[发明专利]一种监测单元及方法

说明书

技术领域

本发明涉及信息安全技术领域，具体涉及一种监测操作系统的监测单元及方法、以及防止文件被篡改的系统及方法。

背景技术

随着计算机和网络技术的不断发展，越来越多的应用基于网络来提供，网络应用的安全性日益重要。越来越多的黑客看中了网络应用的市场价值而力图侵入网络应用服务器来获取各种信息，从而从中获利。

网络应用服务器中的文件安全性也日益重要，很多黑客会篡改服务器中的文件，在文件中写入非法信息、植入木马等等，从而使得利用服务器应用的用户受到损失。如何保护网络应用服务器中的文件安全是信息安全领域重要的挑战。

现有的对网络应用服务器中的文件系统的访问控制主要是通过设置文件权限来实现，例如仅仅具有某个权限的用户才可以修改文件。但是，如果黑客获取了最高（root）权限，则通过该方法限制文件访问就会失效。

另外，还有一种防止文件被篡改的方式，其通过定期来监控目标文件或者目录，如果发现目标文件或者目录被黑客修改或者删除，就利用事前备份好的文件和目录来恢复所修改的内容，这样即使文件和目录被修改了，也可以及时恢复。但是这种方式存在如下缺点：总是需要为要保护的内容做备份，在发生篡改行为时总是需要做以恢复为目的的内容同步，并且如果监控不及时，会存在被篡改内容暂时未被恢复的情况。这时，如果用户访问了被篡改内容的文件或目录，就会得到一些恶意的内容，从而导致用户受到损失。另外，如果采用不间断地轮询服务器上的文件，如果被保护的文件数量巨大，势必会影响硬件设备的性能，造成网络应用服务器的访问速度降低。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的监测操作系统的监测单元及方法、以及防止文件被篡改的系统及方法。

依据本发明的一个方面，提供了一种监测单元，其加载于操作系统的内核空间中，包括：截获模块，适于在与系统调用相对应的核心操作被执行之前截获所述系统调用；判断模块，适于判断所述系统调用是否合法;告警模块，其在所述判断模块判断该系统调用非法时，拒绝该系统调用并生成告警信息；恢复模块，其在所述判断模块判断该系统调用合法时，允许该系统调用，恢复该系统调用的执行。其中，所述核心操作为各种与文件相关的操作，以及所述系统调用为各种与文件操作相关的系统调用。

可选地，所述判断模块包括配置信息，所述配置信息包括一个或者多个配置项，每个配置项包括所述系统调用涉及的文件的文件信息和/或发起该系统调用的应用的应用信息。其中所述判断模块根据所述配置信息来判断该系统调用是否合法。

可选地，所述文件信息包括文件的路径信息和/或名称，所述应用信息包括所述应用在操作系统中的唯一标识号。

根据本发明的另一方面，提供了一种防止文件被篡改的系统，其安置在计算设备中，该计算设备具有操作系统，该操作系统包括提供核心操作的内核空间和提供各种应用的用户空间，该防止文件被篡改的系统包括：位于内核空间中的如前所述的监测单元；位于用户空间中的监测客户端和多个应用，其中所述监测客户端适于与所述监测单元进行通信；以及位于用户空间和内核空间之间的系统调用接口，位于用户空间中的所述多个应用分别通过该系统调用接口与所述监测单元连接。其中，位于用户空间中的多个应用分别通过系统调用接口向内核空间的核操作发起系统调用请求，所述监测单元监测所述系统调用请求。

可选地，本发明的防止文件被篡改的系统还包括：虚拟模块，其设置于内核空间中，加载于监测单元之后，在表示模块加载的单向链表中其指针指向监测单元的下一个模块，而不指向所述监测单元，从而使监测单元在单向链表中不可见。

根据本发明的又一方面，提供了监测操作系统的监测方法，其中所述操作系统包括提供核心操作的内核空间和提供各种应用的用户空间，所述用户空间中的应用通过发起系统调用来调用内核空间中提供的相应核心操作，所述核心操作为各种与文件相关的操作，以及所述系统调用为各种与文件操作相关的系统调用。所述监测方法包括:在与系统调用相对应的核心操作被执行之前截获所述系统调用；判断所述系统调用是否合法,当其合法时允许该系统调用，否则拒绝该系统调用。