CN107426173B - 文件防护方法及装置 - Google Patents

Abstract

本发明公开了一种文件防护方法及装置，其中，方法包括：监测到针对文件发起的操作指令时，确定发起所述操作指令的程序；根据所述文件的文件类型，确定与所述文件类型相对应的分类程序白名单；判断所述发起所述操作指令的程序是否属于所述分类程序白名单，根据判断结果确定是否对所述文件进行防护。由于通常情况下，每种类型的文件都由与该文件的文件类型相匹配的应用程序负责处理，因此，通过监测操作文件的程序是否与待操作的文件的文件类型匹配能够快速准确地确定是否需对文件加强防护，从而提升了文件的安全性。

Description

文件防护方法及装置

技术领域

本发明涉及计算机技术领域，具体涉及一种文件防护方法及装置。

背景技术

随着计算机技术的发展，信息化在各行各业都有了飞速的发展。对于企事业单位而言，网络无纸化办公也日渐盛行，因此，电子文件的重要性日益凸显。

为了谋取不法利益，电脑黑客往往会针对电子文件发起各种类型的攻击。例如，黑客可以在未经用户许可的前提下利用恶意程序对电子文件进行加密等非法操作，致使用户无法正常使用经非法操作后的电子文件，从而为用户造成巨大的损失。因此，如何快速有效地识别恶意程序，并防止恶意程序对电子文件执行非法操作成为目前亟待解决的问题。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的文件防护方法及装置。

根据本发明的一个方面，提供了一种文件防护方法，包括：

监测到针对文件发起的操作指令时，确定发起所述操作指令的程序；

根据所述文件的文件类型，确定与所述文件类型相对应的分类程序白名单；

判断所述发起所述操作指令的程序是否属于所述分类程序白名单，根据判断结果确定是否对所述文件进行防护。

依据本发明实施例的另一方面，提供了一种文件防护装置，包括：

监测模块，适于监测到针对文件发起的操作指令时，确定发起所述操作指令的程序；

白名单确定模块，适于根据所述文件的文件类型，确定与所述文件类型相对应的分类程序白名单；

判断模块，适于判断所述发起所述操作指令的程序是否属于所述分类程序白名单，根据判断结果确定是否对所述文件进行防护。

根据本发明的又一方面，提供了一种终端，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；

所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行上述文件防护方法对应的操作。

根据本发明的再一方面，提供了一种计算机存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行如上述文件防护方法对应的操作。

根据本发明实施例提供的文件防护方法及装置，能够监测针对文件发起的操作指令，并确定发起该操作指令的程序；然后，判断发起该操作指令的程序与其操作的文件的文件类型是否匹配，根据判断结果确定是否需要对文件进行防护。由于通常情况下，每种类型的文件都由与该文件的文件类型相匹配的应用程序负责处理，因此，通过监测操作文件的程序是否与待操作的文件的文件类型匹配能够快速准确地确定是否需对文件加强防护，从而提升了文件的安全性。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了根据本发明一个实施例提供的一种文件防护方法的流程图；

图2示出了根据本发明另一个实施例提供的一种文件防护方法的流程图；

图3示出了根据本发明一个实施例提供的一种文件防护装置的结构框图；

图4示出了根据本发明一个实施例提供的一种终端的结构示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

图1示出了根据本发明一个实施例提供的一种文件防护方法的流程图。如图1所示，该方法包括以下步骤：

步骤S110，监测到针对文件发起的操作指令时，确定发起该操作指令的程序。

具体地，在本实施例中，可以默认为针对所有类型的文件进行监测，也可以仅针对预设的若干类型的文件进行监测，总之，待监测的文件数量和存储位置均可由本领域技术人员灵活设置。

另外，需要监测的操作指令的类型既可以包含全部操作指令类型，也可以由本领域技术人员根据最新病毒的特征设定若干类型的操作指令进行监测。例如，操作指令的类型包括但不限于：读取类操作指令、删除类操作指令、加密类操作指令、以及改写类操作指令。

当监测到针对文件发起的操作指令时，确定发起该操作指令的程序。具体地，可以根据进程列表中的新增进程来确定发起该操作指令的程序的程序标识。该程序标识具体可以为程序名称、程序ID等各类能够标识程序类型的信息。

步骤S120，根据文件的文件类型，确定与该文件类型相对应的分类程序白名单。

其中，确定文件的文件类型时可以灵活通过各种方式确定，例如，既可以直接通过文件的后缀名确定，也可以通过预设的机器学习分类模型确定。另外，还可以预先设置文件类型与分类程序白名单之间的映射表，在该映射表中存储了各种已知的文件类型以及分别与每种文件类型相对应的分类程序白名单，以便于查询。其中，与某一文件类型相对应的分类程序白名单用于存储一个或多个已知的用于合法操作该类型文件的程序的程序标识。

