[發明專利]監控惡意程序的方法和監控平臺

無效

• 申請號: 201210466934.5
• 申請日: 2012-11-19
• 公開（公告）號: CN103824017A
• 公開（公告）日: 2014-05-28
• 發明（設計）人: 庾洋;周吉文
• 申請（專利權）人: 騰訊科技（深圳）有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;H04L29/06
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙) 44285
• 代理人: 唐華明

1.一種監控惡意程序的方法，其特征在于，包括：

接收主機上報的疑似病毒文件的監控信息，其中，所述主機安裝或存儲或運行了所述疑似病毒文件，所述監控信息包括：時間戳、主機標識和所述疑似病毒文件的標識；

統計在第一時段內上報了所述疑似病毒文件的監控信息的主機數量；

若統計出的所述主機數量超過第一閾值，發布所述疑似病毒文件爆發的告警信息。

2.根據權利要求1所述的方法，其特征在于，

所述第一閾值等于m1*X1，其中，所述m1為所述第一時段之前相鄰的N個時段內上報了所述疑似病毒文件的監控信息的主機數量的平均值，所述X2大于1且小于2，所述N個時段和所述第一時段的時長相同；

或者，

所述第一閾值等于m2*X2，其中，所述m2為所述第一時段之前相鄰的N個時段中的第n1個時段內上報了所述疑似病毒文件的監控信息的主機數量，其中，所述第n1個時段內上報了所述疑似病毒文件的監控信息的主機數量，大于所述N個時段中其它任何一個時段內上報了所述疑似病毒文件的監控信息的主機數量，其中，所述X2大于1且小于2，所述N個時段中的每個時段和所述第一時段的時長相同。

3.根據權利要求2所述的方法，其特征在于，

所述N個時段的總時長小于或等于所述疑似病毒文件生命周期的10%，

或者，所述N個時段的總時長小于或等于所述疑似病毒文件的活躍期的10%，或者，所述N個時段的總時長小于或等于所述疑似病毒文件的潛伏期的10%。

4.根據權利要求2或3所述的方法，其特征在于，

所述第一時段的時長為24小時。

5.根據權利要求2或3所述的方法，其特征在于，

所述X1大于1.29且小于2；

和/或，所述X2大于1.29且小于2。

6.根據權利要求1至3任一項所述的方法，其特征在于，

所述發布所述疑似病毒文件爆發的告警信息，包括：

根據配置的告警腳本文件生成所述疑似病毒文件爆發的告警信息；

向指定地址發送所述告警信息，其中，所述告警信息攜帶所述疑似病毒文件的標識和/或統計出的所述主機數量。

7.根據權利要求1至3任一項所述的方法，其特征在于，

所述發布所述疑似病毒文件爆發的告警信息之前還包括：判斷在第一時段內是否已經發布過所述疑似病毒文件爆發的告警信息，若否，則執行所述發布所述疑似病毒文件爆發的告警信息的步驟。

8.一種監控平臺，其特征在于，包括：

接收單元，用于接收主機上報的疑似病毒文件的監控信息，其中，所述主機安裝或存儲或運行了所述疑似病毒文件，所述監控信息包括：時間戳、主機標識和所述疑似病毒文件的標識；

統計單元，用于統計在第一時段內上報了所述疑似病毒文件的監控信息的主機數量；

發布單元，用于若所述統計單元統計出的主機數量超過第一閾值，則發布所述疑似病毒文件爆發的告警信息。

9.根據權利要求8所述的監控平臺，其特征在于，

所述發布單元具體用于，若統計單元統計出的所述主機數量超過第一閾值，根據配置的告警腳本文件生成所述疑似病毒文件爆發的告警信息；向指定地址發送所述告警信息，其中，所述告警信息攜帶所述疑似病毒文件的標識和/或統計出的所述主機數量。

10.根據權利要求9或8任一項所述的監控平臺，其特征在于，

發布單元具體用于，若統計單元統計出的所述主機數量超過第一閾值，且在所述第一時段內還未發布過所述疑似病毒文件爆發的告警信息，則發布所述疑似病毒文件爆發的告警信息。