一种集群环境下应用程序运行控制系统及控制方法与流程

本发明属于计算机病毒防护和恶意代码注入防护的技术领域，具体涉及一种集群环境下应用程序运行控制系统及控制方法。

背景技术：

当前病毒和恶意软件品质繁多和千变万化，单靠基于特征行为分析的杀毒软件在一定程度上，不能及时的对其进行识别并阻断。而基于应用程序执行控制的系统特征库、应用程序特征库和策略库的构建，可以保证只有在特征库中，其被允许执行的系统或程序才能够执行。

由于数字签名是一种校验文件完整性的有效方法，其签名数据的不可修改性成为校验可执行文件、库文件、驱动文件完整性的有效方法。基于签名和特征码的构建特征库的方法，可用于在文件启动和运行过程中，判断文件的完整性及有效性。

技术实现要素：

本发明的目的在于，通过在操作系统内核层空间中虚拟一个专门用于文件系统应用程序运行控制的虚拟文件系统，对整个集群系统运行空间进行统一管理，提出一种集群环境下应用程序运行控制系统及控制方法。

本发明的技术方案是：

一种集群环境下应用程序运行控制系统，包括应用层和内核层，应用层和内核层连接；

应用层包括控制端和应用程序模块，所述控制端与应用程序模块连接；

内核层包括虚拟文件系统，所述虚拟文件系统连接有程序启动监控系统、特征库、日志库和磁盘文件；

控制端和应用程序模块均与虚拟文件系统连接；应用程序模块包含若干应用程序；

程序启动监控系统用于根据特征库监控应用程序模块中应用程序的启动和运行；

虚拟文件系统用于保持集群内部系统的特征库和日志库的一致性，保持集群内操作系统间的通信，搜集磁盘文件和应用程序模块中的应用程序；

控制端为能控制整个集群内虚拟文件系统和应用程序运行控制的工具。

进一步的，通过控制端基于数字签名和特征码构建特征库。

进一步的，特征库包括系统特征库、应用程序特征库、策略特征库、病毒及恶意程序库；系统特征库是系统运行所必须的，只有在系统特征库中的系统程序才能运行；应用程序特征库是管理员根据当前集群的特性设置的所需要运行的应用程序的相关特征；病毒及恶意程序库是系统识别出的具有恶意行为的相关软件，在该库中存在的软件是不允许运行的；策略库是为了弥补上述三个库的不足，增加灵活性而设定的，管理员可以在其中添加任何形式的软件及运行动作。

进一步的，策略特征库、病毒及恶意程序特征库、应用程序特征库、系统特征库优先级依次降低。

进一步的，控制端用于设定集群内应用程序控制的策略特征库、病毒和恶意程序特征库、应用软件特征库和系统特征库的内容；控制端还用于设置集群内操作系统的启动及监控程序的状态、虚拟文件系统的状态，查看日志库，查看和设置系统运行状态。

一种集群环境下应用程序运行控制方法，包括以下步骤：

（1）系统初始化；

（2）判断工作模式，禁用模式下，执行步骤（3），自学习模式下，执行步骤（4），强制模式下，执行步骤（5）；

（3）判断是否属于修改系统本身软件，若否，直接运行，若是，执行步骤（6）；

（4）获取可执行文件的签名及特征码，并通过虚拟文件系统在特征库中判断该文件是否可执行，若是，设置特征库，跳转步骤（7），若特征库中没有该文件，则将该文件提交到管理员处由管理员判断，若管理员判断文件可执行，并通过虚拟文件系统设置特征库，记录日志，跳转步骤（7），若不可执行，跳转步骤（6）；

（5）根据特征库判断是否允许运行，若不允许，执行步骤（6），若允许，则监控程序运行期间对软件的修改，当发生符合策略的修改事件时，执行步骤（4），若不符合策略，则执行步骤（6）；

（6）阻断运行并记录日志，执行步骤（7）；

（7）通过虚拟文件系统在集群内共享。

进一步的，步骤（1）系统初始化包括以下步骤：

（11）搜索整个系统下的文件；

（12）对每个文件签发证书和获取特征码；

（13）保存证书到特征库；

（14）集群内的系统共享特征库中的数据。

进一步的，步骤（6）中的，日志可通过虚拟文件系统在任何一个终端上查看。

进一步的，步骤（11）中的文件包括可执行文件、库文件和驱动文件。

进一步的，虚拟文件系统保证了整个集群内的特征库、日志库和模式控制内容的一致性和实时性。

通过该虚拟文件系统，任何一个操作系统的应用发生违规事件都将实时传递到其它的操作系统，并预防该事件的再次发生。任何一个操作系统的文件发生改变的时候，都将实时通知到集群内其它系统。通过该文件系统，管理员在任何一个操作系统上都能通过控制端控制整个集群内的虚拟文件系统的属性及设置。

每一个应用程序的运行（启动、运行过程）都受到监控和控制。在启动阶段根据策略和特征库判断是否允许运行，启动后其对文件系统的修改行为都是根据策略和特征库来判断是否允许修改，若不允许修改阻断该动作并记录日志，若允许修改则根据策略追踪修改后的文件到特征库中并记录日志。

