[发明专利]主动防御系统

权利要求书

1.一种主动防御系统，包括客户端及服务器端，其中：

所述客户端包括：

跟踪单元，用于对预置接口产生的远程过程调用协议RPC调用进行跟踪；

拦截单元，用于当用户权限的进程通过预置接口发起调用系统服务进程的请求时，拦截所述请求，从所述请求中提取源文件的路径，并建立所述源文件的路径与被调用的系统服务进程之间的关联；

来源确定单元，用于如果有操作行为触发基于主机的入侵防御系统HIPS规则、并根据进程链追溯到发起所述操作行为的进程是被调用的系统服务进程，则将所述源文件的路径确定为所述操作行为的来源；

特征提取单元，用于提取所述源文件的特征；

上传单元，用于将所述源文件的特征上传到服务器端；

所述服务器端包括：

危险等级确定单元，用于根据所述源文件的特征判定所述源文件的危险等级，并返回给客户端；

所述客户端还包括：

处理单元，用于根据所述服务器端返回的所述源文件的危险等级，执行主机入侵防御处理。

2.根据权利要求1所述的系统，其中，所述源文件包括MSI安装包文件，所述跟踪单元包括：

第一跟踪子单元，用于对接口IMSIServer::DoInstallRemote的RPC调用进行跟踪，以便获取所述MSI安装包文件在系统中的保存路径。

3.根据权利要求1所述的系统，其中，所述源文件包括MSI安装包文件中的动态链接库DLL文件，所述跟踪单元包括：

第二跟踪子单元，用于对接口CMsiCustomAction::PrepareDLLCustomAction的RPC调用进行跟踪，以便获取所述MSI安装包文件中的DLL文件的DLL路径。

4.根据权利要求1至3任一项所述的系统，其中，所述处理单元包括：

操作拦截子单元，用于根据所述源文件的危险等级，对所述操作行为执行拦截。

5.根据权利要求1至3任一项所述的系统，其中，所述处理单元包括：

风险提示子单元，用于根据所述源文件的危险等级，向用户进行风险提示，并将所述源文件的信息提示给用户。

6.一种主动防御系统，包括客户端及服务器端，其中：

所述客户端包括：

跟踪单元，用于对预置接口产生的远程过程调用协议RPC调用进行跟踪；

拦截单元，用于当用户权限的进程通过预置接口发起调用系统服务进程的请求时，拦截所述请求，从所述请求中提取源文件的路径，并建立所述源文件的路径与被调用的系统服务进程之间的关联；

来源确定单元，用于如果有操作行为触发基于主机的入侵防御系统HIPS规则、并根据进程链追溯到发起所述操作行为的进程是被调用的系统服务进程，则将所述源文件的路径确定为所述操作行为的来源；

上传单元，用于将所述源文件上传到服务器端；

所述服务器端包括：

特征提取单元，用于提取所述源文件的特征；

危险等级确定单元，用于根据所述源文件的特征判定所述源文件的危险等级，并返回给客户端；

所述客户端还包括：

处理单元，用于根据所述服务器端返回的所述源文件的危险等级，执行主机入侵防御处理。

7.根据权利要求6所述的系统，其中，所述源文件包括MSI安装包文件，所述跟踪单元包括：

第一跟踪子单元，用于对接口IMSIServer::DoInstallRemote的RPC调用进行跟踪，以便获取所述MSI安装包文件在系统中的保存路径。

8.根据权利要求6所述的系统，其中，所述源文件包括MSI安装包文件中的动态链接库DLL文件，所述跟踪单元包括：

第二跟踪子单元，用于对接口CMsiCustomAction::PrepareDLLCustomAction的RPC调用进行跟踪，以便获取所述MSI安装包文件中的DLL文件的DLL路径。

9.根据权利要求6至8任一项所述的系统，其中，所述处理单元包括：

操作拦截子单元，用于根据所述源文件的危险等级，对所述操作行为执行拦截。

10.根据权利要求6至8任一项所述的系统，其中，所述处理单元包括：

风险提示子单元，用于根据所述源文件的危险等级，向用户进行风险提示，并将所述源文件的信息提示给用户。