著录项信息
| 专利名称 | 一种处理计算机病毒的方法、装置及系统 |
| 申请号 | CN201110149163.2 | 申请日期 | 2011-06-03 |
| 法律状态 | 暂无 | 申报国家 | 中国 |
| 公开/公告日 | 2011-09-21 | 公开/公告号 | CN102194072A |
| 优先权 | 暂无 | 优先权号 | 暂无 |
| 主分类号 | G06F21/00 | IPC分类号 | G;0;6;F;2;1;/;0;0查看分类表>
|
| 申请人 | 奇智软件(北京)有限公司 | 申请人地址 |
变更
专利地址、主体等相关变化,请及时变更,防止失效 |
| 权利人 | 北京奇虎科技有限公司,奇智软件(北京)有限公司 | 当前权利人 | 北京奇虎科技有限公司,奇智软件(北京)有限公司 |
| 发明人 | 李博;邹贵强 |
| 代理机构 | 北京集佳知识产权代理有限公司 | 代理人 | 陈蕾;逯长明 |
摘要
本发明实施例公开了一种处理计算机病毒的方法、装置及系统,所述方法包括:获取被计算机病毒感染的文件的文件类型,及所述病毒访问所述文件时所采用进程的进程信息;监控系统中是否发生恶意事件,所述恶意事件为与所述进程信息对应的进程访问属于所述文件类型的文件时所触发的事件;当监控到所述恶意事件发生时,拒绝所述进程访问属于所述文件类型的文件。应用本发明实施例对计算机病毒进行处理时,由于拒绝所有曾对文件进行病毒感染的进程访问相同类型的文件,因此对病毒的传播过程进行了阻止,而非仅仅针对病毒感染的结果文件进行清除,因此可以彻底清除系统中病毒,防止这些病毒再次对其它文件进行传播感染,由此提高了系统的安全性能。
1.一种处理计算机病毒的方法,其特征在于,包括:
获取被计算机病毒感染的文件的文件类型,及所述病毒访问所述文件时所采用进程的进程信息;
监控系统中是否发生恶意事件,所述恶意事件为与所述进程信息对应的进程访问属于所述文件类型的文件时所触发的事件;
当监控到所述恶意事件发生时,拒绝所述进程访问属于所述文件类型的文件。
2.根据权利要求1所述的方法,其特征在于,所述获取被计算机病毒感染的文件的文件类型,及所述病毒访问所述文件时所采用进程的进程信息包括:
从对系统中的文件进行扫描的扫描结果中提取被计算机病毒所感染的文件的文件类型;
通过系统中的文件过滤驱动记录所述病毒访问所述文件时所采用进程的进程ID;
保存所述文件类型与所述进程ID的对应关系。
3.根据权利要求2所述的方法,其特征在于,所述监控系统中是否发生恶意事件包括:
当监控到系统中有进程访问文件时,获取所述进程的进程ID和所述文件的文件类型;
根据所述进程的进程ID和所述文件的文件类型查找所述对应关系;
当在所述对应关系中查找到与所述进程的进程ID和所述文件的文件类型一致的纪录时,确定发生所述恶意事件。
4.根据权利要求1所述的方法,其特征在于,所述拒绝所述进程访问属于所述文件类型的文件具体为:通过文件过滤驱动向所述进程返回拒绝访问属于所述文件类型的文件的指令。
5.根据权利要求1所述的方法,其特征在于,所述获取被病毒感染的文件的文件类型之前,还包括:扫描系统中的文件获得扫描结果,所述扫描结果中记录了系统中被病毒感染的文件。
6.根据权利要求1至5任意一项所述的方法,其特征在于,还包括:清除扫描结果中记录的病毒。
7.根据权利要求1至5任意一项所述的方法,其特征在于,所述方法应用在包含多个杀毒引擎的系统中,还包括:
当所述系统中的一个杀毒引擎获取被计算机病毒感染的文件的文件类型,及所述病毒访问所述文件时所采用进程的进程信息时,将所述文件类型与所述进程信息的对应关系发送给除所述一个杀毒引擎的其它杀毒引擎;
所述其它杀毒引擎保存所述文件类型与所述进程信息之间的对应关系,并在监控到所述恶意事件发生时,根据所述对应关系拒绝所述进程访问属于所述文件类型的文件。
