[发明专利]一种识别程序的网络行为是否异常的方法、装置及系统

权利要求书

1.一种识别程序的网络行为是否异常的方法，其特征在于，包括：

在程序访问网络的过程中，监控所述程序的当前网络行为；

告知服务器所述当前网络行为所属的程序；

查找所述当前网络行为所属的程序的已知正常网络行为；

将所述程序的当前网络行为与所述程序的已知正常网络行为进行对比；

根据所述对比结果，识别所述程序的当前网络行为是否异常。

2.根据权利要求1所述的方法，其特征在于，还包括：

服务器接收客户端发送的所述程序的属性信息，根据所述程序的属性信息确定所述程序是否属于特定类别；

如果属于特定类别，则指示客户端告知所述程序的当前网络行为所属的程序。

3.根据权利要求2所述的方法，其特征在于，所述特定类别具体包括：

当前一定时间段内容易受到病毒攻击的程序类别和/或容易被病毒利用的程序类别。

4.根据权利要求1所述的方法，其特征在于，所述告知服务器所述当前网络行为所属的程序包括：

向服务器发送所述当前网络行为的信息以及所述当前网络行为所属程序的标识。

5.根据权利要求4所述的方法，其特征在于，所述向服务器发送所述当前网络行为的信息以及所述当前网络行为所属的程序的标识包括：

为所述程序的当前网络行为的信息添加网络防御标签，所述网络防御标签包括所述当前网络行为所属的程序的标识；

向服务器发送带有所述网络防御标签的当前网络行为的信息。

6.根据权利要求1至5中任一项所述的方法，其特征在于，所述查找所述当前网络行为所属程序的已知正常网络行为包括：

根据所述当前网络行为所属程序的标识，查找所述程序的已知正常网络行为。

7.根据权利要求6所述的方法，其特征在于，所述根据所述当前网络行为所属程序的标识，查找所述程序的已知正常网络行为包括：

预先收集多种程序的正常网络行为，并建立程序的标识及其正常网络行为之间的对应关系；

根据所述当前网络行为所属程序的标识，查找该程序的标识对应的正常网络行为，将所述查找到的正常网络行为作为所述程序的已知正常网络行为。

8.根据权利要求1至5中任一项所述的方法，其特征在于，所述监控所述程序的当前网络行为包括：

通过在客户端注册协议驱动，截获所述程序的当前网络行为的信息；

或者，

通过创建与操作系统相似的过滤驱动，截获所述程序的当前网络行为的信息；

或者，

利用操作系统提供的应用程序编程接口函数截获所述程序的当前网络行为的信息；

或者，

接管程序调用网络编程接口函数的请求，截获所述程序的当前网络行为的信息；

或者，

利用注册防火墙回调，截获所述程序的当前网络行为的信息。

9.根据权利要求1至5中任一项所述的方法，其特征在于，所述根据所述对比结果，识别所述程序的网络行为是否异常包括：

如果对比结果不一致，识别所述程序的当前网络行为为异常网络行为；

如果对比结果一致，识别所述程序的当前网络行为为正常网络行为。

10.根据权利要求9所述的方法，其特征在于，如果识别所述程序的当前网络行为为异常网络行为，还包括：

暂停或拦截所述程序的当前异常网络行为；

或者，

暂停或拦截所述程序的全部网络行为；

或者，

暂停或拦截所述程序的全部网络行为和全部本地行为。

11.根据权利要求10所述的方法，其特征在于：

检测到所述程序的异常网络行为是非恶意的网络行为，暂停或拦截所述程序的异常网络行为；

或者，

检测到所述程序的异常网络行为是恶意的网络行为，但不确定所述程序是否为恶意程序，暂停或拦截所述程序的全部网络行为；

或者，

检测到所述程序的异常网络行为是恶意的网络行为，并且所述程序为恶意程序，暂停或拦截所述程序的全部网络行为和全部本地行为。