软件行为的安全防护方法及装置、存储介质、计算机设备与流程

本发明涉及一种通信与信息技术领域，特别是涉及一种软件行为的安全防护方法及装置、存储介质、计算机设备。

背景技术：

随着云控制技术的不断发展，企业的安全部门会对企业内部的计算机进行安全防护的监控，会对每个计算机上部署的软件的运行行为进行安全监控。

目前，现有对软件行为的安全防护只针对软件进程中不同权限分配进行的安全检测，这种方式较为单一，对于具有较多运行条件的软件行为无法进行有效的安全防护，降低了软件行为的安全防护效率。

技术实现要素：

有鉴于此，本发明提供一种软件行为的安全防护方法及装置、存储介质、计算机设备，主要目的在于解决软件行为的安全防护只针对软件进程中不同权限分配进行的安全检测，这种方式较为单一，对于具有较多运行条件的软件行为无法进行有效的安全防护，降低了软件行为的安全防护效率的问题。

依据本发明一个方面，提供了一种软件行为的安全防护方法，包括：

获取软件行为信息，所述软件行为信息为软件在应用平台运行后所产生行为的信息；

解析所述软件行为信息中的行为特征，并判断所述行为特征是否与软件行为规则匹配，所述软件行为规则为用于判断所述行为特征对应的软件行为是否为安全行为的规则；

若所述行为特征与软件行为规则匹配，则根据所述软件行为规则确定的匹配结果对所述软件行为进行防护处理。

进一步地，所述方法还包括：

若所述行为特征与软件行为规则不匹配，则发送软件行为检测请求，所述软件行为检测请求携带有所述软件行为信息。

进一步地，所述获取软件行为信息之前，所述方法还包括：

提取已完成运行的软件行为信息；

按照操作类型对所述软件行为信息进行分类；

统计分类后所述软件行为信息中具有共性特征的行为特征，并根据统计后的结果生成软件行为规则。

进一步地，所述操作类型包括文件类、进程类、网络类、注册表类、驱动类，所述统计分类后所述软件行为信息中具有共性特征的行为特征，并根据统计后的结果生成软件行为规则包括：

提取分类后所述软件行为信息中的行为主体信息，并分别统计所述软件行为信息中文件类、进程类、网络类、注册表类、驱动类分别对应的具有共性特征的行为特征；根据所述行为主体信息以及统计后的行为特征生成软件行为规则，所述软件行为规则包括主体限定规则、进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则。

进一步地，所述解析所述软件行为信息中的行为特征，并判断所述行为特征是否与软件行为规则匹配包括：

识别所述软件行为信息中行为特征对应的行为主体信息，通过所述行为主体信息与主体限定规则进行匹配；

若匹配，则将所述行为特征与所述主体限定规则对应的进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则进行匹配。

进一步地，所述发送软件行为检测请求包括：

若所述行为特征中的行为主体信息与所述主体限定规则不匹配，则将所述行为特征对应的软件行为信息确定为待检测软件行为信息，发送所述软件行为信息；或，

若所述行为特征中的行为主体信息与所述主体限定规则匹配，且所述文件类、进程类、网络类、注册表类、驱动类的行为特征与所述进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则中任意一个不匹配，则将所述行为特征对应的软件行为信息确定为待检测软件行为信息，发送所述软件行为信息。

进一步地，所述若所述行为特征与软件行为规则匹配，则根据所述软件行为规则确定的匹配结果对所述软件行为进行防护处理包括：

若所述行为特征与所述主体限定规则、进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则均匹配，则解析匹配结果，若所述匹配结果为安全，则对所述软件行为进行放行，若所述匹配结果为危险，则对所述软件行为进行拦截。

依据本发明一个方面，提供了一种软件行为的安全防护装置，包括：

获取单元，用于获取软件行为信息，所述软件行为信息为软件在应用平台运行后所产生行为的信息；

解析单元，用于解析所述软件行为信息中的行为特征，并判断所述行为特征是否与软件行为规则匹配，所述软件行为规则为用于判断所述行为特征对应的软件行为是否为安全行为的规则；

