[發明專利]一種可疑操作的識別處理方法、裝置和系統

有效

• 申請號: 201210316980.7
• 申請日: 2012-08-30
• 公開（公告）號: CN102902919A
• 公開（公告）日: 2013-01-30
• 發明（設計）人: 余和;范紀鍠;鄭文彬
• 申請（專利權）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京潤澤恒知識產權代理有限公司 11319
• 代理人: 趙娟

1.一種可疑操作的識別處理方法，包括：

攔截用戶設備上的程序操作；

獲取運行所述程序操作的進程鏈，并提取所述進程鏈的特征信息，所述進程鏈的特征信息至少包括：所述進程鏈上所有進程的內部名稱；

采用所述進程鏈的特征信息與預置的危險白名單進程序列表進行匹配，其中，所述危險白名單程序列表中至少包括：預先收集的可疑進程的內部名稱；所述匹配包括，判斷在所述危險白名單程序列表中是否存在所述進程鏈上某個進程的內部名稱，若是，則判定為危險白名單進程；

當存在危險白名單進程時，阻止用戶設備上所述程序操作的執行。

2.如權利要求1所述的方法，還包括：

當不存在危險白名單進程時，允許用戶設備上所述程序操作的執行。

3.如權利要求1或2所述的方法，所述進程鏈的特征信息還包括：所述進程鏈上進程的命令行；所述危險白名單進程序列表中還包括命令行判斷規則，所述匹配還包括：

采用所述命令行判斷規則判斷所述進程鏈上的進程的命令行是否合法；

若否，則判定為危險白名單進程。

4.如權利要求1所述的方法，所述預先收集的可疑進程的內部名稱包括：

Windows操作系統的命令行程序的名稱CMD或Cmd.exe；和/或，

用于注冊Windows操作系統的動態鏈接庫和ActiveX控件程序的名稱regsvr32.exe；和/或，

用于在內存中運行DLL文件程序的名稱rundll32.exe；和/或，

服務管理程序的名稱sc.exe；和/或，

Windows注冊表編輯器程序的名稱Rgedit.exe；和/或，

Windows操作系統腳本相關支持程序的名稱wscript.exe；和/或，

用于編輯注冊表的程序的名稱reg.exe；和/或，

用于使16位的進程能夠運行在32位的系統環境下的程序的名稱ntvdm.exe；

用于通過WinMgmt.exe程序處理WMI操作的程序的名稱wmiprvse.exe。

5.如權利要求1所述的方法，所述進程鏈的特征信息還包括：所述進程鏈上進程的命令行；所述匹配還包括：

判斷所述進程鏈上的進程的內部名稱和命令行是否滿足預置合法規則或預置非法規則；

若滿足預置合法規則，則判定為非危險白名單進程；

若滿足預置非法規則，則判定為危險白名單進程。

6.一種可疑操作的識別處理裝置，包括：

攔截模塊，用于攔截用戶設備上的程序操作；

進程鏈獲取模塊，用于獲取運行所述程序操作的進程鏈；

特征提取模塊，用于提取所述進程鏈的特征信息，所述進程鏈的特征信息至少包括：所述進程鏈上所有進程的內部名稱；

匹配模塊，用于采用所述進程鏈的特征信息與預置的危險白名單進程序列表進行匹配，其中，所述危險白名單程序列表中至少包括：預先收集的可疑進程的內部名稱；所述匹配模塊包括，

第一判定子模塊，用于判斷在所述危險白名單程序列表中是否存在所述進程鏈上某個進程的內部名稱，若是，則判定為危險白名單進程；

操作阻止模塊，用于在存在危險白名單進程時，阻止用戶設備上所述程序操作的執行。

7.如權利要求6所述的裝置，還包括：

操作放行模塊，用于在當不存在危險白名單進程時，允許用戶設備上所述程序操作的執行。

8.如權利要求6或7所述的裝置，所述進程鏈的特征信息還包括：所述進程鏈上進程的命令行；所述危險白名單進程序列表中還包括命令行判斷規則，所述匹配模塊還包括：

第二判定子模塊，用于采用所述命令行判斷規則判斷所述進程鏈上的進程的命令行是否合法；若否，則判定為危險白名單進程。