8.一种处理计算机病毒的装置,其特征在于,包括:
获取单元,用于获取被计算机病毒感染的文件的文件类型,及所述病毒访问所述文件时所采用进程的进程信息;
监控单元,用于监控系统中是否发生恶意事件,所述恶意事件为与所述进程信息对应的进程访问属于所述文件类型的文件时所触发的事件;
处理单元,用于当监控到所述恶意事件发生时,拒绝所述进程访问属于所述文件类型的文件。
9.根据权利要求8所述的装置,其特征在于,所述获取单元包括:
文件类型提取单元,用于从对系统中的文件进行扫描的扫描结果中提取被计算机病毒所感染的文件的文件类型;
进程ID记录单元,用于通过系统中的文件过滤驱动记录所述病毒访问所述文件时所采用进程的进程ID;
对应关系保存单元,用于保存所述文件类型与所述进程ID的对应关系。
10.根据权利要求8所述的装置,其特征在于,所述监控单元包括:
监控结果获取单元,用于当监控到系统中有进程访问文件时,获取所述进程的进程ID和所述文件的文件类型;
对应关系查找单元,用于根据所述进程的进程ID和所述文件的文件类型查找所述对应关系;
恶意事件确定单元,用于当在所述对应关系中查找到与所述进程的进程ID和所述文件的文件类型一致的纪录时,确定发生所述恶意事件。
11.根据权利要求8所述的装置,其特征在于,所述处理单元,具体用于通过文件过滤驱动向所述进程返回拒绝访问属于所述文件类型的文件的指令。
12.根据权利要求8所述的装置,其特征在于,还包括:
扫描单元,用于扫描系统中的文件获得扫描结果,所述扫描结果中记录了系统中被病毒感染的文件。
13.根据权利要求8至12任意一项所述的装置,其特征在于,还包括:
清除单元,用于清除扫描结果中记录的病毒。
一种处理计算机病毒的方法、装置及系统\n技术领域\n[0001] 本申请涉及计算机技术领域,特别涉及一种处理计算机病毒的方法、装置及系统。\n背景技术\n[0002] 计算机病毒是编制或者在计算机程序中插入的破坏计算机功能的数据,其会影响计算机的正常使用并且能够自我复制,通常以一组计算机指令或者程序代码的形式呈现。\n计算机病毒具有破坏性,复制性和传染性的特点。当计算机系统中的文件被病毒感染时,需要通过杀毒软件对系统进行扫描,以便清除这些病毒。由于计算机病毒的传播性较强,因此运行后的病毒会尝试感染系统中的其它文件,导致杀毒软件难以彻底清除系统中的病毒。\n[0003] 现有技术中,杀毒软件在对计算机病毒进行扫描时,可以通过Windows系统支持的文件过滤驱动获取系统中被改写的文件,由于杀毒软件的运行基于杀毒引擎的支持,在杀毒引擎中保存了各种计算机病毒的特征码,将这些特征码与被改写的文件进行匹配,如果被改写的文件中包含特征码,则说明被改写的文件中包含计算机病毒,相应清除文件中的病毒代码,或者删除整个病毒文件。发明人在对现有计算机病毒的处理过程进行研究时发现,由于现有计算机病毒的传染性较强,在杀毒软件扫描过程中被清除了病毒的文件,可能短时间内再次被病毒感染,因此现有技术难以有效阻止系统中病毒的传播,降低了系统的安全性能。\n发明内容\n[0004] 本申请实施例的目的在于提供一种处理计算机病毒的方法、装置及系统,以解决现有技术中难以有效阻止病毒传播,从而降低系统安全性的问题。\n[0005] 为解决上述技术问题,本申请实施例提供如下技术方案:\n[0006] 一种处理计算机病毒的方法,包括:\n[0007] 获取被计算机病毒感染的文件的文件类型,及所述病毒访问所述文件时所采用进程的进程信息;\n[0008] 监控系统中是否发生恶意事件,所述恶意事件为与所述进程信息对应的进程访问属于所述文件类型的文件时所触发的事件;\n[0009] 当监控到所述恶意事件发生时,拒绝所述进程访问属于所述文件类型的文件。