[发明专利]一种系统关键文件完整性的监控保护方法及装置

权利要求书

1.一种系统关键文件完整性的监控保护方法，其特征是，包括以下步骤：

应用层启动时更新监控规则；

内核层根据监控规则实时监控系统关键文件的完整性变化；

应用层收集内核层监控保护输出；

应用层更新关键文件的完整性基线。

2.如权利要求1所述的系统关键文件完整性的监控保护方法，其特征是，所述应用层启动时更新监控规则，具体包括：

应用层启动时，根据当前预设配置文件，形成内核层需要的规则文件。

3.如权利要求2所述的系统关键文件完整性的监控保护方法，其特征是，所述内核层根据监控规则实时监控系统关键文件的完整性变化，具体包括：

内核层判断被访问文件是否属于监控规则列表，如果否，执行文件操作；如果是，判断被访问文件是否允许破坏性动作，如果否，拒绝执行文件操作；如果是，执行文件操作。

4.如权利要求3所述的系统关键文件完整性的监控保护方法，其特征是，所述内核层根据监控规则实时监控系统关键文件的完整性变化，还包括：

生成保护日志和监控日志，抛给日志队列；

内核层监控日志队列，将日志信息写入文件系统中。

5.如权利要求4所述的系统关键文件完整性的监控保护方法，其特征是，所述应用层收集内核层监控保护输出，具体包括：

应用层定时在指定目录下扫描内核层的保护日志和监控日志输出；

应用层将保护日志和监控日志输出标准化，并在命令行界面显示。

6.如权利要求5所述的系统关键文件完整性的监控保护方法，其特征是，所述应用层更新关键文件的完整性基线，具体包括：

应用层根据内核层输出日志信息判断关键文件完整性发生变化，应用层重新计算关键文件哈希值，更新关键文件完整性基线。

7.如权利要求6所述的系统关键文件完整性的监控保护方法，其特征是，所述应用层更新关键文件的完整性基线步骤之后，还包括：

应用层判断系统不需要完整性监控和保护时，卸载内核层对应文件。

8.一种系统关键文件完整性的监控保护装置，其特征是，包括：

监控规则更新模块，应用层启动时更新监控规则；

完整性判断模块，内核层根据监控规则实时监控系统关键文件的完整性变化；

日志输出模块，应用层收集内核层监控保护输出；

更新模块，应用层更新关键文件的完整性基线。