CN116070210A - 异常进程的确定方法、装置及病毒查杀方法 - Google Patents

Abstract

本申请实施例提供了一种异常进程的确定方法、装置及病毒查杀方法，其中，该方法包括：监控服务器中的资源的运行状态，得到资源信息；依据资源信息确定服务器中的目标资源的占用状态，其中，目标资源为服务器中的任意一种资源；在目标资源的占用状态满足对应的预设条件的情况下，确定当前时刻占用目标资源的进程，得到目标进程；在目标进程不在服务器中的白名单内的情况下，确定目标进程为异常进程。通过本申请，解决了相关技术使用病毒软件对服务器进行病毒查杀，无法根据服务器上各资源的占用情况确定异常的问题，进而达到了精准识别异常进程的效果。

Description

异常进程的确定方法、装置及病毒查杀方法

技术领域

本申请实施例涉及计算机领域，具体而言，涉及一种异常进程的确定方法、装置及病毒查杀方法。

背景技术

客户使用服务器建立自己的业务系统并对外提供服务，由于对外开放服务，加上服务器的特点，一些黑客有意对客户的业务主机进行病毒入侵，继而攻击整个局域网内的其他服务器。

目前服务器杀毒通常是利用防火墙和其他一些服务器版的杀毒软件，这些防护方式有优势也有弊端，比如防火墙只能防护到网络层面的网络攻击，但是很难做到具体业务数据的防护；杀毒软件能对服务器进行病毒查杀，还能防御入侵攻击，防止网站被篡改，对于一些ddos攻击、arp攻击、cc攻击也能起到一定的防护作用，但仍很难保证服务器上具体应用程序的病毒防护。

杀毒软件需要定期对病毒进行查杀，长期占用服务器资源，并且需要不断更新病毒库，对于病毒的识别，杀毒软件只能做到对目前病毒库中已有病毒的识别与查杀，无法根据服务器上各资源的占用情况确定异常进程。

发明内容

本申请实施例提供了一种异常进程的确定方法、装置及病毒查杀方法，以至少解决相关技术中使用病毒软件对服务器进行病毒查杀，无法根据服务器上各资源的占用情况确定异常的问题。

根据本申请的一个实施例，提供了一种异常进程的确定方法，包括：监控服务器中的资源的运行状态，得到资源信息；依据资源信息确定服务器中的目标资源的占用状态，其中，目标资源为服务器中的任意一种资源；在目标资源的占用状态满足对应的预设条件的情况下，确定当前时刻占用目标资源的进程，得到目标进程；在目标进程不在服务器中的白名单内的情况下，确定目标进程为异常进程。

在一个示例性实施例中，确定目标进程为异常进程之前，方法还包括：获取运行在服务器中的第一进程，以及与第一进程对应的进程标识码；通过病毒库对第一进程进行筛选，其中，病毒库用于验证第一进程是否为病毒进程；将通过病毒库验证的第二进程以及与第二进程对应的进程标识码存储在白名单中，并将白名单部署在服务器中。

在一个示例性实施例中，确定目标进程为异常进程，包括：获取目标进程的目标进程标识码；比较目标进程标识码和白名单中存储的进程标识码；在白名单中存储的进程标识码中不存在与目标进程标识码一致的标识码的情况下，确定目标进程为异常进程。

在一个示例性实施例中，依据资源信息确定服务器中的目标资源的占用状态，包括以下至少之一：依据资源信息确定服务器中的目标资源的资源占用率；依据资源信息确定目标资源被服务器中运行的进程所占用的占用时长。

在一个示例性实施例中，确定当前时刻占用目标资源的进程，得到目标进程之前，方法还包括：获取第一资源占用率和第二资源占用率，其中，第一资源占用率为服务器在第一时刻下目标资源的资源占用率，第二资源占用率为服务器在第二时刻下目标资源的资源占用率，第二时刻为第一时刻的上一时刻；在第一资源占用率和第二资源占用率的差值的绝对值大于第一预设阈值的情况下，确定目标资源的占用状态满足预设条件。

在一个示例性实施例中，确定当前时刻占用目标资源的进程，得到目标进程之前，方法还包括：获取第一占用时长，其中，第一占用时长为服务器中运行的每个进程占用目标资源的时长；在第一占用时长中存在大于第一预设时长的占用时长的情况下，确定目标资源的占用状态满足预设条件。

在一个示例性实施例中，资源信息还包括进程数量，得到目标进程，包括：获取第三时刻下的第一进程数量和第四时刻下的第二进程数量，其中，第四时刻为第三时刻的上一时刻；在第一进程数量和第二进程数量的差值的绝对值大于第二预设阈值的情况下，将在第三时刻至第四时刻之间增加的进程确定为目标进程；或，将服务器中进程的运行时长大于第二预设时长的进程确定为目标进程。

在一个示例性实施例中，监控服务器中的资源的运行状态，得到资源信息，包括：获取目标对象的身份信息和服务器中部署的应用程序的配置场景；依据身份信息和配置场景更新监控得到的资源信息。

根据本申请的另一个实施例，提供了一种病毒查杀方法，包括：监控服务器中的资源的运行状态，其中，运行状态至少用于指示资源的占用状态；依据运行状态从服务器中的资源中确定目标资源，在目标资源的状态满足预设条件的情况下，确定占用目标资源的目标进程；在目标进程不在服务器中的白名单内的情况下，确定目标进程为异常进程，并确定与异常进程对应的应用程序；对应用程序执行杀毒操作。

