[發明專利]一種基于內核模塊的惡意軟件攔截方法及裝置

有效

• 申請號: 202010033639.5
• 申請日: 2020-01-13
• 公開（公告）號: CN111259392B
• 公開（公告）日: 2023-06-13
• 發明（設計）人: 屈夢夢;李常坤;張聰;湯迪斌
• 申請（專利權）人: 奇安信科技集團股份有限公司;奇安信網神信息技術（北京）股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 苗曉靜

本發明實施例提供一種基于內核模塊的惡意軟件攔截方法及裝置，所述方法包括：確定檢測到內核模塊加載通知，對內核模塊信息進行合法性檢測，獲得合法性檢測結果；所述合法性檢測至少包括檢測是否存在反初始化函數；確定合法性檢測結果為不合法，則確定存在惡意軟件加載內核模塊，并攔截所述惡意軟件。所述裝置執行上述方法。本發明實施例提供的方法及裝置，能夠實現及時攔截惡意軟件，進而避免在內核模塊被惡意軟件加載后進行的事后檢測及修復。

技術領域

本發明涉及網絡安全技術領域，尤其涉及一種基于內核模塊的惡意軟件攔截方法及裝置。

背景技術

Linux是一套免費使用和自由傳播的類Unix操作系統，是一個基于POSIX和UNIX的多用戶、多任務、支持多線程和多CPU的操作系統。它能運行主要的UNIX工具軟件、應用程序和網絡協議。它支持32位和64位硬件。Linux繼承了Unix以網絡為核心的設計思想，是一個性能穩定的多用戶網絡操作系統。

隨著Linux系統的廣泛應用，越來越多的惡意軟件針對Linux系統的內核模塊進行攻擊，從而給Linux系統的系統安全帶來了極大的危害，現有技術采用如下手段進行處理：

1、掃描本地文件系統，檢測惡意軟件的特征文件，從而確認本地文件系統是否有被惡意軟件入侵過。2、掃描當前系統上的所有進程，通過檢測是否有隱藏進程，從而確認是否有惡意軟件隱藏了進程。3、掃描當前系統上的端口，以檢查是否有外連進程，從而檢測出異常進程，進而確認是否存在惡意軟件入侵。4、轉儲內存鏡像，通過分析內存鏡像，進而確認是否存在惡意軟件入侵。

但上述幾種技術方案都存在一定缺陷，即都是在惡意軟件加載到內核模塊之后，通過檢測方式來確認是否存在惡意軟件攻擊；無法實現及時應對惡意軟件攻擊，且在檢測存在惡意軟件攻擊后，還需要通過人工運維處理，從而消除惡意軟件攻擊帶來的不利影響。

發明內容

針對現有技術存在的問題，本發明實施例提供一種基于內核模塊的惡意軟件攔截方法及裝置。

本發明實施例提供一種基于內核模塊的惡意軟件攔截方法，包括：

確定檢測到內核模塊加載通知，對內核模塊信息進行合法性檢測，獲得合法性檢測結果；所述合法性檢測至少包括檢測是否存在反初始化函數；

確定合法性檢測結果為不合法，則確定存在惡意軟件加載內核模塊，并攔截所述惡意軟件。

其中，在所述確定檢測到內核模塊加載通知，對內核模塊信息進行合法性檢測，獲得合法性檢測結果之前，所述基于內核模塊的惡意軟件攔截方法還包括：

利用系統鉤子在檢測到內核注入行為時，對所述內核模塊信息進行預檢測。

其中，所述對內核模塊信息進行合法性檢測，獲得合法性檢測結果，包括：

若確定所述內核模塊信息中不存在所述反初始化函數，則確定所述合法性檢測結果為不合法。

其中，所述對內核模塊信息進行合法性檢測，獲得合法性檢測結果，還包括：

若確定所述內核模塊信息中存在所述反初始化函數，則檢測在內核鏈表中是否存在所述內核模塊；

確定在內核鏈表中不存在所述內核模塊，則確定所述合法性檢測結果為不合法。

其中，所述對內核模塊信息進行合法性檢測，獲得合法性檢測結果，還包括：

若確定在內核鏈表中存在所述內核模塊，則檢測導致觸發內核模塊加載通知的待檢測軟件是否在黑名單中；

確定待檢測軟件在所述黑名單中，則確定所述合法性檢測結果為不合法。

其中，所述對內核模塊信息進行合法性檢測，還包括：