[发明专利]一种计算机病毒的监控方法和装置

说明书

技术领域

本发明涉及计算机安全技术领域，具体涉及一种计算机病毒的监控方法以及一种计算机病毒的监控装置。

背景技术

随着信息化社会的发展，计算机病毒的威胁日益严重，反病毒的任务也更加艰巨了。

计算机病毒是指编制者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码，计算机病毒具有破坏性，复制性和传染性等特点。计算机一旦染上病毒，通常表现为计算机的文件被增加、删除、改变名称或属性、移动到其它目录下，病毒对计算机文件的这些操作，可能会导致正常的程序无法运行、计算机操作系统崩溃、计算机被远程控制、用户信息被盗用等一系列的问题。

为了保证计算机的安全运行，需要对计算机中感染病毒的文件进行病毒查杀，以防止和清除病毒的破坏。杀毒引擎就是一套判断特定程序行为是否为病毒程序（包括可疑程序）的技术机制，一般而言，杀毒引擎按照用户当前所选择的扫描模式，对用户设备中的所有或部分程序或文件发起扫描，用其病毒库（病毒的特征集合）中的特征去对比相应的程序或文件，对于符合病毒特征的程序或文件，判定为病毒。

杀毒引擎在检测到具体被感染的文件并在感染发生时提示用户，用户可以根据杀毒引擎提供的扫描模式手动选择扫描模式，对文件进行扫描，然而用户往往并不确切知道容易发生计算机病毒感染的文件或目录的位置，从而不知选择何种扫描模式更符合计算机当前的状态，导致不能及时地阻止感染型病毒的传播。

因此，本领域技术人员迫切需要解决的技术问题是：提供一种计算机病毒的监控机制，从而能够及时监控计算机病毒对文件的感染，从源头上掐断计算机病毒感染源，阻止计算机病毒的传播。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的一种计算机病毒的监控方法和相应的一种计算机病毒的监控装置。

依据本发明的一个方面，提供了一种计算机病毒的监控方法，包括：

当监控到计算机设备中出现的基于文件的危险行为时，判断所述危险行为对应的文件是否为威胁文件；

若是，获取所述威胁文件的特征信息并发送至控制进程；

控制进程接收所述威胁文件的特征信息，从预设的扫描策略中提取与所述威胁文件的特征信息匹配的扫描策略；

控制进程返回所述匹配的扫描策略。

可选地，所述扫描策略包括扫描位置，所述方法还包括：

在接收到用户触发的扫描策略时，在所述扫描位置中执行相应的扫描操作。

可选地，所述当监控到计算机设备中出现的基于文件的危险行为时，判断所述危险行为对应的文件是否为威胁文件的步骤包括：

底层驱动拦截所述基于文件的危险行为；

底层驱动获取所述发起危险行为的进程信息，并将所述进程信息发送至监控进程；

监控进程获取所述危险行为对应的文件的文件类型；

监控进程判断所述文件类型是否为预设的文件类型；若是，则将所述发起危险行为的进程信息与第一杀毒引擎的特征库进行匹配；若否，则将所述发起危险行为的进程信息与第二杀毒引擎的特征库进行匹配；

将所述发起危险行为的进程信息与第一杀毒引擎的特征库进行匹配；若存在匹配项，判断为所述危险行为对应的文件为威胁文件；若不存在匹配项，则将所述发起危险行为的进程信息与第二杀毒引擎的特征库进行匹配；

将所述发起危险行为的进程信息与第二杀毒引擎的特征库进行匹配；若存在匹配项，判断为所述危险行为对应的文件为威胁文件；若不存在匹配项，判断为所述危险行为对应的文件不为威胁文件。

可选地，所述预设的扫描策略包括锁定扫描策略以及全盘扫描策略，所述控制进程接收所述威胁文件的特征信息，从预设的扫描策略中提取与所述威胁文件的特征信息匹配的病毒扫描策略的步骤包括：

控制进程接收所述威胁文件的特征信息，所述威胁文件的特征信息包括威胁文件对应的危险行为的进程信息；

若所述多个威胁文件对应的危险行为的进程信息为同一进程信息，引导计算机设备执行锁定扫描策略；

阻止所述发起危险行为的进程继续执行相应的危险行为；

引导计算机设备执行全盘扫描策略。

可选地，所述预设的扫描策略包括快速扫描策略，所述控制进程接收所述威胁文件的特征信息，从预设的扫描策略中提取与所述威胁文件的特征信息匹配的病毒扫描策略的步骤包括：

控制进程接收所述威胁文件的特征信息，所述威胁文件的特征信息包括威胁文件对应的危险行为的进程信息；