專利名稱：保護(hù)連接至網(wǎng)絡(luò)的計(jì)算機(jī)系統(tǒng)不受攻擊的系統(tǒng)和方法
技術(shù)領(lǐng)域：
本發(fā)明涉及用于保護(hù)連接至網(wǎng)絡(luò)的計(jì)算設(shè)備不受攻擊的計(jì)算機(jī)系統(tǒng)和計(jì)算機(jī)實(shí)施的方法。
背景技術(shù)：
隨著越來越多的計(jì)算機(jī)以及其它計(jì)算設(shè)備通過諸如因特網(wǎng)之類的各種網(wǎng)絡(luò)而互相連接，計(jì)算機(jī)安全變得越來越重要，尤其是防止通過網(wǎng)絡(luò)或信息流發(fā)出的入侵或攻擊。如本領(lǐng)域的技術(shù)人員將認(rèn)識(shí)到的那樣，這些攻擊以許多不同的方式出現(xiàn)，包括但不特定地限于計(jì)算機(jī)病毒、計(jì)算機(jī)蠕蟲、系統(tǒng)組件替換、決絕服務(wù)攻擊、甚至是對(duì)合法的計(jì)算機(jī)系統(tǒng)特征的誤用/濫用，全部這些都出于非法目的而利用了一個(gè)或多個(gè)計(jì)算機(jī)系統(tǒng)弱點(diǎn)。雖然本領(lǐng)域的技術(shù)人員將認(rèn)識(shí)到各種計(jì)算機(jī)攻擊在技術(shù)上是彼此不同的，但是出于本發(fā)明的目的和出于簡(jiǎn)化說明的目的，在下文中將把所有這些攻擊統(tǒng)稱為計(jì)算機(jī)漏洞利用(exploit)，或更為簡(jiǎn)單地稱為漏洞利用。當(dāng)計(jì)算機(jī)系統(tǒng)受到計(jì)算機(jī)漏洞利用的攻擊或“影響”時(shí)，不利的結(jié)果是各種各樣的，包括禁用系統(tǒng)設(shè)備；擦除或破壞固件、應(yīng)用程序或數(shù)據(jù)文件；將可能敏感的數(shù)據(jù)發(fā)送到網(wǎng)絡(luò)上的另一位置；關(guān)閉計(jì)算機(jī)系統(tǒng)；或引起計(jì)算機(jī)系統(tǒng)崩潰。許多計(jì)算機(jī)漏洞利用中(盡管不是全部)還有另一個(gè)有害的方面是使用受感染的計(jì)算機(jī)系統(tǒng)來感染其它計(jì)算機(jī)。圖1是說明示例性聯(lián)網(wǎng)環(huán)境100的直觀圖，通常通過該聯(lián)網(wǎng)環(huán)境來散布計(jì)算機(jī)漏洞利用。如圖1所示，典型的示例性聯(lián)網(wǎng)環(huán)境100包括通過諸如內(nèi)聯(lián)網(wǎng)之類的通信網(wǎng)絡(luò)110 或通過包含通常稱為因特網(wǎng)的全球TCP/工P網(wǎng)絡(luò)的更大的通信網(wǎng)絡(luò)而互相連接的多個(gè)計(jì)算機(jī)102-108。出于無論什么原因，諸如計(jì)算機(jī)104之類的連接至網(wǎng)絡(luò)110的計(jì)算機(jī)上的懷有惡意的一方開發(fā)了計(jì)算機(jī)漏洞利用112，并將其釋放到網(wǎng)絡(luò)上。如箭頭114所示，諸如計(jì)算機(jī)104之類的一個(gè)或多個(gè)計(jì)算機(jī)接收被釋放的計(jì)算機(jī)漏洞利用112并被感染。如對(duì)于許多計(jì)算機(jī)漏洞利用來說是典型的那樣，一旦被感染，如箭頭116所示，計(jì)算機(jī)104就被用于感染諸如計(jì)算機(jī)106之類的其它計(jì)算機(jī)，而后者隨后又如箭頭118所示感染另外的計(jì)算機(jī)。顯然，由于當(dāng)代計(jì)算機(jī)網(wǎng)絡(luò)的速度和作用范圍，計(jì)算機(jī)漏洞利用112能夠以指數(shù)級(jí)的速率“增長(zhǎng)”，并迅速變得局部流行，并迅速增長(zhǎng)為全球計(jì)算機(jī)大流行。對(duì)計(jì)算機(jī)漏洞利用，尤其是對(duì)計(jì)算機(jī)病毒和蠕蟲的傳統(tǒng)防御措施是防病毒軟件。 一般而言，防病毒軟件對(duì)通過網(wǎng)絡(luò)而到達(dá)的進(jìn)入數(shù)據(jù)進(jìn)行掃描，查找與已知的計(jì)算機(jī)漏洞利用相關(guān)聯(lián)的可識(shí)別的模式。一旦檢測(cè)到與已知計(jì)算機(jī)漏洞利用相關(guān)聯(lián)的模式，防病毒軟件可通過將計(jì)算機(jī)病毒從受感染的數(shù)據(jù)中刪除，對(duì)數(shù)據(jù)進(jìn)行隔離，或刪除“受感染的”進(jìn)入數(shù)據(jù)，來做出響應(yīng)。不幸的是，防病毒軟件一般對(duì)“已知的”、可識(shí)別的計(jì)算機(jī)漏洞利用起作用。通常，這是通過將數(shù)據(jù)中的模式與被稱為是漏洞利用的“特征印記”(signature)的特征進(jìn)行匹配來完成的。這種漏洞利用檢測(cè)模型中的核心缺陷之一是，未知的計(jì)算機(jī)漏洞利用可能在網(wǎng)絡(luò)中以未受抑制的方式進(jìn)行傳播，直到計(jì)算機(jī)防病毒軟件得到更新來識(shí)別并響應(yīng)于該新的計(jì)算機(jī)漏洞利用為止。隨著防病毒軟件在識(shí)別成千上萬的已知計(jì)算機(jī)漏洞利用中變得越來越完善和有效，同樣，計(jì)算機(jī)漏洞利用也變得越來越復(fù)雜。例如，許多當(dāng)前的計(jì)算機(jī)漏洞利用是多形態(tài)的，或者換句話說不具有可識(shí)別的模式或“特征印記”，而通過所述可識(shí)別的模式或特征印記可由防病毒軟件在它們的傳輸過程中將它們識(shí)別出。這些多形態(tài)的漏洞利用經(jīng)常是防病毒軟件不可識(shí)別的，因?yàn)樗鼈冊(cè)趥鞑サ搅硪粋€(gè)計(jì)算機(jī)系統(tǒng)之前已經(jīng)對(duì)它們自身做出了修改。當(dāng)今在防止計(jì)算機(jī)漏洞利用方面較為通常的另一個(gè)防御措施是硬件或軟件網(wǎng)絡(luò)防火墻。如本領(lǐng)域的技術(shù)人員將認(rèn)識(shí)到的那樣，防火墻是一種安全系統(tǒng)，它通過對(duì)內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)之間的信息流進(jìn)行控制來保護(hù)內(nèi)部網(wǎng)絡(luò)不受到源自外部網(wǎng)絡(luò)的未經(jīng)授權(quán)的訪問。源自防火墻之外的所有通信都首先發(fā)送到代理(proxy)，代理對(duì)通信進(jìn)行檢查，并確定將通信轉(zhuǎn)送到計(jì)劃目標(biāo)是否是安全或可允許的。不幸的是，對(duì)防火墻進(jìn)行適當(dāng)?shù)呐渲靡允沟每稍试S的網(wǎng)絡(luò)行為不受禁止而不允許的網(wǎng)絡(luò)行為被拒絕，這是復(fù)雜而棘手的任務(wù)。除了在技術(shù)上復(fù)雜之外，防火墻配置還難于管理。當(dāng)不適當(dāng)?shù)嘏渲昧朔阑饓r(shí)，可能不經(jīng)意地關(guān)閉可允許的網(wǎng)絡(luò)通信而允許不可允許的網(wǎng)絡(luò)通信通過，而損害內(nèi)部網(wǎng)絡(luò)。出于這種原因，一般不經(jīng)常對(duì)防火墻做出改變，而僅僅由那些技術(shù)網(wǎng)絡(luò)設(shè)計(jì)方面精通的人來進(jìn)行改變。作為防火墻的又一個(gè)局限，雖然防火墻保護(hù)了內(nèi)部網(wǎng)絡(luò)，但是它不對(duì)特定的計(jì)算機(jī)提供任何保護(hù)。