CN101059829A - 一种自动分析进程风险等级的装置和方法 - Google Patents

Abstract

本发明涉及计算机信息安全领域，特别涉及一种自动分析进程风险等级的装置和方法。一种自动分析进程风险等级的装置，包括，当前进程信息获取模块，用于获取当前系统所有进程的相关信息；已知进程信息存储模块，用于存储操作系统核心进程信息和已知的危险程序进程信息；相似度匹配模块，用于将所述当前进程信息获取模块获取的进程信息与所述已知进程信息存储模块存储的进程信息进行比对；风险等级标注模块，用于根据所述相似度匹配模块的比对结果利用颜色对相应的进程进行风险等级区分。本发明具有不要杀毒软件与其他第三方软件就可以较为方便的得出进程风险等级的结论。

Description

一种自动分析进程风险等级的装置和方法

技术领域

本发明涉及计算机信息安全领域，特别涉及一种自动分析进程风险等级的装置和方法。

背景技术

目前查看系统进程的方法有两种：一种是操作系统自带的进程查看功能，提供进程名称、CPU和内存占用等基本信息；一种是第三方软件提供的进程查看方式，除了提供第一种方法中的基本信息外，还提供了进程中的模块运行目录、模块提供商等信息，作为前者的功能增强。

目前这两种方法的局限在于：

1、只提供进程的相关信息，而无法提供该进程是否安全，或该进程信息是否存在可疑与异常，用户只能根据提供的信息来进行人为的、粗略的判断，很有可能会忽略掉系统中伪装的危险进程。

2、即使用户可以进行一定的判断，也无法实时的去监控任何时刻系统新启动或发生变化的进程。如果用户不能实时发现上述变化，风险进程同样会危害用户的系统。

3、没有为用户提供一种全面的、系统的判断风险进程的方法，也没有提供给用户相应的交互信息让用户可以直观的对当前系统的进程做一个风险判断，过于依赖用户自身的判断。

发明内容

本发明的目的在于，提供一种能够自动分析进程风险等级的装置，利用该装置用户可以直观的对当前系统的进程做一个风险判断。

本发明的另一目的在于，提供一种利用上述装置对当前系统的进程进行自动分析风险等级的方法。

本发明的目的是通过如下技术方案实现的：

一种自动分析进程风险等级的装置，包括，

当前进程信息获取模块，用于获取当前系统所有进程的相关信息；

已知进程信息存储模块，用于存储操作系统核心进程信息和已知的危险程序进程信息；

相似度匹配模块，用于将所述当前进程信息获取模块获取的进程信息与所述已知进程信息存储模块存储的进程信息进行比对；

风险等级标注模块，用于根据所述相似度匹配模块的比对结果利用颜色对相应的进程进行风险等级区分；

所述装置还包括信息交互模块，用于提示和指导用户对风险等级较高的进程进行处理以及根据用户的需要对风险等级进行标注颜色的定义和提示时机的定义。

一种自动分析进程风险等级的方法，包括如下过程：

已知进程信息读取步骤，从已知进程信息存储模块读取已知的进程信息；

当前进程信息获取步骤，利用当前进程信息获取模块获取当前系统所有进程的相关信息；

相似度匹配步骤，将所述当前进程信息获取模块获取的进程信息与所述已知进程信息存储模块存储的进程信息进行比对；

风险等级标注步骤，根据相似度匹配步骤的比对结果利用颜色对相应的进程进行风险等级区分；

所述方法还包括信息交互步骤，提示和指导用户对风险等级较高的进程进行处理以及根据用户的需要对风险等级进行标注颜色的定义和提示时机的定义。

本发明提供的自动分析进程风险等级的装置和方法，先通过比对当前系统进程信息和已知进程信息，进而根据比对结果利用不同颜色进行进程风险等级的区分；以及根据风险等级的高低提示和指导用户进行处理；使本发明具有如下优点：