步骤S130，判断发起该操作指令的程序是否属于该分类程序白名单，根据判断结果确定是否对该文件进行防护。

通常情况下，当判断结果为是时，确定无需对该文件进行防护；当判断结果为否时，可以分多种情况处理。例如，在一种情况中，可以在判断结果为否时直接进行拦截或弹框提醒。在另一种情况中，可以在判断结果为否时，进一步结合预设的判断规则来确定是否对该文件进行防护。其中，预设的判断规则可以是根据程序来源和/或文件等级确定是否对该文件进行防护，也可以是其他的各种判断规则，例如可以进一步上报云服务器，根据云服务器的反馈结果确定是否该文件进行防护，本发明对判断规则的具体内容不做限定。

根据本发明实施例提供的文件防护方法，能够监测针对文件发起的操作指令，并确定发起该操作指令的程序；然后，判断发起该操作指令的程序与其操作的文件的文件类型是否匹配，根据判断结果确定是否需要对文件进行防护。由于通常情况下，每种类型的文件都由与该文件的文件类型相匹配的应用程序负责处理，因此，通过监测操作文件的程序是否与待操作的文件的文件类型匹配能够快速准确地确定是否需对文件加强防护，从而提升了文件的安全性。

图2示出了根据本发明另一个实施例提供的一种文件防护方法的流程图。如图2所示，该方法包括以下步骤：

步骤S210，预先设置文件分类规则以及分别与各种文件类型相对应的分类程序白名单。

其中，文件分类规则定义了文件类型的数量及划分方式，具体规则可由本领域技术人员灵活设置。例如，表1示出了一种可选的文件类型划分方式。

表1

文件类型	对应文件的扩展名
		常用的Office文件	.ppt、.doc、.docx、.xlsx、.sxi
特定国家使用的office文件格式	.sxw、.odt、.hwp
		压缩文档和媒体文件	.zip、.rar、.tar、.mp4、.mkv
电子邮件和邮件数据库	.eml、.msg、.ost、.pst、.deb
		数据库文件	.sql、.accdb、.mdb、.dbf、.odb、.myd
开发者使用的源代码和项目文件	.php、.java、.cpp、.asp、.asm
		密匙和证书	.key、.pfx、.pem、.p12、.csr、.gpg、.aes
美术设计人员、艺术家和摄影师使用的文件	.vsd、.odg、.raw、.nef、.svg、.psd
		虚拟机文件	.vmx、.vmdk、.vdi

在表1所示的划分方式中，主要是根据文件的后缀名来确定文件类型。在本发明其他的划分方式中，也可以根据文件的用途、格式等信息来划分文件类型，并且，可以预先定义文件类型的数量和名称，然后，建立用于进行文件分类的机器学习模型，以便于确定文件的类型。其中，机器学习模型可以采用神经网络模型等各类模型，由于机器学习模型能够在使用过程中根据学习情况而不断修正，因而能够使分类结果日趋准确，而分类准确性的提升进一步为后续的安全防护工作提供了有利保障。

设置好文件分类规则之后，还要进一步设置分别与各种文件类型相对应的分类程序白名单。例如，对于“常用的Office文件”类型而言，其对应的分类程序白名单包括：Office软件、Wps软件、Visio绘图软件等。对于“电子邮件和邮件数据库”类型而言，其对应的分类程序白名单包括：Outlook软件、Foxmail软件、263企业邮箱等。对于“开发者使用的源代码和项目文件”类型而言，其对应分类程序白名单包括：各类程序开发软件，例如VC、VB、Java等。

另外，表1示出的文件分类方式仅为示意性的，本领域技术人员还可以灵活采用其他各种文件分类方式，或者也可以对表1中的几种文件类型进行合并，或者对表1中的某种文件类型进一步细分，总之，本发明对此不做限定。

步骤S220，监测到针对文件发起的操作指令时，确定发起该操作指令的程序。

具体地，在本实施例中，可以默认为针对所有类型的文件进行监测，也可以仅针对预设范围内的文件进行监测。例如，可以预先根据文件的重要程度、文件类型等因素设置文件的文件级别，仅监测文件级别高的部分文件，其中，文件级别既可以由系统自动设定，也可以由用户人为设定。又如，可以根据文件的存储位置设置需监测的文件范围，例如，用户可以预先设置重要文件的存放位置，从而仅针对相应位置的文件进行监测。通过预先确定待监测的文件范围能够在节约系统资源的同时，实现有针对性地的监测。