在一个示例性实施例中，确定目标进程为异常进程之前，方法还包括：获取运行在服务器中的第一进程，以及与第一进程对应的进程标识码；通过病毒库对第一进程进行筛选，其中，病毒库用于验证第一进程是否为病毒进程；将通过病毒库验证的第二进程以及与第二进程对应的进程标识码存储在白名单中，并将白名单部署在服务器中。

在一个示例性实施例中，确定目标进程为异常进程，包括：获取目标进程的目标进程标识码；比较目标进程标识码和白名单中存储的进程标识码；在白名单中存储的进程标识码中不存在与目标进程标识码一致的标识码的情况下，确定目标进程为异常进程。

根据本申请的又一个实施例，提供了一种异常进程的确定装置，包括：第一监控模块，用于监控服务器中的资源的运行状态，得到资源信息；第一确定模块，用于依据资源信息确定服务器中的目标资源的占用状态，其中，目标资源为服务器中的任意一种资源；第二确定模块，用于在目标资源的占用状态满足对应的预设条件的情况下，确定当前时刻占用目标资源的进程，得到目标进程；第三确定模块，用于在目标进程不在服务器中的白名单内的情况下，确定目标进程为异常进程。

根据本申请的又一个实施例，提供了一种病毒查杀装置，包括：第二监控模块，用于监控设备中的资源的运行状态，其中，运行状态至少用于指示资源的占用状态；第四确定模块，用于依据运行状态从服务器中的资源中确定目标资源，在目标资源的状态满足预设条件的情况下，确定占用目标资源的目标进程；第五确定模块，用于在目标进程不在服务器中的白名单内的情况下，确定目标进程为异常进程，并确定与异常进程对应的应用程序；杀毒模块，用于对应用程序执行杀毒操作。

根据本申请的又一个实施例，还提供了一种计算机可读存储介质，计算机可读存储介质中存储有计算机程序，其中，计算机程序被设置为运行时执行上述任一项方法实施例中的步骤。

根据本申请的又一个实施例，还提供了一种电子设备，包括存储器和处理器，存储器中存储有计算机程序，处理器被设置为运行计算机程序以执行上述任一项方法实施例中的步骤。

通过本申请，由于监控服务器中各资源的占用状态，当目标资源的占用状态满足预设条件的情况下，获取当前时刻占用目标资源的目标进程，并确定目标进程是否在服务器中的白名单内，若目标进程不在白名单内，则确定目标进程为异常进程，因此，可以解决相关技术中使用病毒软件对服务器进行病毒查杀，无法根据服务器上各资源的占用情况确定异常的问题，达到精准识别异常进程的效果。

附图说明

图1是根据本申请实施例的一种异常进程的确定方法的移动终端的硬件结构框图；

图2是根据本申请实施例的一种异常进程的确定方法的流程图；

图3是根据本申请实施例的一种病毒查杀方法的流程图；

图4是根据本申请实施例的一种异常进程的确定装置的结构图；

图5是根据本申请实施例的一种病毒查杀装置的结构图。

具体实施方式

下文中将参考附图并结合实施例来详细说明本申请的实施例。

需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。

首先，在对本申请实施例进行解释说明的过程中出现的部分名词或术语适用于如下解释：

JMS：JMS即Java消息服务(Java Message Service)应用程序接口，是一个Java平台中关于面向消息中间件(MOM)的API，用于在两个应用程序之间，或分布式系统中发送消息，进行异步通信。

UDP：Internet协议集支持一个无连接的传输协议，该协议称为用户数据报协议(UDP，User Datagram Protocol)。UDP为应用程序提供了一种无需建立连接就可以发送封装的IP数据包的方法。

相关技术对于网络病毒的攻击，通常是使用防火墙或使用杀毒软件，但是防火墙只能防护网络层面的病毒攻击，很难做到具体业务数据的防护，而杀毒软件长期占用大量服务器资源，并且只能通过已经识别的病毒库进行查杀病毒，导致服务器资源浪费，无法识别和防御新的病毒攻击。为了解决上述问题，本申请实施例提供了相应的解决方案，以下详细说明。

本申请实施例中所提供的方法实施例可以在移动终端、计算机终端或者类似的运算装置中执行。以运行在移动终端上为例，图1是本申请实施例的一种异常进程的确定方法的移动终端的硬件结构框图。如图1所示，移动终端可以包括一个或多个(图1中仅示出一个)处理器102(处理器102可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置)和用于存储数据的存储器104，其中，上述移动终端还可以包括用于通信功能的传输设备106以及输入输出设备108。本领域普通技术人员可以理解，图1所示的结构仅为示意，其并不对上述移动终端的结构造成限定。例如，移动终端还可包括比图1中所示更多或者更少的组件，或者具有与图1所示不同的配置。

存储器104可用于存储计算机程序，例如，应用软件的软件程序以及模块，如本申请实施例中的异常进程的确定方法对应的计算机程序，处理器102通过运行存储在存储器104内的计算机程序，从而执行各种功能应用以及数据处理，即实现上述的方法。存储器104可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器104可进一步包括相对于处理器102远程设置的存储器，这些远程存储器可以通过网络连接至移动终端。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

传输设备106用于经由一个网络接收或者发送数据。上述的网络具体实例可包括移动终端的通信供应商提供的无线网络。在一个实例中，传输设备106包括一个网络适配器(Network Interface Controller，简称为NIC)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输设备106可以为射频(Radio Frequency，简称为RF)模块，其用于通过无线方式与互联网进行通讯。

