CN102508768B - 应用程序监控方法及装置 - Google Patents

Abstract

本申请提供了一种应用程序监控方法，包括以下步骤：获取当前运行的应用程序的实时行为；查询应用程序规范行为库中该应用程序对应的规范行为集合中是否包含所述应用程序的实时行为，若否，则确定该应用程序出现异常。本申请还提供了一种实现前述方法的应用程序监控装置。本申请的应用程序监控方法及装置，能够解决应用程序因为出现异常而被植入恶意程序的问题。

Description

应用程序监控方法及装置

技术领域

本申请涉及软件行为监控技术领域，特别是涉及一种应用程序监控方法及装置。

背景技术

操作***中不同的应用程序具有不同的功能，但是在某些情况下，因为应用程序自身的缺陷或者漏洞，使得这些应用程序容易被恶意攻击或利用进而给使用者带来危害。例如，某些精心构造的攻击型文档会基于对.DOC、.XLS等文件格式漏洞的利用，进而造成预览这些文档的用户被植入恶意程序。借助MetaSploit(一种国际上流行的骇客自动化攻击辅助框架)，攻击者可以轻易的给此类文档整合下载者(Downloader)功能，从行为上来说，只要使用者预览这类文档，文档便会利用诸如MS11-006漏洞远程下载可执行程序、运行木马，这就给安装这些应用程序的终端带来了危害。

目前常见的做法是通过杀毒软件等对终端中的文件进行实时查杀的方法来查找恶意程序或者木马，然后删除或者隔离查找到的恶意程序或者木马的方式来保护终端的安全，但是，此种方法的前提是应用程序已经出现异常，导致终端已经被植入恶意程序或木马，而无法在恶意程序或木马被植入前就进行拦截。

