CN109740341B - 一种程序白名单策略融合方法及融合*** - Google Patents

Abstract

本发明涉及一种程序白名单策略融合方法及融合***，该程序白名单策略融合方法包括：接收多个可信第三方机构发送的第三方程序白名单策略；根据程序白名单策略合并模型对本地程序白名单策略和多个第三方程序白名单策略进行融合，生成融合程序白名单策略，发送至主机。本发明的程序白名单策略融合方法及融合***对本地程序白名单策略和多个第三方程序白名单策略进行融合，以最大程度地覆盖用户可能用到的软件程序，并保证最好的策略时效性。

Description

一种程序白名单策略融合方法及融合***

技术领域

本发明涉及计算机安全技术领域，尤其涉及一种程序白名单策略融合方法及融合***。

背景技术

程序白名单安全控制机制依据程序白名单策略对主机中的程序安装、调用和运行进行控制，只有在程序白名单策略中的程序才可以被正常安装、调用和运行。程序白名单安全控制机制能够很好地保证主机运行安全。

程序白名单策略一般基于程序的特征(如文件hash值等)生成，它是程序白名单安全控制机制的核心。程序白名单策略对可信软件的覆盖范围越大，更新越及时，用户的使用体验就会越好，反之，用户就会经常遇到软件安装和运行被拦截的困惑，最终影响到用户使用程序白名单安全控制机制的意愿。

接收来自可信第三方机构提供的程序白名单策略可以有效提高程序白名单策略对可信软件的覆盖范围，同时也能增进和改善程序白名单策略的时效性。一般来说，可信第三方机构越多，程序白名单策略对可信软件的覆盖就会越全面、越及时，用户的体验就会越好。

因此，提供一种程序白名单策略融合方法及融合***。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的程序白名单策略融合方法及融合***，通过融合多个可信第三方机构提供的程序白名单策略，扩大程序白名单策略对可信软件的覆盖范围，改善程序白名单的时效性，提升用户使用程序白名单安全控制机制的实际操作体验。

根据本发明的一个方面，提供一种程序白名单策略融合方法，包括以下步骤：

接收多个可信第三方机构发送的第三方程序白名单策略；

根据程序白名单策略合并模型对本地程序白名单策略和多个第三方程序白名单策略进行融合，生成融合程序白名单策略，发送至主机。

进一步地，上述程序白名单策略融合方法，还包括：在接收第三方程序白名单策略之后对第三方程序白名单策略进行数字签名认证。

进一步地，本地程序白名单策略和第三方程序白名单策略均包括：软件名称、软件的唯一特征值、特征提取算法标识、策略生成时间、策略标识、数字签名。

进一步地，程序白名单策略合并模型包括筛选模型和去重计算模型，

根据程序白名单策略合并模型对本地程序白名单策略和多个第三方程序白名单策略进行融合，具体实现如下：基于软件来源、软件行为和软件代码先对本地程序白名单策略和第三方程序白名单策略中的软件进行筛选，再基于软件的唯一特征值和可信第三方机构的唯一身份标识对本地程序白名单策略和多个第三方程序白名单策略中的软件进行去重，在去重过程中按照策略标识对本地程序白名单策略和多个第三方程序白名单策略的策略标识进行融合处理。

进一步地，上述程序白名单策略融合方法，还包括：根据软件的唯一特征值对融合程序白名单策略中的软件进行排序。

进一步地，上述程序白名单策略融合方法，还包括：在融合程序白名单策略发送至主机之前，对融合程序白名单策略进行数字签名。

进一步地，上述程序白名单策略融合方法，还包括：可信第三方机构信息与第三方程序白名单策略进行关联。

进一步地，通过以下方式接收多个第三方程序白名单策略：

自动下载可信第三方机构发布的第三方程序白名单策略、接收可信第三方机构推送的第三方程序白名单策略、接收可信第三方机构通过其它介质发送的程序白名单策略。

根据本发明的另一方面，提供程序白名单策略融合***，包括：

第三方程序白名单策略接收模块，用于接收多个可信第三方机构发送的第三方程序白名单策略；

融合程序白名单策略生成模块，用于根据程序白名单策略合并模型对本地程序白名单策略和多个第三方程序白名单策略进行融合，生成融合程序白名单策略，发送至主机。

根据本发明的又一方面，提供一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如上述方法的步骤。

本发明与现有技术相比具有以下的优点：

1.本发明的程序白名单策略融合方法及融合***对本地程序白名单策略和多个第三方程序白名单策略进行融合，以最大程度地覆盖用户可能用到的软件程序，并保证最好的策略时效性；