換言之，防火墻不會(huì)將其適應(yīng)于特定的計(jì)算機(jī)的需求。相反，即使防火墻用來保護(hù)單個(gè)計(jì)算機(jī)，它仍然根據(jù)防火墻的配置而非根據(jù)所述單個(gè)計(jì)算機(jī)的配置來保護(hù)該計(jì)算機(jī)。與防火墻相關(guān)的又一個(gè)問題是，防火墻不提供對(duì)源自防火墻建立的邊界內(nèi)的計(jì)算機(jī)漏洞利用的保護(hù)。換言之，一旦某一漏洞利用能夠穿透防火墻所保護(hù)的網(wǎng)絡(luò)，該漏洞利用將不受該防火墻的禁止。當(dāng)職工將便攜式計(jì)算機(jī)帶回家(即脫離公司防火墻保護(hù))并在較不安全的環(huán)境下于家中進(jìn)行使用，則這種情況通常發(fā)生。于是，便攜式計(jì)算機(jī)被感染，而職工并不知道。當(dāng)便攜式計(jì)算機(jī)重新連接至防火墻的保護(hù)范圍內(nèi)的公司網(wǎng)絡(luò)時(shí)，漏洞利用通常自由地感染不受防火墻檢查的其它計(jì)算機(jī)。如上所述，計(jì)算機(jī)漏洞利用如今還在攻擊中影響合法計(jì)算機(jī)系統(tǒng)特征。從而，除了防火墻和防病毒軟件提供商之外的許多方現(xiàn)在必須加入到保護(hù)計(jì)算機(jī)不受這些計(jì)算機(jī)漏洞利用的行動(dòng)中。例如，出于經(jīng)濟(jì)上和合同上的原因，操作系統(tǒng)提供商如今必須不斷地分析他們的操作系統(tǒng)功能，來識(shí)別出可能被計(jì)算機(jī)漏洞利用所利用的缺點(diǎn)或弱點(diǎn)。出于本說明書的目的，將把計(jì)算機(jī)漏洞利用可能借助來攻擊計(jì)算機(jī)系統(tǒng)的任何途徑統(tǒng)稱為計(jì)算機(jī)系統(tǒng)弱點(diǎn)，或簡(jiǎn)單地稱之為弱點(diǎn)。隨著在操作系統(tǒng)或其它計(jì)算機(jī)系統(tǒng)組件、驅(qū)動(dòng)器、應(yīng)用程序中識(shí)別和定位弱點(diǎn)，提供商一般將發(fā)布軟件更新以對(duì)所述弱點(diǎn)進(jìn)行補(bǔ)救。這些更新(通常被稱為補(bǔ)丁)應(yīng)當(dāng)安裝在計(jì)算機(jī)系統(tǒng)上，以便確保計(jì)算機(jī)系統(tǒng)沒有經(jīng)識(shí)別出的弱點(diǎn)。然而，這些更新在本質(zhì)上是對(duì)
6操作系統(tǒng)、設(shè)備驅(qū)動(dòng)器或軟件應(yīng)用程序做出的代碼改變。如此，它們就不能與防病毒軟件提供商提供的防病毒軟件更新那樣迅速而自由地得到發(fā)布。因?yàn)檫@些更新是代碼改變，軟件更新要求在向公眾發(fā)布之前進(jìn)行充分的內(nèi)部測(cè)試。不幸的是，即使利用內(nèi)部測(cè)試，軟件更新也可能引起一個(gè)或多個(gè)其它計(jì)算機(jī)系統(tǒng)特征被破壞或發(fā)生故障。從而，軟件更新對(duì)依賴于計(jì)算機(jī)系統(tǒng)的各方造成了巨大的困難。更為具體地來說，是否某一方更新他們的計(jì)算機(jī)系統(tǒng)以防止破壞他們的計(jì)算機(jī)系統(tǒng)運(yùn)行的弱點(diǎn)或危險(xiǎn)，或是不更新他們的計(jì)算機(jī)系統(tǒng)而冒著他們的計(jì)算機(jī)可能被干擾的風(fēng)險(xiǎn)？在本系統(tǒng)下，存在一個(gè)時(shí)間周期，下文中稱為弱點(diǎn)窗口，它存在于新的計(jì)算機(jī)漏洞利用發(fā)布于網(wǎng)絡(luò)110上的時(shí)間與計(jì)算機(jī)系統(tǒng)得到更新來保護(hù)不受該計(jì)算機(jī)漏洞利用的影響的時(shí)間之間。如該名稱所暗示的那樣，正是在該弱點(diǎn)窗口期間，計(jì)算機(jī)系統(tǒng)對(duì)于所述新的計(jì)算機(jī)漏洞利用來說是有弱點(diǎn)的或暴露的。圖2A-2B是說明該弱點(diǎn)窗口的示例性時(shí)間線的框圖。對(duì)于下面的關(guān)于時(shí)間線的討論，將對(duì)重要的時(shí)間或事件進(jìn)行識(shí)別，并稱為關(guān)于時(shí)間線的事件。圖2A說明了關(guān)于如今釋放到公眾網(wǎng)絡(luò)上的一個(gè)或多個(gè)新近的、復(fù)雜的計(jì)算機(jī)漏洞利用類別的計(jì)算機(jī)系統(tǒng)的弱點(diǎn)窗口。如將要描述的那樣，該新的計(jì)算機(jī)漏洞利用類別利用了系統(tǒng)提供商的前攝的(proactive)安全措施來識(shí)別計(jì)算機(jī)系統(tǒng)弱點(diǎn)，并隨后創(chuàng)建和發(fā)出計(jì)算機(jī)漏洞利用。參考圖2A，在事件202處，操作系統(tǒng)提供商識(shí)別出所發(fā)布的操作系統(tǒng)中的弱點(diǎn)的存在。例如，在一種情況下，操作系統(tǒng)提供商對(duì)所發(fā)布的操作系統(tǒng)進(jìn)行自身的內(nèi)部分析，揭示出可能被用于攻擊計(jì)算機(jī)系統(tǒng)的當(dāng)前未知的弱點(diǎn)。在另一種情況下，由第三方發(fā)現(xiàn)當(dāng)前未知的弱點(diǎn)，第三方包括對(duì)計(jì)算機(jī)系統(tǒng)進(jìn)行系統(tǒng)安全分析并向操作系統(tǒng)提供商提供關(guān)于弱點(diǎn)的信息的組織。一旦操作系統(tǒng)提供商意識(shí)到存在安全弱點(diǎn)，操作系統(tǒng)提供商就著手解決該弱點(diǎn)， 從而在事件204處導(dǎo)致產(chǎn)生和發(fā)布補(bǔ)丁，以確保運(yùn)行該操作系統(tǒng)的任何計(jì)算機(jī)系統(tǒng)的安全。典型地，操作系統(tǒng)提供商將做出某種類型的通告，告知系統(tǒng)補(bǔ)丁可用，并推薦所有的操作系統(tǒng)用戶安裝該補(bǔ)丁。該補(bǔ)丁通常放置在網(wǎng)絡(luò)110上的已知位置上，以用于下載和安裝到受影響的計(jì)算機(jī)系統(tǒng)上。不幸的是，如通常發(fā)生的那樣，在操作系統(tǒng)提供商發(fā)布補(bǔ)丁之后，在事件206處， 惡意方下載該補(bǔ)丁并使用逆向工程以及通過操作系統(tǒng)或其它而公知的任何信息來識(shí)別與 “經(jīng)修補(bǔ)”的操作系統(tǒng)中的弱點(diǎn)有關(guān)的細(xì)節(jié)。使用此信息，惡意方創(chuàng)建計(jì)算機(jī)漏洞利用來攻擊潛在的弱點(diǎn)。在事件208處，惡意方將計(jì)算機(jī)漏洞利用釋放到網(wǎng)絡(luò)110上。雖然發(fā)布軟件補(bǔ)丁(也稱為“修正”(fix))的目的是糾正潛在的弱點(diǎn)，但是“修正”通常是一段復(fù)雜的軟件代碼，不幸的是，它本身可能形成了或包含了可能被惡意方創(chuàng)建的計(jì)算機(jī)漏洞利用攻擊的新的弱點(diǎn)。從而，除了評(píng)估“修正”糾正了什么之外，還要對(duì)潛在的弱點(diǎn)對(duì)上述“修正” 進(jìn)行評(píng)估。雖然“修正”是可用的，但是出于包括上述原因在內(nèi)的各種原因，惡意方意識(shí)到并非每個(gè)有弱點(diǎn)的計(jì)算機(jī)系統(tǒng)會(huì)立即更新。從而，在事件208處，惡意方將計(jì)算機(jī)漏洞利用 112釋放到網(wǎng)絡(luò)110上。如上所述，計(jì)算機(jī)漏洞利用112的釋放打開了弱點(diǎn)窗口 212，在弱點(diǎn)窗口中，有弱點(diǎn)的計(jì)算機(jī)系統(tǒng)易受該計(jì)算機(jī)漏洞利用的影響。僅當(dāng)在事件210處補(bǔ)丁最