\n[0010] 所述获取被计算机病毒感染的文件的文件类型,及所述病毒访问所述文件时所采用进程的进程信息包括:\n[0011] 从对系统中的文件进行扫描的扫描结果中提取被计算机病毒所感染的文件的文件类型;\n[0012] 通过系统中的文件过滤驱动记录所述病毒访问所述文件时所采用进程的进程ID;\n[0013] 保存所述文件类型与所述进程ID的对应关系。\n[0014] 所述监控系统中是否发生恶意事件包括:\n[0015] 当监控到系统中有进程访问文件时,获取所述进程的进程ID和所述文件的文件类型;\n[0016] 根据所述进程的进程ID和所述文件的文件类型查找所述对应关系;\n[0017] 当在所述对应关系中查找到与所述进程的进程ID和所述文件的文件类型一致的纪录时,确定发生所述恶意事件。\n[0018] 所述拒绝所述进程访问属于所述文件类型的文件具体为:通过文件过滤驱动向所述进程返回拒绝访问属于所述文件类型的文件的指令。\n[0019] 所述获取被病毒感染的文件的文件类型之前,还包括:扫描系统中的文件获得扫描结果,所述扫描结果中记录了系统中被病毒感染的文件。\n[0020] 还包括:清除扫描结果中记录的病毒。\n[0021] 所述方法应用在包含多个杀毒引擎的系统中,还包括:\n[0022] 当所述系统中的一个杀毒引擎获取被计算机病毒感染的文件的文件类型,及所述病毒访问所述文件时所采用进程的进程信息时,将所述文件类型与所述进程信息的对应关系发送给除所述一个杀毒引擎的其它杀毒引擎;\n[0023] 所述其它杀毒引擎保存所述文件类型与所述进程信息之间的对应关系,并在监控到所述恶意事件发生时,根据所述对应关系拒绝所述进程访问属于所述文件类型的文件。\n[0024] 一种处理计算机病毒的装置,包括:\n[0025] 获取单元,用于获取被计算机病毒感染的文件的文件类型,及所述病毒访问所述文件时所采用进程的进程信息;\n[0026] 监控单元,用于监控系统中是否发生恶意事件,所述恶意事件为与所述进程信息对应的进程访问属于所述文件类型的文件时所触发的事件;\n[0027] 处理单元,用于当监控到所述恶意事件发生时,拒绝所述进程访问属于所述文件类型的文件。\n[0028] 所述获取单元包括:\n[0029] 文件类型提取单元,用于从对系统中的文件进行扫描的扫描结果中提取被计算机病毒所感染的文件的文件类型;\n[0030] 进程ID记录单元,用于通过系统中的文件过滤驱动记录所述病毒访问所述文件时所采用进程的进程ID;\n[0031] 对应关系保存单元,用于保存所述文件类型与所述进程ID的对应关系。\n[0032] 所述监控单元包括:\n[0033] 监控结果获取单元,用于当监控到系统中有进程访问文件时,获取所述进程的进程ID和所述文件的文件类型;\n[0034] 对应关系查找单元,用于根据所述进程的进程ID和所述文件的文件类型查找所述对应关系;\n[0035] 恶意事件确定单元,用于当在所述对应关系中查找到与所述进程的进程ID和所述文件的文件类型一致的纪录时,确定发生所述恶意事件。\n[0036] 所述处理单元,具体用于通过文件过滤驱动向所述进程返回拒绝访问属于所述文件类型的文件的指令。\n[0037] 还包括:\n[0038] 扫描单元,用于扫描系统中的文件获得扫描结果,所述扫描结果中记录了系统中被病毒感染的文件。\n[0039] 还包括:\n[0040] 清除单元,用于清除扫描结果中记录的病毒。\n[0041] 一种处理计算机病毒的系统,包括一个第一杀毒引擎设备,和至少一个第二杀毒引擎设备,其中,\n[0042] 所述第一杀毒引擎设备,用于获取被计算机病毒感染的文件的文件类型,及所述病毒访问所述文件时所采用进程的进程信息,监控所述第一杀毒引擎设备的系统中是否发生恶意事件,所述恶意事件为与所述进程信息一致的进程访问属于所述文件类型的文件时所触发的事件,当监控到所述恶意事件发生时,拒绝所述进程访问属于所述文件类型的文件。