需要说明的是，图1所示的移动终端还用于执行病毒查杀方法。

在上述运行环境下，本实施例中提供了一种异常进程的确定方法，图2是根据本申请实施例的一种异常进程的确定方法的流程图，如图2所示，该流程包括如下步骤：

步骤S202，监控服务器中的资源的运行状态，得到资源信息。

在上述步骤S202中，服务器中的资源包括但不限于：CPU、内存、硬盘、网卡、GPU、磁盘等，根据资源的运行状态得到的资源信息可以为CPU占用率、网络占用率、内存占用率、磁盘占用率等。

步骤S204，依据资源信息确定服务器中的目标资源的占用状态，其中，目标资源为服务器中的任意一种资源。

在上述步骤S204中，在监控服务器中各资源的运行状态的情况下，可以确定其中任意一种资源的资源占用情况，例如当目标资源为CPU时，目标资源的占用状态即获取资源信息中的CPU占用率。

步骤S206，在目标资源的占用状态满足对应的预设条件的情况下，确定当前时刻占用目标资源的进程，得到目标进程。

在上述步骤S206中，由于不同的进程对服务器中的资源占用情况不同，当对服务器中的资源的占用状态满足对应的预设条件的情况下，例如当目标资源为CPU时，当前时刻对CPU的占用率相比于上一时刻对CPU的占用率增加超过30％，则认为CPU的占用状态满足对应的预设条件，则将当前占用CPU的进程确定为目标进程。

步骤S208，在目标进程不在服务器中的白名单内的情况下，确定目标进程为异常进程。

在上述步骤S208中，在确定满足预设条件的目标进程后，需要和服务器中的白名单进行比较，若目标进程在服务器的白名单内，则确定该目标进程为正常进程，若目标进程不在服务器的白名单内，则确定该进程为异常进程。

在一种可选的实施例中，在确定异常进程之后，可以根据配置，选择一种通知方式通知用户，例如，创建系统服务单元systemd unit，并对该系统服务单元命名，如命名为notification.service，该系统服务单元负责发现异常进程后通知用户，通知的方式包括但不限于mail、JMS、UDP等多种通知方式，通过配置需要接收通知的email地址或者jms地址或者UDP中对应的IP和端口号，在发现异常进程之后，根据上述配置，选择一种通知方式通知用户。

通过上述步骤，在服务器中目标资源的占用状态满足预设条件的情况下，确定目标进程，将目标进程与服务器的白名单进行比较，将不在服务器白名单的目标进程确定为异常进程，解决了相关技术使用病毒软件对服务器进行病毒查杀，无法根据服务器上各资源的占用情况确定异常的问题，提高了识别异常进程的准确率。

其中，上述步骤的执行主体可以为服务器、终端等，但不限于此。

需要说明的是，上述步骤之间的执行顺序是可以互换的，例如，步骤S102和步骤S104的执行顺序是可以互换的，即可以先执行步骤S104，然后再执行S102。

在上述异常进程的确定方法中的步骤S208中，确定目标进程为异常进程之前，方法还包括如下步骤：获取运行在服务器中的第一进程，以及与第一进程对应的进程标识码；通过病毒库对第一进程进行筛选，将筛选通过的进程确定为第二进程，其中，病毒库用于验证第一进程是否为病毒进程；将通过病毒库验证的第二进程以及与第二进程对应的进程标识码存储在白名单中，并将白名单部署在服务器中。

在一种可选的实施例中，为了精准识别服务器中运行的进程是否为异常进程，需要先使用病毒库对服务器中运行的进程进行筛选，病毒库中存储有当前已有的病毒。当进程在服务器中运行时，例如用户在服务器上部署并运行自己的应用程序，并启动白名单系统服务，服务器会识别当前运行的进程，并自动为该进程分配一个进程标识码，该进程标识码作为该进程的唯一标识。若该进程通过病毒库的筛选，则说明该进程中未包含有当前已识别的病毒，进而可以确定当前进程是安全进程，从而将通过病毒库筛选的进程(即上述第二进程)以及与该进程对应的进程标识码存储在白名单中。具体地，创建系统服务单元systemd unit，该系统服务单元可以命名为whitelist.service(即白名单)，用于记录服务器上用户本身的进程标识码。标识码会统一存放到白名单文件中，对于经过病毒库筛选的新的进程标识码，在白名单中进行比对，根据对比结果，给出在或者不在白名单中的结论。对于不在白名单上的进程标识码，视为病毒进程。

在上述异常进程的确定方法中的步骤S208中，确定目标进程为异常进程，具体包括如下步骤：获取目标进程的目标进程标识码；比较目标进程标识码和白名单中存储的进程标识码；在白名单中存储的进程标识码中不存在与目标进程标识码一致的标识码的情况下，确定目标进程为异常进程。

在一种可选的实施例中，当识别出某进程对服务器中的目标资源占用状态满足预设条件的情况下，则认为该进程可能是异常进程，将可能是异常进程的进程确定为目标进程，并获取目标进程对应的标识码(即上述目标进程标识码)，再确定目标进程标识码是否存在于服务器的白名单中，若存在，则认为该目标进程不是异常进程，若目标进程标识码不存在于服务器的白名单中，则将该目标进程确定为异常进程。

在上述异常进程的确定方法中的步骤S204中，依据资源信息确定服务器中的目标资源的占用状态，包括以下至少之一：依据资源信息确定服务器中的目标资源的资源占用率；依据资源信息确定目标资源被服务器中运行的进程所占用的占用时长。