处理单元，用于若所述行为特征与软件行为规则匹配，则根据所述软件行为规则确定的匹配结果对所述软件行为进行防护处理。

进一步地，所述装置还包括：

发送单元，用于若所述行为特征与软件行为规则不匹配，则发送软件行为检测请求，所述软件行为检测请求携带有所述软件行为信息。

进一步地，所述装置还包括：

提取单元，用于提取已完成运行的软件行为信息；

分类单元，用于按照操作类型对所述软件行为信息进行分类；

生成单元，用于统计分类后所述软件行为信息中具有共性特征的行为特征，并根据统计后的结果生成软件行为规则。

进一步地，所述操作类型包括文件类、进程类、网络类、注册表类、驱动类，

所述生成单元，具体用于提取分类后所述软件行为信息中的行为主体信息，并分别统计所述软件行为信息中文件类、进程类、网络类、注册表类、驱动类分别对应的具有共性特征的行为特征；根据所述行为主体信息以及统计后的行为特征生成软件行为规则，所述软件行为规则包括主体限定规则、进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则。

进一步地，所述解析单元包括：

识别模块，用于识别所述软件行为信息中行为特征对应的行为主体信息，通过所述行为主体信息与主体限定规则进行匹配；

匹配模块，用于若匹配，则将所述行为特征与所述主体限定规则对应的进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则进行匹配。

进一步地，所述发送单元包括：

第一发送模块，用于若所述行为特征中的行为主体信息与所述主体限定规则不匹配，则将所述行为特征对应的软件行为信息确定为待检测软件行为信息，发送所述软件行为信息；或，

第二发送模块，用于若所述行为特征中的行为主体信息与所述主体限定规则匹配，且所述文件类、进程类、网络类、注册表类、驱动类的行为特征与所述进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则中任意一个不匹配，则将所述行为特征对应的软件行为信息确定为待检测软件行为信息，发送所述软件行为信息。

进一步地，所述处理单元，具体用于若所述行为特征与所述主体限定规则、进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则均匹配，则解析匹配结果，若所述匹配结果为安全，则对所述软件行为进行放行，若所述匹配结果为危险，则对所述软件行为进行拦截。

根据本发明的又一方面，提供了一种存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行如上述软件行为的安全防护对应的操作。

根据本发明的再一方面，提供了一种计算机设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；

所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行上述软件行为的安全防护对应的操作。

借由上述技术方案，本发明实施例提供的技术方案至少具有下列优点：

本发明提供了一种软件行为的安全防护方法及装置、存储介质、计算机设备，首先获取软件行为信息，所述软件行为信息为软件在应用平台运行后所产生行为的信息；解析所述软件行为信息中的行为特征，并判断所述行为特征是否与软件行为规则匹配，所述软件行为规则为用于判断所述行为特征对应的软件行为是否为安全行为的规则；若所述行为特征与软件行为规则匹配，则根据所述软件行为规则确定的匹配结果对所述软件行为进行防护处理。与现有软件行为的安全防护只针对软件进程中不同权限分配进行的安全检测相比，本发明实施例按照软件行为信息中的行为特征与软件行为规则进行匹配，实现多种行为特征共同进行防护，使得软件行为安全的检测更为严谨，提高软件行为安全的防护效率，避免仅仅根据权限分配带来的行为之间无关性所导致的遗漏危险行为。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了本发明实施例提供的一种软件行为的安全防护方法流程图；

图2示出了本发明实施例提供的另一种软件行为的安全防护方法流程图；

图3示出了本发明实施例提供的一种软件行为的安全防护装置框图；

图4示出了本发明实施例提供的另一种软件行为的安全防护装置框图；

图5示出了本发明实施例提供的一种计算机设备的结构示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

本发明实施例提供了一种软件行为的安全防护法，如图1所示，所述方法包括：

101、获取软件行为信息。

其中，所述软件行为信息为软件在应用平台运行后所产生行为的信息，可以包括软件在对文件、进程、网络等对象进行运行程序时所产生的具体行为，如读取文件、文件重命名、创建进程等，本发明实施例不做具体限定。

需要说明的是，应用平台在进行软件时，本实施例的安全防护的执行端以管理者的身份获取软件行为信息，在对软件行为信息执行步骤102与步骤103过程中，软件行为暂停执行，直到对软件行为作出安全处理。

