CN103366115A - 安全性检测方法和装置 - Google Patents

Abstract

本发明提供一种安全性检测方法和装置，通过当监测到访问受控资源的目标操作时，判断执行目标操作的应用程序访问受控资源的目标流程是否为应用程序安全访问受控资源的流程，检测目标操作是否存在安全性威胁，由于当第一应用程序通过调用第二应用程序，从而访问该第一应用程序的访问能力列表之外的受控资源时，通过判断出第二应用程序访问受控资源的目标流程不是该应用程序安全访问受控资源的流程，从而检测出第二应用程序访问受控资源的目标操作存在安全性威胁。

Description

安全性检测方法和装置

技术领域

本发明涉及软件检测技术，尤其涉及一种安全性检测方法和装置。

背景技术

随着智能移动终端的广泛使用，智能移动终端可安装应用程序的特点，在满足用户对智能移动终端的功能多样性的要求同时，智能移动终端存储数据的安全性问题，和智能移动终端的账户资金安全性问题，也日益突出。现有的安全性检测方法，通常通过预设应用程序的访问能力列表，该访问能力列表指示已授权该应用程序进行访问的受控资源。判断该应用程序所正在访问的受控资源是否在该访问能力列表中，以检测该应用程序正在执行的访问受控资源的操作是否存在安全性威胁。若应用程序访问的受控资源不存在于该访问能力列表中，则检测出该应用程序正在执行的访问受控资源的操作存在安全性威胁。

但是当第一应用程序通过调用第二应用程序，从而访问该第一应用程序的访问能力列表之外的受控资源时，由于该受控资源在第二应用程序的访问能力列表中，现有的安全性检测方法不能判断出该第二应用程序正在执行的访问受控资源的操作存在安全性威胁。

发明内容

本发明提供一种安全性检测方法和装置，用于解决当第一应用程序通过调用第二应用程序，从而访问该第一应用程序的访问能力列表之外的受控资源时，不能检测出第二应用程序访问受控资源的操作是否存在安全性威胁的技术问题。

本发明的一个方面是提供一种安全性检测方法，包括：

当监测到访问受控资源的目标操作时，判断执行所述目标操作的应用程序访问所述受控资源的目标流程是否为所述应用程序安全访问所述受控资源的流程；所述流程包括至少一个以执行所述目标操作为目的的操作步骤；

若所述应用程序访问所述受控资源的目标流程不为所述应用程序安全访问所述受控资源的流程，则确定所述目标操作存在安全性威胁。

本发明的另一个方面是提供一种安全性检测装置，包括：

判断模块，用于当监测到访问受控资源的目标操作时，判断执行所述目标操作的应用程序访问所述受控资源的目标流程是否为所述应用程序安全访问所述受控资源的流程；所述流程包括至少一个以执行所述目标操作为目的的操作步骤；

确定模块，用于若所述应用程序访问所述受控资源的目标流程不为所述应用程序安全访问所述受控资源的流程，则确定所述目标操作存在安全性威胁。

本发明提供的安全性检测方法和装置，通过当监测到访问受控资源的目标操作时，判断执行所述目标操作的应用程序访问所述受控资源的目标流程是否为所述应用程序安全访问所述受控资源的流程，检测目标操作是否存在安全性威胁，由于当第一应用程序通过调用第二应用程序，从而访问该第一应用程序的访问能力列表之外的受控资源时，若第二应用程序所执行的目标操作不存在安全性威胁，则不会对第一应用程序通过调用第二应用程序访问受控资源的过程进行隐藏，因而不会缺少特征库中的必要步骤，若第二应用程序所执行的目标操作存在安全性威胁，第一应用程序为了隐藏通过调用第二应用程序访问受控资源这一过程，避免用户识别出第二应用程序正在访问受控资源，因而必然缺少第二应用程序访问受控资源流程中的部分操作步骤，从而通过判断出第二应用程序访问受控资源的目标流程不是第二应用程序安全访问所述受控资源的流程，从而检测出第二应用程序访问受控资源的目标操作存在安全性威胁，避免了第一应用程序非法利用第二应用程序访问受控资源。

