恶意程序检测方法和装置

摘要

本发明公开了一种恶意程序检测方法和装置，所述方法包括：A、实时监测本地终端网卡接收的数据包；B、根据监测到的数据包的端口信息查找到接收该数据包的本地进程；C、检测所述本地进程是否为恶意程序，在检测出该本地进程是恶意程序时，拦截发往该本地进程的数据包，并输出告警信息。所述装置包括：监测模块，用于实时监测网卡接收的数据包；查找模块，用于根据监测到的数据包的端口查找到对应的本地进程；进程检测模块，用于检测所述本地进程是否为恶意程序，如果是则触发拦截告警模块拦截发往该本地进程的数据包，并输出告警信息。利用本发明，可以及时检测出在线下载数据的恶意程序，提高数据处理设备的安全防护能力。

主权项

一种恶意程序检测方法，其特征在于，包括：A、实时监测本地终端网卡接收的数据包；B、根据监测到的数据包的端口信息查找到接收该数据包的本地进程；C、检测所述本地进程是否为恶意程序，在检测出该本地进程是恶意程序时，拦截发往该本地进程的数据包，并输出告警信息；步骤C中，在检测出所述本地进程不是恶意程序时，进一步包括：D、监控该本地进程是否有创建或修改文件的操作，具体为利用流量监控进程对所述本地进程数据包进行监控，根据监控的数据包找到正在接收数据的进程和对应创建或修改的文件，如果有创建或修改文件的操作则检测所创建或修改的文件是否为恶意程序，在检测出所创建或修改的文件是恶意程序时，发出相应的告警信息。