[發明專利]一種文件病毒免疫的方法和裝置

有效

• 申請號: 201310683012.4
• 申請日: 2013-12-12
• 公開（公告）號: CN103679031B
• 公開（公告）日: 2017-10-31
• 發明（設計）人: 禹健文;鄒貴強
• 申請（專利權）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京市浩天知識產權代理事務所(普通合伙)11276
• 代理人: 宋菲,劉云貴

1.一種文件病毒免疫方法，包括：

在病毒檢測引擎的檢測通知任務發出后，通過監控技術，截獲與文件有關的操作行為請求；

根據所述操作行為請求，進行行為識別，得到所述操作行為的信息，所述操作行為的信息包括行為發起進程以及行為對應的動作和行為對應的對象，其中，所述監控技術包括：文件監控技術、注冊表監控技術或網絡監控技術；若所述監控技術為文件監控技術，所述行為對應的動作包括：讀文件、寫文件、修改文件、刪除文件、執行文件和/或創建文件；若所述監控技術為注冊表監控技術，所述行為對應的動作包括：修改注冊表中與文件的配置信息關聯的表項；若所述監控技術為網絡監控技術，所述行為對應的動作包括：上傳文件和/或下載文件；

根據所述操作行為的信息，判斷所述操作行為是否為由病毒導致的異常行為；

若所述操作行為是由病毒導致的異常行為，則向用戶發出提示信息或攔截所述操作行為；

其中，所述根據所述操作行為的信息，判斷所述操作行為是否為由病毒導致的異常行為具體包括：判斷所述操作行為的信息所包含的行為對應的動作是否為異常動作，若是，則判定所述操作行為是由病毒導致的異常行為；所述異常動作包括：在不正確的安裝目錄或用戶配置目錄中執行的讀文件、寫文件、修改文件、刪除文件、執行文件和/或創建文件的動作；或者，修改注冊表中與文件的配置信息關聯的表項以降低文件安全等級或將釋放的可執行文件寫入開機啟動項；或者，向在URL黑名單中的網址上傳文件和/或下載文件。

2.根據權利要求1所述的方法，所述監控技術還包括對程序的資源占用情況進行監控，所述根據操作行為請求，進行行為識別，得到所述操作行為的信息具體包括：

獲取當前客戶端從啟動開始至當前時間所運行過的各程序的資源占用信息；

根據各程序的資源占用信息和當前客戶端的可用資源信息，分別計算各程序的資源占用率。

3.根據權利要求1所述的方法，本地和/或云端保存有指定的行為對應的動作和/或行為對應的對象的進程白名單；

所述根據所述操作行為的信息，判斷所述操作行為是否為由病毒導致的異常行為具體包括：

查詢所述操作行為的信息所包含的行為發起進程是否屬于所述操作行為的信息所包含的行為對應的動作和/或行為對應的對象對應的進程白名單，若是，則判定所述操作行為不是由病毒導致的異常行為；

所述方法還包括：若所述操作行為不是由病毒導致的異常行為，則執行所述操作行為。

4.根據權利要求1所述的方法，本地和/或云端保存有指定的行為對應的動作和/或行為對應的對象的進程黑名單；

所述根據所述操作行為的信息，判斷所述操作行為是否為由病毒導致的異常行為具體包括：

查詢所述操作行為的信息所包含的行為發起進程是否屬于所述操作行為的信息所包含的行為對應的動作和/或行為對應的對象對應的進程黑名單，若否，則判定所述操作行為是由病毒導致的異常行為。

5.根據權利要求1所述的方法，所述根據所述操作行為的信息，判斷所述操作行為是否為由病毒導致的異常行為具體包括：

判斷所述操作行為的信息所包含的行為對應的對象是否屬于本地和/或云端保存的文件黑名單，若是，則判定所述操作行為是由病毒導致的異常行為。