CN108121913A - 一种操作管理方法及装置 - Google Patents

Abstract

本发明提出一种操作管理方法，应用于操作管理装置，所述操作管理装置创建并存储进程白名单和进程黑名单；当接收到文件操作请求时，识别发起所述文件操作请求的进程的身份信息；判断所述进程黑名单中是否包含所述进程的身份信息；如果所述进程黑名单中包含所述进程的身份信息，则拒绝所述文件操作请求；如果所述进程黑名单中不包含所述进程的身份信息，则判断所述进程白名单中是否包含所述进程的身份信息；如果所述进程白名单中不包含所述进程的身份信息，则拒绝所述文件操作请求。上述技术方案实现了对进程的双重身份验证，提升了对恶意进程的识别和防护能力。

Description

一种操作管理方法及装置

本申请要求于2017年9月26日提交中国专利局、申请号为201710881497.6、发明名称为“一种操作管理方法及装置”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。

技术领域

本发明涉及互联网技术领域，尤其涉及一种操作管理方法及装置。

背景技术

计算机***的恶意进程，例如计算机病毒等，通常通过对用户操作***进行文件创建、打开、读写等恶意操作而破坏用户操作***安全。

用户通常通过防病毒软件来防止恶意进程恶意操作***文件，从而保障操作***安全。防病毒软件通常与病毒库相关联，当识别到对***文件的创建、打开、读写等操作请求时，防病毒软件将发起该操作请求的进程与病毒库中的恶意进程进行对比来判断该进程是否为恶意进程，如果发起该操作请求的进程为恶意进程，则拒绝该进程发起的操作请求。

上述方法严重依赖病毒库内容的丰富程度，当病毒库中存储有恶意进程的信息时，可以有效防止恶意进程恶意操作***文件；但是当恶意进程没有被记录到病毒库中时，防病毒软件不能利用病毒库识别恶意进程的身份，也就无法防止恶意进程恶意操作***文件，导致整体上对恶意进程的防护能力不足。

发明内容

基于上述现有技术的缺陷和不足，本发明提出一种操作管理方法及装置，能够更进一步提升***对恶意进程的防护能力。

一种操作管理方法，应用于操作管理装置，所述操作管理装置创建并存储进程白名单和进程黑名单；其中，所述进程白名单存储合法进程的身份信息，所述进程黑名单存储恶意进程的身份信息；该方法包括：

