專利名稱：一種自動分析進(jìn)程風(fēng)險等級的裝置和方法
技術(shù)領(lǐng)域：
本發(fā)明涉及計算機(jī)信息安全領(lǐng)域，特別涉及一種自動分析進(jìn)程風(fēng)險等級的裝置和方法。
背景技術(shù)：
目前查看系統(tǒng)進(jìn)程的方法有兩種一種是操作系統(tǒng)自帶的進(jìn)程查看功能，提供進(jìn)程名稱、CPU和內(nèi)存占用等基本信息；一種是第三方軟件提供的進(jìn)程查看方式，除了提供第一種方法中的基本信息外，還提供了進(jìn)程中的模塊運(yùn)行目錄、模塊提供商等信息，作為前者的功能增強(qiáng)。
目前這兩種方法的局限在于1、只提供進(jìn)程的相關(guān)信息，而無法提供該進(jìn)程是否安全，或該進(jìn)程信息是否存在可疑與異常，用戶只能根據(jù)提供的信息來進(jìn)行人為的、粗略的判斷，很有可能會忽略掉系統(tǒng)中偽裝的危險進(jìn)程。
2、即使用戶可以進(jìn)行一定的判斷，也無法實(shí)時的去監(jiān)控任何時刻系統(tǒng)新啟動或發(fā)生變化的進(jìn)程。如果用戶不能實(shí)時發(fā)現(xiàn)上述變化，風(fēng)險進(jìn)程同樣會危害用戶的系統(tǒng)。
3、沒有為用戶提供一種全面的、系統(tǒng)的判斷風(fēng)險進(jìn)程的方法，也沒有提供給用戶相應(yīng)的交互信息讓用戶可以直觀的對當(dāng)前系統(tǒng)的進(jìn)程做一個風(fēng)險判斷，過于依賴用戶自身的判斷。

發(fā)明內(nèi)容
本發(fā)明的目的在于，提供一種能夠自動分析進(jìn)程風(fēng)險等級的裝置，利用該裝置用戶可以直觀的對當(dāng)前系統(tǒng)的進(jìn)程做一個風(fēng)險判斷。
本發(fā)明的另一目的在于，提供一種利用上述裝置對當(dāng)前系統(tǒng)的進(jìn)程進(jìn)行自動分析風(fēng)險等級的方法。
本發(fā)明的目的是通過如下技術(shù)方案實(shí)現(xiàn)的一種自動分析進(jìn)程風(fēng)險等級的裝置，包括，當(dāng)前進(jìn)程信息獲取模塊，用于獲取當(dāng)前系統(tǒng)所有進(jìn)程的相關(guān)信息；已知進(jìn)程信息存儲模塊，用于存儲操作系統(tǒng)核心進(jìn)程信息和已知的危險程序進(jìn)程信息；相似度匹配模塊，用于將所述當(dāng)前進(jìn)程信息獲取模塊獲取的進(jìn)程信息與所述已知進(jìn)程信息存儲模塊存儲的進(jìn)程信息進(jìn)行比對；風(fēng)險等級標(biāo)注模塊，用于根據(jù)所述相似度匹配模塊的比對結(jié)果利用顏色對相應(yīng)的進(jìn)程進(jìn)行風(fēng)險等級區(qū)分；所述裝置還包括信息交互模塊，用于提示和指導(dǎo)用戶對風(fēng)險等級較高的進(jìn)程進(jìn)行處理以及根據(jù)用戶的需要對風(fēng)險等級進(jìn)行標(biāo)注顏色的定義和提示時機(jī)的定義。
一種自動分析進(jìn)程風(fēng)險等級的方法，包括如下過程