另外，需要监测的操作指令的类型既可以包含全部操作指令类型，也可以由本领域技术人员根据最新病毒的特征设定若干类型的操作指令进行监测。例如，操作指令的类型包括但不限于：读取类操作指令、删除类操作指令、加密类操作指令、以及改写类操作指令。

具体地，由于勒索型蠕虫病毒主要针对用户计算机中的照片、图片、文档、压缩包、音频、视频、可执行程序等几乎所有类型的文件进行加密以索要赎金。当一个敲诈者病毒加密文档的时候，首先将磁盘上的文件内容读取到内存，并在内存中按照其加密算法对文件内容进行改写，最后写回文件或新建一个文件。因此，为了有效识别该类病毒，可以重点监测加密类操作指令。

当监测到针对文件发起的操作指令时，确定发起该操作指令的程序。具体地，可以根据进程列表中的新增进程来确定发起该操作指令的程序的程序标识。该程序标识具体可以为程序名称、程序ID等各类能够标识程序类型的信息。

步骤S230，根据文件的文件类型，确定与该文件类型相对应的分类程序白名单，并判断发起该操作指令的程序是否属于该分类程序白名单，若判断结果为否，则执行步骤S240。

其中，确定文件的文件类型时可以灵活通过各种方式确定，例如，既可以直接通过文件的后缀名确定，也可以通过预设的机器学习分类模型确定。在本实施例中，主要根据步骤S210中设置的文件分类规则确定文件的文件类型。确定出文件类型后，查询与该文件类型相对应的分类程序白名单。

其中，与该文件类型相对应的分类程序白名单中存储了所有已知的用于操作该类型文件的安全程序的程序标识。与各个文件类型相对应的分类程序白名单既可以通过人工收集的方式预先收集并确定，也可以进一步结合用户在使用过程中的反馈进行更新。若发起该操作指令的程序属于该分类程序白名单，通常可以认为该程序是合法的，因此无需进行防护；若发起该操作指令的程序不属于该分类程序白名单，则需要通过步骤S240确定是否需要防护。

步骤S240，查询预设的程序来源等级表，确定发起该操作指令的程序的来源等级，根据该程序的来源等级确定是否对该文件进行防护。

其中，程序来源等级表中存储了多个程序来源等级以及分别与各个程序来源等级相对应的程序标识；相应地，根据程序的来源等级确定是否对该文件进行防护的步骤具体包括：预先为每个程序来源等级设置对应的第一类防护策略，根据程序来源等级选择对应的第一类防护策略。其中，第一类防护策略包括以下中的至少一种：允许程序执行该操作指令；对程序进行拦截；生成用于提示用户是否针对该程序进行拦截的第一提示信息，并根据用户针对该第一提示信息发送的反馈结果确定是否针对该程序进行拦截；以及，将该程序的程序标识以及文件类型上报给云服务器，接收云服务器通过查询预设的第一云端策略表后返回的第一指示信息，并根据第一指示信息确定是否针对该程序进行拦截。

通常情况下，根据程序来源能够确定一个程序是否合法。程序来源等级可以划分为安全等级、未知等级以及危险等级等。例如，假设一知名的图片处理公司专注于研发各类图片处理工具，由于该图片处理公司在业内具有良好的口碑，因此，凡是该公司旗下推出的图片处理工具所对应的程序均可以确定为安全等级。假设另一非知名的图片处理公司也专注于研发各类图片处理工具，但由于该图片处理公司在业内默默无闻，因此，该公司推出的图片处理工具所对应的程序可以确定为未知等级。假设另一非法公司经常散播各类病毒，则来源于该非法公司的程序均可确定为危险等级。上述根据程序来源确定程序来源等级的方式仅为示意性的，本领域技术人员还可以灵活采用各种其他的设定方式，另外，程序来源等级也可以进一步细分更多的等级，或合并为更少的等级，本发明对此不做限定。

相应地，第一类防护策略可以是存储在客户端本地的防护策略，用于根据程序来源等级确定是否对该文件进行防护。例如，当程序来源等级为安全等级时，对应的第一类防护策略为“允许程序执行该操作指令”。当程序来源等级为危险等级时，对应的第一类防护策略为“对程序进行拦截”。当程序来源等级为未知等级时，对应的第一类防护策略既可以是“生成用于提示用户是否针对该程序进行拦截的第一提示信息，并根据用户针对该第一提示信息发送的反馈结果确定是否针对该程序进行拦截”；也可以是“将该程序的程序标识以及文件类型上报给云服务器，接收云服务器通过查询预设的第一云端策略表后返回的第一指示信息，并根据第一指示信息确定是否针对该程序进行拦截”，具体选择何种防护策略可以进一步结合程序类型等其他信息进行确定。

