[发明专利]一种依据白名单进行恶意程序检测的方法

权利要求书

1.一种依据白名单进行恶意程序检测的方法，其特征在于，包括：

服务器端的数据库建立合法程序的白名单并进行收集更新；

客户端对一程序的程序特征和/或程序行为进行收集并发送到服务器端进行查询，服务器端根据所述程序特征和/或程序行为在所述白名单中进行分析比对，根据比对结果对所述程序的合法性或信任值进行判定并反馈给所述客户端。

2.如权利要求1所述的方法，其特征在于，所述服务器端根据所述程序特征和/或程序行为，与所述白名单中保存的合法程序特征和/或合法程序行为进行比对，如果命中，则判定所述程序为合法程序，并反馈给所述客户端；如果没有命中，则判定所述程序为恶意程序，并反馈给所述客户端。

3.如权利要求2所述的方法，其特征在于，所述服务器端根据程序的一组程序特征和/或一组程序行为，与所述白名单中保存的合法程序特征和/或合法程序行为进行比对，根据命中的程度，对所述程序赋予一信任值，并将所述信任值反馈给所述客户端；

所述客户端预设一阈值，根据所述信任值与所述阈值进行比对，如果所述信任值不小于所述阈值，则判定所述所述程序为合法程序，如果所述信任值小于所述阈值，则判定所述程序为恶意程序。

4.如权利要求3所述的方法，其特征在于，如果所述一组程序特征和/或一组程序行为在所述白名单中全部命中，则所述服务器端对所述程序赋予一最高信任值；如果所述一组程序特征和/或一组程序行为在所述白名单中全部未命中，则所述服务器端对所述程序赋予一最低信任值。

5.如权利要求2或3所述的方法，其特征在于，还包括：所述客户端根据所述判定结果决定对恶意程序行为进行拦截、终止执行该恶意程序和/或清理该恶意程序，恢复系统环境。

6.如权利要求2或3所述的方法，其特征在于，还包括：所述客户端根据所述判定结果并结合所述恶意程序的属性，决定是否对该恶意程序行为进行拦截、终止执行该恶意程序和/或清理该恶意程序。

7.如权利要求6所述的方法，其特征在于，所述属性，包括：所述恶意程序是否为自启动程序和/或所述恶意程序是否存在于系统目录内。

8.如权利要求7所述的方法，其特征在于，所述服务器端的数据库对合法程序的白名单进行收集更新的步骤，进一步包括：

周期性通过手工、利用蜘蛛或网络爬虫和/或用户上传对合法程序进行收集；

通过手工或通过工具自动甄别所述合法程序的程序特征和或程序行为并保存在所述白名单中。

9.如权利要求7所述的方法，其特征在于，所述服务器端的数据库对合法程序的白名单进行收集更新的步骤，进一步包括：

根据现有已知白名单中的合法程序特征及其对应的程序行为，对未知程序特征及程序行为进行分析，以更新白名单。

10.如权利要求8或9所述的方法，其特征在于，所述程序特征，包括：程序文件内的静态特征和/或静态特征串。

11.如权利要求9所述的方法，其特征在于，所述对未知程序特征及其程序行为进行分析的步骤，包括：

如果未知程序特征与现有白名单中的已知程序特征相同，则将该未知程序特征及其程序行为列入白名单；

如果未知程序行为与现有白名单中的已知程序行为相同或近似，则将该未知程序行为及其程序特征列入白名单；

当某程序行为被列入白名单时，在数据库中将该程序行为对应的程序特征列入白名单，并将与该程序行为有关联关系的其他程序行为和程序特征也列入白名单；和/或

当某程序特征被列入白名单时，在数据库中将该程序特征对应的程序行为列入白名单，并将与该程序特征有关联关系的其他程序行为和程序特征也列入白名单。

12.如权利要求11所述的方法，其特征在于，进一步包括：

在具有相同或近似行为的程序之间建立行为与特征的关联关系，根据所述具有相同或近似行为的程序之间的关联关系，对未知程序特征及程序行为进行分析，以更新白名单。