[發明專利]一種防止文件被篡改的系統和方法

有效

• 申請號: 201210382366.0
• 申請日: 2012-10-10
• 公開（公告）號: CN102902909A
• 公開（公告）日: 2013-01-30
• 發明（設計）人: 馮顧;李涵;劉浩
• 申請（專利權）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號: G06F21/50
• 分類號: G06F21/50
• 代理公司: 北京市浩天知識產權代理事務所 11276
• 代理人: 靳春鷹;劉云貴

1.一種防止文件被篡改的系統，其安置在計算設備中，該計算設備具有操作系統，該操作系統包括提供核心操作的內核空間和提供各種應用的用戶空間，該防止文件被篡改的系統包括:

位于內核空間中的監測單元；

位于用戶空間中的監測客戶端和多個應用，其中所述監測客戶端適于與所述監測單元進行通信；以及

位于用戶空間和內核空間之間的系統調用接口，位于用戶空間中的所述多個應用分別通過該系統調用接口與所述監測單元連接；

其中，位于用戶空間中的多個應用分別通過系統調用接口向內核空間的核操作發起系統調用請求，所述監測單元監測所述系統調用請求，以及

該監測單元包括：

截獲模塊，適于在與系統調用相對應的核心操作被執行之前截獲所述系統調用；

判斷模塊，適于判斷所述系統調用是否合法;

告警模塊，在所述判斷模塊判斷該系統調用非法時，拒絕該系統調用并生成告警信息；以及

恢復模塊，在所述判斷模塊判斷該系統調用合法時，允許該系統調用，恢復該系統調用的執行，

其中，所述核心操作為各種與文件相關的操作，以及所述系統調用為各種與文件操作相關的系統調用。

2.根據權利要求1所述的系統，其中，

所述判斷模塊包括配置信息，所述配置信息包括一個或者多個配置項，每個配置項包括所述系統調用涉及的文件的文件信息和/或發起該系統調用的應用的應用信息，

其中所述判斷模塊根據所述配置信息來判斷該系統調用是否合法。

3.根據權利要求2所述的系統，其中所述文件信息包括文件的路徑信息和/或名稱，所述應用信息包括所述應用在操作系統中的唯一標識號。

4.根據權利要求2或3所述的系統，其中在所述配置信息中的每個配置項包括文件的文件信息和應用的唯一標識號的情形下，當所述系統調用涉及的文件的文件信息以及發起該系統調用的應用的唯一標識號不存在于所述配置信息的任一個配置項中時，所述判斷模塊判斷該系統調用為非法。

5.根據權利要求4所述的系統，其中每個配置項還包括操作權限；

當所述系統調用涉及的文件的文件信息以及發起該系統調用的應用的唯一標識號存在于所述配置信息的配置項中,但是該系統調用所需要的文件操作權限和所述配置項中的操作權限不匹配時，所述判斷模塊判斷該系統調用為非法。

6.根據權利要求4或5所述的系統，其中監測單元還包括：

通信模塊，其與所述用戶空間的監測客戶端進行通信，讀取所述監測客戶端中的配置信息并將其傳送給判斷模塊，以及將告警模塊生成的告警信息傳送至所述監測客戶端。

7.根據權利要求1-6中任一個所述的系統，其中，

所述監測客戶端通過對所述監測單元做定時心跳檢測而檢測所述監測單元是否正常工作。

8.根據權利要求1-7中任一個所述的系統，其中，

所述監測客戶端處的配置信息存儲在配置文件中；

所述配置文件包括有關允許進行操作的進程列表的配置文件和有關允許訪問的路徑和/或文件列表的配置文件。

9.根據權利要求1-8中任一項所述的系統，還包括:

虛擬模塊，其設置于內核空間中，加載于監測單元之后，在表示模塊加載的單向鏈表中其指針指向監測單元的下一個模塊，而不指向所述監測單元，從而使監測單元在單向鏈表中不可見。

10.一種防止文件被篡改的方法，其在計算設備中執行，該計算設備具有操作系統，該操作系統包括提供核心操作的內核空間和提供各種應用的用戶空間，該方法包括：

接收用戶空間中的應用通過系統調用而對內核空間中提供的相應核心操作的調用

在與系統調用相對應的核心操作被執行之前截獲所述系統調用;以及

判斷所述系統調用是否合法,當其合法時允許該系統調用,否則拒絕該系統調用。

11.根據權利要求10所述的方法，其中，所述判斷所述系統調用是否合法的步驟包括：根據所述系統調用涉及的文件信息和/或發起該系統調用的應用的應用信息來判斷該系統調用是否合法。