[發明專利]一種內核完整性保護方法及裝置

有效

• 申請號: 201880016634.2
• 申請日: 2018-11-26
• 公開（公告）號: CN110383256B
• 公開（公告）日: 2022-01-14
• 發明（設計）人: 肖福洲;尹友展;夏登洲
• 申請（專利權）人: 華為技術有限公司
• 主分類號: G06F12/14
• 分類號: G06F12/14
• 代理公司: 北京億騰知識產權代理事務所(普通合伙) 11309
• 代理人: 陳霽

1.一種內核完整性保護方法，其特征在于，所述內核完整性保護方法由內核完整性保護裝置執行，所述內核完整性保護裝置中包括處理器執行單元，所述處理器執行單元劃分的運行空間包括第一運行空間和第二運行空間，所述第二運行空間的異常級別高于所述第一運行空間的異常級別；

所述內核完整性保護方法包括：

所述第一運行空間中運行的第一處理模塊向所述第二運行空間中運行的第二處理模塊發送請求消息，所述請求消息用于請求進行內存訪問，所述內存訪問涉及對預設寄存器的訪問和/或對預設內存空間的訪問；

所述第二運行空間中運行的第二處理模塊響應于所述請求消息，獲取所述內存訪問對應的事件的信息；

所述第二運行空間中運行的第二處理模塊將所述信息發送給所述第一運行空間中運行的第一處理模塊；

所述第一運行空間中運行的第一處理模塊根據所述信息對所述事件進行處理；

其中，所述內核完整性保護方法具體為數據保護方法，所述內核完整性保護裝置具體為數據保護裝置，所述數據保護裝置中包括所述處理器執行單元和內存管理單元；

所述第一運行空間中運行的第一處理模塊向所述第二運行空間中運行的第二處理模塊發送請求消息，所述請求消息用于請求進行內存訪問，所述內存訪問涉及對預設寄存器的訪問和/或對預設內存空間的訪問，包括：

所述第一運行空間中運行的第一處理模塊向所述內存管理單元發送第一消息，所述第一消息用于請求修改第一內存的屬性；

所述內存管理單元向所述第二運行空間中運行的第二處理模塊發送第二消息，所述第二消息用于請求確定所述第一內存是否是受保護的；

所述方法還包括：

所述第二運行空間中運行的所述第二處理模塊根據預先獲取的內存保護表，確定所述第一內存是否是受保護的；

所述第二運行空間運行的所述第二處理模塊向所述內存管理單元發送第三消息，所述第三消息用于指示是否修改所述第一內存的屬性；

若所述第三消息用于指示修改所述第一內存的屬性，則所述內存管理單元根據所述第一消息修改所述第一內存的屬性；若所述第三消息用于指示不修改所述第一內存的屬性，則所述內存管理單元拒絕修改所述第一內存的屬性。

2.如權利要求1所述的內核完整性保護方法，其特征在于，所述第一運行空間為內核空間，所述第一處理模塊為操作系統，所述第二運行空間為超級管理空間或安全監視空間。

3.如權利要求1所述的內核完整性保護方法，其特征在于，所述對預設寄存器的訪問，包括：

對系統控制寄存器的讀或寫。

4.如權利要求1所述的內核完整性保護方法，其特征在于，所述對預設內存空間的訪問，包括：

修改內核代碼段、關閉內存管理單元、修改內核頁表和修改用戶頁表中的至少一項。

5.如權利要求1至4中任一項所述的方法，其特征在于，所述處理器執行單元劃分的運行空間還包括第三運行空間，所述第三運行空間的異常級別低于所述第一運行空間的異常級別；所述第一運行空間中運行的第一處理模塊根據所述信息對所述事件進行處理，包括：

所述第一運行空間中運行的第一處理模塊根據所述信息向所述第三運行空間中運行的第三處理模塊發送信號，所述信號用于殺掉所述事件對應的進程。

6.如權利要求1至4中任一項所述的方法，其特征在于，

所述處理器執行單元劃分的運行空間還包括第三運行空間，所述第三運行空間的異常級別低于所述第一運行空間的異常級別；所述第一運行空間中運行的第一處理模塊根據所述信息對所述事件進行處理，包括：

所述第一運行空間中運行的第一處理模塊根據所述信息向所述第三運行空間中運行的第四處理模塊上報日志，所述日志包括所述信息。

7.如權利要求6所述的方法，其特征在于，所述方法還包括：

所述第三運行空間中運行的第四處理模塊將所述日志上傳到云端服務器；

所述第三運行空間中運行的第四處理模塊從所述云端服務器接收安全策略或補丁。

8.如權利要求5所述的方法，其特征在于，所述第三運行空間為用戶程序空間。