[发明专利]基于安全策略的入侵防御装置及方法

说明书

技术领域

本发明涉及移动智能终端隐私保护及入侵防御技术领域，具体涉及一种基于安全策略的入侵防御装置及方法。

背景技术

随着移动智能终端的普及，越来越多的移动智能终端用户将个人信息存储在他们的设备上，智能手机上的隐私窃取攻击和入侵防御技术因此成为移动互联网安全领域的热门话题。

针对不同的隐私数据，目前主要存在五种类型的隐私窃取攻击，隐私窃取攻击1主要关注移动智能终端的标识符，包括IMEI、IMSI、ICCID和手机号码等。这些标识符作为手机的标志，经常被应用绑定在个人账户或其他用户个人信息上。隐私窃取攻击2主要关注用户的位置信息。隐私窃取攻击3滥用移动智能终端的通讯服务，包括自主发送付费短信、拨打付费电话；窃取短信息和通话记录；窃听用户通话等。隐私窃取攻击4通过收集和分析用户的网页浏览记录，获取账号、登录账户、日志等信息。隐私窃取攻击5通过主动且隐蔽地接听或拨打黑客的电话号码，将设备转换成环境窃听器。通过分析，这五种类型的隐私窃取攻击主要由两个步骤组成，步骤一从数据源获取隐私数据，步骤二将获取到的隐私数据发送出去。

针对以上隐私窃取攻击，目前存在的入侵防御技术主要包括以下两种种：定制系统及应用重打包。

1、定制系统。由于Android操作系统的开源性，许多研究者通过对操作系统进行定制，加强访问控制机制，以防御隐私泄露。例如，通过监控与通话相关的API和系统调用，从而对用户通话安全进行防护。

该类入侵防御技术需要重新定制系统，会破坏原生操作系统的完整性；在引入防护机制的同时可能产生新的漏洞；并且由于Android操作系统的碎片化问题，定制操作系统只能针对特定机型，无法进行大规模推广。

2、应用重打包。应用重打包技术不需要修改操作系统。通过反编译技术获取应用程序的代码，然后在可疑API(包括获取隐私信息的API和发送隐私信息的API)处插入监控代码，最后重新打包形成新的应用。在不影响应用正常功能的情况下，可以有效阻断隐私窃取攻击。

该类入侵防御技术容易被恶意攻击绕过，因为监控代码很难覆盖所有的可疑API；如果某个隐私窃取攻击是通过注入so库实现的，该类技术难以实现防御；每当一个可疑API调用被发现时，用户都需要参与判断当前的获取隐私行为或发送隐私行为是否是由自己主导产生，在某种程度上，会影响用户的操作体验。

发明内容

为了防御以上的隐私窃取攻击，最大程度地保护移动智能终端用户的隐私安全，同时不影响移动智能终端上其他应用的正常运行以及用户体验，设计了一种基于安全策略的入侵防御机制。该技术不需要改变操作系统以及被监控应用的原有结构。通过观察大量隐私窃取类恶意应用的行为模式发现，大部分恶意应用会在获取隐私数据后的极短时间α(α<T)内将其发送出去。基于这个发现，制定一系列的安全策略对隐私窃取攻击进行防御。在该项技术中，用户只需要在T时间单元内参与判断发送隐私的行为是否由自己产生，不需要面对频繁弹出的提醒框，因此不影响正常的使用。同时，该技术实现简单，能有效地防御隐私窃取攻击的入侵。

一方面，本发明实施例提出一种基于安全策略的入侵防御装置，包括：

隐私获取类API监控模块、隐私发送类API监控模块、应用状态库模块、安全策略库模块、控制模块和报警模块；其中，

所述隐私获取类API监控模块，用于实时监控移动智能终端应用对预先存储的隐私获取类API数据库中API的调用情况，若监控到移动智能终端应用调用所述隐私获取类API数据库内的API，则启动所述隐私发送类API监控模块，其中，所述隐私获取类API数据库中存储有至少一个隐私获取类API；

所述隐私发送类API监控模块，用于实时监控移动智能终端应用对预先存储的隐私发送类API数据库中API的调用情况，若监控到移动智能终端应用调用所述隐私发送类API数据库内的API，则启动所述控制模块，其中，所述隐私发送类API数据库中存储有至少一个隐私发送类API；

所述控制模块，用于中断第一应用的运行，通过读取所述第一应用存储在所述应用状态库模块中的应用状态变量，判断所述第一应用的行为模式是否满足所述安全策略库模块中存储的安全策略，若所述第一应用的行为模式不满足所述安全策略库模块中存储的所有安全策略，则阻断所述第一应用的运行，其中，所述第一应用为所述隐私发送类API监控模块监控到的调用所述隐私发送类API数据库内的API的移动智能终端应用，所述应用状态库模块中存储有隐私类应用的应用状态变量；