在一种可选的实施例中，根据监控得到的资源信息确定服务器中的目标资源的占用状态包括以下几个维度：一是资源占用率，二是资源占用时长。

在上述异常进程的确定方法中的步骤S206中，确定当前时刻占用目标资源的进程，得到目标进程之前，方法还包括如下步骤：获取第一资源占用率和第二资源占用率，其中，第一资源占用率为服务器在第一时刻下目标资源的资源占用率，第二资源占用率为服务器在第二时刻下目标资源的资源占用率，第二时刻为第一时刻的上一时刻；在第一资源占用率和第二资源占用率的差值的绝对值大于第一预设阈值的情况下，确定目标资源的占用状态满足预设条件。

在一种可选的实施例中，当目标资源表示CPU时，第一资源占用率表示第一时刻的CPU占用率，第二资源占用率表示第二时刻的CPU占用率，第一时刻即当前时刻，当前时刻可以是获取第一资源占用率时对应的系统时间。CPU占用率可以根据top来判断，但是top仅能给出CPU的综合占用率，对于更细粒度的分析CPU占用率，可以通过mpstat来查看每个核对CPU的占用情况。更具体地，还可以通过cat/proc/sched_debug|egrep"^>R|cpu#"来识别出当前运行的占用CPU的进程。若在当前时刻的CPU占用率与当前时刻的上一时刻的CPU占用率的差值的绝对大于第一预设阈值，例如该第一预设阈值设置为30％，则认为对CPU的占用状态满足对应的预设条件，进而将当前时刻占用CPU的所有进程确定为目标进程。

在一种可选的实施例中，当目标资源表示磁盘时，第一资源占用率表示第一时刻的磁盘占用率，第二资源占用率表示第二时刻的磁盘占用率。在本申请实施例中，可以使用iostat监控磁盘，若在当前时刻的磁盘占用率与当前时刻的上一时刻的磁盘占用率的差值的绝对大于第一预设阈值，例如该第一预设阈值设置为30％，则认为对磁盘的占用状态满足对应的预设条件，则进而将当前时刻占用磁盘的所有进程确定为目标进程。

在一种可选的实施例中，当目标资源表示网络时，第一资源占用率表示第一时刻的网络占用率(或网络使用率)，第二资源占用率表示第二时刻的网络占用率。在本申请实施例中，可以使用sar-dev监控网络，若在当前时刻的网络占用率与当前时刻的上一时刻的网络占用率的差值的绝对大于第一预设阈值，例如该第一预设阈值设置为30％，则认为对网卡的占用状态满足对应的预设条件，则进而将当前时刻占用网卡的所有进程确定为目标进程。

在一种可选的实施例中，当目标资源表示内存时，第一资源占用率表示第一时刻的内存占用率，第二资源占用率表示第二时刻的内存占用率。在本申请实施例中，可以使用free-g监控内存，若在当前时刻的内存占用率与当前时刻的上一时刻的内存占用率的差值的绝对大于第一预设阈值，例如该第一预设阈值设置为30％，则认为对内存的占用状态满足对应的预设条件，则进而将当前时刻占用内存的所有进程确定为目标进程。

在上述异常进程的确定方法中的步骤S206中，确定当前时刻占用目标资源的进程，得到目标进程之前，方法还包括如下步骤：获取第一占用时长，其中，第一占用时长为服务器中运行的每个进程占用目标资源的时长；在第一占用时长中存在大于第一预设时长的占用时长的情况下，确定目标资源的占用状态满足预设条件。

在一种可选的实施例中，除了上述通过资源占用率表示服务器中资源的占用状态，还可通过资源占用时长表示。

具体地，在目标资源表示CPU的情况下，获取服务器中运行的每个进程占用CPU的第一占用时长，若第一占用时长中存在大于第一预设时长的占用时长的情况下，例如第一预设时长设置为24h，若服务器中运行有进程A和进程B，进程A对CPU的第一占用时长为12h<24h，进程B对CPU的第一占用时长为25h>24h，则确定CPU的占用状态满足预设条件，进而将当前占用CPU的所有进程确定为目标进程。

同理，当目标资源分别表示磁盘、网络、内存等资源时，均可通过上述资源占用时长的判定方法确定目标资源的占用状态是否满足预设条件，此处不再赘述。

在上述异常进程的确定方法中，资源信息还包括进程数量，上述步骤S206得到目标进程，具体包括如下步骤：获取第三时刻下的第一进程数量和第四时刻下的第二进程数量，其中，第四时刻为第三时刻的上一时刻；在第一进程数量和第二进程数量的差值的绝对值大于第二预设阈值的情况下，将在第三时刻至第四时刻之间增加的进程确定为目标进程；或，将服务器中进程的运行时长大于第二预设时长的进程确定为目标进程。

在一种可选的实施例中，还可通过监控服务器中的进程数量确定目标进程，具体地，使用ps-ef命令监控进程数量，获取服务器在第三时刻对应的第一进程数量，以及获取服务器在第四时刻对应的第二进程数量，该第三时刻可以为当前时刻，当前时刻可以是获取第一进程数量时对应的系统时间。若获取的第一进程数量和第二进程数量的差值的绝对值大于第二预设阈值的情况下，例如，该第二预设阈值可以设置为第二进程数量的30％，则将第三时刻和第四时刻之间新增加的进程确定为目标进程。在另一种可选的实施例中，将服务器中进程的运行时长大于第二预设时长的进程确定为目标进程，该第二预设时长例如可设置为24h。

在上述异常进程的确定方法中的步骤S202中，监控服务器中的资源的运行状态，得到资源信息，具体包括如下步骤：获取目标对象的身份信息和服务器中部署的应用程序的配置场景；依据身份信息和配置场景更新监控得到的资源信息。

