一种动态可信度量方法、电子设备及存储介质与流程

1.本发明涉及一种动态可信度量方法、电子设备及存储介质，属于网络安全技术领域。


背景技术：

2.可信计算技术是解决计算环境不可信、网络安全缺乏深度保障等问题的重要手段之一，可信计算在运算的同时进行安全防护，能够为系统提供安全免疫能力。
3.可信度量按照度量时间点可以分为静态度量和动态度量。静态度量是进程等被度量实体在执行时刻或者事先某个约定的时刻被度量，然后在实施安全规则处进行验证；动态度量则是在进程等实体在执行当中的任意时刻被度量和验证。前者设计简单，但是不得不面临度量和验证时间隔攻击的问题，也即是度量时刻和使用时刻度量对象发生改变的问题；而后者需要与操作系统相关联，相对复杂。接着需要考虑度量系统的自身的安全性问题，这取决于度量系统运行在计算机系统哪个层次上。其中一个办法是将度量子系统融合到操作系统中，比如linux的内核中，这种方法的缺点是缺乏灵活性，操作系统的升级会导致整个安全架构的失效。另一个方法是使用独立的安全模块，然而这个方法需要着重考虑模块本身的安全问题。


技术实现要素：

4.本发明的目的在于提供一种动态可信度量方法、电子设备及存储介质，能够实现进程的实时度量和验证。
5.为达到上述目的，本发明提供如下技术方案：
6.第一方面，本发明提供一种动态可信度量方法，包括：
7.把进程的信息添加至内核的动态添加缓存列表，并调用内核中的安全钩子函数对进程进行判断：
8.若进程不在动态添加缓存列表中，则不对进程进行度量；
9.若进程在动态添加缓存列表中，则根据进程的信息，对进程作进一步判断：
10.若进程不在动态运行缓存列表中，则计算进程地址空间的hash值，并将进程地址空间的hash值、进程名和进程id添加至动态运行缓存列表；
11.若进程在动态运行缓存列表中但进程名不一致，则将进程从动态运行缓存列表中清除；
12.若进程在动态运行缓存列表中且进程名一致，则计算进程地址空间的hash值，若其与动态运行缓存列表中记录的hash值一致，则直接运行进程，否则，进程被非法修改，终止进程，并记录告警日志。
13.结合第一方面，进一步的，进程的信息包括进程名、进程id和度量模式。
14.结合第一方面，进一步的，所述安全钩子函数安插在所述内核的各关键路径上，当执行到各所述关键路径时，调用各所述关键路径上的安全钩子函数进行判断。
15.结合第一方面，进一步的，每个安全钩子函数的钩子上安装有一个函数指针链，当调用安全钩子函数时，依次执行挂载在钩子上的函数。
16.结合第一方面，进一步的，计算进程地址空间的hash值时，仅计算进程maps地址中可读或不可写的内存部分。
17.结合第一方面，进一步的，计算进程地址空间的hash值时，采用国密sm2算法或国密sm3算法。
18.结合第一方面，进一步的，使用界面配置待度量的进程，通过界面控制度量开关的启停，并配置度量模式，所述度量模式包括强制模式和告警模式，在所述强制模式下，进程被非法修改时，终止该进程并触发告警，在所述告警模式下，进程被非法修改时，仅触发告警。
19.结合第一方面，进一步的，将所述告警日志写入告警日志文件中，并由可信计算客户端通过调用系统inotify接口，将所述告警日志文件加入至监视列表中，所述告警日志文件的内容一旦发生变化，将告警日志实时上报至可信管理中心。
20.第二方面，本发明提供一种电子设备，包括处理器及存储介质；
21.所述存储介质用于存储指令；
22.所述处理器用于根据所述指令进行操作以执行根据第一方面任一项所述方法的步骤。
23.第三方面，本发明提供一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现第一方面任一项所述方法的步骤。
24.与现有技术相比，本发明的有益效果是：
25.本发明提供的动态可信度量方法，能够实现进程的实时度量和验证，对操作系统的运行产生的影响小，保证了操作系统的稳定性，并在进程运行的过程中，根据进程的页表获取待度量内存段对应的目标页地址，动态的计算进程内存区域的数据的哈希值，实现进程的实时度量和验证，从而防止系统中出现越权操作，防止系统漏洞被攻击者利用，保证信息系统运行安全，解决了静态度量中遇到的进程空间内的数据被非法修改、将度量方法融入到操作系统中时缺乏灵活性的问题。
附图说明
26.图1是本发明实施例提供的动态可信度量方法流程图。
具体实施方式
27.下面结合具体实施方式对本专利的技术方案作进一步详细地说明。
28.下面详细描述本专利的实施例，实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本专利，而不能理解为对本专利的限制。在不冲突的情况下，本技术实施例以及实施例中的技术特征可以相互组合。
29.实施例一：
30.图1是本发明实施例一提供的一种动态可信度量方法流程图，本流程图仅仅示出了本实施例方法的逻辑顺序，在互不冲突的前提下，在本发明其它可能的实施例中，可以以
