專利名稱：基于用戶的網(wǎng)絡(luò)活動(dòng)動(dòng)態(tài)調(diào)整計(jì)算機(jī)安全的方法和系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種改進(jìn)的數(shù)據(jù)處理系統(tǒng)，并且特別地，涉及一種用于計(jì) 算機(jī)安全的方法和裝置。
背景沖支術(shù)
計(jì)算機(jī)安全工具提供了用于限制惡意用戶對(duì)計(jì)算機(jī)系統(tǒng)造成傷害的能 力的防御機(jī)制?；谲浖娜肭謾z測(cè)應(yīng)用可以警告計(jì)算機(jī)管理員可疑活動(dòng)， 以便管理員可以采取措施來(lái)跟蹤可疑計(jì)算機(jī)活動(dòng)以及修改計(jì)算機(jī)系統(tǒng)和網(wǎng)
絡(luò)以防止泄密(security breach )。
然而，計(jì)算機(jī)系統(tǒng)的很多泄密都是經(jīng)由致使計(jì)算機(jī)系統(tǒng)在物理上易受 攻擊的人們的忽-現(xiàn)或疏忽而發(fā)生的，因?yàn)樗鼈冊(cè)谖锢砩峡捎糜谖词跈?quán)的使 用。例如，用戶可能在離開吃午飯的時(shí)候仍然登錄到計(jì)算機(jī)工作站，并且 該用戶的辦公室中無(wú)人管理的計(jì)算機(jī)對(duì)未授權(quán)人員的使用是開放的。即使 用戶的賬戶或設(shè)備在特定的不活動(dòng)時(shí)期之后可以自動(dòng)注銷，但未授4"員 仍然有一段時(shí)間可以訪問(wèn)該用戶的賬戶用于惡意活動(dòng)。類似的情況要求對(duì) 易受攻擊的設(shè)備的更好的物理控制。 除了對(duì)無(wú)人管理設(shè)備堅(jiān)持更好的安全實(shí)踐之外，還有很多其中可以改 進(jìn)管理設(shè)備上的安全實(shí)踐的情況，即，某人現(xiàn)行使用的計(jì)算資源仍然需要 免受未授權(quán)使用或觀察。例如， 一些組織，特別是政府機(jī)構(gòu)和軍事部門， 對(duì)人員實(shí)現(xiàn)各種類型的安全過(guò)程。單個(gè)組織內(nèi)的不同個(gè)體具有不同的職責(zé)，
各種類型的有區(qū)別的安全訪問(wèn)。在很多情況下，相同組織單元內(nèi)的兩個(gè)人 可能并不被授權(quán)查看其各自處理的信息。這些組織可以在反映了應(yīng)用于不 同人員的安全過(guò)程的計(jì)算機(jī)系統(tǒng)上實(shí)現(xiàn)不同的安全過(guò)程；例如，每個(gè)人都
僅被授權(quán)訪問(wèn)對(duì)于其特定工作來(lái)說(shuō)必要的計(jì)算資源。
盡管計(jì)算機(jī)系統(tǒng)的很多泄密都是經(jīng)由致使計(jì)算機(jī)系統(tǒng)在物理上易受攻 擊的人們的忽視或疏忽而發(fā)生的，然而，很多泄密發(fā)生在人們通過(guò)危險(xiǎn)的 計(jì)算活動(dòng)致使那些計(jì)算機(jī)系統(tǒng)在計(jì)算上易受攻擊的時(shí)候。這些危險(xiǎn)的計(jì)算 活動(dòng)增加了計(jì)算機(jī)將遭受惡意攻擊或計(jì)算機(jī)病毒侵染的機(jī)會(huì)。很多危險(xiǎn)的 計(jì)算活動(dòng)是故意進(jìn)行的。在一些情況下，危險(xiǎn)的計(jì)算活動(dòng)是以授權(quán)的方式 故意進(jìn)行的，而不幸的是，在4艮多其它的情況下，危險(xiǎn)的計(jì)算活動(dòng)是以未 授權(quán)的、疏忽或魯莽的方式故意進(jìn)行的。
舉例來(lái)說(shuō)，某人可能經(jīng)常在沒(méi)有有效防火墻的情況下操作計(jì)算機(jī)。即 使可以自動(dòng)實(shí)現(xiàn)某些安全過(guò)程來(lái)防止這樣的情況，但是某人可能需要不受 特定計(jì)算安全防御妨礙的專門配置的計(jì)算機(jī)。在一些情況下，職員為了實(shí) 現(xiàn)特定的工作任務(wù)，職員可能要求特定的計(jì)算機(jī)配置，例如，無(wú)效的或禁 用的防火墻。因此，該人可以在沒(méi)有有效防火墻的情況下以授權(quán)方式操作 計(jì)算機(jī)。但是，在其它情況下，某人可能經(jīng)常禁用防火墻，以便非法下載 音樂(lè)或視頻內(nèi)容(其可能是會(huì)被防火墻阻止的一些活動(dòng))。因此，該人可 以在沒(méi)有有效防火墻的情況下以未授權(quán)方式操作計(jì)算機(jī)。此外，計(jì)算機(jī)還 可以因未能檢查到下載文件的病毒而導(dǎo)致易受攻擊。
即使某人可以以未授權(quán)方式有效地阻礙(thwart)計(jì)算機(jī)安全防御機(jī) 制，但對(duì)于某些人的計(jì)算活動(dòng)，仍然可能存在容許某些計(jì)算機(jī)漏洞的合法 原因。在這類情況下，如以上所指出的，組織可以在反映了應(yīng)用于不同人 員的安全過(guò)程的計(jì)算機(jī)系統(tǒng)上實(shí)現(xiàn)不同的安全過(guò)程。然而， 一個(gè)人的計(jì)算 活動(dòng)可能致4吏另 一個(gè)人的計(jì)算活動(dòng)易受侵害，因?yàn)榇蠖鄶?shù)計(jì)算機(jī)操作于聯(lián) 網(wǎng)數(shù)據(jù)處理系統(tǒng)內(nèi)，并iU艮多惡意的漏洞，例如，病毒，可以通過(guò)網(wǎng)絡(luò)連 接從計(jì)算機(jī)傳播到計(jì)算機(jī)。
因此，需要確保聯(lián)網(wǎng)計(jì)算環(huán)境內(nèi)一個(gè)用戶的活動(dòng)并不危及另一用戶的 活動(dòng)。更具體而言，需要確保第一用戶(不管是授權(quán)的還是未授權(quán)的)所 容許的計(jì)算漏洞并不會(huì)向聯(lián)網(wǎng)的計(jì)算環(huán)境引入問(wèn)題，特別是在計(jì)算漏洞可 以傳播到正積極地試圖保護(hù)自己免于計(jì)算漏洞的第二用戶的計(jì)算機(jī)的那些
情況下。
因此，通過(guò)這樣的方式來(lái)改進(jìn)數(shù)據(jù)處理系統(tǒng)上的計(jì)算安全會(huì)是有利的， 即允許計(jì)算機(jī)安全過(guò)程相對(duì)于不同用戶繼續(xù)以靈活的方式實(shí)現(xiàn)，而又確保 相對(duì)于一個(gè)用戶實(shí)現(xiàn)或激活的計(jì)算機(jī)安全過(guò)程并不導(dǎo)致對(duì)于另 一個(gè)用戶的 計(jì)算漏洞。

發(fā)明內(nèi)容
提出了 一種用于使得數(shù)據(jù)處理系統(tǒng)中的計(jì)算資源安全的方法、系統(tǒng)、 裝置或計(jì)算機(jī)程序產(chǎn)品。第一用戶使用第一計(jì)算設(shè)備，并且用戶安全級(jí)別 與所述第一用戶相關(guān)聯(lián)。同樣地，第二用戶使用第二計(jì)算設(shè)備，并且用戶 安全級(jí)別與所述第二用戶相關(guān)聯(lián)。基于所述第二用戶的第二用戶安全級(jí)別， 自動(dòng)地重新配置所述第一計(jì)算設(shè)備上的計(jì)算資源?？梢韵蛩龅谝挥?jì)算設(shè) 備上的計(jì)算資源分派計(jì)算安全級(jí)別，并且響應(yīng)于所述第二用戶正在使用的 第二計(jì)算設(shè)備的檢測(cè)到的網(wǎng)絡(luò)活動(dòng)，動(dòng)態(tài)地調(diào)整所述計(jì)算安全級(jí)別?；?br> 所調(diào)整的計(jì)算安全級(jí)別，重新配置用于重新配置所述第一計(jì)算設(shè)備上的計(jì) 算資源的修改的安全相關(guān)參數(shù)。
從本發(fā)明的第一方面來(lái)看，提供了一種用于使得關(guān)于數(shù)據(jù)處理系統(tǒng)中
的一組計(jì)算資源的操作安全的方法，該方法包括在正由第一用戶使用的 第一計(jì)算設(shè)備上釆用計(jì)算資源，其中第一用戶安全級(jí)別指示值與所述第一 用戶相關(guān)聯(lián)；在正由第二用戶使用的第二計(jì)算設(shè)備上采用計(jì)算資源，其中 第二用戶安全級(jí)別指示值與所述第二用戶相關(guān)聯(lián)；以及基于所述第二用戶 的第二用戶安全級(jí)別指示值，自動(dòng)地重新配置所述第一計(jì)算設(shè)備上的計(jì)算 資源。
優(yōu)選地，本發(fā)明提供了一種方法，其進(jìn)一步包括監(jiān)控關(guān)于由所述第 二用戶使用的計(jì)算資源的網(wǎng)絡(luò)活動(dòng)；過(guò)濾關(guān)于由所述第二用戶使用的計(jì)算 資源的網(wǎng)絡(luò)活動(dòng)；以及記錄關(guān)于由所述第二用戶使用的計(jì)算資源的有問(wèn)題 的網(wǎng)絡(luò)活動(dòng)。
優(yōu)選地，本發(fā)明提供了一種方法，其進(jìn)一步包括采用第一可配置策
略，其指示用于過(guò)濾所述網(wǎng)絡(luò)活動(dòng)的規(guī)則和/或條件。
優(yōu)選地，本發(fā)明提供了一種方法，其進(jìn)一步包括檢查所述第二用戶 的所記錄的有問(wèn)題的網(wǎng)絡(luò)活動(dòng)；以及基于來(lái)自檢查到的所記錄的有問(wèn)題的 網(wǎng)絡(luò)活動(dòng)的^f言息，確定所述第二用戶安全級(jí)別指示值。
優(yōu)選地，本發(fā)明提供了一種方法，其進(jìn)一步包括采用第二可配置策 略，其指示用于確定所述第二用戶安全級(jí)別指示值的規(guī)則和/或條件。
優(yōu)選地，本發(fā)明提供了一種方法，其進(jìn)一步包括向所述第一計(jì)算設(shè) 備上的計(jì)算資源分派計(jì)算安全級(jí)別指示值；以及響應(yīng)于所述第二用戶正在 使用的第二計(jì)算設(shè)備的檢測(cè)到的網(wǎng)絡(luò)活動(dòng)，調(diào)整所述第一計(jì)算設(shè)備上的計(jì) 算資源的計(jì)算安全級(jí)別指示值。
優(yōu)選地，本發(fā)明提供了一種方法，其進(jìn)一步包括采用第三可配置策 略，其指示用于調(diào)整所述第一計(jì)算設(shè)備上的計(jì)算資源的計(jì)算安全級(jí)別指示 值的規(guī)則和/或條件。
優(yōu)選地，本發(fā)明提供了一種方法，其進(jìn)一步包括基于所調(diào)整的計(jì)算 安全級(jí)別指示值，確定用于重新配置所述第一計(jì)算設(shè)備上的計(jì)算資源的修 改的安全相關(guān)參數(shù)。
優(yōu)選地，本發(fā)明提供了一種方法，其進(jìn)一步包括采用第四可配置策 略，其指示用于確定用于重新配置所述第一計(jì)算i殳備上的計(jì)算資源的修改 的安全相關(guān)參數(shù)的規(guī)則和/或條件。
