專利名稱：移動(dòng)終端惡意代碼取證和處置系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本實(shí)用新型涉及信息安全技術(shù)領(lǐng)域，特別涉及一種移動(dòng)終端惡意代碼的取證和處置系統(tǒng)。
背景技術(shù)：
隨著通信技術(shù)的高速發(fā)展，移動(dòng)終端具有的數(shù)據(jù)處理能力、數(shù)據(jù)存儲(chǔ)能力和網(wǎng)絡(luò)通信能力都逐漸增強(qiáng)。移動(dòng)終端的功能日趨復(fù)雜化、智能化和聯(lián)網(wǎng)化。同時(shí)，移動(dòng)終端設(shè)備上往往都存儲(chǔ)這大量的個(gè)人重要數(shù)據(jù)信息，例如通話記錄、通訊錄和重要的賬號(hào)數(shù)據(jù)等。移動(dòng)終端惡意代碼可以通過彩信、藍(lán)牙、移動(dòng)終端系統(tǒng)漏洞和惡意代碼捆綁等方式植入移動(dòng)終端，進(jìn)而對(duì)移動(dòng)終端的正常運(yùn)行、個(gè)人隱私數(shù)據(jù)安全等造成極大的破壞力。由于移動(dòng)終端具備極強(qiáng)的可移動(dòng)性和硬件和操作系統(tǒng)封閉性，在發(fā)生突發(fā)的移動(dòng)終端安全事件時(shí)，現(xiàn)有的惡意代碼取證技術(shù)和系統(tǒng)難以適用于移動(dòng)終端惡意代碼取證檢查的需求，同時(shí)也也難以在第一時(shí)間形成有效的專殺處置程序用于一定范圍的快速檢查和處置防范。

實(shí)用新型內(nèi)容本實(shí)用新型提供了一種移動(dòng)終端惡意代碼取證和處置系統(tǒng)，解決了難以對(duì)移動(dòng)終端進(jìn)行惡意代碼取證檢查并形成快速有效的處置程序的問題。一種移動(dòng)終端惡意代碼取證和處置系統(tǒng)，包括接口適配部件、取證部件和處置部件；所述的取證部件和處置部件連接；所述的取證部件和處置部件分別與接口適配部件連接。所述的系統(tǒng)中，所述的接口適配部件包括移動(dòng)終端設(shè)備電路出點(diǎn)探針和USB數(shù)據(jù)線接口。所述的系統(tǒng)中，所述的取證部件中還包括收集器、選擇器、發(fā)送器和接收器；所述的選擇器中還包括至少一個(gè)惡意代碼取證探頭；收集器將收集到的移動(dòng)終端設(shè)備信息發(fā)送給選擇器，選擇器根據(jù)移動(dòng)終端設(shè)備信息選擇惡意代碼取證探頭，發(fā)送器將選擇器選擇的惡意代碼取證探頭發(fā)送到移動(dòng)終端設(shè)備，接收器接收惡意代碼取證探頭反饋的取證結(jié)果。所述的系統(tǒng)中，所述的處置部件包括收集器、選擇器、生成器、發(fā)送器；所述的選擇器中還包括至少一個(gè)惡意代碼處置探頭；收集器將收集到的移動(dòng)終端設(shè)備信息發(fā)送給選擇器，選擇器根據(jù)移動(dòng)終端設(shè)備信息選擇惡意代碼處置探頭，生成器將取證得到的取證結(jié)果注入惡意代碼處置探頭，發(fā)送器將生成器生成的惡意代碼處置探頭發(fā)送到移動(dòng)終端設(shè)備。本實(shí)用新型所提供的系統(tǒng)通過根據(jù)獲得的移動(dòng)終端設(shè)備信息確定惡意代碼取證探頭和處置探頭，將惡意代碼取證探頭和處置探頭發(fā)送到移動(dòng)終端設(shè)備，實(shí)現(xiàn)對(duì)移動(dòng)終端設(shè)備惡意代碼取證和處置。本實(shí)用新型所提供的系統(tǒng)首先通過取證部件對(duì)移動(dòng)終端設(shè)備中的系統(tǒng)基本信息數(shù)據(jù)、系統(tǒng)模塊和應(yīng)用程序數(shù)據(jù)、系統(tǒng)程序行為數(shù)據(jù)、系統(tǒng)異常行為數(shù)據(jù)和系統(tǒng)內(nèi)存數(shù)據(jù)映像進(jìn)行取證得到取證數(shù)據(jù)，然后處置部件對(duì)取證信息進(jìn)行特征分析，生成惡意代碼處置探頭，發(fā)送回移動(dòng)終端設(shè)備，進(jìn)行相應(yīng)的處置。