[發明專利]一種基于白名單的系統防御方法、裝置、介質及電子設備

在審

• 申請號: 202211247719.6
• 申請日: 2022-10-12
• 公開（公告）號: CN115509687A
• 公開（公告）日: 2022-12-23
• 發明（設計）人: 葉立杰;胡亞運
• 申請（專利權）人: 湖北天融信網絡安全技術有限公司;北京天融信網絡安全技術有限公司;北京天融信科技有限公司;北京天融信軟件有限公司
• 主分類號: G06F9/455
• 分類號: G06F9/455;G06F21/52
• 代理公司: 北京超凡宏宇專利代理事務所(特殊普通合伙) 11463
• 代理人: 劉廣

1.一種基于白名單的系統防御方法，其特征在于，所述系統防御方法包括：

根據待處理文件的屬性信息得到目標白名單策略文件，其中，所述目標白名單策略文件是多個白名單策略文件中的一個，所述多個白名單策略文件至少包括：系統白名單策略文件和容器白名單策略文件；

根據所述目標白名單策略文件確定所述待處理文件是否屬于可加載或可執行文件。

2.如權利要求1所述的系統防御方法，其特征在于，所述屬性信息采用所述待處理文件的命名空間進行表征。

3.如權利要求1所述的系統防御方法，其特征在于，所述根據待處理文件的屬性信息得到目標白名單策略文件，包括：

獲取所述待處理文件所在的命名空間；

根據所述命名空間從所述多個白名單策略文件中得到所述目標白名單策略文件。

4.如權利要求3所述的系統防御方法，其特征在于，所述待處理文件為腳本文件，其中，

在所述獲取所述待處理文件所在的命名空間之前，所述根據待處理文件的屬性信息得到目標白名單策略文件還包括：

注冊一個腳本解釋器鉤子對腳本解釋器進行劫持；

通過解析所述腳本解釋器的參數獲取所述腳本文件的腳本文件名；

根據所述腳本文件名得到與所述待處理文件對應的命名空間。

5.如權利要求1-4任一項所述的系統防御方法，其特征在于，

所述目標白名單策略文件至少用于存儲安全應用的哈希值和所述安全應用的文件路徑；

其中，

所述根據所述目標白名單策略文件確定所述待處理文件是否屬于可加載或可執行文件，包括：

若根據所述待處理文件的文件路徑確定所述目標白名單策略文件中存在所述待處理文件，則計算所述待處理文件的哈希值得到待匹配哈希值并根據所述待匹配哈希值確定所述待處理文件是否屬于所述可執行或可加載文件；

若根據所述待處理文件的文件路徑確定所述目標白名單策略文件中不存在所述待處理文件，則拒絕執行或加載所述待處理文件。

6.如權利要求5所述的系統防御方法，其特征在于，所述根據所述待匹配哈希值確定所述待處理文件是否屬于所述可執行或可加載文件，包括：

從所述目標白名單策略文件中讀取與所述待處理文件對應的存儲哈希值；

比較所述待匹配哈希值與所述存儲哈希值，若兩者不一致則禁止執行或加載所述待處理文件，若兩者一致則執行或者加載所述待處理文件。

7.如權利要求6所述的系統防御方法，其特征在于，在所述根據待處理文件的屬性信息得到目標白名單策略文件之前，所述方法進一步包括：

掃描系統文件目錄通過文件頭方式篩選出目標文件集合，其中，所述目標文件集合中文件的種類包括：動態庫文件、可執行二進制程序、內核模塊和腳本文件；

根據所述目標文件集合得到多類白名單策略文件。

8.如權利要求7所述的系統防御方法，其特征在于，所述根據所述目標文件集合得到多類白名單策略文件，包括：

計算所述目標文件集合中各目標文件的哈希值，得到多個存儲哈希值；

獲取與所述目標文件集合中各目標文件對應的文件路徑，得到多個文件路徑；

將所述多個存儲哈希值與所述多個文件路徑統一作為所述白名單策略文件中的內容。

9.如權利要求8所述的系統防御方法，其特征在于，在所述將所述多個存儲哈希值與所述多個文件路徑統一作為所述白名單策略文件中的內容之后，所述方法還包括：對所述白名單策略文件進行簽名。

10.如權利要求9所述的系統防御方法，其特征在于，所述系統文件目錄包括通過解壓鏡像內文件得到的目標項。