2.本发明的程序白名单策略融合方法及融合***根据程序白名单策略合并模型对本地程序白名单策略和多个第三方程序白名单策略进行合并，然后根据本地安全管理要求从中选择具体策略，能够灵活地满足和实现本地安全管控目标；

3.本发明的程序白名单策略融合方法及融合***能够对融合程序白名单策略进行排序，极大地减少程序白名单策略在使用过程中的策略查询时间消耗；

4.本发明的程序白名单策略融合方法及融合***对融合程序白名单策略进行数字签名认证，保证策略下发过程中的真实性和完整性。

附图说明

以下结合附图和实施例对本发明作进一步说明。

图1是本发明的程序白名单策略融合方法流程图；

图2是本发明的程序白名单策略融合***框图；

图3是本发明的程序白名单策略融合***的应用示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本发明的说明书中使用的措辞“包括”是指存在所述特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。

本技术领域技术人员可以理解，除非另外定义，这里使用的所有术语(包括技术术语和科学术语)，具有与本发明所属领域中的普通技术人员的一般理解相同的意义。还应该理解的是，诸如通用字典中定义的那些术语，应该被理解为具有与现有技术的上下文中的意义一致的意义，并且除非被特定定义，否则不会用理想化或过于正式的含义来解释。

图1是本发明的程序白名单策略融合方法流程图，参见图1，本发明提供的程序白名单策略融合方法，包括以下步骤：

步骤S11、接收多个可信第三方机构发送的第三方程序白名单策略；步骤S15、根据程序白名单策略合并模型对本地程序白名单策略和多个第三方程序白名单策略进行融合，生成融合程序白名单策略，发送至主机。

本发明从多个可信第三方机构获取程序白名单策略，并选择其中全部或部分作为本地程序白名单策略，签名后下发到本地主机，作为其中的程序白名单安全控制机制策略依据。

本发明的程序白名单策略融合方法对本地程序白名单策略和多个第三方程序白名单策略进行融合，以最大程度地覆盖用户可能用到的软件程序，并保证最好的策略时效性。

参见图1，上述程序白名单策略融合方法，还包括：在接收第三方程序白名单策略之后，步骤S12、对第三方程序白名单策略进行数字签名认证。另外，可信第三方机构在发送第三方程序白名单策略之前对第三方程序白名单策略进行数字签名。

进一步地，本地程序白名单策略和第三方程序白名单策略均包括：软件名称、软件的唯一特征值、特征提取算法标识、策略生成时间、策略标识、数字签名。其中，策略标识包括但不限于软件的来源标识、类型标识、权限标识等。策略标识包括策略来源标识、策略类型标识、策略权限标识等。

具体地，第三方程序白名单策略表示来源于可信第三方机构的程序白名单策略，包含但不限于以下内容：软件名称、软件的唯一特征值及其特征提取算法标识例如hash值和SHA-1等、策略生成时间、策略标识、第三方机构数字签名等。本地程序白名单策略应该包含但不限于以下内容：软件名称、软件的唯一特征值及其特征提取算法标识例如hash值和SHA-1等、策略生成时间、策略标识、程序白名单策略融合***数字签名等。

进一步地，程序白名单策略合并模型包括筛选模型和去重计算模型，

根据程序白名单策略合并模型对本地程序白名单策略和多个第三方程序白名单策略进行融合，具体实现如下：基于软件来源、软件行为和软件代码先对本地程序白名单策略和第三方程序白名单策略中的软件进行筛选，再基于软件的唯一特征值和可信第三方机构的唯一身份标识对本地程序白名单策略和多个第三方程序白名单策略中的软件进行去重，在去重过程中按照策略标识对本地程序白名单策略和多个第三方程序白名单策略的策略标识进行融合处理，例如策略来源标识要按照集合并运算得到新的策略来源标识。