同時(shí)所生成的惡意代碼處置探頭可用于向其它同類型的移動(dòng)終端進(jìn)行投放，進(jìn)行惡意代碼的處置。以下分別對(duì)本實(shí)用新型所提供的系統(tǒng)中的接口適配部件、取證部件和處置部件的工作流程進(jìn)行分析。接口適配部件的工作流程為移動(dòng)終端設(shè)備電路觸電探針檢測移動(dòng)終端設(shè)備電路板上的數(shù)據(jù)觸點(diǎn)是否可用，若可用，則獲取移動(dòng)終端設(shè)備系統(tǒng)二進(jìn)制映像，并發(fā)送移動(dòng)終端設(shè)備加電啟動(dòng)信號(hào)，啟動(dòng)移動(dòng)終端設(shè)備操作系統(tǒng)，否則直接啟當(dāng)所述的系統(tǒng)連接移動(dòng)終端設(shè)備后，取證部件工作流程為收集器獲取移動(dòng)終端設(shè)備型號(hào)和操作系統(tǒng)版本信息；選擇器根據(jù)所述移動(dòng)終端設(shè)備型號(hào)和操作系統(tǒng)版本信息確定惡意代碼取證探頭；發(fā)送器將所述惡意代碼取證探頭發(fā)送到移動(dòng)終端設(shè)備；接收器接收并存儲(chǔ)惡意代碼取證探頭反饋的取證數(shù)據(jù)。惡意代碼取證探頭進(jìn)入移動(dòng)終端設(shè)備后，通過移動(dòng)終端設(shè)備加載并運(yùn)行，實(shí)現(xiàn)移動(dòng)終端設(shè)備操作系統(tǒng)中目標(biāo)文件的取證，所述的惡意代碼取證探頭的取證過程為判斷是否具有所要獲取的操作系統(tǒng)中目標(biāo)數(shù)據(jù)，如系統(tǒng)基本信息數(shù)據(jù)、系統(tǒng)模塊和應(yīng)用程序數(shù)據(jù)、系統(tǒng)程序行為數(shù)據(jù)、系統(tǒng)異常行為數(shù)據(jù)和系統(tǒng)內(nèi)存數(shù)據(jù)映像的訪問權(quán)限， 如果有，則進(jìn)行數(shù)據(jù)取證；否則提升惡意代碼取證探頭的權(quán)限，使自身具備對(duì)目標(biāo)數(shù)據(jù)的的訪問權(quán)限后，再進(jìn)行數(shù)據(jù)取證，形成并反饋取證數(shù)據(jù)；對(duì)惡意代碼取證探頭產(chǎn)生的行為記錄和系統(tǒng)痕跡恢復(fù)和清理，并進(jìn)行自身銷毀。當(dāng)取證部件獲得惡意代碼取證探頭反饋的取證數(shù)據(jù)后，處置部件收集器獲取移動(dòng)終端設(shè)備型號(hào)和系統(tǒng)版本信息；選擇器根據(jù)所述移動(dòng)終端設(shè)備型號(hào)和操作系統(tǒng)版本信息確定惡意代碼處置探頭；然后生成器對(duì)移動(dòng)終端設(shè)備惡意代碼取證數(shù)據(jù)進(jìn)行特征提取，并生成特征庫文件；對(duì)惡意代碼處置探頭程序解包為原始文件集合；將特征庫文件注入惡意代碼處置探頭程序解包后的原始文件集合中；修改處置程序中的處置策略配置文件；對(duì)惡意代碼處置探頭程序的文件集合重新打包并簽名；最后發(fā)送器將所述惡意代碼處置探頭發(fā)送到移動(dòng)終端設(shè)備。同時(shí)，處置部件中生成的惡意代碼處置探頭可直接用于向其它同類型的移動(dòng)終端進(jìn)行投放，進(jìn)行惡意代碼的處置。所述的惡意代碼處置探頭在注入到移動(dòng)終端設(shè)備后，對(duì)移動(dòng)終端系統(tǒng)中的系統(tǒng)數(shù)據(jù)和軟件數(shù)據(jù)進(jìn)行掃描檢測，根據(jù)檢測結(jié)果對(duì)惡意代碼進(jìn)行處置。