[發明專利]一種應用防護監控方法、裝置以及系統

有效

• 申請號: 201710008087.0
• 申請日: 2017-01-05
• 公開（公告）號: CN108280346B
• 公開（公告）日: 2022-05-31
• 發明（設計）人: 王志
• 申請（專利權）人: 騰訊科技（深圳）有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 廣州三環專利商標代理有限公司 44202
• 代理人: 郝傳鑫;熊永強

1.一種應用防護監控方法，其特征在于，包括：

客戶端獲取目標異常行為參數列表；所述目標異常行為參數列表包括所述客戶端相關聯的至少一個目標操作類型以及第一異常行為條件；

所述客戶端監控各目標操作類型分別對應的操作行為，并統計各類操作行為的操作次數，將各類操作行為的操作次數確定為行為特征；

當所述行為特征滿足所述第一異常行為條件時，所述客戶端將所述行為特征以及當前運行進程的信息發送至服務器；所述當前運行進程的信息包括：當前運行進程的進程名以及當前運行進程的程序特征碼；所述程序特征碼包括進程所觸發的行為操作的信息；

所述服務器在預設的非法進程信息庫中查找所述當前運行進程的進程名中的非法進程名，并根據與所述客戶端關聯的第二異常行為條件確定所述當前運行進程的程序特征碼中的非法程序特征碼；

將查找出的所述非法進程名和所述非法程序特征碼確定為目標非法進程信息；

在預設的異常行為條件集合中確定與所述行為特征、所述目標非法進程信息中的所述非法進程名以及所述非法程序特征碼分別對應的待監控操作類型，并在所述異常行為條件集合中獲取與所述待監控操作類型對應的異常行為條件；

將所述待監控操作類型以及所述待監控操作類型對應的異常行為條件添加至異常行為參數更新列表，并發送所述目標非法進程信息和所述異常行為參數更新列表到所述客戶端；

所述客戶端對所述目標非法進程信息對應的進程進行關閉操作，并將所述目標異常行為參數列表更新為所述異常行為參數更新列表，以便于繼續根據所述異常行為參數更新列表監控所述客戶端關聯的異常行為。

2.如權利要求1所述的方法，其特征在于，在所述當所述行為特征滿足所述第一異常行為條件時，所述客戶端將所述行為特征以及當前運行進程的信息發送至所述服務器的步驟之前，還包括：

獲取所述目標異常行為參數列表中各目標操作類型分別對應的次數閾值；

判斷各目標操作類型分別對應的操作行為的操作次數是否均小于所對應的次數閾值；

若判斷為是，則確定所述行為特征不滿足所述第一異常行為條件；

若判斷為否，則確定所述行為特征滿足所述第一異常行為條件。

3.如權利要求2所述的方法，其特征在于，所述判斷各目標操作類型分別對應的操作行為的操作次數是否均小于所對應的次數閾值的步驟之前，還包括：

檢測對所述各目標操作類型分別對應的操作行為的監控時長是否達到預設時長閾值；

若檢測為是，則重置各種操作行為的操作次數，并重置所述監控時長，并重新統計所述各種操作行為的操作次數；

若檢測為否，則執行所述判斷各目標操作類型分別對應的操作行為的操作次數是否均小于所對應的次數閾值的步驟。

4.如權利要求1所述的方法，其特征在于，所述根據與所述客戶端關聯的第二異常行為條件確定所述當前運行進程的程序特征碼中的非法程序特征碼，具體包括：

分析所述當前運行進程的程序特征碼所指示的進程行為特征，并將滿足與所述客戶端關聯的第二異常行為條件的進程行為特征對應的程序特征碼確定為非法程序特征碼；所述第二異常行為條件是根據所述第一異常行為條件所設定的。