附图说明

图1为本发明一实施例提供的安全性检测方法流程示意图；

图2为本发明另一实施例提供的安全性检测方法流程示意图；

图3为本发明一实施例提供的安全性检测装置结构示意图；

图4为本发明另一实施例提供的安全性检测装置结构示意图。

具体实施方式

图1为本发明一实施例提供的安全性检测方法流程示意图，如图1所示，包括：

101、当监测到访问受控资源的目标操作时，判断执行目标操作的应用程序访问上述受控资源的目标流程是否为上述应用程序安全访问上述受控资源的流程。

其中，流程包括至少一个以执行目标操作为目的的操作步骤。

具体的，获取应用程序访问受控资源的目标流程中的操作步骤，将应用程序访问受控资源的目标流程中的操作步骤与特征库中记载的上述应用程序安全访问上述受控资源的必要操作步骤进行比较，若应用程序访问受控资源的目标流程中的操作步骤中，包含上述应用程序安全访问上述受控资源的必要操作步骤，并且应用程序访问受控资源的目标流程中所包含的必要操作步骤的执行顺序与特征库中记载的必要操作步骤的执行顺序相同，则确定应用程序访问受控资源的目标流程为上述应用程序安全访问受控资源的流程；否则，确定应用程序访问受控资源的目标流程不为上述应用程序安全访问上述受控资源的流程。其中，获取的应用程序访问受控资源的目标流程中的操作步骤包括,若监测到的目标操作是应用程序启动后首次访问上述受控资源，则获取启动上述应用程序至监测到的目标操作之间的操作步骤，作为应用程序访问受控资源的目标流程中的操作步骤；若监测到的目标操作不是应用程序启动后首次访问上述受控资源，则将上述应用程序前一次访问上述受控资源至监测到的目标操作之间的操作步骤作为应用程序访问受控资源的目标流程中的操作步骤。

102、若上述应用程序访问上述受控资源的目标流程不为上述应用程序安全访问上述受控资源的流程，则确定目标操作存在安全性威胁。

进一步，101之前还包括，对应用程序安全访问受控资源的流程中的操作步骤进行建模，生成特征库，特征库用于记载应用程序安全访问受控资源的必要操作步骤，以及必要操作步骤的执行顺序。

进一步，102之后还包括，若检测出目标操作存在安全性威胁，提示目标操作异常，和/或请求获取继续运行应用程序或者停止运行应用程序的指示。

本实施例中，通过当监测到访问受控资源的目标操作时，判断执行所述目标操作的应用程序访问所述受控资源的目标流程是否为所述应用程序安全访问所述受控资源的流程，检测目标操作是否存在安全性威胁，由于当第一应用程序通过调用第二应用程序，从而访问该第一应用程序的访问能力列表之外的受控资源时，若第二应用程序所执行的目标操作不存在安全性威胁，则不会对第一应用程序通过调用第二应用程序访问受控资源的过程进行隐藏，因而不会缺少特征库中的必要步骤，若第二应用程序所执行的目标操作存在安全性威胁，第一应用程序为了隐藏通过调用第二应用程序访问受控资源这一过程，避免用户识别出第二应用程序正在访问受控资源，因而必然缺少第二应用程序访问受控资源流程中的部分操作步骤，从而通过判断出第二应用程序访问受控资源的目标流程不是该应用程序安全访问所述受控资源的流程，从而检测出第二应用程序访问受控资源的目标操作存在安全性威胁，避免了第一应用程序非法利用第二应用程序访问受控资源。

