[發明專利]基于windows驅動技術的終端注冊表安全防護方法及系統

有效

• 申請號: 202010714753.4
• 申請日: 2020-07-23
• 公開（公告）號: CN112214757B
• 公開（公告）日: 2022-08-02
• 發明（設計）人: 郭嫻;楊佳寧;陳柯寧;楊立寶
• 申請（專利權）人: 國家工業信息安全發展研究中心
• 主分類號: G06F21/51
• 分類號: G06F21/51;G06F21/55;G06F21/56
• 代理公司: 北京中濟緯天專利代理有限公司 11429
• 代理人: 張瑩

1.一種基于windows驅動技術的終端注冊表安全防護方法，其特征在于，包括如下步驟：

安裝注冊防護軟件；

安裝注冊表防護驅動組件；

注冊操作系統注冊表操作核心API的回調函數，以使驅動組件能獲取操作系統指令；

代理組件安裝；

SPC接口組件安裝；

捕獲操作系統發送的注冊表請求更改指令；

判斷請求更改的注冊表是否為待保護注冊表防護策略中的注冊表；

在請求更改的注冊表為待保護注冊表防護策略中的注冊表時攔截更改操作并控制代理組件向用戶發送提示信息；

操作系統接收到更改注冊表操作的請求并將該請求發送至驅動組件的接收單元， 同時驅動組件的判斷單元判斷該請求更改的注冊表是否為待保護注冊表防護策略中的注冊表，僅在請求更改的注冊表是待保護注冊表防護策略中的注冊表時，通過驅動組件中的執行單元進行攔截操作，同時，驅動組件向代理組件發送指令，以控制代理組件向用戶發送提示信息；

其中，所述“判斷請求更改的注冊表是否為待保護注冊表防護策略中的注冊表”，包括如下步驟：

接收從代理組件數據庫添加的待保護注冊表防護策略并存儲至驅動鏈表；

判斷操作系統發送的請求更改的注冊表是否為驅動鏈表中記載的待保護注冊表；

其中，驅動組件中包括內存單元，驅動鏈表存儲在內存單元內，待保護注冊表防護策略中的待保護的注冊表來自代理組件的數據庫；

在驅動組件的判斷單元進行判斷的過程中可以直接調用內存單元中的驅動鏈表。

2.根據權利要求1所述的基于windows驅動技術的終端注冊表安全防護方法，其特征在于，“接收從代理組件數據庫添加的待保護注冊表防護策略并存儲至驅動鏈表”之前預先在代理組件數據庫內存儲注冊表防護策略；

具體包括如下步驟：

SPC接口組件接收終端安全管理端定義的注冊表防護策略；

判斷注冊表防護策略的注冊表是否有效；

在注冊表防護策略有效時將該注冊表防護策略存儲在代理組件數據庫中，否則反饋至終端安全管理端。

3.根據權利要求2所述的基于windows驅動技術的終端注冊表安全防護方法，其特征在于，所述“判斷注冊表防護策略的注冊表是否有效”步驟采用正則表達式判斷，其中注冊表防護策略的路徑為采用“\”分割的字符串。

4.根據權利要求2所述的基于windows驅動技術的終端注冊表安全防護方法，其特征在于：“接收SPC接口組件終端安全管理端定義的注冊表防護策略”通過管理端軟件配置b/s架構，其中終端安全管理端有web界面，配置注冊表防護策略之后，下發給代理組件。

5.根據權利要求1所述的基于windows驅動技術的終端注冊表安全防護方法，其特征在于，所述“在請求更改的注冊表為要求保護的注冊表時攔截更改操作并控制代理組件向用戶發送提示信息”步驟時同時控制代理組件外發系統日志，其中向用戶發送提示信息采用操作系統托盤彈窗方式提示。

6.根據權利要求1所述的基于windows驅動技術的終端注冊表安全防護方法，其特征在于，所述“在請求更改的注冊表為待保護注冊表防護策略中的注冊表時攔截更改操作并控制代理組件向用戶發送提示信息”步驟之前還包括以下步驟：

判斷代理組件是否處于保護模式，僅在代理組件在保護模式的情況下驅動組件發出攔截；

若代理組件在調試模式下，驅動組件僅控制代理組件向用于發送提示信息，但不做攔截。

7.一種基于如權利要求1-6任一項所述的基于windows驅動技術的終端注冊表安全防護方法的防護系統，其特征在于，包括：

驅動組件，所述驅動組件包括：

接收單元，用于捕獲操作系統發送的注冊表請求更改指令；

判斷單元，用于判斷請求更改的注冊表是否為待保護注冊表防護策略中的注冊表；

執行單元，用于在請求更改的注冊表為待保護注冊表防護策略中的注冊表時攔截更改操作并控制代理組件向用戶發送提示信息。

8.根據權利要求7所述的基于windows驅動技術的終端注冊表安全防護方法的防護系統，其特征在于，還包括：代理組件和SPC接口組件，所述SPC接口組件向所述代理組件下發待保護注冊表防護策略，所述代理組件將待保護注冊表防護策略存儲并將注冊表路徑添加到驅動組件的內存單元中，同時，代理組件接收驅動組件執行單元發送的指令以向用戶發送提示。