[发明专利]权限提升行为的检测方法、装置及可读存储介质

说明书

本公开涉及Linux系统进程权限提升行为的检测方法、Linux系统进程权限提升行为的检测装置及计算机可读存储介质，其中Linux系统进程权限提升行为的检测方法，包括：检测第一进程的信息；基于所述第一进程的信息，检测与所述第一进程关联的第二进程的信息；基于所述第二进程的信息判断是否存在进程权限提升行为。通过本公开的各实施例，能够准确识别所有进程权限提升行为，从权限提升原理层面进行检测。

技术领域

本公开涉及电子设备安全技术领域，具体涉及一种Linux系统进程权限提升行为的检测方法、Linux系统进程权限提升行为的检测装置及计算机可读存储介质。

背景技术

现有技术中，针对Linux主机上的是否被入侵的判断方法主要以特征码扫描文件的形式来检测是否存在木马程序，但是近年来出现的新型攻击手段，以及高级黑客层出不穷的免杀技术，使得传统针对文件内容特征的检测方法，无法满足用户的网络安全的需求。

发明内容

本公开意图提供一种Linux系统进程权限提升行为的检测方法、Linux系统进程权限提升行为的检测装置及计算机可读存储介质，能够准确识别所有进程权限提升行为，从权限提升原理层面进行检测。

根据本公开的方案之一，提供一种Linux系统进程权限提升行为的检测方法，包括：

检测第一进程的信息；

基于所述第一进程的信息，检测与所述第一进程关联的第二进程的信息；

基于所述第二进程的信息判断是否存在进程权限提升行为。

在一些实施例中，其中，所述检测第一进程的信息，包括：

响应于事件的发生，实时监控产生的第一进程的信息。

在一些实施例中，其中，所述响应于事件的发生，包括以下至少之一：

响应于针对Linux系统漏洞的攻击事件；

响应于与权限有关的会话事件；

响应于应用的运行事件。

在一些实施例中，其中，

所述实时监控产生的第一进程的信息，包括：实时监控由事件产生的子进程的用户权限id；

所述基于所述第一进程的信息，检测与所述第一进程关联的第二进程的信息，包括：如果子进程的用户权限id为0，则检测父进程的用户权限id是否为0；

所述基于所述第二进程的信息判断是否存在进程权限提升行为，包括：如果父进程的用户权限id不是0，则判断存在进程权限提升行为。

在一些实施例中，其中，所述用户权限id包括：

实际用户权限id或者有效用户权限id。

根据本公开的方案之一，提供一种Linux系统进程权限提升行为的检测装置，包括：

第一检测模块，其配置为检测第一进程的信息；

第二检测模块，其配置为检测与所述第一进程关联的第二进程的信息；

第三检测模块，其配置为基于所述第二进程的信息判断是否存在进程权限提升行为。

在一些实施例中，其中，

所述第一检测模块进一步配置为响应于事件的发生，实时监控产生的第一进程的信息。

在一些实施例中，其中，

所述第一检测模块进一步配置为实时监控由事件产生的子进程的用户权限id；