This application provides a security control method and a computer system. The computer system is equipped with the first domain and the second domain. The security of the second domain is higher than that of the first domain. The first domain is equipped with a program, and the second domain is equipped with a control flow management module and an audit module. The security of the second domain is higher than that of the first domain. When a program in the first domain is executed, the control flow management module obtains the control flow information through a tracker; the audit module performs an audit of the information to be audited according to the audit rules, determines the approval of the audit when the information to be audited matches the audit rules, and then allows the operation after the execution of the first domain, such as access to the security program in the second domain. Audit control flow information can also audit program data flow. Through the above methods, we can avoid some key program execution being bypassed and improve the security of computer system.
【技术实现步骤摘要】
安全控制方法及计算机系统
本申请涉及计算机系统的安全控制技术,尤其涉及通过审计控制流等信息实现系统安全的方法、设备及系统。
技术介绍
终端设备处理重要服务的需求日益增加。从能够支付、下载和观看某一特定时段的最新好莱坞大片,到能够通过手机远程支付账单和管理银行账户,这些发展趋势已使终端设备成为恶意软件、木马和rootkit等病毒的重点攻击目标。为了保证终端设备的安全性,出现了以TrustZone为代表的终端设备安全框架。在现有的TrustZone框架下,系统级的安全是通过将片上系统(systemonchips,SoC)的软硬件资源划分到两个世界中分别获得,即正常世界(normalworld)和安全世界(secureworld)(也可以叫安全域和非安全域),这两个世界分别对应富执行环境(richexecutionenvironment,REE)和可信执行环境(trustedexecutionenvironment,TEE)。TEE和REE运行于同一个设备上,TEE能够保证在可信的环境中进行敏感数据的存储、处理和保护,并为授权的可信应用(trustedapplication,TA)提供安全的执行环境。客户应用(clientapplication,CA)(也称之为普通应用)运行于REE上,CA通过调用位于REE的TEE客户端应用编程接口(applicationprogramminginterface,API)去访问TA,从而使用TEE及TA提供的安全功能。现有技术中,为了保证CA访问TA的安全性,在REE侧设置有CA的鉴权程序,该鉴权程序用于提取CA的身份信息,以 ...
【技术保护点】
1.一种计算机系统,其特征在于,所述计算机系统上部署有第一域和第二域,所述第一域内部署有程序,所述第二域内部署有控制流管理模块和审计模块,其中:所述控制流管理模块被配置为:在位于所述第一域中的程序执行时,通过跟踪器获取待审计信息,所述待审计信息包括所述程序的控制流信息;所述审计模块被配置为:根据审计规则对所述待审计信息执行审计,当所述待审计信息匹配所述审计规则时确定审计通过。
【技术特征摘要】
