[發(fā)明專利]進程識別方法及系統(tǒng)

有效

• 申請?zhí)枺?/td>: 201310530137.3
• 申請日: 2013-10-31
• 公開（公告）號: CN103559438A
• 公開（公告）日: 2014-02-05
• 發(fā)明（設計）人: 曾洪寧
• 申請（專利權）人: 上海上訊信息技術有限公司
• 主分類號: G06F21/52
• 分類號: G06F21/52
• 代理公司: 上海百一領御專利代理事務所(普通合伙) 31243
• 代理人: 馬育麟

1.一種進程識別方法，其特征在于，包括如下步驟：

信息采集步驟，采集目標進程的PE文件所述PE文件的屬性信息；

加密計算步驟，對所述PE文件和所述屬性信息進行加密算法計算，獲得對應的特征值；

進程識別步驟，將所述特征值與預存的效驗值進行比較，以識別所述目標進程是否為合法進程。

2.根據權利要求1所述的進程識別方法，其特征在于，所述信息采集步驟進一步包括：

獲取所述目標進程的所述PE文件的文件大小數值；

將所述文件大小數值與一預存的閾值進行比較；

若所述文件大小數值大于所述閾值，則采集所述目標進程的所述PE文件的預定部分內容和所述屬性信息，否則采集所述目標進程的整個所述PE文件和所述屬性信息。

3.根據權利要求2所述的進程識別方法，其特征在于，所述PE文件的所述預定部分內容包括：固定大小數值的一頭部文件段、一中部文件段和一尾部文件段。

4.根據權利要求1所述的進程識別方法，其特征在于，所述屬性信息包括所述PE文件的版本號、文件大小和/或數字簽名；和/或

所述加密算法計算采用SHA1值計算。

5.根據權利要求1所述的進程識別方法，其特征在于，所述進程識別步驟進一步包括：

將所述特征值與預存的白名單進程的所述效驗值進行比較；

若所述特征值與所述效驗值相符，則將所述目標進程識別為合法進程，否則將所述目標進程識別為非法進程。

6.根據權利要求1～5任一項所述的進程識別方法，其特征在于，所述信息采集步驟之前還包括：

獲取所述目標進程的進程標識符；

判斷所述目標進程的所述進程標識符是否存在于一合法進程標識符數據庫中，若存在則判定所述目標進程合法，否則繼續(xù)進行所述信息采集步驟；

在所述進程識別步驟中，若所述目標進程判斷為合法進程，則還包括步驟有：

將所述目標進程的所述進程標識符存入所述合法進程標識符數據庫。

7.一種進程識別系統(tǒng)，其特征在于，包括有：

信息采集模塊，用于采集目標進程的PE文件所述PE文件的屬性信息；

加密計算模塊，用于對所述PE文件和所述屬性信息進行加密算法計算，獲得對應的特征值；

進程識別模塊，用于將所述特征值與預存的效驗值進行比較，以識別所述目標進程是否為合法進程。

8.根據權利要求7所述的進程識別系統(tǒng)，其特征在于，所述信息采集模塊進一步包括：

數值獲取子模塊，用于獲取所述目標進程的所述PE文件的文件大小數值；

數值比較子模塊，用于將所述文件大小數值與一預存的閾值進行比較；

信息采集子模塊，用于若所述文件大小數值大于所述閾值，則采集所述目標進程的所述PE文件的預定部分內容和所述屬性信息，否則采集所述目標進程的整個所述PE文件和所述屬性信息。

9.根據權利要求8所述的進程識別系統(tǒng)，其特征在于，所述PE文件的所述預定部分內容包括：固定大小數值的一頭部文件段、一中部文件段和一尾部文件段。

10.根據權利要求7所述的進程識別系統(tǒng)，其特征在于，所述屬性信息包括所述PE文件的版本號、文件大小和/或數字簽名；和/或

所述加密算法計算采用SHA1值計算。

11.根據權利要求7所述的進程識別系統(tǒng)，其特征在于，所述進程識別模塊進一步包括：

特征值比較子模塊，用于將所述特征值與預存的白名單進程的所述效驗值進行比較；

進程識別子模塊，用于若所述特征值與所述效驗值相符，則將所述目標進程識別為合法進程，否則將所述目標進程識別為非法進程。

12.根據權利要求7～11任一項所述的進程識別系統(tǒng)，其特征在于，還包括有：

標識符獲取模塊，用于在執(zhí)行所述信息采集模塊之前，獲取所述目標進程的進程標識符；

標識符判斷模塊，用于判斷所述目標進程的所述進程標識符是否存在于一合法進程標識符數據庫中，若存在則判定所述目標進程合法，否則交由所述信息采集模塊處理；

標識符存儲模塊，用于若所述進程識別模塊判斷出所述目標進程判斷為合法進程時，則將所述目標進程的所述進程標識符存入所述合法進程標識符數據庫。