发明内容

本申请所要解决的技术问题是提供一种应用程序监控方法及装置，能够解决应用程序因为出现异常而被植入恶意程序的问题。

为了解决上述问题，本申请公开了一种应用程序监控方法，包括以下步骤：

获取当前运行的应用程序的实时行为；

查询应用程序规范行为库中该应用程序对应的规范行为集合中是否包含所述应用程序的实时行为，若否，则确定该应用程序出现异常。

进一步地，在确定该应用程序出现异常之后还包括：

对确定出现异常的应用程序进行处理。

进一步地，所述处理包括：

自动阻断该应用程序的实时行为；或

通过弹窗提示用户。

进一步地，在确定该程序出现异常之前还包括：

若应用程序的实时行为不属于规范行为集合，则判断该实时行为是否属于预定的例外行为，若否，则确定该应用程序出现异常。

进一步地，所述方法还包括：

预先搜集各应用程序的规范行为并存储在服务器或者客户端中作为应用程序规范行为库。

进一步地，所述各应用程序的规范行为通过人工分析、软件二进制逆向分析、软件行为记录并基于神经网络等算法的训练和学习等方式确定。

进一步地，所述获取当前运行的应用程序的实时行为包括：

在当前运行的应用程序有新行为产生时获取；或

根据预定的时间获取。

为了解决上述问题，本申请还提供了一种应用程序监控方法，包括以下步骤：

获取当前运行的应用程序的实时行为；

确定该应用程序所属类别；

查询应用程序规范行为库中该应用程序所属类别对应的规范行为集合中是否包含所述应用程序的实时行为，若否，则确定该应用程序出现异常。

为了解决上述问题，本申请还提供了一种应用程序监控装置，包括：

应用程序实时行为获取模块，用于获取当前运行的应用程序的实时行为；

查询模块，用于查询应用程序规范行为库中该应用程序对应的规范行为集合中是否包含所述应用程序的实时行为，若否，则确定该应用程序出现异常。

进一步地，所述装置还包括：

处理模块，用于对确定出现异常的应用程序进行处理，所述处理包括自动阻断该实时行为或通过弹窗提示用户。

进一步地，所述装置还包括：

例外行为判断模块，用于若应用程序的实时行为不属于规范行为集合，则判断该实时行为是否属于预定的例外行为，若否，则确定该应用程序出现异常。

进一步地，所述装置还包括：

规范行为确定模块，用于预先搜集各应用程序的规范行为并存储在服务器或者客户端中作为应用程序规范行为库。

进一步地，所述规范行为确定模块包括：

分析单元，用于通过人工分析、软件二进制逆向分析、软件行为记录并基于神经网络等算法的训练和学习等方式确定应用程序的规范行为。

为了解决上述问题，本申请还提供了一种应用程序监控装置，包括：

应用程序实时行为获取模块，用于获取当前运行的应用程序的实时行为；

应用程序类别确定模块，用于确定所述应用程序所属类别；

查询模块，用于查询应用程序规范行为库中该应用程序所属类别对应的规范行为集合中是否包含所述应用程序的实时行为，若否，则确定该应用程序出现异常。

与现有技术相比，本申请具有以下优点：

本申请通过预先对各应用程序可能出现的行为进行分析确定出应用程序的规范行为库，在实时判断时将获取的实时行为与规范行为进行比较便可以确定该实时行为是否存在潜在的危险，从而确定应用程序是否出现异常。此种方式可以及时的发现应用程序异常，避免应用程序因为自身缺陷等原因而被植入恶意程序给终端带来危害。

进一步地，在分析确定应用程序的规范行为时，可以对应用程序按照实现功能进行分类，因为具有相同功能的应用程序其在运行时产生的行为会基本相同，通过分析确定的规范行为为某一类应用程序的通用规范行为，在新的应用程序出现时只需要根据其功能确定其所属的类别便可以获取到其通用规范行为，而无需重新为某一新的应用程序进行分析，简化了处理流程。

附图说明

图1是本申请的应用程序监控方法实施例一的流程图；

图2是本申请的应用程序监控方法实施例二的流程图；

图3是本申请的应用程序监控方法实施例三的流程图；

图4是本申请的应用程序监控装置实施例一的结构示意图；

图5是本申请的应用程序监控装置实施例二的结构示意图；

图6是本申请的应用程序监控装置实施例三的结构示意图。

具体实施方式

为使本申请的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本申请作进一步详细的说明。

参照图1，示出本申请的应用程序监控方法实施例一，包括以下步骤：

步骤101，获取当前运行的应用程序的实时行为。

每一个应用程序在运行时会因为需要实现不同的功能而产生不同的行为。例如，对于文字处理类软件，在运行时会根据操作者的不同操作而出现文件创建、读取、写入、删除、关闭等行为。通过对应用程序实时状态进行分析可以获取到应用程序的实时行为。

应用程序实时行为的获取可以在有新行为出现的时候获取，也可以预定获取时间间隔，当应用程序运行后，每间隔一定的时间获取一次。

应用程序的实时行为的获取可以按照操作***模式分为在操作***用户态挂接例程截获相关进程的调用以及在操作***内核态挂接例程截获相关进程的调用两大类。以Windows平台杀毒软件主动防御功能常用的内核态例程挂接(Kernel Mode Routine Hooking)为例，微软公司在内核里设计了一张***服务派发表(SSDT，System Service Dispatch Table)，***服务派发表里的例程涵盖了：文件操作、注册表操作、进程操作、线程操作、内存操作、对象操作等功能。替换这张表里的处理例程可以简单的达到截获***调用的目的，而上述调用过程是区分进程的，这就意味着进程的行为可以通过SSDT劫持(SSDT Hooking)来获取。

除了SSDT劫持的方法之外，微软官方文档中还推荐使用回调(Callback)的方法来实现行为监控。回调机制是微软操作***内核集成的事件通知解决方案，在某些事件发生时(如进程创建时、线程创建时、模块加载时)，***会主动通知回调的注册者，这套机制也可以帮助我们获取进程的行为。

步骤102，查询应用程序规范行为库中该应用程序对应的规范行为集合中是否包含所述应用程序的实时行为，若否，则确定该应用程序出现异常。

其中，应用程序规范行为库可以预先搜集各应用程序的规范行为并存储在服务器或者客户端中。应用程序的规范行为包括应用程序正常运行时可能出现的所有行为，这些规范行为可以通过分析，如人工分析、软件二进制逆向分析、软件行为记录并基于神经网络等算法的训练和学习等方式确定。

当获取到应用程序的实时行为时，首先会从应用程序规范行为库中查找到该应用程序，再找到该应用程序对应的规范行为集合，比较该实时行为是否属于规范行为集合，若不属于，则说明该实时行为可能会有潜在的危险，从而确定应用程序出现异常。