在一种可选的实施例中，例如在软件中实现监控服务器中资源的运行状态的情况下，需要目标对象登录软件，不同的目标对象的身份信息不同，且服务器中部署的应用程序的配置场景存在差异时，所需监控的服务器资源也会存在差异，因此需要根据目标对象的身份信息和配置场景更新所需监控的服务器资源，进而得到不同的资源信息。具体地，可以创建系统服务单元systemd unit，可将该系统服务单元命名为resource_monitor.service，并定义触发开关，目标对象可以根据需求选择是否启用病毒监测功能，该功能也可以根据目标对象的身份进行自动开启或关闭。

通过本申请实施例提供的异常进程的确定方法对服务器中的病毒进行监测与通知，几乎不占用服务器资源，且能够有效的监控到服务器上各个资源的异常占用情况，并通过比对白名单，精准的通知到用户服务器上的异常情况，更有利于节省服务器资源，更精准的识别出病毒程序，适合服务器使用。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本申请各个实施例所述的方法。

图3是根据本申请实施例的一种病毒查杀方法的流程图，如图3所示，该方法包括如下步骤：

步骤S302，监控服务器中的资源的运行状态，其中，运行状态至少用于指示资源的占用状态。

在上述步骤S302中，运行状态例如可以包括CPU占用率、内存占用率、磁盘占用率、网络占用率等，也可以包括服务器中各资源的占用时长，如CPU占用时长、内存占用时长、磁盘占用时长、网卡占用时长等，也可以表示服务器中运行的进程数量。

步骤S304，依据运行状态从服务器中的资源中确定目标资源，在目标资源的状态满足预设条件的情况下，确定占用目标资源的目标进程。

在上述步骤S304中，根据不同的运行状态可以确定服务器中目标资源的占用状态是否满足预设条件，进而将占用服务器的目标资源满足预设条件的进程确定为目标进程。

步骤S306，在目标进程不在服务器中的白名单内的情况下，确定目标进程为异常进程，并确定与异常进程对应的应用程序。

步骤S308，对应用程序执行杀毒操作。

在上述病毒查杀方法中的步骤S306中，确定目标进程为异常进程之前，方法还包括如下步骤：获取运行在服务器中的第一进程，以及与第一进程对应的进程标识码；通过病毒库对第一进程进行筛选，其中，病毒库用于验证第一进程是否为病毒进程；将通过病毒库验证的第二进程以及与第二进程对应的进程标识码存储在白名单中，并将白名单部署在服务器中。

在上述病毒查杀方法中的步骤S306中，确定目标进程为异常进程，具体包括如下步骤：获取目标进程的目标进程标识码；比较目标进程标识码和白名单中存储的进程标识码；在白名单中存储的进程标识码中不存在与目标进程标识码一致的标识码的情况下，确定目标进程为异常进程。

在上述病毒查杀方法中的步骤S302中，监控服务器中的资源的运行状态，包括以下至少之一：监控服务器中资源的资源占用率，以及监控服务器中资源被服务器中运行的进程所占用的占用时长。

在上述病毒查杀方法中的步骤S304中，确定占用目标资源的目标进程之前，方法还包括如下步骤：获取第一资源占用率和第二资源占用率，其中，第一资源占用率为服务器在第一时刻下目标资源的资源占用率，第二资源占用率为服务器在第二时刻下目标资源的资源占用率，第二时刻为第一时刻的上一时刻；在第一资源占用率和第二资源占用率的差值的绝对值大于第一预设阈值的情况下，确定目标资源的占用状态满足预设条件。

在上述病毒查杀方法中的步骤S304中，确定占用目标资源的目标进程之前，方法还包括如下步骤：获取第一占用时长，其中，第一占用时长为服务器中运行的每个进程占用目标资源的时长；在第一占用时长中存在大于第一预设时长的占用时长的情况下，确定目标资源的占用状态满足预设条件。

在上述病毒查杀方法中，方法还包括如下步骤：监控服务器中的进程数量，在上述步骤S304中，确定占用目标资源的目标进程，具体包括如下步骤：获取第三时刻下的第一进程数量和第四时刻下的第二进程数量，其中，第四时刻为第三时刻的上一时刻；在第一进程数量和第二进程数量的差值的绝对值大于第二预设阈值的情况下，将在第三时刻至第四时刻之间增加的进程确定为目标进程；或，将服务器中进程的运行时长大于第二预设时长的进程确定为目标进程。

在上述病毒查杀方法中的步骤S302中，监控服务器中的资源的运行状态，具体包括如下步骤：获取目标对象的身份信息和服务器中部署的应用程序的配置场景；依据身份信息和配置场景更新所需监控的服务器中的资源，进而得到与监控的资源对应的运行状态。

本申请实施例提供的病毒查杀方法能够应用于服务器上的病毒进程的监测与通知，根据该方法进行服务器上病毒的监测，更节省服务器资源，无需占用大量资源部署运行杀毒软件，无需定期更新病毒库，能够有效的监测出异常进程从而定位出相应的病毒，更有利于节约成本、避免对系统运行产生影响，避免系统资源被病毒抢占，更适合服务器使用。

