[發(fā)明專利]一種車聯(lián)網(wǎng)惡意應(yīng)用動(dòng)態(tài)檢測(cè)方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 202010650724.6
• 申請(qǐng)日: 2020-07-08
• 公開(kāi)（公告）號(hào): CN111797400B
• 公開(kāi)（公告）日: 2023-09-01
• 發(fā)明（設(shè)計(jì)）人: 李政;李承澤;吳志敏;黃磊;申任遠(yuǎn);王鑫;王智勇;吳昊;范樂(lè)君;袁靜;張欽堯
• 申請(qǐng)（專利權(quán)）人: 國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)與信息安全管理中心
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56;G06F9/455;G06F21/44
• 代理公司: 北京德琦知識(shí)產(chǎn)權(quán)代理有限公司 11018
• 代理人: 梁少微;王麗琴

1.一種車聯(lián)網(wǎng)惡意應(yīng)用動(dòng)態(tài)檢測(cè)方法，該方法包括：

在待檢測(cè)應(yīng)用運(yùn)行過(guò)程中，每接收到調(diào)用敏感應(yīng)用程序接口API的通知，則將所調(diào)用的敏感API加入到API調(diào)用鏈中；

根據(jù)敏感API和敏感行為的對(duì)應(yīng)關(guān)系，在確認(rèn)發(fā)生了一次敏感行為時(shí)，將所發(fā)生的敏感行為記錄在API調(diào)用鏈中；

當(dāng)API調(diào)用鏈長(zhǎng)度達(dá)到預(yù)定值時(shí)，根據(jù)API調(diào)用鏈中敏感行為以及預(yù)先為各敏感行為預(yù)設(shè)的風(fēng)險(xiǎn)權(quán)值計(jì)算加權(quán)風(fēng)險(xiǎn)值；

當(dāng)加權(quán)風(fēng)險(xiǎn)值超過(guò)風(fēng)險(xiǎn)閾值時(shí)，確定該應(yīng)用發(fā)生惡意行為；

其中，API調(diào)用鏈記錄了API的調(diào)用信息，以及API調(diào)用的順序、次數(shù)和關(guān)系。

2.如權(quán)利要求1所述的方法，其特征在于，根據(jù)API調(diào)用鏈中敏感行為以及預(yù)先為各敏感行為預(yù)設(shè)的風(fēng)險(xiǎn)權(quán)值計(jì)算加權(quán)風(fēng)險(xiǎn)值，具體包括：

將API調(diào)用鏈中敏感行為各自對(duì)應(yīng)的風(fēng)險(xiǎn)權(quán)值相加求和，得到當(dāng)前該待測(cè)應(yīng)用的加權(quán)風(fēng)險(xiǎn)值。

3.如權(quán)利要求1所述的方法，其特征在于，所述API調(diào)用鏈?zhǔn)擎I值對(duì)數(shù)據(jù)結(jié)構(gòu)，所述API調(diào)用鏈的鍵是每一個(gè)或者一組相關(guān)聯(lián)的敏感API的調(diào)用時(shí)間；所述API調(diào)用鏈的值是相對(duì)應(yīng)調(diào)用時(shí)間下的一個(gè)敏感API的調(diào)用信息，或者一組相關(guān)聯(lián)的敏感API的調(diào)用信息。

4.如權(quán)利要求1所述的方法，其特征在于，該方法還包括：每隔預(yù)定時(shí)間，刪除API調(diào)用鏈中的第一個(gè)敏感行為。

5.如權(quán)利要求1-4任一項(xiàng)所述的方法，其特征在于，該方法還包括：對(duì)每個(gè)應(yīng)用進(jìn)行靜態(tài)安全檢測(cè)，將安全級(jí)別低的應(yīng)用作為動(dòng)態(tài)檢測(cè)時(shí)的待檢測(cè)應(yīng)用。