程序白名单策略融合***为每个可信第三方机构建立可以辨识的唯一身份标识，并基于此身份标识，对第三方程序白名单策略进行具有不可篡改和否认的标记，比如要求可信第三方机构对其程序白名单策略进行数字签名。

筛选模型采用基于软件来源、软件行为和软件代码的程序可信行为分析方法，对软件进行可信性分析。例如，对能证明由可信厂商开发和提供的软件，例如软件属性中有该厂商的数字签名，并且该厂商被广泛评价为市场声誉较高，可以认为该软件可信；例如，通过多个厂商的杀毒软件，对软件进行病毒检测，如果一致认为没有恶意代码，也可以认为该软件可信；还可以采用其它软件行为动态分析工具、基于代码的静态程序分析工具等。以上方法可以组合使用。

本发明的程序白名单策略融合方法根据程序白名单策略合并模型对本地程序白名单策略和多个第三方程序白名单策略进行合并，然后根据本地安全管理要求从中选择具体策略，能够灵活地满足和实现本地安全管控目标。

参见图1，上述程序白名单策略融合方法，还包括：步骤S13、根据软件的唯一特征值对融合程序白名单策略中的软件进行排序。例如基于软件的hash值，通过二分法插值或冒泡排序法对融合程序白名单策略中的各个策略项即软件进行排序。

本发明的程序白名单策略融合方法能够对融合程序白名单策略进行排序，极大地减少程序白名单策略在使用过程中的策略查询时间消耗。

参见图1，上述程序白名单策略融合方法，还包括：在融合程序白名单策略发送至主机之前，S14、对融合程序白名单策略进行数字签名。本发明对融合程序白名单策略进行数字签名，以确保程序白名单策略的真实性和完整性。具体地，在融合程序白名单策略在下发前，采用公私钥机制，利用程序白名单策略融合***的私钥对融合程序白名单策略进行数字签名；主机接收到融合程序白名单策略后，通过数字签名验证融合程序白名单策略的真实性和完整性，有效防止融合程序白名单策略下发、传输和应用过程中的假冒、篡改等风险。

本发明的程序白名单策略融合方法对融合程序白名单策略进行数字签名认证，保证策略下发过程中的真实性和完整性。

进一步地，上述程序白名单策略融合方法，还包括：可信第三方机构信息与第三方程序白名单策略进行关联，能够记录程序白名单策略的具体来源，即来自哪一个可信第三方机构，使得程序白名单策略融合***能够对第三方程序白名单策略进行溯源，判断这些策略来源于哪个可信第三方机构。

进一步地，通过以下方式接收多个第三方程序白名单策略：

自动下载可信第三方机构发布的第三方程序白名单策略、接收可信第三方机构推送的第三方程序白名单策略、接收可信第三方机构通过其它介质发送的程序白名单策略。

对于方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明实施例并不受所描述的动作顺序的限制，因为依据本发明实施例，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作并不一定是本发明实施例所必须的。

图2是本发明的程序白名单策略融合***框图，参见图2，本发明还提供一种程序白名单策略融合***，包括：

第三方程序白名单策略接收模块，用于接收多个第三方程序白名单策略；

融合程序白名单策略生成模块，用于根据程序白名单策略合并模型对本地程序白名单策略和多个第三方程序白名单策略进行融合，生成融合程序白名单策略，发送至主机。

本发明的程序白名单策略融合***对本地程序白名单策略和多个第三方程序白名单策略进行融合，以最大程度地覆盖用户可能用到的软件程序，并保证最好的策略时效性。

图3是本发明的程序白名单策略融合***的应用示意图，参见图3，程序白名单策略融合***从多个可信第三方机构获取第三方程序白名单策略，并验证这些策略的真实性和完整性；将接收到的第三方程序白名单策略保存到程序白名单策略融合***中的第三方程序白名单策略库中；程序白名单策略融合***根据本地安全管理要求，采用文件hash值，例如SHA-1作为程序的唯一特征，对本地可信软件生成相应的程序白名单策略，并保存在本地程序白名单策略库中；本地安全管理模块中的程序白名单管理模块根据本地安全管理策略，从第三方程序白名单策略库和本地程序白名单策略库中选择适当的程序白名单策略；程序白名单策略融合***将选择后的程序白名单策略进行排序，然后加上数字签名，下发到本地主机。