接收文件操作请求；

识别发起所述文件操作请求的进程的身份信息；

判断所述进程黑名单中是否包含所述进程的身份信息；

如果所述进程黑名单中包含所述进程的身份信息，则拒绝所述文件操作请求；

如果所述进程黑名单中不包含所述进程的身份信息，则判断所述进程白名单中是否包含所述进程的身份信息；

如果所述进程白名单中不包含所述进程的身份信息，则拒绝所述文件操作请求。

优选地，该方法还包括：

如果所述进程白名单中不包含所述进程的身份信息，则输出报警信息，使用户根据所述报警信息判断是否接受所述文件操作请求。

优选地，所述创建并存储进程白名单和进程黑名单，包括：

统计***中所有类型的文件操作请求；

分别确定并记录可以发起上述所有类型的文件操作请求中的任意一种文件操作请求的进程的身份信息，得到目标进程集合；

根据预设规则，将所述目标进程集合中的每一种进程标记为合法进程或恶意进程；

归集所有的合法进程得到进程白名单，以及归集所有的恶意进程得到进程黑名单。

优选地，所述操作管理装置实时更新所述进程白名单和所述进程黑名单。

优选地，所述实时更新所述进程白名单和所述进程黑名单，包括：

根据接收的操作请求信息，识别发起所述操作请求的进程的身份信息；

判断所述进程的身份信息是否存在于所述进程白名单或所述进程黑名单中；

如果所述进程的身份信息既不存在于所述进程白名单中，也不存在于所述进程黑名单中，则根据所述预设规则，判断所述进程是恶意进程还是合法进程；

如果所述进程是合法进程，则将所述进程的身份信息添加到所述进程白名单；

如果所述进程是恶意进程，则将所述进程的身份信息添加到所述进程黑名单。

一种操作管理装置，包括：

预处理单元，用于创建并存储进程白名单和进程黑名单；其中，所述进程白名单存储合法进程的身份信息，所述进程黑名单存储恶意进程的身份信息；

请求接收单元，用于接收文件操作请求；

进程识别单元，用于识别发起所述文件操作请求的进程的身份信息；

第一判断处理单元，用于判断所述进程黑名单中是否包含所述进程的身份信息；如果所述进程黑名单中包含所述进程的身份信息，则拒绝所述文件操作请求；

第二判断处理单元，用于当所述第一判断处理单元判断所述进程黑名单中不包含所述进程的身份信息时，判断所述进程白名单中是否包含所述进程的身份信息；如果所述进程白名单中不包含所述进程的身份信息，则拒绝所述文件操作请求。

优选地，该装置还包括：

报警输出单元，用于当所述第二判断处理单元判断所述进程白名单中不包含所述进程的身份信息时，输出报警信息，使用户根据所述报警信息判断是否接受所述文件操作请求。

优选地，所述预处理单元创建并存储进程白名单和进程黑名单时，具体用于：

统计***中所有类型的文件操作请求；分别确定并记录可以发起上述所有类型的文件操作请求中的任意一种文件操作请求的进程的身份信息，得到目标进程集合；根据预设规则，将所述目标进程集合中的每一种进程标记为合法进程或恶意进程；归集所有的合法进程得到进程白名单，以及归集所有的恶意进程得到进程黑名单。

优选地，所述预处理单元还用于实时更新所述进程白名单和所述进程黑名单。

优选地，所述预处理单元实时更新所述进程白名单和所述进程黑名单时，具体用于：

根据接收的操作请求信息，识别发起所述操作请求的进程的身份信息；判断所述进程的身份信息是否存在于所述进程白名单或所述进程黑名单中；如果所述进程的身份信息既不存在于所述进程白名单中，也不存在于所述进程黑名单中，则根据所述预设规则，判断所述进程是恶意进程还是合法进程；如果所述进程是合法进程，则将所述进程的身份信息添加到所述进程白名单；如果所述进程是恶意进程，则将所述进程的身份信息添加到所述进程黑名单。

本发明提出的操作管理方法，首先创建并存储进程白名单和进程黑名单；其中，所述进程白名单存储合法进程的身份信息，所述进程黑名单存储恶意进程的身份信息；当接收到文件操作请求时，先识别发起请求的进程的身份信息，然后判断所述进程黑名单中是否包含所述进程的身份信息；如果所述进程黑名单中包含所述进程的身份信息，则拒绝所述文件操作请求；如果所述进程黑名单中不包含所述进程的身份信息，则进一步判断所述进程白名单中是否包含所述进程的身份信息；如果所述进程白名单中不包含所述进程的身份信息，则拒绝所述文件操作请求。上述方案在接收到操作请求时，先验证发起请求的进程是否为恶意进程，如果不是恶意进程则进一步验证该进程是否为合法进程，如果该进程是恶意进程，或者不是合法进程，则拒绝该进程发起的操作请求。上述过程实现了对进程身份的双层验证，其验证过程更严谨，提升了对恶意进程的识别和防护能力。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1是本发明实施例提供的一种操作管理方法的流程示意图；

图2是本发明实施例提供的另一种操作管理方法的流程示意图；

图3是本发明实施例提供的创建并存储进程白名单和进程黑名单的流程示意图；

图4是本发明实施例提供的更新进程白名单和进程黑名单的流程示意图；

图5是本发明实施例提供的一种操作管理装置的结构示意图；

图6是本发明实施例提供的另一种操作管理装置的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例公开了一种操作管理方法，应用于操作管理装置，所述操作管理装置创建并存储进程白名单和进程黑名单；其中，所述进程白名单存储合法进程的身份信息，所述进程黑名单存储恶意进程的身份信息；

具体的，上述进程白名单，是指存储用户认可的可以对***受保护的文件进行操作的进程的身份信息(例如进程名、路径、MD5值等)的名单。可以理解，如果某进程的身份信息存储在进程白名单中，则说明该进程可以对***受保护的文件进行操作。

上述进程黑名单，是指存储用户认为不可以对***受保护的文件进行操作的进程的身份信息(例如进程名、路径、MD5值等)的名单，例如存储病毒信息的病毒库等。可以理解，如果某进程的身份信息存储在进程黑名单中，则应当阻止该进程对***受保护的文件进行操作，以便保障***受保护的文件安全。

