[發明專利]一種主動防御的方法、裝置及系統

有效

• 申請號: 200810097598.5
• 申請日: 2008-05-15
• 公開（公告）號: CN101286986A
• 公開（公告）日: 2008-10-15
• 發明（設計）人: 顧凌志;楊玉奇;白皓文;杜歡;羅洪
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/02;G06F17/30
• 代理公司: 北京集佳知識產權代理有限公司
• 代理人: 逯長明

1、一種主動防御的方法，其特征在于，包括：

捕獲程序行為；

對所述程序行為進行初步分析；

如果初步分析結果表明所述程序行為是需要進行深度分析的程序行為，發送所述程序行為的信息；

接收針對所述程序行為的引擎指令；

如果引擎指令是允許的引擎指令，允許所述程序行為，如果引擎指令是禁止的引擎指令，禁止所述程序行為。

2、根據權利要求1所述的主動防御的方法，其特征在于，對所述程序行為進行初步分析的步驟包括：

提取所述程序行為的信息；

將提取的信息和規則庫中已有的信息進行比較，得到初步分析結果。

3、根據權利要求1或2所述的主動防御的方法，其特征在于，所述程序行為是文件行為、和/或注冊表行為、和/或進程線程行為。

4、根據權利要求1所述的主動防御的方法，其特征在于：

在發送所述程序行為的信息之后，如果在正常時間范圍內未接收到針對所述程序行為的引擎指令，允許所述程序行為。

5、根據權利要求1所述的主動防御的方法，其特征在于：如果初步分析結果表明所述程序行為是不需要進行深度分析的程序行為，允許所述程序行為。

6、一種主動防御的方法，其特征在于，包括：

接收程序行為的信息；

對所述程序行為的信息進行深度分析；

如果深度分析結果是允許，發送針對所述程序行為的允許的引擎指令；如果深度分析結果是禁止，發送針對所述程序行為的禁止的引擎指令。

7、根據權利要求6所述的主動防御的方法，其特征在于，對所述程序行為的信息進行深度分析的步驟包括：

從加載的規則庫相對應的規則中獲取對所述程序行為的操作信息，將其作為深度分析結果。

8、根據權利要求6所述的主動防御的方法，其特征在于，在對程序行為的信息進行深度分析后，若得到的深度分析結果是問詢，該方法進一步包括：

發出告警問詢消息；

接收到響應所述告警問詢消息的抉擇消息；

如果抉擇消息是允許，發送針對所述程序行為的允許的引擎指令；如果抉擇消息是禁止，發送針對所述程序行為的禁止的引擎指令。

9、一種驅動裝置，其特征在于，包括：

捕獲單元、初步分析單元、信息發送單元、接收指令單元、執行單元；

捕獲單元用于捕獲程序行為；

初步分析單元用于對被捕獲的程序行為進行初步分析；

信息發送單元用于當初步分析結果為需要進行深度分析的程序行為時，發送所述程序行為的信息；

接收指令單元用于接收針對程序行為的引擎指令；

執行單元用于當接收指令單元接收的引擎指令是允許的引擎指令時，允許所述程序行為，當接收指令單元接收的引擎指令是禁止的引擎指令時，禁止所述程序行為。

10、根據權利要求9所述的驅動裝置，其特征在于，所述執行單元還用于當所述接收指令單元在正常時間范圍內未接收到針對程序行為的引擎指令時，允許程序行為。

11、根據權利要求9所述的驅動裝置，其特征在于，在初步分析單元的初步分析結果表明所述程序行為是不需要進行深度分析的程序行為時，執行單元還用于允許所述程序行為。

12、一種行為分析引擎裝置，其特征在于，包括：

信息接收單元、深度分析單元、指令發送單元；

信息接收單元用于接收程序行為的信息；

深度分析單元用于依據加載的規則庫對程序行為的信息進行深度分析，得到深度分析結果；

指令發送單元用于根據深度分析結果發出針對程序行為的允許/禁止的引擎指令。

13、根據權利要求12所述的行為分析引擎裝置，其特征在于，還包括：

告警問訊消息發送單元、抉擇消息接收單元；

告警問訊消息發送單元用于當深度分析單元的深度分析結果是問詢時，發送針對程序行為的告警問訊消息；

抉擇消息接收單元用于接收響應所述告警問訊消息的允許/禁止的抉擇消息；

所述指令發送單元還用于若抉擇消息是允許時，發送針對所述程序行為的允許的引擎指令；若抉擇消息是禁止時，發送針對所述程序行為的禁止的引擎指令。