[发明专利]一种支持软件在线升级的程序白名单管理方法及系统

说明书

本发明公开了一种支持软件在线升级的程序白名单管理方法和系统，首先获取新创建文件的相关信息，再依次判断新创建文件是否为可执行代码文件、是否在本地程序白名单策略中和新创建文件的主程序是否属于非遗传类程序，最后根据判断的结果计算新创建文件的程序白名单策略特征值，并将所述特征值插入到本地程序白名单策略中。本发明所述方法和系统通过判断软件类别而确定其升级后的代码是否可信，并自动调整程序白名单策略，从而极大地提高程序白名单机制的适应性和易用易管性。

技术领域

本发明涉及信息安全技术领域，具体来说，涉及一种支持软件在线升级的程序白名单管理方法及系统。

背景技术

程序白名单是一种基于软件可执行代码唯一性特征的软件调用和执行控制机制，比如基于可执行代码文件hash值生成一个可执行程序清单，只有在这个清单中的可执行程序才能被系统调用和执行，程序白名单机制有很好的安全防护能力和效率，可以用于以下安全目标：1)恶意代码和勒索软件的防范，由于恶意代码和勒索软件都不属于用户明确允许的可执行程序，因此也不会出现在程序白名单策略清单中，因此系统不会调用和运行恶意代码和勒索软件，包括已知的和未知的；2)可以用于规范用户操作行为，这对生产系统的安全运行尤为重要，没有管理员批准，用户不可能在生产系统中自行安装和运行软件程序，这样就会大大减少系统运行风险。

但是软件在线升级功能会影响程序白名单机制的易用性，这是因为软件在线升级会用新的可执行代码文件替代旧的可执行代码文件，而这些新的可执行代码文件不在程序白名单策略中，这样系统会拒绝调用和运行这些可执行代码，导致软件运行失败。

发明内容

本发明的目的在于提出一种支持软件在线升级的程序白名单管理方法及系统，以克服现有技术中存在的上述不足。

为实现上述技术目的，本发明的技术方案是这样实现的：

一种支持软件在线升级的程序白名单管理方法，所述方法包括以下步骤：

1)获取新创建文件的相关信息；

2)判断所述新创建文件是否为可执行代码文件，若不是，则系统不进行任何操作，若是，则执行步骤3)；

3)查询所述新创建文件是否在本地程序白名单策略中，若在，系统不进行任何操作，若不在，则执行步骤4)；

4)获取文件创建进程所对应的主程序，根据非遗传类程序清单检查文件创建进程所对应的主程序是否属于非遗传类程序，非遗传类程序是指那些可以调用并运行第三方可执行代码的程序，非遗传类程序不能将其可信属性传递给它们所调用的可执行代码，包括windows系统的explorer.exe、cmd程序、浏览器和FTP，若是，则系统不进行任何操作，若不是，则执行步骤5)；

5)计算新创建文件的程序白名单策略特征值，并将所述特征值插入到本地程序白名单策略中。

进一步的，记录步骤1)至步骤5)，形成相关日志，并按照预定义要求决定是否将新的程序白名单策略提交给指定地点。

进一步的，步骤1)中通过驱动层钩子函数获取新创建文件的相关信息。

一种支持软件在线升级的程序白名单管理系统，所述系统包括：

新文件创建过程监视模块，包括信息获取模块、可执行代码判断模块和本地程序白名单判断模块，所述信息获取模块用于获取新创建文件的相关信息，所述可执行代码判断模块用于判断所述新创建文件是否是可执行代码，若不是，则结束系统进程，若是，则启动本地程序白名单判断模块，所述本地程序白名单判断模块，用于查询所述新创建文件是否在本地程序白名单策略中，若在，则结束系统进程，若不在，则启动文件创建进程分析模块；