[发明专利]一种可疑进程检测方法、装置、设备及存储介质

说明书

技术领域

本发明涉及计算机应用技术领域，特别是涉及一种可疑进程检测方法、装置、设备及存储介质。

背景技术

随着计算机应用技术的快速发展，对勒索软件等恶意软件的检测得到了越来越多的关注。勒索软件是一种流行的木马，通过骚扰、恐吓甚至采用捆绑用户文件等方式，使用户数据资产或计算资源无法正常使用，并以此为条件向用户勒索钱财。如果受到勒索软件等恶意软件的攻击，将直接影响系统的正常运行，给用户带来较大损失。

目前，多是以诱饵目录方式对勒索软件等恶意软件引起的进程进行检测。

但是，这种方法存在一定的缺点，勒索软件等恶意软件引起的进程通过遍历目录并加密的方式进行攻击，当遍历到诱饵目录时，可能面临大量用户文件已被加密的困境，检测较为滞后，仍会给系统和用户造成较大危害。

发明内容

本发明的目的是提供一种可疑进程检测方法、装置、设备及存储介质，以在勒索软件等恶意软件执行初期，在给系统和用户造成较大危害之前，及时检测到可疑进程，并对其进行防范，减少损失。

为解决上述技术问题，本发明提供如下技术方案：

一种可疑进程检测方法，包括：

在有目标进程启动时，监测所述目标进程对用户文件的操作行为；

针对监测到的所述目标进程对用户文件的每个操作行为，确定该操作行为是否符合预设的异常操作行为模式；

如果是，则确定所述目标进程为可疑进程。

在本发明的一种具体实施方式中，在所述监测所述目标进程对用户文件的操作行为之前，还包括：

确定所述目标进程是否为预先获得的正常进程列表中的进程；

如果否，则执行所述监测所述目标进程对用户文件的操作行为的步骤。

在本发明的一种具体实施方式中，在所述确定所述目标进程为可疑进程之后，还包括：

中断所述目标进程。

在本发明的一种具体实施方式中，还包括：

在监测到所述目标进程要对用户文件有操作行为时，备份所述目标进程要操作的用户文件；

相应的，在所述确定所述目标进程为可疑进程之后，还包括：

还原备份的用户文件。

在本发明的一种具体实施方式中，所述异常操作行为模式包括单文件异常操作行为模式和/或多文件异常操作行为模式。

一种可疑进程检测装置，包括：

操作行为监测模块，用于在有目标进程启动时，监测所述目标进程对用户文件的操作行为；

操作行为确定模块，用于针对监测到的所述目标进程对用户文件的每个操作行为，确定该操作行为是否符合预设的异常操作行为模式；如果是，则触发可疑进程确定模块；

所述可疑进程确定模块，用于确定所述目标进程为可疑进程。

在本发明的一种具体实施方式中，还包括正常进程确定模块，用于：

在所述监测所述目标进程对用户文件的操作行为之前，确定所述目标进程是否为预先获得的正常进程列表中的进程；

如果否，则触发所述操作行为监测模块。

在本发明的一种具体实施方式中，还包括目标进程中断模块，用于：

在所述确定所述目标进程为可疑进程之后，中断所述目标进程。

在本发明的一种具体实施方式中，还包括用户文件备份模块，用于：

在监测到所述目标进程要对用户文件有操作行为时，备份所述目标进程要操作的用户文件；

相应的，还包括用户文件还原模块，用于：

在所述确定所述目标进程为可疑进程之后，还原备份的用户文件。

一种可疑进程检测设备，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现上述任一项所述的可疑进程检测方法的步骤。

一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现上述任一项所述的可疑进程检测方法的步骤。

应用本发明实施例所提供的技术方案，在有目标进程启动时，监测目标进程对用户文件的操作行为，针对监测到的目标进程对用户文件的每个操作行为，确定该操作行为是否符合预设的异常操作行为模式，如果符合，则确定目标进程为可疑进程，从而可以在勒索软件等恶意软件执行初期，在给系统和用户造成较大危害之前，及时检测到可疑进程，并对其进行防范，减少损失。

附图说明