不同于图1所示的顺序完成所示出或描述的步骤。
31.参见图1，本实施例的方法具体包括如下步骤：
32.把进程的信息添加至内核的动态添加缓存列表，并调用内核中的安全钩子函数对进程进行判断：
33.若进程不在动态添加缓存列表中，则不对进程进行度量；
34.若进程在动态添加缓存列表中，则根据进程的信息，对进程作进一步判断：
35.若进程不在动态运行缓存列表中，则计算进程地址空间的hash值，并将进程地址空间的hash值、进程名和进程id添加至动态运行缓存列表；
36.若进程在动态运行缓存列表中但进程名不一致，则将进程从动态运行缓存列表中清除；
37.若进程在动态运行缓存列表中且进程名一致，则计算进程地址空间的hash值，若其与动态运行缓存列表中记录的hash值一致，则直接运行进程，否则，进程被非法修改，终止进程，并记录告警日志。
38.本实施例中，进程的信息包括进程名、进程id和度量模式。安全钩子函数安插在内核的各关键路径上，当执行到各关键路径时，调用各关键路径上的安全钩子函数进行判断。其中，每个安全钩子函数的钩子上安装有一个函数指针链，当调用安全钩子函数时，依次执行挂载在钩子上的函数。计算进程地址空间的hash值时，采用国密sm2算法或国密sm3算法，仅计算进程maps地址中可读或不可写的内存部分。使用界面配置待度量的进程，通过界面控制度量开关的启停，并配置度量模式，度量模式包括强制模式和告警模式，在强制模式下，进程被非法修改时，终止该进程并触发告警，在告警模式下，进程被非法修改时，仅触发告警。将告警日志写入告警日志文件中，并由可信计算客户端通过调用系统inotify接口，将告警日志文件加入至监视列表中，告警日志文件的内容一旦发生变化，将告警日志实时上报至可信管理中心。
39.本实施例中，对待度量的进程进行判断时，在界面上查询出待度量的进程名和进程id，并设置度量模式，并将这些信息添加到内核的动态添加缓存列表中；当进程运行时，内核中的安全钩子函数被调用，以判断该进程是否存在于动态添加缓存列表中；若该进程不存在于动态添加缓存列表中，则表示该进程不被度量，能够安全运行；若该进程存在于动态添加缓存列表中，则需对该进程是否存在于动态运行缓存列表中作进一步判断；若该进程不存在于动态运行缓存列表中，则根据国密sm2或国密sm3计算该进程地址空间的hash值，并将该进程地址空间的hash值、进程名和进程id添加至动态运行缓存列表中；若该进程存在于动态运行缓存列表中，但进程名不一致，则说明该进程被终止，需要把它从动态运行缓存列表中清除；若该进程存在于动态运行缓存列表中，且进程名不一致，则计算该进程地址空间的hash值，并将该进程地址空间的hash值与动态运行缓存列表中记录的hash值进行对比；若将该进程地址空间的hash值与动态运行缓存列表中记录的hash值一致，则说明该进程未被非法修改，可以直接运行；若将该进程地址空间的hash值与动态运行缓存列表中记录的hash值不一致，则认为该进程地址空间被非法修改，需要终止该进程，并记录告警日志。
40.本实施例提供的动态可信度量方法，能够实现进程的实时度量和验证，对操作系统的运行产生的影响小，保证了操作系统的稳定性，并在进程运行的过程中，根据进程的页
表获取待度量内存段对应的目标页地址，动态的计算进程内存区域的数据的哈希值，实现进程的实时度量和验证，从而防止系统中出现越权操作，防止系统漏洞被攻击者利用，保证信息系统运行安全，解决了静态度量中遇到的进程空间内的数据被非法修改、将度量方法融入到操作系统中时缺乏灵活性的问题。
41.实施例二：
42.本实施例提供一种电子设备，包括处理器及存储介质；
43.存储介质用于存储指令；
44.处理器用于根据指令进行操作以执行实施例一中方法的步骤。
45.实施例三：
46.本实施例提供一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现实施例一中方法的步骤。
47.本领域内的技术人员应明白，本技术的实施例可提供为方法、系统、或计算机程序产品。因此，本技术可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本技术可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、cd-rom、光学存储器等)上实施的计算机程序产品的形式。
48.本技术是参照根据本技术实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
49.这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
50.这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
51.以上仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和变形，这些改进和变形也应视为本发明的保护范围。