7終被安裝在計(jì)算機(jī)系統(tǒng)上，對(duì)于該計(jì)算機(jī)系統(tǒng)來說，弱點(diǎn)窗口 212才關(guān)閉。雖然如今釋放的計(jì)算機(jī)漏洞利用是基于已知的弱點(diǎn)，例如上述關(guān)于圖2A所述的情況，但是，有時(shí)候利用了當(dāng)前未知弱點(diǎn)的計(jì)算機(jī)漏洞利用被釋放到網(wǎng)絡(luò)110上。圖2B說明了在該情況下的關(guān)于時(shí)間線220的漏洞窗口 230。從而，如時(shí)間線220上所示，在事件222 處，惡意方釋放新的計(jì)算機(jī)漏洞利用。由于這是新的計(jì)算機(jī)漏洞利用，因此既沒有操作系統(tǒng)補(bǔ)丁也沒有防病毒更新可用于保護(hù)有弱點(diǎn)的計(jì)算機(jī)系統(tǒng)不受攻擊。因此，弱點(diǎn)窗口 230打開。在新的計(jì)算機(jī)漏洞利用傳播到網(wǎng)絡(luò)110上之后的某一點(diǎn)，如事件2M所指示出的那樣，操作系統(tǒng)提供商和/或防病毒軟件提供商檢測(cè)到該新的計(jì)算機(jī)漏洞利用。如本領(lǐng)域的技術(shù)人員一般將理解的那樣，在大約數(shù)小時(shí)內(nèi)該新的計(jì)算機(jī)漏洞利用的存在就被操作系統(tǒng)提供商和防病毒軟件提供商檢測(cè)出。一旦檢測(cè)到該計(jì)算機(jī)漏洞利用，防病毒軟件提供商就開始其處理來識(shí)別防病毒軟件能夠借以識(shí)別該計(jì)算機(jī)漏洞利用的模式或“特征印記”。類似地，操作系統(tǒng)提供商開始其處理以分析該計(jì)算機(jī)漏洞利用，以確定是否必須對(duì)操作系統(tǒng)打補(bǔ)丁，以保護(hù)不受該計(jì)算機(jī)漏洞利用的影響。作為這些并行努力的結(jié)果，在事件2 處，操作系統(tǒng)提供商和/或防病毒軟件提供商釋放針對(duì)于該計(jì)算機(jī)漏洞利用的更新(即對(duì)操作系統(tǒng)的軟件補(bǔ)丁)或防病毒更新。隨后，在事件2 處，該更新安裝在用戶的計(jì)算機(jī)系統(tǒng)上，從而保護(hù)該計(jì)算機(jī)系統(tǒng)并使得弱點(diǎn)窗口 230關(guān)閉。如從上面的例子中可看出的那樣，這些例子僅僅是計(jì)算機(jī)漏洞利用對(duì)計(jì)算機(jī)系統(tǒng)引起安全威脅的所有可能的情況中的代表性實(shí)例，弱點(diǎn)窗口存在于計(jì)算機(jī)漏洞利用112釋放于網(wǎng)絡(luò)110上的時(shí)間和對(duì)應(yīng)的更新被安裝在用戶的計(jì)算機(jī)系統(tǒng)上以關(guān)閉弱點(diǎn)窗口的時(shí)間之間。不幸的是，不管弱點(diǎn)窗口是大還是小，如果是根本可行的化，受感染的計(jì)算機(jī)使得計(jì)算機(jī)所有者花費(fèi)相當(dāng)多的錢來“殺毒”和修補(bǔ)。當(dāng)涉及到可能具有成千上萬的設(shè)備連接于網(wǎng)絡(luò)110的公司或?qū)嶓w時(shí)，這種代價(jià)可能是巨大的。這種代價(jià)還可能通過這種漏洞利用竄改或破壞用戶數(shù)據(jù)的可能性而加大，所有這些都相當(dāng)難于或不可能進(jìn)行跟蹤和補(bǔ)救。需要一種即使在保護(hù)更新可用和/或安裝在計(jì)算機(jī)系統(tǒng)上之前，也能用于以響應(yīng)方式并根據(jù)各計(jì)算機(jī)系統(tǒng)的需要來確保計(jì)算機(jī)系統(tǒng)對(duì)抗計(jì)算機(jī)漏洞利用的安全性的系統(tǒng)和方法。

發(fā)明內(nèi)容
根據(jù)本發(fā)明的諸方面，給出了一種保護(hù)連接至通信網(wǎng)絡(luò)的計(jì)算設(shè)備不受安全威脅的影響的網(wǎng)絡(luò)安全系統(tǒng)。網(wǎng)絡(luò)安全系統(tǒng)包括網(wǎng)絡(luò)安全模塊。網(wǎng)絡(luò)安全模塊置于計(jì)算設(shè)備和通信網(wǎng)絡(luò)之間。網(wǎng)絡(luò)安全系統(tǒng)還包括安全服務(wù)。安全服務(wù)將安全信息公布到網(wǎng)絡(luò)安全模塊， 通過網(wǎng)絡(luò)安全模塊實(shí)施來保護(hù)計(jì)算設(shè)備不受安全威脅的影響。根據(jù)本發(fā)明的進(jìn)一步的方面，提供了一種用于保護(hù)通信網(wǎng)絡(luò)中的計(jì)算設(shè)備不受通信網(wǎng)絡(luò)上傳播的安全威脅的影響的方法。獲得與對(duì)通信網(wǎng)絡(luò)中的計(jì)算設(shè)備的安全威脅有關(guān)的信息。將關(guān)于安全威脅的信息公布給網(wǎng)絡(luò)安全模塊。每個(gè)網(wǎng)絡(luò)安全模塊置于計(jì)算設(shè)備和通信網(wǎng)絡(luò)之間。安全信息包括保護(hù)安全措施，通過網(wǎng)絡(luò)安全模塊實(shí)施來保護(hù)計(jì)算設(shè)備不受計(jì)算設(shè)備和網(wǎng)絡(luò)之間的處于危險(xiǎn)中的網(wǎng)絡(luò)活動(dòng)的影響。


通過連同附圖一起參考下面的詳細(xì)說明，可更容易地并更佳地理解本發(fā)明的上述方面以及所伴隨的許多優(yōu)點(diǎn)。圖1是說明現(xiàn)有技術(shù)中的示例性聯(lián)網(wǎng)環(huán)境的直觀圖，通常通過該聯(lián)網(wǎng)環(huán)境來散布計(jì)算機(jī)漏洞利用；圖2A和2B是說明示范出與釋放到網(wǎng)絡(luò)上的計(jì)算機(jī)漏洞利用有關(guān)的計(jì)算機(jī)系統(tǒng)的不同弱點(diǎn)窗口的示例性時(shí)間線的框圖；圖3A和;3B是說明適用于實(shí)施本發(fā)明的諸方面的示例性聯(lián)網(wǎng)環(huán)境的直觀圖；圖4A和4B是用于示范出本發(fā)明如何使與計(jì)算機(jī)漏洞利用相關(guān)聯(lián)的弱點(diǎn)窗口最小化的示例性時(shí)間線的直觀圖；圖5是根據(jù)本發(fā)明的用于根據(jù)公布的安全信息動(dòng)態(tài)地控制計(jì)算機(jī)系統(tǒng)的網(wǎng)絡(luò)訪問的示例性例程的流程圖；圖6是說明根據(jù)本發(fā)明的由安全服務(wù)實(shí)施的用于在示例性聯(lián)網(wǎng)環(huán)境中公布用于網(wǎng)絡(luò)安全模塊的安全信息的示例性例程的流程圖；圖7是說明由安全服務(wù)實(shí)施的用以接收和響應(yīng)對(duì)來自網(wǎng)絡(luò)安全模塊的安全信息的請(qǐng)求的示例性例程的流程圖；圖8是說明由網(wǎng)絡(luò)安全模塊實(shí)施的用于根據(jù)從安全服務(wù)獲得的安全措施來控制計(jì)算機(jī)和網(wǎng)絡(luò)之間的網(wǎng)絡(luò)通信流的示例性方法的流程圖。
