本發(fā)明涉及移動智能終端隱私保護及入侵防御技術(shù)領(lǐng)域，具體涉及一種基于安全策略的入侵防御裝置及方法。

背景技術(shù)：

隨著移動智能終端的普及，越來越多的移動智能終端用戶將個人信息存儲在他們的設(shè)備上，智能手機上的隱私竊取攻擊和入侵防御技術(shù)因此成為移動互聯(lián)網(wǎng)安全領(lǐng)域的熱門話題。

針對不同的隱私數(shù)據(jù)，目前主要存在五種類型的隱私竊取攻擊，隱私竊取攻擊1主要關(guān)注移動智能終端的標識符，包括imei、imsi、iccid和手機號碼等。這些標識符作為手機的標志，經(jīng)常被應(yīng)用綁定在個人賬戶或其他用戶個人信息上。隱私竊取攻擊2主要關(guān)注用戶的位置信息。隱私竊取攻擊3濫用移動智能終端的通訊服務(wù)，包括自主發(fā)送付費短信、撥打付費電話；竊取短信息和通話記錄；竊聽用戶通話等。隱私竊取攻擊4通過收集和分析用戶的網(wǎng)頁瀏覽記錄，獲取賬號、登錄賬戶、日志等信息。隱私竊取攻擊5通過主動且隱蔽地接聽或撥打黑客的電話號碼，將設(shè)備轉(zhuǎn)換成環(huán)境竊聽器。通過分析，這五種類型的隱私竊取攻擊主要由兩個步驟組成，步驟一從數(shù)據(jù)源獲取隱私數(shù)據(jù)，步驟二將獲取到的隱私數(shù)據(jù)發(fā)送出去。

針對以上隱私竊取攻擊，目前存在的入侵防御技術(shù)主要包括以下兩種種：定制系統(tǒng)及應(yīng)用重打包。

1、定制系統(tǒng)。由于android操作系統(tǒng)的開源性，許多研究者通過對操作系統(tǒng)進行定制，加強訪問控制機制，以防御隱私泄露。例如，通過監(jiān)控與通話相關(guān)的api和系統(tǒng)調(diào)用，從而對用戶通話安全進行防護。

該類入侵防御技術(shù)需要重新定制系統(tǒng)，會破壞原生操作系統(tǒng)的完整性；在引入防護機制的同時可能產(chǎn)生新的漏洞；并且由于android操作系統(tǒng)的碎片化問題，定制操作系統(tǒng)只能針對特定機型，無法進行大規(guī)模推廣。

2、應(yīng)用重打包。應(yīng)用重打包技術(shù)不需要修改操作系統(tǒng)。通過反編譯技術(shù)獲取應(yīng)用程序的代碼，然后在可疑api(包括獲取隱私信息的api和發(fā)送隱私信息的api)處插入監(jiān)控代碼，最后重新打包形成新的應(yīng)用。在不影響應(yīng)用正常功能的情況下，可以有效阻斷隱私竊取攻擊。

該類入侵防御技術(shù)容易被惡意攻擊繞過，因為監(jiān)控代碼很難覆蓋所有的可疑api；如果某個隱私竊取攻擊是通過注入so庫實現(xiàn)的，該類技術(shù)難以實現(xiàn)防御；每當一個可疑api調(diào)用被發(fā)現(xiàn)時，用戶都需要參與判斷當前的獲取隱私行為或發(fā)送隱私行為是否是由自己主導(dǎo)產(chǎn)生，在某種程度上，會影響用戶的操作體驗。

技術(shù)實現(xiàn)要素：

為了防御以上的隱私竊取攻擊，最大程度地保護移動智能終端用戶的隱私安全，同時不影響移動智能終端上其他應(yīng)用的正常運行以及用戶體驗，設(shè)計了一種基于安全策略的入侵防御機制。該技術(shù)不需要改變操作系統(tǒng)以及被監(jiān)控應(yīng)用的原有結(jié)構(gòu)。通過觀察大量隱私竊取類惡意應(yīng)用的行為模式發(fā)現(xiàn)，大部分惡意應(yīng)用會在獲取隱私數(shù)據(jù)后的極短時間α(α<t)內(nèi)將其發(fā)送出去?；谶@個發(fā)現(xiàn)，制定一系列的安全策略對隱私竊取攻擊進行防御。在該項技術(shù)中，用戶只需要在t時間單元內(nèi)參與判斷發(fā)送隱私的行為是否由自己產(chǎn)生，不需要面對頻繁彈出的提醒框，因此不影響正常的使用。同時，該技術(shù)實現(xiàn)簡單，能有效地防御隱私竊取攻擊的入侵。

一方面，本發(fā)明實施例提出一種基于安全策略的入侵防御裝置，包括：

隱私獲取類api監(jiān)控模塊、隱私發(fā)送類api監(jiān)控模塊、應(yīng)用狀態(tài)庫模塊、安全策略庫模塊、控制模塊和報警模塊；其中，

