一种基于执行路径DNA与内存基因图谱的零日漏洞实时检测与阻断方法与流程

本发明专利涉及计算机信息安全领域，具体为一种基于执行路径dna与内存基因图谱的零日漏洞实时检测与阻断方法。

背景技术：

1、随着信息系统复杂度和互联程度不断提升，软件运行环境中的安全威胁显著增加，现有防护技术多依赖特征码、规则匹配或沙箱分析等手段，但面对零日漏洞攻击时存在明显不足：

2、1.依赖已知特征，无法有效识别未知攻击和变种利用；

3、2.响应滞后，在攻击特征公开和规则更新之前处于被动状态；

4、3.行为分析粒度不足，通常停留在系统调用或文件层面，难以捕捉深度执行流和内存访问异常。

技术实现思路

1、本发明专利的目的在于提供一种基于执行路径dna与内存基因图谱的零日漏洞实时检测与阻断方法，以解决上述背景技术中提出的问题。

2、为了解决上述技术问题，本发明专利提供如下技术方案：一种基于执行路径dna与内存基因图谱的零日漏洞实时检测与阻断方法，包括以下步骤：

3、s1：构建执行路径dna与内存基因模型，并注入目标应用运行环境；

4、通过加载防护模块，并初始化硬件追踪能力，采集目标应用健康运行状态下的执行路径信息与内存访问行为数据，并基于执行路径信息与内存访问行为信息分别构建执行路径图谱和内存基因图谱，将执行路径图谱和内存基因图谱融合生成健康dna模型进行持久化存储；

5、s11：通过内核扩展组件方式或运行时代理方式加载防护模块，初始化硬件性能监控单元，并在硬件性能监控单元内配置对应的业务寄存器，所述业务寄存器适配处理器追踪硬件单元和分支追踪存储硬件单元中的任一种，启用cpu硬件控制流追踪特性，将待监控目标进程pid注入内核侧监控名单，开启硬件级指令流与内存访问追踪通道；

6、所述内核扩展组件方式为：将防护模块编译为内核模块加载至内核运行，完成业务寄存器配置及追踪通道的建立，并维护内核pid监控名单；

7、所述运行时代理方式为：用户态守护进程通过perf_event_open系统调用提交配置，由内核perf子系统完成硬件寄存器配置；

8、所述内核扩展组件方式和运行时代理方式均可独立部署，也可协同运行，协同运行时，进行pmu硬件资源互斥管控；

9、s12：在目标应用正常业务运行期间，通过处理器追踪硬件单元和分支追踪存储硬件单元持续采集应用汇编级别的指令执行序列，构建包含控制流结构与运行统计特征的执行路径图谱，以控制流图形式存储，且辅以路径哈希签名生成唯一dna特征；

10、采集所述应用汇编级别的指令执行序列时；

11、若采用处理器追踪硬件单元进行采集，则以压缩分支包形式连续输出目标进程的跳转记录，由防护模块内置的解码器还原为按执行顺序排列的基本块与跳转地址序列；

12、若采用分支追踪存储硬件单元进行采集，则将每次分支跳转的源地址与目标地址写入内存中的分支记录缓冲区，由防护模块定时读取

13、s13：实时记录各内存页的行为数据，标记各内存页所属的关键内存区域，并将行为数据以及关键内存区域的标记信息以热力图和访问轨迹向量形式形成内存基因图谱；

14、所述行为数据包括访问方式、访问频率、时间序列及页面之间的逻辑访问顺序；

15、所述访问方式包含读、写及执行，读指的是读取该页数据，写指的是修改该页数据，执行指的是cpu从这个页面取指令运行；

16、s14：关联融合执行路径图谱与内存基因图谱，统一编码生成目标应用的健康dna模型，经签名加密后存储；

17、所述健康dna模型的生成方式为：以时间为基准，将执行路径图谱中各函数的执行时段与该时段内内存基因图谱记载的内存访问数据相关联，形成代码执行区域与内存访问区域之间的映射关系，随后将执行路径特征与内存访问特征统一编码为同一特征空间中的自体特征集合，生成当前目标应用的健康dna模型，作为运行时比对与异常识别的唯一参照，并经摘要签名与加密后持久化存储于本地或远程模型中心；

18、s2：实时监测进程运行行为，并进行基因匹配分析；

19、通过双通道实时采集目标应用的指令执行快照和内存访问状态变更数据，并与所述健康dna模型进行比对，计算得到量化的综合偏差因子；

20、s21：系统在目标应用进程运行时启动双通道分别对指令执行快照和内存访问状态变更数据进行采集，所述双通道根据cpu负载与系统风险动态调整采样频率，并支持环形缓冲区或事件触发任一种模式；

