[发明专利]一种实时防护中检测进程创建的方法及系统

权利要求书

1.一种实时防护中检测进程创建的方法，其特征在于，该方法包括：新建进程后，驱动程序将应用层进行检测时所需要的新建进程的相关信息上报给应用层，通知应用层进行扫描检测；在应用层根据所述新建进程的相关信息进行扫描检测时将所述新建进程挂起。

2.根据权利要求1所述的方法，其特征在于，该方法还包括：所述应用层将检测结果返回所述驱动程序，当所述检测结果为安全时，所述驱动程序将所述新建进程恢复。

3.根据权利要求2所述的方法，其特征在于，进行所述上报前，该方法还包括：所述驱动程序加载时注册进程创建的回调通知函数，每当新进程创建时会调用已注册的所述进程创建的回调通知函数。

4.根据权利要求3所述的方法，其特征在于，将所述新建进程挂起后，该方法还包括：退出所述进程创建的回调通知函数。

5.根据权利要求1至4中任一项所述的方法，其特征在于，将所述新建进程挂起具体包括：所述驱动程序通过调用Windows内核未导出的用于新建进程挂起的应用编程接口(API)，将所述新建进程挂起。

6.根据权利要求2至4中任一项所述的方法，其特征在于，将所述新建进程恢复具体包括：所述驱动程序通过调用Windows内核未导出的用于新建进程恢复的API，将之前被挂起的新建进程重新恢复，并继续执行所述新建进程。

7.一种实时防护中检测进程创建的系统，其特征在于，该系统包括：上报单元、检测单元、进程挂起单元；其中，

所述上报单元，用于新建进程后，驱动程序将应用层进行检测时所需要的新建进程的相关信息上报给应用层，通知应用层进行扫描检测；

所述检测单元，用于应用层根据所述新建进程的相关信息进行扫描检测；

所述进程挂起单元，用于在应用层进行扫描检测时，所述驱动程序将所述新建进程挂起。

8.根据权利要求7所述的系统，其特征在于，该系统还包括：进程恢复单元，用于所述应用层将检测结果返回所述驱动程序，当所述检测结果为安全时，所述驱动程序将所述新建进程恢复。

9.根据权利要求7或8所述的系统，其特征在于，所述进程挂起单元，进一步用于所述驱动程序通过调用Windows内核未导出的用于新建进程挂起的API，将所述新建进程挂起。

10.根据权利要求8所述的系统，其特征在于，所述进程恢复单元，进一步用于所述驱动程序通过调用Windows内核未导出的用于新建进程恢复的API，将之前被挂起的新建进程重新恢复，并继续执行所述新建进程。