图2为本发明另一实施例提供的安全性检测方法流程示意图，如图2所示，包括：

201、生成特征库。

其中，特征库用于记载所述应用程序安全访问所述受控资源的必要操作步骤，以及必要操作步骤的执行顺序。

对应用程序安全访问受控资源的流程中的操作步骤进行建模，生成用于记载所述应用程序安全访问所述受控资源的必要操作步骤，以及必要操作步骤的执行顺序。

例如：应用程序可为短信应用程序，受控资源可为短信发送对象。获取到短信应用程序访问短信发送接口的流程中的操作步骤可包括：启动短信应用程序；显示窗口；生成地址本对象；利用生成的地址本对象读取地址本；关闭地址本对象；生成短信发送对象。进行建模后获得短信应用程序访问短信发送接口的必要步骤依次为：启动短信应用程序；显示窗口；生成地址本对象；利用生成的地址本对象读取地址本；生成短信发送对象。将上述操作步骤及上述操作步骤的执行顺序存储在特征库中。

需要说明的是，特征库中可存储多个应用场景下的应用程序安全访问受控资源的必要步骤。若目标流程包含其中一个应用场景下的应用程序安全访问受控资源的全部必要步骤，并且目标流程中所包含的必要步骤与特征库中上述应用场景下的必要步骤执行顺序相同，则确定目标流程为安全访问受控资源的流程，否则，确定目标流程不为安全访问受控资源的流程。

202、对访问受控资源的应用程序进行监测。

其中，受控资源包括用户数据、本地设备和***程序。应用程序通过受控资源的应用编程接口（Application Programming Interface，API）访问受控资源。

预先建立受控资源列表，受控资源列表包括：受控资源的标识、授权访问该受控资源的API信息。其中，API信息包括：存储API的路径；API的标识，例如：名称和编号；输入参数的个数；输入参数的数据类型；输入参数的长度；输出参数的类型。根据预先建立的受控资源列表，监测是否存在应用程序访问受控资源列表内的受控资源。

例如：在视窗电话（WINDOWS PHONE）8操作***中，短信应用程序进行短信发送时，WINDOWS PHONE8操作***生成短信应用程序的实例（SMSAPP），该实例生成短信对象（ISmsDevice），以发送短信，可对ISmsDevice对象进行监测。当生成ISmsDevice对象时，则判断出存在应用程序访问短信通信接口。进而，根据生成该对象的实例，获知访问该短信通信接口的应用程序为短信应用程序。

203、当监测到执行访问受控资源的目标操作的应用程序时，判断所述应用程序是否为授权访问该受控资源的应用程序，若是则执行204，否则检测出目标操作存在安全性威胁。

当监测到执行访问受控资源的目标操作的应用程序时，获取所述应用程序的API，判断所述应用程序的API是否符合预先建立受控资源列表中授权访问该受控资源的API信息。

204、判断访问受控资源的目标操作是否是所述应用程序启动后首次执行，若是，则执行205，否则，执行206。

根据记录的应用程序所执行的操作，判断访问受控资源的目标操作是否是所述应用程序启动后首次执行。

205、获取启动所述应用程序至所述目标操作之间的操作步骤，作为所述应用程序访问所述受控资源的目标流程中的操作步骤。

206、将所述应用程序前一次访问所述受控资源至所述目标操作之间的操作步骤作为所述应用程序访问所述受控资源的目标流程中的操作步骤。

207、在特征库中查询所述应用程序访问所述受控资源的必要操作。

208、判断目标流程是否为安全访问受控资源的流程，若是，则执行209，否则，执行210。

判断所述应用程序访问所述受控资源的目标流程中的操作步骤是否包含全部的所述必要操作，并且上述必要操作的执行顺序与特征库中记载的顺序相同，若是，则执行209，否则，执行210。

例如：查询到的短信应用程序访问受控资源的必要操作依次为：启动短信应用程序；显示窗口；生成地址本对象；利用生成的地址本对象读取地址本；生成短信发送对象。短信应用程序访问受控资源的步骤包括：启动短信应用程序；显示窗口；生成地址本对象；利用生成的地址本对象读取地址本；关闭地址本对象；生成短信发送对象。判断出短信应用程序访问受控资源的目标流程中的操作步骤包含全部的必要操作，并且上述必要操作的执行顺序与特征库中记载的顺序相同，目标流程为所述应用程序安全访问所述受控资源的流程，目标操作不存在安全性威胁。