上述进程白名单和进程黑名单，可以由技术人员设置并维护，也可以由计算机***根据识别的各种计算机进程而自动创建及维护。

同时，本发明实施例提出的方法可以以软件形式实施，此时，上述进程白名单和进程黑名单连同实施本发明实施例技术方案的软件，一同安装于待保护***中。

在创建并存储上述进程白名单和进程黑名单的基础上，参见图1所示，本发明实施例提出的操作管理方法具体包括：

S101、接收文件操作请求；

具体的，上述文件操作请求，是指由任意进程发起的，对***受保护的文件进行创建、打开、读写等可以破坏***受保护文件安全的操作请求。

S102、识别发起所述文件操作请求的进程的身份信息；

具体的，上述进程的身份信息，是指进程的进程名、路径、MD5值等信息。可以理解，为了便于根据进程白名单或进程黑名单识别上述进程的身份，所识别的进程的身份信息应当与进程白名单或进程黑名中存储的进程的身份信息类型相同。

S103、判断所述进程黑名单中是否包含所述进程的身份信息；

具体的，本发明实施例将步骤S102中识别得到的进程的身份信息，与进程黑名单中存储的进程的身份信息进行对比，如果识别得到的进程的身份信息与进程黑名单中存储的某个进程的身份信息相同，则说明上述进程黑名单中包含步骤S102中识别得到的进程的身份信息。如果识别得到的进程的身份信息与进程黑名单中的所有的进程的身份信息均不同，则说明上述进程黑名单中不包含步骤S102中识别得到的进程的身份信息。

如果所述进程黑名单中包含所述进程的身份信息，则执行步骤S104、拒绝所述文件操作请求；

具体的，如果上述进程黑名单中包含上述步骤S102中识别得到的进程的身份信息，则说明上述步骤S102中识别得到的进程为恶意进程，此时，本发明实施例拒绝该进程对***文件进行操作，即拒绝该进程发送的上述文件操作请求，以保障***文件安全。

如果所述进程黑名单中不包含所述进程的身份信息，则执行步骤S105、判断所述进程白名单中是否包含所述进程的身份信息；

具体的，如果上述步骤S102中识别得到的进程的身份信息不存在于上述进程黑名单中，本发明实施例并不会直接认定该进程不是恶意进程，而是进一步验证该进程是否为合法进程。

具体的验证方法为，通过验证上述进程白名单中是否包含上述步骤S102识别得到的进程的身份信息，来判断上述步骤S102识别得到的进程是否为合法进程。具体的，将步骤S102中识别得到的进程的身份信息，与进程白名单中存储的进程的身份信息进行对比，如果识别得到的进程的身份信息与进程白名单中存储的某个进程的身份信息相同，则说明上述进程白名单中包含步骤S102中识别得到的进程的身份信息。如果识别得到的进程的身份信息与进程白名单中的所有的进程的身份信息均不同，则说明上述进程白名单中不包含步骤S102中识别得到的进程的身份信息。

如果所述进程白名单中不包含所述进程的身份信息，则执行步骤S104、拒绝所述文件操作请求。

具体的，如果上述进程白名单中不包含上述步骤S102中识别得到的进程的身份信息，则说明上述步骤S102中识别得到的进程不是合法进程，此时本发明实施例依然拒绝该进程对***文件进行操作，以便保障***文件的安全。

可以理解，如果上述进程白名单中包含上述步骤S102中识别得到的进程的身份信息，则说明上述步骤S102中识别得到的进程是合法进程，此时本发明允许该进程对***文件进行操作。

本发明实施例提出的操作管理方法，首先创建并存储进程白名单和进程黑名单；其中，所述进程白名单存储合法进程的身份信息，所述进程黑名单存储恶意进程的身份信息；当接收到文件操作请求时，先识别发起请求的进程的身份信息，然后判断所述进程黑名单中是否包含所述进程的身份信息；如果所述进程黑名单中包含所述进程的身份信息，则拒绝所述文件操作请求；如果所述进程黑名单中不包含所述进程的身份信息，则进一步判断所述进程白名单中是否包含所述进程的身份信息；如果所述进程白名单中不包含所述进程的身份信息，则拒绝所述文件操作请求。上述方案在接收到操作请求时，先验证发起请求的进程是否为恶意进程，如果不是恶意进程则进一步验证该进程是否为合法进程，如果该进程是恶意进程，或者不是合法进程，则拒绝该进程发起的操作请求。上述过程实现了对进程身份的双层验证，其验证过程更严谨，提升了对恶意进程的识别和防护能力。