本實(shí)用新型提供了一種移動(dòng)終端惡意代碼取證和處置系統(tǒng)，包括接口適配部件、 取證部件和處置部件；所述的取證部件和處置部件連接；所述的取證部件和處置部件分別與接口適配部件連接。通過本實(shí)用新型，可以提供對(duì)移動(dòng)終端操作系統(tǒng)中目標(biāo)數(shù)據(jù)的取證能力，結(jié)合移動(dòng)終端惡意代碼處置探頭生成器，解決了由于移動(dòng)終端設(shè)備的可移動(dòng)性和硬件操作系統(tǒng)封閉性而導(dǎo)致的移動(dòng)終端惡意代碼取證和處置困難的問題，可以快速準(zhǔn)確的對(duì)移動(dòng)終端設(shè)備取證，并形成有效的針對(duì)惡意代碼的快速處置解決方案。
為了更清楚地說明本實(shí)用新型或現(xiàn)有技術(shù)中的技術(shù)方案，下面將對(duì)實(shí)施例或現(xiàn)有技術(shù)描述中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述中的附圖僅僅是本實(shí)用新型中記載的一些實(shí)施例，對(duì)于本領(lǐng)域普通技術(shù)人員來講，在不付出創(chuàng)造性勞動(dòng)的前提下，還可以根據(jù)這些附圖獲得其他的附圖。圖1為本實(shí)用新型系統(tǒng)結(jié)構(gòu)示意圖。
具體實(shí)施方式
為了使本技術(shù)領(lǐng)域的人員更好地理解本實(shí)用新型實(shí)施例中的技術(shù)方案，并使本實(shí)用新型的上述目的、特征和優(yōu)點(diǎn)能夠更加明顯易懂，
以下結(jié)合附圖對(duì)本實(shí)用新型中技術(shù)方案作進(jìn)一步詳細(xì)的說明。針對(duì)以上問題，考慮到傳統(tǒng)的計(jì)算機(jī)取證技術(shù)無法適用的現(xiàn)狀，本實(shí)用新型所要解決的問題是針對(duì)移動(dòng)終端惡意代碼取證和處置響應(yīng)，解決難以對(duì)移動(dòng)終端進(jìn)行快速惡意代碼取證檢查并形成快速有效的處置程序的問題。如圖1所示，本實(shí)用新型提供一種移動(dòng)終端惡意代碼取證和處置系統(tǒng)，包括接口適配部件101、取證部件102和處置部件103 ；所述的取證部件102和處置部件103連接；所述的取證部件102和處置部件103分別與接口適配部件101連接。所述的系統(tǒng)中，所述的接口適配部件101包括移動(dòng)終端設(shè)備電路出點(diǎn)探針101-1 和USB數(shù)據(jù)線接口 101-2。所述的接口適配部件用于提供針對(duì)移動(dòng)終端設(shè)備的不同的連接物理接口的適配功能，因此，接口適配部件不局限于本實(shí)施例中所提到的內(nèi)容，可針對(duì)不同的移動(dòng)終端的多樣化接口進(jìn)行適配，提供相應(yīng)的數(shù)據(jù)連接方式。所述的系統(tǒng)中，所述的取證部件102中還包括收集器102-1、選擇器102_2、發(fā)送器102-3和接收器102-4 ；所述的選擇器中還包括至少一個(gè)惡意代碼取證探頭；所述收集器102-1將收集到的移動(dòng)終端設(shè)備信息發(fā)送給選擇器102-2，選擇器
102-2根據(jù)移動(dòng)終端設(shè)備信息選擇惡意代碼取證探頭，發(fā)送器102-3將選擇器102-2選擇的惡意代碼取證探頭發(fā)送到移動(dòng)終端設(shè)備，接收器102-4接收惡意代碼取證探頭反饋的取證結(jié)果。所述的系統(tǒng)中，所述的處置部件包括收集器103-1、選擇器103-2、生成器103_3、 發(fā)送器103-4 ；所述的選擇器103-2中還包括至少一個(gè)惡意代碼處置探頭；所述收集器103-1將收集到的移動(dòng)終端設(shè)備信息發(fā)送給選擇器103-2，選擇器