将接收到的第三方程序白名单策略保存到程序白名单策略融合***中的第三方程序白名单策略库中，具体实现如下：程序白名单策略融合***提供软件可信验证工具，软件可信验证方法包括但不限于：1、基于软件来源的验证；2、基于代码分析的验证；3、基于软件行为的验证等。程序白名单策略融合***支持自动化的或人工方式对指定软件进行可信验证，只有被验证为可信软件后，程序白名单策略融合***才会为该软件生成程序白名单策略，并将该策略存入第三方程序白名单策略库中。程序白名单策略融合***能够采用自动化或人工方法，提供程序白名单策略生成工具对验证为可信的软件生成相应的程序白名单策略。

本发明支持本地采用多种方法(如基于软件来源、代码和行为等)验证软件是否可信，保证本地程序白名单策略本身的正确性；程序白名单策略融合***可以采用自动化或人工方法，验证特定软件是否可信。

本地程序白名单管理模块能够根据本地安全管理策略，对第三方程序白名单策略库和本地程序白名单策略库进行策略选择、合并和去重后，生成待下发的程序白名单策略。

程序白名单策略融合***能够根据本地安全管理策略生成本地程序白名单策略库，这一特征可以支持其它可信第三方机构没有发现或不支持的软件，比如本地专用应用软件等。

本地安全管理策略根据不同主机的不同需求而变化，例如，本地安全管理策略可以采用宽松管理模式，允许主机安装和运行被认为没有恶意代码的软件，那么程序白名单策略融合***中的程序白名单管理模块就从第三方程序白名单策略库和本地程序白名单策略库中选择全部的策略，排序并加上数字签名后，下发到主机；本地安全管理策略还可以采用严格管理模式，只允许主机安装和运行与本地业务应用相关的软件，那么程序白名单策略融合***中的程序白名单管理模块就只从本地程序白名单策略库中选择相应软件的程序白名单策略，排序并加上数字签名后，下发到主机。

对于***实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

此外，本发明实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如上所述方法的步骤。

本实施例中，所述基于程序白名单策略融合***集成的模块/单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实现上述实施例方法中的全部或部分流程，也可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一计算机可读存储介质中，该计算机程序在被处理器执行时，可实现上述各个方法实施例的步骤。其中，所述计算机程序包括计算机程序代码，所述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。所述计算机可读介质可以包括：能够携带所述计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、电载波信号、电信信号以及软件分发介质等。需要说明的是，所述计算机可读介质包含的内容可以根据司法管辖区内立法和专利实践的要求进行适当的增减，例如在某些司法管辖区，根据立法和专利实践，计算机可读介质不包括电载波信号和电信信号。

本发明实施例提供的计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述各个程序白名单策略融合方法实施例中的步骤，例如图1所示的步骤S11、接收多个可信第三方机构发送的第三方程序白名单策略；步骤S12、对第三方程序白名单策略进行数字签名认证；步骤S13、根据软件的唯一特征值对融合程序白名单策略中的软件进行排序；步骤S14、对融合程序白名单策略进行数字签名；步骤S15、根据程序白名单策略合并模型对本地程序白名单策略和多个第三方程序白名单策略进行融合，生成融合程序白名单策略，发送至主机。或者，所述处理器执行所述计算机程序时实现上述各基于程序白名单策略融合***实施例中各模块/单元的功能，例如图2所示的第三方程序白名单策略接收模块、融合程序白名单策略生成模块。

示例性的，所述计算机程序可以被分割成一个或多个模块/单元，所述一个或者多个模块/单元被存储在所述存储器中，并由所述处理器执行，以完成本发明。所述一个或多个模块/单元可以是能够完成特定功能的一系列计算机程序指令段，该指令段用于描述所述计算机程序在所述基于程序白名单策略融合***中的执行过程。例如，所述计算机程序可以被分割成第三方程序白名单策略接收模块、融合程序白名单策略生成模块。

所述计算机设备可以是桌上型计算机、笔记本、掌上电脑及云端服务器等计算设备。所述计算机设备可包括，但不仅限于，处理器、存储器。

所述处理器可以是中央处理单元(Central Processing Unit，CPU)，还可以是其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等，所述处理器是所述计算机设备的控制中心，利用各种接口和线路连接整个计算机设备的各个部分。

