[发明专利]恶意进程行为的检测方法、装置及系统

说明书

【技术领域】

本发明涉及计算机技术，尤其涉及一种恶意进程行为的检测方法、装置及系统。

【背景技术】

病毒是编制或者在应用程序中插入的破坏系统功能的数据，其会影响应用程序的正常使用，并且还能够自我复制，通常以一组指令或者程序代码的形式呈现。病毒，又称为计算机病毒，可以包括但不限于木马、后门、局域网蠕虫、邮件蠕虫、间谍软件、感染型病毒或Rootkits/Bootkits，它们具有破坏性，复制性和传染性的特点。

然而，在一些情况下，例如，杀毒软件的监控能力有限，或者再例如，病毒种类繁多，且增长速度特别快等，因此，运行后的病毒所导致的恶意进程行为难以被及时检测到。

【发明内容】

本发明的多个方面提供一种恶意进程行为的检测方法、装置及系统，用以提高系统的安全性能。

本发明的一方面，提供一种恶意进程行为的检测方法，包括：

检测装置监控进程的进程行为，以获得目标进程行为的行为信息；

所述检测装置将所述目标进程行为的行为信息发送给服务器，以使得所述服务器根据所述目标进程行为的行为信息，对所述目标进程行为进行检测，以确定所述目标进程行为是否为恶意进程行为；

所述检测装置接收所述服务器根据所述目标进程行为的检测结果所返回的第一操作指示信息；

所述检测装置根据所述第一操作指示信息，对所述目标进程行为执行操作。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述检测装置监控进程的进程行为，以获得目标进程行为的行为信息，包括：

所述检测装置根据预先配置的可疑目标进程行为的标识信息，监控进程的进程行为，以获得目标进程行为的行为信息。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述目标进程行为的行为信息包括下列信息中的至少一项：

目标进程行为的发起者信息；

目标进程行为的目标对象信息；

目标进程行为的附加信息；以及

目标进程行为的标识信息。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述检测装置将所述目标进程行为的行为信息发送给服务器，以使得所述服务器根据所述目标进程行为的行为信息，对所述目标进程行为进行检测，以确定所述目标进程行为是否为恶意进程行为之后，还包括：

所述检测装置接收所述服务器根据与所述目标进程行为相关的其他进程行为的检测结果所返回的第二操作指示信息，所述其他进程行为的检测结果为所述服务器对与所述其他进程行为进行检测，以确定与所述目标进程行为相关的其他进程行为是否为恶意进程行为获得；

所述检测装置根据所述第二操作指示信息，对所述其他进程行为所对应的行为结果执行操作。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述服务器根据所述目标进程行为的行为信息，对所述目标进程行为进行检测，以确定所述目标进程行为是否为恶意进程行为，包括：

所述服务器根据所述目标进程行为的行为信息和已经确定的至少一个的恶意进程行为的行为信息，对所述目标进程行为进行检测，以确定所述目标进程行为是否为恶意进程行为；或者

所述服务器根据所述目标进程行为的行为信息和其他检测装置发送的其他目标进程行为的行为信息，对所述目标进程行为进行检测，以确定所述目标进程行为是否为恶意进程行为。

本发明的另一方面，提供一种恶意进程行为的检测装置，包括：

监控单元，用于监控进程的进程行为，以获得目标进程行为的行为信息；

发送单元，用于将所述目标进程行为的行为信息发送给服务器，以使得所述服务器根据所述目标进程行为的行为信息，对所述目标进程行为进行检测，以确定所述目标进程行为是否为恶意进程行为；

接收单元，用于接收所述服务器根据所述目标进程行为的检测结果所返回的第一操作指示信息；

操作单元，用于根据所述第一操作指示信息，对所述目标进程行为执行操作。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述监控单元，具体用于

根据预先配置的可疑目标进程行为的标识信息，监控进程的进程行为，以获得目标进程行为的行为信息。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述监控单元所获得的所述目标进程行为的行为信息包括下列信息中的至少一项：

目标进程行为的发起者信息；

目标进程行为的目标对象信息；