102、解析所述软件行为信息中的行为特征，并判断所述行为特征是否与软件行为规则匹配。

其中，所述软件行为规则为用于判断所述行为特征对应的软件行为是否为安全行为的规则。所述行为特征为软件执行程序后产生的具有共性的操作行为，按照操作类型对软件行为进行划分，可以得到文件类、进程类、网络类、注册表类、驱动类的软件行为，其中，可以具体统计出文件类的行为特征，进程类的行为特征、网络类的行为特征、注册表类的行为特征、驱动类的行为特征，并根据这些行为特征作为判断依据，与软件行为规则中文件类、进程类、网络类、注册表类、驱动类分别对应的行为规则进行匹配。

103、若所述行为特征与软件行为规则匹配，则根据所述软件行为规则确定的匹配结果对所述软件行为进行防护处理。

其中，所述行为特征与软件行为规则匹配说明可以根据行为特征从软件行为规则中确定出是否对这个软件行为进行防护处理，例如，匹配结果为软件行为为安全，则对这个软件行为放行，匹配结果为软件行为为危险，则对这个软件行为拦截。

本发明提供了一种软件行为的安全防护方法，与现有软件行为的安全防护只针对软件进程中不同权限分配进行的安全检测相比，本发明实施例按照软件行为信息中的行为特征与软件行为规则进行匹配，实现多种行为特征共同进行防护，使得软件行为安全的检测更为严谨，提高软件行为安全的防护效率，避免仅仅根据权限分配带来的行为之间无关性所导致的遗漏危险行为。

本发明实施例提供了另一种软件行为的安全防护方法，如图2所示，所述方法包括：

201、提取已完成运行的软件行为信息。

对于本发明实施例，为了预先生成适用于应用程序平台的软件行为规则，并针对已经完成运行的软件行为确定哪些是可以安全的软件行为，哪些是危险的软件行为，提取已完成运行的软件行为信息。其中，已经完成运行的软件行为信息可以存储在运行这些软件的应用程序平台的后台存储位置中，也可以存储在云存储器中，本发明实施例不做具体限定。

202、按照操作类型对所述软件行为信息进行分类。

其中，所述操作类型包括文件类、进程类、网络类、注册表类、驱动类，例如，文件类包括文件读打开、写打开、文件重命名、删除和目录的的删除、重命名等，进程类包括创建进程、模块加载、模块注入、结束进程等，网络类包括监听、连接、发包、dns、http等，注册表类包括注册表重命名、读写操作等，驱动类包括驱动安装、驱动加载等，本发明实施例不做具体限定。

需要说明的是，为了针对不同操作类型确定不同的软件行为规则，因此可以根据软件行为信息中的具体行为内容按照操作类型划分，分别划分出文件类、进程类、网络类、注册表类、驱动类的软件行为。

203、统计分类后所述软件行为信息中具有共性特征的行为特征，并根据统计后的结果生成软件行为规则。

对于本发明实施例，为了可以根据应用程序平台对执行软件行为准确确定出哪些是允许执行的，哪些是不允许放行的，可以根据大量的软件行为信息中查找出具有共性特征的行为特征，如大量相同的行为特征，将此类行为特征作为允许执行的软件行为，即白的软件行为，进行放行，对应的，少量不同的行为特征，作为不允许执行的软件行为，即黑的软件行为，进行拦截，以此生成软件行为规则。

需要说明的是，具有共性特征的行为特征是通过长时间、大量软件行为信息进行对比，将具有同一操作类型、相同执行行为的行为特征确定为共性特征，例如，统计的长时间、大量软件行为信息中，存在大量“路径为系统windows目录下的进程创建”的软件行为，少量的路径为其他系统目录下的进程创建，则将“路径为系统windows目录下的进程创建”作为白的软件行为，进行放行。另外，软件行为规则中非黑非白的软件行为需要作为待检测行为发送至控制台进一步进行检测，而针对已执行过且确定为黑的行为，在进行检测时，只有出现于黑的行为完全一样的行为时，才将这个行为确定为黑。

