[发明专利]一种内核级rootkit检测处理方法及系统

摘要

本发明公开一种内核级rootkit检测处理方法及系统。其方法为：A、预先在内核模块链表当前节点保存新加载模块节点签名，并将当前节点签名保存在新加载模块节点中；B、新模块加载，判断新加载模块节点中保存的签名与当前节点签名是否匹配，判断当前节点中保存的签名与新加载模块节点签名是否匹配，若其中之一不匹配，则执行步骤C；C、将当前运行的系统调用表与备份系统调用表比对，若不一致，则生成发现隐藏模块报告。本发明通过设置新加载模块与链表当前节点签名的互相匹配机制来检测rootkit入侵，并通过系统调用表与备份基准文件的对比来进一步确认报告，从而提高检测结果的可靠性，同时设置系统恢复方法，保证了系统的安全运行。

主权项

一种内核级rootkit检测处理方法，其特征在于，所述方法包括以下步骤：A、预先在内核模块链表当前节点中保存新加载模块节点生成的签名，并将内核模块链表当前节点生成的签名保存在所述新加载模块节点中；B、按照加载命令执行所述新模块的加载，判断该新加载模块节点中保存的签名与内核模块链表当前节点生成的签名是否匹配，以及判断内核模块链表当前节点中保存的签名与该新加载模块节点生成的签名是否匹配，若新加载模块节点中保存的签名与所述当前节点生成的签名不匹配和/或当前节点中保存的签名与该新加载模块节点生成的签名不匹配，则执行步骤C；C、将系统当前运行的系统调用表与预先备份的系统调用表进行比对，若比对不一致，则系统生成发现rootkit隐藏模块报告。