[發明專利]用于一硬件的監控裝置及監控方法

有效

• 申請號: 200810178659.0
• 申請日: 2008-11-24
• 公開（公告）號: CN101739519A
• 公開（公告）日: 2010-06-16
• 發明（設計）人: 戴士堯;林志鴻;黃彥男;張嘉祥;郭斯彥
• 申請（專利權）人: 財團法人資訊工業策進會
• 主分類號: G06F21/00
• 分類號: G06F21/00;G06F9/46
• 代理公司: 上海專利商標事務所有限公司 31100
• 代理人: 任永武

1.一種監控方法，包含下列步驟：

于一進程執行前，擷取該進程的一進入點信息，其中該進程包含至少一指令；

根據該進入點信息，取得與該進程相應的一地址值，其中該地址值對應至一儲 存該至少一指令的存儲器區塊；

執行該進程的至少一指令；根據該地址值記錄該進程的至少一指令；

根據該被記錄的進程的至少一指令，判斷該進程是否為惡意進程；以及

當判斷該進程為惡意進程時，針對該進程進行響應；

其中，一硬件擷取該進入點信息并根據該地址值記錄該進程的至少一指令。

2.根據權利要求1所述的監控方法，其特征在于還包含下列步驟：

分配該地址值至該進程。

3.根據權利要求1所述的監控方法，其特征在于該進入點信息系為一處理器標 記。

4.根據權利要求1所述的監控方法，其特征在于還包含下列步驟：

執行相應于該進程的至少一系統呼叫；以及

根據該地址值記錄該至少一系統呼叫。

5.根據權利要求4所述的監控方法，其特征在于該系統呼叫是一微軟32系統 呼叫以及一自然系統呼叫其中之一。

6.一種用于一硬件的監控裝置，該硬件包含一中央處理器、一存儲模塊以及一 關鍵區塊，該監控裝置包含：

一擷取模塊，于一進程執行前，自該存儲模塊擷取該進程的一進入點信息，其 中該進程包含至少一指令；

一分析模塊，用以根據該進入點信息，自該中央處理器取得與該進程相應的一 地址值，其中該地址值對應至一儲存該至少一指令的存儲器區塊；

一判斷模塊，根據該硬件的存儲模塊記錄的該進程的至少一指令，判斷該進程 是否為惡意進程；以及

一攔截模塊，當判斷該進程為惡意進程時，針對該進程進行響應；

其中，當該中央處理器執行該進程的至少一指令時，該硬件的儲存模塊根據該 地址值記錄該進程的至少一指令。

7.根據權利要求6所述的監控裝置，其特征在于，一操作系統分配該地址值至 該進程。

8.根據權利要求6所述的監控裝置，其特征在于，該進入點信息是一處理器標 記。

9.根據權利要求6所述的監控裝置，其特征在于，當該中央處理器執行相應于 該進程的至少一系統呼叫時，該硬件的存儲模塊根據該地址值記錄該至少一系統呼 叫。

10.根據權利要求9所述的監控裝置，其特征在于，該系統呼叫是一微軟32系 統呼叫以及一自然系統呼叫其中之一。