一种处理风险操作的方法及装置与流程

本技术涉及计算机领域，尤其涉及一种处理风险操作的方法及装置。

背景技术：

1、随着it数字化的发展，很多重要资产以文件的形式存放在各种终端设备上。由于文件“可编辑、可在不同信息介质上流转”的这两个特性，导致对重要资产的信息安全保护工作极具挑战性。因此，在端侧部署可靠且高效的管控技术，进行预防性的信息安全保护，可以减少信息安全风险。

2、当前，业界提出了众多的端侧管控技术，比如防病毒软件、存储加密、网络管控、端口控制等技术。这些技术中，有的是基于样本分析，模糊估计分析的准确率低；有的是对介质进行通用的管理，保护的粒度过粗。不论是分析的准确率低，或者是保护的粒度过粗，都很大可能导致误判，影响使用人员的效率。

技术实现思路

1、本技术提供一种处理风险操作的方法及装置，实现准确率高且不影响使用人员效率的管控处理，以兼顾信息安全及用户体验。

2、第一方面，提供一种处理风险操作的方法，该方法可以包括：通过进程操作目标对象的输入输出(input output，io)，获取用于记录该进程对目标对象的操作过程的栈帧；提取该栈帧内容的第一特征；若特征集合中存在与第一特征匹配的第二特征，对该进程执行处理操作，该处理操作用于处理第二特征所指示的风险操作。特征集合中记录了不同风险操作的栈帧内容的特征。

3、通过本技术提供的方案，当提取的堆栈内容的特征，命中记录了不同风险操作的栈帧内容的特征的特征集合中的第二特征时，即可确定该进程对目标对象进行了第二特征所指示的风险操作，进而对该进程执行第二特征所对应的处理操作，以处理第二特征所指示的风险操作。由于堆栈中准确记录了进程对目标对象的操作过程，反映了进程实际的操作过程，因此提取的栈帧特征可以准确的指示进程的实际操作，只要将不同风险操作的栈帧特征配置准确，即可实现准确性高的风险操作判断及管控处理。由于本方案的管控过程准确度高，可以大大降低管控误判的概率，也就避免了影响系统使用人员效率，很好的兼顾了信息安全和用户体验。

4、一种可能的实现方式，上述对进程执行处理操作，包括：对进程的栈帧标注第二特征关联的标记信息。该标记信息用于描述第二特征所指示的风险操作。实现带有更详细语义信息的io记录，可以方便下游系统更精确的进行行为识别及控制。

5、另一种可能的实现方式，第二特征指示数据外发操作，对进程执行处理操作，包括：阻断该进程的io，很好的保证了信息安全。

6、另一种可能的实现方式，上述对进程执行处理操作，还包括：将标注后的栈帧，发送至驱动框架层进行决策。由于驱动注册的回调不足以了解io代表的行为，通过标注栈帧，使得驱动框架层利用标注信息，进行更精准的管控。

7、另一种可能的实现方式，上述对进程执行处理操作，还包括：将标注后的栈帧，发送至分析系统或其他设备进行决策。帮助分析系统或其他设备，实现全方位多角度的信息安全保护。

8、另一种可能的实现方式，驱动框架层可以为minifilter文件驱动。

9、另一种可能的实现方式，上述标记信息，可以包括：第二特征所指示的风险操作的标识，和/或，第二特征所指示的风险操作的操作内容。

10、另一种可能的实现方式，上述操作内容包括下述一项或多项：触发进程操作目标对象的原因，或，进程io是否存在与其他进程相关的语义。

11、另一种可能的实现方式，本技术提供的方法还可以包括：按照学习策略，提取栈帧的第三特征；上报第三特征。学习策略用于指示提取特征的内容及数据结构。通过学习的方式，提取堆栈特征，进一步入库更新特征集合，进而提高本技术方案的准确性。

12、另一种可能的实现方式，本技术提供的方法还可以包括：接管上述进程操作目标对象的io。以实现堆栈回溯，进而实现本技术方案的精确管控。

13、另一种可能的实现方式，接管上述进程操作目标对象的io，包括：将动态链接库(dynamic link library，dll)注入进程；对操作系统中的目标函数配置钩子hook。目标函数为操作系统与风险操作相关的函数。通过配置钩子函数实现对io的接管。

