[发明专利]恶意进程行为的检测方法、装置及系统

权利要求书

1.一种恶意进程行为的检测方法，其特征在于，包括：

检测装置监控进程的进程行为，以获得目标进程行为的行为信息；

所述检测装置将所述目标进程行为的行为信息发送给服务器，以使得所述服务器根据所述目标进程行为的行为信息，对所述目标进程行为进行检测，以确定所述目标进程行为是否为恶意进程行为；

所述检测装置接收所述服务器根据所述目标进程行为的检测结果所返回的第一操作指示信息；

所述检测装置根据所述第一操作指示信息，对所述目标进程行为执行操作。

2.根据权利要求1所述的方法，其特征在于，所述检测装置监控进程的进程行为，以获得目标进程行为的行为信息，包括：

所述检测装置根据预先配置的可疑目标进程行为的标识信息，监控进程的进程行为，以获得目标进程行为的行为信息。

3.根据权利要求1所述的方法，其特征在于，所述目标进程行为的行为信息包括下列信息中的至少一项：

目标进程行为的发起者信息；

目标进程行为的目标对象信息；

目标进程行为的附加信息；以及

目标进程行为的标识信息。

4.根据权利要求1～3任一权利要求所述的方法，其特征在于，所述检测装置将所述目标进程行为的行为信息发送给服务器，以使得所述服务器根据所述目标进程行为的行为信息，对所述目标进程行为进行检测，以确定所述目标进程行为是否为恶意进程行为之后，还包括：

所述检测装置接收所述服务器根据与所述目标进程行为相关的其他进程行为的检测结果所返回的第二操作指示信息，所述其他进程行为的检测结果为所述服务器对与所述其他进程行为进行检测，以确定与所述目标进程行为相关的其他进程行为是否为恶意进程行为获得；

所述检测装置根据所述第二操作指示信息，对所述其他进程行为所对应的行为结果执行操作。

5.根据权利要求1～3任一权利要求所述的方法，其特征在于，所述服务器根据所述目标进程行为的行为信息，对所述目标进程行为进行检测，以确定所述目标进程行为是否为恶意进程行为，包括：

所述服务器根据所述目标进程行为的行为信息和已经确定的至少一个的恶意进程行为的行为信息，对所述目标进程行为进行检测，以确定所述目标进程行为是否为恶意进程行为；或者

所述服务器根据所述目标进程行为的行为信息和其他检测装置发送的其他目标进程行为的行为信息，对所述目标进程行为进行检测，以确定所述目标进程行为是否为恶意进程行为。

6.一种恶意进程行为的检测装置，其特征在于，包括：

监控单元，用于监控进程的进程行为，以获得目标进程行为的行为信息；

发送单元，用于将所述目标进程行为的行为信息发送给服务器，以使得所述服务器根据所述目标进程行为的行为信息，对所述目标进程行为进行检测，以确定所述目标进程行为是否为恶意进程行为；

接收单元，用于接收所述服务器根据所述目标进程行为的检测结果所返回的第一操作指示信息；

操作单元，用于根据所述第一操作指示信息，对所述目标进程行为执行操作。

7.根据权利要求6所述的装置，其特征在于，所述监控单元，具体用于

根据预先配置的可疑目标进程行为的标识信息，监控进程的进程行为，以获得目标进程行为的行为信息。

8.根据权利要求6所述的装置，其特征在于，所述监控单元所获得的所述目标进程行为的行为信息包括下列信息中的至少一项：

目标进程行为的发起者信息；

目标进程行为的目标对象信息；

目标进程行为的附加信息；以及

目标进程行为的标识信息。

9.根据权利要求6～8任一权利要求所述的装置，其特征在于，

所述接收单元，还用于

接收所述服务器根据与所述目标进程行为相关的其他进程行为的检测结果所返回的第二操作指示信息，所述其他进程行为的检测结果为所述服务器对与所述其他进程行为进行检测，以确定与所述目标进程行为相关的其他进程行为是否为恶意进程行为获得；

所述操作单元，还用于

根据所述第二操作指示信息，对所述其他进程行为所对应的行为结果执行操作。