需要说明的是，图2中的异常进程的确定方法中的相关解释说明也适用于图3中的病毒查杀方法，此处不再赘述。

本申请实施例还提供了一种服务器上的病毒监测与通知方法，具体包括如下工作流程：

a)用户首先在服务器上部署好自己需要运行的应用程序。

b)病毒库识别出用户现在运行的应用程序进程号，并生成相应的标识码，存放到白名单中。

c)开启监控服务，实时监控服务器上各资源占用情况。

d)一旦发现异常，识别出异常进程的标识码，发送到白名单服务进行比对。

e)如果在白名单中，视为正常的用户进程，不做处理，继续监控。

f)如果不在白名单中，将进程标识和异常信息一并通过设置好的通知方式通知给用户。

上述服务器上的病毒监测与通知方法可以根据用户的定制配置，合理进行服务器资源监控，实现了监控自动化，实时性，以及及时精准的识别出异常进程，从而定位到相应的服务器病毒，避免服务器资源被抢占损失，硬盘空间被占用导致信息损坏。

在本实施例中还提供了一种异常进程的确定装置，该装置用于实现上述实施例及优选实施方式，已经进行过说明的不再赘述。如以下所使用的，术语“模块”可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。

图4是根据本申请实施例的一种异常进程的确定装置的结构图，如图4所示，该装置包括：

第一监控模块42，用于监控服务器中的资源的运行状态，得到资源信息；

第一确定模块44，用于依据资源信息确定服务器中的目标资源的占用状态，其中，目标资源为服务器中的任意一种资源；

第二确定模块46，用于在目标资源的占用状态满足对应的预设条件的情况下，确定当前时刻占用目标资源的进程，得到目标进程；

第三确定模块48，用于在目标进程不在服务器中的白名单内的情况下，确定目标进程为异常进程。

在上述异常进程的确定装置中的第三确定模块中，该第三确定模块还用于获取运行在服务器中的第一进程，以及与第一进程对应的进程标识码；通过病毒库对第一进程进行筛选，其中，病毒库用于验证第一进程是否为病毒进程；将通过病毒库验证的第二进程以及与第二进程对应的进程标识码存储在白名单中，并将白名单部署在服务器中。

在上述异常进程的确定装置中的第三确定模块中，该第三确定模块还用于获取目标进程的目标进程标识码；比较目标进程标识码和白名单中存储的进程标识码；在白名单中存储的进程标识码中不存在与目标进程标识码一致的标识码的情况下，确定目标进程为异常进程。

在上述异常进程的确定装置中的第一确定模块中，依据资源信息确定服务器中的目标资源的占用状态，包括以下至少之一：依据资源信息确定服务器中的目标资源的资源占用率；依据资源信息确定目标资源被服务器中运行的进程所占用的占用时长。

在上述异常进程的确定装置中的第二确定模块中，该第二确定模块还用于获取第一资源占用率和第二资源占用率，其中，第一资源占用率为服务器在第一时刻下目标资源的资源占用率，第二资源占用率为服务器在第二时刻下目标资源的资源占用率，第二时刻为第一时刻的上一时刻；在第一资源占用率和第二资源占用率的差值的绝对值大于第一预设阈值的情况下，确定目标资源的占用状态满足预设条件。

在上述异常进程的确定装置中的第二确定模块中，该第二确定模块还用于获取第一占用时长，其中，第一占用时长为服务器中运行的每个进程占用目标资源的时长；在第一占用时长中存在大于第一预设时长的占用时长的情况下，确定目标资源的占用状态满足预设条件。

在上述异常进程的确定装置中，资源信息还包括进程数量，上述第二确定模块还用于获取第三时刻下的第一进程数量和第四时刻下的第二进程数量，其中，第四时刻为第三时刻的上一时刻；在第一进程数量和第二进程数量的差值的绝对值大于第二预设阈值的情况下，将在第三时刻至第四时刻之间增加的进程确定为目标进程；或，将服务器中进程的运行时长大于第二预设时长的进程确定为目标进程。

在上述异常进程的确定装置中的第一监控模块中，该第一监控模块还用于获取目标对象的身份信息和服务器中部署的应用程序的配置场景；依据身份信息和配置场景更新监控得到的资源信息。

需要说明的是，图4所示的异常进程的确定装置用于执行图2所示的异常进程的确定方法，因此上述异常进程的确定方法中的相关解释说明也适用于该异常进程的确定装置，此处不再赘述。

需要说明的是，上述各个模块是可以通过软件或硬件来实现的，对于后者，可以通过以下方式实现，但不限于此：上述模块均位于同一处理器中；或者，上述各个模块以任意组合的形式分别位于不同的处理器中。

图5是根据本申请实施例的一种病毒查杀装置的结构图，如图5所示，该装置包括：

第二监控模块52，用于监控设备中的资源的运行状态，其中，运行状态至少用于指示资源的占用状态；

第四确定模块54，用于依据运行状态从服务器中的资源中确定目标资源，在目标资源的状态满足预设条件的情况下，确定占用目标资源的目标进程；

第五确定模块56，用于在目标进程不在服务器中的白名单内的情况下，确定目标进程为异常进程，并确定与异常进程对应的应用程序；

杀毒模块58，用于对应用程序执行杀毒操作。

在上述病毒查杀装置中的第五确定模块中，该第五确定模块还用于获取运行在服务器中的第一进程，以及与第一进程对应的进程标识码；通过病毒库对第一进程进行筛选，其中，病毒库用于验证第一进程是否为病毒进程；将通过病毒库验证的第二进程以及与第二进程对应的进程标识码存储在白名单中，并将白名单部署在服务器中。

在上述病毒查杀装置中的第五确定模块中，该第五确定模块还用于获取目标进程的目标进程标识码；比较目标进程标识码和白名单中存储的进程标识码；在白名单中存储的进程标识码中不存在与目标进程标识码一致的标识码的情况下，确定目标进程为异常进程。

