[发明专利]用于保护计算机系统免遭恶意对象活动侵害的系统和方法

摘要

本发明公开了用于保护计算机免遭恶意对象活动侵害的系统、方法和计算机程序产品。该方法包括对计算机上一个或多个进程的执行事件进行监控；识别被监控事件之中的可核查事件，包括文件的创建、更改或者删除事件，系统注册表的更改事件，以及由在计算机上所执行的进程进行的网络访问事件；在单独的文件、注册表以及网络事件日志中记录识别出的可核查事件；对计算机上的一个或多个软件对象执行恶意软件检查；如果确定了对象是恶意的，那么从文件、注册表和网络事件日志中识别与所述恶意对象相关联的事件；对与所述恶意对象相关联的文件事件执行回退操作；对与所述恶意对象相关联的注册表事件执行回退操作；终止与所述恶意对象相关联的网络连接。

主权项

一种用于计算机恶意软件防护的方法，所述方法包括：识别存储在定期更新可核查事件数据库中的可核查事件列表，所述可核查事件列表识别在应当被监控的计算机上的一个或多个软件对象的执行活动，所述执行活动至少包括由所述一个或多个软件对象进行的文件的创建、更改或者删除事件，系统注册表的参数和值的创建、更改或者删除事件，以及网络连接事件；对所述计算机上的所述一个或多个软件对象的执行事件进行监控；基于所述可核查事件数据库中的所述可核查事件列表，在单独的文件中，识别并记录被监控的所述一个或多个软件对象的事件日志、注册表事件日志以及网络事件日志，包括识别由所述被监控的一个或多个软件对象所创建的任何文件；识别父和子进程与由所述被监控的软件对象所生成的执行线程之间的关系；对所述计算机上的所述被监控的一个或多个软件对象执行恶意软件检查，包括在执行所述被监控的一个或多个软件对象期间所生成的所有进程和线程；如果基于检测到在执行所述对象期间生成的恶意进程或线程从而由所述恶意软件检查确定了对象是恶意的，那么从存储在所述可核查事件数据中的所述文件事件日志、注册表事件日志和网络事件日志中识别一个或多个与所述恶意对象相关联的文件事件、注册表事件以及网络连接事件，并且进一步识别一个或多个被由所述恶意对象所生成的识别的父和子进程以及执行线程所建立的网络连接以及由每个父和子进程以及执行线程所创建的每个文件；通过删除由所述恶意对象所创建的所有被识别的文件以及由每个父和子进程以及执行线程所创建的每个文件，对与所述恶意对象相关联的一个或多个文件事件执行回退操作；对与所述恶意对象相关联的一个或多个注册表事件执行回退操作；终止与所述恶意对象相关联的一个或多个网络连接，并且进一步终止由所述恶意对象所生成的父和子进程以及执行线程所建立的一个或多个被识别的网络连接。