[發明專利]一種電腦安全防護方法和系統

有效

• 申請號: 201010281207.2
• 申請日: 2010-09-14
• 公開（公告）號: CN101950339A
• 公開（公告）日: 2011-01-19
• 發明（設計）人: 胡志水
• 申請（專利權）人: 上海置水軟件技術有限公司
• 主分類號: G06F21/00
• 分類號: G06F21/00
• 代理公司: 上海智信專利代理有限公司 31002
• 代理人: 鄧琪

技術領域

本發明涉及一種電腦安全防護方法和系統。

背景技術

為因應層出不窮的病毒木馬，目前不論采用被動防御還是主動防御的技術，病毒庫均越來越龐大。即使這樣也不能完全禁止未知病毒木馬對電腦系統的破壞。由于電腦程序的多樣性、復雜性和不斷變化的特性，決定了主動防御技術只能識別部分程序，無法對所有程序或模塊進行身份識別，這樣還是要依靠病毒庫和軟件行為進行識別，這樣就為未知病毒的活動提供了入侵的機會。

發明內容

本發明所要解決的技術問題是提供一種電腦安全防護方法和系統，使得無須依靠病毒庫和軟件行為識別，即可運行未知的可執行模塊，而不對操作系統和安全的應用程序數據造成破壞。

為解決上述技術問題，本發明的技術方案如下：

一種電腦安全防護方法，包括以下步驟：

在中心服務器生成與安全的可執行模塊對應的特征碼和分類標識碼，該分類標識碼包括類型碼和產品名稱碼；

在客戶機建立社會區、系統區和工作區，該社會區包括在客戶機磁盤上建立的指定目錄，以及在注冊表建立的指定分支；該系統區包括操作系統目錄；該工作區包括除系統區和社會區外的目錄和注冊表；

客戶機運行進程或線程時，計算該進程或線程的特征碼，如是第一次執行，且本地沒有匹配的特征碼，則通過該特征碼在中心服務器中檢索，如中心服務器存在與該特征碼對應的產品名稱碼，則下載該產品名稱碼對應的所有特征碼，加入本地模塊特征庫；

對于客戶機運行的進程或線程，判斷以下條件是否均成立：

加載的可執行模塊的特征碼均為本地模塊特征庫中的特征碼；

沒有訪問安全網址以外的網址；

進程或線程不在社會區的指定目錄；

若均成立，則進程或線程被標記為工作屬性：被標記為工作屬性的進程或線程，可以對系統區和工作區進行所有操作，對社會區只有操作系統進程才可以訪問；

否則，進程或線程被標記為社會屬性：被標記為社會屬性的進程或線程，除進程或線程所在目錄外，看不到工作區任何信息，而且對社會區以外的注冊表和磁盤操作，被重定向到社會區的指定分支和指定目錄。

所述生成與安全的可執行模塊對應的特征碼的步驟包括：判斷可執行模塊的格式，并計算校驗和；計算可執行模塊的長度指示。

所述電腦安全防護方法還可進一步包括自動將被標記為工作屬性的進程或線程產生的新的可執行模塊的特征碼加入到本地模塊特征庫。

所述電腦安全防護方法還可進一步包括禁止標記為社會屬性的進程或線程加載驅動。

所述電腦安全防護方法還可進一步包括標記為社會屬性的進程或線程全局應用鉤子調用時返回失敗。

所述電腦安全防護方法還可進一步包括標記為社會屬性的進程或線程遠程線程注入時返回失敗；

所述電腦安全防護方法還可進一步包括禁止標記為社會屬性的進程或線程終止被標記為社會屬性的進程以外的進程，以及直接讀寫磁盤和內存。

根據本發明的另一方面，提供一種電腦安全防護系統，包括：

中心服務器，其生成與安全的可執行模塊對應的特征碼和分類標識碼，該分類標識碼包括類型碼和產品名稱碼；

電腦安全防護客戶端，其在客戶機建立社會區、系統區和工作區，該社會區包括在客戶機磁盤上建立的指定目錄，以及在注冊表建立的指定分支；該系統區包括操作系統目錄；該工作區包括除系統區和社會區外的目錄和注冊表；

當客戶機運行進程或線程時，所述電腦安全防護客戶端計算該進程或線程的特征碼，如是第一次執行，且本地沒有匹配的特征碼，則通過該特征碼在中心服務器中檢索，如中心服務器存在與該特征碼對應的產品名稱碼，則下載該產品名稱碼對應的所有特征碼，加入本地模塊特征庫；

對于客戶機運行的進程或線程，所述電腦安全防護客戶端判斷以下條件是否均成立：

加載的可執行模塊的特征碼均為本地模塊特征庫中的特征碼；

沒有訪問安全網址以外的網址；

進程或線程不在社會區的指定目錄；

若均成立，則進程或線程被標記為工作屬性：被標記為工作屬性的進程或線程，可以對系統區和工作區進行所有操作，對社會區只有操作系統進程才可以訪問；

否則，進程或線程被標記為社會屬性：被標記為社會屬性的進程或線程，除進程或線程所在目錄外，看不到工作區任何信息，而且對社會區以外的注冊表和磁盤操作，被重定向到社會區的指定分支和指定目錄。