[发明专利]嵌入式设备的威胁防御方法、装置、电子设备及存储介质

权利要求书

1.一种嵌入式设备的威胁防御方法，其特征在于，所述嵌入式设备采用Linux系统，所述方法包括：

响应于所述Linux系统加载动态库，利用预先配置好的防御模块截获所述Linux系统的待启动文件；

对所述待启动文件进行威胁检测；

基于所述待启动文件的威胁检测结果，确定所述防御模块对所述待启动文件的执行动作；其中，所述执行动作包括放行和阻拦。

2.根据权利要求1所述的方法，其特征在于，在所述响应于所述Linux系统加载动态库之前，包括：

响应于所述Linux系统启动，利用预先配置好的验证模块验证预先配置好的防御模块；

在验证通过后，启动所述防御模块，以利用验证通过的防御模块截获所述Linux系统的待启动文件。

3.根据权利要求1所述的方法，其特征在于，所述对所述待启动文件进行威胁检测，包括：

提取所述待启动文件，得到所述待启动文件的关键特征信息；

基于所述关键特征信息和预先构建好的特征库，对所述待启动文件进行威胁检测；其中，所述特征库所占的存储空间不超过预设的容量阈值。

4.根据权利要求3所述的方法，其特征在于，所述特征库包括白名单库、黑名单库和自定义库；

所述基于所述关键特征信息和预先构建好的特征库，对所述待启动文件进行威胁检测，包括：

将所述关键特征信息与所述白名单库的特征进行比对，确定所述待启动文件的第一威胁检测结果；其中，所述第一威胁检测结果包括命中和未命中；

在所述第一威胁检测结果为未命中时，将所述关键特征信息与所述黑名单库的特征进行比对，确定所述待启动文件的第二威胁检测结果；其中，所述第二威胁检测结果包括命中和未命中；

在所述第二威胁检测结果为未命中时，将所述关键特征信息与所述自定义库的特征进行比对，确定所述待启动文件的第三威胁检测结果；其中，所述第三威胁检测结果包括命中和未命中；

将所述第一威胁检测结果、所述第二威胁检测结果和所述第三威胁检测结果作为所述待启动文件的威胁检测结果。

5.根据权利要求1所述的方法，其特征在于，所述对所述待启动文件进行威胁检测，包括：

提取所述待启动文件，得到所述待启动文件的第一关键特征信息；

计算所述待启动文件的信息熵；

通过虚拟执行的方式确定所述待启动文件的解密文件，并提取所述解密文件得到第二关键特征信息；

基于所述第一关键特征信息、所述信息熵和所述第二关键特征信息，确定所述待启动文件的特征威胁度；

基于预设阈值和所述待启动文件的特征威胁度，对所述待启动文件进行威胁检测。

6.根据权利要求5所述的方法，其特征在于，所述基于所述第一关键特征信息、所述信息熵和所述第二关键特征信息，确定所述待启动文件的特征威胁度，包括：

构建特征信息库；其中，所述特征信息库包括关键特征信息、与该关键特征信息相对应的威胁度、第一预设权重、第二预设权重和预设信息熵权重，所述第一预设权重、所述预设信息熵权重和所述第二预设权重之和为1；

若所述第一关键特征信息和所述特征信息库包括的关键特征信息匹配，则基于所述第一关键特征信息、所述特征信息库包括的威胁度和第一预设权重，确定第一特征威胁度；

基于所述信息熵和所述预设信息熵权重，确定目标信息熵；

若所述第二关键特征信息和所述特征信息库包括的关键特征信息匹配，则基于所述第二关键特征信息、所述特征信息库包括的威胁度和第二预设权重，确定第二特征威胁度；

对所述第一特征威胁度、所述目标信息熵和所述第二特征威胁度进行归一化处理；

基于归一化处理后的所述第一特征威胁度、所述目标信息熵和所述第二特征威胁度，确定所述待启动文件的特征威胁度。