優(yōu)選地，本發(fā)明提供了一種方法，其進(jìn)一步包括將修改的安全相關(guān) |*從集中式安全管理應(yīng)用發(fā)送至所述第 一計(jì)算設(shè)備上的網(wǎng)絡(luò)安全代理。
優(yōu)選地，本發(fā)明提供了一種方法，其進(jìn)一步包括通知所述第一用戶 對(duì)所述第 一計(jì)算設(shè)備的重新配置。
優(yōu)選地，本發(fā)明提供了一種方法，其進(jìn)一步包括從所述數(shù)據(jù)處理系 統(tǒng)的外部源檢索所述第二用戶安全級(jí)別指示值。
從第二方面來(lái)看，本發(fā)明提供了一種在計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)上的計(jì)算 ^/L^呈序產(chǎn)品，其用于使得關(guān)于數(shù)據(jù)處理系統(tǒng)中的一組計(jì)算資源的操作安全， 該計(jì)算機(jī)程序產(chǎn)品包括用于在正由第一用戶使用的第一計(jì)算設(shè)備上采用
計(jì)算資源的裝置，其中第一用戶安全級(jí)別指示值與所述第一用戶相關(guān)聯(lián)； 用于在正由第二用戶>[吏用的第二計(jì)算設(shè)備上采用計(jì)算資源的裝置，其中第 二用戶安全級(jí)別指示值與所述第二用戶相關(guān)聯(lián)；以及用于基于所述第二用 戶的第二用戶安全級(jí)別指示值來(lái)自動(dòng)地重新配置所述第一計(jì)算設(shè)備上的計(jì) 算資源的裝置。
優(yōu)選地，本發(fā)明提供了一種計(jì)算機(jī)程序產(chǎn)品，其進(jìn)一步包括用于監(jiān) 控關(guān)于由所述第二用戶使用的計(jì)算資源的網(wǎng)絡(luò)活動(dòng)的裝置；用于過(guò)濾關(guān)于 由所述第二用戶^f吏用的計(jì)算資源的網(wǎng)絡(luò)活動(dòng)的裝置；以及用于記錄關(guān)于由 所述第二用戶使用的計(jì)算資源的有問(wèn)題的網(wǎng)絡(luò)活動(dòng)的裝置。
優(yōu)選地，本發(fā)明提供了一種計(jì)算機(jī)程序產(chǎn)品，其進(jìn)一步包括用于檢 查所述第二用戶的所記錄的有問(wèn)題的網(wǎng)絡(luò)活動(dòng)的裝置；以及用于基于來(lái)自 檢查到的所記錄的有問(wèn)題的網(wǎng)絡(luò)活動(dòng)的信息來(lái)確定所述第二用戶安全級(jí)別 指示值的裝置。
優(yōu)選地，本發(fā)明提供了一種計(jì)算機(jī)程序產(chǎn)品，其進(jìn)一步包括用于向 所述第一計(jì)算設(shè)備上的計(jì)算資源分派計(jì)算安全級(jí)別指示值的裝置；以及響 應(yīng)于所述第二用戶正在使用的第二計(jì)算設(shè)備的檢測(cè)到的網(wǎng)絡(luò)活動(dòng)，用于調(diào) 整所述第一計(jì)算i殳備上的計(jì)算資源的計(jì)算安全級(jí)別指示值的裝置。
優(yōu)選地，本發(fā)明提供了一種計(jì)算機(jī)程序產(chǎn)品，其進(jìn)一步包括用于基 于所調(diào)整的計(jì)算安全級(jí)別指示值來(lái)確定用于重新配置所述第一計(jì)算設(shè)備上 的計(jì)算資源的修改的安全相關(guān)參數(shù)的裝置。
從第四方面來(lái)看，本發(fā)明提供了一種用于使得關(guān)于數(shù)據(jù)處理系統(tǒng)中的 一組計(jì)算資源的操作安全的裝置，該裝置包括用于在正由第一用戶使用 的第一計(jì)算設(shè)備上采用計(jì)算資源的裝置，其中第一用戶安全級(jí)別指示值與 所述第 一用戶相關(guān)聯(lián)；用于在正由第二用戶使用的第二計(jì)算設(shè)備上采用計(jì) 算資源的裝置，其中第二用戶安全級(jí)別指示值與所述第二用戶相關(guān)聯(lián)；以
及用于基于所述第二用戶的第二用戶安全級(jí)別指示值來(lái)自動(dòng)地重新配置所 述第一計(jì)算設(shè)備上的計(jì)算資源的裝置。
優(yōu)選地，本發(fā)明提供了一種裝置，其進(jìn)一步包括用于向所述第一計(jì)
算設(shè)備上的計(jì)算資源分派計(jì)算安全級(jí)別指示值的裝置；以及響應(yīng)于所述第 二用戶正在使用的第二計(jì)算設(shè)備的檢測(cè)到的網(wǎng)絡(luò)活動(dòng)，用于調(diào)整所述第一 計(jì)算設(shè)備上的計(jì)算資源的計(jì)算安全級(jí)別指示值的裝置。
優(yōu)選地，本發(fā)明提供了一種裝置，其進(jìn)一步包括用于基于所調(diào)整的 計(jì)算安全級(jí)別指示值來(lái)確定用于重新配置所述第一計(jì)算設(shè)備上的計(jì)算資源 的修改的安全相關(guān)參數(shù)的裝置。


下面將參照附圖，并且僅通過(guò)例子的方式來(lái)詳細(xì)描述本發(fā)明的實(shí)施例， 其中
圖1A描繪了可以在其中實(shí)現(xiàn)本發(fā)明的典型分布式數(shù)據(jù)處理系統(tǒng)；
圖1B描繪了可以在數(shù)據(jù)處理系統(tǒng)內(nèi)使用的典型計(jì)算機(jī)體系結(jié)構(gòu)，其 中，在該數(shù)據(jù)處理系統(tǒng)中可以實(shí)現(xiàn)本發(fā)明；
圖2描繪了示出典型企業(yè)數(shù)據(jù)處理系統(tǒng)的框圖3描繪了示出合并了本發(fā)明的動(dòng)態(tài)安全調(diào)整特征的數(shù)據(jù)處理系統(tǒng)的 概況的框圖4A-4B依照本發(fā)明描繪了示出對(duì)設(shè)備的計(jì)算安全級(jí)別的動(dòng)態(tài)調(diào)整的 一對(duì)時(shí)間線(timelines);
圖4C-4D描繪了示出在給定用戶的用戶安全級(jí)別與給定計(jì)算資源的計(jì) 算安全級(jí)別之間的逆反關(guān)系的示圖5依照本發(fā)明的實(shí)施例描繪了示出用于收集對(duì)用戶安全級(jí)別的確定 造成影響的信息的過(guò)程的流程圖6依照本發(fā)明的實(shí)施例描繪了示出在其中分析先前記錄的用戶活動(dòng) 以4更影響對(duì)特定用戶的用戶安全級(jí)別的確定的過(guò)程的流程圖7A-7G描繪了示出在數(shù)據(jù)處理系統(tǒng)中用于支持安全級(jí)別的動(dòng)態(tài)調(diào)整 的組件的一組框圖；以及
圖8依照本發(fā)明的實(shí)施例描繪了示出在其中網(wǎng)絡(luò)上的用戶活動(dòng)可以觸 發(fā)對(duì)網(wǎng)絡(luò)內(nèi)的現(xiàn)用資源的計(jì)算安全級(jí)別值的動(dòng)態(tài)調(diào)整的過(guò)程的流程圖。
具體實(shí)施例方式
一般而言，可以包括或涉及本發(fā)明的設(shè)備包括種類繁多的數(shù)據(jù)處理技 術(shù)。因此，如同背景技術(shù)，在較為詳細(xì)地描述本發(fā)明之前，描述了分布式 數(shù)據(jù)處理系統(tǒng)內(nèi)的硬件和軟件組件的典型組織。
現(xiàn)參照附圖，圖l描繪了數(shù)據(jù)處理系統(tǒng)的典型網(wǎng)絡(luò)，其每一個(gè)均可以
實(shí)現(xiàn)本發(fā)明的一部分。分布式數(shù)據(jù)處理系統(tǒng)100含有網(wǎng)絡(luò)101，其是可以 用于在分布式數(shù)據(jù)處理系統(tǒng)100內(nèi)相互連接的各種設(shè)備和計(jì)算機(jī)之間提供 通信鏈路的介質(zhì)。網(wǎng)絡(luò)IOI可以包括永久連接，例如有線電纜或光纜，或 者通過(guò)電話或無(wú)線通信形成的臨時(shí)連接。在所描繪的例子中，服務(wù)器102 和服務(wù)器103連同存儲(chǔ)單元104連接至網(wǎng)絡(luò)101。另外，客戶機(jī)105-107 也連接至網(wǎng)絡(luò)101?？蛻魴C(jī)105-107和服務(wù)器102-103可以由各種計(jì)算設(shè)備 來(lái)表示，例如主機(jī)、個(gè)人計(jì)算機(jī)、個(gè)人數(shù)字助理(PDA)等。分布式數(shù)據(jù) 處理系統(tǒng)100可以包括未示出的附加服務(wù)器、客戶機(jī)、路由器、其它設(shè)備 以及對(duì)等體系結(jié)構(gòu)。
在所描繪的例子中，分布式數(shù)據(jù)處理系統(tǒng)100可以包括具有網(wǎng)絡(luò)101 的因特網(wǎng)，其表示使用各種協(xié)議(例如，輕量級(jí)目錄訪問(wèn)協(xié)議(LDAP)、 傳輸控制協(xié)議/網(wǎng)際協(xié)議(TCP/IP)、文件傳送協(xié)i義(FTP)、超文本傳輸 協(xié)議(HTTP)、無(wú)線應(yīng)用協(xié)議(WAP)等)來(lái)相互通信的全世界網(wǎng)絡(luò)和 網(wǎng)關(guān)的集合。當(dāng)然，舉例來(lái)說(shuō)，分布式數(shù)據(jù)處理系統(tǒng)100還可以包括多個(gè) 不同類型的網(wǎng)絡(luò)，例如內(nèi)聯(lián)網(wǎng)、局域網(wǎng)(LAN)或廣域網(wǎng)(WAN)。舉例 來(lái)說(shuō)，服務(wù)器102直接支持客戶機(jī)109和網(wǎng)絡(luò)110 (其合并了無(wú)線通信鏈 路)。啟用網(wǎng)絡(luò)的電話111通過(guò)無(wú)線鏈路112連接至網(wǎng)絡(luò)110，并且PDA 113 通過(guò)無(wú)線鏈路114連接至網(wǎng)絡(luò)110。電話111和PDA 113還可以使用適當(dāng) 的技術(shù)(例如，Bluetooth (藍(lán)牙)無(wú)線技術(shù))通過(guò)無(wú)線鏈路115直接在 它們之間傳送數(shù)據(jù)，以便創(chuàng)建所謂的個(gè)人區(qū)域網(wǎng)(PAN)或個(gè)人ad-hoc (特 定的)網(wǎng)絡(luò)。以類似的方式，PDA113可以通過(guò)無(wú)線通信鏈路116向PDA 107傳送數(shù)據(jù)。
本發(fā)明可以在各種硬件平臺(tái)上實(shí)現(xiàn)；圖1A旨在作為不同計(jì)算環(huán)境的 例子，而并不作為對(duì)本發(fā)明的體系結(jié)構(gòu)的限制。