具體實(shí)施例方式圖3A是說明適用于實(shí)施本發(fā)明的諸方面的示例性聯(lián)網(wǎng)環(huán)境300的直觀圖。示例性的聯(lián)網(wǎng)環(huán)境300包括連接于網(wǎng)絡(luò)110的計(jì)算機(jī)302。應(yīng)注意，雖然根據(jù)連同諸如計(jì)算機(jī) 302之類的個(gè)人計(jì)算機(jī)的操作來總地描述本發(fā)明，但是這僅僅是出于說明目的，而不應(yīng)被解釋成對(duì)本發(fā)明的限制。本領(lǐng)域的技術(shù)人員將容易地認(rèn)識(shí)到計(jì)算機(jī)漏洞利用可能攻擊幾乎任何聯(lián)網(wǎng)的計(jì)算設(shè)備。因此，本發(fā)明有利于實(shí)施來保護(hù)各種類型的計(jì)算機(jī)、計(jì)算設(shè)備或計(jì)算系統(tǒng)，包括但不限于個(gè)人計(jì)算機(jī)、平板式計(jì)算機(jī)、筆記本計(jì)算機(jī)、個(gè)人數(shù)字助理(PDA)、小型機(jī)和大型機(jī)、無線電話機(jī)(通常稱為蜂窩電話機(jī))、諸如無線電話機(jī)/PDA的組合之類的混合計(jì)算設(shè)備等等。本發(fā)明還有利于實(shí)施來保護(hù)硬件設(shè)備、外圍設(shè)備、軟件應(yīng)用程序、設(shè)備驅(qū)動(dòng)器、操作系統(tǒng)等等。應(yīng)理解，網(wǎng)絡(luò)110可包括任何數(shù)量的實(shí)際通信網(wǎng)絡(luò)。這些實(shí)際通信網(wǎng)絡(luò)包括但不限于因特網(wǎng)、廣域網(wǎng)和局域網(wǎng)、內(nèi)聯(lián)網(wǎng)、蜂窩網(wǎng)、IEEE 802. 11和藍(lán)牙無線網(wǎng)絡(luò)等等。因此， 雖然根據(jù)計(jì)算機(jī)網(wǎng)絡(luò)，尤其是根據(jù)因特網(wǎng)來描述本發(fā)明，但是這僅僅是出于說明目的，而不應(yīng)被解釋成對(duì)本發(fā)明的限制。示例性聯(lián)網(wǎng)環(huán)境300還包括網(wǎng)絡(luò)安全模塊304和安全服務(wù)306。網(wǎng)絡(luò)安全模塊304 置于諸如計(jì)算機(jī)302之類的計(jì)算機(jī)與網(wǎng)絡(luò)110之間。網(wǎng)絡(luò)安全模塊304可物理上或邏輯上置于計(jì)算機(jī)302和網(wǎng)絡(luò)110之間。計(jì)算機(jī)302和網(wǎng)絡(luò)110之間的通信流經(jīng)網(wǎng)絡(luò)安全模塊 304。根據(jù)本發(fā)明，網(wǎng)絡(luò)安全模塊304根據(jù)與計(jì)算機(jī)的具體配置相對(duì)應(yīng)的安全信息來選擇性地控制計(jì)算機(jī)302與網(wǎng)絡(luò)110之間的網(wǎng)絡(luò)活動(dòng)，所述計(jì)算機(jī)的具體配置包括但不限于安裝在計(jì)算機(jī)302上的特定操作系統(tǒng)修訂版、包括防病毒軟件和對(duì)應(yīng)的特征印記數(shù)據(jù)文件的修訂信息的防病毒信息、安裝的應(yīng)用程序、設(shè)備驅(qū)動(dòng)器等等，所有這些都可能是計(jì)算機(jī)漏洞利用的潛在目標(biāo)以利用計(jì)算機(jī)系統(tǒng)弱點(diǎn)。根據(jù)本發(fā)明的一個(gè)實(shí)施例，為了周期性地從安全服務(wù)306獲得安全信息，網(wǎng)絡(luò)安全模塊304周期性地向安全服務(wù)306發(fā)出對(duì)與計(jì)算機(jī)302的特定的、具體的配置相對(duì)應(yīng)的安全信息的安全信息請(qǐng)求。網(wǎng)絡(luò)安全模塊304可配置成周期性地從安全服務(wù)306獲得安全信息。例如，網(wǎng)絡(luò)安全模塊304可配置成每分鐘從安全服務(wù)306獲得安全信息?？蛇x地，網(wǎng)絡(luò)安全模塊304可配置成根據(jù)用于規(guī)定的時(shí)間周期從安全服務(wù)306獲得安全信息。獲得與計(jì)算機(jī)的特定的、具體的配置相對(duì)應(yīng)的安全信息，這是重要的，因?yàn)樵S多用戶出于種種原因必須延遲更新他們的計(jì)算機(jī)系統(tǒng)。例如，可能因?yàn)橛?jì)算機(jī)暫時(shí)停用而發(fā)生對(duì)操作系統(tǒng)或防病毒軟件的更新的延遲。從而，雖然操作系統(tǒng)和/或防病毒軟件的大多數(shù)當(dāng)前修訂可提供對(duì)新發(fā)現(xiàn)的計(jì)算機(jī)漏洞利用的足夠的保護(hù)，但是計(jì)算機(jī)可能不是“最新的”，從而易受到計(jì)算機(jī)漏洞利用的影響，必須實(shí)施與計(jì)算機(jī)的特定配置相對(duì)應(yīng)的安全措施。因此，安全信息請(qǐng)求可包括但不限于識(shí)別計(jì)算機(jī)操作系統(tǒng)修訂版本的信息，包括已安裝的補(bǔ)丁 ；計(jì)算機(jī)使用的特定的防病毒軟件和修訂版本，以及軟件和數(shù)據(jù)文件更新；以及諸如電子郵件或?yàn)g覽器標(biāo)識(shí)符、修訂版本、固件提供商和版本之類的網(wǎng)絡(luò)使能的應(yīng)用程序信息，以及其它安全設(shè)置。根據(jù)本發(fā)明的諸方面，作為更新計(jì)算機(jī)系統(tǒng)組件的動(dòng)作之一，網(wǎng)絡(luò)安全模塊304 獲得計(jì)算機(jī)的特定配置信息。例如，當(dāng)用戶在計(jì)算機(jī)302上安裝操作系統(tǒng)補(bǔ)丁時(shí)，作為安裝操作系統(tǒng)補(bǔ)丁的動(dòng)作之一，向網(wǎng)絡(luò)安全模塊304通知現(xiàn)在的操作系統(tǒng)的當(dāng)前修訂。類似的， 諸如網(wǎng)絡(luò)使能的應(yīng)用程序或防病毒軟件之類的其它計(jì)算機(jī)系統(tǒng)特征在它們被更新時(shí)通知網(wǎng)絡(luò)安全模塊304，從而，網(wǎng)絡(luò)安全模塊可根據(jù)計(jì)算機(jī)的具體的當(dāng)前配置而獲得最精確且足夠的安全信息來保護(hù)計(jì)算機(jī)302。根據(jù)安全信息請(qǐng)求中的計(jì)算機(jī)的特定配置信息，安全服務(wù)306識(shí)別相關(guān)的安全信息，以保護(hù)計(jì)算機(jī)不受到已知的或已察覺的計(jì)算機(jī)系統(tǒng)弱點(diǎn)的影響。下面更詳細(xì)地描述了識(shí)別相關(guān)的安全信息。安全信息包括保護(hù)安全措施，由網(wǎng)絡(luò)安全模塊304來實(shí)施，使得網(wǎng)絡(luò)安全模塊使計(jì)算機(jī)302與已知弱點(diǎn)的計(jì)算機(jī)漏洞利用相隔離。保護(hù)安全措施可包括任何數(shù)量的網(wǎng)絡(luò)活動(dòng)控制或其組合，包括但不限于阻止計(jì)算機(jī)302和網(wǎng)絡(luò)110之間的所有網(wǎng)絡(luò)活動(dòng)，除了確定已知的、安全的網(wǎng)絡(luò)位置之間的通信之外，例如用于安裝補(bǔ)丁或更新的安全服務(wù)306或防病毒軟件服務(wù)308 ；阻止特定通信端口和地址上的網(wǎng)絡(luò)通信；阻止前往和/或來自特定的與網(wǎng)絡(luò)有關(guān)的應(yīng)用程序(如電子郵件或Web瀏覽器應(yīng)用程序)的通信；以及阻止對(duì)計(jì)算機(jī)302上的特定硬件或軟件組件的訪問。