\n[0043] 所述第一杀毒引擎设备,还用于将所述文件类型与所述进程信息的对应关系发送给所述至少一个第二杀毒引擎设备;\n[0044] 所述第二杀毒引擎设备,用于保存所述文件类型与所述进程信息之间的对应关系,并在监控到所述恶意事件发生时,根据所述对应关系拒绝所述进程访问属于所述文件类型的文件。\n[0045] 由以上本申请实施例提供的技术方案可见,本申请实施例中获取被计算机病毒感染的文件的文件类型,及该病毒访问该文件时所采用进程的进程信息,监控系统中是否发生恶意事件,当监控到所述恶意事件发生时,拒绝与该进程信息对应的进程访问属于该文件类型的文件。应用本申请实施例对计算机病毒进行处理时,由于拒绝所有曾对文件进行病毒感染的进程访问相同类型的文件,因此对病毒的传播过程进行了阻止,而非仅仅针对病毒感染的结果文件进行清除,因此可以有效阻止系统中病毒的传播,防止这些病毒再次对其它文件进行传播感染,由此提高了系统的安全性能。\n附图说明\n[0046] 为了更清楚地说明本申请实施例或现有技术中的技术方案,下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍,显而易见地,对于本领域普通技术人员而言,在不付出创造性劳动性的前提下,还可以根据这些附图获得其他的附图。\n[0047] 图1为本申请处理计算机病毒的方法的第一实施例流程图;\n[0048] 图2为本申请处理计算机病毒的方法的第二实施例流程图;\n[0049] 图3为本申请处理计算机病毒的装置的第一实施例框图;\n[0050] 图4为本申请处理计算机病毒的装置的第二实施例框图;\n[0051] 图5为本申请处理计算机病毒的系统的实施例框图。\n具体实施方式\n[0052] 在如下本申请的多个实施例中,分别提供了一种处理计算机病毒的方法、装置及系统。\n[0053] 为了使本技术领域的人员更好地理解本申请实施例中的技术方案,并使本申请实施例的上述目的、特征和优点能够更加明显易懂,下面结合附图对本申请实施例中技术方案作进一步详细的说明。\n[0054] 参见图1,为本申请处理计算机病毒的方法的第一实施例流程图:\n[0055] 步骤101:获取被计算机病毒感染的文件的文件类型,及该病毒访问该文件时所采用进程的进程信息。\n[0056] 具体的,从对系统中的文件进行扫描的扫描结果中提取病毒所感染的文件的文件类型,通过系统中的文件过滤驱动记录所述病毒访问所述文件时所采用进程的进程ID,保存所述文件类型与所述进程ID的对应关系。\n[0057] 步骤102:监控系统中是否发生恶意事件,该恶意事件为与该进程信息对应的进程访问属于该文件类型的文件时所触发的事件。\n[0058] 具体的,当监控到系统中有进程访问文件时,获取所述进程的进程ID和所述文件的文件类型,根据所述进程的进程ID和所述文件的文件类型查找所述对应关系,当在所述对应关系中查找到与所述进程的进程ID和所述文件的文件类型一致的纪录时,确定发生所述恶意事件。\n[0059] 步骤103:当监控到该恶意事件发生时,拒绝该进程访问属于该文件类型的文件。\n[0060] 具体的,通过文件过滤驱动向所述进程返回拒绝访问属于所述文件类型的文件的指令。\n[0061] 进一步,可以先扫描系统中的文件,以获得记录了系统中被病毒感染的文件的扫描结果,并可以根据该扫描结果对病毒进行清除。\n[0062] 由上述实施例可知,对计算机病毒进行处理时,由于拒绝所有曾对文件进行病毒感染的进程访问相同类型的文件,因此对病毒的传播过程进行了阻止,而非仅仅针对病毒感染的结果文件进行清除,因此可以彻底清除系统中病毒,防止这些病毒再次对其它文件进行传播感染,由此提高了系统的安全性能。