技术特征：
1.一种动态可信度量方法，其特征在于，包括：把进程的信息添加至内核的动态添加缓存列表，并调用内核中的安全钩子函数对进程进行判断：若进程不在动态添加缓存列表中，则不对进程进行度量；若进程在动态添加缓存列表中，则根据进程的信息，对进程作进一步判断：若进程不在动态运行缓存列表中，则计算进程地址空间的hash值，并将进程地址空间的hash值、进程名和进程id添加至动态运行缓存列表；若进程在动态运行缓存列表中但进程名不一致，则将进程从动态运行缓存列表中清除；若进程在动态运行缓存列表中且进程名一致，则计算进程地址空间的hash值，若其与动态运行缓存列表中记录的hash值一致，则直接运行进程，否则，进程被非法修改，终止进程，并记录告警日志。2.根据权利要求1所述的动态可信度量方法，其特征在于，进程的信息包括进程名、进程id和度量模式。3.根据权利要求1所述的动态可信度量方法，其特征在于，所述安全钩子函数安插在所述内核的各关键路径上，当执行到各所述关键路径时，调用各所述关键路径上的安全钩子函数进行判断。4.根据权利要求3所述的动态可信度量方法，其特征在于，每个安全钩子函数的钩子上安装有一个函数指针链，当调用安全钩子函数时，依次执行挂载在钩子上的函数。5.根据权利要求1所述的动态可信度量方法，其特征在于，计算进程地址空间的hash值时，仅计算进程maps地址中可读或不可写的内存部分。6.根据权利要求1所述的动态可信度量方法，其特征在于，计算进程地址空间的hash值时，采用国密sm2算法或国密sm3算法。7.根据权利要求1所述的动态可信度量方法，其特征在于，使用界面配置待度量的进程，通过界面控制度量开关的启停，并配置度量模式，所述度量模式包括强制模式和告警模式，在所述强制模式下，进程被非法修改时，终止该进程并触发告警，在所述告警模式下，进程被非法修改时，仅触发告警。8.根据权利要求1所述的动态可信度量方法，其特征在于，将所述告警日志写入告警日志文件中，并由可信计算客户端通过调用系统inotify接口，将所述告警日志文件加入至监视列表中，所述告警日志文件的内容一旦发生变化，将告警日志实时上报至可信管理中心。9.一种电子设备，其特征在于，包括处理器及存储介质；所述存储介质用于存储指令；所述处理器用于根据所述指令进行操作以执行根据权利要求1～8任一项所述方法的步骤。10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现权利要求1～8任一项所述方法的步骤。

技术总结
本发明公开了一种动态可信度量方法、电子设备及存储介质，属于网络安全技术领域，方法包括：把进程的信息添加至内核的动态添加缓存列表，并调用内核中的安全钩子函数对进程进行判断：若进程不在动态添加缓存列表中，则不对进程进行度量；若进程在动态添加缓存列表中，则根据进程的信息，对进程作进一步判断：若进程不在动态运行缓存列表中，则计算进程地址空间的hash值，并将进程地址空间的hash值、进程名和进程id添加至动态运行缓存列表；若进程在动态运行缓存列表中但进程名不一致，则将进程从动态运行缓存列表中清除；若进程在动态运行缓存列表中且进程名一致，则计算进程地址空间的hash值，若其与动态运行缓存列表中记录的hash值一致，则直接运行进程，否则，进程被非法修改，终止进程，并记录告警日志。该方法能够实现进程的实时度量和验证，且对操作系统的运行影响小，能够防止系统中出现越权操作，防止系统漏洞被攻击者利用。统漏洞被攻击者利用。统漏洞被攻击者利用。


技术研发人员：李向南 祁龙云 刘苇 孙连文 吕小亮 李科 魏兴慎 杨维永 刘寅 陈登洲 潘恒 徐志超 杨康乐 孙柏颜 俞建业
受保护的技术使用者：南京南瑞信息通信科技有限公司
技术研发日：2023.04.28
技术公布日：2023/7/12