所述隱私獲取類api監(jiān)控模塊，用于實時監(jiān)控移動智能終端應(yīng)用對預(yù)先存儲的隱私獲取類api數(shù)據(jù)庫中api的調(diào)用情況，若監(jiān)控到移動智能終端應(yīng)用調(diào)用所述隱私獲取類api數(shù)據(jù)庫內(nèi)的api，則啟動所述隱私發(fā)送類api監(jiān)控模塊，其中，所述隱私獲取類api數(shù)據(jù)庫中存儲有至少一個隱私獲取類api；

所述隱私發(fā)送類api監(jiān)控模塊，用于實時監(jiān)控移動智能終端應(yīng)用對預(yù)先存儲的隱私發(fā)送類api數(shù)據(jù)庫中api的調(diào)用情況，若監(jiān)控到移動智能終端應(yīng)用調(diào)用所述隱私發(fā)送類api數(shù)據(jù)庫內(nèi)的api，則啟動所述控制模塊，其中，所述隱私發(fā)送類api數(shù)據(jù)庫中存儲有至少一個隱私發(fā)送類api；

所述控制模塊，用于中斷第一應(yīng)用的運行，通過讀取所述第一應(yīng)用存儲在所述應(yīng)用狀態(tài)庫模塊中的應(yīng)用狀態(tài)變量，判斷所述第一應(yīng)用的行為模式是否滿足所述安全策略庫模塊中存儲的安全策略，若所述第一應(yīng)用的行為模式不滿足所述安全策略庫模塊中存儲的所有安全策略，則阻斷所述第一應(yīng)用的運行，其中，所述第一應(yīng)用為所述隱私發(fā)送類api監(jiān)控模塊監(jiān)控到的調(diào)用所述隱私發(fā)送類api數(shù)據(jù)庫內(nèi)的api的移動智能終端應(yīng)用，所述應(yīng)用狀態(tài)庫模塊中存儲有隱私類應(yīng)用的應(yīng)用狀態(tài)變量；

所述報警模塊，用于在所述控制模塊阻斷所述第一應(yīng)用的運行后，彈窗提醒用戶。

可選地，所述安全策略庫模塊中存儲的安全策略包括以下三條：

(1)應(yīng)用不向用戶隱藏其發(fā)送隱私數(shù)據(jù)的行為；

(2)應(yīng)用在產(chǎn)生獲取隱私數(shù)據(jù)行為后的t時間單元內(nèi)不向外發(fā)送這些隱私數(shù)據(jù)，其中，t為預(yù)設(shè)的時長；

(3)應(yīng)用被監(jiān)控到第一次對外發(fā)送隱私數(shù)據(jù)時，提醒用戶。

可選地，所述t為5s。

可選地，所述裝置還包括：

已知的隱私類應(yīng)用庫模塊，用于存儲可信任的隱私類應(yīng)用；

所述應(yīng)用狀態(tài)變量包括第一變量known、第二變量gathertime、第三變量firsttime和第四變量state，其中，

known為一個布爾變量，當應(yīng)用存儲在所述已知的隱私類應(yīng)用庫模塊時，該值為真；

gathertime為一個時間變量，用于記錄應(yīng)用調(diào)用隱私獲取類api的時間；

firsttime為一個布爾變量，當應(yīng)用是第一次調(diào)用所述隱私發(fā)送類api時，該值為真；

state為一個枚舉變量，表示應(yīng)用當前所處的狀態(tài)，包括第一狀態(tài)unauthorizedstate、第二狀態(tài)pre-authorizedstate、第三狀態(tài)middlestate、第四狀態(tài)authorizedstate、第五狀態(tài)userjudgementstate和第六狀態(tài)blockedstate六個取值，各個狀態(tài)的說明及轉(zhuǎn)換如下：

移動智能終端應(yīng)用被所述隱私獲取類api監(jiān)控模塊監(jiān)控到調(diào)用了所述隱私獲取類api，其進入unauthorizedstate，在unauthorizedstate狀態(tài)下，如果該應(yīng)用被所述隱私發(fā)送類api監(jiān)控模塊監(jiān)控到調(diào)用了所述隱私發(fā)送類api，同時該應(yīng)用的known值為真，其進入authorizedstate，或者，如果該應(yīng)用被所述隱私發(fā)送類api監(jiān)控模塊監(jiān)控到調(diào)用了所述隱私發(fā)送類api，同時該應(yīng)用的known值為假，其進入pre-authorizedstate；

當移動智能終端應(yīng)用處于pre-authorizedstate狀態(tài)下時，所述應(yīng)用狀態(tài)庫模塊計算當前時間currenttime和該應(yīng)用的gathertime值的差值，如果該差值小于t，則該應(yīng)用進入userjudgementstate，否則，該應(yīng)用進入middlestate；

當移動智能終端應(yīng)用處于middlestate狀態(tài)下時，如果該應(yīng)用的firsttime值為真，則進入userjudgementstate，否則則進入authorizedstate；

