应用程序接口调用的恶意启用的检测.pdf

(19)中华人民共和国国家知识产权局(12)发明专利申请(10)申请公布号CN107408180A(43)申请公布日2017.11.28(21)申请号201580074207.6(51)Int.Cl.(22)申请日2015.01.22G06F21/56(2006.01)(85)PCT国际申请进入国家阶段日2017.07.21(86)PCT国际申请的申请数据PCT/US2015/0124952015.01.22(87)PCT国际申请的公布数据WO2016/118145EN2016.07.28(71)申请人迈克菲有限责任公司地址美国德克萨斯州(72)发明人K.梅塔B.辛赫R.巴塔查吉(74)专利代理机构中国专利代理(香港)有限公司72001代理人郑浩郑冀之权利要求书2页说明书10页附图9页(54)发明名称应用程序接口调用的恶意启用的检测(57)摘要在本文中所描述的具体实施例提供了一种包含粘合剂内核驱动器的电子装置。所述粘合剂内核驱动器能够配置成接收应用程序接口（API）调用、从API调用提取元数据、基于所提取的元数据来确定API调用应被挂钩、以及挂钩API调用。CN107408180ACN107408180A权利要求书1/2页1.至少一个计算机可读媒介，包括一个或更多指令，所述一个或更多指令在由至少一个处理器运行时，促使所述处理器：在内核驱动器处接收应用程序接口（API）调用；从所述API调用提取元数据；基于所提取的元数据来确定所述API调用应被挂钩；以及挂钩所述API调用。2.如权利要求1所述的至少一个计算机可读媒介，其中，所述内核驱动器是粘合剂内核驱动器。3.如权利要求2所述的至少一个计算机可读媒介，其中，所述内核驱动器中的拦截器拦截所述API调用。4.如权利要求2所述的至少一个计算机可读媒介，其中，所述内核驱动器之内的策略管理器基于所提取的元数据来确定所述API调用应被挂钩。5.如权利要求2所述的至少一个计算机可读媒体，其中，将所提取的元数据与安全策略比较以确定所述API调用应被挂钩。6.如权利要求5所述的至少一个计算机可读媒介，其中，所述安全策略位于所述内核驱动器中。7.如权利要求2所述的至少一个计算机可读媒介，进一步包括一个或更多指令，所述一个或更多指令在由所述至少一个处理器运行时，进一步促使所述处理器：将所述API调用和所提取的元数据传递到安全模块，其中，所述安全模块确定所述API调用是否应被允许或拒绝。8.如权利要求7所述的至少一个计算机可读媒介，进一步包括一个或更多指令，所述一个或更多指令在由所述至少一个处理器运行时，进一步促使所述处理器：如果从所述API调用和所提取的元数据传递到所述安全模块时起在预定的时间量已度过之后，来自所述安全模块的响应未被接收，则允许所述API调用。9.一种设备，包括：内核驱动器，其中，所述内核驱动器配置成：接收应用程序接口（API）调用；从所述API调用提取元数据；基于所提取的元数据来确定所述API调用应被挂钩；以及挂钩所述API调用。10.如权利要求9所述的设备，其中，所述内核驱动器是粘合剂内核驱动器。11.如权利要求10所述的设备，其中，所述内核驱动器中的拦截器拦截所述API调用。12.如权利要求10所述的设备，其中，所述内核驱动器之内的策略管理器基于所提取的元数据来确定所述API调用应被挂钩。13.如权利要求10所述的设备，其中，将所提取的元数据与安全策略比较以确定所述API调用应被挂钩。14.如权利要求13所述的设备，其中，所述安全策略位于所述内核驱动器中。15.如权利要求10所述的设备，其中，所述内核驱动器进一步配置成：将所述API调用和所提取的元数据传递到安全模块，其中，所述安全模块确定所述API2CN107408180A权利要求书2/2页调用是否应被允许或拒绝。16.如权利要求15所述的设备，其中，所述内核驱动器进一步配置成：如果从所述API调用和所提取的元数据传递到所述安全模块时起在预定的时间量已度过之后，来自所述安全模块的响应未被接收，则允许所述API调用。17.一种方法，包括：在内核驱动器处接收应用程序接口（API）调用；从所述API调用提取元数据；基于所提取的元数据来确定所述API调用应被挂钩；以及挂钩所述API调用。18.如权利要求17所述的方法，其中，所述内核驱动器是粘合剂内核驱动器。19.如权利要求18所述的方法，其中，所述内核驱动器中的拦截器拦截所述API调用。20.如权利要求18所述的方法，其中，所述内核驱动器之内的策略管理器基于所提取的元数据来确定所述API调用应被挂钩。21.如权利要求18所述的方法，其中，将所提取的元数据与所述内核驱动器中的安全策略标记以确定所述API调用应被挂钩。22.如权利要求18所述的方法，进一步包括：将所述API调用和所提取的