[發(fā)明專利]一種異常進程的處置方法及相關(guān)裝置

在審

• 申請?zhí)枺?/td>: 202110700513.3
• 申請日: 2021-06-23
• 公開（公告）號: CN113312201A
• 公開（公告）日: 2021-08-27
• 發(fā)明（設(shè)計）人: 李飛虎
• 申請（專利權(quán)）人: 深信服科技股份有限公司
• 主分類號: G06F11/07
• 分類號: G06F11/07
• 代理公司: 深圳市深佳知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 44285
• 代理人: 張金香

1.一種異常進程的處置方法，其特征在于，包括：

檢測異常進程；

根據(jù)進程行為關(guān)系對所述異常進程進行匹配，得到行為記錄；其中，所述進程行為關(guān)系包括進程與行為記錄的關(guān)聯(lián)關(guān)系；

根據(jù)所述行為記錄執(zhí)行痕跡處置操作。

2.根據(jù)權(quán)利要求1所述的處置方法，其特征在于，獲取所述進程行為關(guān)系的步驟，包括：

獲取每個進程的操作行為；

以進程為單位對所有所述操作行為進行關(guān)聯(lián)，得到所述進程行為關(guān)系。

3.根據(jù)權(quán)利要求2所述的處置方法，其特征在于，獲取每個進程的操作行為，包括：

通過內(nèi)核驅(qū)動程序和/或應(yīng)用層掛鉤接口獲取每個進程的操作行為。

4.根據(jù)權(quán)利要求1所述的處置方法，其特征在于，檢測異常進程，包括：

根據(jù)云端獲取的異常進程行為特征庫檢測所述異常進程。

5.根據(jù)權(quán)利要求1所述的處置方法，其特征在于，根據(jù)所述行為記錄執(zhí)行痕跡處置操作，包括：

根據(jù)行為結(jié)果信息對多個所述行為記錄進行篩選，得到多個關(guān)鍵行為；

對所述多個關(guān)鍵行為執(zhí)行痕跡處置操作。

6.根據(jù)權(quán)利要求1所述的處置方法，其特征在于，根據(jù)所述行為記錄執(zhí)行痕跡處置操作，包括：

從云端平臺獲取關(guān)鍵行為特征庫；

根據(jù)所述關(guān)鍵行為特征庫對多個所述行為記錄進行篩選，得到多個關(guān)鍵行為；

對所述多個關(guān)鍵行為執(zhí)行痕跡處置操作。

7.根據(jù)權(quán)利要求1至6任一項所述的處置方法，其特征在于，所述執(zhí)行痕跡處置操作的步驟，包括：

清除行為對應(yīng)的計劃任務(wù)數(shù)據(jù)、注冊表啟動項、自啟動文件、衍生文件中的一種或多種的組合。

8.一種異常進程的處置裝置，其特征在于，包括：

異常進程檢測模塊，用于檢測異常進程；

進程行為檢索模塊，用于根據(jù)進程行為關(guān)系對所述異常進程進行匹配，得到行為記錄；其中，所述進程行為關(guān)系包括進程與行為記錄的關(guān)聯(lián)關(guān)系；

行為痕跡處理模塊，用于根據(jù)所述行為記錄執(zhí)行痕跡處置操作。

9.一種服務(wù)器，其特征在于，包括：

存儲器，用于存儲計算機程序；

處理器，用于執(zhí)行所述計算機程序時實現(xiàn)如權(quán)利要求1至7任一項所述的處置方法的步驟。

10.一種計算機可讀存儲介質(zhì)，其特征在于，所述計算機可讀存儲介質(zhì)上存儲有計算機程序，所述計算機程序被處理器執(zhí)行時實現(xiàn)如權(quán)利要求1至7任一項所述的處置方法的步驟。