[发明专利]入侵检测方法及装置

摘要

本发明公开了一种入侵检测方法及装置，属于计算机安全技术领域。该方法包括：获取系统调用链表；从系统调用链表中导出系统调用指针；对系统调用指针用指纹算法进行处理，得到系统调用指针指纹数据；将当前获取的系统调用指针指纹数据与本端预存的系统调用指针指纹数据进行比对；当确定当前获取的系统调用指针指纹数据与本端预存的系统调用指针指纹数据不一致时，确定本端发生入侵事件。该装置包括：第一获取模块、导出模块、指纹算法处理模块、第一比对模块和第一确定模块。本发明将当前指纹数据和预存的系统调用指针指纹数据进行比对，以确定是否有入侵事件发生，可以检测到对系统内核态的入侵事件，实现了对系统全面的保护，提高了系统可靠性。

主权项

一种入侵检测方法，其特征在于，所述方法包括：获取系统调用链表；从所述系统调用链表中导出系统调用指针；对所述系统调用指针用指纹算法进行处理，得到系统调用指针指纹数据；将当前获取的所述系统调用指针指纹数据与本端预存的系统调用指针指纹数据进行比对；当确定当前获取的所述系统调用指针指纹数据与本端预存的系统调用指针指纹数据不一致时，确定本端发生入侵事件；所述获取系统调用链表包括：获取系统调用处理程序入口；根据所述系统调用处理程序入口，获取所述系统调用链表指针，所述系统调用链表指针指向所述系统调用链表的首地址；根据所述系统调用链表指针，获取系统调用链表；所述获取系统调用处理程序入口包括：执行SIDT汇编指令，将IDTR寄存器中的中断描述符表的基地址和长度值复制到内存中；根据所述中断描述符表的基地址和长度值获取中断描述符表；将所述中断描述符表存储到内存中；根据中断描述符表，获取系统调用对应的门描述符；根据所述门描述符，转到系统调用处理程序入口。