[發明專利]操作行為的攔截方法及裝置、存儲介質、電子裝置

有效

• 申請號: 201811645703.4
• 申請日: 2018-12-29
• 公開（公告）號: CN109766699B
• 公開（公告）日: 2022-02-15
• 發明（設計）人: 徐貴斌
• 申請（專利權）人: 奇安信安全技術（珠海）有限公司;奇安信科技集團股份有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 北京中強智尚知識產權代理有限公司 11448
• 代理人: 黃耀威

1.一種操作行為的攔截方法，其特征在于，包括：

根據職責范圍為行為主體分配操作權限，其中，所述行為主體包括以下至少之一：程序、設備、用戶；所述操作權限包括系統類權限、文件類權限和/或網絡類權限；

當所述操作行為為被動發起時，根據內存序列監測所述行為主體是否被惡意控制，并在所述操作權限內發起操作行為；

在監測到所述行為主體在被惡意控制狀態下在所述操作權限內發起所述操作行為時，攔截所述操作行為；

其中，根據內存序列監測所述行為主體是否被惡意控制，并在所述操作權限內發起操作行為，包括：

確定所述行為主體在所述操作權限內發起操作行為；

獲取所述操作行為生成的內存序列；

判斷所述內存序列與預設標準流程是否匹配；具體地，在所述內存序列中解析所述操作行為的任務流程，判斷所述任務流程與所述預設標準流程的流程順序是否相同；

在所述內存序列與預設標準序列不匹配時，確定所述行為主體被惡意控制，在所述內存序列與預設標準序列匹配時，確定所述行為主體未被惡意控制。

2.根據權利要求1所述的方法，其特征在于，根據職責范圍為行為主體分配操作權限包括：

設置行為主體的第一操作權限，其中，所述第一操作權限是保證目標設備正常工作的基本權限；

根據所述行為主體的職責范圍為所述行為主體分配第二操作權限。

3.根據權利要求2所 述的方法，其特征在于，在所述行為主體為程序時，設置行為主體的第一操作權限包括：

設置所述行為主體的以下第一操作權限：不允許自動運行，只能由用戶手動運行；只允許操作自身創建的或與自身一起由同一安裝包直接或間接創建的文件；對系統文件僅有只讀的權限；不允許讀寫非系統的文件；不允許訪問內外網絡及網內節點；不允許對其它進程進行操作；不允許繞過系統直接讀寫磁盤；不允許下載或執行其他程序；不允許加載驅動。

4.根據權利要求2所 述的方法，其特征在于，根據所述行為主體的職責范圍為所述行為主體分配第二操作權限包括：

在所述行為主體為程序時，確定所述程序所屬的程序類型，為所述程序分配與所述程序類型對應的第二操作權限；

在所述行為主體為設備時，確定所述設備所屬的使用部門，為所述設備分配與所述使用部門對應的第二操作權限；

在所述行為主體為用戶時，確定用戶的用戶級別或身份類型，為所述用戶分配與所述用戶級別或身份類型對應的第二操作權限。

5.根據權利要求1所 述的方法，其特征在于，判斷所述內存序列與預設標準流程是否匹配包括：

在所述內存序列中解析所述操作行為的當前執行者，判斷所述當前執行與所述預設標準流程中的預設執行者是否相同。

6.根據權利要求1所 述的方法，其特征在于，根據內存序列監測所述行為主體是否被惡意控制包括：

在系統執行以下監控任務時：創建進程、加載可執行映像、申請可執行內存、更改內存權限為可執行、監聽端口、下載文件、新建文件、讀寫或更改受保護文件的數據或信息，采用HOOK的方式根據內存序列監測所述行為主體是否被惡意控制。

7.根據權利要求1所 述的方法，其特征在于，在根據內存序列監測所述行為主體是否被惡意控制，并在所述操作權限內發起操作行為之前，所述方法還包括：

判斷所述操作行為是否逾越所述操作權限；

在所述操作行為逾越所述操作權限時，攔截所述操作行為；在所述操作行為未逾越所述操作權限時，確定根據內存序列監測所述行為主體是否被惡意控制，并發起操作行為。