[发明专利]一种威胁处置方法及框架

权利要求书

1.一种威胁处置方法，其特征在于，包括如下步骤：

读取脚本文件，并对脚本文件中的文本进行逐行扫描；

根据扫描结果，进行词法分析与语法分析，生成抽象语法树；

根据所述抽象语法树，按照语法规则将所有动作与预定义的原语进行匹配，生成执行流；根据所述执行流进行执行，对发现的原语进行API安全校验并调用对应的各威胁处置模块执行相应动作，完成威胁处置。

2.根据权利要求1所述的威胁处置方法，其特征在于，

所述威胁处置方法中，预定义的原语至少包括文件处置、进程处置、注册表处置、计划任务处置、系统服务处置、系统组策略处置、补丁修复处置、网络管控处置、内核对象处置、hook处置、内存处置、Rookit处置和物理设备处置15种处置分类；

原语的名称以处置分类作为前缀，具体执行动作作为后缀，并使用短下划线连接。

3.根据权利要求1所述的威胁处置方法，其特征在于：

进行词法分析时，采用词法分析器，所述词法分析器用于根据输入执行关键字分析、标识符分析、字面量分析和符号分析，得到词法分析结果，以及将词法分析结果生成令牌并投递；

进行语法分析时，采用语法分析器，所述语法分析器用于接收所述词法分析器投递的令牌，根据输入执行对象分析、表达式分析、函数分析和流程分析，得到语法分析结果，以及将语法分析结果生成抽象语法树。

4.根据权利要求1所述的威胁处置方法，其特征在于，

根据所述执行流进行执行，对发现的原语进行API安全校验并调用对应的各威胁处置模块执行相应动作时，包括：

执行所述执行流；

发现条件表达式判定，则执行条件表达式判定；

发现原语，则将原语与各所述威胁处置模块匹配；

匹配后执行相应的API安全校验；

校验成功后执行原语，并将参数传递到对应API中，调用对应的所述威胁处置模块执行相应动作；

在API执行完毕后，回收API返回数据；

继续所述执行流，至完成威胁处置。

5.根据权利要求1所述的威胁处置方法，其特征在于：

所述威胁处置方法中，至少包括：病毒清除模块、环境清除模块、病毒免疫模块、环境修复模块、系统加固模块、补丁修复模块、网络管控模块和服务管控模块8种威胁处置模块。

6.一种威胁处置框架，其特征在于，包括：输入器、解释器和执行器；其中，

所述输入器用于读取脚本文件，并对脚本文件中的文本进行逐行扫描；

所述解释器用于根据扫描结果，进行词法分析与语法分析，生成抽象语法树；

所述执行器包括多个威胁处置模块，所述执行器用于根据所述抽象语法树，按照语法规则将所有动作与预定义的原语进行匹配，生成执行流，以及根据执行流进行执行，对发现的原语进行API安全校验并调用对应的各威胁处置模块执行相应动作，完成威胁处置。

7.根据权利要求6所述的威胁处置框架，其特征在于：

预定义的原语至少包括文件处置、进程处置、注册表处置、计划任务处置、系统服务处置、系统组策略处置、补丁修复处置、网络管控处置、内核对象处置、hook处置、内存处置、Rookit处置和物理设备处置15种处置分类；

原语的名称以处置分类作为前缀，具体执行动作作为后缀，并使用短下划线连接。

8.根据权利要求6所述的威胁处置框架，其特征在于：

所述解释器包括词法分析器和语法分析器；

其中，所述词法分析器用于根据输入执行关键字分析、标识符分析、字面量分析和符号分析，得到词法分析结果，以及将词法分析结果生成令牌并投递；

所述语法分析器用于接收所述词法分析器投递的令牌，根据输入执行对象分析、表达式分析、函数分析和流程分析，得到语法分析结果，以及将语法分析结果生成抽象语法树。