當移動智能終端應(yīng)用處于authorizedstate狀態(tài)下時，該應(yīng)用被授權(quán)可以發(fā)送隱私數(shù)據(jù)；

當移動智能終端應(yīng)用處于userjudgementstate狀態(tài)下時，所述應(yīng)用狀態(tài)庫模塊調(diào)用所述報警模塊，以彈出包括該應(yīng)用即將發(fā)送的隱私信息的對話框，幫助用戶判斷該隱私發(fā)送行為是否由其產(chǎn)生。同時，啟動一個計時器，在該計時器計時結(jié)束前，若用戶通過所述對話框確定該隱私發(fā)送行為由其產(chǎn)生，則該應(yīng)用將進入authorizedstate，否則，若用戶通過所述對話框確定該隱私發(fā)送行為不是由其產(chǎn)生，則該應(yīng)用將進入blockedstate，或者在該計時器計時結(jié)束時，用戶都沒有通過所述對話框做出回應(yīng)，則該應(yīng)用進入blockedstate；

當移動智能終端應(yīng)用處于blockedstate狀態(tài)下時，該應(yīng)用的運行被所述控制模塊阻斷。

可選地，所述控制模塊，還用于：若所述第一應(yīng)用的行為模式滿足所述安全策略庫模塊中存儲的一條安全策略，則恢復(fù)所述第一應(yīng)用正常運行。

可選地，所述控制模塊，具體用于：

判斷所述第一應(yīng)用是處于blockedstate狀態(tài)還是authorizedstate狀態(tài)，若所述第一應(yīng)用處于authorizedstate狀態(tài)，則確定所述第一應(yīng)用的行為模式滿足所述安全策略庫模塊中存儲的一條安全策略，恢復(fù)所述第一應(yīng)用正常運行，或者若所述第一應(yīng)用處于blockedstate狀態(tài)，則確定所述第一應(yīng)用的行為模式不滿足所述安全策略庫模塊中存儲的所有安全策略，阻斷所述第一應(yīng)用的運行。

另一方面，本發(fā)明實施例提出一種基于安全策略的入侵防御方法，包括：

所述隱私獲取類api監(jiān)控模塊實時監(jiān)控移動智能終端應(yīng)用對預(yù)先存儲的隱私獲取類api數(shù)據(jù)庫中api的調(diào)用情況，若監(jiān)控到移動智能終端應(yīng)用調(diào)用所述隱私獲取類api數(shù)據(jù)庫內(nèi)的api，則啟動所述隱私發(fā)送類api監(jiān)控模塊；

所述隱私發(fā)送類api監(jiān)控模塊實時監(jiān)控移動智能終端應(yīng)用對預(yù)先存儲的隱私發(fā)送類api數(shù)據(jù)庫中api的調(diào)用情況，若監(jiān)控到移動智能終端應(yīng)用調(diào)用所述隱私發(fā)送類api數(shù)據(jù)庫內(nèi)的api，則啟動所述控制模塊；

所述控制模塊中斷第一應(yīng)用的運行，通過讀取所述第一應(yīng)用存儲在所述應(yīng)用狀態(tài)庫模塊中的應(yīng)用狀態(tài)變量，判斷所述第一應(yīng)用的行為模式是否滿足所述安全策略庫模塊中存儲的安全策略，若所述第一應(yīng)用的行為模式滿足所述安全策略庫模塊中存儲的一條安全策略，則恢復(fù)所述第一應(yīng)用正常運行，否則，則阻斷所述第一應(yīng)用的運行，其中，所述第一應(yīng)用為所述隱私發(fā)送類api監(jiān)控模塊監(jiān)控到的調(diào)用所述隱私發(fā)送類api數(shù)據(jù)庫內(nèi)的api的移動智能終端應(yīng)用，所述應(yīng)用狀態(tài)庫模塊中存儲有隱私類應(yīng)用的應(yīng)用狀態(tài)變量；

所述報警模塊在所述控制模塊阻斷所述第一應(yīng)用的運行后，彈窗提醒用戶。

本發(fā)明實施例提供的基于安全策略的入侵防御裝置及方法，針對當前存在的幾種隱私竊取攻擊技術(shù)，主要利用隱私竊取攻擊在獲取隱私數(shù)據(jù)和發(fā)送隱私數(shù)據(jù)時表現(xiàn)出的時序邏輯關(guān)系，設(shè)計一系列的入侵防御安全策略，其中，隱私獲取api監(jiān)控模塊及隱私發(fā)送api監(jiān)控模塊：全面考慮到針對多種隱私數(shù)據(jù)的攻擊場景，維護了兩個能夠不斷更新的api數(shù)據(jù)庫，采用apihooking技術(shù)監(jiān)控移動智能終端應(yīng)用對api的調(diào)用；安全策略模塊：基于隱私竊取類惡意應(yīng)用的行為模式制定一系列的安全策略，不需要用戶頻繁參與判斷和決策，在確保入侵防御的準確率的同時，盡量地不影響用戶體驗；控制模塊：面對可疑的應(yīng)用(被監(jiān)控到調(diào)用隱私發(fā)送api的應(yīng)用)，采取先暫停后釋放的處理方式，將對安全應(yīng)用正常運行帶來的性能影響降到最低。整個方案設(shè)計考慮全面，構(gòu)建了智能移動終端隱私保護和入侵防御的安全機制，能夠在不修改操作系統(tǒng)，不影響手機安全應(yīng)用正常運行，不需要用戶頻繁參與決策的情況下，有效地阻斷隱私竊取行為并檢測隱私竊取應(yīng)用。