已知進(jìn)程信息讀取步驟，從已知進(jìn)程信息存儲模塊讀取已知的進(jìn)程信息；當(dāng)前進(jìn)程信息獲取步驟，利用當(dāng)前進(jìn)程信息獲取模塊獲取當(dāng)前系統(tǒng)所有進(jìn)程的相關(guān)信息；相似度匹配步驟，將所述當(dāng)前進(jìn)程信息獲取模塊獲取的進(jìn)程信息與所述已知進(jìn)程信息存儲模塊存儲的進(jìn)程信息進(jìn)行比對；風(fēng)險等級標(biāo)注步驟，根據(jù)相似度匹配步驟的比對結(jié)果利用顏色對相應(yīng)的進(jìn)程進(jìn)行風(fēng)險等級區(qū)分；所述方法還包括信息交互步驟，提示和指導(dǎo)用戶對風(fēng)險等級較高的進(jìn)程進(jìn)行處理以及根據(jù)用戶的需要對風(fēng)險等級進(jìn)行標(biāo)注顏色的定義和提示時機(jī)的定義。
本發(fā)明提供的自動分析進(jìn)程風(fēng)險等級的裝置和方法，先通過比對當(dāng)前系統(tǒng)進(jìn)程信息和已知進(jìn)程信息，進(jìn)而根據(jù)比對結(jié)果利用不同顏色進(jìn)行進(jìn)程風(fēng)險等級的區(qū)分；以及根據(jù)風(fēng)險等級的高低提示和指導(dǎo)用戶進(jìn)行處理；使本發(fā)明具有如下優(yōu)點(diǎn)1、一種輕量級的查看與評估系統(tǒng)當(dāng)前運(yùn)行環(huán)境的方法，不要?dú)⒍拒浖c其他第三方軟件就可以較為方便的得出結(jié)論。
2、軟件提供商可以實(shí)時更新匹配規(guī)則庫，以備出現(xiàn)新的木馬或其他惡意軟件時可以實(shí)時獲得他們的進(jìn)程名，讓用戶及早防范與留意。
3、發(fā)現(xiàn)系統(tǒng)當(dāng)前有可疑進(jìn)程在運(yùn)行時，可以實(shí)施通知用戶，用戶在軟件的提示與建議下，即可對可疑進(jìn)程進(jìn)行相關(guān)操作。


圖1為本發(fā)明所述自動分析進(jìn)程風(fēng)險等級裝置的結(jié)構(gòu)示意圖；圖2為本發(fā)明所述自動分析進(jìn)程風(fēng)險等級方法的流程圖；具體實(shí)施方式
如圖1所示，一種自動分析進(jìn)程風(fēng)險等級的裝置，包括，當(dāng)前進(jìn)程信息獲取模塊1，用于獲取當(dāng)前系統(tǒng)所有進(jìn)程的相關(guān)信息。所述進(jìn)程信息包括進(jìn)程名稱、路徑、CPU和內(nèi)存占用等基本信息，還包括進(jìn)程中的模塊運(yùn)行目錄、模塊提供商、版本等信息。
已知進(jìn)程信息存儲模塊2，用于存儲操作系統(tǒng)核心進(jìn)程信息和已知的危險程序進(jìn)程信息。本模塊具有兩個作用，第一個作用是將操作系統(tǒng)核心進(jìn)程信息和在軟件發(fā)布之前已知的危險程序進(jìn)程信息存儲于已知進(jìn)程信息存儲模塊中，本步驟一般在軟件提供商在軟件發(fā)布之前進(jìn)行并完成；第二個作用是針對可以實(shí)時更新的已知進(jìn)程信息而言的，在每次啟動或者運(yùn)行過程中，如果發(fā)現(xiàn)有新獲的已知的危險程序進(jìn)程信息，則進(jìn)行更新存儲。
所述操作系統(tǒng)的核心進(jìn)程的相關(guān)信息，包括名稱、路徑、模塊名稱(區(qū)分大小寫)、模塊提供商、版本特征等，基本與當(dāng)前進(jìn)程信息的內(nèi)容相當(dāng)。所述已知的危險程序包括常見木馬、間諜軟件或者其他一些能夠?qū)τ嬎銠C(jī)安全產(chǎn)生比較大的危害的惡意程序，它們的進(jìn)程信息一般包括進(jìn)程名，常見路徑等。
