[發明專利]一種Timestomp類攻擊的檢測方法、裝置和介質

在審

• 申請號: 202110442774.X
• 申請日: 2021-04-23
• 公開（公告）號: CN113515740A
• 公開（公告）日: 2021-10-19
• 發明（設計）人: 鄭云超;范淵;黃進
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 豆貝貝

1.一種Timestomp類攻擊的檢測方法，其特征在于，包括：

獲取文件修改行為前后的目標函數值和文件修改時間；所述目標函數值用于判斷所述文件修改行為是否為文件內容的修改；

判斷所述文件修改行為前后的目標函數值是否相同；

若是，則判斷所述文件修改行為前后的文件修改時間是否相同；若所述文件修改行為前后的文件修改時間不相同，則檢測到所述Timestomp類攻擊。

2.根據權利要求1所述的Timestomp類攻擊的檢測方法，其特征在于，所述獲取文件修改行為前后的目標函數值和文件修改時間，包括：

當檢測到所述文件修改行為時，攔截所述文件修改行為，并記錄當前的目標函數值和文件修改時間，得到所述文件修改行為前的目標函數值和文件修改時間；

當記錄結束后，放行所述文件修改行為；

當所述文件修改行為被執行后，記錄所述文件修改行為后的目標函數值和文件修改時間，得到所述文件修改行為后的目標函數值和文件修改時間。

3.根據權利要求1所述的Timestomp類攻擊的檢測方法，其特征在于，所述獲取文件修改行為前后的目標函數值和文件修改時間，包括：

獲取所述文件修改行為前后的哈希值和所述文件修改時間，并將所述哈希值作為所述目標函數值。

4.根據權利要求1所述的Timestomp類攻擊的檢測方法，其特征在于，在獲取文件修改行為前后的目標函數值和文件修改時間之前，還包括：

接收防護中心下發的檢測指定目錄的配置信息；

根據所述配置信息中的指定目錄，對所述指定目錄下的文件修改行為進行檢測。

5.根據權利要求1至4任一項所述的Timestomp類攻擊的檢測方法，其特征在于，在檢測到所述Timestomp類攻擊之后，還包括：

生成告警數據信息，并將所述告警數據信息發送至所述防護中心，以使所述防護中心根據所述告警數據信息確定所述文件修改行為發生的真實修改時間。

6.一種Timestomp類攻擊的檢測裝置，其特征在于，包括：

獲取模塊，用于獲取文件修改行為前后的目標函數值和文件修改時間；所述目標函數值用于判斷所述文件修改行為是否為文件內容的修改；

第一判斷模塊，用于判斷所述文件修改行為前后的目標函數值是否相同；

第二判斷模塊，用于若是，則判斷所述文件修改行為前后的文件修改時間是否相同；

第一檢測結果模塊，用于若所述文件修改行為前后的文件修改時間不相同，則檢測到所述Timestomp類攻擊。

7.一種Timestomp類攻擊的檢測系統，其特征在于，包括：

防護終端，用于執行如權利要求1至5任一項所述Timestomp類攻擊的檢測方法的步驟。

8.根據權利要求7所述的Timestomp類攻擊的檢測系統，其特征在于，還包括：

防護中心，用于發生檢測指定目錄的配置信息至所述防護終端，以及接收并顯示所述防護終端生成的告警數據信息。

9.一種防護終端，其特征在于，包括：

存儲器，用于存儲計算機程序；

處理器，用于執行所述計算機程序時實現如權利要求1至5任一項所述Timestomp類攻擊的檢測方法的步驟。

10.一種計算機可讀存儲介質，其特征在于，所述計算機可讀存儲介質上存儲有計算機程序，所述計算機程序被處理器執行時實現如權利要求1至5任一項所述Timestomp類攻擊的檢測方法的步驟。