例如，在本实施例中，假设发起该操作指令的程序为知名的图片处理公司新推出的图片处理工具，由于该图片处理公司推出的所有图片处理工具都被确定为安全的，因此，即使该图片处理工具并未出现在与其操作的文件的文件类型相对应的分类程序白名单中也对该程序放行。总之，结合程序的来源等级能够更为准确地进行文件防护。

另外，当根据程序的来源等级确定的第一类防护策略为“生成用于提示用户是否针对该程序进行拦截的第一提示信息，并根据用户针对该第一提示信息发送的反馈结果确定是否针对该程序进行拦截”时，进一步将用户针对该第一提示信息发送的反馈结果、程序的程序标识以及文件类型发送给云服务器，以供云服务器对第一云端策略表进行更新；和/或，根据用户针对该第一提示信息发送的反馈结果、程序的程序标识以及文件类型确定是否更新第一类防护策略。

具体地，第一类防护策略是存储在客户端本地、用于根据程序的来源等级确定防护方式的本地策略，该本地策略可以根据接收到的用户反馈情况进行更新，例如，对于来源为未知等级的程序，若多数用户针对该程序的反馈结果均为放行，则可以将该程序的程序来源等级更新为安全等级；反之，若多数用户针对该程序的反馈结果均为拦截，则可以将该程序的程序来源等级更新为危险等级。

同理，第一云端策略表是存储在云服务器上、用于根据程序的来源等级确定防护方式的云端策略，该云端策略也可以根据接收到的用户反馈情况进行更新，例如，对于来源为未知等级的程序，若多数用户针对该程序的反馈结果均为放行，则可以将该程序的程序来源等级更新为安全等级；反之，若多数用户针对该程序的反馈结果均为拦截，则可以将该程序的程序来源等级更新为危险等级。另外，各个客户端也可以定期将本地存储的最新版本的第一防护策略上报给云服务器，以供云服务器对第一云端策略表进行更新；和/或，各个客户端还可以定期获取云服务器存储的最新版本的第一云端策略表，以便对其本地存储的第一防护策略进行更新。总之，本实施例中的方案能够根据用户的反馈情况不断修正，以实现逐步提升防护效果的目的。

可选的，上述的步骤S240还可以替换为下述的步骤S240’。

步骤S240’，查询预设的文件类型等级表，确定与该文件类型相对应的文件等级，根据文件等级确定是否对文件进行防护。

其中，文件类型等级表中存储了多个文件等级以及分别与各个文件等级相对应的文件类型；相应地，根据文件等级确定是否对文件进行防护的步骤具体包括：预先为每个文件等级设置对应的第二类防护策略，根据文件等级选择对应的第二类防护策略；其中，第二类防护策略包括以下中的至少一种：允许程序执行操作指令；对程序进行拦截；生成用于提示用户是否针对程序进行拦截的第二提示信息，并根据用户针对该第二提示信息发送的反馈结果确定是否针对程序进行拦截；以及，将程序的程序标识以及文件类型上报给云服务器，接收云服务器通过查询预设的第二云端策略表后返回的第二指示信息，并根据第二指示信息确定是否针对程序进行拦截。其中，第二类防护策略可以是存储在客户端本地的防护策略，用于根据文件等级确定是否对该文件进行防护。

通常情况下，根据文件等级能够确定文件的重要程度、受攻击概率等信息。文件等级可以划分为高级、中级以及低级等。可选的，将重要性高、且易受攻击的类型的文件的文件等级划分为高级，相应地，等级为“高级”的文件所对应的第一类防护策略可以为“对程序进行拦截”。将重要性低、且不易受攻击的类型的文件的文件等级划分为低级，相应地，等级为“低级”的文件所对应的第一类防护策略可以为“允许程序执行该操作指令”。将重要性高但不易受攻击的类型和/或重要性低但易受攻击的类型的文件的文件等级划分为中级，相应地，等级为“中级”的文件所对应的第一类防护策略可以是“生成用于提示用户是否针对程序进行拦截的第二提示信息，并根据用户针对该第二提示信息发送的反馈结果确定是否针对程序进行拦截”，也可以是“将程序的程序标识以及文件类型上报给云服务器，接收云服务器通过查询预设的第二云端策略表后返回的第二指示信息，并根据第二指示信息确定是否针对程序进行拦截”。总之，结合文件等级能够更为准确地进行文件防护。