相似度匹配模塊3，用于將所述當(dāng)前進(jìn)程信息獲取模塊獲取的進(jìn)程信息與所述已知進(jìn)程信息存儲模塊存儲的進(jìn)程信息進(jìn)行比對。在比對過程中可以根據(jù)默認(rèn)的順序進(jìn)行，也可以根據(jù)用戶的自定義進(jìn)行。
本實(shí)施例中按照如下順序進(jìn)行1)、對操作系統(tǒng)核心進(jìn)程的路徑、文件名、版本特征進(jìn)行核對，特別是一些利用字母混淆系統(tǒng)進(jìn)程的可疑進(jìn)程，比如將“1”與“1”(分別為小寫字母L和數(shù)字1)，對于用戶在視覺上很難區(qū)分，但對程序來說可以很好的進(jìn)行比較區(qū)分，或者與操作系統(tǒng)的核心進(jìn)程同名，但是卻不在操作系統(tǒng)指定的目錄下的可疑進(jìn)程；2)、對其他進(jìn)程進(jìn)行特征匹配，查看是否為常見木馬進(jìn)程；3)、對所有進(jìn)程的所屬模塊進(jìn)行基本信息掃描，找出發(fā)布信息不完整的模塊與相關(guān)進(jìn)程。
風(fēng)險等級標(biāo)注模塊4，用于根據(jù)所述相似度匹配模塊的比對結(jié)果在進(jìn)程列表中利用顏色對相應(yīng)的進(jìn)程進(jìn)行風(fēng)險等級區(qū)分。風(fēng)險等級的判定基本按照對計算機(jī)系統(tǒng)的危害程度進(jìn)行區(qū)分，也可以由用戶來進(jìn)行一些個性設(shè)定；如根據(jù)危害程度，可將可疑進(jìn)程分成四類，為很危險、危險、比較危險、可疑，同時使用不同顏色來標(biāo)注，風(fēng)險等級越高，采用越刺眼的顏色。
所述裝置還包括信息交互模塊5，用于提示和指導(dǎo)用戶對風(fēng)險等級較高的進(jìn)程進(jìn)行處理以及根據(jù)用戶的需要對風(fēng)險等級進(jìn)行標(biāo)注顏色的定義和提示時機(jī)的定義。如，當(dāng)發(fā)現(xiàn)風(fēng)險等級較高的進(jìn)程運(yùn)行時，可以彈出提示框提醒用戶，并給用戶相應(yīng)的提示操作。提示時機(jī)，即何種風(fēng)險等級以上就彈出提示框則可由用戶來進(jìn)行設(shè)定或者默認(rèn)設(shè)定。另外風(fēng)險等級的分類及顏色標(biāo)注的個性設(shè)定也可由本信息交互模塊5實(shí)現(xiàn)。還可提示用戶對新獲知的危險程序進(jìn)程信息進(jìn)行存儲，即更新已知信息特征庫。
如圖2所示，為一種利用上述裝置對當(dāng)前系統(tǒng)的進(jìn)程進(jìn)行自動分析風(fēng)險等級的過程，除啟動和退出外，其包括S1、已知進(jìn)程信息讀取步驟，從所述已知進(jìn)程信息存儲模塊讀取已知的進(jìn)程信息；包括操作系統(tǒng)核心進(jìn)程的名稱、路徑、模塊名稱(區(qū)分大小寫)、模塊提供商、版本特征等和已知的危險程序進(jìn)程的名稱、路徑等。
S2、當(dāng)前進(jìn)程信息獲取步驟，利用當(dāng)前進(jìn)程信息獲取模塊獲取當(dāng)前系統(tǒng)所有進(jìn)程的相關(guān)信息；包括操作系統(tǒng)核心進(jìn)程的名稱、路徑、模塊名稱(區(qū)分大小寫)、模塊提供商、版本特征等和已知的危險程序進(jìn)程的名稱、路徑等。
S3、相似度匹配步驟，將所述當(dāng)前進(jìn)程信息獲取模塊獲取的進(jìn)程信息與所述已知進(jìn)程信息存儲模塊存儲的進(jìn)程信息進(jìn)行比對；即檢查系統(tǒng)核心進(jìn)程有無損壞，是否被混淆；是否有常見的木馬或者其他惡意程序的進(jìn)程；檢查有無模塊發(fā)布信息不完整的進(jìn)程模塊。該步驟中比對順序可以調(diào)整。
