基于进程行为的平台完整性状态信息度量方法转让专利
申请号 : CN201810118751.1
文献号 : CN108399338B
文献日 : 2022-03-18
发明人 : 庄毅 , 易平 , 顾晶晶 , 汪自旺
申请人 : 南京航空航天大学
摘要 :
权利要求 :
1.一种基于进程行为的平台完整性状态信息度量方法，其特征在于，包括以下步骤：步骤1、截获应用层的度量请求，在文件以及应用程序代码执行前或映射到内存之前，使用LSM提供的安全钩子函数以及自定义的钩子函数提取度量对象；
步骤2、分析程序运行状态及执行参数，利用内核维护的打开文件表提取与度量对象相关的进程行为信息；
步骤3、计算度量对象及其索引节点的摘要值，进行行为特征判定，根据程序执行的行为信息判断是否将度量结果添加到度量列表中，同时将与度量对象相关的进程行为信息收集在度量列表中，其步骤如下：
步骤3‑1、根据步骤1中提取的度量对象，计算度量对象索引节点I的哈希值Hash(I)、文件C的哈希值Hash(C)；
步骤3‑2、在内存中维护的度量列表中查找度量对象的文件路径及文件名，判断对象是否为首次度量，若为首次度量则跳转到步骤4；
步骤3‑3、根据步骤2中收集的度量对象相关的进程行为信息，判断度量对象索引节点中记录的时间戳以及脏标志位是否发生更新，若文件或其索引节点发生了更新则跳转到步骤4；
步骤3‑4、匹配进程的访问模式与文件的访问权限，若匹配失败，则结束此次度量，同时记录下访问控制失效的进程PID；
步骤3‑5、将度量对象及索引节点的哈希值同度量列表中查找到的记录进行比对，如果两个值均未发生变化，则结束此次度量；
步骤4、将度量列表中的内容通过聚合计算扩展至TPM的平台配置寄存器中，同时生成度量报告发送至应用层的日志审计机制；
步骤5、根据度量列表、度量日志及TPM中存储的度量结果校验计算平台的完整性状态信息，并给出完整性响应，其步骤为：
步骤5‑1、使用步骤2～步骤4的方法收集的平台完整性状态信息，同时收集与被度量对象相关的元信息，与本地度量列表中存储的完整性状态信息进行对比，校验度量对象的完整性属性，方法如下：
在一次度量事件中，对于系统中加载执行的任意实体x，即将执行操作i_mode，将此次度量事件记录为{Hash(C),Hash(I),Fp,Ts,Mask,PID,DW,i_mode}，度量列表中记录的完整性状态信息为{Hash(C)′,Hash(I)′,Fp′,Ts′,Mask′,PID′,DW′,i_mode′}，当同时满足下列条件时，度量对象x处于可信状态：
1)
2)如果Ts.mtime≤Ts′.mtime，此时DW＜Ts.mtime且Hash(C)′＝Hash(C)
3)如果Ts.ctime≤Ts′.ctime，此时Hash(I)′＝Hash(I)
4)PCRold＝Hash(Hash(C)′||Hash(C)...||Hash(I)′||Hash(I))；
步骤5‑2、通过重新计算度量列表的有序聚合，与TPM中签名的指定平台配置寄存器的值比对，从而进一步校验度量列表的完整性，并给出完整性响应。
2.如权利要求1所述的基于进程行为的平台完整性状态信息度量方法，其特征在于，步骤1中，使用LSM提供的安全钩子函数以及自定义钩子函数提取度量对象的方法，具体如下：步骤1‑1、使用sysfs文件系统的接口接收的文件描述符，用户空间应用程序通过向/sys/security/measure写入请求来发出度量请求；
步骤1‑2、利用LSM提供的安全钩子函数以及自定义的钩子函数，接收文件指针作为参数，在文件以及应用程序代码执行前或映射到内存之前提取度量对象；所述自定义的钩子函数是指函数MODULE_CHECK()，其在内核初始化时通过initcall()函数注册到内核中。