在上述病毒查杀装置中的第二监控模块中，监控服务器中的资源的运行状态，包括以下至少之一：监控服务器中资源的资源占用率，以及监控服务器中资源被服务器中运行的进程所占用的占用时长。

在上述病毒查杀装置中的第四确定模块中，该第四确定模块还用于获取第一资源占用率和第二资源占用率，其中，第一资源占用率为服务器在第一时刻下目标资源的资源占用率，第二资源占用率为服务器在第二时刻下目标资源的资源占用率，第二时刻为第一时刻的上一时刻；在第一资源占用率和第二资源占用率的差值的绝对值大于第一预设阈值的情况下，确定目标资源的占用状态满足预设条件。

在上述病毒查杀装置中的第四确定模块中，该第四确定模块还用于获取第一占用时长，其中，第一占用时长为服务器中运行的每个进程占用目标资源的时长；在第一占用时长中存在大于第一预设时长的占用时长的情况下，确定目标资源的占用状态满足预设条件。

在上述病毒查杀装置中的第二监控模块中，该第二监控模块还用于监控服务器中的进程数量，并获取第三时刻下的第一进程数量和第四时刻下的第二进程数量，其中，第四时刻为第三时刻的上一时刻；在第一进程数量和第二进程数量的差值的绝对值大于第二预设阈值的情况下，将在第三时刻至第四时刻之间增加的进程确定为目标进程；或，将服务器中进程的运行时长大于第二预设时长的进程确定为目标进程。

在上述病毒查杀装置中的第二监控模块中，该第二监控模块还用于获取目标对象的身份信息和服务器中部署的应用程序的配置场景；依据身份信息和配置场景更新所需监控的服务器中的资源，进而得到与监控的资源对应的运行状态。

需要说明的是，图5所示的病毒查杀装置用于执行图3所示的病毒查杀方法，因此上述病毒查杀方法中的相关解释说明也适用于该病毒查杀装置，此处不再赘述。

本申请的实施例还提供了一种计算机可读存储介质，该计算机可读存储介质中存储有计算机程序，其中，该计算机程序被设置为运行时执行上述任一项方法实施例中的步骤，具体包括如下步骤：监控服务器中的资源的运行状态，得到资源信息；依据资源信息确定服务器中的目标资源的占用状态，其中，目标资源为服务器中的任意一种资源；在目标资源的占用状态满足对应的预设条件的情况下，确定当前时刻占用目标资源的进程，得到目标进程；在目标进程不在服务器中的白名单内的情况下，确定目标进程为异常进程。

上述计算机可读存储介质中存储的计算机程序还可以执行如下步骤，具体包括：监控服务器中的资源的运行状态，其中，运行状态至少用于指示资源的占用状态；依据运行状态从服务器中的资源中确定目标资源，在目标资源的状态满足预设条件的情况下，确定占用目标资源的目标进程；在目标进程不在服务器中的白名单内的情况下，确定目标进程为异常进程，并确定与异常进程对应的应用程序；对应用程序执行杀毒操作。

在一个示例性实施例中，上述计算机可读存储介质可以包括但不限于：U盘、只读存储器(Read-Only Memory，简称为ROM)、随机存取存储器(Random Access Memory，简称为RAM)、移动硬盘、磁碟或者光盘等各种可以存储计算机程序的介质。

本申请的实施例还提供了一种电子设备，包括存储器和处理器，该存储器中存储有计算机程序，该处理器被设置为运行计算机程序以执行上述任一项方法实施例中的步骤，具体包括如下步骤：监控服务器中的资源的运行状态，得到资源信息；依据资源信息确定服务器中的目标资源的占用状态，其中，目标资源为服务器中的任意一种资源；在目标资源的占用状态满足对应的预设条件的情况下，确定当前时刻占用目标资源的进程，得到目标进程；在目标进程不在服务器中的白名单内的情况下，确定目标进程为异常进程。

上述电子设备中的处理器还用于执行如下步骤：监控服务器中的资源的运行状态，其中，运行状态至少用于指示资源的占用状态；依据运行状态从服务器中的资源中确定目标资源，在目标资源的状态满足预设条件的情况下，确定占用目标资源的目标进程；在目标进程不在服务器中的白名单内的情况下，确定目标进程为异常进程，并确定与异常进程对应的应用程序；对应用程序执行杀毒操作。

在一个示例性实施例中，上述电子设备还可以包括传输设备以及输入输出设备，其中，该传输设备和上述处理器连接，该输入输出设备和上述处理器连接。

本实施例中的具体示例可以参考上述实施例及示例性实施方式中所描述的示例，本实施例在此不再赘述。

显然，本领域的技术人员应该明白，上述的本申请的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本申请不限制于任何特定的硬件和软件结合。

以上所述仅为本申请的优选实施例而已，并不用于限制本申请，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (15)