另外，当根据文件等级确定的第二类防护策略为“生成用于提示用户是否针对该程序进行拦截的第二提示信息，并根据用户针对该第二提示信息发送的反馈结果确定是否针对该程序进行拦截”时，进一步将用户针对该第二提示信息发送的反馈结果、程序的程序标识以及文件类型发送给云服务器，以供云服务器对第二云端策略表进行更新；和/或，根据用户针对该第二提示信息发送的反馈结果、程序的程序标识以及文件类型确定是否更新第二类防护策略。

具体地，第二类防护策略是存储在客户端本地、用于根据文件等级确定防护方式的本地策略，该本地策略可以根据接收到的用户反馈情况进行更新。

同理，第二云端策略表是存储在云服务器上、用于根据文件等级确定防护方式的云端策略，该云端策略也可以根据接收到的用户反馈情况进行更新。另外，各个客户端也可以定期将本地存储的最新版本的第二防护策略上报给云服务器，以供云服务器对第二云端策略表进行更新；和/或，各个客户端还可以定期获取云服务器存储的最新版本的第二云端策略表，以便对其本地存储的第二防护策略进行更新。总之，本实施例中的方案能够根据用户的反馈情况不断修正，以实现逐步提升防护效果的目的。

由此可见，在本实施例中，既可以在步骤S230的判断结果为否时执行步骤S240，也可以在步骤S230的判断结果为否时执行步骤S240’，具体执行步骤S240还是步骤S240’可以由本领域技术人员灵活选择。

另外，步骤S240和步骤S240’既可以择一执行，也可以先后执行。当步骤S240和步骤S240’择一执行时，若在步骤S230的判断结果为否时仅执行步骤S240，则主要侧用于根据程序的来源辅助判断是否需对文件进行安全防护；若在步骤S230的判断结果为否时仅执行步骤S240’，则主要侧用于根据文件等级辅助判断是否需对文件进行安全防护。

当步骤S240和步骤S240’先后执行时，既可以是先执行步骤S240，再执行步骤S240’；也可以是先执行步骤S240’，再执行步骤S240。例如，当先执行步骤S240，再执行步骤S240’时，先根据程序来源等级初步确定相应的第一类防护策略，再根据文件等级确定对应的第二类防护策略，当第一类防护策略与第二类防护策略相同时，执行该防护策略；当第一类防护策略与第二类防护策略不同时，可以预先为每个防护策略设置对应的优先级（例如，“允许程序执行操作指令”的优先级最低、“对程序进行拦截”的优先级最高），然后，根据系统设定或用户选择的防护模式从第一类防护策略与第二类防护策略中选择优先级高或低的策略进行执行。比如，若防护模式为高级防护，则选择第一类防护策略与第二类防护策略中优先级高的策略执行，以加强防护效果；若防护模式为低级防护，则选择第一类防护策略与第二类防护策略中优先级低的策略执行，以降低系统开销。同理，当先执行步骤S240’，再执行步骤S240时，处理过程类似，此处不再赘述。

另外，在上述实施例中，第一类防护策略和第二类防护策略的具体策略大致相同，在本发明其他的实施例中，第一类防护策略和第二类防护策略的具体策略也可以不同，本领域技术人员可以针对第一类防护策略和/或第二类防护策略进行灵活增删，并且，本领域技术人员还可以对第一类防护策略和第二类防护策略进行合并，例如，可以预先确定程序来源等级和文件等级之间的各种可能的组合形式，然后，分别为每种组合形式设置对应的防护策略，从而将第一类防护策略和第二类防护策略合并为一个根据程序来源等级和文件等级共同确定的防护策略。例如，假设程序来源等级包括三个等级、文件等级包括三个等级，则程序来源等级和文件等级之间的组合形式为九种，则可以分别针对每种组合形式设置对应的防护策略，或者，也可以将其中的若干组合形式进行合并，使合并后的两种或更多种组合形式对应于相同的防护策略。同理，第一云端策略表和第二云端策略表中存储的具体策略既可以大致相同，也可以不同，本领域技术人员可以针对第一云端策略表和/或第二云端策略表进行灵活增删，并且，本领域技术人员还可以将第二云端策略表和第二云端策略表合并为一个根据程序来源等级和文件等级共同确定的云端策略表，具体合并方式可参照第一类防护策略和第二类防护策略的合并方式，此处不再赘述。

综上可知，在本实施例中，预先确定各种类型的文件所对应的分类程序白名单，在白名单中存储已知的能够用于合法操作该类文件的程序集合；当监测到除白名单之外的程序操作文件时，对该程序进行重点监控，以提升文件安全性。例如，当检测到文件有被改写，删除，移动等改变文件现状的操作时，判断被操作文档的类型与发起这一操作的进程类型是否匹配，对由非匹配进程所进行的文件操作，根据文件分级给予拦截或上报操作。本发明相当于给每一文件类型建立了可对其进行操作的进程的白名单，如果进程不在这一范围内则需要进行严格检测以确定是否为恶意程序。除此之外，还可以依据文件等级、进程来源等进行分等级操作，从而进一步提升防护效果。

