[发明专利]一种监测文件篡改的方法、系统及电子设备

权利要求书

1.一种监测文件篡改的方法，其特征在于，包括：

获取操作系统文件对应的目标跟踪点，通过信息层接收文件保护规则以及设定进程，并传输到文件内核态程序；

确定原始文件涉及的进程不包含所述设定进程，获取所述目标跟踪点对应的文件内容信息，并传输到文件用户态程序；

调取所述文件内核态程序中的所述文件保护规则，通过所述文件用户态程序将所述目标跟踪点对应的文件内容信息遍历对比所述文件保护规则，判断所述原始文件是否被篡改；

若否，放过所述原始文件，并生成记录日志；

若是，确定所述原始文件被篡改。

2.如权利要求1所述的方法，其特征在于，所述确定原始文件涉及的进程不包含所述设定进程，包括：

调取所述文件内核态程序中的信任进程以及恢复进程；

通过所述文件内核态程序判定所述原始文件涉及的进程是否包含所述信任进程以及恢复进程；

若是，放过所述原始文件，并生成第一记录日志；

若否，确定所述原始文件涉及的进程不包含所述信任进程以及恢复进程。

3.如权利要求1所述的方法，其特征在于，所述调取所述文件内核态程序中的所述文件保护规则，包括：

获取文件对应跟踪点系统调用的返回值；

若所述返回值是第一设定值，确定所述文件对应跟踪点系统调用失败，放过所述原始文件，并生成第二记录日志；

若所述返回值是第二设定值，确定所述文件对应跟踪点系统调用成功。

4.如权利要求1所述的方法，其特征在于，在所述确定所述原始文件被篡改之后，还包括：

调取通过备份程序备份所述文件保护规则内的所有文件；

通过所述文件用户态程序调用所述备份程序备份的所有文件恢复所述原始文件中被篡改信息，并生成第三记录日志。

5.一种监测文件篡改系统，其特征在于，包括：

获取模块，用于获取操作系统文件对应的目标跟踪点，通过信息层接收文件保护规则以及设定进程，并传输到文件内核态程序；

传输模块，用于确定原始文件涉及的进程不包含所述设定进程，获取所述目标跟踪点对应的文件内容信息，并传输到文件用户态程序；

处理模块，用于调取所述文件内核态程序中的所述文件保护规则，通过所述文件用户态程序将所述目标跟踪点对应的文件内容信息遍历对比所述文件保护规则，判断所述原始文件是否被篡改；

若否，放过所述原始文件，并生成记录日志；

若是，确定所述原始文件被篡改。

6.如权利要求5所述的系统，其特征在于，所述传输模块，用于调取所述文件内核态程序中的信任进程以及恢复进程；

通过所述文件内核态程序判定所述原始文件涉及的进程是否包含所述信任进程以及恢复进程；

若是，放过所述原始文件，并生成第一记录日志；

若否，确定所述原始文件涉及的进程不包含所述信任进程以及恢复进程。

7.如权利要求5所述的系统，其特征在于，所述处理模块，用于获取文件对应跟踪点系统调用的返回值；

若所述返回值是第一设定值，确定所述文件对应跟踪点系统调用失败，放过所述原始文件，并生成第二记录日志；

若所述返回值是第二设定值，确定所述文件对应跟踪点系统调用成功。

8.如权利要求5所述的系统，其特征在于，所述处理模块，还用于调取通过备份程序备份所述文件保护规则内的所有文件；

通过所述文件用户态程序调用所述备份程序备份的所有文件恢复所述原始文件中被篡改信息，并生成第三记录日志。

9.一种电子设备，其特征在于，包括：

存储器，用于存放计算机程序；

处理器，用于执行所述存储器上所存放的计算机程序时，实现权利要求1-4中任一项所述的方法步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现权利要求1-4任一项所述的方法步骤。