例如：在短信应用程序被恶意软件调用的情况下，执行访问受控资源的目标操作，则可获取到短信应用程序访问受控资源的流程中的操作步骤包括：启动短信应用程序；生成短信发送对象。查询到的短信应用程序访问受控资源的必要操作为：显示窗口。则短信应用程序访问受控资源的目标流程中的操作步骤缺少了显示窗口的必要步骤，目标操作存在安全性威胁。

209、确定目标操作不存在安全性威胁，根据监测到的该应用程序访问该受控资源的操作步骤优化特征库。

210、确定目标操作存在安全性威胁，提示目标操作异常，和/或请求获取继续运行所述应用程序或者停止运行所述应用程序的指示。

若检测出目标操作存在安全性威胁，可请求获取继续运行该应用程序或者停止运行该应用程序的指示。若用户确认目标操作不存在安全性威胁，则可根据从用户获取到的继续运行的指示继续运行该应用程序，以完成目标操作。还可将监测到的该应用程序访问该受控资源的步骤添加到特征库中，或对特征库进行优化。

本实施例中，通过当监测到访问受控资源的目标操作时，判断执行所述目标操作的应用程序访问所述受控资源的目标流程是否为所述应用程序安全访问所述受控资源的流程，检测目标操作是否存在安全性威胁，由于当第一应用程序通过调用第二应用程序，从而访问该第一应用程序的访问能力列表之外的受控资源时，第二应用程序访问受控资源的目标流程必然缺少必要操作步骤，则不是该应用程序安全访问所述受控资源的流程，从而检测出第二应用程序访问受控资源的目标操作存在安全性威胁，避免了第一应用程序非法利用第二应用程序访问受控资源。

图3为本发明一实施例提供的安全性检测装置结构示意图，如图3所示，包括：判断模块31和确定模块32。

判断模块31，用于当监测到访问受控资源的目标操作时，判断执行所述目标操作的应用程序访问所述受控资源的目标流程是否为所述应用程序安全访问所述受控资源的流程；所述流程包括至少一个以执行所述目标操作为目的的操作步骤；

确定模块32，与判断模块31连接，用于若所述应用程序访问所述受控资源的目标流程不为所述应用程序安全访问所述受控资源的流程，则确定所述目标操作存在安全性威胁。

本实施例中，通过当判断模块监测到访问受控资源的目标操作时，判断执行所述目标操作的应用程序访问所述受控资源的目标流程是否为所述应用程序安全访问所述受控资源的流程，检测目标操作是否存在安全性威胁，由于当第一应用程序通过调用第二应用程序，从而访问该第一应用程序的访问能力列表之外的受控资源时，若第二应用程序所执行的目标操作不存在安全性威胁，则不会对第一应用程序通过调用第二应用程序访问受控资源的过程进行隐藏，因而不会缺少特征库中的必要步骤，若第二应用程序所执行的目标操作存在安全性威胁，第一应用程序为了隐藏通过调用第二应用程序访问受控资源这一过程，避免用户识别出第二应用程序正在访问受控资源，因而必然缺少第二应用程序访问受控资源流程中的部分操作步骤，从而通过判断出第二应用程序访问受控资源的目标流程不是该应用程序安全访问所述受控资源的流程，从而检测出第二应用程序访问受控资源的目标操作存在安全性威胁，避免了第一应用程序非法利用第二应用程序访问受控资源。

图4为本发明另一实施例提供的安全性检测装置结构示意图，如图4所示，在上一实施例的基础上，本实施例提供的安全性检测装置还包括：生成模块33。

生成模块33，与判断模块31连接，用于对所述应用程序安全访问所述受控资源的流程中的操作步骤进行建模，生成特征库，所述特征库用于记载所述应用程序安全访问所述受控资源的必要操作步骤，以及所述必要操作步骤的执行顺序。

