[发明专利]一种可疑进程检测方法、装置、设备及存储介质

权利要求书

1.一种可疑进程检测方法，其特征在于，包括：

在有目标进程启动时，监测所述目标进程对用户文件的操作行为；

针对监测到的所述目标进程对用户文件的每个操作行为，确定该操作行为是否符合预设的异常操作行为模式；

如果是，则确定所述目标进程为可疑进程。

2.根据权利要求1所述的可疑进程检测方法，其特征在于，在所述监测所述目标进程对用户文件的操作行为之前，还包括：

确定所述目标进程是否为预先获得的正常进程列表中的进程；

如果否，则执行所述监测所述目标进程对用户文件的操作行为的步骤。

3.根据权利要求1所述的可疑进程检测方法，其特征在于，在所述确定所述目标进程为可疑进程之后，还包括：

中断所述目标进程。

4.根据权利要求3所述的可疑进程检测方法，其特征在于，还包括：

在监测到所述目标进程要对用户文件有操作行为时，备份所述目标进程要操作的用户文件；

相应的，在所述确定所述目标进程为可疑进程之后，还包括：

还原备份的用户文件。

5.根据权利要求1至4之中任一项所述的可疑进程检测方法，其特征在于，所述异常操作行为模式包括单文件异常操作行为模式和/或多文件异常操作行为模式。

6.一种可疑进程检测装置，其特征在于，包括：

操作行为监测模块，用于在有目标进程启动时，监测所述目标进程对用户文件的操作行为；

操作行为确定模块，用于针对监测到的所述目标进程对用户文件的每个操作行为，确定该操作行为是否符合预设的异常操作行为模式；如果是，则触发可疑进程确定模块；

所述可疑进程确定模块，用于确定所述目标进程为可疑进程。

7.根据权利要求6所述的可疑进程检测装置，其特征在于，还包括正常进程确定模块，用于：

在所述监测所述目标进程对用户文件的操作行为之前，确定所述目标进程是否为预先获得的正常进程列表中的进程；

如果否，则触发所述操作行为监测模块。

8.根据权利要求6所述的可疑进程检测装置，其特征在于，还包括目标进程中断模块，用于：

在所述确定所述目标进程为可疑进程之后，中断所述目标进程。

9.根据权利要求8所述的可疑进程检测装置，其特征在于，还包括用户文件备份模块，用于：

在监测到所述目标进程要对用户文件有操作行为时，备份所述目标进程要操作的用户文件；

相应的，还包括用户文件还原模块，用于：

在所述确定所述目标进程为可疑进程之后，还原备份的用户文件。

10.一种可疑进程检测设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至5任一项所述的可疑进程检测方法的步骤。

11.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至5任一项所述的可疑进程检测方法的步骤。