\n[0063] 参见图2,为本申请处理计算机病毒的方法的第二实施例流程图:\n[0064] 步骤201:扫描系统中的文件获得扫描结果,该扫描结果中记录了系统中被病毒感染的文件。\n[0065] 系统中的杀毒引擎通过扫描系统中的文件以确定被病毒感染的文件,其中杀毒引擎可以通过文件过滤驱动获得文件被改写的事件,从而确定系统中被改写的文件;杀毒引擎从被改写的文件中提取被改写的特征,并调用预先存储在特征库中的病毒特征,将上述两种特征进行对比,如果所提取的特征与病毒特征匹配,则表示被改写的文件已经被病毒感染,此时可以采用病毒清除方式清除文件中的病毒代码,解除病毒对文件的影响,同时被病毒感染的文件将记录在扫描结果中。\n[0066] 步骤202:从扫描结果中提取病毒所感染的文件的文件类型。\n[0067] 通常容易被病毒感染的文件的文件类型包括EXE类文件、office文档类文件、和网页类型文件等,对上述类型的文件进行杀毒的方式类似,即根据特征库中对病毒代码的描述,将感染了病毒的文件中的病毒代码删除或者屏蔽。\n[0068] 步骤203:通过系统中的文件过滤驱动记录该病毒访问该文件时所采用进程的进程ID。\n[0069] 计算机病毒对系统中的文件进行感染时,通常将病毒代码存放在文件中必然被执行的位置,即通过病毒代码对文件进行改写,例如,病毒代码通常写入到EXE类文件的默认入口函数中,或者office文档类文件的宏代码中,或者网页文件任意位置。通常被病毒改写的文件,其原有的功能不受影响,因此用户难以发现文件被改写,但是当用户打开该文件时,病毒代码则会运行,将病毒传播到系统中的其它文件,甚至通过网络传播到与当前系统有连接的其它系统中。\n[0070] 病毒代码对文件进行该写时,需要通过相应的进程访问来访问文件,而系统中任何进程对文件的访问都可以由文件过滤驱动检测到,即文件过滤驱动可以获知访问文件的进程的进程ID和访问文件的文件路径。\n[0071] 步骤204:保存该文件类型与进程ID的对应关系。\n[0072] 例如,某病毒通过进程A对B类型的文件C进行了改写,则当杀毒引擎根据扫描结果获知文件C已经感染病毒时,可以获知文件C的类型为B,并通过文件过滤驱动获知进程A的进程ID为A,记录上述进程ID“A”与文件类型“B”的对应关系。\n[0073] 步骤205:判断是否监控到系统中有进程访问文件,若是,则执行步骤206;否则,返回步骤205。\n[0074] 步骤206:获取该进程的进程ID和所访问文件的文件类型。\n[0075] 步骤207:根据该进程的进程ID和所访问文件的文件类型查找保存的对应关系。\n[0076] 步骤208:判断是否在对应关系中查找到与该进程的进程ID和所访问文件的文件类型一致的纪录,若是,则执行步骤209;否则,返回步骤205。\n[0077] 步骤209:通过文件过滤驱动向所述进程返回拒绝访问属于所述文件类型的文件的指令,结束当前流程。\n[0078] 假设监控到系统中的进程A要发起对文件D和文件E的访问,其中文件D的文件类型为B,文件E的文件类型为F,则获取到两组记录,分别为文件D对应的进程A与文件类型B,以及文件E对应的进程A与文件类型F,将上述两组记录与预先保存的对应关系进行对比,可以确定第一组记录与预先保存的对应关系匹配,因此阻止进程A对文件D的访问,此时文件过滤驱动向进程A发出拒绝其访问文件D的指令;同时,文件过滤驱动向进程A发出允许其访问文件E的指令。\n[0079] 上述实施例中,当改写文件的进程为被病毒利用的普通进程时,由于仅记录了该进程与被病毒改写的文件的文件类型的对应关系,因此其访问系统中其它类型的文件的功能不受影响,在抑制病毒传播的同时,可以正常使用其功能。应用本申请实施例对计算机病毒进行处理时,由于拒绝所有曾对文件进行病毒感染的进程访问相同类型的文件,因此对病毒的传播过程进行了阻止,而非仅仅针对病毒感染的结果文件进行清除,因此可以彻底清除系统中病毒,防止这些病毒再次对其它文件进行传播感染,由此提高了系统的安全性能。