[發(fā)明專利]一種防御病毒對文件進(jìn)行操作的方法、裝置和存儲介質(zhì)

有效

• 申請?zhí)枺?/td>: 201711484562.8
• 申請日: 2017-12-29
• 公開（公告）號: CN109472144B
• 公開（公告）日: 2021-09-28
• 發(fā)明（設(shè)計(jì)）人: 李海東;徐翰隆;王小豐;肖新光
• 申請（專利權(quán)）人: 北京安天網(wǎng)絡(luò)安全技術(shù)有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種防御病毒對文件進(jìn)行操作的方法，其特征在于，包括：

確定一個(gè)操作進(jìn)程不是系統(tǒng)文件，且所述操作進(jìn)程沒有有效的數(shù)字簽名，且所述操作進(jìn)程的路徑不在預(yù)設(shè)的授信路徑集合中；

當(dāng)所述操作進(jìn)程的創(chuàng)建時(shí)間與系統(tǒng)當(dāng)前時(shí)間之差小于第一預(yù)設(shè)時(shí)間，且所述操作進(jìn)程在自其創(chuàng)建時(shí)間起第一預(yù)設(shè)時(shí)間段內(nèi)對所述操作進(jìn)程所在主機(jī)上的文檔進(jìn)行刪除或者重命名的操作時(shí)，終止所述操作進(jìn)程；

向上追溯被終止的操作進(jìn)程的每一代父進(jìn)程；

按照追溯到的父進(jìn)程的創(chuàng)建時(shí)間從晚到早的順序，對各個(gè)父進(jìn)程執(zhí)行判定該父進(jìn)程是否為系統(tǒng)文件，判定該父進(jìn)程是否有有效的數(shù)字簽名，判定該父進(jìn)程的路徑是否在預(yù)設(shè)的授信路徑集合中，判定該父進(jìn)程的創(chuàng)建時(shí)間與系統(tǒng)當(dāng)前時(shí)間之差是否小于第二預(yù)設(shè)時(shí)間，判定該父進(jìn)程在自其創(chuàng)建時(shí)間起第二預(yù)設(shè)時(shí)間段內(nèi)是否對所述主機(jī)上的文檔進(jìn)行刪除或者重命名的操作的步驟，在一個(gè)父進(jìn)程被終止后繼續(xù)對該父進(jìn)程的父進(jìn)程執(zhí)行所述判定的步驟，直至出現(xiàn)一個(gè)父進(jìn)程被放行。

2.如權(quán)利要求1所述的方法，其特征在于，在出現(xiàn)以下任意一種情況時(shí)，所述操作進(jìn)程被放行：

確定所述操作進(jìn)程是系統(tǒng)文件；

確定所述操作進(jìn)程不是系統(tǒng)文件，但所述操作進(jìn)程有有效的數(shù)字簽名；

確定所述操作進(jìn)程不是系統(tǒng)文件，且所述操作進(jìn)程沒有有效的數(shù)字簽名，但所述操作進(jìn)程的路徑在預(yù)設(shè)的授信路徑集合中；

確定所述操作進(jìn)程不是系統(tǒng)文件，且所述操作進(jìn)程沒有有效的數(shù)字簽名，且所述操作進(jìn)程的路徑不在預(yù)設(shè)的授信路徑集合中，但所述操作進(jìn)程的創(chuàng)建時(shí)間與系統(tǒng)當(dāng)前時(shí)間之差不小于第一預(yù)設(shè)時(shí)間。

3.如權(quán)利要求1所述的方法，其特征在于，在出現(xiàn)以下任意一種情況時(shí)，一個(gè)父進(jìn)程被放行：

確定該父進(jìn)程是系統(tǒng)文件；

確定該父進(jìn)程不是系統(tǒng)文件，但該父進(jìn)程有有效的數(shù)字簽名；

確定該父進(jìn)程不是系統(tǒng)文件，且該父進(jìn)程沒有有效的數(shù)字簽名，但該父進(jìn)程的路徑在預(yù)設(shè)的授信路徑集合中；

確定該父進(jìn)程不是系統(tǒng)文件，且該父進(jìn)程沒有有效的數(shù)字簽名，且該父進(jìn)程的路徑不在預(yù)設(shè)的授信路徑集合中，但該父進(jìn)程的創(chuàng)建時(shí)間與系統(tǒng)當(dāng)前時(shí)間之差小于第二預(yù)設(shè)時(shí)間。

4.如權(quán)利要求1所述的方法，其特征在于，在確定一個(gè)父進(jìn)程不是系統(tǒng)文件，且該父進(jìn)程沒有有效的數(shù)字簽名，且該父進(jìn)程的路徑不在預(yù)設(shè)的授信路徑集合中后，當(dāng)該父進(jìn)程的創(chuàng)建時(shí)間與系統(tǒng)當(dāng)前時(shí)間之差小于第二預(yù)設(shè)時(shí)間，且該父進(jìn)程在自其創(chuàng)建時(shí)間起第二預(yù)設(shè)時(shí)間段內(nèi)對所述主機(jī)上的文檔進(jìn)行刪除或者重命名的操作時(shí)，終止該父進(jìn)程。

5.如權(quán)利要求1所述的方法，其特征在于，所述方法還包括：

在終止一個(gè)進(jìn)程時(shí)發(fā)出告警，被終止的進(jìn)程為所述操作進(jìn)程或者為一個(gè)父進(jìn)程。

6.一種防御病毒對文件進(jìn)行操作的裝置，其特征在于，所述裝置包括存儲器和處理器，所述存儲器用于存儲多條指令，所述處理器用于加載所述存儲器中存儲的指令以執(zhí)行：

確定一個(gè)操作進(jìn)程不是系統(tǒng)文件，且所述操作進(jìn)程沒有有效的數(shù)字簽名，且所述操作進(jìn)程的路徑不在預(yù)設(shè)的授信路徑集合中；

當(dāng)所述操作進(jìn)程的創(chuàng)建時(shí)間與系統(tǒng)當(dāng)前時(shí)間之差小于第一預(yù)設(shè)時(shí)間，且所述操作進(jìn)程在自其創(chuàng)建時(shí)間起第一預(yù)設(shè)時(shí)間段內(nèi)對所述操作進(jìn)程所在主機(jī)上的文檔進(jìn)行刪除或者重命名的操作時(shí)，終止所述操作進(jìn)程；

在終止所述操作進(jìn)程后，向上追溯被終止的操作進(jìn)程的每一代父進(jìn)程；

按照追溯到的父進(jìn)程的創(chuàng)建時(shí)間從晚到早的順序，對各個(gè)父進(jìn)程執(zhí)行判定該父進(jìn)程是否為系統(tǒng)文件，判定該父進(jìn)程是否有有效的數(shù)字簽名，判定該父進(jìn)程的路徑是否在預(yù)設(shè)的授信路徑集合中，判定該父進(jìn)程的創(chuàng)建時(shí)間與系統(tǒng)當(dāng)前時(shí)間之差是否小于第二預(yù)設(shè)時(shí)間，判定該父進(jìn)程在自其創(chuàng)建時(shí)間起第二預(yù)設(shè)時(shí)間段內(nèi)是否對所述主機(jī)上的文檔進(jìn)行刪除或者重命名的操作的步驟，在一個(gè)父進(jìn)程被終止后繼續(xù)對該父進(jìn)程的父進(jìn)程執(zhí)行所述判定的步驟，直至出現(xiàn)一個(gè)父進(jìn)程被放行。