從而，一旦接收到安全響應(yīng)，網(wǎng)絡(luò)安全模塊就實(shí)施安全措施。如上所述，網(wǎng)絡(luò)安全模塊304置于計(jì)算機(jī)302和網(wǎng)絡(luò)110之間，如此，計(jì)算機(jī)和網(wǎng)絡(luò)之間的所有網(wǎng)絡(luò)活動(dòng)必須流經(jīng)網(wǎng)絡(luò)安全模塊。隨著網(wǎng)絡(luò)通信流經(jīng)網(wǎng)絡(luò)安全模塊304，網(wǎng)絡(luò)安全模塊監(jiān)控網(wǎng)絡(luò)通信，實(shí)施從安全服務(wù)306接收的保護(hù)安全措施，例如阻止除了已知的、 安全的位置之間的通信之外的所有網(wǎng)絡(luò)訪問。根據(jù)本發(fā)明的進(jìn)一步的方面，安全響應(yīng)還可包括指定的安全等級(jí)，例如紅色等級(jí)、 黃色等級(jí)和綠色等級(jí)。安全等級(jí)代表了向計(jì)算機(jī)302的用戶標(biāo)識(shí)由網(wǎng)絡(luò)安全模塊304實(shí)施的保護(hù)措施的代表性等級(jí)。例如，紅色安全等級(jí)可指示出網(wǎng)絡(luò)安全模塊304當(dāng)前正在阻止除了來往已知的、安全的位置的訪問之外的計(jì)算機(jī)302和網(wǎng)絡(luò)110之間的所有網(wǎng)絡(luò)活動(dòng)。可選地，黃色安全等級(jí)可指示出網(wǎng)絡(luò)安全模塊304當(dāng)前正在實(shí)施某些保護(hù)安全措施，而計(jì)算機(jī)302仍然可與網(wǎng)絡(luò)110通信。又，綠色安全等級(jí)可指示出網(wǎng)絡(luò)安全模塊304不實(shí)施任何保護(hù)安全措施，計(jì)算機(jī)302和網(wǎng)絡(luò)110之間的通信不受限制。根據(jù)上述的安全等級(jí)，以及出于說明的目的，紅色安全等級(jí)還可被稱為是完全鎖閉(full lock-down)，黃色安全等級(jí)還可被稱為是部分鎖閉，而綠色安全等級(jí)還可被稱為是自由網(wǎng)絡(luò)訪問。雖然上述說明標(biāo)識(shí)了三種安全等級(jí)以及紅色、黃色和綠色模式，但是它們僅僅是說明性的，而不應(yīng)被解釋成本發(fā)明的限制。本領(lǐng)域的技術(shù)人員將容易地認(rèn)識(shí)到可實(shí)施任何數(shù)量的安全等級(jí)，具有對(duì)于用戶不同的表現(xiàn)形式。由于網(wǎng)絡(luò)安全模塊304以自主方式工作，即不要求用戶的干涉，上述的安全等級(jí)以及安全等級(jí)的任何對(duì)應(yīng)的視覺表現(xiàn)形式僅僅是用于向用戶提供信息。它們可用于向用戶提供由網(wǎng)絡(luò)安全模塊304實(shí)施的限制等級(jí)的指示。在用戶試圖確定網(wǎng)絡(luò)連接是否發(fā)生故障或網(wǎng)絡(luò)活動(dòng)是否由于當(dāng)前網(wǎng)絡(luò)安全關(guān)系而受到限制時(shí)，該視覺指示尤其有用。根據(jù)本發(fā)明的諸方面，并且作為附加的安全措施，當(dāng)網(wǎng)絡(luò)安全模塊304加電時(shí)，網(wǎng)絡(luò)安全模塊304進(jìn)入默認(rèn)狀態(tài)。該默認(rèn)狀態(tài)對(duì)應(yīng)于最高安全等級(jí)，即完全鎖閉，使得計(jì)算機(jī) 302和受信任的網(wǎng)絡(luò)位置之間的網(wǎng)絡(luò)活動(dòng)是可允許的。或者作為加電的一部分，或者作為與安全服務(wù)306的周期性通信的一部分，網(wǎng)絡(luò)安全模塊304獲得最新的安全信息，并根據(jù)該安全信息可較不實(shí)施較不受限的安全措施。顯然，網(wǎng)絡(luò)安全模塊304實(shí)施完全鎖閉的默認(rèn)狀態(tài)，這對(duì)于計(jì)算機(jī)302來說是有利的，因?yàn)樵诰W(wǎng)絡(luò)安全模塊斷電的期間，可能已經(jīng)識(shí)別出弱點(diǎn)或釋放到網(wǎng)絡(luò)110上的漏洞利用。根據(jù)本發(fā)明的一個(gè)實(shí)施例，網(wǎng)絡(luò)安全模塊304不從計(jì)算機(jī)302請(qǐng)求或訪問信息。相反，網(wǎng)絡(luò)安全模塊304對(duì)與某些事件有關(guān)的從計(jì)算機(jī)302向其發(fā)送的信息起作用。從而，當(dāng)網(wǎng)絡(luò)安全模塊304最初開始保護(hù)計(jì)算機(jī)時(shí)，例如當(dāng)網(wǎng)絡(luò)安全模塊最初置于計(jì)算機(jī)302和網(wǎng)絡(luò)110之間時(shí)，網(wǎng)絡(luò)安全模塊將不具有與計(jì)算機(jī)系統(tǒng)相對(duì)應(yīng)的任何具體的配置信息。如上所述，當(dāng)網(wǎng)絡(luò)安全模塊304不具有關(guān)于計(jì)算機(jī)302的配置信息時(shí)，或者當(dāng)網(wǎng)絡(luò)安全模塊304 加電時(shí)，網(wǎng)絡(luò)安全模塊進(jìn)入其默認(rèn)狀態(tài)，即完全鎖閉狀態(tài)。然而，如上所述，完全鎖閉狀態(tài)仍然允許計(jì)算機(jī)302與已知的、安全的位置進(jìn)行通信。作為例子，這些已知的、安全的位置包括操作系統(tǒng)更新所處于的位置。從而，用于可運(yùn)行更新過程，導(dǎo)致配置信息發(fā)送到網(wǎng)絡(luò)安全模塊304，即使計(jì)算機(jī)302配置了可用的最新的操作系統(tǒng)、防病毒軟件、應(yīng)用程序和設(shè)備驅(qū)動(dòng)器修訂版本和更新也是如此?？蛇x地，可提供特定的程序來通知網(wǎng)絡(luò)安全模塊304有關(guān)計(jì)算機(jī)系統(tǒng)的當(dāng)前配置。為了確保網(wǎng)絡(luò)安全模塊304和安全服務(wù)306之間的通信是可信的、未被破壞的，在本發(fā)明的一個(gè)實(shí)施例中，網(wǎng)絡(luò)安全模塊和安全服務(wù)之間的通信，例如安全請(qǐng)求和安全信息， 適宜加密的安全通信進(jìn)行傳遞的，例如使用加密套接字協(xié)議層(SSL)的安全通信。類似地， 網(wǎng)絡(luò)安全模塊304和計(jì)算機(jī)302之間的通信也類似的是安全的。根據(jù)本發(fā)明的可選方面，網(wǎng)絡(luò)安全模塊304連續(xù)工作，即獲得對(duì)應(yīng)于計(jì)算機(jī)302的安全信息，即使當(dāng)計(jì)算機(jī)關(guān)閉也是如此。例如，網(wǎng)絡(luò)安全模塊304可連續(xù)地獲得關(guān)于計(jì)算機(jī) 302的安全信息，所有信息都是對(duì)應(yīng)于計(jì)算機(jī)304加電時(shí)提供給計(jì)算機(jī)的最新的操作系統(tǒng)和/或防病毒軟件修訂版本數(shù)據(jù)。根據(jù)一個(gè)實(shí)施例，網(wǎng)絡(luò)安全模塊304連接至計(jì)算機(jī)的輔助電源線，如本領(lǐng)域的技術(shù)人員所已知的那樣，輔助電源線即使在計(jì)算機(jī)302關(guān)閉的情況下也向外圍設(shè)備提供電源。