图3示出了本发明又一实施例提供的文件防护装置的结构示意图，如图3所示，该装置包括：

监测模块31，适于监测到针对文件发起的操作指令时，确定发起所述操作指令的程序；

白名单确定模块32，适于根据所述文件的文件类型，确定与所述文件类型相对应的分类程序白名单；

判断模块33，适于判断所述发起所述操作指令的程序是否属于所述分类程序白名单，根据判断结果确定是否对所述文件进行防护。

可选的，所述判断模块33具体适于：

若判断结果为否，则进一步查询预设的程序来源等级表，确定所述发起所述操作指令的程序的来源等级，根据所述程序的来源等级确定是否对所述文件进行防护。

可选的，所述程序来源等级表中存储了多个程序来源等级以及分别与各个程序来源等级相对应的程序标识；

所述判断模块33具体适于：预先为每个程序来源等级设置对应的第一类防护策略，根据所述程序来源等级选择对应的第一类防护策略；其中，所述第一类防护策略包括以下中的至少一种：

允许所述程序执行所述操作指令；

对所述程序进行拦截；

生成用于提示用户是否针对所述程序进行拦截的第一提示信息，并根据用户针对该第一提示信息发送的反馈结果确定是否针对所述程序进行拦截；以及，

将所述程序的程序标识以及所述文件类型上报给云服务器，接收云服务器通过查询预设的第一云端策略表后返回的第一指示信息，并根据所述第一指示信息确定是否针对所述程序进行拦截。

可选的，所述判断模块33进一步适于：

将所述用户针对该第一提示信息发送的反馈结果、所述程序的程序标识以及所述文件类型发送给云服务器，以供云服务器对所述第一云端策略表进行更新；和/或，

根据所述用户针对该第一提示信息发送的反馈结果、所述程序的程序标识以及所述文件类型确定是否更新所述第一类防护策略。

可选的，所述判断模块33具体适于：

若判断结果为否，则进一步查询预设的文件类型等级表，确定与所述文件类型相对应的文件等级，根据所述文件等级确定是否对所述文件进行防护。

可选的，所述文件类型等级表中存储了多个文件等级以及分别与各个文件等级相对应的文件类型；

所述判断模块33具体适于：预先为每个文件等级设置对应的第二类防护策略，根据所述文件等级选择对应的第二类防护策略；其中，所述第二类防护策略包括以下中的至少一种：

允许所述程序执行所述操作指令；

对所述程序进行拦截；

生成用于提示用户是否针对所述程序进行拦截的第二提示信息，并根据用户针对该第二提示信息发送的反馈结果确定是否针对所述程序进行拦截；以及，

将所述程序的程序标识以及所述文件类型上报给云服务器，接收云服务器通过查询预设的第二云端策略表后返回的第二指示信息，并根据所述第二指示信息确定是否针对所述程序进行拦截。

可选的，所述判断模块33进一步适于：将所述用户针对该第二提示信息发送的反馈结果、所述程序的程序标识以及所述文件类型发送给云服务器，以供云服务器对所述第二云端策略表进行更新；和/或，

根据所述用户针对该第二提示信息发送的反馈结果、所述程序的程序标识以及所述文件类型确定是否更新所述第二类防护策略。

可选的，该装置进一步包括：

设置模块34，适于预先设置文件分类规则以及分别与各种文件类型相对应的分类程序白名单。

可选的，所述文件的文件类型通过文件后缀名确定，和/或，所述文件的文件类型通过预设的机器学习分类模型确定；

并且，所述操作指令包括以下中的至少一种：读取类操作指令、删除类操作指令、加密类操作指令、以及改写类操作指令。

其中，上述各个模块的具体工作原理可参照方法实施例中相应步骤的描述，此处不再赘述。

根据本发明一个实施例提供了一种非易失性计算机存储介质，所述计算机存储介质存储有至少一可执行指令，该计算机可执行指令可执行上述任意方法实施例中的文件防护方法。

图4示出了根据本发明一个实施例提供的一种终端的结构示意图，本发明具体实施例并不对终端的具体实现做限定。

如图4所示，该终端可以包括：处理器(processor)402、通信接口(CommunicationsInterface)404、存储器(memory)406、以及通信总线408。