21、若cpu负载高于第一阈值并持续超过预设时长时，则采样频率降至基础档位，仅保留低频抽样；

22、若cpu负载回落至第二阈值以下时，则恢复默认采样频率；

23、若系统风险等级升高时，则采样频率提升至最高档，并对告警进程开启全量追踪；

24、其中，优先保障对告警进程的全量追踪，其余进程维持基础档位，以此在检测能力与系统开销之间取得平衡；

25、s22：将当前运行时指令流与内存访问状态变更数据与健康dna模型进行比对，计算路径相似度指标，判断是否出现行为偏离，所述指标包括跳转编辑距离、指令链偏移度及访问热区重叠率，所述目标应用的不同异常行为会使各量化指标呈现对应的变化特征，异常行为包括堆地址跳转执行、栈区指针异常重定向、对不可执行页执行跳转、非预期系统调用组合、新增的代码段调用序列；

26、s3：基于综合偏差进行非自体行为识别；

27、基于预设阈值对综合偏差因子进行分级判定，将行为划分为自体行为和非自体行为；

28、若为自体行为，则目标应用继续运行；

29、若为非自体行为，则进入步骤s4；

30、所述综合偏差因子包含低程度偏差、中等程度偏差和高等程度偏差；

31、s4：基于非自体行为的异常行为类别执行异常响应与防护联动；

32、s41：基于异常行为类别执行防护及响应；

33、若异常行为是不可执行页执行跳转和或堆地址跳转执行，且偏差因子超过致命阈值时，则系统执行暂停或强制终止进程；

34、若异常行为是非预期系统调用组合，且业务上要求进程保持连续运行时，则系统执行将进程迁移至隔离沙箱运行；

35、若异常行为是新增的代码段调用序列，则系统执行阻断其网络访问通道；

36、若异常行为是栈区指针异常重定向，且该进程存在可信快照时，则系统执行回滚至上一个可信运行状态快照；

37、优选的，任一种所述非自体事件经确认后，系统均执行联动edr和或防火墙和或cmdb系统同步风险状态，供关联分析与资产溯源使用；

38、s42：将当前异常行为的执行路径、内存行为热力图、异常因子评分记录到安全日志系统中，支持格式化输出并上传至集中日志服务器或威胁情报中心；

39、s5：结合人工复核与联邦学习机制实现模型自适应进化与迭代优化，包括如下子步骤：

40、s51：将所有非自体行为对应的执行路径与内存访问行为片段存入待审核队列；

41、s52：运维人员在管理端复核非自体行为片段的执行上下文，判断产生该综合偏差因子的非自体行为是否为合法行为偏差；

42、所述合法行为指的为非自体行为的综合偏差因子由已知的版本升级、业务变更和运维操作中任一项引起，且实际执行路径与变更内容相符；

43、若判断为合法行为偏值，则系统将该非自体行为片段增量合并进健康dna模型，实现模型自适应更新；

44、所述增量合并为在健康dna模型内新增节点，并更新边权重与热区数据；

45、若判断为非合法行为偏值，则系统将该非自体行为的特征哈希永久列入黑名单模型，后续命中即直接阻断；

46、s53：通过联邦学习跨节点共享模型演化成果。

47、本发明专利所达到的有益效果为：

48、本发明基于应用自身健康运行时的执行路径与内存访问数据建立健康dna模型，相对于传统的特征匹配防护，能够识别未知攻击和变种利用，解决现有技术面对未知攻击响应滞后和被动防御的问题。

49、借助处理器硬件追踪能力采集汇编级执行序列以及内存页访问行为，可捕捉堆跳转、栈指针异常重定向、不可执行页执行等内存破坏及控制流劫持等异常行为，能够补充仅依靠系统调用和文件行为检测方案的识别盲区。

50、防护模块提供内核扩展和用户态代理两种部署方式，不需要修改目标应用程序，且采样频率可结合cpu负载和系统风险等级动态调整，配合环形缓冲区和事件触发采集模式，优先保障告警进程追踪，在检测效果和系统资源消耗之间取得平衡。

51、针对不同类型异常行为，可选择进程终止、沙箱隔离、网络阻断、快照回滚等响应方式，能够联动edr、防火墙、cmdb同步风险信息，异常事件输出结构化日志，可上传至日志或威胁情报平台，为事后溯源分析提供基础数据，同时兼顾部分场景下的业务连续运行需求。

52、通过人工复核区分业务变更引发的合法行为偏差和非合法行为偏差，将合法行为偏差可增量更新到健康dna模型以适配业务变化，而非合法行为偏差则加入黑名单用于后续拦截，同时采用联邦学习跨节点同步模型增量参数和特征哈希摘要，不对外输出原始运行行为数据，在模型迭代的同时规避原始敏感数据外泄风险。