現(xiàn)參照?qǐng)D1B，示圖描繪了諸如圖1A中所示出的那些在其中可以實(shí)現(xiàn) 本發(fā)明的數(shù)據(jù)處理系統(tǒng)的典型計(jì)算機(jī)體系結(jié)構(gòu)。數(shù)據(jù)處理系統(tǒng)120含有連 接至內(nèi)部系統(tǒng)總線123的一個(gè)或多個(gè)中央處理單元(CPU) 122，內(nèi)部系統(tǒng) 總線123與隨機(jī)訪問(wèn)存儲(chǔ)器(RAM) 124、只讀存儲(chǔ)器126和輸入/輸出適 配器128互連，輸入/輸出適配器128支持各種I/O設(shè)備，例如打印機(jī)130、 盤單元132或諸如音頻輸出系統(tǒng)等的未示出的其它i殳備。系統(tǒng)總線123還 連接提供對(duì)通信鏈路136的訪問(wèn)的通信適配器134。用戶接口適配器148 連接各種用戶設(shè)備，例如鍵盤140和鼠標(biāo)142,或者諸如觸摸屏、記錄筆、 擴(kuò)音器等未示出的其它設(shè)備。顯示適配器144將系統(tǒng)總線123連接至顯示 設(shè)備146。
本領(lǐng)域的普通技術(shù)人員可以理解，圖1B中的硬件可以取決于系統(tǒng)實(shí) 現(xiàn)而變化。舉例來(lái)說(shuō)，系統(tǒng)可以具有一個(gè)或多個(gè)處理器，例如，基于 IntefPentium⑧的處理器和數(shù)字信號(hào)處理器(DSP)，以及一種或多種類型 的易失性和非易失性存儲(chǔ)器。除了圖1B中所描繪的硬件之外或代替圖1B 中所描繪的硬件，還可以使用其它的外圍設(shè)備。所描繪的例子并不意味著 暗示關(guān)于本發(fā)明的體系結(jié)構(gòu)限制。
除了能夠在各種硬件平臺(tái)上實(shí)現(xiàn)之外，本發(fā)明還可以在各種軟件環(huán)境 中實(shí)現(xiàn)。典型的操作系統(tǒng)可以用于控制每個(gè)數(shù)據(jù)處理系統(tǒng)內(nèi)的程序執(zhí)行。 舉例來(lái)說(shuō)， 一個(gè)設(shè)備可以運(yùn)行Unix⑧操作系統(tǒng)，而另一個(gè)設(shè)備含有簡(jiǎn)單 Jav,運(yùn)行時(shí)環(huán)境。代表性的計(jì)算機(jī)平臺(tái)可以包括瀏覽器，其是眾所周知的 用于訪問(wèn)各種格式的超文本文檔(例如，圖形文件、字處理文件、可擴(kuò)展 標(biāo)記語(yǔ)言(XML )、超文本標(biāo)記語(yǔ)言(HTML )、手持設(shè)備標(biāo)記語(yǔ)言(HDML )、 無(wú)線標(biāo)記語(yǔ)言(WML)以及各種其它格式和類型的文件)的軟件應(yīng)用。
本發(fā)明可以在各種硬件和軟件平臺(tái)上實(shí)現(xiàn)，如以上關(guān)于圖1A和圖IB 所描述的。但是，更具體而言，本發(fā)明的目的是改進(jìn)數(shù)據(jù)處理環(huán)境內(nèi)的安 全過(guò)程。在較為詳細(xì)地描述本發(fā)明之前，先描述支持安全操作的典型數(shù)據(jù)
處理環(huán)境的某些方面。
現(xiàn)參照?qǐng)D2,框圖描繪了典型的企業(yè)數(shù)據(jù)處理系統(tǒng)。盡管圖1A描繪了 具有客戶機(jī)和服務(wù)器的典型數(shù)據(jù)處理系統(tǒng)，然而相比之下，圖2示出了網(wǎng)
絡(luò)內(nèi)與可以用于對(duì)訪問(wèn)資源的客戶機(jī)請(qǐng)求進(jìn)行支持的 一些服務(wù)器端實(shí)體相 關(guān)的客戶機(jī)。如在典型的計(jì)算環(huán)境中，企業(yè)域200托管用戶202可以例如 經(jīng)由網(wǎng)絡(luò)208通過(guò)4吏用客戶機(jī)206上的瀏覽器應(yīng)用204來(lái)訪問(wèn)的資源；計(jì) 算機(jī)網(wǎng)絡(luò)可以是因特網(wǎng)、內(nèi)聯(lián)網(wǎng)或其它網(wǎng)絡(luò)，如圖1A所示。
企業(yè)域200支持多個(gè)服務(wù)器。應(yīng)用服務(wù)器210通過(guò)基于Web的應(yīng)用或 其它類型的后端應(yīng)用(包括遺留應(yīng)用(legacy application))來(lái)支持受控 和/或未受控的計(jì)算資源。反向代理服務(wù)器212，或更簡(jiǎn)潔地，代理服務(wù)器 212實(shí)現(xiàn)企業(yè)域200的各種功能。舉例來(lái)說(shuō)，代理服務(wù)器212可以高速緩 存Web頁(yè)面，以便鏡像來(lái)自應(yīng)用服務(wù)器的內(nèi)容。輸入和輸出的數(shù)據(jù)流可以 由輸入數(shù)據(jù)流過(guò)濾器和輸出數(shù)據(jù)流過(guò)濾器來(lái)處理，以^f更依照各種策略內(nèi)指 定的目標(biāo)和條件或者依照所部署的軟件模塊的配置，在對(duì)計(jì)算資源的輸入 請(qǐng)求以及來(lái)自計(jì)算資源的輸出響應(yīng)上實(shí)現(xiàn)各種處理任務(wù)。
代理服務(wù)器212可以含有會(huì)話管理單元，其管理會(huì)話標(biāo)識(shí)符、高速緩 存憑證，或者關(guān)于由代理服務(wù)器212所識(shí)別的會(huì)話的其它信息。基于Web 的應(yīng)用通常利用各種裝置來(lái)提示用戶輸入認(rèn)證信息，常常作為HTML形式 內(nèi)的用戶名/口令組合。在圖2所示的例子中，在客戶機(jī)206可以訪問(wèn)資源 之前，可以要求認(rèn)證用戶202,此后為客戶機(jī)206建立會(huì)話。在可選的實(shí) 施例中，在向用戶提供對(duì)域200上的資源的訪問(wèn)之前，并不進(jìn)行認(rèn)證和授 權(quán)操作；可以在不伴隨認(rèn)證操作的情況下創(chuàng)建用戶會(huì)話。
企業(yè)域200內(nèi)的上述實(shí)體代表很多計(jì)算環(huán)境內(nèi)的典型實(shí)體。然而，很 多企業(yè)域具有用于控制訪問(wèn)受保護(hù)計(jì)算資源的安全特征。計(jì)算資源可以是 電子數(shù)據(jù)處理設(shè)備/子系統(tǒng)/系統(tǒng)、應(yīng)用、對(duì)象、可執(zhí)行代碼模塊、文檔、 Web頁(yè)面、文件、數(shù)據(jù)庫(kù)、數(shù)據(jù)庫(kù)記錄、各種其它類型的功能單元、各種 其它類型的信息單元，或者各種類型的通信功能。受保護(hù)或受控的計(jì)算資 源是僅當(dāng)請(qǐng)求客戶機(jī)或請(qǐng)求用戶被認(rèn)證和/或被授權(quán)的時(shí)候才可訪問(wèn)或可
檢索的計(jì)算資源；在一些情況下，認(rèn)證用戶缺省地是授權(quán)用戶。
認(rèn)證服務(wù)器214可以支持各種認(rèn)證機(jī)制，例如用戶名/口令、X,509證 書或安全令牌；多個(gè)認(rèn)證服務(wù)器可以專用于專門的認(rèn)證方法。授;MJ艮務(wù)器 216可以采用授權(quán)數(shù)據(jù)庫(kù)218，其含有諸如訪問(wèn)控制列表220、授權(quán)策略222 這才羊的信息、關(guān)于用戶注冊(cè)表224內(nèi)的用戶的信息，以及關(guān)于用戶組或角 色226的信息。使用該信息，授^J良務(wù)器216向代理服務(wù)器214提供對(duì)于 是否應(yīng)當(dāng)允許繼續(xù)進(jìn)行對(duì)訪問(wèn)計(jì)算資源的特定請(qǐng)求(即，響應(yīng)于來(lái)自客戶 機(jī)206的請(qǐng)求，是否應(yīng)當(dāng)準(zhǔn)許訪問(wèn)受控計(jì)算資源)的指示。安全順應(yīng)服務(wù) 器(security compliance server) 228實(shí)施IT安全以及與用戶及其系統(tǒng)相 關(guān)聯(lián)的其它管理活動(dòng)。
如以上所指出的，很多泄密發(fā)生在人們通過(guò)危險(xiǎn)的計(jì)算活動(dòng)致使計(jì)算 機(jī)系統(tǒng)在計(jì)算上易受攻擊的時(shí)候。這些危險(xiǎn)的計(jì)算活動(dòng)增加了計(jì)算機(jī)將遭 受惡意攻擊或計(jì)算機(jī)病毒侵?jǐn)_的機(jī)會(huì)。盡管組織可以在反映了應(yīng)用于不同 人員的安全過(guò)程的不同計(jì)算機(jī)系統(tǒng)上實(shí)現(xiàn)不同的安全過(guò)程，但對(duì)于某些人 的計(jì)算活動(dòng)，仍然可能存在容許某些計(jì)算機(jī)漏洞的合法原因。然而， 一個(gè) 人的計(jì)算活動(dòng)可能削弱在另一個(gè)人的計(jì)算活動(dòng)上的安全，因?yàn)榇蠖鄶?shù)計(jì)算 機(jī)操作于聯(lián)網(wǎng)的數(shù)據(jù)處理系統(tǒng)內(nèi)，并且很多惡意漏洞，例如，病毒，可以 通過(guò)網(wǎng)絡(luò)連接從計(jì)算機(jī)傳播到計(jì)算機(jī)。因此，需要確保聯(lián)網(wǎng)計(jì)算環(huán)境內(nèi)一 個(gè)用戶的活動(dòng)并不危害另一個(gè)用戶的活動(dòng)。更具體而言，需要確保第一用 戶(不管是授權(quán)的還是未授權(quán)的)所容許的計(jì)算漏洞并不會(huì)向聯(lián)網(wǎng)的計(jì)算 環(huán)境引入問(wèn)題，特別是在計(jì)算漏洞可以傳播到正積極地試圖保護(hù)自己免于 計(jì)算漏洞的第二用戶的計(jì)算機(jī)的那些情況下。本發(fā)明提供了 一種解決方案， 其用于基于另 一用戶的聯(lián)網(wǎng)計(jì)算活動(dòng)來(lái)動(dòng)態(tài)地調(diào)整在一個(gè)用戶的計(jì)算活動(dòng) 上的安全，如以下關(guān)于其余附圖較為詳細(xì)描述的。
現(xiàn)參照?qǐng)D3,框圖描繪了合并本發(fā)明的動(dòng)態(tài)安全調(diào)整特征的數(shù)據(jù)處理 系統(tǒng)的概況。數(shù)據(jù)處理系統(tǒng)含有網(wǎng)絡(luò)300;網(wǎng)絡(luò)300可以類似于圖1中的 網(wǎng)絡(luò)101或110，或者類似于圖2中的網(wǎng)絡(luò)208,或者網(wǎng)絡(luò)300可以表示含 于企業(yè)域內(nèi)的完全專有網(wǎng)絡(luò)。用戶"A，， 302訪問(wèn)連接至網(wǎng)絡(luò)300的計(jì)算設(shè)
備304，并且用戶"B" 306訪問(wèn)也連接至網(wǎng)絡(luò)300的計(jì)算設(shè)備308;計(jì)算 設(shè)備304和308可以表示種類繁多的計(jì)算設(shè)備，例如臺(tái)式計(jì)算機(jī)、PDA、 蜂窩電話等。
