[發明專利]對計算機硬件固件進行安全檢測和防護的方法及裝置

有效

• 申請號: 201710819139.2
• 申請日: 2017-09-12
• 公開（公告）號: CN109492400B
• 公開（公告）日: 2022-04-01
• 發明（設計）人: 李俊;宋磊
• 申請（專利權）人: 珠海市一知安全科技有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 王學強

1.一種對計算機硬件固件進行安全檢測和防護的方法，其特征在于，包括如下步驟：

A)開啟對計算機的操作系統的HAL層的監控；

B)過濾所述操作系統對計算機硬件固件的操作請求；

C)判斷所述操作請求是否是標準協議命令，如是，執行步驟D)；否則，對所述操作請求進行攔截并報警；

所述步驟C)包括：C1)按照計算機硬件固件的標準文檔，將所述操作請求進行解析得到所述操作請求的關鍵信息；所述關鍵信息包括請求命令和請求數據；C2)判斷所述請求命令是否是高危請求，如是，對所述請求命令進行攔截并報警，所述高危請求包括更新微碼請求或讀取設備內存請求，所述高危請求具體為與安全相關且與硬件功能無關的請求；否則，執行步驟C3)；C3)判斷所述請求數據是否含有高危數據格式或高危數據內容，如是，對所述請求數據進行攔截并報警；否則，執行步驟C4)；C4)基于統計和行為分析，判斷所述操作請求是否是危險請求，如是，執行步驟C5)；否則，執行步驟C6)；C5)將所述操作請求發送到計算機；C6)對所述操作請求進行攔截并報警；

D)提取并記錄所述操作請求的基本元信息，進入分析模塊，執行步驟E)；

E)將所述操作請求發送到對應的計算機硬件固件；

F)過濾從計算機硬件固件收到的數據；

G)判斷所述數據的格式與對應的計算機硬件固件的相似度是否大于設定值，如是，對所述數據進行攔截并報警；否則，執行步驟H)；

H)判斷所述數據的格式是否符合標準協議返回格式，如是，執行步驟J)；否則，進入分析模塊，執行步驟I)；

I)所述分析模塊判斷所述操作請求是否安全，如是，執行步驟J)；否則，對所述數據進行攔截并報警；

J)將所述數據返回到所述操作系統。

2.根據權利要求1所述的對計算機硬件固件進行安全檢測和防護的方法，其特征在于，所述步驟C4)進一步包括：

C41)分析所述請求命令在所述計算機歷史中所有請求中的比例；

C42)分析所述請求命令與前N條歷史請求命令的關聯；所述N為大于0的整數；

C43)分析所述請求命令在云端數據中的比例；

C44)識別出所述操作請求是否為危險請求。

3.一種實現如權利要求1所述的對計算機硬件固件進行安全檢測和防護的方法的裝置，其特征在于，包括：

監控開啟單元：用于開啟對計算機的操作系統的HAL層的監控；

操作請求過濾單元：用于過濾所述操作系統對計算機硬件固件的操作請求；

標準協議命令判斷單元：用于判斷所述操作請求是否是標準協議命令；

所述標準協議命令判斷單元包括：操作請求解析模塊：用于按照計算機硬件固件的標準文檔，將所述操作請求進行解析得到所述操作請求的關鍵信息；所述關鍵信息包括請求命令和請求數據；第一高危請求判斷模塊：用于判斷所述請求命令是否是高危請求，所述高危請求包括更新微碼請求或讀取設備內存請求；高危數據格式判斷模塊：用于判斷所述請求數據是否含有高危數據格式或高危數據內容；第二高危請求判斷模塊：用于基于統計和行為分析，判斷所述操作請求是否是危險請求；操作請求發送模塊：用于將所述操作請求發送到計算機；攔截報警模塊：對所述操作請求進行攔截并報警；

信息提取單元：用于提取并記錄所述操作請求的基本元信息，進入分析模塊；

操作請求發送單元：用于將所述操作請求發送到對應的計算機硬件固件；

數據過濾單元：用于過濾從計算機硬件固件收到的數據；

相似度判斷單元：用于判斷所述數據的格式與對應的計算機硬件固件的相似度是否大于設定值；

標準協議返回格式判斷單元：用于判斷所述數據的格式是否符合標準協議返回格式；

硬件操作請求判斷單元：用于使所述分析模塊判斷所述操作請求是否安全；

數據返回單元：用于將所述數據返回到所述操作系統。

4.根據權利要求3所述的實現如權利要求1所述的對計算機硬件固件進行安全檢測和防護的方法的裝置，其特征在于，所述第二高危請求判斷模塊進一步包括：

請求比例分析模塊：用于分析所述請求命令在所述計算機歷史中所有請求中的比例；

關聯分析模塊：用于分析所述請求命令與前N條歷史請求命令的關聯；所述N為大于0的整數；

運算數據比例分析模塊：用于分析所述請求命令在云端數據中的比例；

危險請求識別模塊：用于識別出所述操作請求是否為危險請求。