1.一种计算机系统,其特征在于,所述计算机系统上部署有第一域和第二域,所述第一域内部署有程序,所述第二域内部署有控制流管理模块和审计模块,其中:所述控制流管理模块被配置为:在位于所述第一域中的程序执行时,通过跟踪器获取待审计信息,所述待审计信息包括所述程序的控制流信息;所述审计模块被配置为:根据审计规则对所述待审计信息执行审计,当所述待审计信息匹配所述审计规则时确定审计通过。2.如权利要求1所述的计算机系统,其特征在于,所述待审计信息还包括所述程序的数据流信息。3.如权利要求1或2所述的计算机系统,其特征在于,所述计算机系统还包括部署在所述第二域内的Tracer审核模块,所述Tracer审核模块被配置为:在所述审计模块执行审计之前对所述跟踪器执行审核,审核通过后再触发所述审计模块执行所述审计。4.如权利要求1-3任意一项所述的计算机系统,其特征在于,所述计算机系统还包括部署在所述第一域内的进程标识获取模块,所述进程标识获取模块被配置为:在所述跟踪器采集所述控制流信息之前获取执行所述程序的进程的进程标识,并将所述进程标识存入所述跟踪器的第一寄存器中;所述控制流管理模块具体被配置为:通过所述跟踪器获取所述待审计信息,所述待审计信息还包括所述进程标识,其中,所述进程标识为所述跟踪器从所述第一寄存器中读取的进程标识;所述审计模块具体被配置为:根据所述进程标识查找与所述进程标识匹配的审计规则,并根据查找到的审计规则对所述控制流信息执行审计。5.如权利要求1-4任意一项所述的计算机系统,其特征在于,所述计算机系统还包括部署在所述第一域的第一随机数发生器和自采集模块,所述第二域中包含所述程序的TEXT段;所述自采集模块被配置为:在所述程序被执行之前调用所述第一随机数发生器以产生随机数RX,并将所述随机数RX存入所述跟踪器的第二寄存器;根据所述随机数RX和执行所述程序的进程的TEXT段计算得到哈希值H1;所述控制流管理模块具体被配置为:通过所述跟踪器获取所述待审计信息,所述待审计信息中还包括所述随机数RX,其中所述RX由所述跟踪器访问所述第二寄存器获得;所述审计模块具体被配置为:获取所述哈希值H1;根据所述随机数RX和所述第二域中包含的所述TEXT段计算得到哈希值H2,比较所述H1和H2,当所述H1和H2相同且其他待审计信息匹配所述审计规则时确定审计通过。6.如权利要求1-4任意一项所述的计算机系统,其特征在于,所述计算机系统还包括部署在第一域的第一随机数发生器和部署在第二域的第二随机数发生器;所述控制流管理模块具体被配置为:通过所述跟踪器获取所述待审计信息,所述待审计信息中还包括随机数,其中,所述随机数为在所述程序被执行时所述第一随机数发生器被调用而产生的且产生之后被写入所述跟踪器的第三寄存器中,然后由所述跟踪器访问所述第三寄存器获得;所述审计模块具体被配置为:获取所述第一随机数发生器在所述程序执行过程中产生的最后一个随机数RY以及获取所述第二域中预置的随机数发生次数n;根据所述n触发所述第二随机数发生器产生n个随机数,并将其中第n个随机数Rn与所述RY比较,当所述Rn与所述RY相同且其他待审计信息匹配所述审计规则时确定审计通过。7.如权利要求1-6任意一项所述的计算机系统,其特征在于,所述跟踪器的全部组件或部分组件通过硬件划分的方式部署到所述第二域中,或所述跟踪器的全部组件或部分组件通过软件权限管理的方式部署到所述第二域中;其中,所述第二域的安全性高于所述第一域。8.如权利要求1-7任意一项所述的计算机系统,其特征在于,所述审计规则通过机器学习的方法获得。9.如权利要求1-8任意一项所述的计算机系统,其特征在于,所述程序存储在只读存储区中。10.一种计算机系统,所述计算机系统上部署有第一域和第二域,所述计算机系统还包括处理器、跟踪器和存储器,其特征在于:所述存储器被配置为:存储计算机可读指令;所述处理器被配置为:执行所述计算机可读指令以实现:启动所述跟踪器,以及在所述第一域中执行程序;所述跟踪器被配置为:在所述处理器执行所述程序时,采集待审计信息,所述待审计信息包括所述程序的控制流信息;所述处理器还被配置为:执行所述计算机可读指令以实现:在所述第二域中获取所述待审计信息,并根据审计规则对所述待审计信息执行审计,当所述待审计信息匹配所述审计规则时确定审计通过。11.如权利要求10所述的计算机系统,其特征在于,所述待审计信息还包括所述程序的数据流信息。12.如权利要求10或11所述的计算机系统,其特征在于,所述处理器还被配置为:在执行所述审计之前,在所述第二域中审核所述跟踪器,在审核通过后再执行所述审计。13.如权利要求10-12任意一项所述的计算机系统,其特征在于,所述处理器还被配置为:在所述跟踪器采集所述待审计信息之前,在所述第一域中获取当前进程的进程标识,并将所述进程标识存入所述跟踪器的第一寄存器;所述跟踪器被配置为:在采集所述控制流信息时读取所述第一寄存器中当前存储的进程标识,以和所述控制流信息一起作为所述待审计信息;所述处理器被配置为:在所述第二域中根据所述进程标识查找与所述进程标识匹配的审计规则,并根据查找到的审计规则对所述控制流信息执行审计。14.如权利要求10-13任意一项所述的计算机系统,其特征在于,所述计算机系统还包括部署在所述第一域的第一随机数发生器,所述第二域中包含所述程序的TEXT段;所述处理器还被配置为:在执行所述程序之前,在所述第一域中调用所述第一随机数...
【专利技术属性】
技术研发人员:陈海波,王楠,陈善席,谢淼,
申请(专利权)人:华为技术有限公司,
类型:发明
国别省市:广东,44
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。