可选的，在本发明的另一个实施例中，参见图2所示，该方法还包括：

如果所述进程白名单中不包含所述进程的身份信息，则执行步骤S206、输出报警信息，使用户根据所述报警信息判断是否接受所述文件操作请求。

具体的，在本发明实施例中，如果通过验证确定发起文件操作请求的进程不是恶意进程，但是也不是合法进程时，向用户输出报警信息，由用户根据该报警信息来判断是否接受该进程发起的文件操作请求，由用户决定是否允许该进程对***文件进行操作。

在上述处理过程中，对于既不是恶意进程，又不是合法进程的进程，本发明实施例转交给用户处理，由用户决定是否允许该进程对***文件进行操作，防止尚未登记的合法进程需要操作***文件时在用户不知情的情况下被拦截。

本实施例中的步骤S201～S205分别对应图1所示的方法实施例中的步骤S101～S105，其具体内容请参见对应图1所示的方法实施例的内容，此处不再赘述。

可选的，在本发明的另一个实施例中，参见图3所示，所述创建并存储进程白名单和进程黑名单，包括：

S301、统计***中所有类型的文件操作请求；

具体的，上述所有类型的文件操作请求，是指对***中受保护文件的各种操作类型的请求信息，例如请求对文件进行创建、打开、读写等操作的请求信息。

S302、分别确定并记录可以发起上述所有类型的文件操作请求中的任意一种文件操作请求的进程的身份信息，得到目标进程集合；

具体的，只要能够对***中受保护的文件进行步骤S301中统计的所有类型的文件操作中的任意一种文件操作的进程，都属于本发明实施例的监督对象。本发明实施例确定每个监督对象的身份信息并分别进行记录，得到目标进程集合。

S303、根据预设规则，将所述目标进程集合中的每一种进程标记为合法进程或恶意进程；

具体的，上述预设规则，是指事先由技术人员设定的，用于将进程划分为合法进程或恶意进程的划分规则。

本发明实施例根据上述规则，分别对目标进程集合中的进程进行属性划分，将目标进程集合中的每个进程划分为合法进程或恶意进程。

S304、归集所有的合法进程得到进程白名单，以及归集所有的恶意进程得到进程黑名单。

具体的，本发明实施例将所有被划分为合法进程的进程归集到一起，将所有合法进程的身份信息整理成进程白名单；将所有被划分为恶意进程的进程归集到一起，将所有恶意进程的身份信息整理成进程黑名单。

可选的，在本发明的另一个实施例中，所述操作管理装置实时更新所述进程白名单和所述进程黑名单。

具体的，恶意进程会不断更新，或不断地会有新的恶意进程攻击用户***文件，实时更新进程白名单和进程黑名单可以保证对恶意进程的识别成功率。因此，本发明实施例设定操作管理装置在创建并存储进程白名单和进程黑名单后，还实时更新上述进程白名单和进程黑名单。

参见图4所示，具体的实时更新过程，包括：

S401、根据接收的操作请求信息，识别发起所述操作请求的进程的身份信息；

具体的，当接收到任意进程发送的操作请求时，本发明实施例首先识别发起该操作请求的进程的身份信息。

S402、判断所述进程的身份信息是否存在于所述进程白名单或所述进程黑名单中；

具体的，本发明实施例将步骤S401中识别的进程的身份信息与上述进程白名单和进程黑名单中的进程的身份信息进行对比，判断上述发起操作请求的进程的身份信息是否已经存在于上述进程白名单或进程黑名单中，即判断上述发起操作请求的进程是否为已经记录的合法进程或恶意进程。

如果所述进程的身份信息既不存在于所述进程白名单中，也不存在于所述进程黑名单中，则执行步骤S403、根据所述预设规则，判断所述进程是恶意进程还是合法进程；

具体的，如果上述发起操作请求的进程的身份信息既不存在于上述进程白名单中，也不存在于上述进程黑名单中，则说明上述进程白名单和进程黑名单都没有记录上述进程的身份信息，因此无法通过上述进程白名单和进程黑名单确定上述进程为合法进程还是恶意进程。