6.如權(quán)利要求5所述的方法，其特征在于，對(duì)每個(gè)應(yīng)用進(jìn)行靜態(tài)安全檢測(cè)，具體包括：

根據(jù)每個(gè)應(yīng)用簽名版本不同，對(duì)每個(gè)應(yīng)用選擇如下操作之一或者組合完成靜態(tài)安全檢測(cè)：簽名校驗(yàn)、包名-證書白名單比對(duì)、安裝器白名單比對(duì)。

7.如權(quán)利要求6所述的方法，其特征在于，

當(dāng)應(yīng)用簽名版本為V2版本時(shí)，對(duì)所述應(yīng)用簽名進(jìn)行簽名校驗(yàn)，且，簽名校驗(yàn)通過(guò)時(shí)，判斷應(yīng)用包名是否存在包名-證書白名單中，如果應(yīng)用包名存在包名-證書白名單中，且，在包名-證書白名單中根據(jù)應(yīng)用包名查找到應(yīng)用包名和證書標(biāo)識(shí)的對(duì)應(yīng)關(guān)系，則確認(rèn)包名-證書白名單比對(duì)通過(guò)，確定所述應(yīng)用安全等級(jí)為“安全”；

當(dāng)應(yīng)用簽名版本為V2版本時(shí)，對(duì)所述應(yīng)用簽名進(jìn)行簽名校驗(yàn)，且，簽名校驗(yàn)通過(guò)時(shí)，判斷應(yīng)用包名是否存在包名-證書白名單中，如果應(yīng)用包名存在包名-證書白名單中，但，在包名-證書白名單中根據(jù)應(yīng)用包名未查找到應(yīng)用包名和證書標(biāo)識(shí)的對(duì)應(yīng)關(guān)系，則確認(rèn)包名-證書白名單比對(duì)失敗，確定所述應(yīng)用安全等級(jí)為“危險(xiǎn)”；

當(dāng)應(yīng)用簽名版本為V2版本時(shí)，對(duì)所述應(yīng)用簽名進(jìn)行簽名校驗(yàn)，且，簽名校驗(yàn)通過(guò)時(shí)，判斷應(yīng)用包名是否存在包名-證書白名單中，如果應(yīng)用包名不存在包名-證書白名單中，則進(jìn)行安裝器白名單比對(duì)，判斷該應(yīng)用的安裝器信息是否存在于安裝器白名單中，如果存在，則確認(rèn)該應(yīng)用來(lái)源正規(guī)，確定所述應(yīng)用安全等級(jí)為“安全”；如果不存在，則確認(rèn)該應(yīng)用是未知來(lái)源，確定所述應(yīng)用安全等級(jí)為“來(lái)源未知”；

當(dāng)應(yīng)用簽名版本為V2版本時(shí)，對(duì)所述應(yīng)用簽名進(jìn)行簽名校驗(yàn)，且，簽名校驗(yàn)失敗時(shí)，則確定所述應(yīng)用安全等級(jí)為“危險(xiǎn)”。

8.如權(quán)利要求6所述的方法，其特征在于，

當(dāng)應(yīng)用簽名版本為V1版本時(shí)，對(duì)所述應(yīng)用進(jìn)行安裝器白名單比對(duì)，判斷該應(yīng)用的安裝器信息是否存在于安裝器白名單中，如果存在，則確認(rèn)該應(yīng)用來(lái)源正規(guī)，確定所述應(yīng)用安全等級(jí)為“低風(fēng)險(xiǎn)”；如果不存在，則確認(rèn)該應(yīng)用是未知來(lái)源，確定所述應(yīng)用安全等級(jí)為“來(lái)源未知”。

9.如權(quán)利要求6所述的方法，其特征在于，當(dāng)簽名校驗(yàn)、包名-證書白名單比對(duì)或者安裝器白名單比對(duì)過(guò)程中，發(fā)生錯(cuò)誤，則確定所述應(yīng)用安全等級(jí)為“未知”。