數(shù)據(jù)處理系統(tǒng)還含有安全順應(yīng)服務(wù)器310,其支持動(dòng)態(tài)安全調(diào)整單元 312。安全順應(yīng)服務(wù)器310表示含有安全相關(guān)的實(shí)施功能性的任何適當(dāng)?shù)姆?務(wù)器，其可選地可以集成于授權(quán)服務(wù)器、網(wǎng)絡(luò)管理服務(wù)器或有助于數(shù)據(jù)處 理系統(tǒng)的經(jīng)營(yíng)管理的某些其它類型的服務(wù)器或應(yīng)用內(nèi)。
動(dòng)態(tài)安全調(diào)整單元312表示用于實(shí)現(xiàn)本發(fā)明的功能性。以類似于可應(yīng) 用于安全順應(yīng)服務(wù)器310的方式，動(dòng)態(tài)安全調(diào)整單元312可以集成于含有 安全相關(guān)的實(shí)施功能性的任何適當(dāng)?shù)姆?wù)器內(nèi)，或者集成于授權(quán)服務(wù)器、 網(wǎng)絡(luò)管理服務(wù)器或有助于數(shù)據(jù)處理系統(tǒng)的經(jīng)營(yíng)管理的某些其它類型的服務(wù) 器或應(yīng)用內(nèi)。如以上所指出的，本發(fā)明針對(duì)的是一種過(guò)程或系統(tǒng)，其用于 基于另一用戶的聯(lián)網(wǎng)計(jì)算活動(dòng)來(lái)動(dòng)態(tài)地調(diào)整在一個(gè)用戶的計(jì)算活動(dòng)上的安 全；動(dòng)態(tài)安全調(diào)整單元312在必要時(shí)實(shí)現(xiàn)這些操作。
舉例來(lái)說(shuō)，用戶"A" 302經(jīng)由計(jì)算設(shè)備304訪問(wèn)計(jì)算資源。對(duì)于計(jì)算 設(shè)備304的軟件和硬件計(jì)算資源，維護(hù)安全相關(guān)的信息，其反映了對(duì)于計(jì) 算設(shè)備304支持的計(jì)算資源的當(dāng)前操作活動(dòng)所應(yīng)用的安全操作或^的限 制或(從相反視角的)寬大(leniency),這可以具體地被稱為計(jì)算設(shè)備 304的計(jì)算安全級(jí)別。同樣地，對(duì)于數(shù)據(jù)處理系統(tǒng)內(nèi)的其它有效計(jì)算i殳備 也會(huì)維護(hù)安全相關(guān)的信息。計(jì)算安全級(jí)別還可以被認(rèn)為是這樣的度量，即 其與計(jì)算設(shè)備304上的計(jì)算資源對(duì)于可能由計(jì)算設(shè)備304外部但卻在數(shù)據(jù) 處理系統(tǒng)內(nèi)的活動(dòng)在計(jì)算設(shè)備304上引起的錯(cuò)誤的計(jì)算操作來(lái)說(shuō)的漏洞有 關(guān)。這些錯(cuò)誤的計(jì)算操作可能是由具有惡意目的的用戶引起的，或者這些 錯(cuò)誤的計(jì)算操作可能是通過(guò)粗心或魯莽用戶的未授權(quán)活動(dòng)無(wú)意引起的；可 選地，這些錯(cuò)誤的計(jì)算操作可能是通過(guò)用戶的授權(quán)活動(dòng)無(wú)意引起的。如下 面較為詳細(xì)解釋的，可以使用來(lái)自各種源的信息來(lái)計(jì)算出計(jì)算安全級(jí)別， 并且可以通過(guò)可配置策略內(nèi)指定的條件和/或規(guī)則來(lái)指導(dǎo)對(duì)計(jì)算安全級(jí)別
的計(jì)算。 對(duì)于數(shù)據(jù)處理系統(tǒng)的用戶對(duì)軟件和硬件計(jì)算資源的使用也維護(hù)安全相 關(guān)的信息，其可以被具體稱為對(duì)于特定用戶的用戶安全級(jí)別。舉例來(lái)說(shuō)，
用戶"A" 302與根據(jù)關(guān)于用戶"A" 302的活動(dòng)的信息估計(jì)出的用戶安全 級(jí)別相關(guān)聯(lián)；同樣地，對(duì)于數(shù)據(jù)處理系統(tǒng)內(nèi)的其他用戶也會(huì)維護(hù)安全相關(guān) 的信息。用戶安全級(jí)別反映了相對(duì)于用戶對(duì)數(shù)據(jù)處理系統(tǒng)內(nèi)支持的計(jì)算資 源的操作活動(dòng)的請(qǐng)求來(lái)說(shuō)用戶值得信賴或(從相反視角的)用戶行為危險(xiǎn)。 用戶安全級(jí)別還可以被看作是這樣的度量，即其與用戶通過(guò)在數(shù)據(jù)處理系 統(tǒng)內(nèi)的活動(dòng)在計(jì)算設(shè)備上導(dǎo)致錯(cuò)誤的計(jì)算操作的能力相關(guān)。這些錯(cuò)誤的計(jì) 算操作可能是由具有惡意目的的用戶引起的，或者這些錯(cuò)誤的計(jì)算操作可 能是通過(guò)粗心或魯莽用戶的未授權(quán)活動(dòng)無(wú)意引起的；可選地，這些錯(cuò)誤的 計(jì)算操作可能是通過(guò)用戶的授權(quán)活動(dòng)無(wú)意引起的。如下面較為詳細(xì)解釋的， 可以使用來(lái)自各種源的信息來(lái)計(jì)算用戶安全級(jí)別，并且可以通過(guò)可配置策 略內(nèi)指定的條件和/或規(guī)則來(lái)指導(dǎo)對(duì)用戶安全級(jí)別的計(jì)算。
動(dòng)態(tài)安全調(diào)整單元312負(fù)責(zé)動(dòng)態(tài)地管理與數(shù)據(jù)處理系統(tǒng)的用戶相關(guān)聯(lián) 的用戶安全級(jí)別，以及負(fù)責(zé)動(dòng)態(tài)地管理與數(shù)據(jù)處理系統(tǒng)內(nèi)的計(jì)算資源相關(guān) 聯(lián)的計(jì)算安全級(jí)別。再次參照?qǐng)D3中所示出的例子，當(dāng)用戶"A" 302采用 計(jì)算設(shè)備304的時(shí)候，用戶"B，， 306可以經(jīng)由計(jì)算設(shè)備308登錄到網(wǎng)絡(luò) 300上，并且然后開始通過(guò)網(wǎng)絡(luò)300訪問(wèn)資源。用戶"A" 302可以擁有反 映出比用戶"B" 306的用戶安全級(jí)別更大信任的用戶安全級(jí)別，并且用戶 "B" 306在網(wǎng)絡(luò)300上出現(xiàn)的計(jì)算活動(dòng)可以造成用戶"A" 302在網(wǎng)絡(luò)300 上的計(jì)算活動(dòng)的漏洞。作為響應(yīng)，動(dòng)態(tài)安全調(diào)整單元312可以動(dòng)態(tài)地調(diào)整 應(yīng)用于計(jì)算設(shè)備304的計(jì)算安全級(jí)別，從而保護(hù)用戶"A" 302的計(jì)算操作 和活動(dòng)，如下面較為詳細(xì)解釋的。
現(xiàn)參照?qǐng)D4A-4B， 一對(duì)時(shí)間線示出了依照本發(fā)明的設(shè)備的計(jì)算安全級(jí) 別的動(dòng)態(tài)調(diào)整。參照?qǐng)D4A,用戶"A"通過(guò)認(rèn)證操作(例如，通過(guò)出示智 能卡設(shè)備作為聲明用戶身份的安全令牌)先前已經(jīng)登錄到數(shù)據(jù)處理系統(tǒng)和/ 或其網(wǎng)絡(luò)上。用戶"A"在一段時(shí)間周期402內(nèi)持續(xù)采用計(jì)算設(shè)備以及關(guān) 聯(lián)的計(jì)算資源，在此期間，數(shù)據(jù)處理系統(tǒng)已經(jīng)向計(jì)算設(shè)備和/或計(jì)算設(shè)備所
支持的計(jì)算資源分派了計(jì)算安全級(jí)別。
在某個(gè)時(shí)間點(diǎn)404，用戶"B"登錄到相同的數(shù)據(jù)處理系統(tǒng)和/或網(wǎng)絡(luò) 上。從定性的角度，檢查用戶"B"的用戶安全級(jí)別，并且確定用戶"B，， 對(duì)用戶"A"的活動(dòng)造成可能的漏洞。因此，對(duì)于增強(qiáng)應(yīng)用于正由用戶"A，， 使用的計(jì)算設(shè)備的安全預(yù)防措施進(jìn)行確定，從而有希望防止用戶"B"進(jìn) 行對(duì)用戶"A"的活動(dòng)造成傷害的活動(dòng)。
從計(jì)算或定量的角度，可以將用戶"B，，描述為已經(jīng)被分派了相對(duì)低 的用戶安全級(jí)別，例如，低于用戶"A，，的用戶安全級(jí)別。作為響應(yīng)，數(shù) 據(jù)處理系統(tǒng)基于用戶"B"的用戶安全級(jí)別動(dòng)態(tài)地調(diào)整正由用戶"A，，使用 的計(jì)算設(shè)備的計(jì)算安全級(jí)別。新分派的計(jì)算安全級(jí)別在一段時(shí)間周期406 保持有效，直到其再次4皮改變或者直到用戶"A"退出網(wǎng)絡(luò)或數(shù)據(jù)處理系 統(tǒng)。
在圖4A所示的例子中，從時(shí)間周期404到時(shí)間周期406增強(qiáng)了正由 用戶"A"使用的計(jì)算設(shè)備的計(jì)算安全級(jí)別。以這樣的方式，可以將正由 用戶"A"使用的計(jì)算設(shè)備的計(jì)算安全級(jí)別描述為反向相關(guān)于用戶"B"的 用戶安全級(jí)別，盡管并不一定成反比例。因此，如圖4A所示，所述的用 戶"B"具有低用戶安全級(jí)別的事實(shí)引起這樣的響應(yīng)，即，從時(shí)間周期404 到時(shí)間周期406增強(qiáng)了正由用戶"A，，使用的計(jì)算設(shè)備的計(jì)算安全級(jí)別。
參照?qǐng)D4B，示出了不同的時(shí)間線。在時(shí)間周期412之前，用戶"B" 通過(guò)認(rèn)證操作(例如，通過(guò)使用智能卡設(shè)備作為安全令牌或通過(guò)完成諸如 輸入用戶名和關(guān)聯(lián)口令這樣的認(rèn)證詢問(wèn))先前已經(jīng)登錄到數(shù)據(jù)處理泉統(tǒng)和/ 或其網(wǎng)絡(luò)上。用戶"B"在一段時(shí)間周期412持續(xù)采用計(jì)算設(shè)備和關(guān)聯(lián)的 計(jì)算資源。
在某個(gè)時(shí)間點(diǎn)414，用戶"A"登錄到相同的lt據(jù)處理系統(tǒng)和/或網(wǎng)絡(luò) 上。作為響應(yīng)，對(duì)關(guān)于是否應(yīng)當(dāng)增強(qiáng)應(yīng)用于用戶"A"的計(jì)算設(shè)備的計(jì)算 安全級(jí)別進(jìn)行確定。檢查用戶"B"的用戶安全級(jí)別，并且對(duì)用戶"B"對(duì) 用戶"A"的活動(dòng)造成可能的安全漏洞進(jìn)行確定。