附圖說明

圖1為本發(fā)明基于安全策略的入侵防御裝置一實施例的結(jié)構(gòu)示意圖；

圖2為隱私竊取攻擊的生命周期示意圖；

圖3為圖1中控制模塊5的執(zhí)行流程圖；

圖4為第四變量state的各個狀態(tài)的轉(zhuǎn)換關(guān)系示意圖；

圖5為本發(fā)明基于安全策略的入侵防御裝置的入侵防御方法一實施例的流程示意圖。

具體實施方式

為使本發(fā)明實施例的目的、技術(shù)方案和優(yōu)點更加清楚，下面將結(jié)合本發(fā)明實施例中的附圖，對本發(fā)明實施例中的技術(shù)方案進行清楚地描述，顯然，所描述的實施例是本發(fā)明一部分實施例，而不是全部的實施例。基于本發(fā)明中的實施例，本領(lǐng)域普通技術(shù)人員在沒有做出創(chuàng)造性勞動前提下所獲得的所有其他實施例，都屬于本發(fā)明保護的范圍。

參看圖1，本實施例公開一種基于安全策略的入侵防御裝置，包括：

隱私獲取類api監(jiān)控模塊1、隱私發(fā)送類api監(jiān)控模塊2、應(yīng)用狀態(tài)庫模塊3、安全策略庫模塊4、控制模塊5和報警模塊6；其中，

所述隱私獲取類api監(jiān)控模塊1，用于實時監(jiān)控移動智能終端應(yīng)用對預(yù)先存儲的隱私獲取類api數(shù)據(jù)庫中api的調(diào)用情況，若監(jiān)控到移動智能終端應(yīng)用調(diào)用所述隱私獲取類api數(shù)據(jù)庫內(nèi)的api，則啟動所述隱私發(fā)送類api監(jiān)控模塊2，其中，所述隱私獲取類api數(shù)據(jù)庫中存儲有至少一個隱私獲取類api；

所述隱私發(fā)送類api監(jiān)控模塊2，用于實時監(jiān)控移動智能終端應(yīng)用對預(yù)先存儲的隱私發(fā)送類api數(shù)據(jù)庫中api的調(diào)用情況，若監(jiān)控到移動智能終端應(yīng)用調(diào)用所述隱私發(fā)送類api數(shù)據(jù)庫內(nèi)的api，則啟動所述控制模塊5，其中，所述隱私發(fā)送類api數(shù)據(jù)庫中存儲有至少一個隱私發(fā)送類api；

所述控制模塊5，用于中斷第一應(yīng)用的運行，通過讀取所述第一應(yīng)用存儲在所述應(yīng)用狀態(tài)庫模塊3中的應(yīng)用狀態(tài)變量，判斷所述第一應(yīng)用的行為模式是否滿足所述安全策略庫模塊4中存儲的安全策略，若所述第一應(yīng)用的行為模式不滿足所述安全策略庫模塊4中存儲的所有安全策略，則阻斷所述第一應(yīng)用的運行，其中，所述第一應(yīng)用為所述隱私發(fā)送類api監(jiān)控模塊2監(jiān)控到的調(diào)用所述隱私發(fā)送類api數(shù)據(jù)庫內(nèi)的api的移動智能終端應(yīng)用，所述應(yīng)用狀態(tài)庫模塊3中存儲有隱私類應(yīng)用的應(yīng)用狀態(tài)變量；

所述報警模塊6，用于在所述控制模塊5阻斷所述第一應(yīng)用的運行后，彈窗提醒用戶。

本發(fā)明實施例提供的基于安全策略的入侵防御裝置，針對當前存在的幾種隱私竊取攻擊技術(shù)，主要利用隱私竊取攻擊在獲取隱私數(shù)據(jù)和發(fā)送隱私數(shù)據(jù)時表現(xiàn)出的時序邏輯關(guān)系，設(shè)計一系列的入侵防御安全策略。方案設(shè)計考慮全面，構(gòu)建了智能移動終端隱私保護和入侵防御的安全機制，能夠在不修改操作系統(tǒng)，不影響手機安全應(yīng)用正常運行，不需要用戶頻繁參與決策的情況下，有效地阻斷隱私竊取行為并檢測隱私竊取應(yīng)用。