103-2根據(jù)移動(dòng)終端設(shè)備信息選擇惡意代碼處置探頭，生成器103-3將取證得到的取證結(jié)果注入惡意代碼處置探頭，發(fā)送器103-4將生成器103-3生成的惡意代碼處置探頭發(fā)送到移動(dòng)終端設(shè)備。本實(shí)用新型提供了一種移動(dòng)終端惡意代碼取證和處置系統(tǒng)，包括接口適配部件、取證部件和處置部件；所述的取證部件和處置部件連接；所述的取證部件和處置部件分別與接口適配部件連接。通過本實(shí)用新型，可以提供對(duì)移動(dòng)終端操作系統(tǒng)中目標(biāo)數(shù)據(jù)的取證能力，結(jié)合移動(dòng)終端惡意代碼處置探頭生成器，解決了由于移動(dòng)終端設(shè)備的可移動(dòng)性和硬件操作系統(tǒng)封閉性而導(dǎo)致的移動(dòng)終端惡意代碼取證和處置困難的問題，可以快速準(zhǔn)確的對(duì)移動(dòng)終端設(shè)備取證，并形成有效的針對(duì)惡意代碼的快速處置解決方案。 雖然通過實(shí)施例描繪了本實(shí)用新型，本領(lǐng)域普通技術(shù)人員知道，本實(shí)用新型有許多變形和變化而不脫離本實(shí)用新型的精神，希望所附的權(quán)利要求包括這些變形和變化而不脫離本實(shí)用新型的精神。
權(quán)利要求1.一種移動(dòng)終端惡意代碼取證和處置系統(tǒng)，其特征在于，包括接口適配部件、取證部件和處置部件；所述的取證部件和處置部件連接；所述的取證部件和處置部件分別與接口適配部件連接。
2.如權(quán)利要求1所述的系統(tǒng)，其特征在于，所述的接口適配部件包括移動(dòng)終端設(shè)備電路出點(diǎn)探針和USB數(shù)據(jù)線接口。
3.如權(quán)利要求1所述的系統(tǒng)，其特征在于，所述的取證部件中還包括收集器、選擇器、 發(fā)送器和接收器；所述的選擇器中還包括至少一個(gè)惡意代碼取證探頭；所述收集器將收集到的移動(dòng)終端信息發(fā)送給選擇器，選擇器根據(jù)移動(dòng)終端信息選擇惡意代碼取證探頭，發(fā)送器將選擇器選擇的惡意代碼取證探頭發(fā)送到移動(dòng)終端設(shè)備，接收器接收惡意代碼取證探頭反饋的取證結(jié)果。
4.如權(quán)利要求1所述的系統(tǒng)，其特征在于，所述的處置部件包括收集器、選擇器、生成器、發(fā)送器；所述的選擇器中還包括至少一個(gè)惡意代碼處置探頭；所述收集器將收集到的移動(dòng)終端信息發(fā)送給選擇器，選擇器根據(jù)移動(dòng)終端信息選擇惡意代碼處置探頭，生成器將取證得到的取證結(jié)果注入惡意代碼處置探頭，發(fā)送器將生成器生成的惡意代碼處置探頭發(fā)送到移動(dòng)終端設(shè)備。
專利摘要本實(shí)用新型提供了一種移動(dòng)終端惡意代碼取證和處置系統(tǒng)，包括接口適配部件、取證部件和處置部件；所述的取證部件和處置部件連接；所述的取證部件和處置部件分別與接口適配部件連接。通過本實(shí)用新型可以避免由于移動(dòng)終端設(shè)備的可移動(dòng)性和硬件操作系統(tǒng)封閉性而導(dǎo)致的移動(dòng)終端惡意代碼取證和處置困難的問題，可以快速準(zhǔn)確的對(duì)移動(dòng)終端設(shè)備取證，并形成有效的針對(duì)惡意代碼的快速處置解決方案。
文檔編號(hào)G06F21/00GK202084045SQ20112016653
公開日2011年12月21日 申請(qǐng)日期2011年5月24日 優(yōu)先權(quán)日2011年5月24日
發(fā)明者潘宣辰 申請(qǐng)人:哈爾濱安天科技股份有限公司