进一步地，为了对步骤203进行限定及细化，步骤203具体包括：提取分类后所述软件行为信息中的行为主体信息，并分别统计所述软件行为信息中文件类、进程类、网络类、注册表类、驱动类分别对应的具有共性特征的行为特征；根据所述行为主体信息以及统计后的行为特征生成软件行为规则，所述软件行为规则包括主体限定规则、进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则。

对于本发明实施例，为了得到对软件行为的灵活限定和不同操作类型之间的关联约束，需要分别统计文件类、进程类、网络类、注册表类、驱动类软件行为中具有共性的行为特征，具体的，可以按照不同类别的数量进行统计，对不同类别的软件行为信息设定一个预设阈值，当具有共性的行为特征的数量超过这个预设阈值，则可以将此类行为特征确定为白，若小于预设阈值，则将此类行为特征确定为黑，本发明实施例不做具体限定。

需要说明的是，所述行为主体信息为对操作事件的操作源或主体，例如，读取文件的软件行为由a应用程序发出，即主体为a。本发明实施例中，由于一个软件行为可以包括不同操作类型的软件行为的组合，在生成软件行为规则时，可以首先生成主体限定规则、进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则，然后根据软件行为中包含的不同类型软件行为对这些规则进行任意的组合，生成具有灵活性的、关联组合的、约束性的软件行为规则。其中，在进行检测时，首先需要对软件行为信息与主体限定规则进行匹配，若主体限定规则匹配，则再进行其他规则的匹配，在本发明实施例中，可以设置一个规则列表，将主体限定规则作为列表中的第一列，每行中为不同的限定主体，为每个限定主体设定一个开关，当开关开启时，说明检测开启开关对应的主体，若匹配，则再依次匹配这个主体下对应的进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则，本发明实施例不做具体限定。

204、获取软件行为信息。

本步骤与图1所示的步骤101方法相同，在此不再赘述。

205、解析所述软件行为信息中的行为特征，并判断所述行为特征是否与软件行为规则匹配。

本步骤与图1所示的步骤101方法相同，在此不再赘述。

对于本发明实施例，步骤205具体可以为：识别所述软件行为信息中行为特征对应的行为主体信息，通过所述行为主体信息与主体限定规则进行匹配。若匹配，则将所述行为特征与所述主体限定规则对应的进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则进行匹配。

对于本发明实施例，为了提高软件行为的防护效率，并提高检测对象的准确性，在获取需要待检测的软件行为信息后，需要首先识别出软件行为信息中的行为主体信息，以便利用行为主体信息与主体限定规则进行匹配。

另外，在行为主体信息匹配的条件下，为了进一步对软件行为信息确定安全还是危险，对匹配的行为特征进行进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则的匹配。其中，进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则的匹配可以为每个规则依次进行匹配，也可以只针对软件行为信息中存在对应操作类型的行为与对应的黑白规则进行匹配，例如，一个软件行为信息中，存在文件和网络类的行为信息，则与文件行为黑白规则、网络行为黑白规则进行匹配，也可以只与文件行为黑白规则进行匹配，具体根据主体限定规则匹配后，主体限定规则对应包括的黑白规则进行确定，本发明实施例不做具体限定。例如，生成的规则包括“非系统目录下的进程不可以访问某个国外ip，也不可以修改某项注册表”，则实现了网络加注册表的组合约束。

206a、若所述行为特征与软件行为规则匹配，则根据所述软件行为规则确定的匹配结果对所述软件行为进行防护处理。

本步骤与图1所示的步骤103方法相同，在此不再赘述。

对于本发明实施例，为了进一步地细化及扩展，步骤206a具体包括：若所述行为特征与所述主体限定规则、进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则均匹配，则解析匹配结果，若所述匹配结果为安全，则对所述软件行为进行放行，若所述匹配结果为危险，则对所述软件行为进行拦截。

对于本发明实施例，若匹配，则说明行为特征在主体限定规则匹配的前提下，进行的进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则均匹配，即不同种黑白规则之间任意组合均匹配，实现了软件行为的灵活约束，提高软件行为的检测效率。