下面對本發(fā)明基于安全策略的入侵防御裝置進行詳細說明。

本發(fā)明通過分析大量隱私竊取類惡意應(yīng)用的行為模式，總結(jié)隱私竊取攻擊的生命周期如圖2所示。發(fā)明人在實施本發(fā)明的過程中發(fā)現(xiàn)大部分惡意應(yīng)用會在進入p2后的很短時間內(nèi)進入p3，也就是說，惡意應(yīng)用會在獲取隱私數(shù)據(jù)后的極短時間(α<t，t預(yù)先設(shè)置，根據(jù)需要可以取5s、10s等值)內(nèi)將其發(fā)送出去，以確保為攻擊者提供最新的用戶隱私數(shù)據(jù)，同時在被發(fā)現(xiàn)之前獲取最大的利益?；诖?，本發(fā)明制定一系列的安全策略。本發(fā)明主要分為七個功能模塊——已知的隱私類應(yīng)用庫模塊、隱私獲取類api監(jiān)控模塊、隱私發(fā)送類api監(jiān)控模塊、應(yīng)用狀態(tài)庫模塊、安全策略庫模塊、控制模塊和報警模塊。

1、已知的隱私類應(yīng)用庫模塊。用戶掌握該模塊的管理權(quán)，可以注冊并向其中添加可信任的隱私類應(yīng)用。例如，用戶可以將系統(tǒng)自帶的短信應(yīng)用app1添加進該模塊，之后app1對敏感api的調(diào)用將不會受到監(jiān)控模塊(包括隱私獲取類api監(jiān)控模塊和隱私發(fā)送類api監(jiān)控模塊)的監(jiān)控。同時，用戶可以從模塊中刪除其不再信任的隱私類應(yīng)用。例如，用戶可以從模塊中刪除app1，之后app1對敏感api的調(diào)用將再次受到監(jiān)控模塊的監(jiān)控。

2、隱私獲取類api監(jiān)控模塊。該模塊存儲了一個隱私獲取類api數(shù)據(jù)庫，如下表所示。

同時，該模塊實時監(jiān)控移動智能終端應(yīng)用對數(shù)據(jù)庫中api的調(diào)用情況，一旦發(fā)現(xiàn)某個應(yīng)用調(diào)用了數(shù)據(jù)庫內(nèi)某個隱私獲取api，則立刻啟動隱私發(fā)送類api監(jiān)控模塊。

3、隱私發(fā)送類api監(jiān)控模塊。該模塊存儲了一個隱私發(fā)送類api數(shù)據(jù)庫，如下表所示。

同時，該模塊實時監(jiān)控應(yīng)用對數(shù)據(jù)庫中api的調(diào)用情況，一旦發(fā)現(xiàn)某個應(yīng)用調(diào)用了數(shù)據(jù)庫內(nèi)某個隱私發(fā)送api，則啟動控制模塊，以使控制模塊根據(jù)安全策略庫中的安全策略，做出相應(yīng)的安全控制行為。

4、控制模塊?？刂颇K的啟動發(fā)生在監(jiān)控模塊監(jiān)控到某個應(yīng)用app_sink調(diào)用了隱私發(fā)送類api時，其流程圖如圖3所示：

首先，控制模塊中斷應(yīng)用app_sink的運行。如果移動智能終端已經(jīng)被root，本發(fā)明的控制模塊也將具有root權(quán)限，調(diào)用簡單的命令kill–stop<pid>就可以中斷應(yīng)用程序的運行。然而，大部分的移動智能終端是沒有被root的，因此控制模塊在應(yīng)用層很難取得root權(quán)限。這種情況下，控制模塊將利用killbackgroundprocesses接口關(guān)閉整個目標應(yīng)用，參數(shù)是應(yīng)用app_sink的包名。

然后，控制模塊通過讀取應(yīng)用app_sink存儲在應(yīng)用狀態(tài)庫模塊中的應(yīng)用狀態(tài)參數(shù)，判斷應(yīng)用app_sink的行為模式是否滿足安全策略庫模塊中制定的安全策略。如果滿足，則恢復(fù)其正常運行。如果移動智能終端已經(jīng)root，控制模塊調(diào)用kill–cont<pid>命令重新釋放應(yīng)用進程。如果沒有被root，控制模塊將無法調(diào)用命令釋放應(yīng)用進程。但是android提供了相關(guān)機制，確保應(yīng)用進程在被停止前調(diào)用onsaveinstancestate存儲運行狀態(tài)，并在重啟時恢復(fù)。因此，控制模塊的操作對安全應(yīng)用帶來的性能影響是較小的。如果不滿足任何一條安全策略，則徹底阻斷應(yīng)用的運行。

5、報警模塊。在控制模塊運行的過程中，需要啟動報警模塊與用戶進行交互。報警模塊的啟動主要發(fā)生在以下兩種情況下：

(1)在匹配安全策略的過程中，可能需要彈窗提醒用戶，讓其判斷監(jiān)控到的隱私發(fā)送行為是否由其調(diào)用應(yīng)用時自主產(chǎn)生；