在这种情况下，可以认为该进程为新生成的进程。此时，本发明实施例根据上述预设规则，对上述进程进行属性划分，即通过上述预设规则识别上述进程是合法进程还是恶意进程。

如果所述进程是合法进程，则执行步骤S404、将所述进程的身份信息添加到所述进程白名单；

如果所述进程是恶意进程，则执行步骤S405、将所述进程的身份信息添加到所述进程黑名单。

具体的，如果通过步骤S403确定上述进程为合法进程，则将该进程的身份信息添加到上述进程白名单中；如果通过步骤S403确定上述进程为恶意进程，则将该进程的身份信息添加到上述进程黑名单中。

可以理解，上述对进程白名单和进程黑名单的实时更新过程，实际上是不断将新发现的进程的身份信息添加到进程白名单或进程黑名单中的过程。

本发明实施例还公开了一种操作管理装置，参见图5所示，该装置包括：

预处理单元501，用于创建并存储进程白名单和进程黑名单；其中，所述进程白名单存储合法进程的身份信息，所述进程黑名单存储恶意进程的身份信息；

请求接收单元502，用于接收文件操作请求；

进程识别单元503，用于识别发起所述文件操作请求的进程的身份信息；

第一判断处理单元504，用于判断所述进程黑名单中是否包含所述进程的身份信息；如果所述进程黑名单中包含所述进程的身份信息，则拒绝所述文件操作请求；

第二判断处理单元505，用于当第一判断处理单元504判断所述进程黑名单中不包含所述进程的身份信息时，判断所述进程白名单中是否包含所述进程的身份信息；如果所述进程白名单中不包含所述进程的身份信息，则拒绝所述文件操作请求。

具体的，本实施例中的各个单元的具体工作内容，请参见上述方法实施例的内容，此处不再赘述。

可选的，在本发明的另一个实施例中，参见图6所示，该装置还包括：

报警输出单元506，用于当第二判断处理单元505判断所述进程白名单中不包含所述进程的身份信息时，输出报警信息，使用户根据所述报警信息判断是否接受所述文件操作请求。

具体的，本实施例中的报警输出单元506的具体工作内容，请参见上述方法实施例的内容，此处不再赘述。

可选的，在本发明的另一个实施例中，预处理单元501创建并存储进程白名单和进程黑名单时，具体用于：

统计***中所有类型的文件操作请求；分别确定并记录可以发起上述所有类型的文件操作请求中的任意一种文件操作请求的进程的身份信息，得到目标进程集合；根据预设规则，将所述目标进程集合中的每一种进程标记为合法进程或恶意进程；归集所有的合法进程得到进程白名单，以及归集所有的恶意进程得到进程黑名单。

具体的，本实施例中的预处理单元501的具体工作内容，请参见上述方法实施例的内容，此处不再赘述。

可选的，在本发明的另一个实施例中，预处理单元501还用于实时更新所述进程白名单和所述进程黑名单。

具体的，本实施例中的预处理单元501的具体工作内容，请参见上述方法实施例的内容，此处不再赘述。

可选的，在本发明的另一个实施例中，预处理单元501实时更新所述进程白名单和所述进程黑名单时，具体用于：

根据接收的操作请求信息，识别发起所述操作请求的进程的身份信息；判断所述进程的身份信息是否存在于所述进程白名单或所述进程黑名单中；如果所述进程的身份信息既不存在于所述进程白名单中，也不存在于所述进程黑名单中，则根据所述预设规则，判断所述进程是恶意进程还是合法进程；如果所述进程是合法进程，则将所述进程的身份信息添加到所述进程白名单；如果所述进程是恶意进程，则将所述进程的身份信息添加到所述进程黑名单。

具体的，本实施例中的预处理单元501的具体工作内容，请参见上述方法实施例的内容，此处不再赘述。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种操作管理方法，其特征在于，应用于操作管理装置，所述操作管理装置创建并存储进程白名单和进程黑名单；其中，所述进程白名单存储合法进程的身份信息，所述进程黑名单存储恶意进程的身份信息；该方法包括：