此外，如果網(wǎng)絡(luò)安全模塊304僅在計(jì)算機(jī)302工作時(shí)工作，當(dāng)網(wǎng)絡(luò)安全模塊恢復(fù)工作時(shí)，網(wǎng)絡(luò)安全模塊實(shí)施完全鎖閉，同時(shí)它獲得與計(jì)算機(jī)的當(dāng)前配置相對(duì)應(yīng)的最近的安全信息。根據(jù)本發(fā)明的另一個(gè)實(shí)施例，網(wǎng)絡(luò)安全模塊304可由用戶任選地禁用。這是有用的，因?yàn)榇嬖谀承r(shí)候有必要安全訪問網(wǎng)絡(luò)，這比冒來自計(jì)算機(jī)漏洞利用的攻擊的風(fēng)險(xiǎn)更為重要。例如，在試圖確診聯(lián)網(wǎng)困難/問題時(shí)，可能必須禁用網(wǎng)絡(luò)安全模塊304?？蛇x地，某些緊急情況，諸如使用E911 IP語音(VoIP)，可能需要禁用網(wǎng)絡(luò)安全模塊304。根據(jù)本發(fā)明的一個(gè)方面，當(dāng)被禁用時(shí)，網(wǎng)絡(luò)安全模塊304繼續(xù)獲得來自安全服務(wù) 306的安全信息，雖然它并不實(shí)施這些保護(hù)安全措施。連續(xù)地更新安全信息，這對(duì)于用戶來說是有利的，特別是在網(wǎng)絡(luò)安全模塊304僅僅暫時(shí)禁用的情況下更是如此，因?yàn)榫W(wǎng)絡(luò)安全模塊重新被激活時(shí)將具有最近的安全信息?？蛇x地，如果網(wǎng)絡(luò)安全模塊304被禁用，并且不繼續(xù)更新，則在與安全服務(wù)306無通信的預(yù)定時(shí)間周期之后，網(wǎng)絡(luò)安全模塊可回復(fù)到其默認(rèn)狀態(tài)，即完全鎖閉網(wǎng)絡(luò)活動(dòng)。安全服務(wù)306可實(shí)施為用于所有安全信息的單個(gè)服務(wù)器/源，或者可選地，可實(shí)施為分布在網(wǎng)絡(luò)Iio上的分級(jí)的服務(wù)器/源。在分級(jí)系統(tǒng)中，網(wǎng)絡(luò)安全模塊304初始配置有安全服務(wù)中的根服務(wù)器/服務(wù)，它總是存在的。然而，作為由安全服務(wù)返回的安全信息的一部分，也可能是在網(wǎng)絡(luò)安全模塊304和安全服務(wù)之間的第一次通信中返回的，安全服務(wù)提供關(guān)于安全服務(wù)的分級(jí)的信息。該信息可按照一個(gè)或多個(gè)范圍的網(wǎng)絡(luò)地址來提供，所有這些地址都是安全服務(wù)分級(jí)中的能夠向網(wǎng)絡(luò)安全模塊304提供適當(dāng)?shù)陌踩畔⒌墓?jié)點(diǎn)。此后， 網(wǎng)絡(luò)安全模塊304不必詢問原始節(jié)點(diǎn)來獲得信息。顯然，以分級(jí)方式實(shí)施安全服務(wù)的一個(gè)優(yōu)點(diǎn)在于，可容易地縮放安全服務(wù)，以適應(yīng)于請(qǐng)求信息的網(wǎng)絡(luò)安全模塊的數(shù)量，并且，安全服務(wù)分級(jí)中的原始節(jié)點(diǎn)將不會(huì)被來自網(wǎng)絡(luò)中的所有網(wǎng)絡(luò)安全模塊的安全信息請(qǐng)求所淹沒。 在網(wǎng)絡(luò)110中分布的分級(jí)結(jié)構(gòu)下，還會(huì)發(fā)生負(fù)載平衡，并且可將冗余度建立到系統(tǒng)中，使得如果分級(jí)中的一個(gè)節(jié)點(diǎn)發(fā)生故障，其它節(jié)點(diǎn)可進(jìn)入并提供安全信息。根據(jù)本發(fā)明的諸方面，使用本領(lǐng)域中的已知技術(shù)，例如端口模擬(port mimicking)，網(wǎng)絡(luò)安全模塊304對(duì)于計(jì)算機(jī)302和網(wǎng)絡(luò)110來說是透明的。一般來說，使用端口模擬，網(wǎng)絡(luò)安全模塊304表現(xiàn)為網(wǎng)絡(luò)110到計(jì)算機(jī)302，以及表現(xiàn)為計(jì)算機(jī)到網(wǎng)絡(luò)上的設(shè)備。從而，網(wǎng)絡(luò)活動(dòng)自由地通過網(wǎng)絡(luò)安全模塊304而在計(jì)算機(jī)302和網(wǎng)絡(luò)110之間流動(dòng)，除非網(wǎng)絡(luò)安全模塊確定通信是針對(duì)網(wǎng)絡(luò)安全模塊，例如操作系統(tǒng)更新更新或安全信息響應(yīng)，或者除非根據(jù)保護(hù)安全措施網(wǎng)絡(luò)安全模塊必須阻止網(wǎng)絡(luò)活動(dòng)。如上所述，作為詢問的結(jié)果，網(wǎng)絡(luò)安全模塊304從安全服務(wù)306獲得安全信息。本領(lǐng)域的技術(shù)人員將把它識(shí)別為輪詢(poll)系統(tǒng)，即向安全服務(wù)306輪詢安全信息。然而，在可選的實(shí)施例中，安全服務(wù)306有利地將重要的安全信息廣播到網(wǎng)絡(luò)110中的網(wǎng)絡(luò)安全模塊。例如，根據(jù)聯(lián)網(wǎng)環(huán)境300中的網(wǎng)絡(luò)安全模塊從安全服務(wù)306獲得安全信息的周期間隔， 如果某一特定的惡性計(jì)算機(jī)漏洞利用開始在網(wǎng)絡(luò)110上的傳播，安全服務(wù)將安全信息廣播到網(wǎng)絡(luò)安全模塊，而不是等待網(wǎng)絡(luò)安全模塊請(qǐng)求重要的安全信息。該安全信息下文中被稱為是安全公告，典型地將包括易受到計(jì)算機(jī)漏洞利用影響的所有配置、要采用的保護(hù)安全措施、以及指示出對(duì)應(yīng)的安全等級(jí)。根據(jù)本發(fā)明的一個(gè)實(shí)施例，安全公報(bào)是根據(jù)預(yù)定的模式組織的XML文檔。將信息向收聽者廣播的系統(tǒng)被稱為是下推系統(tǒng)(push system)，即安全服務(wù)306 將重要的安全信息下推到網(wǎng)絡(luò)安全模塊。根據(jù)本發(fā)明的諸方面，安全公告是使用“有保證的傳遞”服務(wù)的網(wǎng)絡(luò)上的廣播。在有保證的傳遞服務(wù)中，安全公告被標(biāo)識(shí)為高優(yōu)先級(jí)項(xiàng)目，并且按照網(wǎng)絡(luò)服務(wù)提供者，在傳遞可能在其它情況下首先傳遞的其它網(wǎng)絡(luò)通信之前傳遞。除了在計(jì)算機(jī)302進(jìn)行通信的同一網(wǎng)絡(luò)110上傳遞安全公告之外，很多時(shí)候進(jìn)行 “帶外”通信是有利的，即通過與網(wǎng)絡(luò)Iio分開的第二通信鏈路。圖;3B是說明用于實(shí)施本發(fā)明的諸方面的另外配置的聯(lián)網(wǎng)環(huán)境310的直觀圖，包括用于將安全信息傳遞到依附于網(wǎng)絡(luò) 110的網(wǎng)絡(luò)安全模塊的第二通信鏈路。如圖;3B所示，另外配置的聯(lián)網(wǎng)環(huán)境310包括與上述關(guān)于聯(lián)網(wǎng)環(huán)境300所述的組件相類似的組件，包括計(jì)算機(jī)302、安全服務(wù)306和網(wǎng)絡(luò)安全模塊304。然而，安全服務(wù)306還配置成通過第二通信鏈路314向網(wǎng)絡(luò)安全模塊304發(fā)送包括安全信息和/或安全公告的安全信息。