(2)在阻斷某個行為模式不符合安全策略的應(yīng)用后，會彈窗提醒用戶對該應(yīng)用做進一步的處理，如：提交應(yīng)用到安全軟件進行檢測或直接強制卸載等。

6、安全策略庫模塊。本發(fā)明通過觀察大量隱私竊取類惡意應(yīng)用的行為模式，總結(jié)出以下幾條安全策略，并存儲在安全策略庫中。如果某個被監(jiān)控應(yīng)用滿足以下任一條安全策略，則可以稱它是安全的。

(1)一個應(yīng)用必須不能向用戶隱藏其發(fā)送隱私數(shù)據(jù)的行為；

(2)一個應(yīng)用必須不能在產(chǎn)生獲取隱私數(shù)據(jù)行為后的t時間單元內(nèi)向外發(fā)送這些隱私數(shù)據(jù)；

策略(1)可以用來防御那些完全執(zhí)行隱私竊取行為的惡意應(yīng)用；策略(2)同時可以防御通過重打包安全應(yīng)用實現(xiàn)隱私竊取行為的惡意應(yīng)用，該類應(yīng)用可能在執(zhí)行正常隱私相關(guān)行為的同時發(fā)起隱私竊取攻擊。本發(fā)明認為t時間單元是用戶判斷時間，在這段時間內(nèi)監(jiān)控到的隱私發(fā)送行為，需要用戶參與判斷是否由其產(chǎn)生。

同時，本發(fā)明發(fā)現(xiàn)，盡管大部分的惡意應(yīng)用會在獲取隱私數(shù)據(jù)后的t時間單元內(nèi)產(chǎn)生發(fā)送隱私數(shù)據(jù)的行為，但是也有部分惡意應(yīng)用在t時間單元內(nèi)保持靜默以躲避檢測。在t時間單元之后才開始執(zhí)行惡意行為。為了處理這種特殊情況，本發(fā)明在安全策略庫中補充了以下策略：

(3)如果一個應(yīng)用被監(jiān)控到第一次對外發(fā)送隱私數(shù)據(jù)，提醒用戶。在這種情況下，如果應(yīng)用是惡意的，那它必然是隱蔽執(zhí)行惡意發(fā)送隱私數(shù)據(jù)的行為，因此可以及時提醒用戶并阻斷該應(yīng)用的執(zhí)行。

6、應(yīng)用狀態(tài)庫模塊。對于每個隱私類應(yīng)用，本發(fā)明為其設(shè)置并存儲了4種應(yīng)用狀態(tài)變量：

(1)known，一個布爾變量，當應(yīng)用存儲在已知的隱私類應(yīng)用庫時，該值為真；

(2)gathertime，一個時間變量，記錄應(yīng)用調(diào)用隱私獲取類api的時間；

(3)firsttime，一個布爾變量，當應(yīng)用是第一次調(diào)用隱私發(fā)送類api時，該值為真；

(4)state，一個枚舉變量，表示應(yīng)用當前所處的狀態(tài)。包括unauthorizedstate、pre-authorizedstate、middlestate、authorizedstate、userjudgementstate和blockedstate。應(yīng)用的狀態(tài)以及本發(fā)明的上述處理方法可以用圖4的有限狀態(tài)機表示。其中：

(a)unauthorizedstate：一旦一個應(yīng)用被監(jiān)控到調(diào)用了獲取隱私api，它將進入unauthorizedstate。在這個狀態(tài)下，如果該應(yīng)用被監(jiān)控到調(diào)用了發(fā)送隱私api，同時known值為真，表示該應(yīng)用是可信的，它將進入authorizedstate。相反，如果known值為假，應(yīng)用將進入pre-authorizedstate作下一步的判斷。

(b)pre-authorizedstate。該狀態(tài)下，所述應(yīng)用狀態(tài)庫模塊計算當前時間currenttime和gathertime的差值，如果該值小于t，應(yīng)用進入userjudgementstate；否則，應(yīng)用進入middlestate。

(c)middlestate。該狀態(tài)下，本發(fā)明判斷這是否是應(yīng)用第一次調(diào)用發(fā)送隱私api。如果firsttime為真，表示應(yīng)用第一次調(diào)用發(fā)送隱私api，應(yīng)用同樣進入userjudgementstate；否則，應(yīng)用直接進入authorizedstate。

(d)authorizedstate。該狀態(tài)下，應(yīng)用被授權(quán)可以發(fā)送隱私數(shù)據(jù)。

(e)userjudgementstate。該狀態(tài)下，所述應(yīng)用狀態(tài)庫模塊調(diào)用報警模塊，彈出包括即將發(fā)送的隱私信息的對話框，幫助用戶判斷該隱私發(fā)送行為是否由其產(chǎn)生。同時，本發(fā)明啟動一個計時器。如果用戶的回答response是肯定的，應(yīng)用將進入authorizedstate；如果用戶的答案是否定的，應(yīng)用將進入blockedstate。同時，如果在計時器計時結(jié)束時，用戶都沒有做出回應(yīng)。本發(fā)明認為，用戶在此時并沒有操作其設(shè)備，這也意味著該發(fā)送隱私的行為不可能由其自身產(chǎn)生。在這種情況下，應(yīng)用同樣進入blockedstate。