S4、風(fēng)險等級標(biāo)注步驟，根據(jù)相似度匹配步驟的比對結(jié)果利用顏色對相應(yīng)的進(jìn)程進(jìn)行風(fēng)險等級區(qū)分；利用系統(tǒng)默認(rèn)或者自定義的風(fēng)險等級分類和顏色對相關(guān)的進(jìn)程進(jìn)行標(biāo)注，使相關(guān)的進(jìn)程在進(jìn)程列表中顯示出不同的顏色。
S5、所述方法還包括信息交互步驟，提示和指導(dǎo)用戶對風(fēng)險等級較高的進(jìn)程進(jìn)行處理以及根據(jù)用戶的需要對風(fēng)險等級進(jìn)行標(biāo)注顏色的定義和提示時機(jī)的定義。如，根據(jù)用戶設(shè)定或者系統(tǒng)默認(rèn)的提示時機(jī)，當(dāng)發(fā)現(xiàn)風(fēng)險等級較高的進(jìn)程運(yùn)行時，可以彈出提示框提醒用戶，并給用戶相應(yīng)的提示操作。還可提示用戶對新獲知的危險程序進(jìn)程信息進(jìn)行存儲，即更新已知信息特征庫。
上述步驟中，已知進(jìn)程信息讀取步驟和當(dāng)前進(jìn)程信息獲取步驟可以互換，不會影響功能。
以上所揭露的實(shí)施例不能認(rèn)為是對本發(fā)明所要求保護(hù)的范圍作出的限定，對于所屬技術(shù)領(lǐng)域的普通技術(shù)人員來說，一些未經(jīng)創(chuàng)造性勞動得到的、基于本發(fā)明構(gòu)思所做的簡單變更，仍應(yīng)當(dāng)不脫本發(fā)明保護(hù)的范圍。
權(quán)利要求
1.一種自動分析進(jìn)程風(fēng)險等級的裝置，其特征在于，所述裝置包括，當(dāng)前進(jìn)程信息獲取模塊，用于獲取當(dāng)前系統(tǒng)所有進(jìn)程的進(jìn)程信息；已知進(jìn)程信息存儲模塊，用于存儲操作系統(tǒng)核心進(jìn)程信息和已知的危險程序進(jìn)程信息；相似度匹配模塊，用于將所述當(dāng)前進(jìn)程信息獲取模塊獲取的進(jìn)程信息與所述已知進(jìn)程信息存儲模塊存儲的進(jìn)程信息進(jìn)行比對；風(fēng)險等級標(biāo)注模塊，用于根據(jù)所述相似度匹配模塊的比對結(jié)果利用顏色對相應(yīng)的進(jìn)程進(jìn)行風(fēng)險等級區(qū)分。
2.根據(jù)權(quán)利要求1所述的一種自動分析進(jìn)程風(fēng)險等級的裝置，其特征在于，所述裝置還包括信息交互模塊，用于提示和指導(dǎo)用戶對風(fēng)險等級較高的進(jìn)程進(jìn)行處理以及根據(jù)用戶的需要對風(fēng)險等級進(jìn)行標(biāo)注顏色的定義和提示時機(jī)的定義。
3.根據(jù)權(quán)利要求2所述的一種自動分析進(jìn)程風(fēng)險等級的裝置，其特征在于，所述信息交互模塊還提示用戶對新獲知的危險程序進(jìn)程信息進(jìn)行存儲，即更新已知進(jìn)程信息存儲模塊內(nèi)的存儲信息。
4.根據(jù)權(quán)利要求1或2或3所述的一種自動分析進(jìn)程風(fēng)險等級的裝置，其特征在于，所述相似度匹配模塊所比對的內(nèi)容為對系統(tǒng)核心進(jìn)程信息進(jìn)行比對，判斷系統(tǒng)核心進(jìn)程有無損壞，是否被混淆；對除核心進(jìn)程以外的進(jìn)程信息進(jìn)行比對，判斷是否有常見的木馬或者其他惡意程序的進(jìn)程；對所有進(jìn)程的所屬模塊進(jìn)行基本信息掃描，判斷有無模塊發(fā)布信息不完整的進(jìn)程模塊。