参照图2，示出本申请的应用程序监控方法实施例二，包括以下步骤：

步骤201，获取当前运行的应用程序的实时行为。

步骤202，确定该应用程序所属类别。

应用程序类别可以根据其所实现的功能来分类，实现相同功能的应用程序分为一类。例如，文字处理类、音频、视频播放类、网络浏览器类等等。

步骤203，查询应用程序规范行为库中该应用程序所属类别对应的规范行为集合中是否包含所述应用程序的实时行为，若否，则确定该应用程序出现异常。

因为随着应用程序逐渐增多，对于某些不太通用或者常见的应用程序来说，在分析应用程序的规范行为时会有一定的难度，如果逐一分析所有应用程序的规范行为会耗费较多的时间，且并不太现实。另外，对于具有相同功能的应用程序来说，其规范行为也都会基本相同，为此，在分析应用程序的规范行为时，可以预先对应用程序进行分类，确定一类应用程序的通用规范行为。

例如，文字处理类的应用程序，其通用的规范行为都可以包括文件的创建、读取、写入、映射、关闭、删除；注册表键值的创建、读取、修改、枚举、关闭、删除等等。任何一个文字处理类的应用程序的实时行为都可以与这些通用规范行为进行比较。以Microsoft Office Word为例，因为其属于文字处理类应用程序，那么其规范行为则是文字处理类所确定的规范行为，当获取到其产生如下行为：(1)创建子进程、(2)通过网络下载可执行程序并运行(即所谓的Download and Execute过程)、(3)注入到其它进程空间、(4)加载驱动模块到内核态空间、(5)直接操作物理内存等等。如果某Microsoft Office Word进程触及了上述行为，那么就可以认为Microsoft Office Word出现异常。同样的，对于音频、视频播放类应用程序也可以采用前述相同的方式来处理。

通过对同类应用程序采用相同的规范行为的方式，当有新的应用程序出现时，只要获取到该应用程序的类别，就可以找到该应用程序的规范行为，避免单独为每个应用程序都总结分析规范行为，从而简化了处理流程，具有较好的适应性和通用性。

优选地，参照图3，示出本申请的应用程序监控方法实施例三，在前述实施例一和实施例二的基础上还可以包括以下步骤：

步骤301，对确定出现异常的应用程序进行处理。

其中处理包括：自动阻断该实时行为或者通过弹窗提示用户，让用户手动选择阻断的方式，并通过日志记录的方式记录异常，以便于后续分析优化该应用程序。

优选地，在前述实施例一至三的基础上，若应用程序的实时行为不属于应用程序规范行为库所预定的规范行为集合，那么，还需要判断该实时行为是否属于预定的例外行为，若否，则再确定该应用程序出现异常。

例外行为为对规范行为的补充，因为对于有些应用程序来说，其可能产生规范行为以外的某些行为，而这些行为在一般情况下为危险行为，但是在特殊情况下，其属于正常的。

例如，对于Microsoft Office Word，或者整个文件处理类的应用程序来说，当其应用程序有新版本出现时需要更新，那么可能启动升级程序(Update.exe)，而这是一个创建子进程的行为，根据其规范行为可以确定，创建子进程是不被允许的。此时，则可以通过例外行为的方式，例如，引入“行为白列表”机制，在校验确认的前提下默认放行上述行为。例外行为可以作为应用程序规范行为库的补充，以实现智能判断，减少用户打扰。

参照图4，示出本申请的一种应用程序监控装置实施例一，包括应用程序实时行为获取模块10和查询模块20。

应用程序实时行为获取模块10，用于获取当前运行的应用程序的实时行为。

查询模块20，用于查询应用程序规范行为库中该应用程序对应的规范行为集合中是否包含所述应用程序的实时行为，若否，则确定该应用程序出现异常。

参照图5，示出本申请的应用程序监控装置实施例二，包括应用程序实时行为获取模块10、应用程序类别确定模块30和查询模块20。

应用程序实时行为获取模块10，用于获取当前运行的应用程序的实时行为。

应用程序类别确定模块30，用于确定所述应用程序所属类别。其中，应用程序的类别根据功能划分，实现相同功能的应用程序为一类，如，文字处理类、音频、视频播放类、网络浏览器类等等。