\n[0080] 另外,上述处理计算机病毒的方法的实施例还可以应用在包括多个杀毒引擎的系统中,该系统中的其中一个杀毒引擎应用前述实施例获取了被计算机病毒感染的文件的文件类型,及病毒访问该文件时所采用进程的进程信息时,可以将该文件类型与进程信息的对应关系发送给系统中的其它杀毒引擎,其它杀毒引擎可以保存该文件类型与进程信息之间的对应关系,在监测到恶意事件发生时,可以根据保存的对应关系拒绝进程访问属于该文件类型的文件。由此可知,本申请实施例应用在包含多个杀毒引擎的系统中时,当一个系统获取到了对应恶意事件的文件类型和进程信息的对应关系后,其它具有同等功能的杀毒引擎可以直接使用该对应关系。\n[0081] 与本申请处理计算机病毒的方法的实施例相对应,本申请还提供了处理计算机病毒的装置的实施例。\n[0082] 参见图3,为本申请处理计算机病毒的装置的第一实施例框图:\n[0083] 该装置包括:获取单元310、监控单元320和处理单元330。\n[0084] 其中,获取单元310,用于获取被计算机病毒感染的文件的文件类型,及所述病毒访问所述文件时所采用进程的进程信息;\n[0085] 监控单元320,用于监控系统中是否发生恶意事件,所述恶意事件为与所述进程信息对应的进程访问属于所述文件类型的文件时所触发的事件;\n[0086] 处理单元330,用于当监控到所述恶意事件发生时,拒绝所述进程访问属于所述文件类型的文件。\n[0087] 参见图4,为本申请处理计算机病毒的装置的第二实施例框图:\n[0088] 该装置包括:扫描单元410、清除单元420、获取单元430、监控单元440和处理单元450。\n[0089] 其中,扫描单元410,用于扫描系统中的文件获得扫描结果,所述扫描结果中记录了系统中被病毒感染的文件。\n[0090] 清除单元420,用于清除扫描结果中记录的病毒;\n[0091] 获取单元430,用于获取被计算机病毒感染的文件的文件类型,及所述病毒访问所述文件时所采用进程的进程信息;\n[0092] 监控单元440,用于监控系统中是否发生恶意事件,所述恶意事件为所述进程访问属于所述文件类型的文件时所触发的事件;\n[0093] 处理单元450,用于当监控到所述恶意事件发生时,拒绝所述进程访问属于所述文件类型的文件。\n[0094] 具体的,获取单元430可以包括(图4中未示出):\n[0095] 文件类型提取单元,用于从对系统中的文件进行扫描的扫描结果中提取病毒所感染的文件的文件类型;\n[0096] 进程ID记录单元,用于通过系统中的文件过滤驱动记录所述病毒访问所述文件时所采用进程的进程ID;\n[0097] 对应关系保存单元,用于保存所述文件类型与所述进程ID的对应关系。\n[0098] 具体的,监控单元440可以包括(图4中未示出):\n[0099] 监控结果获取单元,用于当监控到系统中有进程访问文件时,获取所述进程的进程ID和所述文件的文件类型;\n[0100] 对应关系查找单元,用于根据所述进程的进程ID和所述文件的文件类型查找所述对应关系;\n[0101] 恶意事件确定单元,用于当在所述对应关系中查找到与所述进程的进程ID和所述文件的文件类型一致的纪录时,确定发生所述恶意事件。\n[0102] 具体的,处理单元450可以用于通过文件过滤驱动向所述进程返回拒绝访问属于所述文件类型的文件的指令。\n[0103] 参见图5,为本申请处理计算机病毒的系统的实施例框图:\n[0104] 该系统包括:一个第一杀毒引擎设备,和至少一个第二杀毒引擎设备。图5中为了示例方便,示出了一个第一杀毒引擎设备510,以及二个第二杀毒引擎设备520,在实际应用中,可以仅包括一个第二杀毒引擎设备520,也可以包括两个以上的第二杀毒引擎设备\n520。