(f)blockedstate。該狀態(tài)下，應(yīng)用被認為是惡意的，其運行被阻斷。同時，會啟動報警模塊，提醒用戶卸載應(yīng)用確保隱私安全?？梢岳斫獾氖?，控制模塊在對某一應(yīng)用進行安全策略匹配時，只需要判斷該應(yīng)用是處于blockedstate狀態(tài)還是authorizedstate狀態(tài)，若該應(yīng)用處于authorizedstate狀態(tài)，則確定該應(yīng)用的行為模式滿足所述安全策略庫模塊中存儲的一條安全策略，否則，若該應(yīng)用處于blockedstate狀態(tài)，則確定該應(yīng)用的行為模式不滿足所述安全策略庫模塊中存儲的所有安全策略。

參看圖5，本實施例公開一種基于前述實施例所述的基于安全策略的入侵防御裝置的入侵防御方法，包括：

s1、所述隱私獲取類api監(jiān)控模塊實時監(jiān)控移動智能終端應(yīng)用對預(yù)先存儲的隱私獲取類api數(shù)據(jù)庫中api的調(diào)用情況，若監(jiān)控到移動智能終端應(yīng)用調(diào)用所述隱私獲取類api數(shù)據(jù)庫內(nèi)的api，則啟動所述隱私發(fā)送類api監(jiān)控模塊；

s2、所述隱私發(fā)送類api監(jiān)控模塊實時監(jiān)控移動智能終端應(yīng)用對預(yù)先存儲的隱私發(fā)送類api數(shù)據(jù)庫中api的調(diào)用情況，若監(jiān)控到移動智能終端應(yīng)用調(diào)用所述隱私發(fā)送類api數(shù)據(jù)庫內(nèi)的api，則啟動所述控制模塊；

s3、所述控制模塊中斷第一應(yīng)用的運行，通過讀取所述第一應(yīng)用存儲在所述應(yīng)用狀態(tài)庫模塊中的應(yīng)用狀態(tài)變量，判斷所述第一應(yīng)用的行為模式是否滿足所述安全策略庫模塊中存儲的安全策略，若所述第一應(yīng)用的行為模式滿足所述安全策略庫模塊中存儲的一條安全策略，則恢復(fù)所述第一應(yīng)用正常運行，否則，則阻斷所述第一應(yīng)用的運行，其中，所述第一應(yīng)用為所述隱私發(fā)送類api監(jiān)控模塊監(jiān)控到的調(diào)用所述隱私發(fā)送類api數(shù)據(jù)庫內(nèi)的api的移動智能終端應(yīng)用，所述應(yīng)用狀態(tài)庫模塊中存儲有隱私類應(yīng)用的應(yīng)用狀態(tài)變量；

s4、所述報警模塊在所述控制模塊阻斷所述第一應(yīng)用的運行后，彈窗提醒用戶。

本發(fā)明實施例提供的基于安全策略的入侵防御方法，針對當前存在的幾種隱私竊取攻擊技術(shù)，主要利用隱私竊取攻擊在獲取隱私數(shù)據(jù)和發(fā)送隱私數(shù)據(jù)時表現(xiàn)出的時序邏輯關(guān)系，設(shè)計一系列的入侵防御安全策略。方案設(shè)計考慮全面，構(gòu)建了智能移動終端隱私保護和入侵防御的安全機制，能夠在不修改操作系統(tǒng)，不影響手機安全應(yīng)用正常運行，不需要用戶頻繁參與決策的情況下，有效地阻斷隱私竊取行為并檢測隱私竊取應(yīng)用。

本領(lǐng)域內(nèi)的技術(shù)人員應(yīng)明白，本申請的實施例可提供為方法、系統(tǒng)、或計算機程序產(chǎn)品。因此，本申請可采用完全硬件實施例、完全軟件實施例、或結(jié)合軟件和硬件方面的實施例的形式。而且，本申請可采用在一個或多個其中包含有計算機可用程序代碼的計算機可用存儲介質(zhì)(包括但不限于磁盤存儲器、cd-rom、光學存儲器等)上實施的計算機程序產(chǎn)品的形式。

本申請是參照根據(jù)本申請實施例的方法、設(shè)備(系統(tǒng))、和計算機程序產(chǎn)品的流程圖和/或方框圖來描述的。應(yīng)理解可由計算機程序指令實現(xiàn)流程圖和/或方框圖中的每一流程和/或方框、以及流程圖和/或方框圖中的流程和/或方框的結(jié)合?？商峁┻@些計算機程序指令到通用計算機、專用計算機、嵌入式處理機或其他可編程數(shù)據(jù)處理設(shè)備的處理器以產(chǎn)生一個機器，使得通過計算機或其他可編程數(shù)據(jù)處理設(shè)備的處理器執(zhí)行的指令產(chǎn)生用于實現(xiàn)在流程圖一個流程或多個流程和/或方框圖一個方框或多個方框中指定的功能的裝置。