1.一种异常进程的确定方法，其特征在于，包括：

监控服务器中的资源的运行状态，得到资源信息；

依据所述资源信息确定所述服务器中的目标资源的占用状态，其中，所述目标资源为所述服务器中的任意一种资源；

在所述目标资源的占用状态满足对应的预设条件的情况下，确定当前时刻占用所述目标资源的进程，得到目标进程；

在所述目标进程不在所述服务器中的白名单内的情况下，确定所述目标进程为异常进程。

2.根据权利要求1所述的方法，其特征在于，确定所述目标进程为异常进程之前，所述方法还包括：

获取运行在所述服务器中的第一进程，以及与所述第一进程对应的进程标识码；

通过病毒库对所述第一进程进行筛选，其中，所述病毒库用于验证所述第一进程是否为病毒进程；

将通过所述病毒库验证的第二进程以及与所述第二进程对应的进程标识码存储在所述白名单中，并将所述白名单部署在所述服务器中。

3.根据权利要求1所述的方法，其特征在于，确定所述目标进程为异常进程，包括：

获取所述目标进程的目标进程标识码；

比较所述目标进程标识码和所述白名单中存储的进程标识码；

在所述白名单中存储的进程标识码中不存在与所述目标进程标识码一致的标识码的情况下，确定所述目标进程为所述异常进程。

4.根据权利要求1所述的方法，其特征在于，依据所述资源信息确定所述服务器中的目标资源的占用状态，包括以下至少之一：

依据所述资源信息确定所述服务器中的目标资源的资源占用率；

依据所述资源信息确定所述目标资源被所述服务器中运行的进程所占用的占用时长。

5.根据权利要求4所述的方法，其特征在于，确定当前时刻占用所述目标资源的进程，得到目标进程之前，所述方法还包括：

获取第一资源占用率和第二资源占用率，其中，所述第一资源占用率为所述服务器在第一时刻下所述目标资源的资源占用率，所述第二资源占用率为所述服务器在第二时刻下所述目标资源的资源占用率，所述第二时刻为所述第一时刻的上一时刻；

在所述第一资源占用率和所述第二资源占用率的差值的绝对值大于第一预设阈值的情况下，确定所述目标资源的占用状态满足所述预设条件。

6.根据权利要求4所述的方法，其特征在于，确定当前时刻占用所述目标资源的进程，得到目标进程之前，所述方法还包括：

获取第一占用时长，其中，所述第一占用时长为所述服务器中运行的每个进程占用所述目标资源的时长；

在所述第一占用时长中存在大于第一预设时长的占用时长的情况下，确定所述目标资源的占用状态满足所述预设条件。

7.根据权利要求1所述的方法，其特征在于，所述资源信息还包括进程数量，所述得到目标进程，包括：

获取第三时刻下的第一进程数量和第四时刻下的第二进程数量，其中，所述第四时刻为所述第三时刻的上一时刻；

在所述第一进程数量和所述第二进程数量的差值的绝对值大于第二预设阈值的情况下，将在所述第三时刻至所述第四时刻之间增加的进程确定为所述目标进程；或，

将所述服务器中进程的运行时长大于第二预设时长的进程确定为所述目标进程。

8.根据权利要求1所述的方法，其特征在于，监控服务器中的资源的运行状态，得到资源信息，包括：

获取目标对象的身份信息和所述服务器中部署的应用程序的配置场景；

依据所述身份信息和所述配置场景更新监控得到的资源信息。

9.一种病毒查杀方法，其特征在于，包括：

监控服务器中的资源的运行状态，其中，所述运行状态至少用于指示资源的占用状态；

依据所述运行状态从所述服务器中的资源中确定目标资源，在所述目标资源的状态满足预设条件的情况下，确定占用所述目标资源的目标进程；

在所述目标进程不在所述服务器中的白名单内的情况下，确定所述目标进程为异常进程，并确定与所述异常进程对应的应用程序；

对所述应用程序执行杀毒操作。

10.根据权利要求9所述的方法，其特征在于，确定所述目标进程为异常进程之前，所述方法还包括：

获取运行在所述服务器中的第一进程，以及与所述第一进程对应的进程标识码；

通过病毒库对所述第一进程进行筛选，其中，所述病毒库用于验证所述第一进程是否为病毒进程；

将通过所述病毒库验证的第二进程以及与所述第二进程对应的进程标识码存储在所述白名单中，并将所述白名单部署在所述服务器中。

11.根据权利要求9所述的方法，其特征在于，确定所述目标进程为异常进程，包括：

获取所述目标进程的目标进程标识码；

比较所述目标进程标识码和所述白名单中存储的进程标识码；

在所述白名单中存储的进程标识码中不存在与所述目标进程标识码一致的标识码的情况下，确定所述目标进程为所述异常进程。

12.一种异常进程的确定装置，其特征在于，包括：

第一监控模块，用于监控服务器中的资源的运行状态，得到资源信息；

第一确定模块，用于依据所述资源信息确定所述服务器中的目标资源的占用状态，其中，所述目标资源为所述服务器中的任意一种资源；

第二确定模块，用于在所述目标资源的占用状态满足对应的预设条件的情况下，确定当前时刻占用所述目标资源的进程，得到目标进程；

第三确定模块，用于在所述目标进程不在所述服务器中的白名单内的情况下，确定所述目标进程为异常进程。

13.一种病毒查杀装置，其特征在于，包括：

第二监控模块，用于监控服务器中的资源的运行状态，其中，所述运行状态至少用于指示资源的占用状态；

第四确定模块，用于依据所述运行状态从所述服务器中的资源中确定目标资源，在所述目标资源的状态满足预设条件的情况下，确定占用所述目标资源的目标进程；

第五确定模块，用于在所述目标进程不在所述服务器中的白名单内的情况下，确定所述目标进程为异常进程，并确定与所述异常进程对应的应用程序；

杀毒模块，用于对所述应用程序执行杀毒操作。

14.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机程序，其中，所述计算机程序被处理器执行时实现所述权利要求1至8任一项中所述的方法的步骤，或者实现权利要求9至11任一项中所述的方法的步骤。

15.一种电子设备，包括存储器、处理器以及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现所述权利要求1至8任一项中所述的方法的步骤，或者实现权利要求9至11任一项中所述的方法的步骤。

Images