[发明专利]基于内核驱动的软件核心文件内生防护方法及装置

权利要求书

1.一种基于内核驱动的软件核心文件内生防护方法，其特征在于，包括：

基于内核驱动捕获内核中发生的与文件和进程相关的事件；

根据与所述事件对应的事件动作和事件对象，确定与所述事件对应的安全防护处理。

2.根据权利要求1所述的基于内核驱动的软件核心文件内生防护方法，其特征在于，所述基于内核驱动捕获内核中发生的与文件和进程相关的事件，具体包括：

基于系统SYSCALL调用表中的函数行为捕获内核中发生的与文件和进程相关的事件。

3.根据权利要求1所述的基于内核驱动的软件核心文件内生防护方法，其特征在于，所述根据与所述事件对应的事件动作和事件对象，确定与所述事件对应的安全防护处理，具体包括：

根据与所述事件对应的事件动作确定所述事件动作是否与预设需要进行安全防护的事件动作匹配，若是，则根据与所述事件对应的事件对象确定与所述事件对应的安全防护处理。

4.根据权利要求3所述的基于内核驱动的软件核心文件内生防护方法，其特征在于，所述根据与所述事件对应的事件对象确定与所述事件对应的安全防护处理，具体包括：

根据与所述事件对应的事件对象确定所述事件对象是否与预设需要进行安全防护的文件或进程匹配，若是，则根据匹配的文件或进程确定相应的安全防护处理。

5.根据权利要求4所述的基于内核驱动的软件核心文件内生防护方法，其特征在于，所述根据与所述事件对应的事件对象确定所述事件对象是否与预设需要进行安全防护的文件或进程匹配，具体包括：

根据所述事件获取所述事件的操作参数；

根据所述操作参数判断所述操作参数是否与预设需要进行安全防护的文件或进程的名称或标识匹配。

6.根据权利要求4所述的基于内核驱动的软件核心文件内生防护方法，其特征在于，所述根据匹配的文件或进程确定相应的安全防护处理，具体包括：

根据匹配的文件或进程对应的重要等级，进行相应级别的安全防护处理。

7.根据权利要求6所述的基于内核驱动的软件核心文件内生防护方法，其特征在于，所述根据匹配的文件或进程对应的重要等级，进行相应级别的安全防护处理，具体包括：

若匹配的文件或进程对应的重要等级为第一等级，则进行阻断和告警处理；

若匹配的文件或进程对应的重要等级为第二等级，则进行阻断处理；

若匹配的文件或进程对应的重要等级为第三等级，则进行告警处理；

其中，第一等级的重要性＞第二等级的重要性＞第三等级的重要性。

8.一种基于内核驱动的软件核心文件内生防护装置，其特征在于，包括：

捕获模块，用于基于内核驱动捕获内核中发生的与文件和进程相关的事件；

防护模块，用于根据与所述事件对应的事件动作和事件对象，确定与所述事件对应的安全防护处理。

9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至7任一项所述基于内核驱动的软件核心文件内生防护方法的步骤。

10.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1至7任一项所述基于内核驱动的软件核心文件内生防护方法的步骤。