1、一种轻量级的查看与评估系统当前运行环境的方法，不要杀毒软件与其他第三方软件就可以较为方便的得出结论。

2、软件提供商可以实时更新匹配规则库，以备出现新的木马或其他恶意软件时可以实时获得他们的进程名，让用户及早防范与留意。

3、发现系统当前有可疑进程在运行时，可以实施通知用户，用户在软件的提示与建议下，即可对可疑进程进行相关操作。

附图说明

图1为本发明所述自动分析进程风险等级装置的结构示意图；

图2为本发明所述自动分析进程风险等级方法的流程图；

具体实施方式

如图1所示，一种自动分析进程风险等级的装置，包括，

当前进程信息获取模块1，用于获取当前系统所有进程的相关信息。所述进程信息包括进程名称、路径、CPU和内存占用等基本信息，还包括进程中的模块运行目录、模块提供商、版本等信息。

已知进程信息存储模块2，用于存储操作系统核心进程信息和已知的危险程序进程信息。本模块具有两个作用，第一个作用是将操作系统核心进程信息和在软件发布之前已知的危险程序进程信息存储于已知进程信息存储模块中，本步骤一般在软件提供商在软件发布之前进行并完成；第二个作用是针对可以实时更新的已知进程信息而言的，在每次启动或者运行过程中，如果发现有新获的已知的危险程序进程信息，则进行更新存储。

所述操作系统的核心进程的相关信息，包括名称、路径、模块名称(区分大小写)、模块提供商、版本特征等，基本与当前进程信息的内容相当。所述已知的危险程序包括常见木马、间谍软件或者其他一些能够对计算机安全产生比较大的危害的恶意程序，它们的进程信息一般包括进程名，常见路径等。

相似度匹配模块3，用于将所述当前进程信息获取模块获取的进程信息与所述已知进程信息存储模块存储的进程信息进行比对。在比对过程中可以根据默认的顺序进行，也可以根据用户的自定义进行。

本实施例中按照如下顺序进行：

1)、对操作系统核心进程的路径、文件名、版本特征进行核对，特别是一些利用字母混淆系统进程的可疑进程，比如将“1”与“1”(分别为小写字母L和数字1)，对于用户在视觉上很难区分，但对程序来说可以很好的进行比较区分，或者与操作系统的核心进程同名，但是却不在操作系统指定的目录下的可疑进程；

2)、对其他进程进行特征匹配，查看是否为常见木马进程；

3)、对所有进程的所属模块进行基本信息扫描，找出发布信息不完整的模块与相关进程。

风险等级标注模块4，用于根据所述相似度匹配模块的比对结果在进程列表中利用颜色对相应的进程进行风险等级区分。风险等级的判定基本按照对计算机系统的危害程度进行区分，也可以由用户来进行一些个性设定；如根据危害程度，可将可疑进程分成四类，为很危险、危险、比较危险、可疑，同时使用不同颜色来标注，风险等级越高，采用越刺眼的颜色。

所述装置还包括信息交互模块5，用于提示和指导用户对风险等级较高的进程进行处理以及根据用户的需要对风险等级进行标注颜色的定义和提示时机的定义。如，当发现风险等级较高的进程运行时，可以弹出提示框提醒用户，并给用户相应的提示操作。提示时机，即何种风险等级以上就弹出提示框则可由用户来进行设定或者默认设定。另外风险等级的分类及颜色标注的个性设定也可由本信息交互模块5实现。还可提示用户对新获知的危险程序进程信息进行存储，即更新已知信息特征库。

如图2所示，为一种利用上述装置对当前系统的进程进行自动分析风险等级的过程，除启动和退出外，其包括：

S1、已知进程信息读取步骤，从所述已知进程信息存储模块读取已知的进程信息；包括操作系统核心进程的名称、路径、模块名称(区分大小写)、模块提供商、版本特征等和已知的危险程序进程的名称、路径等。

S2、当前进程信息获取步骤，利用当前进程信息获取模块获取当前系统所有进程的相关信息；包括操作系统核心进程的名称、路径、模块名称(区分大小写)、模块提供商、版本特征等和已知的危险程序进程的名称、路径等。

S3、相似度匹配步骤，将所述当前进程信息获取模块获取的进程信息与所述已知进程信息存储模块存储的进程信息进行比对；即检查系统核心进程有无损坏，是否被混淆；是否有常见的木马或者其他恶意程序的进程；检查有无模块发布信息不完整的进程模块。该步骤中比对顺序可以调整。

