[发明专利]一种勒索软件攻击的防护方法及装置

权利要求书

1.一种勒索软件攻击的防护方法，其特征在于，包括：

确认应用程序访问当前用户设备文件；所述应用程序包括不可信应用程序；所述当前用户设备文件为标识用户设备文件；其中，所述标识用户设备文件的关键信息经过哈希DPH处理；所述关键信息包括文件头和修改时间；

确认所述当前用户设备文件的所述文件头的格式未被损坏，且所述修改时间与DPH列表中存储所述当前用户设备文件的所述修改时间不一致时，对所述当前用户设备文件进行备份；

确认所述当前用户设备文件所述文件头的格式被损坏时，对所述当前用户设备文件根据备份列表中备份的当前用户设备文件进行恢复；

若对所述当前用户设备文件备份失败，则进行告警或记录日志，且允许所述应用程序访问所述当前用户设备文件；若对所述当前用户设备文件恢复失败，则拒绝所述应用程序访问用户设备中所述当前用户设备文件以外的其他标识用户设备文件；若所述对所述当前用户设备文件备份成功或对所述当前用户设备文件恢复成功，则允许所述应用程序访问所述当前用户设备文件。

2.根据权利要求1所述的勒索软件攻击的防护方法，其特征在于，还包括：判断备份和恢复功能是否开启；

若确认所述备份和恢复功能开启，且所述当前用户设备文件的所述文件头的格式未被损坏，且所述修改时间与所述DPH列表中存储所述当前用户设备文件的所述修改时间不一致时，则对所述当前用户设备文件进行备份；

若确认所述备份和恢复功能开启，且所述当前用户设备文件的所述文件头的格式被损坏时，则对所述当前用户设备文件根据所述备份列表中备份的当前用户设备文件进行恢复。

3.根据权利要求2所述的勒索软件攻击的防护方法，其特征在于，还包括：

若确认所述备份和恢复功能开启，且所述当前用户设备文件的所述文件头的格式未被损坏，且所述修改时间与所述DPH列表中存储所述当前用户设备文件的所述修改时间一致时，则允许所述应用程序访问所述当前用户设备文件。

4.根据权利要求2所述的勒索软件攻击的防护方法，其特征在于，还包括：

若确认所述备份和恢复功能关闭，且所述当前用户设备文件的所述文件头的格式未被损坏时，则允许所述应用程序访问所述当前用户设备文件；

若确认所述备份和恢复功能关闭，且所述当前用户设备文件的所述文件头的格式被损坏时，则拒绝所述应用程序访问用户设备中所述当前用户设备文件以外的其他标识用户设备文件。

5.根据权利要求1所述的勒索软件攻击的防护方法，其特征在于，还包括：

判断所述当前用户设备文件是否为所述标识用户设备文件；

若为所述标识用户设备文件，则判断所述当前用户设备文件的所述文件头的格式是否被损坏；否则允许所述应用程序访问所述当前用户设备文件。

6.根据权利要求1所述的勒索软件攻击的防护方法，其特征在于，所述对所述当前用户设备文件进行备份，具体包括：

根据所述当前用户设备文件的修改时间将最新改变的版本存入所述备份列表，并修改所述DPH列表的所述关键信息；其中所述关键信息还包括文件大小以及文件的完整路径+文件名。

7.根据权利要求1所述的勒索软件攻击的防护方法，其特征在于，所述确认应用程序访问当前用户设备文件，之后还包括：

根据应用程序特征库对所述应用程序进行判断，判断结果包括信任应用程序或不信任应用程序；

若所述判断结果为信任应用程序，则允许所述应用程序访问所述当前用户设备文件。

8.根据权利要求5所述的勒索软件攻击的防护方法，其特征在于，所述判断所述当前用户设备文件是否为所述标识用户设备文件，之前还包括：

确认所述DPH列表功能是否开启，若是则判断所述当前用户设备文件是否为所述标识用户设备文件；否则拒绝所述应用程序访问所述当前用户设备文件。