进一步，判断模块31，包括：获取单元311，比较单元312和确定单元313。

获取单元311，用于获取所述应用程序访问所述受控资源的目标流程中的操作步骤。

具体的，获取单元311用于若所述目标操作是所述应用程序启动后首次访问所述受控资源，则获取启动所述应用程序至所述目标操作之间的操作步骤，作为所述应用程序访问所述受控资源的目标流程中的操作步骤；若所述目标操作不是所述应用程序启动后首次访问所述受控资源，则将所述应用程序前一次访问所述受控资源至所述目标操作之间的操作步骤作为所述应用程序访问所述受控资源的目标流程中的操作步骤。

比较单元312，与获取单元311连接，用于将所述应用程序访问所述受控资源的目标流程中的操作步骤，与所述特征库中记载的所述应用程序安全访问所述受控资源的必要操作步骤进行比较；

确定单元313，与比较单元312连接，用于若所述应用程序访问所述受控资源的目标流程中的操作步骤中，包含所述应用程序安全访问所述受控资源的必要操作步骤，并且所述应用程序访问所述受控资源的目标流程中所包含的必要操作步骤的执行顺序与所述特征库中记载的所述必要操作步骤的执行顺序相同，则确定所述应用程序访问所述受控资源的目标流程为所述应用程序安全访问所述受控资源的流程；否则，确定所述应用程序访问所述受控资源的目标流程不为所述应用程序安全访问所述受控资源的流程。

进一步，安全性检测装置还包括：提示模块34。

提示模块34，与确定模块32连接，用于若检测出所述目标操作存在安全性威胁，提示所述目标操作异常，和/或请求获取继续运行所述应用程序或者停止运行所述应用程序的指示。

本实施例中，通过当判断模块监测到访问受控资源的目标操作时，判断执行所述目标操作的应用程序访问所述受控资源的目标流程是否为所述应用程序安全访问所述受控资源的流程，检测目标操作是否存在安全性威胁，由于当第一应用程序通过调用第二应用程序，从而访问该第一应用程序的访问能力列表之外的受控资源时，第二应用程序访问受控资源的目标流程必然缺少必要操作步骤，则不是该应用程序安全访问所述受控资源的流程，从而检测出第二应用程序访问受控资源的目标操作存在安全性威胁，避免了第一应用程序非法利用第二应用程序访问受控资源。

本领域普通技术人员可以理解：实现上述各方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成。前述的程序可以存储于一计算机可读取存储介质中。该程序在执行时，执行包括上述各方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (10)

1.一种安全性检测方法，其特征在于，包括：

当监测到访问受控资源的目标操作时，判断执行所述目标操作的应用程序访问所述受控资源的目标流程是否为所述应用程序安全访问所述受控资源的流程；所述流程包括至少一个以执行所述目标操作为目的的操作步骤；

若所述应用程序访问所述受控资源的目标流程不为所述应用程序安全访问所述受控资源的流程，则确定所述目标操作存在安全性威胁。

2.根据权利要求1所述的安全性检测方法，其特征在于，所述判断执行所述目标操作的应用程序访问所述受控资源的目标流程是否为所述应用程序安全访问所述受控资源的流程之前，还包括：

对所述应用程序安全访问所述受控资源的流程中的操作步骤进行建模，生成特征库，所述特征库用于记载所述应用程序安全访问所述受控资源的必要操作步骤，以及所述必要操作步骤的执行顺序。

