[发明专利]一种基于访问权限的检测和防御勒索软件的方法

说明书

本发明提供一种基于访问权限的检测和防御勒索软件的方法：在待监测系统中设置敏感文件夹，并为待监测系统设置防御脚本及白名单配置防御脚本实时监控文件遍历所需的系统API，对所有调用文件遍历系统API的进程进行拦截，并设置为关注进程，在白名单中查找关注进程对应的软件；当在白名单中没有关注进程对应的软件时，判断关注进程调用系统API进行遍历的文件夹是否在敏感文件夹列表；当关注进程调用系统API进行遍历的文件夹是敏感文件夹时，对关注进程进行进程注入，监控关注进程的所有文件操作系统API，并将关注进程的每个文件操作系统API进行的文件操作提供给用户确认，再根据用户的确认结果对关注进程的动作进行相应的操作。

技术领域

本发明属于恶意软件判定技术领域，具体涉及一种基于访问权限的检测和防御勒索软件的方法。

背景技术

勒索软件：勒索软件(ransomware)是一种流行的木马，通过骚扰、恐吓甚至采用绑架用户文件等方式，使用户数据资产或计算资源无法正常使用，并以此为条件向用户勒索钱财。这类用户数据资产包括文档、邮件、数据库、源代码、图片、压缩文件等多种文件。赎金形式包括真实货币、比特币或其它虚拟货币。

近几年来,勒索软件增长迅猛,给全球的网络安全带来巨大威胁。从1989年第一个勒索软件问世至今,其勒索目标越来越多样、勒索产业链逐渐形成、勒索手段逐步走向高端、虚拟货币支付越来越普遍且影响范围不断扩大。勒索软件得以爆发式增长与其高收益、低成本的特点,受害人防范意识和防御能力的缺乏以及相关监管和技术防控不足有关，尽管目前存储设备的容量越来越大，但并非所有数据都是用户或企业用户的重要数据，而且一般重要文件和数据都具有被集中存放的特点。

目前勒索软件呈现出数量持续增长且变种增多、攻击目标针对性强、危害后果日益严重的发展趋势。已经有很多方法被用于勒索软件的防御与检测。最初是通过静态样本分析和模式匹配的方式进行检测，但由于勒索软件变种繁多，且恶意进程与正常进程往往非常类似，难以区分，因此这种方式不再适用。目前主要的勒索软件防御与检测方法基于动态特征检测和行为分析，从勒索软件在运行时的行为特征着手进行分析和匹配，辅以文件系统监测等手段，使勒索软件的行为能够被尽早发现，将用户损失控制在尽可能小的范围内。现有的勒索软件检测方法，在准确性与实时性方面都存在问题，缺点十分明显。

此为现有技术的不足，因此，针对现有技术中的上述缺陷，提供一种基于访问权限的检测和防御勒索软件的方法，是非常有必要的。

发明内容

针对现有技术的上述重要数据和文件被集中放置，而现有勒索软件检测方法准确性及实时性较差的缺陷，本发明提供一种基于访问权限的检测和防御勒索软件的方法，以解决上述技术问题。

第一方面，本发明提供一种基于访问权限的检测和防御勒索软件的方法，包括如下步骤：

S1.在待监测系统中设置敏感文件夹，生成敏感文件夹列表，并为待监测系统设置防御脚本及白名单；

S2.配置防御脚本实时监控文件遍历所需的系统API，对所有调用文件遍历系统API的进程进行拦截，并设置为关注进程，在白名单中查找关注进程对应的软件；

S3.当在白名单中没有关注进程对应的软件时，配置防御脚本判断关注进程调用系统API进行遍历的文件夹是否在敏感文件夹列表；

S4.当关注进程调用系统API进行遍历的文件夹在敏感文件夹列表时，配置防御脚本对关注进程进行进程注入，监控关注进程的所有文件操作系统API，并将关注进程的每个文件操作系统API进行的文件操作提供给用户确认，再根据用户的确认结果对关注进程的动作进行相应的操作。

进一步地，步骤S3中，当在白名单中存在关注进程对应的软件时，配置防御脚本允许关注进程的操作。通过白名单策略将无需保护的确定进程排除在外，保护范围较大。

进一步地，步骤S4具体步骤如下：