[发明专利]文件的检测方法及装置

说明书

【技术领域】

本发明涉及计算机技术，尤其涉及一种文件的检测方法及装置。

【背景技术】

病毒是编制或者在应用程序中插入的破坏系统功能的数据，其会影响应用程序的正常使用，并且还能够自我复制，通常以一组指令或者程序代码的形式呈现。病毒，又称为计算机病毒，可以包括但不限于木马、后门、局域网蠕虫、邮件蠕虫、间谍软件、感染型病毒或Rootkits/Bootkits，它们具有破坏性，复制性和传染性的特点。

然而，在一些情况下，例如，杀毒软件的监控能力有限，或者再例如，病毒种类繁多，且增长速度特别快等，因此，运行后的病毒所导致的恶意进程行为难以被及时检测到。

【发明内容】

本发明的多个方面提供一种文件的检测方法及装置，用以提高系统的安全性能。

本发明的一方面，提供一种文件的检测方法，包括：

对文件进行病毒检测操作，以确定所述文件是否为恶意文件；

若所述文件为恶意文件，根据所述文件的操作行为数据，获得所述文件的传播来源；

将所述文件的传播来源确定为恶意来源。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述文件的传播来源包括：

文件的访问标识；或者

文件的来源文件。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述若所述文件为恶意文件，根据所述文件的操作行为数据，获得所述文件的传播来源之前，还包括：

记录所述文件的操作行为数据，并与所述文件进行关联，以获得所述文件与所述文件的操作行为数据的关联关系，以供根据所述关联关系，获得所述文件的操作行为数据。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述对文件进行病毒检测操作，以确定所述文件是否为恶意文件，包括：

获得所述文件的特征数据；

根据所述文件的特征数据，对所述文件进行检测，以确定所述文件是否为恶意文件。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述对文件进行病毒检测操作，以确定所述文件是否为恶意文件，包括：

监控所述文件的文件进程的进程行为，以获得目标进程行为的行为信息；

根据所述目标进程行为的行为信息，对所述目标进程行为进行检测，以确定所述目标进程行为是否为恶意进程行为；

根据所述目标进程行为是否为恶意进程行为，确定所述文件是否为恶意文件。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述目标进程行为的行为信息包括下列信息中的至少一项：

目标进程行为的发起者信息；

目标进程行为的目标对象信息；

目标进程行为的附加信息；以及

目标进程行为的标识信息。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述文件包括可执行文件。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述将所述文件的传播来源确定为恶意来源之后，还包括：

利用所述恶意来源，执行病毒检测操作。

本发明的另一方面，提供一种文件的检测装置，包括：

检测单元，用于对文件进行病毒检测操作，以确定所述文件是否为恶意文件；

追踪单元，用于若所述文件为恶意文件，根据所述文件的操作行为数据，获得所述文件的传播来源；

确定单元，用于将所述文件的传播来源确定为恶意来源。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述文件的传播来源包括：

文件的访问标识；或者

文件的来源文件。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述追踪单元，还用于

记录所述文件的操作行为数据，并与所述文件进行关联，以获得所述文件与所述文件的操作行为数据的关联关系，以供根据所述关联关系，获得所述文件的操作行为数据。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述检测单元，具体用于

获得所述文件的特征数据；以及

根据所述文件的特征数据，对所述文件进行检测，以确定所述文件是否为恶意文件。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述检测单元，具体用于

监控所述文件的文件进程的进程行为，以获得目标进程行为的行为信息；