[发明专利]一种可执行文件处理方法以及可执行文件监控方法

说明书

技术领域

本发明涉及网络安全技术领域，尤其涉及一种可执行文件处理方法以及可执行文件监控方法。

背景技术

对于主机反病毒安全软件来讲，分成静态防御和动态防御两大基本技术，这两个方面是对抗病毒传播的基石。其中，动态防御是保障用户机器安全的一项重要技术，文件监控又是动态防御体系中的重要组成部分。文件监控中，有一项重要功能就是当一个可执行文件在被系统执行的时候，应该首先辨别这个可执行文件是否是恶意程序，其中包括进程文件（exe）和动态链接库文件(dll)，处于安全性考虑，这个步骤一般是阻塞住可执行文件的执行流程，等待查杀完毕，如果不是病毒，则放行可执行文件并继续执行。一般来讲，用户机器中病毒文件所占有的比例是很小的。如果用户不访问恶意网站，或者本身操作系统没有太多的漏洞，不会感染太多的病毒。所以在一般的用户场景下，程序查杀的都是正常文件。

为了提高查杀效率，现有技术中，当文件监控拦截了执行动作后，文件监控查杀执行文件，然后将查杀结果写入一个缓存，当下次这个文件再执行的时候，直接命中缓存，达到不重复查杀的目的。这样使得文件监控查杀可执行文件，对系统的影响减小。然而这种方案必须建立在客户机器上文件监控已经查杀了可执行文件的基础上，因为如果用户第一次安装杀毒软件，这个加速cache实际上必须等到用户执行了相关文件之后才能建立。用户首次启动杀毒软件的时候，文件监控还是会拖慢系统的执行速度。

发明内容

（一）技术问题

本发明要解决的问题是：可执行文件在执行时候，提高杀毒软件的查杀可执行文件的速度，达到文件监控对系统在执行文件的时候，对操作系统干扰最小化。

（二）技术方案

本发明提供一种可执行文件查杀加速方法，该方法包括：

收集可执行文件列表；

根据所述列表采样可执行文件的信息，并利用所述信息建立白名单文件；

根据所述列表和信息验证所述白名单文件是否组建成功；

客户端查找引擎利用所述组建成功的白名单文件直接获取一正在执行文件的查杀结果。

可选的，根据所述列表采样可执行文件的信息进一步包括：

一次性运行所述列表中的可执行文件，监控每个所述可执行文件在操作系统中加载到内存的内存区间数据；

将所有的内存区间数据进行合并；

将合并后的内存区间数据与可执行文件进行映射，获得可执行文件的文件区间、映射文件内容以及基本信息；

计算上述信息的hash值。

可选的，该方法还包括：

将可执行文件的文件区间、文件内容以及基本信息以key-value方式存储到数据库中，其中key为文件全内容hash值，value为映射文件内容hash值和文件区间数据。

可选的，收集可执行文件列表进一步包括：

统计出操作系统常用核心进程文件和动态链接库文件；

收集与运行软件相关的加载进程文件和其动态链接文件；

根据上述文件建立可执行文件列表。

可选的，根据所述列表和信息验证所述白名单文件是否组建成功进一步包括：

计算所述列表中任一文件的全内容hash，根据所述全内容hash在所述数据库中查找先关文件内存区间数据；

根据内存区间数据，计算相关区间的内存映射数据hash；

将所述内存映射hash与数据库中相应的hash进行比较，以判断所述内存映射hash是否完整。

可选的，根据所述列表和信息验证所述白名单文件是否组建成功还包括：

任取一个白名单文件；

根据所述白名单文件中的区间计算所有黑文件的hash值；

判断所述hash值是否命中数据库中的hash值；

如果命中，则调整区间，重新计算所有黑文件的hash值，如果没有，则判断白名单文件正常；

当判断所述内存映射hash完整并且白名单文件正常时，则验证所述白名单文件组建成功。

可选的，所述客户端查找引擎利用所述组建成功的白名单文件直接获取一正在执行文件的查杀结果进一步包括：

文件监控装置监控可执行文件的运行；

当监控到可执行文件运行后，检查本地缓存中是否有所述文件；

如果有，则直接利用本地缓存中的结果，如果没有，则检查是否在所述验证组建成功的白名单文件中，如果是，则将相关的结果写入本地缓存中，如果否，则中止可执行文件的运行流程并进行查杀。