[發明專利]一種文件篡改檢測及修復的方法和系統

有效

• 申請號: 201310689374.4
• 申請日: 2013-12-17
• 公開（公告）號: CN103902855A
• 公開（公告）日: 2014-07-02
• 發明（設計）人: 任洪偉;劉佳男;李柏松
• 申請（專利權）人: 哈爾濱安天科技股份有限公司
• 主分類號: G06F21/10
• 分類號: G06F21/10;G06F21/56;G06F11/16
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種文件篡改檢測及修復的方法，其特征在于，包括：

對當前系統全盤掃描，獲取全部文件HASH及文件路徑，并構建本地HASH庫；

根據HASH庫中的文件路徑，檢測所有文件，將判定為惡意的文件清除，并刪除HASH庫中對應的文件HASH及文件路徑；

將修改后的HASH庫中的所有對應文件，生成本地系統鏡像文件存儲；

監控當前系統中所有文件的HASH，并與HASH庫比對，判斷是否有異常文件或新增文件，如果是，則將所述異常文件或新增文件發送到常態規則庫檢測，否則繼續監控；

常態規則庫根據預先存儲的已知常規規則與異常文件或新增文件匹配，如果匹配成功，則系統放行，否則將所述異常文件或新增文件進行常態模型匹配；

獲取所述異常文件或新增文件的事件屬性，并與常態模型關聯匹配，如果匹配成功，則將關聯匹配后的規則添加到常態規則庫中，并將所述異常文件或新增文件更新到本地系統鏡像文件中；否則，提示用戶進行處理。

2.如權利要求1所述的方法，其特征在于，還包括：將修改后的HASH庫中的所有對應文件上傳到云端服務器存儲。

3.如權利要求1所述的方法，其特征在于，所述常態規則庫中預先存儲的已知常規規則為，根據用戶或系統的正常操作或經常使用的已知常規操作提取的規則。

4.如權利要求1所述的方法，其特征在于，所述的常態模型，為根據系統中所有修改或新增文件的事件記錄，及修改或新增文件過程中的元屬性信息，進行關聯分析得出。

5.如權利要求4所述的方法，其特征在于，所述修改或新增文件過程中的元屬性信息至少包括：系統IP、系統用戶、修改或新增文件時間、文件目錄及文件格式。

6.如權利要求1所述的方法，其特征在于，所述提示用戶進行處理還包括：提示用戶選擇進行文件修復，或添加到HASH庫，或添加到常態規則庫。

7.如權利要求6所述的方法，其特征在于，如果用戶選擇進行文件修復，則從存儲的本地系統鏡像文件中或云端服務器中更新；如果用戶選擇添加到HASH庫，則將所述異常文件或新增文件的HASH及文件路徑添加到HASH庫中；如果用戶選擇添加到常態規則庫，則需要用戶手動錄入規則，并將所述規則添加到常態規則庫。

8.一種文件篡改檢測及修復的系統，其特征在于，包括：

掃描模塊，用于對當前系統全盤掃描，獲取全部文件HASH及文件路徑，并構建本地HASH庫；

檢測模塊，用于根據HASH庫中的文件路徑，檢測所有文件，將判定為惡意的文件清除，并刪除HASH庫中對應的文件HASH及文件路徑；

備份模塊，用于將修改后的HASH庫中的所有對應文件，生成本地系統鏡像文件存儲；

監控模塊，用于監控當前系統中所有文件的HASH，并與HASH庫比對，判斷是否有異常文件或新增文件，如果是，則將所述異常文件或新增文件發送到常態規則庫檢測，否則繼續監控；

常態規則檢查模塊，用于常態規則庫根據預先存儲的已知常規規則與異常文件或新增文件匹配，如果匹配成功，則系統放行，否則將所述異常文件或新增文件進行常態模型匹配；

常態模型匹配模塊，用于獲取所述異常文件或新增文件的事件屬性，并與常態模型關聯匹配，如果匹配成功，則將關聯匹配后的規則添加到常態規則庫中，并將所述異常文件或新增文件更新到本地系統鏡像文件中；否則，提示用戶進行處理。

9.如權利要求8所述的系統，其特征在于，還包括：將修改后的HASH庫中的所有對應文件上傳到云端服務器存儲。

10.如權利要求8所述的系統，其特征在于，所述常態規則庫中預先存儲的已知常規規則為，根據用戶或系統的正常操作或經常使用的已知常規操作提取的規則。

11.如權利要求8所述的系統，其特征在于，所述的常態模型，為根據系統中所有修改或新增文件的事件記錄，及修改或新增文件過程中的元屬性信息，進行關聯分析得出。

12.如權利要求11所述的系統，其特征在于，所述修改或新增文件過程中的元屬性信息至少包括：系統IP、系統用戶、修改或新增文件時間、文件目錄及文件格式。