S4、风险等级标注步骤，根据相似度匹配步骤的比对结果利用颜色对相应的进程进行风险等级区分；利用系统默认或者自定义的风险等级分类和颜色对相关的进程进行标注，使相关的进程在进程列表中显示出不同的颜色。

S5、所述方法还包括信息交互步骤，提示和指导用户对风险等级较高的进程进行处理以及根据用户的需要对风险等级进行标注颜色的定义和提示时机的定义。如，根据用户设定或者系统默认的提示时机，当发现风险等级较高的进程运行时，可以弹出提示框提醒用户，并给用户相应的提示操作。还可提示用户对新获知的危险程序进程信息进行存储，即更新已知信息特征库。

上述步骤中，已知进程信息读取步骤和当前进程信息获取步骤可以互换，不会影响功能。

以上所揭露的实施例不能认为是对本发明所要求保护的范围作出的限定，对于所属技术领域的普通技术人员来说，一些未经创造性劳动得到的、基于本发明构思所做的简单变更，仍应当不脱本发明保护的范围。

Claims (8)

1、一种自动分析进程风险等级的装置，其特征在于，所述装置包括，

当前进程信息获取模块，用于获取当前系统所有进程的进程信息；

已知进程信息存储模块，用于存储操作系统核心进程信息和已知的危险程序进程信息；

相似度匹配模块，用于将所述当前进程信息获取模块获取的进程信息与所述已知进程信息存储模块存储的进程信息进行比对；

风险等级标注模块，用于根据所述相似度匹配模块的比对结果利用颜色对相应的进程进行风险等级区分。

2、根据权利要求1所述的一种自动分析进程风险等级的装置，其特征在于，所述装置还包括信息交互模块，用于提示和指导用户对风险等级较高的进程进行处理以及根据用户的需要对风险等级进行标注颜色的定义和提示时机的定义。

3、根据权利要求2所述的一种自动分析进程风险等级的装置，其特征在于，所述信息交互模块还提示用户对新获知的危险程序进程信息进行存储，即更新已知进程信息存储模块内的存储信息。

4、根据权利要求1或2或3所述的一种自动分析进程风险等级的装置，其特征在于，所述相似度匹配模块所比对的内容为：

对系统核心进程信息进行比对，判断系统核心进程有无损坏，是否被混淆；

对除核心进程以外的进程信息进行比对，判断是否有常见的木马或者其他恶意程序的进程；

对所有进程的所属模块进行基本信息扫描，判断有无模块发布信息不完整的进程模块。

5、一种自动分析进程风险等级的方法，其特征在于，所述方法包括如下过程：

已知进程信息读取步骤，从已知进程信息存储模块读取已知的进程信息；

当前进程信息获取步骤，利用当前进程信息获取模块获取当前系统所有进程的相关信息；

相似度匹配步骤，将所述当前进程信息获取模块获取的进程信息与所述已知进程信息存储模块存储的进程信息进行比对；

风险等级标注步骤，根据相似度匹配步骤的比对结果利用颜色对相应的进程进行风险等级区分。

6、根据权利要求5所述的一种自动分析进程风险等级的方法，其特征在于，所述方法还包括信息交互步骤，提示和指导用户对风险等级较高的进程进行处理以及根据用户的需要对风险等级进行标注颜色的定义和提示时机的定义。

7、根据权利要求6所述的一种自动分析进程风险等级的方法，其特征在于，所述信息交互步骤还提示用户对新获知的危险程序进程信息进行存储，即更新已知进程信息存储模块内的存储信息。

8、根据权利要求5或6或7所述的一种自动分析进程风险等级的方法，其特征在于，所述相似度匹配步骤中所比对的内容为：

对系统核心进程信息进行比对，判断系统核心进程有无损坏，是否被混淆；

对除核心进程以外的进程信息进行比对，判断是否有常见的木马或者其他恶意程序的进程；

对所有进程的所属模块进行基本信息扫描，判断有无模块发布信息不完整的进程模块。

Images