[發明專利]基于可信進程樹的白名單更新方法

無效

• 申請號: 201010108793.0
• 申請日: 2010-02-05
• 公開（公告）號: CN101788915A
• 公開（公告）日: 2010-07-28
• 發明（設計）人: 趙勇;李瑜;韓培勝
• 申請（專利權）人: 北京工業大學
• 主分類號: G06F9/445
• 分類號: G06F9/445;G06F21/00
• 代理公司: 北京思海天達知識產權代理有限公司 11203
• 代理人: 樓艮基

1.一種基于可信進程樹的白名單更新方法，包含執行程序的啟動，以及可執行程序對文件資源的訪問操作的文件系統監控模塊；用于根據進程間及進程對可執行程序的調用關系，構建合法可執行程序所形成的可信進程樹的構建模塊；將程序的判定結果通知調用接口的系統白名單安全控制機制的可信報告模塊；提取可信進程樹中的各個結點對應可執行程序的特征值，并將這些特征值更新至白名單的更新模塊；其特征在于：通過對程序間創建及調用關系的分析，準確的定位非白名單程序中的新安裝合法程序和系統中的非法程序，收集到新安裝程序的特征值，鑒別非法程序的特征值，使其無法加入白名單中；包括下述步驟：

(1)監控并記錄系統中可執行程序的啟動，以及可執行程序對文件資源的寫訪問操作；

(2)在內存中構造可信進程樹數據結構，將安裝、升級過程中新引入計算機系統的可執行程序加入到可信進程樹中，其中包括其全路徑名、特征值、父進程在樹中的廣度遍歷序號；并將這些信息寫入文件中；

(3)將判定結果通知系統的白名單控制機制；對于特征值不在白名單中的程序，若在可信進程樹中，同樣允許啟動；

(4)收集可信進程樹中的可執行程序信息，更新系統白名單。

2.根據權利要求1所述的基于可信進程樹的白名單更新方法，其特征在于：所述的可信進程樹的模型，其中：

(1)樹的根是安裝包及升級包程序，或者是其中的一個升級進程；

(2)樹中任意結點用三元組表示，Path為可執行程序的全路徑名，H為該程序的特征值，Parent為該程序的父結點在樹中按廣度遍歷的序號；

(3)樹中任意結點與其子女的關系是以下兩種中的任一種：父結點對應的程序對子女有寫操作，父結點對應的程序有改名操作，父結點啟動或調用了子女結點對應的可執行程序。

3.根據權利要求2所述的基于可信進程樹的白名單更新方法，其特征在于：其中所述的寫操作包括：創建、寫、添加寫、改名。