[发明专利]识别进程的恶意运行

权利要求书

1.至少一种非暂时性计算机可读介质，其包括一个或多个指令，所述指令在由至少一个处理器执行时，使得所述至少一个处理器执行以下操作：

拦截进程；

确定所述进程涉及特权资源或特权操作；

存储所述进程的运行剖析；

分析所述进程的每个栈帧中涉及的代码，以确定恶意活动以及所述进程是否涉及特权资源或特权操作，其中当每个栈帧展开时分析所述每个栈帧；

确定每个栈帧中涉及的代码的起源；

确定每个栈帧中涉及的代码是否是可信的，其中，如果代码驻留在可写的存储器中或者如果代码驻留在作为栈帧的一部分的存储器中，则所述代码是不可信的；

基于对代码的可信的确定，持久化在多个会话之间的数据，其中持久化在多个会话之间的数据包括在存储器的受保护区域中将至少一部分数据持久化；以及

基于确定所述代码不可信而触发安全违规。

2.根据权利要求1所述的至少一种非暂时性计算机可读介质，进一步包括一个或多个指令，当由至少一个处理器执行时，所述指令还使得所述至少一个处理器执行以下操作：

确定对于所述进程所涉及的所述代码是否由可信源签名。

3.根据权利要求1所述的至少一种非暂时性计算机可读介质，进一步包括一个或多个指令，当由至少一个处理器执行时，所述指令还使得所述至少一个处理器执行以下操作：

确定所述代码是否匹配可信的可运行进程的散列。

4.根据权利要求1所述的至少一种非暂时性计算机可读介质，进一步包括一个或多个指令，当由至少一个处理器执行时，所述指令还使得所述至少一个处理器执行以下操作

确定所述进程的存储器中映像是否匹配所述进程的磁盘上映像。

5.根据权利要求1所述的至少一种非暂时性计算机可读介质，进一步包括一个或多个指令，当由至少一个处理器执行时，所述指令还使得所述至少一个处理器执行以下操作：

将行为事件与存储器中行为事件进行比较，以确定所述进程是否示出篡改的证据。

6.一种用于识别进程的恶意运行设备，包括：

存储器；

硬件处理器，其配置成：

拦截进程；

确定所述进程涉及特权资源或特权操作；

存储所述进程的运行剖析；

分析所述进程的每个栈帧中涉及的代码，以确定恶意活动以及所述进程是否涉及特权资源或特权操作，其中当每个栈帧展开时分析所述每个栈帧；

确定每个栈帧中涉及的代码的起源；

确定每个栈帧中涉及的代码是否是可信的，

其中，如果代码驻留在可写的存储器中或者如果代码驻留在作为栈帧的一部分的存储器中，则所述代码是不可信的；

基于对代码的可信的确定，持久化在多个会话之间的数据，其中持久化在多个会话之间的数据包括在存储器的受保护区域中将至少一部分数据持久化；以及

基于确定所述代码不可信而触发安全违规。

7.根据权利要求6所述的设备，其中，所述处理器还配置成：

确定对于所述进程所涉及的所述代码是否由可信源签名。

8.根据权利要求6所述的设备，其中，所述处理器还配置成：

确定所述进程是否匹配可信的可运行进程的散列。

9.根据权利要求6所述的设备，其中，所述处理器还配置成：

确定所述进程的存储器中映像是否匹配所述进程的磁盘上映像。

10.根据权利要求6所述的设备，其中，所述硬件处理器还配置成：

将行为事件与存储器中行为事件进行比较，以确定所述进程是否示出篡改的证据。