[发明专利]基于Linux平台的恶意样本检测收集方法及系统、存储介质、设备

权利要求书

1.一种基于Linux平台的恶意样本检测收集方法，其特征在于，所述方法包括：

内核层模块获取若干路径上的埋点数据；

所述内核层模块对所述埋点数据进行数据处理并判断所述埋点数据是否存在异常情况；

当判断所述埋点数据存在异常情况时，所述内核层模块收集存在异常的所述埋点数据、与异常的所述埋点数据对应的进程可执行程序及对应的路径并上报云端服务器。

2.根据权利要求1所述的方法，其特征在于，内核层模块获取若干路径上的埋点数据，包括：

所述内核层模块结合LSM框架，在所述路径上埋入通过自定义检查判断的埋点，以获取不同类型的所述埋点数据。

3.根据权利要求2所述的方法，其特征在于，所述内核层模块对所述埋点数据进行数据处理并判断所述埋点数据是否存在异常情况，包括：

所述内核层模块对所述埋点数据中的进程进行用户凭证检查时，获取当前所述进程的权限等级，若当前所述进程权限等级为非特权进程，则将所述进程标记为非特权进程；

所述内核层模块获取所述进程进行访问操作或执行所述进程的子进程时的所述标记与当前所述进程的权限等级；若所述标记为非特权进程且所述权限等级为特权等级，则判断所述埋点数据存在异常情况。

4.根据权利要求1所述的方法，其特征在于，所述内核层模块对所述埋点数据进行数据处理并判断所述埋点数据是否存在异常情况，包括：

所述内核层模块结合强制访问控制方案，当所述内核层模块获取到所述埋点数据中的进程对设备节点的非预期访问时，则判断所述埋点数据存在异常情况。

5.根据权利要求1所述的方法，其特征在于，当判断所述埋点数据存在异常情况时，所述内核层模块收集存在异常的所述埋点数据、与异常的所述埋点数据对应的进程可执行程序及对应的路径并上报云端服务器，包括：

所述内核层模块将收集的存在异常的所述埋点数据、与异常的所述埋点数据对应的进程可执行程序及对应的路径输出至用户态进程，所述用户态进程通过proc文件系统监测所述内核层模块输出的数据信息并上报所述云端服务器。

6.一种基于Linux平台的恶意样本检测收集系统，其特征在于，包括：

获取模块，所述获取模块被配置用于内核层模块获取若干路径上的埋点数据；

判断模块，所述判断模块被配置用于所述内核层模块对所述埋点数据进行数据处理并判断所述埋点数据是否存在异常情况；

收集模块，所述收集模块被配置用于当判断所述埋点数据存在异常情况时，所述内核层模块收集存在异常的所述埋点数据、与异常的所述埋点数据对应的进程可执行程序及对应的路径并上报云端服务器。

7.根据权利要求6所述的系统，其特征在于，所述获取模块包括结合单元；

所述结合单元被配置用于所述内核层模块结合LSM框架，在所述路径上埋入通过自定义检查判断的埋点，以获取不同类型的所述埋点数据。

8.根据权利要求6所述的系统，其特征在于，所述判断模块包括第一判断单元；

所述第一判断单元被配置用于所述内核层模块对所述埋点数据中的进程进行用户凭证检查时，获取当前所述进程的权限等级，若当前所述进程权限等级为非特权进程，则将所述进程标记为非特权进程；

所述内核层模块获取所述进程进行访问操作或执行所述进程的子进程时的所述标记与当前所述进程的权限等级；若所述标记为非特权进程且所述权限等级为特权等级，则判断所述埋点数据存在异常情况。

9.根据权利要求6所述的系统，其特征在于，所述判断模块还包括第二判断单元；

所述第二判断单元被配置用于所述内核层模块结合强制访问控制方案，当所述内核层模块获取到所述埋点数据中的进程对设备节点的非预期访问时，则判断所述埋点数据存在异常情况。