其中：处理器402、通信接口404、以及存储器406通过通信总线408完成相互间的通信。

通信接口404，用于与其它设备比如客户端或其它服务器等的网元通信。

处理器402，用于执行程序410，具体可以执行上述文件防护方法实施例中的相关步骤。

具体地，程序410可以包括程序代码，该程序代码包括计算机操作指令。

处理器402可能是中央处理器CPU，或者是特定集成电路ASIC（ApplicationSpecific Integrated Circuit），或者是被配置成实施本发明实施例的一个或多个集成电路。终端包括的一个或多个处理器，可以是同一类型的处理器，如一个或多个CPU；也可以是不同类型的处理器，如一个或多个CPU以及一个或多个ASIC。

存储器406，用于存放程序410。存储器406可能包含高速RAM存储器，也可能还包括非易失性存储器（non-volatile memory），例如至少一个磁盘存储器。

程序410具体可以用于使得处理器402执行上述任意方法实施例中的文件防护方法。例如，具体执行以下操作：

监测到针对文件发起的操作指令时，确定发起所述操作指令的程序；

根据所述文件的文件类型，确定与所述文件类型相对应的分类程序白名单；

判断所述发起所述操作指令的程序是否属于所述分类程序白名单，根据判断结果确定是否对所述文件进行防护。

在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书（包括伴随的权利要求、摘要和附图）中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书（包括伴随的权利要求、摘要和附图）中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器（DSP）来实现根据本发明实施例的文件防护设备中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序（例如，计算机程序和计算机程序产品）。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims (14)

1.一种文件防护方法，包括：

监测到针对文件发起的操作指令时，确定发起所述操作指令的程序；

根据所述文件的文件类型，确定与所述文件类型相对应的分类程序白名单；

判断所述发起所述操作指令的程序是否属于所述分类程序白名单，根据判断结果确定是否对所述文件进行防护；

所述根据判断结果确定是否对所述文件进行防护的步骤具体包括：

若判断结果为否，则进一步查询预设的程序来源等级表，确定所述发起所述操作指令的程序的来源等级，根据所述程序的来源等级确定是否对所述文件进行防护；其中，所述程序来源等级表中存储了多个程序来源等级以及分别与各个程序来源等级相对应的程序标识；

所述根据所述程序的来源等级确定是否对所述文件进行防护的步骤具体包括：

预先为每个程序来源等级设置对应的第一类防护策略，根据所述程序来源等级选择对应的第一类防护策略；其中，所述第一类防护策略包括以下中的至少一种：

允许所述程序执行所述操作指令；

对所述程序进行拦截；

生成用于提示用户是否针对所述程序进行拦截的第一提示信息，并根据用户针对该第一提示信息发送的反馈结果确定是否针对所述程序进行拦截；以及，

将所述程序的程序标识以及所述文件类型上报给云服务器，接收云服务器通过查询预设的第一云端策略表后返回的第一指示信息，并根据所述第一指示信息确定是否针对所述程序进行拦截。

2.根据权利要求1所述的方法，其中，所述根据用户针对该第一提示信息发送的反馈结果确定是否针对所述程序进行拦截的步骤之后，进一步包括：

将所述用户针对该第一提示信息发送的反馈结果、所述程序的程序标识以及所述文件类型发送给云服务器，以供云服务器对所述第一云端策略表进行更新；和/或，

根据所述用户针对该第一提示信息发送的反馈结果、所述程序的程序标识以及所述文件类型确定是否更新所述第一类防护策略。

3.根据权利要求1所述的方法，其中，所述根据判断结果确定是否对所述文件进行防护的步骤，还包括：

若判断结果为否，则进一步查询预设的文件类型等级表，确定与所述文件类型相对应的文件等级，根据所述文件等级确定是否对所述文件进行防护；

所述文件类型等级表中存储了多个文件等级以及分别与各个文件等级相对应的文件类型；

所述根据所述文件等级确定是否对所述文件进行防护的步骤具体包括：

预先为每个文件等级设置对应的第二类防护策略，根据所述文件等级选择对应的第二类防护策略；其中，所述第二类防护策略包括以下中的至少一种：

允许所述程序执行所述操作指令；

对所述程序进行拦截；

生成用于提示用户是否针对所述程序进行拦截的第二提示信息，并根据用户针对该第二提示信息发送的反馈结果确定是否针对所述程序进行拦截；以及，

将所述程序的程序标识以及所述文件类型上报给云服务器，接收云服务器通过查询预设的第二云端策略表后返回的第二指示信息，并根据所述第二指示信息确定是否针对所述程序进行拦截。

