[发明专利]一种防止文件被篡改的系统和方法

权利要求书

1.一种防止文件被篡改的系统，其安置在计算设备中，该计算设备具有操作系统，该操作系统包括提供核心操作的内核空间和提供各种应用的用户空间，该防止文件被篡改的系统包括:

位于内核空间中的监测单元；

位于用户空间中的监测客户端和多个应用，其中所述监测客户端适于与所述监测单元进行通信；以及

位于用户空间和内核空间之间的系统调用接口，位于用户空间中的所述多个应用分别通过该系统调用接口与所述监测单元连接；

其中，位于用户空间中的多个应用分别通过系统调用接口向内核空间的核操作发起系统调用请求，所述监测单元监测所述系统调用请求，以及

该监测单元包括：

截获模块，适于在与系统调用相对应的核心操作被执行之前截获所述系统调用；

判断模块，适于判断所述系统调用是否合法;

告警模块，在所述判断模块判断该系统调用非法时，拒绝该系统调用并生成告警信息；以及

恢复模块，在所述判断模块判断该系统调用合法时，允许该系统调用，恢复该系统调用的执行，

其中，所述核心操作为各种与文件相关的操作，以及所述系统调用为各种与文件操作相关的系统调用。

2.根据权利要求1所述的系统，其中，

所述判断模块包括配置信息，所述配置信息包括一个或者多个配置项，每个配置项包括所述系统调用涉及的文件的文件信息和/或发起该系统调用的应用的应用信息，

其中所述判断模块根据所述配置信息来判断该系统调用是否合法。

3.根据权利要求2所述的系统，其中所述文件信息包括文件的路径信息和/或名称，所述应用信息包括所述应用在操作系统中的唯一标识号。

4.根据权利要求2或3所述的系统，其中在所述配置信息中的每个配置项包括文件的文件信息和应用的唯一标识号的情形下，当所述系统调用涉及的文件的文件信息以及发起该系统调用的应用的唯一标识号不存在于所述配置信息的任一个配置项中时，所述判断模块判断该系统调用为非法。

5.根据权利要求4所述的系统，其中每个配置项还包括操作权限；

当所述系统调用涉及的文件的文件信息以及发起该系统调用的应用的唯一标识号存在于所述配置信息的配置项中,但是该系统调用所需要的文件操作权限和所述配置项中的操作权限不匹配时，所述判断模块判断该系统调用为非法。

6.根据权利要求4或5所述的系统，其中监测单元还包括：

通信模块，其与所述用户空间的监测客户端进行通信，读取所述监测客户端中的配置信息并将其传送给判断模块，以及将告警模块生成的告警信息传送至所述监测客户端。

7.根据权利要求1-6中任一个所述的系统，其中，

所述监测客户端通过对所述监测单元做定时心跳检测而检测所述监测单元是否正常工作。

8.根据权利要求1-7中任一个所述的系统，其中，

所述监测客户端处的配置信息存储在配置文件中；

所述配置文件包括有关允许进行操作的进程列表的配置文件和有关允许访问的路径和/或文件列表的配置文件。

9.根据权利要求1-8中任一项所述的系统，还包括:

虚拟模块，其设置于内核空间中，加载于监测单元之后，在表示模块加载的单向链表中其指针指向监测单元的下一个模块，而不指向所述监测单元，从而使监测单元在单向链表中不可见。

10.一种防止文件被篡改的方法，其在计算设备中执行，该计算设备具有操作系统，该操作系统包括提供核心操作的内核空间和提供各种应用的用户空间，该方法包括：

接收用户空间中的应用通过系统调用而对内核空间中提供的相应核心操作的调用

在与系统调用相对应的核心操作被执行之前截获所述系统调用;以及

判断所述系统调用是否合法,当其合法时允许该系统调用,否则拒绝该系统调用。

11.根据权利要求10所述的方法，其中，所述判断所述系统调用是否合法的步骤包括：根据所述系统调用涉及的文件信息和/或发起该系统调用的应用的应用信息来判断该系统调用是否合法。