所述存储器可用于存储所述计算机程序和/或模块，所述处理器通过运行或执行存储在所述存储器内的计算机程序和/或模块，以及调用存储在存储器内的数据，实现所述计算机设备的各种功能。所述存储器可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作***、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等；存储数据区可存储根据手机的使用所创建的数据(比如音频数据、电话本等)等。此外，存储器可以包括高速随机存取存储器，还可以包括非易失性存储器，例如硬盘、内存、插接式硬盘，智能存储卡(Smart Media Card,SMC)，安全数字(Secure Digital,SD)卡，闪存卡(Flash Card)、至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。

本领域的技术人员能够理解，尽管在此的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (9)

1.一种程序白名单策略融合方法，其特征在于，包括以下步骤：

接收多个可信第三方机构发送的第三方程序白名单策略，并选择其中全部或部分作为本地程序白名单策略，所述第三方程序白名单策略包括第三方机构数字签名，所述本地程序白名单策略包括：程序白名单策略融合***数字签名；

根据程序白名单策略合并模型对本地程序白名单策略和多个第三方程序白名单策略进行融合，生成融合程序白名单策略，发送至主机；

根据程序白名单策略合并模型对本地程序白名单策略和多个第三方程序白名单策略进行融合,包括：

基于软件来源、软件行为和软件代码先对本地程序白名单策略和第三方程序白名单策略中的软件进行筛选；

再基于软件的唯一特征值和可信第三方机构的唯一身份标识对本地程序白名单策略和多个第三方程序白名单策略中的软件进行去重，在去重过程中按照策略标识对本地程序白名单策略和多个第三方程序白名单策略的策略标识进行融合处理，策略标识按照集合并运算得到新的策略标识。

2.根据权利要求1所述的程序白名单策略融合方法，其特征在于，还包括：在接收第三方程序白名单策略之后对第三方程序白名单策略进行数字签名认证。

3.根据权利要求1所述的程序白名单策略融合方法，其特征在于，本地程序白名单策略和第三方程序白名单策略均包括：软件名称、软件的唯一特征值、特征提取算法标识、策略生成时间、策略标识、数字签名。

4.根据权利要求1所述的程序白名单策略融合方法，其特征在于，在融合程序白名单策略发送至主机之前，还包括：

根据软件的唯一特征值对融合程序白名单策略中的软件进行排序。

5.根据权利要求4所述的程序白名单策略融合方法，其特征在于，还包括：在融合程序白名单策略发送至主机之前，对融合程序白名单策略进行数字签名。

6.根据权利要求5所述的程序白名单策略融合方法，其特征在于，还包括：可信第三方机构信息与第三方程序白名单策略进行关联。

7.根据权利要求6所述的程序白名单策略融合方法，其特征在于，通过以下方式接收多个第三方程序白名单策略：

自动下载可信第三方机构发布的第三方程序白名单策略、接收可信第三方机构推送的第三方程序白名单策略、接收可信第三方机构通过其它介质发送的程序白名单策略。

8.一种实现权利要求1所述融合方法的程序白名单策略融合***，包括：

第三方程序白名单策略接收模块，用于接收多个可信第三方机构发送的第三方程序白名单策略，并选择其中全部或部分作为本地程序白名单策略，所述第三方程序白名单策略包括第三方机构数字签名，所述本地程序白名单策略包括：程序白名单策略融合***数字签名；

融合程序白名单策略生成模块，用于根据程序白名单策略合并模型对本地程序白名单策略和多个第三方程序白名单策略进行融合，生成融合程序白名单策略，发送至主机；

其中，根据程序白名单策略合并模型对本地程序白名单策略和多个第三方程序白名单策略进行融合,包括：

基于软件来源、软件行为和软件代码先对本地程序白名单策略和第三方程序白名单策略中的软件进行筛选；

再基于软件的唯一特征值和可信第三方机构的唯一身份标识对本地程序白名单策略和多个第三方程序白名单策略中的软件进行去重，在去重过程中按照策略标识对本地程序白名单策略和多个第三方程序白名单策略的策略标识进行融合处理，策略标识按照集合并运算得到新的策略标识。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-7任一项所述方法的步骤。

Images