一種windows系統(tǒng)下的可執(zhí)行文件全生命周期安全管理系統(tǒng)的制作方法
【專利摘要】本發(fā)明提供一種WINDOWS系統(tǒng)下的可執(zhí)行文件全生命周期安全管理系統(tǒng)，通過使用Windows操作系統(tǒng)提供的文件過濾控制接口、程序啟動通知接口及進程間訪問行為回調(diào)接口，將文件訪問控制、程序啟動干預(yù)控制和進程間交互行為干預(yù)控制相結(jié)合，以全面增強Windows操作系統(tǒng)可執(zhí)行文件全生命周期的安全性，系統(tǒng)包括：（1）文件系統(tǒng)訪問控制模塊；（2）程序啟動控制模塊；（3）程序運行控制模塊；（4）規(guī)則配置應(yīng)用程序模塊，本發(fā)明在系統(tǒng)易用性方面提出了靈活的配置規(guī)則機制，即所有內(nèi)核驅(qū)動模塊在初始化時會讀取預(yù)設(shè)好的訪問控制規(guī)則，在工作期間可以任意增加、刪除、更新需要的訪問控制規(guī)則。
【專利說明】-種WINDOWS系統(tǒng)下的可執(zhí)行文件全生命周期安全管理系 統(tǒng)

【技術(shù)領(lǐng)域】
[0001] 本發(fā)明涉及計算機操作系統(tǒng)安全領(lǐng)域，具體涉及一種WINDOWS系統(tǒng)下的可執(zhí)行文 件全生命周期安全管理系統(tǒng)。

【背景技術(shù)】
[0002] 隨著云計算、大數(shù)據(jù)等新型技術(shù)的發(fā)展，對操作系統(tǒng)上資源的安全性要求越來越 高?？蓤?zhí)行文件是操作系統(tǒng)上最重要的資源，它們或者是操作系統(tǒng)持續(xù)運行的支柱進程，或 者是上層業(yè)務(wù)系統(tǒng)的核心程序，所以如何有效的保證可執(zhí)行文件在整個生命周期中的安全 性就成為急需解決的技術(shù)問題。傳統(tǒng)的解決方法要么在靜態(tài)的文件層面進行控制，這樣正 在運行的程序就很容易被注入或破壞；要么在動態(tài)的進程層面進行控制，這樣停止運行的 可執(zhí)行程序映像文件就很容易被刪除或篡改，這樣當(dāng)該程序再次運行時，或者已經(jīng)不存在， 或者它的行為將不可預(yù)知；更沒有在程序由靜態(tài)的可執(zhí)行文件到動態(tài)的進程轉(zhuǎn)換過程中進 行干預(yù)，以至于一些被人為或其它手段替換或篡改的程序能夠輕而易舉的運行起來。
[0003] 本發(fā)明提出的WINDOWS系統(tǒng)下的可執(zhí)行文件全生命周期安全管理系統(tǒng)可以將可 執(zhí)行文件的安全性明顯提升，通過將文件訪問控制、程序啟動控制和程序運行控制相結(jié)合， 有效保證可執(zhí)行文件按照開發(fā)者的預(yù)期邏輯正確執(zhí)行。