3.根据权利要求2所述的安全性检测方法，其特征在于，所述判断所述应用程序访问所述受控资源的目标流程是否为所述应用程序安全访问所述受控资源的流程，包括：

获取所述应用程序访问所述受控资源的目标流程中的操作步骤；

将所述应用程序访问所述受控资源的目标流程中的操作步骤，与所述特征库中记载的所述应用程序安全访问所述受控资源的必要操作步骤进行比较；

若所述应用程序访问所述受控资源的目标流程中的操作步骤中，包含所述应用程序安全访问所述受控资源的必要操作步骤，并且所述应用程序访问所述受控资源的目标流程中所包含的必要操作步骤的执行顺序与所述特征库中记载的所述必要操作步骤的执行顺序相同，则确定所述应用程序访问所述受控资源的目标流程为所述应用程序安全访问所述受控资源的流程；否则，确定所述应用程序访问所述受控资源的目标流程不为所述应用程序安全访问所述受控资源的流程。

4.根据权利要求3所述的安全性检测方法，其特征在于，所述获取所述应用程序访问所述受控资源的目标流程中的操作步骤，包括：

若所述目标操作是所述应用程序启动后首次访问所述受控资源，则获取启动所述应用程序至所述目标操作之间的操作步骤，作为所述应用程序访问所述受控资源的目标流程中的操作步骤；

若所述目标操作不是所述应用程序启动后首次访问所述受控资源，则将所述应用程序前一次访问所述受控资源至所述目标操作之间的操作步骤作为所述应用程序访问所述受控资源的目标流程中的操作步骤。

5.根据权利要求1-4任一项所述的安全性检测方法，其特征在于，还包括：

若检测出所述目标操作存在安全性威胁，提示所述目标操作异常，和/或请求获取继续运行所述应用程序或者停止运行所述应用程序的指示。

6.一种安全性检测装置，其特征在于，包括：

判断模块，用于当监测到访问受控资源的目标操作时，判断执行所述目标操作的应用程序访问所述受控资源的目标流程是否为所述应用程序安全访问所述受控资源的流程；所述流程包括至少一个以执行所述目标操作为目的的操作步骤；

确定模块，用于若所述应用程序访问所述受控资源的目标流程不为所述应用程序安全访问所述受控资源的流程，则确定所述目标操作存在安全性威胁。

7.根据权利要求6所述的安全性检测装置，其特征在于，所述装置还包括：

生成模块，用于对所述应用程序安全访问所述受控资源的流程中的操作步骤进行建模，生成特征库，所述特征库用于记载所述应用程序安全访问所述受控资源的必要操作步骤，以及所述必要操作步骤的执行顺序。

8.根据权利要求6所述的安全性检测装置，其特征在于，所述判断模块，包括：

获取单元，用于获取所述应用程序访问所述受控资源的目标流程中的操作步骤；

比较单元，用于将所述应用程序访问所述受控资源的目标流程中的操作步骤，与所述特征库中记载的所述应用程序安全访问所述受控资源的必要操作步骤进行比较；

确定单元，用于若所述应用程序访问所述受控资源的目标流程中的操作步骤中，包含所述应用程序安全访问所述受控资源的必要操作步骤，并且所述应用程序访问所述受控资源的目标流程中所包含的必要操作步骤的执行顺序与所述特征库中记载的所述必要操作步骤的执行顺序相同，则确定所述应用程序访问所述受控资源的目标流程为所述应用程序安全访问所述受控资源的流程；否则，确定所述应用程序访问所述受控资源的目标流程不为所述应用程序安全访问所述受控资源的流程。

9.根据权利要求8所述的安全性检测装置，其特征在于，

所述获取单元，具体用于若所述目标操作是所述应用程序启动后首次访问所述受控资源，则获取启动所述应用程序至所述目标操作之间的操作步骤，作为所述应用程序访问所述受控资源的目标流程中的操作步骤；若所述目标操作不是所述应用程序启动后首次访问所述受控资源，则将所述应用程序前一次访问所述受控资源至所述目标操作之间的操作步骤作为所述应用程序访问所述受控资源的目标流程中的操作步骤。

10.根据权利要求6-9任一项所述的安全性检测装置，其特征在于，所述装置还包括：

提示模块，用于若检测出所述目标操作存在安全性威胁，提示所述目标操作异常，和/或请求获取继续运行所述应用程序或者停止运行所述应用程序的指示。

Images