根據(jù)本發(fā)明的諸方面，第二通信鏈路314可以是安全服務(wù)306和網(wǎng)絡(luò)安全模塊304 之間的衛(wèi)星通信鏈路、射頻廣播、或某種其它形式的次級(jí)通信。本領(lǐng)域的技術(shù)人員將認(rèn)識(shí)到可使用任何數(shù)量的通信信道。根據(jù)本發(fā)明的可選的方面，第二通信鏈路314可以是來自安全服務(wù)306和網(wǎng)絡(luò)安全模塊304的單向通信鏈路，或者是安全服務(wù)和安全模塊之間的雙向通信鏈路。此外，也可在來自安全服務(wù)306的第二通信鏈路314上下載如上所述的軟件更新或補(bǔ)丁。雖然網(wǎng)絡(luò)安全模塊304置于計(jì)算機(jī)302和因特網(wǎng)110之間，但是網(wǎng)絡(luò)安全模塊的實(shí)際實(shí)施例是可以變化的。在各種情況下，網(wǎng)絡(luò)安全模塊304被計(jì)算機(jī)302作為受信任的組件對(duì)待。根據(jù)一個(gè)實(shí)施例，網(wǎng)絡(luò)安全模塊304實(shí)現(xiàn)為硬件設(shè)備，有時(shí)稱為“dongle”，它位于計(jì)算機(jī)302的外部，具有連接至網(wǎng)絡(luò)110和計(jì)算機(jī)的連接?？蛇x地，網(wǎng)絡(luò)安全模塊304可以實(shí)現(xiàn)為集成在計(jì)算機(jī)302之內(nèi)的硬件組件，或計(jì)算機(jī)的網(wǎng)絡(luò)接口中的集成子組件。將網(wǎng)絡(luò)安全模塊304集成于計(jì)算機(jī)302中，或作為計(jì)算機(jī)網(wǎng)絡(luò)接口上的子組件，這在計(jì)算機(jī)302 通過無線連接連接至網(wǎng)絡(luò)110的情況下可能是尤其有用的。根據(jù)另一可選的實(shí)施例，網(wǎng)絡(luò)安全模塊可實(shí)現(xiàn)為計(jì)算機(jī)302的組件內(nèi)的邏輯，如微代碼或固件，計(jì)算機(jī)302的組件包括但不限于處理器、圖形處理單元、北橋或南橋。作為又一可選的實(shí)施例，網(wǎng)絡(luò)安全模塊304可實(shí)現(xiàn)為軟件模塊，連同操作系統(tǒng)一起或作為操作系統(tǒng)的一部分進(jìn)行工作，或作為安裝在計(jì)算機(jī)302上的單獨(dú)的應(yīng)用程序。軟件實(shí)現(xiàn)的網(wǎng)絡(luò)安全模塊304可工作在計(jì)算機(jī)302的第二處理器上。第二處理器可以或可以不與計(jì)算機(jī)的主處理器不對(duì)稱地實(shí)施其它計(jì)算機(jī)系統(tǒng)任務(wù)。因此，網(wǎng)絡(luò)安全模塊304不應(yīng)被解釋成局限于任何特定的實(shí)施例。應(yīng)該指出的是，本發(fā)明所實(shí)現(xiàn)的好處之一在于系統(tǒng)減輕了許多漏洞利用的影響。 例如，本領(lǐng)域的技術(shù)人員將認(rèn)識(shí)到拒絕服務(wù)(D0Q攻擊是一種利用網(wǎng)絡(luò)請(qǐng)求淹沒計(jì)算機(jī)的企圖，使得計(jì)算機(jī)耗盡其資源并崩潰，或者，錯(cuò)誤地進(jìn)入更容易受到外部攻擊/漏洞利用的攻擊的不明確的狀態(tài)。然而，利用網(wǎng)絡(luò)安全模塊304通過實(shí)施保護(hù)安全措施來響應(yīng)安全服務(wù)306，這些漏洞利用，包括可能的無法阻止的網(wǎng)絡(luò)請(qǐng)求就不會(huì)到達(dá)計(jì)算機(jī)302。為了更充分地理解上述組件如何工作來向計(jì)算機(jī)302提供增強(qiáng)的安全性，參考具有對(duì)應(yīng)事件的時(shí)間線上例示出的示例性的情況。圖4A和4B是說明用于說明本發(fā)明的組件的工作的示例性時(shí)間線的框圖。更為具體地，圖4A是說明用于示范出本發(fā)明如何使與網(wǎng)絡(luò) 110上新的計(jì)算機(jī)漏洞利用的釋放有關(guān)的計(jì)算機(jī)302的弱點(diǎn)窗口 406最小化的示例性時(shí)間線400的直觀圖。應(yīng)注意到，雖然按照攻擊操作系統(tǒng)的計(jì)算機(jī)漏洞利用來給出下面的說明， 但是這是出于說明目的，而不應(yīng)被解釋成對(duì)本發(fā)明的限制。本發(fā)明可用于保護(hù)代碼模塊、服務(wù)、甚至是計(jì)算機(jī)系統(tǒng)上的硬件設(shè)備。如時(shí)間線400所示，在事件402處，惡意方將新的計(jì)算機(jī)漏洞利用釋放到網(wǎng)絡(luò)110 上。新的計(jì)算機(jī)漏洞利用的釋放打開了連接至網(wǎng)絡(luò)110的作為新的計(jì)算機(jī)漏洞利用的目標(biāo)的計(jì)算機(jī)(如計(jì)算機(jī)302)的弱點(diǎn)窗口。在事件404，如上所述，通過操作系統(tǒng)提供商、防病毒軟件提供商或其它，檢測(cè)到新的計(jì)算機(jī)漏洞利用的存在。一旦檢測(cè)到新的計(jì)算機(jī)漏洞利用的存在，即使在識(shí)別出漏洞利用的攻擊的性質(zhì)或模式之前，在事件408處，操作系統(tǒng)提供商通過安全服務(wù)306公布安全信息。典型地，當(dāng)發(fā)現(xiàn)計(jì)算機(jī)漏洞利用，而其攻擊的性質(zhì)、外延或模式還未已知的情況下，安全服務(wù)將把所有明顯受感染的計(jì)算機(jī)的安全等級(jí)設(shè)置為紅色，即完全鎖閉。有利的是，一旦實(shí)施來自安全服務(wù) 306的安全措施，作為目標(biāo)的計(jì)算機(jī)的弱點(diǎn)窗口 406就關(guān)閉。與圖2B所示的弱點(diǎn)窗口 230相反，弱點(diǎn)窗口 406相對(duì)較小，從而將目標(biāo)計(jì)算機(jī)系統(tǒng)對(duì)新的計(jì)算機(jī)漏洞利用的暴露降至最低。顯然，弱點(diǎn)窗口(例如弱點(diǎn)窗口 406)打開的實(shí)際時(shí)間長(zhǎng)度取決于較少數(shù)量的因素。一個(gè)因素是檢測(cè)到計(jì)算機(jī)漏洞利用之前經(jīng)過的時(shí)間量。如上所討論的那樣，一般從新的計(jì)算機(jī)漏洞利用釋放后的十五分鐘至數(shù)小時(shí)內(nèi)檢測(cè)到該新的計(jì)算機(jī)漏洞利用。比第一因素更可變的第二因素是網(wǎng)絡(luò)安全模塊304從安全服務(wù) 306獲得安全信息而花費(fèi)的時(shí)間量。假設(shè)網(wǎng)絡(luò)安全模塊304可連續(xù)地獲得安全信息，它可能只花費(fèi)幾秒就獲得安全信息并實(shí)施對(duì)應(yīng)的安全措施。然而，如果網(wǎng)絡(luò)安全模塊304不能連續(xù)地與安全服務(wù)306通信，或者如果用于獲得安全信息的周期時(shí)間幀長(zhǎng)，則實(shí)施保護(hù)安全措施可能花費(fèi)很長(zhǎng)的時(shí)間。根據(jù)本發(fā)明的諸方面，如果安全模塊304與安全服務(wù)306失去聯(lián)系達(dá)預(yù)定的時(shí)間量，則網(wǎng)絡(luò)安全模塊默認(rèn)為完全鎖閉狀態(tài)，等待來自安全服務(wù)的未來通信。在公布了初始安全信息之后，操作系統(tǒng)提供商護(hù)或防病毒軟件提供商一般將繼續(xù)分析計(jì)算機(jī)漏洞利用，以更好地理解它如何工作和/或它攻擊哪些具體的計(jì)算機(jī)系統(tǒng)特征。