任务服务接口的标识符，在所述计划任务核心功能文件中确定所述计划任务服务接口。

5.根据权利要求4所述的计划任务内网远程横向渗透监测方法，其特征在于，所述确定所述计划任务服务进程调用的计划任务核心功能文件，包括：

确定所述计划任务服务进程调用的Schedsvc.dll或者Taskcomp.dll文件的内存地址。

6.根据权利要求5所述的计划任务内网远程横向渗透监测方法，其特征在于，所述基于所述操作系统的版本信息，确定所述计划任务服务接口的标识符，包括：

判断所述操作系统的版本信息是否为Windows 7以上的版本；

若所述操作系统的版本信息为Windows 7以上的版本，则确定所述计划任务服务接口的标识符为第一标识符；

否则，判断所述操作系统的版本信息是否为Windows XP；

若所述操作系统的版本信息为Windows XP，则确定所述计划任务服务接口的标识符为第二标识符；

所述基于所确定的所述计划任务服务接口的标识符，在所述计划任务核心功能文件中确定所述计划任务服务接口，包括：

基于所述第一标识符，在所述计划任务核心功能文件中确定ITaskSchedulerService接口的内存地址；或者，

基于所述第二标识符，在所述计划任务核心功能文件中确定IAtSvc接口的内存地址；

所述在所确定的计划任务服务接口的所述计划任务创建函数中设置所述HOOK函数，包括：

基于所述ITaskSchedulerService接口的内存地址，在所述ITaskSchedulerService接口的SchRpcRegisterTask函数中设置所述HOOK函数；或者，

基于所述IAtSvc接口的内存地址，在所述IAtSvc接口的NetrJobAdd函数中设置所述HOOK函数。