【發(fā)明內(nèi)容】

[0004] 本發(fā)明的目的是提供一種WINDOWS系統(tǒng)下的可執(zhí)行文件全生命周期安全管理系 統(tǒng)。
[0005] 本發(fā)明的目的是按以下方式實現(xiàn)的，通過使用Windows操作系統(tǒng)提供的文件過濾 控制接口、程序啟動通知接口及進程間訪問行為回調(diào)接口，將文件訪問控制、程序啟動干預(yù) 控制和進程間交互行為干預(yù)控制相結(jié)合，可以全面增強Windows操作系統(tǒng)可執(zhí)行文件全生 命周期的安全性，系統(tǒng)包括：（1)文件系統(tǒng)訪問控制模塊；（2)程序啟動控制模塊；（3)程序 運行控制模塊；（4)規(guī)則配置應(yīng)用程序模塊，其中： (1) 文件系統(tǒng)訪問控制模塊：采用文件系統(tǒng)過濾內(nèi)核驅(qū)動的方式實現(xiàn)，根據(jù)當(dāng)前操作系 統(tǒng)和系統(tǒng)上的應(yīng)用程序所涉及的所有可執(zhí)行文件情況，靈活的配置訪問的規(guī)則，包括支持 具體文件和含有通配符的模糊文件的規(guī)則，所有訪問規(guī)則在該模塊規(guī)則鏈表中存放，文件 系統(tǒng)過濾內(nèi)核驅(qū)動感知文件訪問操作，包括執(zhí)行、改寫、刪除、重命名、移動、覆蓋的訪問操 作，查詢文件訪問控制鏈表，對可執(zhí)行文件任何非法的訪問和篡改都將得到保護，如果系統(tǒng) 配置了某種特定類型的文件在當(dāng)前操作系統(tǒng)下不能執(zhí)行，那么對于以執(zhí)行權(quán)位打開該類型 的文件，文件過濾驅(qū)動獲取該文件的路徑名稱，查詢文件訪問控制鏈表后直接予以拒絕，從 而該類型的可執(zhí)行文件狀態(tài)無法從停止態(tài)轉(zhuǎn)換為啟動態(tài)； (2) 程序啟動控制模塊：采用內(nèi)核驅(qū)動的方式實現(xiàn)，根據(jù)當(dāng)前操作系統(tǒng)和系統(tǒng)上的應(yīng)用 程序所涉及的所有可執(zhí)行文件情況，靈活的配置訪問規(guī)則，包括支持具體文件和含有通配 符的模糊文件的規(guī)則，所有訪問規(guī)則在該模塊規(guī)則鏈表中存放，同時注冊Windows操作系 統(tǒng)進程創(chuàng)建通知，當(dāng)操作系統(tǒng)中有任何新的進程創(chuàng)建的時候，操作系統(tǒng)會通知程序啟動控 制模塊，程序啟動控制模塊收到通知時，獲取要創(chuàng)建的進程映像文件路徑名稱，查詢進程創(chuàng) 建控制鏈表，對于任何非法的進程創(chuàng)建、運行，該模塊直接進行阻斷，從而對應(yīng)的可執(zhí)行文 件狀態(tài)無法從啟動態(tài)轉(zhuǎn)換為運行態(tài)； (3) 程序運行控制模塊：采用內(nèi)核驅(qū)動的方式實現(xiàn)，根據(jù)當(dāng)前操作系統(tǒng)和系統(tǒng)上的應(yīng)用 程序所涉及的所有可執(zhí)行文件情況，靈活的配置訪問規(guī)則，包括支持具體文件和含有通配 符的模糊文件的規(guī)則，所有訪問規(guī)則在該模塊規(guī)則鏈表中存放。程序運行控制模塊感知進 程間訪問操作，包括寫地址空間內(nèi)存、創(chuàng)建遠程線程、設(shè)置進程相關(guān)信息、終止掛起進程、復(fù) 制進程句柄的訪問操作，查詢進程訪問控制鏈表，運行中的進程的任何非法的注入和破壞 都將得到保護，如果當(dāng)前操作系統(tǒng)上某個重要的程序或服務(wù)非常重要，一旦停止運行將造 成較大的危害，允許給該程序或服務(wù)配置禁止停止規(guī)則，程序運行控制模塊感知到停止該 程序或服務(wù)的動作時，獲取該程序或服務(wù)對應(yīng)的可執(zhí)行文件路徑名稱，查詢進程訪問控制 鏈表后直接予以拒絕，從而對應(yīng)的可執(zhí)行文件狀態(tài)無法從運行態(tài)轉(zhuǎn)換為停止態(tài)； (4) 規(guī)則配置應(yīng)用程序模塊：采用Windows應(yīng)用程序的方式實現(xiàn)，負責(zé)安裝文件系統(tǒng)訪 問控制模塊、程序啟動控制模塊和程序運行控制模塊，接收命令配置三個模塊的規(guī)則或從 當(dāng)前操作系統(tǒng)中卸載三個模塊。
[0006] 本發(fā)明的目的有益效果是：該方法具有可進行文件系統(tǒng)上的靜態(tài)可執(zhí)行文件、程 序啟動過程、內(nèi)存中的動態(tài)進程全生命周期管理的特點，通過使用Windows操作系統(tǒng)提供 的文件過濾控制接口、程序啟動通知接口及進程間訪問行為回調(diào)接口，將文件訪問控制、程 序啟動干預(yù)控制和進程間交互行為干預(yù)控制相結(jié)合，可以全面增強Windows操作系統(tǒng)可執(zhí) 行文件全生命周期的安全性。
[0007] 本發(fā)明在系統(tǒng)易用性方面提出了靈活的配置規(guī)則機制，即所有內(nèi)核驅(qū)動模塊在初 始化時會讀取預(yù)設(shè)好的訪問控制規(guī)則，在工作期間可以任意增加、刪除、更新需要的訪問控 制規(guī)則。

