一种文件篡改检测及修复的方法和系统

摘要

本发明提供了一种文件篡改检测及修复的方法及系统，所述方法为：扫描获得系统中所有可信文件的HASH值及文件路径，并进行存储；监控系统中的所有文件，与HASH库对比，判断是否有异常文件或新增文件，则根据常态规则库及常态模型进行匹配，如果常态模型匹配成功，则将匹配结果的规则添加到常态规则库中，否则提示用户进行处理。通过本发明的方法，能够有效识别系统中被篡改的文件或新增文件，并且常态规则库及常态模型的组合，能够对实时改变的文件或目录及时加入常态规则库，实现常态规则的自学，减少用户操作。

主权项

一种文件篡改检测及修复的方法，其特征在于，包括：对当前系统全盘扫描，获取全部文件HASH及文件路径，并构建本地HASH库；根据HASH库中的文件路径，检测所有文件，将判定为恶意的文件清除，并删除HASH库中对应的文件HASH及文件路径；将修改后的HASH库中的所有对应文件，生成本地系统镜像文件存储；监控当前系统中所有文件的HASH，并与HASH库比对，判断是否有异常文件或新增文件，如果是，则将所述异常文件或新增文件发送到常态规则库检测，否则继续监控；常态规则库根据预先存储的已知常规规则与异常文件或新增文件匹配，如果匹配成功，则系统放行，否则将所述异常文件或新增文件进行常态模型匹配；获取所述异常文件或新增文件的事件属性，并与常态模型关联匹配，如果匹配成功，则将关联匹配后的规则添加到常态规则库中，并将所述异常文件或新增文件更新到本地系统镜像文件中；否则，提示用户进行处理。