基于程序行为分析的计算机防护方法

1.一种基于程序行为分析的计算机防护方法，其特征在于：对计算机运行的指令或指令集进行分类，并为所述指令或指令集设置危险系数；监控运行的程序行为，累计将要运行或已经运行的指令或指令集的危险系数，在所述系数的和大于设定的阈值时，中断所述程序的运行。
2.按照权利要求1所述基于程序行为分析的计算机防护方法，其特征在于，选择出可能危及计算机安全的指令或指令集进行分类。
3.按照权利要求2所述基于程序行为分析的计算机防护方法，其特征在于，所述指令或指令集为下述操作的指令或指令集：文件操作；网络操作；创建进程或线程操作；注册表操作；窗口、托盘操作；堆栈操作；注入线程操作；拦截系统API调用以及访问、修改和创建用户帐号操作。
4.按照权利要求3所述基于程序行为分析的计算机防护方法，其特征在于，所述程序行为为下述程序户行为：调用操作系统外壳程序；修改程序文件或写程序文件；调用FTP或TFTP；创建FTP或TFTP服务；发送邮件；浏览器或邮件系统自动运行其他程序；创建超过预定数量的相同线程；修改和创建用户帐号；向系统注册表添加启动项；修改系统启动文件；向其他进程注入线程；堆栈操作；应用级进程自动提升为系统级进程操作；拦截系统API调用。
5.按照权利要求1所述基于程序行为分析的计算机防护方法，其特征在于：将监控程序嵌入到操作系统的API函数中，实现对程序的动作行为的监控。
6.按照权利要求5所述基于程序行为分析的计算机防护方法，其特征在于：通过被监控程序运行的指令，记录被监控程序的动作行为。
7.按照权利要求1、2、3、4、5或6所述基于程序行为分析的计算机防护方法，其特征在于还包括：建立已知程序档案库，用于存储已知程序的标识和所述已知程序的特征数据；以及，判断被监控的程序是否是已知程序，如果是，利用已知程序档案库中的特征数据判断所述被监控程序是否完好，如果完好，结束判断，否则中止所述已知程序的执行。
8.按照权利要求7所述基于程序行为分析的计算机防护方法，其特征在于还包括：建立攻击识别规则库，用于存储明显破坏计算机安全的计算机指令或指令集；以及，在被监控的程序不是已知程序时，利用攻击识别规则库中的特指令或指令集判断所述被监控程序是否为危险程序，如果是，中止所述已知程序的执行。
9.按照权利要求8所述基于程序行为分析的计算机防护方法，其特征在于，所述攻击识别规则库，包括下述规则及一个以上下述的规则的任意组合：a)运行于用户层的程序，转入系统核心层RING0运行；和/或；b)执行修改其他程序文件的操作；和/或；c)通过监听端口接收数据后，立即调用操作系统的外壳程序；和/或；d)通过监听端口接收数据后，使系统缓冲区溢出；和/或；e)通过监听端口接收数据后，立即调用一般文件传输协议程序传输数据；和/或；f)由邮件系统自动生成，且该程序运行时修改注册表的自启动项，该程序无窗口、无托盘，并且立即开始发送邮件；和/或；g)由邮件系统自动生成，且该程序运行时修改注册表的自启动项，该程序无窗口、无托盘，并且立即开始创建监听端口。

暂无