在當(dāng)用戶"A"登錄到網(wǎng)絡(luò)上的時(shí)候用戶"B"沒(méi)有在使用網(wǎng)絡(luò)的情況
下，例如，如圖4A中所示，數(shù)據(jù)處理系統(tǒng)會(huì)向用戶"A，，的計(jì)算i更備和/ 或計(jì)算設(shè)備所支持的計(jì)算資源分派初始計(jì)算安全級(jí)別；該初始計(jì)算安全級(jí) 別將反映缺乏安全漏洞，因?yàn)橛脩?B"并未登錄到網(wǎng)絡(luò)或數(shù)據(jù)處理系統(tǒng) 上。
然而，假設(shè)當(dāng)用戶"A"登錄到網(wǎng)絡(luò)的時(shí)候在時(shí)間414處用戶"B，，已 經(jīng)登錄到網(wǎng)絡(luò)上，數(shù)據(jù)處理系統(tǒng)基于用戶"B"的用戶安全級(jí)別向正由用 戶"A"使用的計(jì)算設(shè)備動(dòng)態(tài)地分》)M目對(duì)增強(qiáng)的計(jì)算安全級(jí)別。新分派的、 相對(duì)較高的計(jì)算安全級(jí)別在一段時(shí)間周期416保持有效，直到其再次被改 變或者直到用戶"A"退出網(wǎng)絡(luò)或數(shù)據(jù)處理系統(tǒng)。
換句話說(shuō)，在圖4B所示出的例子中，基于用戶"B"的用戶安全級(jí)別， 在時(shí)間周期416期間對(duì)正由用戶"A"使用的計(jì)算設(shè)備的計(jì)算安全級(jí)別進(jìn) 行初始分派。以這樣的方式，可以將正由用戶"A"使用的計(jì)算設(shè)備的計(jì) 算安全級(jí)別描述為反向相關(guān)于用戶"B，，的用戶安全級(jí)別，盡管并不一定 成反比例。因此，如圖4B中所示，所述的用戶"B"具有低用戶安全級(jí)別 的事實(shí)引起這樣的響應(yīng)，即，在時(shí)間周期416期間增強(qiáng)了正由用戶"A，， 使用的計(jì)算設(shè)備的計(jì)算安全級(jí)別。
現(xiàn)參照?qǐng)D4C-4D， 一對(duì)示圖描繪了給定用戶的用戶安全級(jí)別與給定計(jì) 算資源的計(jì)算安全級(jí)別之間的逆反關(guān)系。示圖將給定用戶的用戶安全級(jí)別 示為沿水平軸的變量，并且將給定計(jì)算資源的計(jì)算安全級(jí)別示為沿垂直軸 的變量。關(guān)于水平軸，當(dāng)給定用戶被定性地估計(jì)為安全風(fēng)險(xiǎn)或漏洞的時(shí)候， 該給定用戶就被定量地分派較低數(shù)字的用戶安全級(jí)別。關(guān)于垂直軸，當(dāng)給 定資源被估計(jì)為易受給定用戶的活動(dòng)危害的時(shí)候，該給定資源就被定性地 估計(jì)為要求提高的安全級(jí)別，并且該給定資源被定量地分派較高數(shù)字的計(jì) 算安全級(jí)別。
具有逆反關(guān)系的示圖中的表示示出了呈現(xiàn)較高安全風(fēng)險(xiǎn)(或等效地， 較低安全信任級(jí)別)的用戶要求對(duì)給定計(jì)算資源斷言較高或較全面的安全 響應(yīng)或防御。當(dāng)增加給定用戶的用戶安全級(jí)別時(shí)，給定計(jì)算資源的計(jì)算安 全級(jí)別便降低。
因此，在本發(fā)明的實(shí)現(xiàn)中，給定計(jì)算資源的計(jì)算安全級(jí)別與給定用戶
的用戶安全級(jí)別反向相關(guān)；在示圖中以不同的方式對(duì)該逆反關(guān)系進(jìn)行了說(shuō) 明。參照?qǐng)D4C,將該逆反關(guān)系示為單調(diào)函數(shù)；在本發(fā)明的實(shí)施例中，該逆 反關(guān)系可以作為與變量反向相關(guān)的可配置函數(shù)來(lái)實(shí)現(xiàn)。參照?qǐng)D4D,將該逆 反關(guān)系示為一系列離散的點(diǎn)；在本發(fā)明的實(shí)施例中，該逆反關(guān)系可以作為 通過(guò)查找表定義的函數(shù)來(lái)實(shí)現(xiàn)。還可以實(shí)現(xiàn)用于將用戶安全級(jí)別映射到計(jì) 算安全級(jí)別的其它方法。
現(xiàn)參照?qǐng)D5,依照本發(fā)明的實(shí)施例，流程圖描繪了用于收集對(duì)確定用 戶安全級(jí)別造成影響的信息的過(guò)程。該過(guò)程在數(shù)據(jù)處理系統(tǒng)的用戶已經(jīng)登 錄到該數(shù)據(jù)處理系統(tǒng)內(nèi)的計(jì)算設(shè)備之后開始，并且當(dāng)用戶訪問(wèn)計(jì)算資源時(shí)， 數(shù)據(jù)處理系統(tǒng)開始監(jiān)控網(wǎng)絡(luò)操作或用戶的其它活動(dòng)(步驟502)?？梢栽?計(jì)算設(shè)備上進(jìn)行該監(jiān)控操作，其中，用戶在該計(jì)算設(shè)備上與人機(jī)接口交互， 或者可以在任何點(diǎn)、在網(wǎng)絡(luò)內(nèi)可以監(jiān)控用戶的活動(dòng)的其它地方進(jìn)行該監(jiān)控 操作。
在用戶的會(huì)活期間，該監(jiān)控操作繼續(xù)，并且在本地(例如，在本地高 速緩存內(nèi))記錄被確定處于危險(xiǎn)的安全相關(guān)活動(dòng)的任何網(wǎng)絡(luò)相關(guān)的操作或 其它活動(dòng)(步驟504)?？梢酝ㄟ^(guò)策略數(shù)據(jù)庫(kù)預(yù)先確定和/或配置對(duì)于從安 全角度來(lái)看可能有問(wèn)題的操作的確定，從而允許依照策略中所指定的可配 置規(guī)則或條件來(lái)標(biāo)記某些有問(wèn)題的操作，而與此同時(shí)過(guò)濾所有可能有問(wèn)題 的操作或可疑活動(dòng)，如下面較為詳細(xì)描述的。當(dāng)用戶的會(huì)話終止的時(shí)候， 將會(huì)話期間的日志活動(dòng)存儲(chǔ)在適當(dāng)?shù)臄?shù)據(jù)存儲(chǔ)器中(步驟506)。
在某個(gè)點(diǎn)，將會(huì)話期間或在多個(gè)會(huì)話上的日志活動(dòng)才艮告給集中式數(shù)據(jù) 庫(kù)進(jìn)行存儲(chǔ)和處理(步驟508)，并且該過(guò)程結(jié)束。依照進(jìn)度或響應(yīng)于對(duì) 這樣做的提示，可以以各種方式(例如，立即、周期性地)報(bào)告日志信息。 可選地，可以以實(shí)時(shí)方式實(shí)現(xiàn)該過(guò)程，以便當(dāng)檢測(cè)到可能有問(wèn)題的操作或 可疑活動(dòng)并且然后在集中式數(shù)據(jù)庫(kù)內(nèi)記錄的時(shí)候，將對(duì)于它們的檢測(cè)報(bào)告 給中央位置。
現(xiàn)參照?qǐng)D6，依照本發(fā)明的實(shí)施例，流程圖描繪了在其中分析先前記
錄的用戶活動(dòng)以影響對(duì)特定用戶的用戶安全級(jí)別的確定的過(guò)程。該過(guò)程通
過(guò)檢索特定用戶的用戶安全級(jí)別的當(dāng)前值而開始(步驟602)。圖6中示 出的過(guò)程描繪了對(duì)于特定用戶的用戶安全級(jí)別的更新操作；然而，通過(guò)將 空會(huì)話日志與用戶關(guān)聯(lián)并且然后作為好像已經(jīng)對(duì)至少一個(gè)會(huì)話(其導(dǎo)致有 問(wèn)題的活動(dòng)的空集)監(jiān)控了用戶的聯(lián)網(wǎng)活動(dòng)，會(huì)實(shí)現(xiàn)類似的過(guò)程來(lái)生成特 定用戶的用戶安全級(jí)別的初始值，例如，當(dāng)新用戶已經(jīng)在數(shù)據(jù)處理系統(tǒng)內(nèi) 注冊(cè)的時(shí)候。
然后編譯和分析所記錄的特定用戶的可能有問(wèn)題的操作或可疑活動(dòng)的 會(huì)話日志(步驟604 ),并且該特定用戶的新的或修改的用戶安全級(jí)別凈皮 計(jì)算(步驟606)，并且然后被與有關(guān)該用戶的其它信息相關(guān)聯(lián)地存儲(chǔ)， 由此結(jié)束該過(guò)程。依照使用控制輸入?yún)?shù)的預(yù)先確定的和/或可配置的算法 或者依照各種可配置的條件和/或規(guī)則，可以進(jìn)行對(duì)有問(wèn)題的安全相關(guān)操作 的分析；可以從策略數(shù)據(jù)庫(kù)中的策略檢索用于分析的配置信息，如下面較 為詳細(xì)描述的。
現(xiàn)參照?qǐng)D7A-7G，依照本發(fā)明的實(shí)施例， 一組框圖描繪了數(shù)據(jù)處理系 統(tǒng)中用于支持對(duì)安全級(jí)別的動(dòng)態(tài)調(diào)整的組件?，F(xiàn)參照?qǐng)D7A,網(wǎng)絡(luò)700支持 多個(gè)計(jì)算設(shè)備和軟件應(yīng)用。安全管理應(yīng)用702提供集中式控制用于支持關(guān) 于物理安全操作和計(jì)算安全操作的管理動(dòng)作。安全管理應(yīng)用702駐留于較 大的數(shù)據(jù)處理系統(tǒng)內(nèi)，其中一些并未在圖中示出。舉例來(lái)說(shuō)，認(rèn)證服務(wù)器 檢驗(yàn)數(shù)據(jù)處理系統(tǒng)的用戶的身份。應(yīng)用服務(wù)器提供對(duì)于執(zhí)行由那些用戶所 使用的應(yīng)用的支持。授權(quán)服務(wù)器確定用戶是否被授權(quán)訪問(wèn)諸如應(yīng)用服務(wù)器 的計(jì)算資源。
安全管理應(yīng)用702集成來(lái)自各種類型的安全子系統(tǒng)的^作。安全管理 應(yīng)用702含有用于支持其操作的特定方面的各種類型的組件或模塊。操作 員接口模塊704支持進(jìn)行管理的用戶的用戶接口。網(wǎng)絡(luò)安全控制模塊706 支持關(guān)于網(wǎng)絡(luò)安全的特定操作。物理告警控制模塊708提供對(duì)于報(bào)告和取 消物理告警的支持。安全管理應(yīng)用702可以要求輸入各種類型的數(shù)據(jù)，其 可以存儲(chǔ)在任何適當(dāng)?shù)臄?shù)據(jù)存儲(chǔ)器中用戶注冊(cè)表710;策略數(shù)據(jù)庫(kù)712;
以及計(jì)算資源數(shù)據(jù)庫(kù)714，在下面對(duì)其每一個(gè)均進(jìn)行了較為詳細(xì)的描述。