接收文件操作请求；

识别发起所述文件操作请求的进程的身份信息；

判断所述进程黑名单中是否包含所述进程的身份信息；

如果所述进程黑名单中包含所述进程的身份信息，则拒绝所述文件操作请求；

如果所述进程黑名单中不包含所述进程的身份信息，则判断所述进程白名单中是否包含所述进程的身份信息；

如果所述进程白名单中不包含所述进程的身份信息，则拒绝所述文件操作请求。

2.根据权利要求1所述的方法，其特征在于，该方法还包括：

如果所述进程白名单中不包含所述进程的身份信息，则输出报警信息，使用户根据所述报警信息判断是否接受所述文件操作请求。

3.根据权利要求1所述的方法，其特征在于，所述创建并存储进程白名单和进程黑名单，包括：

统计***中所有类型的文件操作请求；

分别确定并记录可以发起上述所有类型的文件操作请求中的任意一种文件操作请求的进程的身份信息，得到目标进程集合；

根据预设规则，将所述目标进程集合中的每一种进程标记为合法进程或恶意进程；

归集所有的合法进程得到进程白名单，以及归集所有的恶意进程得到进程黑名单。

4.根据权利要求3所述的方法，其特征在于，所述操作管理装置实时更新所述进程白名单和所述进程黑名单。

5.根据权利要求4所述的方法，其特征在于，所述实时更新所述进程白名单和所述进程黑名单，包括：

根据接收的操作请求信息，识别发起所述操作请求的进程的身份信息；

判断所述进程的身份信息是否存在于所述进程白名单或所述进程黑名单中；

如果所述进程的身份信息既不存在于所述进程白名单中，也不存在于所述进程黑名单中，则根据所述预设规则，判断所述进程是恶意进程还是合法进程；

如果所述进程是合法进程，则将所述进程的身份信息添加到所述进程白名单；

如果所述进程是恶意进程，则将所述进程的身份信息添加到所述进程黑名单。

6.一种操作管理装置，其特征在于，包括：

预处理单元，用于创建并存储进程白名单和进程黑名单；其中，所述进程白名单存储合法进程的身份信息，所述进程黑名单存储恶意进程的身份信息；

请求接收单元，用于接收文件操作请求；

进程识别单元，用于识别发起所述文件操作请求的进程的身份信息；

第一判断处理单元，用于判断所述进程黑名单中是否包含所述进程的身份信息；如果所述进程黑名单中包含所述进程的身份信息，则拒绝所述文件操作请求；

第二判断处理单元，用于当所述第一判断处理单元判断所述进程黑名单中不包含所述进程的身份信息时，判断所述进程白名单中是否包含所述进程的身份信息；如果所述进程白名单中不包含所述进程的身份信息，则拒绝所述文件操作请求。

7.根据权利要求6所述的装置，其特征在于，该装置还包括：

报警输出单元，用于当所述第二判断处理单元判断所述进程白名单中不包含所述进程的身份信息时，输出报警信息，使用户根据所述报警信息判断是否接受所述文件操作请求。

8.根据权利要求6所述的装置，其特征在于，所述预处理单元创建并存储进程白名单和进程黑名单时，具体用于：

统计***中所有类型的文件操作请求；分别确定并记录可以发起上述所有类型的文件操作请求中的任意一种文件操作请求的进程的身份信息，得到目标进程集合；根据预设规则，将所述目标进程集合中的每一种进程标记为合法进程或恶意进程；归集所有的合法进程得到进程白名单，以及归集所有的恶意进程得到进程黑名单。

9.根据权利要求8所述的装置，其特征在于，所述预处理单元还用于实时更新所述进程白名单和所述进程黑名单。

10.根据权利要求9所述的装置，其特征在于，所述预处理单元实时更新所述进程白名单和所述进程黑名单时，具体用于：

根据接收的操作请求信息，识别发起所述操作请求的进程的身份信息；判断所述进程的身份信息是否存在于所述进程白名单或所述进程黑名单中；如果所述进程的身份信息既不存在于所述进程白名单中，也不存在于所述进程黑名单中，则根据所述预设规则，判断所述进程是恶意进程还是合法进程；如果所述进程是合法进程，则将所述进程的身份信息添加到所述进程白名单；如果所述进程是恶意进程，则将所述进程的身份信息添加到所述进程黑名单。