5.一種自動分析進(jìn)程風(fēng)險等級的方法，其特征在于，所述方法包括如下過程已知進(jìn)程信息讀取步驟，從已知進(jìn)程信息存儲模塊讀取已知的進(jìn)程信息；當(dāng)前進(jìn)程信息獲取步驟，利用當(dāng)前進(jìn)程信息獲取模塊獲取當(dāng)前系統(tǒng)所有進(jìn)程的相關(guān)信息；相似度匹配步驟，將所述當(dāng)前進(jìn)程信息獲取模塊獲取的進(jìn)程信息與所述已知進(jìn)程信息存儲模塊存儲的進(jìn)程信息進(jìn)行比對；風(fēng)險等級標(biāo)注步驟，根據(jù)相似度匹配步驟的比對結(jié)果利用顏色對相應(yīng)的進(jìn)程進(jìn)行風(fēng)險等級區(qū)分。
6.根據(jù)權(quán)利要求5所述的一種自動分析進(jìn)程風(fēng)險等級的方法，其特征在于，所述方法還包括信息交互步驟，提示和指導(dǎo)用戶對風(fēng)險等級較高的進(jìn)程進(jìn)行處理以及根據(jù)用戶的需要對風(fēng)險等級進(jìn)行標(biāo)注顏色的定義和提示時機(jī)的定義。
7.根據(jù)權(quán)利要求6所述的一種自動分析進(jìn)程風(fēng)險等級的方法，其特征在于，所述信息交互步驟還提示用戶對新獲知的危險程序進(jìn)程信息進(jìn)行存儲，即更新已知進(jìn)程信息存儲模塊內(nèi)的存儲信息。
8.根據(jù)權(quán)利要求5或6或7所述的一種自動分析進(jìn)程風(fēng)險等級的方法，其特征在于，所述相似度匹配步驟中所比對的內(nèi)容為對系統(tǒng)核心進(jìn)程信息進(jìn)行比對，判斷系統(tǒng)核心進(jìn)程有無損壞，是否被混淆；對除核心進(jìn)程以外的進(jìn)程信息進(jìn)行比對，判斷是否有常見的木馬或者其他惡意程序的進(jìn)程；對所有進(jìn)程的所屬模塊進(jìn)行基本信息掃描，判斷有無模塊發(fā)布信息不完整的進(jìn)程模塊。
全文摘要
本發(fā)明涉及計算機(jī)信息安全領(lǐng)域，特別涉及一種自動分析進(jìn)程風(fēng)險等級的裝置和方法。一種自動分析進(jìn)程風(fēng)險等級的裝置，包括，當(dāng)前進(jìn)程信息獲取模塊，用于獲取當(dāng)前系統(tǒng)所有進(jìn)程的相關(guān)信息；已知進(jìn)程信息存儲模塊，用于存儲操作系統(tǒng)核心進(jìn)程信息和已知的危險程序進(jìn)程信息；相似度匹配模塊，用于將所述當(dāng)前進(jìn)程信息獲取模塊獲取的進(jìn)程信息與所述已知進(jìn)程信息存儲模塊存儲的進(jìn)程信息進(jìn)行比對；風(fēng)險等級標(biāo)注模塊，用于根據(jù)所述相似度匹配模塊的比對結(jié)果利用顏色對相應(yīng)的進(jìn)程進(jìn)行風(fēng)險等級區(qū)分。本發(fā)明具有不要?dú)⒍拒浖c其他第三方軟件就可以較為方便的得出進(jìn)程風(fēng)險等級的結(jié)論。
文檔編號G06F21/00GK101059829SQ20071002804
公開日2007年10月24日 申請日期2007年5月16日 優(yōu)先權(quán)日2007年5月16日
發(fā)明者劉勝 申請人:珠海金山軟件股份有限公司