对于本发明实施例，与步骤206a步骤并列的步骤206b、若所述行为特征与软件行为规则不匹配，则发送软件行为检测请求，所述软件行为检测请求携带有所述软件行为信息。

需要说明的是，由于软件行为规则中包括黑软件行为与白软件行为，若行为特征与软件行为规则不匹配，则说明这个行为即不是白，也不是黑，无法进行确定是否进行拦截或放行，因此，需要发送软件行为检测请求，向服务端或运营端发送，以便服务端或运营端进一步对这个软件行为信息中的内容进行确定本发明实施例不做具体限定。

对于本发明实施例，为了进一步地细化及扩展，步骤206b具体包括：若所述行为特征中的行为主体信息与所述主体限定规则不匹配，则将所述行为特征对应的软件行为信息确定为待检测软件行为信息，发送所述软件行为信息；或，若所述行为特征中的行为主体信息与所述主体限定规则匹配，且所述文件类、进程类、网络类、注册表类、驱动类的行为特征与所述进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则中任意一个不匹配，则将所述行为特征对应的软件行为信息确定为待检测软件行为信息，发送所述软件行为信息。

对于本发明实施例，由于软件行为规则包括主体限定规则、进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则，在进行匹配时，首先匹配的是主体限定规则，若主体限定规则不匹配，则直接将这个软件行为上报，即发送至控制台，由控制台决定是否拦截，或放行，若匹配，则进行文件类、进程类、网络类、注册表类、驱动类的行为特征与所述进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则的匹配，若其中任意一个黑白规则不匹配，则将这个软件行为进行上报，严密的对任何可能出现的行为确定黑白，非黑非白的，立刻上报，从而实现安全防护的严谨性，提高防护效率。

本发明提供了另一种软件行为的安全防护方法，本发明实施例按照软件行为信息中的行为特征与软件行为规则进行匹配，实现多种行为特征共同进行防护，使得软件行为安全的检测更为严谨，提高软件行为安全的防护效率，避免仅仅根据权限分配带来的行为之间无关性所导致的遗漏危险行为。

进一步的，作为对上述图1所示方法的实现，本发明实施例提供了一种软件行为的安全防护装置，如图3所示，该装置包括：获取单元31、解析单元32、处理单元33。

获取单元31，用于获取软件行为信息，所述软件行为信息为软件在应用平台运行后所产生行为的信息；

解析单元32，用于解析所述软件行为信息中的行为特征，并判断所述行为特征是否与软件行为规则匹配，所述软件行为规则为用于判断所述行为特征对应的软件行为是否为安全行为的规则；

处理单元33，用于若所述行为特征与软件行为规则匹配，则根据所述软件行为规则确定的匹配结果对所述软件行为进行防护处理。

本发明提供了一种软件行为的安全防护装置，与现有软件行为的安全防护只针对软件进程中不同权限分配进行的安全检测相比，本发明实施例按照软件行为信息中的行为特征与软件行为规则进行匹配，实现多种行为特征共同进行防护，使得软件行为安全的检测更为严谨，提高软件行为安全的防护效率，避免仅仅根据权限分配带来的行为之间无关性所导致的遗漏危险行为。

进一步的，作为对上述图3所示方法的实现，本发明实施例提供了另一种软件行为的安全防护装置，如图4所示，该装置包括：获取单元41、解析单元42、处理单元43、发送单元44、提取单元45、分类单元46、生成单元47。

获取单元41，用于获取软件行为信息，所述软件行为信息为软件在应用平台运行后所产生行为的信息；

解析单元42，用于解析所述软件行为信息中的行为特征，并判断所述行为特征是否与软件行为规则匹配，所述软件行为规则为用于判断所述行为特征对应的软件行为是否为安全行为的规则；

