[发明专利]一种计算机病毒的监控方法和装置

权利要求书

1.一种计算机病毒的监控方法，包括：

当监控到计算机设备中出现的基于文件的危险行为时，判断所述危险行为对应的文件是否为威胁文件；

若是，获取所述威胁文件的特征信息并发送至控制进程；

控制进程接收所述威胁文件的特征信息，从预设的扫描策略中提取与所述威胁文件的特征信息匹配的扫描策略；

控制进程返回所述匹配的扫描策略。

2.如权利要求1所述的方法，所述扫描策略包括扫描位置，所述方法还包括：

在接收到用户触发的扫描策略时，在所述扫描位置执行相应的扫描操作。

3.如权利要求1所述的方法，所述当监控到计算机设备中出现的基于文件的危险行为时，判断所述危险行为对应的文件是否为威胁文件的步骤包括：

底层驱动拦截所述基于文件的危险行为；

底层驱动获取所述发起危险行为的进程信息，并将所述进程信息发送至监控进程；

监控进程获取所述危险行为对应的文件的文件类型；

监控进程判断所述文件类型是否为预设的文件类型；若是，则将所述发起危险行为的进程信息与第一杀毒引擎的特征库进行匹配；若否，则将所述发起危险行为的进程信息与第二杀毒引擎的特征库进行匹配；

将所述发起危险行为的进程信息与第一杀毒引擎的特征库进行匹配；若存在匹配项，判断为所述危险行为对应的文件为威胁文件；若不存在匹配项，则将所述发起危险行为的进程信息与第二杀毒引擎的特征库进行匹配；

将所述发起危险行为的进程信息与第二杀毒引擎的特征库进行匹配；若存在匹配项，判断为所述危险行为对应的文件为威胁文件；若不存在匹配项，判断为所述危险行为对应的文件不为威胁文件。

4.如权利要求1所述的方法，所述预设的扫描策略包括锁定扫描策略以及全盘扫描策略，所述控制进程接收所述威胁文件的特征信息，从预设的扫描策略中提取与所述威胁文件的特征信息匹配的病毒扫描策略的步骤包括：

控制进程接收所述威胁文件的特征信息，所述威胁文件的特征信息包括威胁文件对应的危险行为的进程信息；

若所述多个威胁文件对应的危险行为的进程信息为同一进程信息，引导计算机设备执行锁定扫描策略；

阻止所述发起危险行为的进程继续执行相应的危险行为；

引导计算机设备执行全盘扫描策略。

5.如权利要求1所述的方法，所述预设的扫描策略包括快速扫描策略，所述控制进程接收所述威胁文件的特征信息，从预设的扫描策略中提取与所述威胁文件的特征信息匹配的病毒扫描策略的步骤包括：

控制进程接收所述威胁文件的特征信息，所述威胁文件的特征信息包括威胁文件对应的危险行为的进程信息；

若所述多个威胁文件对应的危险行为的进程信息为不同的多个进程信息，引导计算机设备执行快速扫描策略。

6.如权利要求1所述的方法，所述预设的扫描策略包括外接磁盘扫描策略，所述控制进程接收所述威胁文件的特征信息，从预设的扫描策略中提取与所述威胁文件的特征信息匹配的病毒扫描策略的步骤包括：

控制进程接收所述威胁文件的特征信息，所述威胁文件的特征信息包括威胁文件的路径；

若所述威胁文件的路径都为外接磁盘路径，引导计算机设备执行外接磁盘扫描策略。

7.如权利要求1-6任一权利要求所述的方法，所述基于文件的危险行为包括创建文件、文件改写、文件运行、写文件的行为。

8.一种计算机病毒的监控装置，包括：

威胁文件判断模块，适于当监控到计算机设备中出现的基于文件的危险行为时，判断所述危险行为对应的文件是否为威胁文件，若是，则调用控制进程触发模块；

控制进程触发模块，适于获取所述威胁文件的特征信息并发送至控制进程；

位于控制进程的扫描策略提取模块，适于接收所述威胁文件的特征信息，从预设的扫描策略中提取与所述威胁文件的特征信息匹配的扫描策略；

位于控制进程的扫描策略返回模块，适于返回所述匹配的扫描策略。

9.如权利要求8所述的装置，所述扫描策略包括扫描位置，所述装置还包括：

执行模块，适于在接收到用户触发的扫描策略时，在所述扫描位置中执行相应的扫描操作。