這些計算機程序指令也可存儲在能引導(dǎo)計算機或其他可編程數(shù)據(jù)處理設(shè)備以特定方式工作的計算機可讀存儲器中，使得存儲在該計算機可讀存儲器中的指令產(chǎn)生包括指令裝置的制造品，該指令裝置實現(xiàn)在流程圖一個流程或多個流程和/或方框圖一個方框或多個方框中指定的功能。

這些計算機程序指令也可裝載到計算機或其他可編程數(shù)據(jù)處理設(shè)備上，使得在計算機或其他可編程設(shè)備上執(zhí)行一系列操作步驟以產(chǎn)生計算機實現(xiàn)的處理，從而在計算機或其他可編程設(shè)備上執(zhí)行的指令提供用于實現(xiàn)在流程圖一個流程或多個流程和/或方框圖一個方框或多個方框中指定的功能的步驟。

需要說明的是，在本文中，諸如第一和第二等之類的關(guān)系術(shù)語僅僅用來將一個實體或者操作與另一個實體或操作區(qū)分開來，而不一定要求或者暗示這些實體或操作之間存在任何這種實際的關(guān)系或者順序。而且，術(shù)語“包括”、“包含”或者其任何其他變體意在涵蓋非排他性的包含，從而使得包括一系列要素的過程、方法、物品或者設(shè)備不僅包括那些要素，而且還包括沒有明確列出的其他要素，或者是還包括為這種過程、方法、物品或者設(shè)備所固有的要素。在沒有更多限制的情況下，由語句“包括一個……”限定的要素，并不排除在包括所述要素的過程、方法、物品或者設(shè)備中還存在另外的相同要素。術(shù)語“上”、“下”等指示的方位或位置關(guān)系為基于附圖所示的方位或位置關(guān)系，僅是為了便于描述本發(fā)明和簡化描述，而不是指示或暗示所指的裝置或元件必須具有特定的方位、以特定的方位構(gòu)造和操作，因此不能理解為對本發(fā)明的限制。除非另有明確的規(guī)定和限定，術(shù)語“安裝”、“相連”、“連接”應(yīng)做廣義理解，例如，可以是固定連接，也可以是可拆卸連接，或一體地連接；可以是機械連接，也可以是電連接；可以是直接相連，也可以通過中間媒介間接相連，可以是兩個元件內(nèi)部的連通。對于本領(lǐng)域的普通技術(shù)人員而言，可以根據(jù)具體情況理解上述術(shù)語在本發(fā)明中的具體含義。

本發(fā)明的說明書中，說明了大量具體細節(jié)。然而能夠理解的是，本發(fā)明的實施例可以在沒有這些具體細節(jié)的情況下實踐。在一些實例中，并未詳細示出公知的方法、結(jié)構(gòu)和技術(shù)，以便不模糊對本說明書的理解。類似地，應(yīng)當理解，為了精簡本發(fā)明公開并幫助理解各個發(fā)明方面中的一個或多個，在上面對本發(fā)明的示例性實施例的描述中，本發(fā)明的各個特征有時被一起分組到單個實施例、圖、或者對其的描述中。然而，并不應(yīng)將該公開的方法解釋呈反映如下意圖：即所要求保護的本發(fā)明要求比在每個權(quán)利要求中所明確記載的特征更多的特征。更確切地說，如權(quán)利要求書所反映的那樣，發(fā)明方面在于少于前面公開的單個實施例的所有特征。因此，遵循具體實施方式的權(quán)利要求書由此明確地并入該具體實施方式，其中每個權(quán)利要求本身都作為本發(fā)明的單獨實施例。需要說明的是，在不沖突的情況下，本申請中的實施例及實施例中的特征可以相互組合。本發(fā)明并不局限于任何單一的方面，也不局限于任何單一的實施例，也不局限于這些方面和/或?qū)嵤├娜我饨M合和/或置換。而且，可以單獨使用本發(fā)明的每個方面和/或?qū)嵤├蛘吲c一個或更多其他方面和/或其實施例結(jié)合使用。

最后應(yīng)說明的是：以上各實施例僅用以說明本發(fā)明的技術(shù)方案，而非對其限制；盡管參照前述各實施例對本發(fā)明進行了詳細的說明，本領(lǐng)域的普通技術(shù)人員應(yīng)當理解：其依然可以對前述各實施例所記載的技術(shù)方案進行修改，或者對其中部分或者全部技術(shù)特征進行等同替換；而這些修改或者替換，并不使相應(yīng)技術(shù)方案的本質(zhì)脫離本發(fā)明各實施例技術(shù)方案的范圍，其均應(yīng)涵蓋在本發(fā)明的權(quán)利要求和說明書的范圍當中。