14、另一种可能的实现方式，本技术提供的方法还可以包括：上报上述处理操作的结果。

15、另一种可能的实现方式，上述目标对象，包括：文件，对应的io为文件io。

16、另一种可能的实现方式，上述目标对象为网络，对应的io为网络io。

17、第二方面，提供一种处理风险操作的装置，该装置可以包括：获取单元、提取单元、处理单元。其中：

18、获取单元用于，通过进程操作目标对象的io，获取用于记录该进程对目标对象的操作过程的栈帧。

19、提取单元用于，提取该栈帧内容的第一特征。

20、处理单元用于，若特征集合中存在与第一特征匹配的第二特征，对改进程执行处理操作，该处理操作用于处理第二特征所指示的风险操作。特征集合中记录了不同风险操作的栈帧内容的特征。

21、通过本技术提供的方案，当提取的堆栈内容的特征，命中记录了不同风险操作的栈帧内容的特征的特征集合中的第二特征时，即可确定该进程对目标对象进行了第二特征所指示的风险操作，进而对该进程执行第二特征所对应的处理操作，以处理第二特征所指示的风险操作。由于堆栈中准确记录了进程对目标对象的操作过程，反映了进程实际的操作过程，因此提取的栈帧特征可以准确的指示进程的实际操作，只要将不同风险操作的栈帧特征配置准确，即可实现准确性高的风险操作判断及管控处理。由于本方案的管控过程准确度高，可以大大降低管控误判的概率，也就避免了影响系统使用人员效率，很好的兼顾了信息安全和用户体验。

22、一种可能的实现方式，上述处理单元具体用于：对进程的栈帧标注第二特征关联的标记信息。该标记信息用于描述第二特征所指示的风险操作。实现带有更详细语义信息的io记录，可以方便下游系统更精确的进行行为识别及控制。

23、另一种可能的实现方式，第二特征指示数据外发操作，上述处理单元具体用于：包括：阻断该进程的io，很好的保证了信息安全。

24、另一种可能的实现方式，上述处理单元具体还用于：将标注后的栈帧，发送至驱动框架层进行决策。由于驱动注册的回调不足以了解io代表的行为，通过标注栈帧，使得驱动框架层利用标注信息，进行更精准的管控。

25、另一种可能的实现方式，上述处理单元具体还用于：将标注后的栈帧，发送至分析系统或其他设备进行决策。帮助分析系统或其他设备，实现全方位多角度的信息安全保护。

26、另一种可能的实现方式，驱动框架层可以为minifilter文件驱动。

27、另一种可能的实现方式，上述标记信息，可以包括：第二特征所指示的风险操作的标识，和/或，第二特征所指示的风险操作的操作内容。

28、另一种可能的实现方式，上述操作内容包括下述一项或多项：触发进程操作目标对象的原因，或，进程io是否存在与其他进程相关的语义。

29、另一种可能的实现方式，上述提取单元还用于：按照学习策略，提取栈帧的第三特征。上述处理单元还用于：上报第三特征。学习策略用于指示提取特征的内容及数据结构。通过学习的方式，提取堆栈特征，进一步入库更新特征集合，进而提高本技术方案的准确性。

30、另一种可能的实现方式，上述获取单元还用于：接管上述进程操作目标对象的io。以实现堆栈回溯，进而实现本技术方案的精确管控。

31、另一种可能的实现方式，获取单元具体要用于：将dll注入进程；对操作系统中的目标函数配置钩子hook。目标函数为操作系统与风险操作相关的函数。通过配置钩子函数实现对io的接管。

32、另一种可能的实现方式，处理单元还用于：上报上述处理操作的结果。

33、应理解，上述第二方面提供的处理风险操作的装置，用于实现上述第一方面或任一种可能的实现方式所描述的处理风险操作的方法，具体实现可以参照上述第一方面或任一种可能的实现方式，不再赘述。

34、第三方面，提供了一种计算设备，该计算设备包括处理器、存储器。处理器用于执行存储器中存储的指令，以使得该计算设备执行如第一方面或任一种可能实现方式中的方法的操作步骤。

35、第四方面，提供了一种计算机可读存储介质，包括：计算机软件指令；当计算机软件指令在处理器中运行时，使得处理器执行如第一方面或上述任意一种可能的实现方式中所述方法的操作步骤。

36、第五方面，提供了一种计算机程序产品，当计算机程序产品在计算机上运行时，使得计算机执行如第一方面或上述任意一种可能的实现方式中所述方法的操作步骤。

37、第六方面，提供一种芯片，包括：处理器和供电电路；其中，所述供电电路用于为所述处理器供电；所述处理器用于执行第一方面或任一种可能实现方式中的方法的操作步骤。

38、第三方面至第六方面中任一种设计方式所带来的技术效果可参见第一方面中不同实现方式所带来的技术效果，此处不再赘述。

39、本技术在上述各方面提供的实现方式的基础上，还可以进行进一步组合以提供更多实现方式。