3.如权利要求1所述的基于进程行为的平台完整性状态信息度量方法，其特征在于，步骤2中，提取与度量对象相关的进程行为信息的方法为：在内核维护的进程级的文件描述符表、系统级的打开文件描述符表及文件系统的i‑node表中，通过提取与度量对象相关的进程行为信息，并对应到相应的结构体数组中，需要提取进程行为的特征信息为下列六元组：BM＝{Fp,Ts,Mask,PID,DW,i_mode}其中，Fp表示度量对象的完整路径及文件名，文件类型是动态链接库、可执行脚本或文本文件；Ts表示度量对象索引节点中记录的三个时间戳：文件最近读取时间atime、文件最近修改时间mtime、文件索引节点修改时间ctime；Mask表示进程访问度量对象的权限；PID表示进程标识符；DW表示度量对象的脏标志位，指示上一次写入硬盘的时间；i_mode表示度量对象的访问模式，包括读、写、执行；即在度量事件中，进程的行为信息由其访问文件的完整路径和文件名、时间戳、访问模式、进程标识符、访问权限、脏标记位组成。
4.如权利要求1所述的基于进程行为的平台完整性状态信息度量方法，其特征在于，步骤4中将度量列表中的内容扩展存储至TPM的平台配置寄存器的计算方法为：PCRnew＝Hash(PCRold||Hash(C)||Hash(I))其中，PCRnew表示扩展操作的结果会存储在PCR中，PCRold表示度量事件发生以前存储在PCR中的值，“||”表示连接操作；
度量列表中需要扩展的内容包括文件及其索引节点哈希值。
说明书 :
基于进程行为的平台完整性状态信息度量方法
技术领域
背景技术
终端，严重威胁到计算机安全。如2017年6月始席卷全球150多个国家的Petya勒索病毒及其
变种，这种类型的病毒能通过邮件、程序木马等形式传播，利用携带漏洞的DOC文档进行攻
击。中毒后，病毒会修改系统的MBR引导扇区，加密NTFS分区、阻止机器正常启动。当电脑重
启后，恶意代码会在Windows操作系统之前执行，同时执行加密等恶意操作。因此，保证网络
环境中计算平台的安全性越来越重要，用于证明平台在基于网络的系统中通信的程序是安
全可靠的，已逐渐成为信息安全领域的研究热点。为了确保整个计算机系统的可信赖性，
TCG提出了可信计算技术，力图为网络环境中的计算平台提供端点可信性证明。可信计算技
术在硬件层引入可信平台模块(trusted platform module，TPM)，即可信根。从信任根出
发，通过信任链传递机制，逐级度量验证系统组件，可保证整个系统的可信性，进一步通过
远程证明机制验证终端在网络环境中的可信性。
从系统启动到应用程序级别的度量。宾夕法尼亚州立大学的Jaeger等人定义了策略规约完
整性度量框架，它不仅能够度量系统上运行的代码及配置文件，同时可分析进程之间存在
的信息流。因此，PRIMA能够提供更严格、复杂的完整性保证。但PRIMA需进行复杂的分析来
检测和消除CW‑Lite模型中的违法行为，然而它们的方案可能仅适用于具有特定配置的计
算平台。IBM的Sassu等人针对PRIMA的局限性，通过常规文件捕获与记录进程间得交互，提
出了一种增强型IMA架构。尽管只提供较PRIMA粗粒度的完整性度量，但是增强型IMA的易用
性使得那些希望使用远程证明来检测网络攻击的应用可避免执行复杂的SELinux策略分
析。
整性，对于远程证明机制中的完整度量框架，IMA及其增强体系架构虽然能够收集和验证系
统的完整性状态，但其同时存在校验粒度粗，度量冗余度高和效率低下的问题。因此，需要
提供一种细粒度、高效的平台完整性状态信息度量方法。但是现有技术中尚无相关描述。
发明内容
钩子函数是指函数MODULE_CHECK()，其在内核初始化时通过initcall()函数注册到内核
中。
进程行为信息，并对应到相应的结构体数组中，需要提取进程行为的特征信息为下列六元
组：
时间atime、文件最近修改时间mtime、文件索引节点修改时间ctime；Mask表示进程访问度