以類似于圖3的方式，網(wǎng)絡(luò)700支持被配置成與安全順應(yīng)服務(wù)器交互 的兩個(gè)計(jì)算設(shè)備?？蛻魴C(jī)716含有網(wǎng)絡(luò)安全監(jiān)控代理718，其含有過(guò)濾策 略720和高速緩存活動(dòng)日志722的副本。客戶機(jī)716還含有典型的防火墻 724，其具有可配置的防火墻參數(shù)設(shè)置726。以類似的方式，客戶機(jī)728也 含有網(wǎng)絡(luò)安全監(jiān)控代理730，其含有過(guò)濾策略732和高速緩存活動(dòng)日志734 的副本?？蛻魴C(jī)728還含有典型的防火墻736，其具有可配置的防火墻參 數(shù)設(shè)置738。網(wǎng)絡(luò)安全監(jiān)控代理與安全順應(yīng)服務(wù)器740交互，安全順應(yīng)服 務(wù)器740支持動(dòng)態(tài)安全級(jí)別調(diào)整模塊742，其維護(hù)用戶日志數(shù)據(jù)庫(kù)744。應(yīng) 當(dāng)注意，可以從數(shù)據(jù)處理系統(tǒng)內(nèi)的附加源收集關(guān)于網(wǎng)絡(luò)相關(guān)活動(dòng)的信息。 舉例來(lái)說(shuō)，代理服務(wù)器746也含有網(wǎng)絡(luò)安全監(jiān)控代理748 。
如以上關(guān)于圖5和圖6所描述的，數(shù)據(jù)處理系統(tǒng)內(nèi)的客戶機(jī)716、客 戶機(jī)718以及其它類似配置的計(jì)算設(shè)備與安全順應(yīng)服務(wù)器740交互，以便 收集關(guān)于那些計(jì)算設(shè)備的用戶的網(wǎng)絡(luò)相關(guān)活動(dòng)的信息。舉例來(lái)說(shuō)，安全順 應(yīng)服務(wù)器740通過(guò)向網(wǎng)絡(luò)安全監(jiān)控代理718發(fā)送過(guò)濾策略720的副本來(lái)配 置客戶機(jī)716，過(guò)濾策略720的副本含有當(dāng)特定用戶(例如，用戶"A") 正在操作客戶機(jī)716時(shí)，將要針對(duì)客戶機(jī)716的網(wǎng)絡(luò)相關(guān)活動(dòng)進(jìn)行檢查的 規(guī)則和/或條件。將可能有問(wèn)題的活動(dòng)記錄在高速緩存活動(dòng)日志722中，其 被偶而發(fā)送給動(dòng)態(tài)安全級(jí)別調(diào)整模塊742以便被編譯到用戶日志數(shù)據(jù)庫(kù) 744中。網(wǎng)絡(luò)安全監(jiān)控代理718可以直接監(jiān)控網(wǎng)絡(luò)操作，或者網(wǎng)絡(luò)安全監(jiān) 控代理718可以通過(guò)從直接監(jiān)控網(wǎng),作的其它源(例如，防火墻應(yīng)用724 ) 收集日志信息來(lái)間接監(jiān)控網(wǎng),作。
盡管圖5和圖6描述了用于收集用來(lái)計(jì)算用戶安全級(jí)別的信息的過(guò)程， 然而本發(fā)明還可以從包括外部源750在內(nèi)的其它地方獲得或檢索用戶安全 級(jí)別。外部源可以是含有很多人的用戶安全級(jí)別的數(shù)據(jù)庫(kù)或類似的數(shù)據(jù)存 儲(chǔ)器。外部源可以由政府機(jī)構(gòu)操作，例如，維護(hù)有關(guān)已判罪犯(特別是已 經(jīng)4皮發(fā)現(xiàn)犯有計(jì)算樹目關(guān)罪行的罪犯)的信息的執(zhí)法機(jī)構(gòu)。在其它情況下， 外部源可以是在付費(fèi)基礎(chǔ)上提供電子信息服務(wù)的商業(yè)公司。在任何情況下，
都可以從外部源獲得用戶安全級(jí)別，除了在數(shù)據(jù)處理系統(tǒng)內(nèi)收集的信息之 外還可以對(duì)其進(jìn)行使用，或者可能依賴于外部源并且由此不需要數(shù)據(jù)處理 系統(tǒng)通過(guò)過(guò)濾網(wǎng)絡(luò)相關(guān)活動(dòng)來(lái)確定用戶安全級(jí)別。
現(xiàn)參照?qǐng)D7B，策略數(shù)據(jù)庫(kù)712含有可以用于指導(dǎo)關(guān)于安全級(jí)別的操作 的一些策略的附加細(xì)節(jié)。策略數(shù)據(jù)庫(kù)712 (可以通過(guò)安全順應(yīng)^^務(wù)器702 以及諸如授權(quán)服務(wù)器的其它服務(wù)器對(duì)其進(jìn)行訪問(wèn))含有可配置以控制整個(gè) 數(shù)據(jù)處理系統(tǒng)的各個(gè)方面的操作的各種類型的策略。 一般而言，策略指定 將要針對(duì)一組輸入?yún)?shù)進(jìn)行檢查的規(guī)則或條件，以便確定當(dāng)給定事件發(fā)生 或當(dāng)擔(dān)保情況(warranted circumstances)出現(xiàn)的時(shí)4吳是否應(yīng)當(dāng)采取指定 的措施。所說(shuō)明的策略僅僅是示例性的，并且可以在策略數(shù)據(jù)庫(kù)712中存 儲(chǔ)其它的策略。
可以將通用授權(quán)策略751應(yīng)用于所有用戶，例如，屬于工作進(jìn)度的各 種企業(yè)范圍的策略。用戶授權(quán)策略752可以含有用于個(gè)人的獨(dú)特策略，例 如，僅會(huì)應(yīng)用于給定人的特定策略，從而使得系統(tǒng)管理應(yīng)用能夠在個(gè)體的 基礎(chǔ)上處理雇員或其它人的需要。資源安全策略753是這樣的策略，即其 屬于在設(shè)備及其資源的各個(gè)方面上的條件，以瓦基于計(jì)算安全級(jí)別可以準(zhǔn) 許或拒絕對(duì)該設(shè)備上的特定資源的訪問(wèn)的方式。應(yīng)用安全策略754是這樣 的策略，即其屬于在各種軟件應(yīng)用上的條件，以及可以準(zhǔn)許或拒絕對(duì)應(yīng)用 的訪問(wèn)的方式。
網(wǎng)絡(luò)相關(guān)活動(dòng)過(guò)濾策略755用于過(guò)濾網(wǎng)絡(luò)相關(guān)操作，以便確定網(wǎng)絡(luò)相 關(guān)操作是否對(duì)數(shù)據(jù)處理系統(tǒng)造成安全漏洞；如果是的話，那么記錄并報(bào)告 該活動(dòng)。舉例來(lái)說(shuō)，用于未授權(quán)應(yīng)用756的策略檢測(cè)未授權(quán)應(yīng)用是否正在 計(jì)算設(shè)備上執(zhí)行和/或從該計(jì)算設(shè)備訪問(wèn)網(wǎng)絡(luò)；安裝在設(shè)備上的未授權(quán)應(yīng)用 還沒(méi)有被徹底地檢查或測(cè)試以確定其行為是否可能造成設(shè)備專有或網(wǎng)絡(luò)范 圍的安全問(wèn)題。用于非法下載757的策略檢測(cè)計(jì)算資源是否正被用于從網(wǎng) 絡(luò)非法下載內(nèi)容，例如，具體而言，從因特網(wǎng)下載音樂(lè)或視頻內(nèi)容。用于 非保密端口使用758的策略檢測(cè)計(jì)算設(shè)備上的各種端口是否已經(jīng)被開啟和/ 或用于通信，已知其發(fā)生在各種惡意攻擊中，并且可以指示i殳備上存在惡
意軟件。用于標(biāo)記的Web站點(diǎn)759的策略檢測(cè)設(shè)備是否正被用于訪問(wèn)因特 網(wǎng)上已經(jīng)被特別標(biāo)記為對(duì)用戶來(lái)說(shuō)禁止入內(nèi)的Web站點(diǎn)。用于過(guò)度通信資 源使用760的策略檢測(cè)是否正以過(guò)度的方式在網(wǎng)絡(luò)上使用設(shè)備，其可以指 示設(shè)備或資源用于未授權(quán)活動(dòng)。
采用用戶安全級(jí)別確定策略761來(lái)基于關(guān)于用戶的網(wǎng)絡(luò)相關(guān)活動(dòng)的日 志信息為用戶計(jì)算用戶安全級(jí)別，如下面較為詳細(xì)描述的。采用計(jì)算安全 級(jí)別確定策略762來(lái)基于數(shù)據(jù)處理系統(tǒng)內(nèi)當(dāng)前正在使用網(wǎng)絡(luò)的用戶的用戶 安全級(jí)別為計(jì)算資源計(jì)算計(jì)算安全級(jí)別。如圖所示的本發(fā)明的實(shí)現(xiàn)的例子 被描述為在為計(jì)算資源計(jì)算計(jì)算安全級(jí)別的時(shí)候考慮了單個(gè)用戶的用戶安 全級(jí)別。然而，應(yīng)當(dāng)注意到，計(jì)算資源的計(jì)算安全級(jí)別可以基于多個(gè)用戶 的用戶安全級(jí)別，由此聚合對(duì)多個(gè)用戶造成的安全風(fēng)險(xiǎn)的估計(jì)。
現(xiàn)參照?qǐng)D7C，提供了可以存儲(chǔ)在用戶注冊(cè)表數(shù)據(jù)庫(kù)710內(nèi)的一些信息 的附加細(xì)節(jié)。使用數(shù)據(jù)處理系統(tǒng)內(nèi)的計(jì)算資源的每個(gè)人都可以被假設(shè)在用 戶注冊(cè)表數(shù)據(jù)庫(kù)710內(nèi)具有個(gè)人條目；個(gè)人條目770含有關(guān)于特定用戶的 信息。用戶ID 771是個(gè)人用于進(jìn)行認(rèn)證操作的唯一標(biāo)識(shí)符。組成員關(guān)系 772指示個(gè)人所屬的組，例如項(xiàng)目、團(tuán)體部門等。角色成員關(guān)系773指示 可以由個(gè)人實(shí)現(xiàn)的角色的類型，例如監(jiān)督者或受監(jiān)督的雇員。用戶安全級(jí) 別774是對(duì)個(gè)人的當(dāng)前用戶安全級(jí)別的指示；用戶安全級(jí)別774可以由數(shù) 值或其它類型的數(shù)據(jù)來(lái)表示，以便提供對(duì)已經(jīng)通過(guò)檢查用戶的網(wǎng)絡(luò)相關(guān)活 動(dòng)而估計(jì)的用戶安全風(fēng)險(xiǎn)的指示。當(dāng)創(chuàng)建個(gè)人條目770的時(shí)候，可以向用 戶分派初始用戶安全級(jí)別；初始用戶安全級(jí)別可以永久地存儲(chǔ)在個(gè)人條目 770中或其它地方以便在特定環(huán)境中使用，例如，在其中對(duì)于給定用戶的 用戶安全級(jí)別來(lái)說(shuō)需要缺省值的系統(tǒng)重置或其它情況。
現(xiàn)參照?qǐng)D7D，提供了可以存儲(chǔ)在計(jì)算資源數(shù)據(jù)庫(kù)714內(nèi)的一些信息的 附加細(xì)節(jié)，計(jì)算資源數(shù)據(jù)庫(kù)714提供了關(guān)于數(shù)據(jù)處理系統(tǒng)內(nèi)的計(jì)算資源(例 如，膝上型計(jì)算機(jī)、臺(tái)式計(jì)算機(jī)、打印機(jī)、防火墻，以及其它硬件和軟件 資源)的信息。計(jì)算資源數(shù)據(jù)庫(kù)714可以含有用于每個(gè)計(jì)算資源的條目； 資源條目775可以含有資源ID 776、資源類型指示符777，以及如果可應(yīng)