本发明的有益效果在于，通过构建系统运行过程中所需的系统特征库、应用程序特征库、病毒和恶意软件特征库、策略库以及监控可执行文件的启动、库文件的加载、驱动文件的加载、程序运行过程的监控保证了程序空间的完整性和有效性，在极大程度上保证了系统运行的可信性。

此外，本发明设计原理可靠，结构简单，具有非常广泛的应用前景。

由此可见，本发明与现有技术相比，具有突出的实质性特点和显著地进步，其实施的有益效果也是显而易见的。

附图说明

图1为本实施例提供的一种集群环境下应用程序运行控制系统的整体框架示意图。

图2为本实施例提供的一种集群环境下应用程序运行控制方法的流程图。

图3为图2中初始化流程图。

图4为图1中虚拟文件系统示意图。

其中，1-应用层，2-内核层，3-控制端，4-应用程序模块，5-程序启动监控系统，6-虚拟文件系统，7-日志库，8-特征库，9-磁盘文件。

具体实施方式

下面结合附图并通过具体实施例对本发明进行详细阐述，以下实施例是对本发明的解释，而本发明并不局限于以下实施方式。

如图1、图4所示，本实施例提供的一种集群环境下应用程序运行控制系统，包括应用层1和内核层2，应用层1和内核层2连接；

应用层1包括控制端3和应用程序模块4，所述控制端3与应用程序模块4连接；

内核层2包括虚拟文件系统6，所述虚拟文件系统6连接有程序启动监控系统5、特征库8、日志库7和磁盘文件9；

控制端3和应用程序模块4均与虚拟文件系统6连接；应用程序模块4包含若干应用程序；

程序启动监控系统5用于根据特征库8监控应用程序的启动和运行；

虚拟文件系统6用于保持集群内部系统的特征库8和日志库7的一致性，保持集群内操作系统间的通信，搜集磁盘文件9和应用程序；

控制端3为能控制整个集群内虚拟文件系统6和应用程序运行控制的工具。

通过控制端3基于数字签名和特征码构建特征库8。

特征库8包括系统特征库、应用程序特征库、策略特征库、病毒及恶意程序库；系统特征库是系统运行所必须的，只有在系统特征库中的系统程序才能运行；应用程序特征库是管理员根据当前集群的特性设置的所需要运行的应用程序的相关特征；病毒及恶意程序库是系统识别出的具有恶意行为的相关软件，在该库中存在的软件是不允许运行的；策略库是为了弥补上述三个库的不足，增加灵活性而设定的，管理员可以在其中添加任何形式的软件及运行动作。

策略特征库、病毒及恶意程序特征库、应用程序特征库、系统特征库优先级依次降低。

控制端3用于设定集群内应用程序控制的策略特征库、病毒和恶意程序特征库、应用软件特征库和系统特征库的内容；控制端3还用于设置集群内程序启动监控系统5的状态、虚拟文件系统6的状态，查看日志库7，查看和设置系统运行状态。

如图2所示，本实施例提供的一种集群环境下应用程序运行控制方法，包括以下步骤：

（1）系统初始化；

（2）判断工作模式，禁用模式下，执行步骤（3），自学习模式下，执行步骤（4），强制模式下，执行步骤（5）；

（3）判断是否属于修改系统本身软件，若否，直接运行，若是，执行步骤（6）；

（4）获取可执行文件的签名及特征码，并通过虚拟文件系统在特征库中判断该文件是否可执行，若是，设置特征库，跳转步骤（7），若特征库中没有该文件，则将该文件提交到管理员处由管理员判断，若管理员判断文件可执行，并通过虚拟文件系统设置特征库，记录日志，跳转步骤（7），若不可执行，跳转步骤（6）；

（5）根据特征库判断是否允许运行，若不允许，执行步骤（6），若允许，则监控程序运行期间对软件的修改，当发生符合策略的修改事件时，执行步骤（4），若不符合策略，则执行步骤（6）；

（6）阻断运行并记录日志，执行步骤（7）；

（7）通过虚拟文件系统在集群内共享。

如图3所示，步骤（1）系统初始化包括以下步骤：

（11）搜索整个系统下的文件；

（12）对每个文件签发证书和获取特征码；

（13）保存证书到特征库；

（14）集群内的系统共享特征库中的数据。

步骤（6）中的，日志可通过虚拟文件系统在任何一个终端上查看。

步骤（11）中的文件包括可执行文件、库文件和驱动文件。

虚拟文件系统6保证了整个集群内的特征库8、日志库7和模式控制内容的一致性和实时性。

通过虚拟文件系统6，任何一个操作系统的应用发生违规事件都将实时传递到其它的操作系统，并预防该事件的再次发生。任何一个操作系统的文件发生改变的时候，都将实时通知到集群内其它系统；管理员在任何一个操作系统上都能通过控制端3控制整个集群内的虚拟文件系统6的属性及设置。

每一个应用程序的运行（启动、运行过程）都受到监控和控制。在启动阶段根据策略和特征库判断是否允许运行，启动后其对文件系统的修改行为都是根据策略和特征库来判断是否允许修改，若不允许修改阻断该动作并记录日志，若允许修改则根据策略追踪修改后的文件到特征库中并记录日志。

以上公开的仅为本发明的优选实施方式，但本发明并非局限于此，任何本领域的技术人员能思之的没有创造性的变化，以及在不脱离本发明原理前提下所作的若干改进和润饰，都应落在本发明的保护范围内。