[發明專利]一種安全防護系統

有效

• 申請號: 201310086620.7
• 申請日: 2013-03-18
• 公開（公告）號: CN103150511A
• 公開（公告）日: 2013-06-12
• 發明（設計）人: 陳章群;陳春曉;趙閩;陳勇
• 申請（專利權）人: 珠海市君天電子科技有限公司;北京金山安全軟件有限公司;貝殼網際（北京）安全技術有限公司;北京金山網絡科技有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 廣州新諾專利商標事務所有限公司 44100
• 代理人: 張奇洲;華輝

1.一種安全防護系統，包括安裝于用戶計算機的系統客戶端、與所述系統客戶端交互通訊的系統服務器，其特征在于，包括：

防篡改模塊，用于阻止未知進程和木馬進程修改當前進程、網頁頁面、文件或篡改系統；

蜜罐模塊，用于根據安裝在計算機中的安全防護軟件的信息，確定所述計算機是否為病毒制作者的計算機，判斷計算機中利用安全防護軟件檢測的文件是否為木馬文件；

啟發模塊，用于根據被檢測的文件的位置、內容和來源信息判斷所述被檢測的文件是否為木馬文件。

2.根據權利要求1所述的安全防護系統，其特征在于，所述蜜罐模塊包括：

設于系統客戶端的木馬作者過濾庫，用于存儲預存的木馬作者的木馬作者行為規則，所述木馬作者行為規則包括安全防護軟件的數量、安全防護軟件的掃描操作頻率和特征碼定位器；

設于系統客戶端的檢測單元，用于檢測安全防護軟件的數量、安全防護軟件的掃描操作頻率和計算機中是否包含特征碼定位器；

設于系統客戶端的第一判斷單元，用于判斷檢測單元的檢測結果是否與木馬作者過濾庫中的木馬作者行為規則匹配，若檢測結果與木馬作者行為規則過濾庫中任一木馬作者行為規則匹配，則系統服務器檢測所述利用安全防護軟件掃描的文件；

設于系統服務器的木馬規則過濾庫，用于存儲常見的木馬行為規則；

設于系統服務器的第二判斷單元，判斷系統客戶端利用安全防護軟件掃描的文件是否為木馬文件，并將判斷結果發送至提取單元；

設于系統客戶端的提取單元，用于提取所述木馬文件信息至防篡改模塊。

3.根據權利要求2所述的安全防護系統，其特征在于：所述木馬作者行為規則包括計算機內安裝兩個以上安全防護軟件、24小時內安全防護軟件掃描操作兩次以上、以及存在特征碼定位器。

4.根據權利要求1所述的全防護系統，其特征在于：所述防篡改模塊包括，

設于系統服務器的黑名單數據庫，用于存儲預設的木馬進程；

設于系統服務器的白名單數據庫，用于存儲預設的安全進程；

設于系統服務器的第一特征查詢單元，用于判斷被檢測文件的進程是否是黑名單數據庫中的木馬進程，若是，判斷被檢測文件為木馬文件；若否，發送檢測信號至第二特征查詢單元；

設于系統服務器的第二特征查詢單元，用于判斷被檢測文件的進程是否是白名單數據庫中的安全進程，若是，判斷被檢測文件為安全文件；若否，則被檢測文件為未知文件；

設于系統客戶端的防篡改單元，用于阻止未知進程以及木馬進程修改當前進程、網頁頁面、文件或篡改系統。

5.根據權利要求4所述的安全防護系統，其特征在于：所述防篡改模塊還包括支付網站數據庫，用于存儲支付網站網址；

支付模式判斷單元，用于判斷當前系統是否進入具有支付頁面的支付模式，若支付頁面的網頁地址為支付網站數據庫中的支付網站網址，則支付模式判斷單元判斷當前系統進入支付模式，發送當前系統進入支付模式的信號至防篡改單元，啟動防篡改單元。

6.根據權利要求5所述的安全防護系統，其特征在于：

所述第一特征查詢單元或第二特征查詢單元判斷的被檢測的文件包括在進入支付模式前已有文件，以及進入支付模式后新增的文件。

7.根據權利要求1所述的安全防護系統，其特征在于：

所述啟發模塊包括位置單元、代碼單元、來源單元、黑網址數據庫和加權單元；

所述位置單元確定被檢測文件的關聯位置，所述關聯位置指被檢測文件位于系統目錄或存在系統啟動項，若被檢測文件位于系統目錄或存在系統啟動項，則所述被檢測文件獲得一加權值；

所述黑網址數據庫用于存儲預存的惡意網址；

所述代碼單元用于判斷文件是否存在惡意代碼，若存在則獲得一加權值；

所述來源單元用于檢測文件的來源，若文件來自黑網址數據庫中的惡意網址，則所述文件獲得一加權值；

所述加權單元計算所述文件獲得的加權值總和，判斷加權值總和是否超過加權值閾值，若超過，判斷所述文件為木馬文件，將所述木馬文件的信息發送至防篡改模塊。