[發明專利]無文件攻擊檢測方法、系統、設備及存儲介質

在審

• 申請號: 202210141539.3
• 申請日: 2022-02-16
• 公開（公告）號: CN114692143A
• 公開（公告）日: 2022-07-01
• 發明（設計）人: 馮振揚;陳桂耀;肖存峰;林俊吉;梁鼎銘;馮志強
• 申請（專利權）人: 深圳融安網絡科技有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F21/56;G06F21/57
• 代理公司: 深圳市恒程創新知識產權代理有限公司 44542
• 代理人: 苗廣冬

1.一種無文件攻擊檢測方法，其特征在于，所述無文件攻擊檢測方法包括：

當檢測到進程創建事件時，獲取目標進程的進程命令信息，并對所述進程命令信息進行審計檢測，獲得第一審計結果；

若根據所述第一審計結果確定允許創建所述目標進程，則獲取所述目標進程發起網絡連接過程中的進程網絡信息；

對所述進程網絡信息進行審計檢測，并根據第二審計結果確定是否放行所述目標進程。

2.如權利要求1所述的無文件攻擊檢測方法，其特征在于，所述當檢測到進程創建事件時，獲取目標進程的進程命令信息，并對所述進程命令信息進行審計檢測，獲得第一審計結果的步驟包括：

當檢測到進程創建事件時，觸發預先設置的進程監控驅動模塊對應的進程創建回調；

基于所述進程創建回調，通過預先設置的應用層檢測服務模塊掃描所述目標進程的命令行，獲得所述進程命令信息；

對所述進程命令信息進行審計檢測，獲得所述第一審計結果。

3.如權利要求1所述的無文件攻擊檢測方法，其特征在于，在所述當檢測到進程創建事件時，獲取目標進程的進程命令信息，并對所述進程命令信息進行審計檢測，獲得第一審計結果的步驟之后，所述無文件攻擊檢測方法還包括：

基于所述第一審計結果，判斷所述進程命令信息是否存在惡意命令和/或惡意參數；

若存在惡意命令和/或惡意參數，則觸發攔截機制阻止創建所述目標進程，并生成所述目標進程的審計報告。

4.如權利要求1所述的無文件攻擊檢測方法，其特征在于，所述若根據所述第一審計結果確定允許創建所述目標進程，則獲取所述目標進程發起網絡連接過程中的進程網絡信息的步驟：

基于所述第一審計結果，若確定所述進程命令信息不存在惡意命令和/或惡意參數，則允許創建所述目標進程；

當檢測到所述目標進程發起網絡連接時，觸發預先設置的網絡監控驅動模塊對應的網絡連接回調；

基于所述進程網絡連接回調，通過預先設置的應用層檢測服務模塊掃描所述目標進程對應的進程網絡信息。

5.如權利要求1所述的無文件攻擊檢測方法，其特征在于，所述進程網絡信息包括進程加載模塊、網絡連接地址、進程內存和進程句柄的一種或多種。

6.如權利要求5所述的無文件攻擊檢測方法，其特征在于，所述對所述進程網絡信息進行審計檢測的步驟包括：

檢測所述目標進程的進程加載模塊是否存在預設攻擊必備模塊；

和/或基于預設的網絡連接地址名單，對所述網絡連接地址進行匹配審計；

和/或將所述進程內存和預設惡意腳本內容進行匹配審計；

和/或將所述進程句柄和預先設置的關鍵進程句柄進行匹配審計。

7.如權利要求6所述的無文件攻擊檢測方法，其特征在于，所述根據第二審計結果確定是否發起所述目標進程的步驟包括：

若所述第二審計結果是通過審計，則放行所述目標進程；

若所述第二審計結果是未通過審計，則觸發攔截機制阻止執行所述目標進程，并發出警報信息以及所述網絡連接地址更新至所述網絡連接地址名單。

8.一種無文件攻擊檢測系統，其特征在于，所述無文件攻擊檢測系統包括：

第一審計檢測模塊，用于當檢測到進程創建事件時，獲取目標進程的進程命令信息，并對所述進程命令信息進行審計檢測，獲得第一審計結果；

獲取模塊，用于若根據所述第一審計結果確定允許創建所述目標進程，則獲取所述目標進程發起網絡連接過程中的進程網絡信息；

第二審計檢測模塊，用于對所述進程網絡信息進行審計檢測，并根據第二審計結果確定是否放行所述目標進程。

9.一種無文件攻擊檢測設備，其特征在于，所述無文件攻擊檢測設備包括：存儲器、處理器以及存儲在存儲器上的無文件攻擊檢測程序，

所述無文件攻擊檢測程序被所述處理器發起實現如權利要求1至7中任一項所述無文件攻擊檢測方法的步驟。

10.一種存儲介質，所述存儲介質為計算機可讀存儲介質，其特征在于，所述計算機可讀存儲介質上存儲有無文件攻擊檢測程序，所述無文件攻擊檢測程序被處理器發起實現如權利要求1至7中任一項所述無文件攻擊檢測方法的步驟。