\n[0105] 其中,所述第一杀毒引擎设备510,用于获取被计算机病毒感染的文件的文件类型,及所述病毒访问所述文件时所采用进程的进程信息,监控所述第一杀毒引擎设备的系统中是否发生恶意事件,所述恶意事件为与所述进程信息一致的进程访问属于所述文件类型的文件时所触发的事件,当监控到所述恶意事件发生时,拒绝所述进程访问属于所述文件类型的文件。\n[0106] 进一步,所述第一杀毒引擎设备510,还用于将所述文件类型与所述进程信息的对应关系发送给所述多个第二杀毒引擎设备520;\n[0107] 所述第二杀毒引擎设备520,用于保存所述文件类型与所述进程信息之间的对应关系,并在监控到所述恶意事件发生时,根据所述对应关系拒绝所述进程访问属于所述文件类型的文件。\n[0108] 需要说明的是,上述第一杀毒引擎设备和第二杀毒引擎设备中的“第一”和“第二”仅为了命名方便,系统中的每个杀毒引擎设备本身具有的功能相互对等,也就是图5中任意一个第二杀毒引擎设备也可以具有第一杀毒引擎设备的功能,同样第一杀毒引擎设备也可以具有第二杀毒引擎设备的功能。\n[0109] 通过以上的实施方式的描述可知,本申请实施例中获取被计算机病毒感染的文件的文件类型,及该病毒访问该文件时所采用进程的进程信息,监控系统中是否发生恶意事件,当监控到所述恶意事件发生时,拒绝与该进程信息对应的进程访问属于该文件类型的文件。应用本申请实施例对计算机病毒进行处理时,由于拒绝所有曾对文件进行病毒感染的进程访问相同类型的文件,因此对病毒的传播过程进行了阻止,而非仅仅针对病毒感染的结果文件进行清除,因此可以有效阻止系统中病毒的传播,防止这些病毒再次对其它文件进行传播感染,由此提高了系统的安全性能。\n[0110] 本领域的技术人员可以清楚地了解到本申请实施例中的技术可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解,本申请实施例中的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来,该计算机软件产品可以存储在存储介质中,如ROM/RAM、磁碟、光盘等,包括若干指令用以使得一台计算机设备(可以是个人计算机,服务器,或者网络设备等)执行本申请各个实施例或者实施例的某些部分所述的方法。\n[0111] 本说明书中的各个实施例均采用递进的方式描述,各个实施例之间相同相似的部分互相参见即可,每个实施例重点说明的都是与其他实施例的不同之处。尤其,对于系统实施例而言,由于其基本相似于方法实施例,所以描述的比较简单,相关之处参见方法实施例的部分说明即可。\n[0112] 以上所述的本申请实施方式,并不构成对本申请保护范围的限定。任何在本申请的精神和原则之内所作的修改、等同替换和改进等,均应包含在本申请的保护范围之内。
法律信息
- 2013-07-03
专利权的转移
登记生效日: 2013.06.05
专利权人由奇智软件(北京)有限公司变更为北京奇虎科技有限公司
地址由100025 北京市朝阳区酒仙桥路14号兆维大厦4层东侧单元变更为100088 北京市西城区新街口外大街28号D座112室(德胜园区)
专利权人变更为奇智软件(北京)有限公司
- 2012-11-14
- 2011-11-23
实质审查的生效
IPC(主分类): G06F 21/00
专利申请号: 201110149163.2
申请日: 2011.06.03
- 2011-09-21
引用专利(该专利引用了哪些专利)
序号 | 公开(公告)号 | 公开(公告)日 | 申请日 | 专利名称 | 申请人 | 该专利没有引用任何外部专利数据! |
被引用专利(该专利被哪些专利引用)
序号 | 公开(公告)号 | 公开(公告)日 | 申请日 | 专利名称 | 申请人 | 该专利没有被任何外部专利所引用! |