用的話，資源位置778。計(jì)算安全級(jí)別779是對(duì)資源的當(dāng)前計(jì)算安全級(jí)別 的指示；計(jì)算安全級(jí)別779可以由數(shù)值或其它類型的數(shù)據(jù)來(lái)表示，以<更提 供對(duì)安全保護(hù)的指示，其中，該安全保護(hù)正被應(yīng)用到資源以保護(hù)其免受可 能通過(guò)網(wǎng)絡(luò)引入的漏洞的危害。當(dāng)確定需要修改資源的計(jì)算安全級(jí)別時(shí)， 便需要修改該資源的安全參數(shù)設(shè)置780，以便增加或降低該資源的安全級(jí) 別；計(jì)算資源數(shù)據(jù)庫(kù)714內(nèi)的信息可以提供這樣的信息，即需要該信息來(lái) 選捧指示了待決定的適當(dāng)動(dòng)作的適當(dāng)策略，以便確定是否需要修改資源的
計(jì)算安全級(jí)別。當(dāng)創(chuàng)建資源條目775的時(shí)候，可以向資源分派初始計(jì)算安 全級(jí)別；初始計(jì)算安全級(jí)別可以永久地存儲(chǔ)在資源條目775中或其它地方 以^更在特定環(huán)境中使用，例如，在其中對(duì)于給定資源的計(jì)算安全級(jí)別來(lái)說(shuō) 需要缺省值的系統(tǒng)重置或其它情況。
現(xiàn)參照?qǐng)D7E，用戶安全級(jí)別確定策略782是圖7B中所示出的用戶安 全級(jí)別確定策略761之一的例子。策略782含有用于當(dāng)特定時(shí)幀內(nèi)的用戶 活動(dòng)的日志指示開啟了非保密通信端口時(shí)(其可能潛在地允許惡意軟件或 病毒侵染設(shè)備并且由此在整個(gè)網(wǎng)絡(luò)上傳播)，將用戶的用戶安全級(jí)別指示 符設(shè)置成最大值的單個(gè)規(guī)則。
現(xiàn)參照?qǐng)D7F，計(jì)算安全級(jí)別確定策略784是圖7B中所示出的計(jì)算安 全級(jí)別確定策略762之一的例子。策略784含有用于為特定設(shè)備設(shè)置計(jì)算 安全級(jí)別指示符的單個(gè)規(guī)則；在該例中，該規(guī)則含有與以下有關(guān)的信息 觸發(fā)對(duì)規(guī)則的評(píng)估的事件、由觸發(fā)事件的用戶造成的風(fēng)險(xiǎn)的級(jí)別，以及正 在使用對(duì)其計(jì)算安全級(jí)別進(jìn)行修改的設(shè)備的用戶的類型。策略的規(guī)則檢查 用戶正登錄到網(wǎng)絡(luò)上并且該用戶擁有高用戶安全級(jí)別；另夕卜，該規(guī)則檢查 特定設(shè)備的用戶已經(jīng)被標(biāo)記為屬于新用戶組。如果這些條件為真，那么將 設(shè)備的計(jì)算安全級(jí)別設(shè)置成特殊的缺省最大級(jí)別。
現(xiàn)參照?qǐng)D7G，資源安全策略786是圖7B中所示出的資源安全策略753 之一的例子。策略784含有用于基于當(dāng)前分派給設(shè)備的計(jì)算安全級(jí)別(其 在該例中被設(shè)置成特殊的缺省最大級(jí)別)來(lái)設(shè)置特定設(shè)備的各種可配置的 安全相關(guān)參數(shù)的單個(gè)規(guī)則。該規(guī)則指定在當(dāng)前分派給設(shè)備的計(jì)算安全級(jí)別等于特殊的缺省最大級(jí)別的時(shí)候， <更應(yīng)當(dāng)在該設(shè)備上實(shí)現(xiàn)各種動(dòng)作以增加 其抵抗試圖阻礙其安全防御的能力。舉例來(lái)說(shuō)，在該設(shè)備上執(zhí)行的防火墻 的參數(shù)應(yīng)當(dāng)將其^設(shè)置成其最限制的值，從而確保防火墻正標(biāo)記和/或停 止可能稍微不正當(dāng)?shù)娜魏位顒?dòng)。另外，致使特定的通信協(xié)議不可訪問(wèn)或不 可操作，從而防止惡意代碼的傳送或防止在當(dāng)前情況下不可接受的一些其 它的活動(dòng)。此外，在當(dāng)前情況下阻止所有的郵件檢索，從而防止用戶(特 別是初學(xué)者用戶)不注意而接受了具有惡意附件的電子郵件消息。
現(xiàn)參照?qǐng)D8，依照本發(fā)明的實(shí)施例，流程圖描繪了在其中網(wǎng)絡(luò)上的用 戶活動(dòng)可以觸發(fā)對(duì)網(wǎng)絡(luò)內(nèi)現(xiàn)用資源的計(jì)算安全級(jí)別值的動(dòng)態(tài)調(diào)整的過(guò)程。 圖8中所示出的過(guò)程描繪了對(duì)聯(lián)網(wǎng)數(shù)據(jù)處理系統(tǒng)內(nèi)資源的計(jì)算安全級(jí)別值 的更新操作。然而，當(dāng)初始化計(jì)算資源時(shí)，例如通過(guò)分派缺省的計(jì)算安全 級(jí)別值或通過(guò)檢查網(wǎng)絡(luò)的當(dāng)前用戶的用戶安全級(jí)別，會(huì)實(shí)現(xiàn)類似的過(guò)程來(lái) 生成特定計(jì)算資源的計(jì)算安全級(jí)別的初始值。
該過(guò)程通過(guò)檢測(cè)特定用戶的網(wǎng)絡(luò)活動(dòng)中的觸發(fā)事件而開始(步驟 802)?？梢约僭O(shè)僅將相對(duì)小數(shù)目的事件(例如，登錄和注銷操作)預(yù)先確 定為觸發(fā)事件，從而明顯降低實(shí)現(xiàn)圖8中所示出的過(guò)程的頻率。作為響應(yīng)， 對(duì)于數(shù)據(jù)處理系統(tǒng)內(nèi)的其他用戶現(xiàn)行使用的一些計(jì)算資源，進(jìn)行對(duì)其計(jì)算 安全級(jí)別值的重新評(píng)估。那些資源的計(jì)算安全級(jí)別值被動(dòng)態(tài)地計(jì)算和/或調(diào) 整，并且然后被分派和/或存儲(chǔ)(步驟804 )。然后基于新調(diào)整的計(jì)算安全 級(jí)別值，為受影響的資源確定新的和/或修改的安全M集(步驟806)。
然后依照新的或修改的安全參數(shù)來(lái)配置和/或重新配置受影響的資源 (步驟808)，此后，受影響的資源將以該方式操作直到再次修改其安全 參數(shù)?？梢酝ㄖ谑褂镁哂袆?dòng)態(tài)調(diào)整過(guò)的計(jì)算安全級(jí)別值的這些受影響 的資源的用戶(步驟810),因?yàn)橛脩艨赡茏⒁獾劫Y源開始具有不同的行 為表現(xiàn)，由此結(jié)束該過(guò)程。
鑒于以上提供的詳細(xì)描述，本發(fā)明的優(yōu)點(diǎn)應(yīng)當(dāng)是顯而易見的，但是圖 5、圖6和圖8中所示出的過(guò)程以及圖7A-7G中所示出的組件可以通過(guò)例 子而相關(guān)。第一用戶，用戶"A",可以使用數(shù)據(jù)處理系統(tǒng)內(nèi)的各種計(jì)算
資源；特別地，用戶"A"可以采用計(jì)算機(jī)以及該計(jì)算機(jī)上所支持的各種 資源，例如防火墻應(yīng)用、郵件應(yīng)用、在線聊天應(yīng)用，以及其它應(yīng)用。用戶 安全級(jí)別與用戶"A"相關(guān)聯(lián)，并且計(jì)算安全級(jí)別與用戶"A，，正在4吏用的 一些計(jì)算資源相關(guān)聯(lián)。當(dāng)用戶"A"正采用那些計(jì)算資源的時(shí)候，用戶"A" 的任何可能有問(wèn)題的網(wǎng)絡(luò)活動(dòng)都被記錄用于隨后確定用戶"A"的用戶安 全級(jí)別，如關(guān)于圖5所描述的。各種網(wǎng)絡(luò)活動(dòng)過(guò)濾策略可以用于確定應(yīng)當(dāng) 被歸類為可能有問(wèn)題的網(wǎng)絡(luò)活動(dòng)的網(wǎng)絡(luò)操作。集中式用戶日志數(shù)據(jù)庫(kù)內(nèi)的 信息用于為數(shù)據(jù)處理系統(tǒng)內(nèi)計(jì)算資源的用戶來(lái)計(jì)算用戶安全級(jí)別，如關(guān)于 圖6所描述的。各種用戶安全級(jí)別確定策略可以用于將適當(dāng)?shù)挠脩舭踩?jí) 別值與用戶"A"相關(guān)聯(lián)。
在某個(gè)時(shí)間點(diǎn)，用戶"B"可以登錄到網(wǎng)絡(luò)上，并且由于登錄操作用 信號(hào)通知網(wǎng)絡(luò)上新出現(xiàn)用戶，于是，在當(dāng)用戶登錄到網(wǎng)絡(luò)上時(shí)的當(dāng)前時(shí)幀 內(nèi)將首次檢查用戶"B，，的用戶安全級(jí)別。換句話說(shuō)， 一旦有特定用戶的 特定觸發(fā)事件，例如用戶"B"的登錄操作，就使用用戶安全級(jí)別來(lái)確定 由諸如用戶"A，，這樣的用戶正在使用的計(jì)算設(shè)備的適當(dāng)?shù)挠?jì)算安全級(jí)別， 如關(guān)于圖8所描述的；諸如網(wǎng)絡(luò)注銷事件的其它觸發(fā)事件可以具有相反的 效果。在該例中，用戶"B，，可以具有提高的用戶安全級(jí)別，其指示用戶
"B"先前已經(jīng)與某個(gè)有問(wèn)題的網(wǎng)絡(luò)活動(dòng)相關(guān)聯(lián)。使用用戶"B，，的登錄操 作作為觸發(fā)事件，以便重新評(píng)估用戶"A"現(xiàn)行使用的資源的計(jì)算安全級(jí) 別，各種計(jì)算安全級(jí)別確定策略可以用于將適當(dāng)?shù)挠?jì)算安全級(jí)別值與用戶
"A"正在使用的任何資源相關(guān)聯(lián)。
此外，可以采用各種資源安全策略來(lái)為修改資源的安全確定適當(dāng)?shù)捻?應(yīng)，以便依照其新分派的計(jì)算安全級(jí)別來(lái)行動(dòng)。舉例來(lái)說(shuō)，可以通過(guò)具有 一組修改的防火墻參數(shù)設(shè)置726的動(dòng)態(tài)重新配置的防火墻724來(lái)動(dòng)態(tài)調(diào)整 客戶機(jī)716的計(jì)算安全級(jí)別，或者更具體地，防火墻應(yīng)用。當(dāng)被確定為必 要時(shí)，例如，如可配置策略中所指定的，動(dòng)態(tài)安全級(jí)別調(diào)整模塊742可以 向客戶機(jī)716發(fā)送新的防火墻#設(shè)置726,例如，通過(guò)網(wǎng)絡(luò)安全監(jiān)控代 理718、通過(guò)防火墻應(yīng)用中的機(jī)制，或者通過(guò)支持客戶機(jī)716的操作系統(tǒng)
中的機(jī)制。