处理单元43，用于若所述行为特征与软件行为规则匹配，则根据所述软件行为规则确定的匹配结果对所述软件行为进行防护处理。

进一步地，所述装置还包括：

发送单元44，用于若所述行为特征与软件行为规则不匹配，则发送软件行为检测请求，所述软件行为检测请求携带有所述软件行为信息。

进一步地，所述装置还包括：

提取单元45，用于提取已完成运行的软件行为信息；

分类单元46，用于按照操作类型对所述软件行为信息进行分类；

生成单元47，用于统计分类后所述软件行为信息中具有共性特征的行为特征，并根据统计后的结果生成软件行为规则。

进一步地，所述操作类型包括文件类、进程类、网络类、注册表类、驱动类，

所述生成单元47，具体用于提取分类后所述软件行为信息中的行为主体信息，并分别统计所述软件行为信息中文件类、进程类、网络类、注册表类、驱动类分别对应的具有共性特征的行为特征；根据所述行为主体信息以及统计后的行为特征生成软件行为规则，所述软件行为规则包括主体限定规则、进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则。

进一步地，所述解析单元42包括：

识别模块4201，用于识别所述软件行为信息中行为特征对应的行为主体信息，通过所述行为主体信息与主体限定规则进行匹配；

匹配模块4202，用于若匹配，则将所述行为特征与所述主体限定规则对应的进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则进行匹配。

进一步地，所述发送单元44包括：

第一发送模块4401，用于若所述行为特征中的行为主体信息与所述主体限定规则不匹配，则将所述行为特征对应的软件行为信息确定为待检测软件行为信息，发送所述软件行为信息；或，

第二发送模块4402，用于若所述行为特征中的行为主体信息与所述主体限定规则匹配，且所述文件类、进程类、网络类、注册表类、驱动类的行为特征与所述进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则中任意一个不匹配，则将所述行为特征对应的软件行为信息确定为待检测软件行为信息，发送所述软件行为信息。

进一步地，所述处理单元43，具体用于若所述行为特征与所述主体限定规则、进程行为黑白规则、注册表行为黑白规则、网络行为黑白规则、驱动行为黑白规则、文件行为黑白规则均匹配，则解析匹配结果，若所述匹配结果为安全，则对所述软件行为进行放行，若所述匹配结果为危险，则对所述软件行为进行拦截。

本发明提供了另一种软件行为的安全防护装置，本发明实施例按照软件行为信息中的行为特征与软件行为规则进行匹配，实现多种行为特征共同进行防护，使得软件行为安全的检测更为严谨，提高软件行为安全的防护效率，避免仅仅根据权限分配带来的行为之间无关性所导致的遗漏危险行为。

根据本发明一个实施例提供了一种存储介质，所述存储介质存储有至少一可执行指令，该计算机可执行指令可执行上述任意方法实施例中的软件行为的安全防护方法。

图5示出了根据本发明一个实施例提供的一种计算机设备的结构示意图，本发明具体实施例并不对计算机设备的具体实现做限定。

如图5所示，该计算机设备可以包括：处理器(processor)502、通信接口(communicationsinterface)504、存储器(memory)506、以及通信总线508。

其中：处理器502、通信接口504、以及存储器506通过通信总线508完成相互间的通信。

通信接口504，用于与其它设备比如客户端或其它服务器等的网元通信。

处理器502，用于执行程序510，具体可以执行上述软件行为的安全防护实施例中的相关步骤。

具体地，程序510可以包括程序代码，该程序代码包括计算机操作指令。

处理器502可能是中央处理器cpu，或者是特定集成电路asic(applicationspecificintegratedcircuit)，或者是被配置成实施本发明实施例的一个或多个集成电路。计算机设备包括的一个或多个处理器，可以是同一类型的处理器，如一个或多个cpu；也可以是不同类型的处理器，如一个或多个cpu以及一个或多个asic。

存储器506，用于存放程序510。存储器506可能包含高速ram存储器，也可能还包括非易失性存储器(non-volatilememory)，例如至少一个磁盘存储器。

程序510具体可以用于使得处理器502执行以下操作：

获取软件行为信息，所述软件行为信息为软件在应用平台运行后所产生行为的信息；

解析所述软件行为信息中的行为特征，并判断所述行为特征是否与软件行为规则匹配，所述软件行为规则为用于判断所述行为特征对应的软件行为是否为安全行为的规则；

若所述行为特征与软件行为规则匹配，则根据所述软件行为规则确定的匹配结果对所述软件行为进行防护处理。

在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(dsp)来实现根据本发明实施例的资产数据的管理方法及装置中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。