【專利附圖】

【附圖說明】
[0008] 圖1是可執(zhí)行文件全生命周期狀態(tài)轉(zhuǎn)換原理示意圖； 圖2是可執(zhí)行文件全生命周期安全管理模塊結(jié)構(gòu)圖； 圖3是規(guī)則配置應(yīng)用程序流程圖。

【具體實施方式】
[0009] 為使本發(fā)明的目的、技術(shù)方案和優(yōu)點更加清楚，下面將結(jié)合附圖對本發(fā)明做進一 步地詳細描述。
[0010] 一種WINDOWS系統(tǒng)下的可執(zhí)行文件全生命周期安全管理系統(tǒng)，通過在現(xiàn)有 Windows操作系統(tǒng)下增加內(nèi)核安全模塊，干預(yù)操作系統(tǒng)的文件訪問操作、進程啟動控制和進 程間行為控制，從而提高可執(zhí)行文件整個生命周期的安全性，其原理如圖1所示，其系統(tǒng)組 成如圖2所示，系統(tǒng)包括（1)內(nèi)核態(tài)文件訪問控制模塊；（2 )內(nèi)核態(tài)程序啟動控制模塊；（3 ) 內(nèi)核態(tài)程序運行控制模塊；（4)用戶態(tài)規(guī)則配置應(yīng)用程序。 toon] 內(nèi)核態(tài)文件訪問控制模塊（1)由用戶態(tài)規(guī)則配置應(yīng)用程序加載進操作系統(tǒng)內(nèi)核 (見圖3)。加載成功后，用戶態(tài)規(guī)則配置應(yīng)用程序立即建立與內(nèi)核態(tài)文件訪問控制模塊的通 訊連接，以后所有的文件訪問控制規(guī)則的添加、刪除、更新都通過此連接進行(見圖2)。
[0012] 內(nèi)核態(tài)程序啟動控制模塊（2)由用戶態(tài)規(guī)則配置應(yīng)用程序加載進操作系統(tǒng)內(nèi)核 (見圖3)。加載成功后，用戶態(tài)規(guī)則配置應(yīng)用程序立即建立與內(nèi)核態(tài)程序啟動控制模塊的通 訊連接，以后所有的程序啟動控制規(guī)則的添加、刪除、更新都通過此連接進行(見圖2)。
[0013] 內(nèi)核態(tài)程序運行控制模塊（3)由用戶態(tài)規(guī)則配置應(yīng)用程序加載進操作系統(tǒng)內(nèi)核 (見圖3)。加載成功后，用戶態(tài)規(guī)則配置應(yīng)用程序立即建立與內(nèi)核態(tài)程序運行控制模塊的通 訊連接，以后所有的程序運行控制規(guī)則的添加、刪除、更新都通過此連接進行(見圖2)。
[0014] 用戶態(tài)規(guī)則配置應(yīng)用程序（4)是整個Windows系統(tǒng)下的可執(zhí)行文件全生命周期安 全管理的運行樞紐和統(tǒng)一數(shù)據(jù)入口。用戶態(tài)規(guī)則配置應(yīng)用程序啟動時，首先加載上述三個 內(nèi)核模塊，然后從初始配置文件中獲取三個模塊的初始規(guī)則，分別將三種初始規(guī)則提交給 三個內(nèi)核模塊，使文件全生命周期安全管理的初始規(guī)則生效。以上處理完成后，用戶態(tài)規(guī)則 配置應(yīng)用程序便啟動起來了，然后它就處于等待用戶命令狀態(tài)。當(dāng)用戶態(tài)規(guī)則配置應(yīng)用程 序收到用戶命令時，它判斷收到的命令是否是退出命令，如果是退出命令，它就卸載三個內(nèi) 核模塊，然后自己也退出運行；如果不是退出命令，則該命令一定是規(guī)則配置命令，它從命 令參數(shù)中獲取輸入規(guī)則的類型和內(nèi)容，然后把輸入規(guī)則的內(nèi)容提交給對應(yīng)的內(nèi)核模塊，從 而使相應(yīng)的內(nèi)核防護立即生效。
[0015] 除說明書所述的技術(shù)特征外，均為本專業(yè)技術(shù)人員的已知技術(shù)。
【權(quán)利要求】
