[发明专利]文件宏病毒免疫方法和装置

权利要求书

1.一种文件宏病毒免疫方法，包括：

截获Office进程的文件行为请求；

依据所述文件行为请求，分析得到相应文件行为的信息；

利用所述文件行为的信息，判断所述文件行为是否为宏病毒行为；

在所述文件行为是Office进程修改模板文件的宏病毒行为时，允许所截获的文件行为请求；

在所述文件行为是除Office进程修改模板文件的行为之外的宏病毒行为时，阻止所截获的文件行为请求；

其中，所述依据所述文件行为请求，分析得到相应文件行为的信息的步骤，包括：

分析所述文件行为请求中携带的应用程序接口API的参数，得到相应文件行为的信息；

所述文件行为的信息至少包括如下信息中的一项或多项：文件路径，行为名称，共享方式和文件属性；所述文件属性至少包括如下属性中的一项或多项：普通，只读，隐藏，加密和压缩。

2.如权利要求1所述的方法，其特征在于，所述利用所述文件行为的信息，判断所述文件行为是否为宏病毒行为的步骤，包括：

将所述文件行为的信息与已知宏病毒行为的信息进行匹配，若匹配成功，则确定所述文件行为是宏病毒行为。

3.如权利要求1所述的方法，其特征在于，所述利用所述文件行为的信息，判断所述文件行为是否为宏病毒行为的步骤，包括：

依据所述文件行为的信息，判断所述文件行为对应文件为本次计算机运行期间未被Office进程修改过的已有文件还是被Office进程修改过的新文件；

将所述文件行为的信息和所述文件行为对应文件的判断结果与已知宏病毒行为的信息进行匹配，若匹配成功，则确定所述文件行为是宏病毒行为。

4.如权利要求1所述的方法，其特征在于，还包括：

若所述文件行为是Office进程修改模板文件的宏病毒行为，则在所述Office进程结束时，判断修改后的模板文件是否带有宏，若是，则使用预先备份的不带有宏的模板文件替换所述修改后的模板文件；

所述判断修改后的模板文件是否带有宏的步骤，包括：

以二进制的格式打开所述修改后的模板文件；

判断所述修改后的模板文件的二进制内容中是否包含有宏标识，若是，则判断修改后的模板文件带有宏，否则判断修改后的模板文件不带有宏。

5.如权利要求2或3所述的方法，其特征在于，还包括：

当匹配失败时，判断所述文件行为对应文件或目录是否在白名单数据集中；

当所述文件行为对应文件或目录在白名单数据集中时，确定所述文件行为不是宏病毒行为；

当所述文件行为对应文件或目录不在白名单数据集中时，判断所述文件行为对应文件或目录是否在黑名单数据集中；

当所述文件行为对应文件或目录在黑名单数据集中时，确定所述文件行为是宏病毒行为；

当所述文件行为对应文件或目录不在黑名单数据集中时，判断所述文件行为对应文件或目录为本次计算机运行期间未被Office进程修改过的已有文件或目录还是被Office进程修改过的新文件或目录；

当所述文件行为对应文件或目录为本次计算机运行期间未被Office进程修改过的已有文件或目录时，确定所述文件行为不是宏病毒行为；

当所述文件行为对应文件或目录为本次计算机运行期间被Office进程修改过的新文件或目录时，确定所述文件行为是宏病毒行为。

6.如权利要求3所述的方法，其特征在于，所述依据所述文件行为的信息，判断所述文件行为对应文件为本次计算机运行期间未被Office进程修改过的已有文件还是被Office进程修改过的新文件的步骤，包括：

维护第一文件集合和第二文件集合；所述第一文件集合包括本次计算机运行期间未被Office进程修改过的已有文件，所述第二文件集合包括Office进程操作过的已有文件；

依据所述文件行为的信息，判断所述文件行为对应文件是否在所述第一文件集合或第二文件集合中；

当所述文件行为对应文件在所述第一文件集合中时，判断所述文件行为对应文件为本次计算机运行期间未被Office进程修改过的已有文件；

当所述文件行为对应文件在所述第二文件集合中时，判断所述文件行为对应文件为本次计算机运行期间被Office进程修改过的新文件。