科创中国
一种基于进程令牌判断有害程序的方法
发布时间: 2022-11-02
基本信息
合作方式：
技术服务
成果类型：
发明专利
行业领域：
电子信息技术,信息安全技术,计算机及网络技术
成果介绍
随着windows系统不断发展，其自身的安全机制和防护体系进一步完善，普通的攻击活动的范围也越来越窄，出现的频率也越来越低。UAC(user access control)是windows系统中的访问控制机制，严格控制进程访问系统资源的范围。但是在apt(advancedpersistthreat)这种高级攻击中，恶意程序往往会借助0day漏洞篡改进程的token来绕过UAC的限制，从而进行破坏力更强的活动。
由于0day漏洞的未知性，导致其难以提前采取对应的措施进行阻止,通常会被用来攻击高价值目标，成功率往往也更高。通过篡改进程令牌来提升进程权限的手法经常出现在攻击链中，提升权限后会使得恶意程序的威胁放大，导致整个操作系统被控制。在当前主流的windows10,windows11系统中，没有发现应对这类威胁的有效策略。通过0day漏洞利用来篡改进程token进行本地提权，这个操作是非常难以预测和阻止的。因为存在于操作系统组件或者第三方程序的本地提权漏洞利用的方法和攻击点都是未知的，操作系统自身和杀毒软件的防护工作无从下手，这就导致本地提权的发生不可避免。
成果亮点
本发明涉及系统防护技术领域，尤其涉及一种基于进程令牌判断有害程序的方法。进程创建和进程结束的时间端，可统计出在系统中活动过的程序，进而确定后续攻击溯源的范围。监控令牌中还包括当监控到发生了基于令牌的攻击，可进行及时警报。该方法可以有效的监控进程令牌的变化，并根据其变化及时进行判断，从而发现恶意程序基于令牌的攻击活动，建立了多维的程序行为分析体系，动态与静态结合，实现有害程序的判别，从而降低误报的机率。
团队介绍
北京中睿天下信息技术有限公司（以下简称“中睿天下”），成立于2014年6月，总部位于北京，并在北京、济南等地分别设立了研发中心。现有200余位员工，65%为专业技术人员，预计2024年前上市。中睿天下是以“实战对抗”为特点的能力价值型网络安全厂商。基于核心团队近20年的一线攻防实战经验，以及对政府、能源、金融、交通等行业业务的深入研究，通过「攻击溯源」技术构建面向实战对抗的新一代高级安全防护体系，帮助政企用户显著提升网络安全监测预警、分析研判、态势感知、攻击溯源以及应急处置等能力，有效应对来自外部专业组织和势力的高强度网络攻击。
成果资料
下载app