[发明专利]文件的检测方法及装置

权利要求书

1.一种文件的检测方法，其特征在于，包括：

对文件进行病毒检测操作，以确定所述文件是否为恶意文件；

若所述文件为恶意文件，根据所述文件的操作行为数据，获得所述文件的传播来源；

将所述文件的传播来源确定为恶意来源。

2.根据权利要求1所述的方法，其特征在于，所述文件的传播来源包括：

文件的访问标识；或者

文件的来源文件。

3.根据权利要求1所述的方法，其特征在于，所述若所述文件为恶意文件，根据所述文件的操作行为数据，获得所述文件的传播来源之前，还包括：

记录所述文件的操作行为数据，并与所述文件进行关联，以获得所述文件与所述文件的操作行为数据的关联关系，以供根据所述关联关系，获得所述文件的操作行为数据。

4.根据权利要求1所述的方法，其特征在于，所述对文件进行病毒检测操作，以确定所述文件是否为恶意文件，包括：

获得所述文件的特征数据；

根据所述文件的特征数据，对所述文件进行检测，以确定所述文件是否为恶意文件。

5.根据权利要求1所述的方法，其特征在于，所述对文件进行病毒检测操作，以确定所述文件是否为恶意文件，包括：

监控所述文件的文件进程的进程行为，以获得目标进程行为的行为信息；

根据所述目标进程行为的行为信息，对所述目标进程行为进行检测，以确定所述目标进程行为是否为恶意进程行为；

根据所述目标进程行为是否为恶意进程行为，确定所述文件是否为恶意文件。

6.根据权利要求5所述的方法，其特征在于，所述目标进程行为的行为信息包括下列信息中的至少一项：

目标进程行为的发起者信息；

目标进程行为的目标对象信息；

目标进程行为的附加信息；以及

目标进程行为的标识信息。

7.根据权利要求1～6任一权利要求所述的方法，其特征在于，所述文件包括可执行文件。

8.根据权利要求1～6任一权利要求所述的方法，其特征在于，所述将所述文件的传播来源确定为恶意来源之后，还包括：

利用所述恶意来源，执行病毒检测操作。

9.一种文件的检测装置，其特征在于，包括：

检测单元，用于对文件进行病毒检测操作，以确定所述文件是否为恶意文件；

追踪单元，用于若所述文件为恶意文件，根据所述文件的操作行为数据，获得所述文件的传播来源；

确定单元，用于将所述文件的传播来源确定为恶意来源。

10.根据权利要求9所述的装置，其特征在于，所述文件的传播来源包括：

文件的访问标识；或者

文件的来源文件。

11.根据权利要求9所述的装置，其特征在于，所述追踪单元，还用于

记录所述文件的操作行为数据，并与所述文件进行关联，以获得所述文件与所述文件的操作行为数据的关联关系，以供根据所述关联关系，获得所述文件的操作行为数据。

12.根据权利要求9所述的装置，其特征在于，所述检测单元，具体用于

获得所述文件的特征数据；以及

根据所述文件的特征数据，对所述文件进行检测，以确定所述文件是否为恶意文件。

13.根据权利要求9所述的装置，其特征在于，所述检测单元，具体用于

监控所述文件的文件进程的进程行为，以获得目标进程行为的行为信息；

根据所述目标进程行为的行为信息，对所述目标进程行为进行检测，以确定所述目标进程行为是否为恶意进程行为；以及

根据所述目标进程行为是否为恶意进程行为，确定所述文件是否为恶意文件。

14.根据权利要求13所述的装置，其特征在于，所述目标进程行为的行为信息包括下列信息中的至少一项：

目标进程行为的发起者信息；

目标进程行为的目标对象信息；

目标进程行为的附加信息；以及

目标进程行为的标识信息。

15.根据权利要求9～14任一权利要求所述的装置，其特征在于，所述文件包括可执行文件。

16.根据权利要求9～14任一权利要求所述的装置，其特征在于，所述检测单元，还用于

利用所述恶意来源，执行病毒检测操作。