[發明專利]一種基于Linux系統的主動防御方法及裝置

有效

• 申請號: 201410191624.6
• 申請日: 2014-05-07
• 公開（公告）號: CN104008337B
• 公開（公告）日: 2019-08-23
• 發明（設計）人: 韓方;張濤
• 申請（專利權）人: 廣州華多網絡科技有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京三高永信知識產權代理有限責任公司 11138
• 代理人: 張耀光

1.一種基于Linux系統的主動防御方法，適用于Linux主機，其特征在于，所述方法包括：

獲取當前Linux系統調用鏈表指針；

通過/proc/kallsysms獲取調用鏈表sys_call_table指針，所述/proc/kallsysms為Linux內核鏡像文件；

判斷所述當前Linux系統調用鏈表指針與所述調用鏈表sys_call_table指針是否相等；

當所述當前Linux系統調用鏈表指針與所述調用鏈表sys_call_table指針相等時，采用鉤子Hook監測Linux內核的系統調用，所述系統調用包括：系統加載內核模塊、系統進程運行、系統重要配置文件的修改、系統執行的命令、系統端口監聽調用和系統注入調用；

當監測到設置了所述Hook的系統調用被用戶態進程調用時，判斷所述用戶態進程是否存在于白名單中；

通過Hook Linux內核sys_call_table[__NR__init_module]對于所述系統加載內核模塊進行防御，白名單中的用戶態進程允許加載內核模塊，否則禁止加載；

通過Hook Linux內核sys_call_table[__NR_execve]對于所述系統進程運行進行主動防御，所述白名單中的用戶態進程允許運行系統進程，否則禁止運行；

通過Hook Linux內核sys_call_table[__NR_write]對于所述系統重要配置文件的修改進行主動防御，所述白名單中的用戶態進程允許對系統重要配置文件的修改，否則禁止修改；

通過Hook Linux內核sys_call_table[__NR__execve]對于所述系統執行的命令進行主動防御，所述白名單中的用戶態進程允許執行系統命令，否則禁止執行；

通過Hook Linux內核sys_call_table[__NR__listen]對于所述系統端口監聽調用進行主動防御，所述白名單中的用戶態進程允許監聽系統端口，否則禁止監聽；

通過Hook Linux內核sys_call_table[__NR__ptrace]對于所述系統注入調用進行主動防御，所述白名單中的用戶態進程允許系統注入，否則禁止系統注入；

所述白名單包括一個或多個允許執行系統調用的用戶態進程。

2.根據權利要求1所述的方法，其特征在于，所述方法還包括：

獲取防御策略，所述防御策略包括Hook策略和所述白名單；

根據所述防御策略對所述Linux內核的系統調用設置Hook。

3.根據權利要求2所述的方法，其特征在于，所述獲取防御策略，包括：

接收服務器下發的所述防御策略。