[發(fā)明專利]一種數(shù)據(jù)安全交換進(jìn)程監(jiān)管方法及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201210248822.2
• 申請(qǐng)日: 2012-07-17
• 公開（公告）號(hào): CN102739690A
• 公開（公告）日: 2012-10-17
• 發(fā)明（設(shè)計(jì)）人: 陳性元;杜學(xué)繪;孫奕;張紅旗;王超;夏春濤;曹利峰;毛琨;張東巍
• 申請(qǐng)（專利權(quán)）人: 中國人民解放軍信息工程大學(xué)
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 北京集佳知識(shí)產(chǎn)權(quán)代理有限公司 11227
• 代理人: 王寶筠

1.一種數(shù)據(jù)安全交換進(jìn)程監(jiān)管方法，其特征在于，包括：

截獲啟動(dòng)交換進(jìn)程的請(qǐng)求；

對(duì)所述交換進(jìn)程所包括的交換程序的完整性進(jìn)行認(rèn)證；

在交換進(jìn)程啟動(dòng)后，接收所述交換進(jìn)程的注冊(cè)請(qǐng)求；

依據(jù)所述注冊(cè)請(qǐng)求對(duì)所述交換進(jìn)程進(jìn)行注冊(cè)，產(chǎn)生注冊(cè)信息；

依據(jù)所述注冊(cè)信息提取所述交換進(jìn)程的實(shí)時(shí)行為數(shù)據(jù)，并對(duì)所述實(shí)時(shí)行為數(shù)據(jù)進(jìn)行預(yù)處理；

對(duì)預(yù)處理后的實(shí)時(shí)行為數(shù)據(jù)進(jìn)行建模，獲取建模模型，依據(jù)預(yù)設(shè)規(guī)則對(duì)所述建模模型進(jìn)行評(píng)估；

依據(jù)所述評(píng)估的評(píng)估結(jié)果，控制所述交換進(jìn)程的運(yùn)行。

2.根據(jù)權(quán)利要求1所述的數(shù)據(jù)安全交換進(jìn)程監(jiān)管方法，其特征在于，所述注冊(cè)信息包括所述交換進(jìn)程的進(jìn)程控制符PID及所述交換進(jìn)程所包括的交換程序的摘要信息。

3.根據(jù)權(quán)利要求2所述的數(shù)據(jù)安全交換進(jìn)程監(jiān)管方法，其特征在于，所述依據(jù)所述注冊(cè)信息提取所述交換進(jìn)程的實(shí)時(shí)行為數(shù)據(jù)，并對(duì)所述實(shí)時(shí)行為數(shù)據(jù)進(jìn)行預(yù)處理包括：

根據(jù)交換進(jìn)程的PID，提取所述交換進(jìn)程的系統(tǒng)調(diào)用序列，作為所述實(shí)時(shí)行為數(shù)據(jù)；

將所述系統(tǒng)調(diào)用序列中的每一系統(tǒng)調(diào)用替換為與之相應(yīng)的系統(tǒng)調(diào)用序號(hào)，產(chǎn)生序號(hào)形式的系統(tǒng)調(diào)用序列；

提取所述序號(hào)形式的系統(tǒng)調(diào)用序列的特征模式，并對(duì)所述特征模式進(jìn)行編號(hào)，產(chǎn)生特征模式編號(hào)；

對(duì)所述序號(hào)形式的系統(tǒng)調(diào)用序列進(jìn)行壓縮處理，則壓縮處理后的系統(tǒng)調(diào)用序列為由所述系統(tǒng)調(diào)用序號(hào)以及所述特征模式編號(hào)混合構(gòu)成的序列。

4.根據(jù)權(quán)利要求3所述的數(shù)據(jù)安全交換進(jìn)程監(jiān)管方法，其特征在于，所述對(duì)預(yù)處理后的實(shí)時(shí)行為數(shù)據(jù)進(jìn)行建模，獲取建模模型，依據(jù)預(yù)設(shè)規(guī)則對(duì)所述建模模型進(jìn)行評(píng)估包括：

使用Markov模型λ=(Φ,π,P)對(duì)經(jīng)過所述預(yù)處理的系統(tǒng)調(diào)用序列進(jìn)行建模，其中：

Φ={C₁,C₂，…,C_i,…，C_n,C_n+1}，1≤i≤n，C_i表示系統(tǒng)調(diào)用或特征模式的狀態(tài)，C_n+1表示之前沒有出現(xiàn)過的系統(tǒng)調(diào)用的狀態(tài)；

π={π_Ci}，π_Ci=N_Ci/N，π表示實(shí)時(shí)行為軌跡中不同系統(tǒng)調(diào)用或特征模式出現(xiàn)的概率，N_Ci表示狀態(tài)C_i對(duì)應(yīng)的系統(tǒng)調(diào)用或特征模式在壓縮后的實(shí)時(shí)行為軌跡中出現(xiàn)的次數(shù)，N表示實(shí)時(shí)行為軌跡的長度，令π_Cn+1=min（π_Ci）/10；

P=︱P_ci,cj︱_(n+1)*(n+1)，P_ci,cj=N_ci,cj/N_ci，1≤i,j≤n，P表示不同系統(tǒng)調(diào)用或特征模式之間轉(zhuǎn)換的概率，P_ci,cj表示交換進(jìn)程在t時(shí)刻處于狀態(tài)C_i，t+1時(shí)刻處于狀態(tài)C_j的概率，N_ci,cj表示狀態(tài)C_i和狀態(tài)C_j相鄰出現(xiàn)的次數(shù)，令P_ci,cn+1=min（P_ci,cj）/10;

依據(jù)公式v（L）=π_Ci*P_ci,ci+1*P_ci+1,ci+2…*P_{ci+L-2,ci+L-1}計(jì)算、檢測(cè)長為L的狀態(tài)短序列C₁C₂…C_i+L-2C_i+L-1的異常度，并對(duì)最近檢測(cè)的k個(gè)狀態(tài)短序列中異常度小于第一閾值的個(gè)數(shù)進(jìn)行計(jì)數(shù)，當(dāng)計(jì)數(shù)值大于第二閾值時(shí)，評(píng)估結(jié)果為異常。