4.根据权利要求3所述的方法，其中，所述根据用户针对该第二提示信息发送的反馈结果确定是否针对所述程序进行拦截的步骤之后，进一步包括：

将所述用户针对该第二提示信息发送的反馈结果、所述程序的程序标识以及所述文件类型发送给云服务器，以供云服务器对所述第二云端策略表进行更新；和/或，

根据所述用户针对该第二提示信息发送的反馈结果、所述程序的程序标识以及所述文件类型确定是否更新所述第二类防护策略。

5.根据权利要求1-4任一所述的方法，其中，所述方法执行之前，进一步包括：预先设置文件分类规则以及分别与各种文件类型相对应的分类程序白名单。

6.根据权利要求1-4任一所述的方法，其中，所述文件的文件类型通过文件后缀名确定，和/或，所述文件的文件类型通过预设的机器学习分类模型确定；

并且，所述操作指令包括以下中的至少一种：读取类操作指令、删除类操作指令、加密类操作指令、以及改写类操作指令。

7.一种文件防护装置，包括：

监测模块，适于监测到针对文件发起的操作指令时，确定发起所述操作指令的程序；

白名单确定模块，适于根据所述文件的文件类型，确定与所述文件类型相对应的分类程序白名单；

判断模块，适于判断所述发起所述操作指令的程序是否属于所述分类程序白名单，根据判断结果确定是否对所述文件进行防护；其中，所述判断模块具体适于：

若判断结果为否，则进一步查询预设的程序来源等级表，确定所述发起所述操作指令的程序的来源等级，根据所述程序的来源等级确定是否对所述文件进行防护；其中，所述程序来源等级表中存储了多个程序来源等级以及分别与各个程序来源等级相对应的程序标识；

所述判断模块具体适于：预先为每个程序来源等级设置对应的第一类防护策略，根据所述程序来源等级选择对应的第一类防护策略；其中，所述第一类防护策略包括以下中的至少一种：

允许所述程序执行所述操作指令；

对所述程序进行拦截；

生成用于提示用户是否针对所述程序进行拦截的第一提示信息，并根据用户针对该第一提示信息发送的反馈结果确定是否针对所述程序进行拦截；以及，

将所述程序的程序标识以及所述文件类型上报给云服务器，接收云服务器通过查询预设的第一云端策略表后返回的第一指示信息，并根据所述第一指示信息确定是否针对所述程序进行拦截。

8.根据权利要求7所述的装置，其中，所述判断模块进一步适于：

将所述用户针对该第一提示信息发送的反馈结果、所述程序的程序标识以及所述文件类型发送给云服务器，以供云服务器对所述第一云端策略表进行更新；和/或，

根据所述用户针对该第一提示信息发送的反馈结果、所述程序的程序标识以及所述文件类型确定是否更新所述第一类防护策略。

9.根据权利要求7所述的装置，其中，所述判断模块还适于：

若判断结果为否，则进一步查询预设的文件类型等级表，确定与所述文件类型相对应的文件等级，根据所述文件等级确定是否对所述文件进行防护；

所述文件类型等级表中存储了多个文件等级以及分别与各个文件等级相对应的文件类型；

所述判断模块具体适于：预先为每个文件等级设置对应的第二类防护策略，根据所述文件等级选择对应的第二类防护策略；其中，所述第二类防护策略包括以下中的至少一种：

允许所述程序执行所述操作指令；

对所述程序进行拦截；

生成用于提示用户是否针对所述程序进行拦截的第二提示信息，并根据用户针对该第二提示信息发送的反馈结果确定是否针对所述程序进行拦截；以及，

将所述程序的程序标识以及所述文件类型上报给云服务器，接收云服务器通过查询预设的第二云端策略表后返回的第二指示信息，并根据所述第二指示信息确定是否针对所述程序进行拦截。

10.根据权利要求9所述的装置，其中，所述判断模块进一步适于：将所述用户针对该第二提示信息发送的反馈结果、所述程序的程序标识以及所述文件类型发送给云服务器，以供云服务器对所述第二云端策略表进行更新；和/或，

根据所述用户针对该第二提示信息发送的反馈结果、所述程序的程序标识以及所述文件类型确定是否更新所述第二类防护策略。

11.根据权利要求7-10任一所述的装置，其中，进一步包括：

设置模块，适于预先设置文件分类规则以及分别与各种文件类型相对应的分类程序白名单。

12.根据权利要求7-10任一所述的装置，其中，所述文件的文件类型通过文件后缀名确定，和/或，所述文件的文件类型通过预设的机器学习分类模型确定；

并且，所述操作指令包括以下中的至少一种：读取类操作指令、删除类操作指令、加密类操作指令、以及改写类操作指令。

13.一种终端，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；

所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行如权利要求1-6中任一项所述的文件防护方法对应的操作。

14.一种计算机存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行如权利要求1-6中任一项所述的文件防护方法对应的操作。

Images