1. 一種WINDOWS系統(tǒng)下的可執(zhí)行文件全生命周期安全管理系統(tǒng)，其特征在于通過使 用Windows操作系統(tǒng)提供的文件過濾控制接口、程序啟動通知接口及進程間訪問行為回調(diào) 接口，將文件訪問控制、程序啟動干預(yù)控制和進程間交互行為干預(yù)控制相結(jié)合，以全面增強 Windows操作系統(tǒng)可執(zhí)行文件全生命周期的安全性，系統(tǒng)包括：（1)文件系統(tǒng)訪問控制模 塊；（2)程序啟動控制模塊；（3)程序運行控制模塊；（4)規(guī)則配置應(yīng)用程序模塊，其中： (1) 文件系統(tǒng)訪問控制模塊：采用文件系統(tǒng)過濾內(nèi)核驅(qū)動的方式實現(xiàn)，根據(jù)當(dāng)前操作系 統(tǒng)和系統(tǒng)上的應(yīng)用程序所涉及的所有可執(zhí)行文件情況，靈活的配置訪問的規(guī)則，包括支持 具體文件和含有通配符的模糊文件的規(guī)則，所有訪問規(guī)則在該模塊規(guī)則鏈表中存放，文件 系統(tǒng)過濾內(nèi)核驅(qū)動感知文件訪問操作，包括執(zhí)行、改寫、刪除、重命名、移動、覆蓋的訪問操 作，查詢文件訪問控制鏈表，對可執(zhí)行文件任何非法的訪問和篡改都將得到保護，如果系統(tǒng) 配置了某種特定類型的文件在當(dāng)前操作系統(tǒng)下不能執(zhí)行，那么對于以執(zhí)行權(quán)位打開該類型 的文件，文件過濾驅(qū)動獲取該文件的路徑名稱，查詢文件訪問控制鏈表后直接予以拒絕，從 而該類型的可執(zhí)行文件狀態(tài)無法從停止態(tài)轉(zhuǎn)換為啟動態(tài)； (2) 程序啟動控制模塊：采用內(nèi)核驅(qū)動的方式實現(xiàn)，根據(jù)當(dāng)前操作系統(tǒng)和系統(tǒng)上的應(yīng)用 程序所涉及的所有可執(zhí)行文件情況，靈活的配置訪問規(guī)則，包括支持具體文件和含有通配 符的模糊文件的規(guī)則，所有訪問規(guī)則在該模塊規(guī)則鏈表中存放，同時注冊Windows操作系 統(tǒng)進程創(chuàng)建通知，當(dāng)操作系統(tǒng)中有任何新的進程創(chuàng)建的時候，操作系統(tǒng)會通知程序啟動控 制模塊，程序啟動控制模塊收到通知時，獲取要創(chuàng)建的進程映像文件路徑名稱，查詢進程創(chuàng) 建控制鏈表，對于任何非法的進程創(chuàng)建、運行，該模塊直接進行阻斷，從而對應(yīng)的可執(zhí)行文 件狀態(tài)無法從啟動態(tài)轉(zhuǎn)換為運行態(tài)； (3) 程序運行控制模塊：采用內(nèi)核驅(qū)動的方式實現(xiàn)，根據(jù)當(dāng)前操作系統(tǒng)和系統(tǒng)上的應(yīng)用 程序所涉及的所有可執(zhí)行文件情況，靈活的配置訪問規(guī)則，包括支持具體文件和含有通配 符的模糊文件的規(guī)則，所有訪問規(guī)則在該模塊規(guī)則鏈表中存放，程序運行控制模塊感知進 程間訪問操作，包括寫地址空間內(nèi)存、創(chuàng)建遠程線程、設(shè)置進程相關(guān)信息、終止掛起進程、復(fù) 制進程句柄的訪問操作，查詢進程訪問控制鏈表，運行中的進程的任何非法的注入和破壞 都將得到保護，如果當(dāng)前操作系統(tǒng)上某個重要的程序或服務(wù)非常重要，一旦停止運行將造 成較大的危害，允許給該程序或服務(wù)配置禁止停止規(guī)則，程序運行控制模塊感知到停止該 程序或服務(wù)的動作時，獲取該程序或服務(wù)對應(yīng)的可執(zhí)行文件路徑名稱，查詢進程訪問控制 鏈表后直接予以拒絕，從而對應(yīng)的可執(zhí)行文件狀態(tài)無法從運行態(tài)轉(zhuǎn)換為停止態(tài)； (4) 規(guī)則配置應(yīng)用程序模塊：采用Windows應(yīng)用程序的方式實現(xiàn)，負責(zé)安裝文件系統(tǒng)訪 問控制模塊、程序啟動控制模塊和程序運行控制模塊，接收命令配置三個模塊的規(guī)則或從 當(dāng)前操作系統(tǒng)中卸載三個模塊。
【文檔編號】G06F21/10GK104102857SQ201410340330
【公開日】2014年10月15日 申請日期:2014年7月17日 優(yōu)先權(quán)日:2014年7月17日
【發(fā)明者】邢希雙, 王超 申請人:浪潮電子信息產(chǎn)業(yè)股份有限公司