[发明专利]软件行为监控方法和终端

权利要求书

1.一种软件行为监控方法，其特征在于，包括：

记录软件的违规操作数；

判断所述违规操作数是否大于阈值；

在所述违规操作数大于阈值时，提醒用户是否卸载所述软件。

2.根据权利要求1所述的软件行为监控方法，其特征在于，通过安全增强式Linux子系统将所述软件的违规操作记录在日志中；

根据所述日志统计所述软件的违规操作数。

3.根据权利要求1或2所述的软件行为监控方法，其特征在于，根据预设的权限策略判断所述软件的行为是否属于违规操作，所述权限策略包括所述软件可操作的数据范围。

4.根据权利要求3所述的软件行为监控方法，其特征在于，在所述违规操作数大于阈值并确定所述软件为恶意软件时，通过安全增强式Linux子系统修改所述软件的安全上下文属性，将所述安全上下文赋值为不可信，并将所述软件归入黑名单列表中。

5.根据权利要求3所述的软件行为监控方法，其特征在于，所述软件的行为被分为多类，监视所述软件的多类行为中被指定的一类或多类行为，生成针对所述被指定的一类或多类行为的日志信息。

6.一种终端，其特征在于，包括：

记录单元，用于记录软件的违规操作数；

判断单元，连接至所述记录单元，用于判断所述违规操作数是否大于阈值；

提醒单元，连接至所述判断单元，在所述违规操作数大于阈值时，提醒用户是否卸载所述软件。

7.根据权利要求6所述的终端，其特征在于，所述记录单元包括：安全增强式Linux子系统，用于将所述软件的违规操作记录在日志中；

统计单元，用于根据所述日志统计所述软件的违规操作数。

8.根据权利要求6或7所述的终端，其特征在于，还包括：

违规操作确定单元，连接至所述记录单元，用于根据预设的权限策略判断所述软件的行为是否属于违规操作，所述权限策略包括所述软件可操作的数据范围。

9.根据权利要求8所述的终端，其特征在于，还包括：

属性修改单元，连接至所述记录单元，用于在所述违规操作数大于阈值并确定所述软件为恶意软件时，通过安全增强式Linux子系统修改所述软件的安全上下文属性，将所述安全上下文赋值为不可信，并将所述软件归入黑名单列表中。

10.根据权利要求8所述的终端，其特征在于，所述软件的行为被分为多类，所述违规操作确定单元具体用于监视软件的多类行为中被指定的一类或多类行为，供所述记录单元生成针对所述被指定的一类或多类行为的日志信息。