[發(fā)明專利]一種進(jìn)程監(jiān)聽方法、裝置、電子設(shè)備及可讀存儲介質(zhì)

在審

• 申請?zhí)枺?/td>: 202111100935.3
• 申請日: 2021-09-18
• 公開（公告）號: CN113779570A
• 公開（公告）日: 2021-12-10
• 發(fā)明（設(shè)計）人: 王啟超
• 申請（專利權(quán)）人: 深信服科技股份有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55
• 代理公司: 深圳市深佳知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 44285
• 代理人: 陳彥如

本發(fā)明公開了一種進(jìn)程監(jiān)聽方法、裝置、電子設(shè)備及可讀存儲介質(zhì)，該方法包括：查找待監(jiān)聽進(jìn)程；其中，待監(jiān)聽進(jìn)程包括系統(tǒng)的核心進(jìn)程；向待監(jiān)聽進(jìn)程注入內(nèi)核監(jiān)聽程序；利用內(nèi)核監(jiān)聽程序，對系統(tǒng)的用戶操作進(jìn)行監(jiān)聽；本發(fā)明通過向待監(jiān)聽進(jìn)程注入內(nèi)核監(jiān)聽程序，對系統(tǒng)的核心進(jìn)程進(jìn)行內(nèi)核級注入，以利用核心進(jìn)程中注入的內(nèi)核監(jiān)聽程序的運行，對系統(tǒng)的用戶操作進(jìn)行監(jiān)聽，實現(xiàn)對操作系統(tǒng)中用戶的操作行為的監(jiān)聽，從而能夠減少安全管理軟件的監(jiān)管功能被發(fā)現(xiàn)、誤殺、禁用、卸載和粉碎等不利于管理的情況發(fā)生，使得企業(yè)管理者能夠更好地審計和管理企業(yè)員工的辦公行為，提升了企業(yè)端的監(jiān)管能力。

技術(shù)領(lǐng)域

本發(fā)明涉及軟件服務(wù)技術(shù)領(lǐng)域，特別涉及一種進(jìn)程監(jiān)聽方法、裝置、電子設(shè)備及可讀存儲介質(zhì)。

背景技術(shù)

目前，企業(yè)端的安全管理軟件面臨著與跟員工“對抗”的情況，企業(yè)安全管理軟件存在如下缺點：1、管理軟件容易被員工發(fā)現(xiàn)，從而導(dǎo)致員工對辦公以外行為有所防范；2、管理軟件處于被員工禁用、卸載和粉碎等尷尬的境地，導(dǎo)致企業(yè)監(jiān)控管理困難；3、管理軟件由于自身健壯性不足，會被殺毒軟件禁用殺死。

因此，如何能夠減少安全管理軟件的監(jiān)管功能被發(fā)現(xiàn)、殺死和禁用等不利于管理的情況發(fā)生，提升企業(yè)端的監(jiān)管能力，是現(xiàn)今急需解決的問題。

發(fā)明內(nèi)容

本發(fā)明的目的是提供一種進(jìn)程監(jiān)聽方法、裝置、電子設(shè)備及可讀存儲介質(zhì)，以減少安全管理軟件的監(jiān)管功能被發(fā)現(xiàn)、殺死和禁用等不利于管理的情況發(fā)生，提升企業(yè)端的監(jiān)管能力。

為解決上述技術(shù)問題，本發(fā)明提供一種進(jìn)程監(jiān)聽方法，包括：

查找待監(jiān)聽進(jìn)程；其中，所述待監(jiān)聽進(jìn)程包括系統(tǒng)的核心進(jìn)程；

向所述待監(jiān)聽進(jìn)程注入內(nèi)核監(jiān)聽程序；

利用所述內(nèi)核監(jiān)聽程序，對所述系統(tǒng)的用戶操作進(jìn)行監(jiān)聽。

可選的，所述查找待監(jiān)聽進(jìn)程，包括：

查找所述系統(tǒng)中的全部目標(biāo)監(jiān)聽進(jìn)程；其中，所述目標(biāo)監(jiān)聽進(jìn)程包括所述系統(tǒng)的全部進(jìn)程中目標(biāo)類的核心進(jìn)程；

根據(jù)所述目標(biāo)監(jiān)聽進(jìn)程的命令行和/或令牌信息，對所述目標(biāo)監(jiān)聽進(jìn)程進(jìn)行過濾，得到篩選進(jìn)程；

根據(jù)所述篩選進(jìn)程的狀態(tài)信息，確定所述篩選進(jìn)程中的待監(jiān)聽進(jìn)程；其中，所述狀態(tài)信息包括保護(hù)狀態(tài)信息和/或使用狀態(tài)信息。

可選的，所述根據(jù)所述目標(biāo)監(jiān)聽進(jìn)程的命令行和/或令牌信息，對所述目標(biāo)監(jiān)聽進(jìn)程進(jìn)行過濾，得到篩選進(jìn)程，包括：

根據(jù)所述目標(biāo)監(jiān)聽進(jìn)程的命令行，過濾得到所述篩選進(jìn)程中的高權(quán)限進(jìn)程；其中，所述高權(quán)限進(jìn)程的命令行中包括預(yù)設(shè)的高權(quán)限命令行；

根據(jù)所述高權(quán)限進(jìn)程的令牌信息，過濾得到所述高權(quán)限進(jìn)程中的篩選進(jìn)程。

可選的，所述待監(jiān)聽進(jìn)程為所述系統(tǒng)的任一核心進(jìn)程時，所述根據(jù)所述篩選進(jìn)程的狀態(tài)信息，確定所述篩選進(jìn)程中的待監(jiān)聽進(jìn)程，包括：

根據(jù)當(dāng)前篩選進(jìn)程的ID，獲取當(dāng)前篩選進(jìn)程的內(nèi)核執(zhí)行體；其中，當(dāng)前篩選進(jìn)程為任一所述篩選進(jìn)程；

根據(jù)所述內(nèi)核執(zhí)行體，確定當(dāng)前狀態(tài)信息；其中，當(dāng)前狀態(tài)信息為當(dāng)前篩選進(jìn)程對應(yīng)的狀態(tài)信息；

若當(dāng)前狀態(tài)信息中的保護(hù)狀態(tài)信息為受保護(hù)狀態(tài)且使用狀態(tài)信息不為退出狀態(tài)，則將當(dāng)前篩選進(jìn)程確定為所述待監(jiān)聽進(jìn)程，并執(zhí)行所述向所述待監(jiān)聽進(jìn)程注入內(nèi)核監(jiān)聽程序以及后續(xù)的步驟；

若當(dāng)前狀態(tài)信息中的保護(hù)狀態(tài)信息不為受保護(hù)狀態(tài)或使用狀態(tài)信息為退出狀態(tài)，則將下一篩選進(jìn)程作為當(dāng)前篩選進(jìn)程，并執(zhí)行所述根據(jù)當(dāng)前篩選進(jìn)程的ID，獲取當(dāng)前篩選進(jìn)程的內(nèi)核執(zhí)行體以及后續(xù)的步驟。

可選的，所述利用所述內(nèi)核監(jiān)聽程序，對所述系統(tǒng)的用戶操作進(jìn)行監(jiān)聽之后，還包括：