[发明专利]一种恶意代码检测及防御的方法

权利要求书

1.一种恶意代码检测及防御的方法，其特征在于包括以下步骤：

步骤1、检测，对于未知的程序，并不阻止它的运行，而在后续的运行过程中会监控它，并且和网络中的其它客户端交流关于这个未知程序的各种信息，一旦发现某个程序的恶意行为，就通告网络中的其它客户端；

步骤2、响应，响应部分是处理数据的阶段，检测部分获取的大量数据在响应部分通过处理得到防御策略，

步骤3、防御，处理恶意代码以及其带来的影响，响应部分告诉防御部分针对某个程序进行动作，主要内容包括以下几点:

1.终止恶意进程；

2.终止网络连接；

3.恢复被破坏的注册表项；

4.恢复被破坏的文件；

5.阻止内核模块加载、修改，恢复服务，恢复被篡改的内核信息。

2.根据权利要求1所述的一种恶意代码检测及防御的方法，其特征在于：

检测部分获取的数分为两类：

一、程序执行的行为：包括对文件的访问，注册表的访问，网络的使用，

二、程序执行后操作系统或应用程序的异常：包括文件管理器、进程管理器系统组件以及安装的应用程序不能正常使用。

3.根据权利要求2所述的一种恶意代码检测及防御的方法，其特征在于：

对程序执行的行为以及这些行为的影响中会导致异常发生的一系列行为和程序执行后操作系统或应用程序的异常，通知防御部分恢复这些行为对文件、注册表的修改，形成一个应对这一系列的策略，这些策略类似于条件反射，告诉防御部分处理某个程序，响应部分是由多个主机组成的分布式响应网络，这些主机通过网络互相连接，彼此之间共享获取到的数据。