[發(fā)明專利]一種基于hook技術(shù)的Unix白名單控制方法

在審

• 申請?zhí)枺?/td>: 201710092963.2
• 申請日: 2017-02-21
• 公開（公告）號: CN106874747A
• 公開（公告）日: 2017-06-20
• 發(fā)明（設(shè)計）人: 邢希雙
• 申請（專利權(quán)）人: 鄭州云海信息技術(shù)有限公司
• 主分類號: G06F21/51
• 分類號: G06F21/51;G06F21/52;G06F21/57
• 代理公司: 濟南信達專利事務(wù)所有限公司37100
• 代理人: 姜明

1.一種基于hook技術(shù)的Unix白名單控制方法，其特征在于：在Unix系統(tǒng)上增加過濾驅(qū)動模塊，所述過濾驅(qū)動模塊采用內(nèi)核驅(qū)動的方式實現(xiàn)，由白名單主服務(wù)進程安裝并啟動運行；所述過濾驅(qū)動模塊在整個操作系統(tǒng)上控制非白名單中的進程啟動，控制非白名單中的動態(tài)庫加載，控制非白名單中的驅(qū)動加載，控制二進制文件添加，控制白名單中的二進制文件被寫入、覆蓋、替換、刪除和重命名，使操作系統(tǒng)保持干凈、安全的運行環(huán)境。

2.根據(jù)權(quán)利要求1所述的基于hook技術(shù)的Unix白名單控制方法，其特征在于，所述白名單主服務(wù)進程采用Unix應(yīng)用程序的方式實現(xiàn)，白名單主服務(wù)進程在初始化時安裝過濾驅(qū)動模塊，同時掃描操作系統(tǒng)上的所有ELF文件，將各個ELF文件的全路徑和文件內(nèi)容的SHA1值提交給過濾驅(qū)動模塊，添加到驅(qū)動的白名單清單中，建立白名單清單鏈表。

3.根據(jù)權(quán)利要求1或2所述的基于hook技術(shù)的Unix白名單控制方法，其特征在于：當(dāng)接收到進程啟動，動態(tài)庫加載和/或驅(qū)動加載訪問請求時，所述過濾驅(qū)動模塊首先獲取訪問請求的二進制文件全路徑和SHA1值，然后遍歷自身的白名單清單鏈表，判斷ELF文件映射是否允許，如果是白名單清單中的二進制文件，則將訪問傳遞到原系統(tǒng)調(diào)用，操作系統(tǒng)正常完成ELF文件映射；如果不是白名單清單中的二進制文件，則將訪問過程阻止，操作系統(tǒng)映射ELF文件失敗，從而使得對應(yīng)的進程無法啟動，動態(tài)庫無法加載，驅(qū)動無法加載。

4.根據(jù)權(quán)利要求3所述的基于hook技術(shù)的Unix白名單控制方法，其特征在于：操作系統(tǒng)運行期間，所述過濾驅(qū)動模塊攔截文件創(chuàng)建行為，禁止創(chuàng)建二進制文件；操作系統(tǒng)運行期間所有針對白名單清單鏈表中的二進制文件的寫入、覆蓋、替換、刪除、重命名，都將被所述過濾驅(qū)動模塊攔截后予以拒絕。

5.根據(jù)權(quán)利要求4所述的基于hook技術(shù)的Unix白名單控制方法，其特征在于，當(dāng)接收到二進制文件的寫入、覆蓋、替換、刪除、重命名訪問請求時，所述過濾驅(qū)動模塊首先獲取訪問請求的二進制文件全路徑和SHA1值，然后遍歷自身的白名單清單鏈表，如果訪問請求針對的是白名單清單中的二進制文件，則將訪問過程阻止，使二進制文件的寫入、覆蓋、替換、刪除、重命名操作失敗；如果訪問請求針對的不是白名單清單中的二進制文件，則將訪問傳遞到原系統(tǒng)調(diào)用，操作系統(tǒng)正常完成二進制文件的寫入、覆蓋、替換、刪除、重命名操作。

6.根據(jù)權(quán)利要求2所述的基于hook技術(shù)的Unix白名單控制方法，其特征在于，為了安全起見，所述白名單主服務(wù)進程初次啟動在操作系統(tǒng)剛剛安裝/配置完成且網(wǎng)絡(luò)斷開的情況下進行；所述白名單主服務(wù)進程主動退出時，從當(dāng)前操作系統(tǒng)中卸載過濾驅(qū)動模塊和自身。