[发明专利]一种文件病毒免疫的方法和装置

权利要求书

1.一种文件病毒免疫方法，包括：

在病毒检测引擎的检测通知任务发出后，通过监控技术，截获与文件有关的操作行为请求；

根据所述操作行为请求，进行行为识别，得到所述操作行为的信息，所述操作行为的信息包括行为发起进程以及行为对应的动作和行为对应的对象，其中，所述监控技术包括：文件监控技术、注册表监控技术或网络监控技术；若所述监控技术为文件监控技术，所述行为对应的动作包括：读文件、写文件、修改文件、删除文件、执行文件和/或创建文件；若所述监控技术为注册表监控技术，所述行为对应的动作包括：修改注册表中与文件的配置信息关联的表项；若所述监控技术为网络监控技术，所述行为对应的动作包括：上传文件和/或下载文件；

根据所述操作行为的信息，判断所述操作行为是否为由病毒导致的异常行为；

若所述操作行为是由病毒导致的异常行为，则向用户发出提示信息或拦截所述操作行为；

其中，所述根据所述操作行为的信息，判断所述操作行为是否为由病毒导致的异常行为具体包括：判断所述操作行为的信息所包含的行为对应的动作是否为异常动作，若是，则判定所述操作行为是由病毒导致的异常行为；所述异常动作包括：在不正确的安装目录或用户配置目录中执行的读文件、写文件、修改文件、删除文件、执行文件和/或创建文件的动作；或者，修改注册表中与文件的配置信息关联的表项以降低文件安全等级或将释放的可执行文件写入开机启动项；或者，向在URL黑名单中的网址上传文件和/或下载文件。

2.根据权利要求1所述的方法，所述监控技术还包括对程序的资源占用情况进行监控，所述根据操作行为请求，进行行为识别，得到所述操作行为的信息具体包括：

获取当前客户端从启动开始至当前时间所运行过的各程序的资源占用信息；

根据各程序的资源占用信息和当前客户端的可用资源信息，分别计算各程序的资源占用率。

3.根据权利要求1所述的方法，本地和/或云端保存有指定的行为对应的动作和/或行为对应的对象的进程白名单；

所述根据所述操作行为的信息，判断所述操作行为是否为由病毒导致的异常行为具体包括：

查询所述操作行为的信息所包含的行为发起进程是否属于所述操作行为的信息所包含的行为对应的动作和/或行为对应的对象对应的进程白名单，若是，则判定所述操作行为不是由病毒导致的异常行为；

所述方法还包括：若所述操作行为不是由病毒导致的异常行为，则执行所述操作行为。

4.根据权利要求1所述的方法，本地和/或云端保存有指定的行为对应的动作和/或行为对应的对象的进程黑名单；

所述根据所述操作行为的信息，判断所述操作行为是否为由病毒导致的异常行为具体包括：

查询所述操作行为的信息所包含的行为发起进程是否属于所述操作行为的信息所包含的行为对应的动作和/或行为对应的对象对应的进程黑名单，若否，则判定所述操作行为是由病毒导致的异常行为。

5.根据权利要求1所述的方法，所述根据所述操作行为的信息，判断所述操作行为是否为由病毒导致的异常行为具体包括：

判断所述操作行为的信息所包含的行为对应的对象是否属于本地和/或云端保存的文件黑名单，若是，则判定所述操作行为是由病毒导致的异常行为。