[发明专利]一种无文件攻击检测方法、装置、电子设备和介质

权利要求书

1.一种无文件攻击检测方法，其特征在于，包括：

检测到进程创建的情况下，根据所述进程的进程信息确定所述进程的进程类型；

根据所述进程类型对应的检测策略对所述进程进行检测，并根据得到的第一检测结果确定是否执行所述进程。

2.根据权利要求1所述的无文件攻击检测方法，其特征在于，所述根据所述进程的进程信息确定所述进程的进程类型之后，还包括：

判断所述进程的父进程是否是授信进程；

若所述父进程是所述授信进程，则执行所述根据所述进程类型对应的检测策略对所述进程进行检测，并根据得到的第一检测结果确定是否执行所述进程的步骤。

3.根据权利要求1所述的无文件攻击检测方法，其特征在于，所述进程信息包括文件版本信息、文件签名、文件特征信息、文件哈希值中的任意一项或者多项。

4.根据权利要求1所述的无文件攻击检测方法，其特征在于，所述根据所述进程类型对应的检测策略对所述进程进行检测，并根据得到的第一检测结果确定是否执行所述进程，包括：

当所述进程类型是易被利用第三方程序的情况下，基于所述进程的应用情况对所述进程进行检测，并根据得到的所述第一检测结果确定是否执行所述进程。

5.根据所述权利要求4所述的无文件攻击检测方法，其特征在于，所述基于所述进程的应用情况对所述进程进行检测，并根据得到的所述第一检测结果确定是否执行所述进程，包括：

判断所述进程的应用的所述端点设备的所述数量是否大于预设数量；

若所述数量大于所述预设数量，则确定所述第一检测结果是通过检测，并执行所述进程；

若所述数量不大于所述预设数量，则判断所述端点设备的执行频次是否大于预设频次阈值；

若所述执行频次大于所述预设频次阈值，则确定所述第一检测结果是通过检测，并执行所述进程；

若所述执行频次不大于所述预设频次阈值，则确定所述第一检测结果是未通过检测，并阻止执行所述进程；

或，所述基于所述进程的应用情况对所述进程进行检测，并根据得到的所述第一检测结果确定是否执行所述进程，包括：

判断所述进程的应用的所述端点设备的所述数量是否大于所述预设数量；

若所述数量大于所述预设数量，则确定所述第一检测结果是通过检测，并执行所述进程；

若所述数量不大于所述预设数量，则确定所述第一检测结果是未通过检测，并阻止执行所述进程；

或，所述基于所述进程的应用情况对所述进程进行检测，并根据得到的所述第一检测结果确定是否执行所述进程，包括：

判断所述端点设备的执行频次是否大于所述预设频次阈值；

若所述执行频次大于所述预设频次阈值，则确定所述第一检测结果是通过检测，并执行所述进程；

若所述执行频次不大于所述预设频次阈值，则确定所述第一检测结果是未通过检测，并阻止执行所述进程。

6.根据权利要求1所述的无文件攻击检测方法，其特征在于，所述根据所述进程类型对应的检测策略对所述进程进行检测，并根据得到的第一检测结果确定是否执行所述进程，包括：

当所述进程类型是易受攻击进程的情况下，确定所述第一检测结果是通过检测，并执行所述进程。

7.根据权利要求1所述的无文件攻击检测方法，其特征在于，所述根据所述进程类型对应的检测策略对所述进程进行检测，并根据得到的第一检测结果确定是否执行所述进程，包括：

当所述进程类型是易被利用系统组件进程的情况下，扫描所述进程的命令行；

根据所述命令行判断是否存在恶意命令和/或恶意参数；

若存在所述恶意命令和/或所述恶意参数，则确定所述第一检测结果是未通过检测，并阻止执行所述进程；

若不存在所述恶意命令和/或所述恶意参数，则确定所述第一检测结果是通过检测，并执行所述进程。