查询模块20，用于查询应用程序规范行为库中该应用程序所属类别对应的规范行为集合中是否包含所述应用程序的实时行为，若否，则确定该应用程序出现异常。

参照图6，示出本申请的应用程序监控装置实施例三，进一步地，该装置还包括处理模块50，用于对确定出现异常的应用程序进行处理。其中，处理包括自动阻断该实时行为或通过弹窗提示用户。

优选地，该装置还包括例外行为判断模块，用于若应用程序的实时行为不属于规范行为集合，则判断该实时行为是否属于预定的例外行为，若否，则确定该应用程序出现异常。例外行为指不属于应用程序通常行为，但是在某些情况下可能会出现的行为，如文字处理类软件的升级机制，需要创建子进程。

优选地，该装置还包括规范行为确定模块，用于预先搜集各应用程序的规范行为并存储在服务器或者客户端中作为应用程序规范行为库。该规范行为确定模块包括分析单元，用于通过人工分析、软件二进制逆向分析、软件行为记录并基于神经网络等算法的训练和学习等方式确定应用程序的规范行为。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于装置实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上对本申请所提供的应用程序监控方法及装置进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (10)

1.一种应用程序监控方法，其特征在于，包括以下步骤：

获取当前运行的应用程序的实时行为；

确定该应用程序所属类别，其中，所述应用程序的类别按照实现的功能划分；

从应用程序规范行为库中查找该应用程序所属类别，再查找所述应用程序所属类别对应的规范行为集合，比较所述应用程序的实时行为是否属于所述规范行为集合，若否，则确定该应用程序出现异常；

其中，在确定该程序出现异常之前还包括：若应用程序的实时行为不属于规范行为集合，则判断该实时行为是否属于预定的例外行为，若否，则确定该应用程序出现异常。

2.如权利要求1所述的应用程序监控方法，其特征在于，在确定该应用程序出现异常之后还包括：

对确定出现异常的应用程序进行处理。

3.如权利要求2所述的应用程序监控方法，其特征在于，所述处理包括：

自动阻断该应用程序的实时行为；或

通过弹窗提示用户。

4.如权利要求1所述的应用程序监控方法，其特征在于，所述方法还包括：

预先搜集各应用程序的规范行为并存储在服务器或者客户端中作为应用程序规范行为库。

5.如权利要求4所述的应用程序监控方法，其特征在于，所述各应用程序的规范行为通过人工分析、软件二进制逆向分析、软件行为记录并基于神经网络等算法的训练和学习等方式确定。

6.如权利要求1所述的应用程序监控方法，其特征在于，所述获取当前运行的应用程序的实时行为包括：

在当前运行的应用程序有新行为产生时获取；或

根据预定的时间获取。

7.一种应用程序监控装置，其特征在于，包括：

应用程序实时行为获取模块，用于获取当前运行的应用程序的实时行为；

应用程序类别确定模块，用于确定所述应用程序所属类别，其中，所述应用程序的类别按照实现的功能划分；

查询模块，用于从应用程序规范行为库中查找该应用程序所属类别，在查找所述应用程序所属类别对应的规范行为集合，比较所述应用程序的实时行为是否属于所述规范行为集合，若否，则确定该应用程序出现异常；

还包括：例外行为判断模块，用于若应用程序的实时行为不属于规范行为集合，则判断该实时行为是否属于预定的例外行为，若否，则确定该应用程序出现异常。

8.如权利要求7所述的应用程序监控装置，其特征在于，所述装置还包括：

处理模块，用于对确定出现异常的应用程序进行处理，所述处理包括自动阻断该实时行为或通过弹窗提示用户。

9.如权利要求7所述的应用程序监控装置，其特征在于，所述装置还包括：

规范行为确定模块，用于预先搜集各应用程序的规范行为并存储在服务器或者客户端中作为应用程序规范行为库。

10.如权利要求9所述的应用程序监控装置，其特征在于，所述规范行为确定模块包括：

分析单元，用于通过人工分析、软件二进制逆向分析、软件行为记录并基于神经网络等算法的训练和学习等方式确定应用程序的规范行为。