[发明专利]使用系统调用序列的异常检测

摘要

提供了在基于消息的操作系统中检测调用序列异常的系统和方法。可以接收指示调取操作系统的编程流程的消息。该消息可以包括编程流程标识符、发送方进程标识符和接收方进程标识符。可以基于该消息生成调取散列。可以将调取散列翻译为较小的调取标识符。调取标识符可以包括在已翻译的调用序列中，该已翻译的调用序列包括一系列调取的调取标识符。取决于已翻译的调用序列是否包括在先前生成的预定的调用序列中，该已翻译的调用序列可以被确定为异常或非异常。

主权项

1.一种在基于消息的操作系统中检测调用序列异常的方法，所述方法包括：接收指示调取操作系统的编程流程的消息，所述消息包括编程流程标识符、发送方进程标识符和接收方进程标识符，其中所述编程流程的调取是在由所述发送方进程标识符标识的进程做出的一系列操作系统编程流程调取中的一个调取；至少基于所述编程流程标识符和所述接收方进程标识符生成调取散列；将所述调取散列翻译为调取标识符；将所述调取标识符包括在已翻译的调用序列中，所述已翻译的调用序列包括所述一系列调取的调取标识符；确定所述已翻译的调用序列是否包括在多个预定的调用序列中，每个所述预定的调用序列包括对应的调取标识符，其中每个所述对应的调取标识符被映射到调取散列；以及如果所述已翻译的调用序列不包括在所述预定的调用序列中，则将所述已翻译的调用序列识别为异常，否则确定所述已翻译的调用序列不异常。