可以認(rèn)為用戶"B"的網(wǎng)絡(luò)相關(guān)活動(dòng)是可能有問(wèn)題的。作為響應(yīng)，為 了保護(hù)用戶"A"的計(jì)算環(huán)境，可以提高對(duì)用戶"A，，正在使用的計(jì)算資源 的特定計(jì)算防御，以便保護(hù)用戶"A，，的工作環(huán)境。盡管有可能可以通過(guò) 直接修改用戶"B，，的計(jì)算活動(dòng)而以某種方式停止用戶"B，，的行為，而這 將保護(hù)用戶"A"的工作環(huán)境，然而本發(fā)明提供了獨(dú)特的解決方案。
重要的是要注意到，雖然已經(jīng)在全功能的數(shù)據(jù)處理系統(tǒng)的上下文中描 述了本發(fā)明，但是本領(lǐng)域的普通技術(shù)人員將理解與本發(fā)明相關(guān)聯(lián)的一些過(guò) 程能夠以計(jì)算機(jī)可讀介質(zhì)中的指令的形式以及各種其它的形式分布，而與 實(shí)際用于實(shí)現(xiàn)該分布的信號(hào)承載介質(zhì)的特定類型無(wú)關(guān)。計(jì)算機(jī)可讀介質(zhì)的 例子包括諸如EPROM、 ROM、磁帶、紙、軟盤、硬盤驅(qū)動(dòng)、RAM和 CD-ROM的介質(zhì)以及諸如數(shù)字和模擬通信鏈路的傳輸型介質(zhì)。
可以將特定的計(jì)算任務(wù)描述為由功能單元實(shí)現(xiàn)。功能單元可以由例程、 子例程、過(guò)程、子過(guò)程、程序、函數(shù)、方法、面向?qū)ο蟮膶?duì)象、軟件才莫塊、 小應(yīng)用程序(applet)、插件、ActiveX 控件、腳本或用于實(shí)現(xiàn)計(jì)算任務(wù) 的軟件或固件的一些其它的組件來(lái)表示。
附圖中的元件的描述可以涉M戶機(jī)設(shè)備或客戶機(jī)設(shè)備的用戶的特定 動(dòng)作。本領(lǐng)域的普通技術(shù)人員將理解，來(lái)自客戶機(jī)設(shè)備的請(qǐng)求和/或響應(yīng)/ 通往客戶機(jī)設(shè)備的請(qǐng)求和/或響應(yīng)有時(shí)由用戶并且在其它時(shí)候常常由
客戶機(jī)代"戶機(jī)的用戶自動(dòng)發(fā)起。因此，當(dāng)在附圖的描述中提^戶機(jī) 或客戶機(jī)的用戶的時(shí)候，應(yīng)當(dāng)理解術(shù)語(yǔ)"客戶機(jī)"和"用戶"常常是可以 互換使用的，而不在實(shí)質(zhì)上影響所描述的過(guò)程的含義。
文中對(duì)附圖的描述可以涉及在各種組件之間的信息交換，并且可以將 信息的交換描述為通過(guò)消息的交換來(lái)實(shí)現(xiàn)，例如，請(qǐng)求消息之后是響應(yīng)消 息。應(yīng)當(dāng)注意，在適當(dāng)?shù)臅r(shí)候，計(jì)算組件之間的信息的交換(其可以包括 同步或異步請(qǐng)求/響應(yīng)交換)可以通過(guò)諸如消息、方法調(diào)用、遠(yuǎn)程過(guò)程調(diào)用、 事件信令或其它機(jī)制的各種數(shù)據(jù)交換機(jī)制來(lái)等效地實(shí)現(xiàn)。
已經(jīng)出于說(shuō)明的目的給出了對(duì)本發(fā)明的描述，但并不旨在以所公開的
實(shí)施例來(lái)窮舉或限制本發(fā)明。對(duì)本領(lǐng)域的普通技術(shù)人員來(lái)說(shuō)，很多修改和 變形將是顯而易見的。選擇實(shí)施例是為了解釋本發(fā)明的原理及其實(shí)際應(yīng)用， 以及使本領(lǐng)域的其他普通技術(shù)人員能夠理解本發(fā)明，以便實(shí)現(xiàn)可能適于其 它預(yù)期用途的具有各種修改的各種實(shí)施例。
權(quán)利要求
1.一種用于使得關(guān)于數(shù)據(jù)處理系統(tǒng)中的一組計(jì)算資源的操作安全的方法，所述方法包括在正由第一用戶使用的第一計(jì)算設(shè)備上采用計(jì)算資源，其中第一用戶安全級(jí)別指示值與所述第一用戶相關(guān)聯(lián)；在正由第二用戶使用的第二計(jì)算設(shè)備上采用計(jì)算資源，其中第二用戶安全級(jí)別指示值與所述第二用戶相關(guān)聯(lián)；以及基于所述第二用戶的第二用戶安全級(jí)別指示值，自動(dòng)地重新配置所述第一計(jì)算設(shè)備上的計(jì)算資源。
2. 根據(jù)權(quán)利要求1所述的方法，其進(jìn)一步包括 監(jiān)控關(guān)于由所述第二用戶使用的計(jì)算資源的網(wǎng)絡(luò)活動(dòng)； 過(guò)濾關(guān)于由所述第二用戶使用的計(jì)算資源的網(wǎng)絡(luò)活動(dòng)；以及 記錄關(guān)于由所述第二用戶使用的計(jì)算資源的有問(wèn)題的網(wǎng)絡(luò)活動(dòng)。
3. 根據(jù)權(quán)利要求2所述的方法，其進(jìn)一步包括 采用第一可配置策略，所述第一可配置策略指示用于過(guò)濾所述網(wǎng)絡(luò)活動(dòng)的規(guī)則和/或條件。
4. 根據(jù)權(quán)利要求2所述的方法，其進(jìn)一步包括 檢查所述第二用戶的所記錄的有問(wèn)題的網(wǎng)絡(luò)活動(dòng)；以及基于來(lái)自檢查到的所記錄的有問(wèn)題的網(wǎng)絡(luò)活動(dòng)的信息，確定所述第二 用戶安全級(jí)別指示值。
5. 根據(jù)權(quán)利要求4所述的方法，其進(jìn)一步包括采用第二可配置策略，所述第二可配置策略指示用于確定所述第二用 戶安全級(jí)別指示值的規(guī)則和/或條件。
6. 根據(jù)權(quán)利要求1所述的方法，其進(jìn)一步包括 向所述第一計(jì)算設(shè)備上的計(jì)算資源分派計(jì)算安全級(jí)別指示值；以及 響應(yīng)于所述第二用戶正在使用的第二計(jì)算設(shè)備的檢測(cè)到的網(wǎng)絡(luò)活動(dòng)，調(diào)整所述第一計(jì)算i殳備上的計(jì)算資源的計(jì)算安全級(jí)別指示值。
7. 根據(jù)權(quán)利要求6所述的方法，其進(jìn)一步包括采用第三可配置策略，所述第三可配置策略指示用于調(diào)整所述第一計(jì) 算設(shè)備上的計(jì)算資源的計(jì)算安全級(jí)別指示值的規(guī)則和/或條件。
8. 根據(jù)權(quán)利要求6所述的方法，其進(jìn)一步包括 基于所調(diào)整的計(jì)算安全級(jí)別指示值，確定用于重新配置所述第一計(jì)算設(shè)備上的計(jì)算資源的修改的安全相關(guān)參數(shù)。
9. 根據(jù)權(quán)利要求8所述的方法，其進(jìn)一步包括采用第四可配置策略，所述第四可配置策略指示用于確定用于重新配 置所述第一計(jì)算設(shè)備上的計(jì)算資源的修改的安全相關(guān)參數(shù)的規(guī)則和/或條 件。
10. 根據(jù)權(quán)利要求6所述的方法，其進(jìn)一步包括 將修改的安全相關(guān)參數(shù)從集中式安全管理應(yīng)用發(fā)送至所述第 一計(jì)算設(shè)備上的網(wǎng)絡(luò)安全代理。
11. 根據(jù)權(quán)利要求l所述的方法，其進(jìn)一步包括 通知所述第一用戶對(duì)所述第一計(jì)算設(shè)備的重新配置。
12. 根據(jù)權(quán)利要求1所述的方法，其進(jìn)一步包括 從所述數(shù)據(jù)處理系統(tǒng)的外部源檢索所述第二用戶安全級(jí)別指示值。
13. —種用于使得關(guān)于數(shù)據(jù)處理系統(tǒng)中的一組計(jì)算資源的操作安全 的裝置，所述裝置包括用于在正由第一用戶使用的第一計(jì)算設(shè)備上采用計(jì)算資源的裝置，其 中第 一用戶安全級(jí)別指示值與所述第 一用戶相關(guān)聯(lián)；用于在正由第二用戶使用的第二計(jì)算設(shè)備上釆用計(jì)算資源的裝置，其 中第二用戶安全級(jí)別指示值與所述第二用戶相關(guān)聯(lián)；以及用于基于所述第二用戶的第二用戶安全級(jí)別指示值來(lái)自動(dòng)地重新配置 所述第一計(jì)算設(shè)備上的計(jì)算資源的裝置。
14. 根據(jù)權(quán)利要求13所述的裝置，其進(jìn)一步包括 用于向所述第一計(jì)算設(shè)備上的計(jì)算資源分派計(jì)算安全級(jí)別指示值的裝置；以及 響應(yīng)于所述第二用戶正在使用的第二計(jì)算設(shè)備的檢測(cè)到的網(wǎng)絡(luò)活動(dòng)， 用于調(diào)整所述第一計(jì)算設(shè)備上的計(jì)算資源的計(jì)算安全級(jí)別指示值的裝置。
15. 根據(jù)權(quán)利要求14所述的裝置，其進(jìn)一步包括用于基于所調(diào)整的計(jì)算安全級(jí)別指示值來(lái)確定用于重新配置所述第一 計(jì)算設(shè)備上的計(jì)算資源的修改的安全相關(guān)參數(shù)的裝置。
16. —種可加載到數(shù)字計(jì)算機(jī)的內(nèi)部存儲(chǔ)器中的計(jì)算機(jī)程序產(chǎn)品，其 包括當(dāng)所述產(chǎn)品在計(jì)算機(jī)上運(yùn)行的時(shí)候，用于執(zhí)行以便實(shí)現(xiàn)根據(jù)權(quán)利要求 1至12所述的本發(fā)明的軟件代碼部分。
全文摘要
提出了一種用于使得數(shù)據(jù)處理系統(tǒng)中的計(jì)算資源安全的方法、系統(tǒng)、裝置或計(jì)算機(jī)程序產(chǎn)品。第一用戶使用第一計(jì)算設(shè)備，并且用戶安全級(jí)別與所述第一用戶相關(guān)聯(lián)。同樣地，第二用戶使用第二計(jì)算設(shè)備，并且用戶安全級(jí)別與所述第二用戶相關(guān)聯(lián)?；谒龅诙脩舻牡诙脩舭踩?jí)別自動(dòng)地重新配置所述第一計(jì)算設(shè)備上的計(jì)算資源。可以向所述第一計(jì)算設(shè)備上的計(jì)算資源分派計(jì)算安全級(jí)別，并且響應(yīng)于所述第二用戶正在使用的第二計(jì)算設(shè)備的檢測(cè)到的網(wǎng)絡(luò)活動(dòng)，動(dòng)態(tài)地調(diào)整所述計(jì)算安全級(jí)別?；谒{(diào)整的計(jì)算安全級(jí)別，重新配置用于重新配置所述第一計(jì)算設(shè)備上的計(jì)算資源的修改的安全相關(guān)參數(shù)。
文檔編號(hào)G06F21/00GK101375285SQ200680038537
公開日2009年2月25日 申請(qǐng)日期2006年10月3日 優(yōu)先權(quán)日2005年10月20日
發(fā)明者C·R·科利, J·賈納吉拉曼, L·E·烏爾曼 申請(qǐng)人:國(guó)際商業(yè)機(jī)器公司