量对象的权限；PID表示进程标识符；DW表示度量对象的脏标志位，指示上一次写入硬盘的
时间；i_mode表示度量对象的访问模式，包括读、写、执行；即在度量事件中，进程的行为信
息由其访问文件的完整路径和文件名、时间戳、访问模式、进程标识符、访问权限、脏标记位
组成。
息收集在度量列表中；
到步骤4；
配置寄存器的计算方法为：
的完整性属性；校验度量对象的完整性属性的方法如下：
完整性状态信息为{Hash(C)′,Hash(I)′,Fp′,Ts′,Mask′,PID′,DW′,i_mode′}，当同时满足
下列条件时，度量对象x处于可信状态：
通过扩展操作存储于硬件保护的PCR中，提供了实时、细粒度的平台完整性状态信息收集方
案；2)本发明的方法收集度量对象相关的进程行为信息，对度量过程进行优化，可提高平台
完整性度量效率；3)本发明的方法可实时地监控系统运行状况，通过评估平台的完整性状
态检测是否被远程或本地进程恶意地篡改。
附图说明
具体实施方式
进一步详细说明。
符。利用LSM提供的安全钩子函数以及自定义的钩子函数MODULE_CHECK()，其在内核初始
化时通过initcall()函数注册到内核中。同时以度量对象的文件描述符作为参数，在文件
以及应用程序代码执行前或映射到内存之前提取度量对象，度量对象包括系统的二进制可
执行程序、动态链接库、文本文件、可加载内核模块、脚本文件。
表，提取与度量对象相关的进程行为信息，并对应到相应的结构体数组中，需要提取的进程
行为的特征信息为下列六元组：
取时间atime、文件最近修改时间mtime、文件索引节点修改时间ctime。Mask表示进程访问
度量对象的权限。PID表示进程标识符。DW表示度量对象的脏标志位，指示上一次写入硬盘
的时间。i_mode表示度量对象的访问模式，包括读、写、执行。即在度量事件中，进程的行为
信息由其访问文件的完整路径和文件名、时间戳、访问模式、进程标识符、访问权限、脏标志
位组成。
息收集在度量列表中，行为特征判定的步骤如下：
到步骤4；
的平台配置寄存器的计算方法为：
计算存储于TPM中。
性属性。
{Hash(C),Hash(I),Fp,Ts,Mask,PID,DW,i_mode}，度量列表中记录的完整性状态信息为
{Hash(C)′,Hash(I)′,Fp′,Ts′,Mask′,PID′,DW′,i_mode′}，当同时满足下列条件时，度量
对象x处于可信状态：
进程行为信息，对度量过程进行优化，可提高平台完整性度量效率。
核，作为完整性度量模块运行，并以此作为一个实施例，嵌入内核的完整性度量框架如图2
所示。
中，第二列“9202b189adcee134057a807610df110e5a71e36f”记录对象索引节点的哈希值，
第三列“sha1:5b9cf6a1cf1f454f53d15812b06b5691d9471809”记录对象内容的sha‑1哈希
值，第四列“/usr/lib/python3/dist‑packages/UpdateManager/Core/__pycache__/
MetaRelease.Cpython‑35.pyc”记录文件的完整访问路径及文件名，第五列记录了访问对
象的进程pid“2229”，最后一列记录了对象的mtime“2017‑08‑08 16:26:27.527113098+
0800”。计算度量列表的度量结果为“1d8d532d463c9f8c205d0df7787669a85f93e260”，同时
通过扩展操作存储至PCR的10号寄存器中。记录了十次实验中系统在运行阶段扩展度量列
表的操作次数，本发明方法与IMA模块的性能对比结果如图4所示，本文实现的方法执行的
度量操作次数较IMA明显的减少，度量效率较IMA均有一定幅度的提升。由于减少了将度量
结果扩展到PCR的操作次数，节省了度量的时间成本，通过减少冗余度量缩小了内存中ML的
表容量。