通過該分析，就識(shí)別出第二組(也許是較不限制性的)保護(hù)措施，有弱點(diǎn)的計(jì)算機(jī)系統(tǒng)必須采用這些保護(hù)措施來防止計(jì)算機(jī)漏洞利用感染這些計(jì)算機(jī)。因此，在事件412處，以黃色安全等級(jí)以及標(biāo)識(shí)出保護(hù)措施來公布更新的安全信息，以阻止處于危險(xiǎn)中的網(wǎng)絡(luò)活動(dòng)， 即部分地鎖閉。例如，如上所述，保護(hù)安全措施可包括簡(jiǎn)單地阻止來往特定范圍的通信端口 (包括源和/或目的端口)的訪問，或禁用電子郵件通信、Web訪問或針對(duì)安裝在受保護(hù)的計(jì)算機(jī)系統(tǒng)上的操作系統(tǒng)、應(yīng)用程序、設(shè)備驅(qū)動(dòng)器等等的其它網(wǎng)絡(luò)活動(dòng)，同時(shí)允許其它網(wǎng)絡(luò)活動(dòng)自由流通。應(yīng)理解到“處于危險(xiǎn)中的”網(wǎng)絡(luò)活動(dòng)包括通過漏洞利用來表示對(duì)計(jì)算系統(tǒng)的威脅的網(wǎng)絡(luò)活動(dòng)，而不管該漏洞利用是攻擊計(jì)算機(jī)系統(tǒng)缺陷還是簡(jiǎn)單地濫用合法的計(jì)算機(jī)系統(tǒng)特征。此外，“處于危險(xiǎn)中的”網(wǎng)絡(luò)活動(dòng)包括針對(duì)計(jì)算機(jī)系統(tǒng)的由另一設(shè)備單方面地發(fā)起的網(wǎng)絡(luò)活動(dòng)。換言之，“處于危險(xiǎn)中的”網(wǎng)絡(luò)活動(dòng)包括針對(duì)僅僅連接至網(wǎng)絡(luò)的計(jì)算機(jī)系統(tǒng)的漏洞利用的網(wǎng)絡(luò)活動(dòng)。在事件414處，網(wǎng)絡(luò)安全模塊304獲得更新的安全信息，并且對(duì)應(yīng)的保護(hù)安全措施被實(shí)施。在事件416處，在操作系統(tǒng)提供商和/或防病毒軟件提供商產(chǎn)生和做出可用的軟
14件更新之后，公布額外的更新的安全信息。如果諸如來自操作系統(tǒng)提供商、防病毒軟件提供商或應(yīng)用程序提供商的更新之類的軟件更新安裝在計(jì)算機(jī)302上，則該額外的更新的安全信息可標(biāo)識(shí)出安全等級(jí)是綠色的。接著，在事件418處，獲得額外的更新的安全信息，軟件更新安裝在計(jì)算機(jī)302上，并且網(wǎng)絡(luò)安全模塊304允許自由的，即無限制的網(wǎng)絡(luò)訪問。圖4B是說明用于示范出本發(fā)明如何消除關(guān)于網(wǎng)絡(luò)110上的計(jì)算機(jī)漏洞利用的釋放而存在的弱點(diǎn)窗口的示例性時(shí)間線420的直觀圖，具體來說是利用先前識(shí)別出的弱點(diǎn)而非完全新的攻擊的漏洞利用。如所述，使用先前已知的弱點(diǎn)比完全新的攻擊更為普遍。在事件422處，操作系統(tǒng)提供商識(shí)別出在操作系統(tǒng)的當(dāng)前版本中的弱點(diǎn)的存在。響應(yīng)于識(shí)別出的弱點(diǎn)所形成的威脅，在事件4M處，操作系統(tǒng)提供商公布減輕威脅的安全信息，設(shè)置安全等級(jí)，并標(biāo)識(shí)出對(duì)應(yīng)的保護(hù)安全措施。在圖4B所示的當(dāng)前實(shí)施例中，假設(shè)弱點(diǎn)對(duì)連接至網(wǎng)絡(luò)110的計(jì)算機(jī)造成了相當(dāng)大的危險(xiǎn)，操作系統(tǒng)提供商公布將安全等級(jí)設(shè)置為紅色并具有實(shí)施完全鎖閉的安全措施的安全信息。在事件似6處，網(wǎng)絡(luò)安全模塊304獲得最近的安全信息，并實(shí)施完全鎖閉。應(yīng)注意到，實(shí)施安全措施以在補(bǔ)丁或“修正”可用之前保護(hù)計(jì)算機(jī)302不受識(shí)別出的弱點(diǎn)的影響。由于多數(shù)計(jì)算機(jī)漏洞利用是以某種方式從通過分析補(bǔ)丁所修補(bǔ)的弱點(diǎn)而獲得信息中得出的，因此搶先不給予惡意方有機(jī)會(huì)創(chuàng)建漏洞利用以攻擊該弱點(diǎn)。從而，不打開任何弱點(diǎn)窗口。顯然，該結(jié)果對(duì)于計(jì)算機(jī)用戶來說是相當(dāng)有用的，尤其是當(dāng)網(wǎng)絡(luò)安全模塊不實(shí)施安全措施時(shí)與圖2A所示的對(duì)應(yīng)的時(shí)間線200相反。通常，在進(jìn)一步分析計(jì)算機(jī)漏洞利用之后，操作系統(tǒng)提供商可確定一組較不限制性的保護(hù)措施，保護(hù)連接至網(wǎng)絡(luò)的計(jì)算機(jī)不受計(jì)算機(jī)漏洞利用的影響。從而，如圖4B所示， 在事件4 處，公布更新的安全公告，該安全公告設(shè)置黃色安全等級(jí)并包含對(duì)應(yīng)的保護(hù)安全措施，即部分鎖閉，專門針對(duì)被利用的弱點(diǎn)，同時(shí)允許所有其它的網(wǎng)絡(luò)活動(dòng)。對(duì)應(yīng)地，在事件430處，獲得更新的安全信息，網(wǎng)絡(luò)安全模塊304實(shí)施部分鎖閉。一旦操作系統(tǒng)補(bǔ)丁或防病毒更新可用，S卩如果安裝在計(jì)算機(jī)302上將保護(hù)計(jì)算機(jī)不受以所述弱點(diǎn)為目標(biāo)的計(jì)算機(jī)漏洞利用的影響，則在事件432處，操作系統(tǒng)提供商公布該信息，并指示出一旦安裝，則網(wǎng)絡(luò)安全模塊就可允許自由的網(wǎng)絡(luò)訪問，即一旦安裝補(bǔ)丁， 則將安全等級(jí)設(shè)置為綠色。對(duì)應(yīng)地，在事件434處，在計(jì)算機(jī)302上安裝了補(bǔ)丁或防病毒更新之后，網(wǎng)絡(luò)安全模塊304允許自由訪問。圖5是說明用于根據(jù)公布的安全信息動(dòng)態(tài)地控制計(jì)算機(jī)的網(wǎng)絡(luò)訪問的示例性例程500的流程圖。圖5包括兩個(gè)起始端，起始端502對(duì)應(yīng)于網(wǎng)絡(luò)安全模塊304的啟動(dòng)，起始端520對(duì)應(yīng)于接收來自計(jì)算機(jī)系統(tǒng)302的更新通知。首先在起始端502開始并進(jìn)行到塊 504，網(wǎng)絡(luò)安全模塊304實(shí)施與完全鎖閉相關(guān)的安全措施。如上所述，當(dāng)處于完全鎖閉中時(shí)， 計(jì)算機(jī)僅限于訪問已知的、受信任的網(wǎng)絡(luò)位置，包括安全服務(wù)306，以便獲得最新的安全狀態(tài)信息和任何可用的更新。在塊506，網(wǎng)絡(luò)安全模塊304從安全服務(wù)306獲得對(duì)應(yīng)于計(jì)算機(jī)的當(dāng)前配置的最新的安全信息。根據(jù)本發(fā)明的諸方面，網(wǎng)絡(luò)安全模塊304可通過向安全服務(wù)發(fā)出對(duì)信息的請(qǐng)求來獲得最新的安全信息?？蛇x地，網(wǎng)絡(luò)安全模塊304可按照安全服務(wù)306的廣播來獲得最新的安全信息，所述廣播或者通過第二通信鏈路或者通過網(wǎng)絡(luò)上的廣播。在判決塊508，根據(jù)從安全服務(wù)306獲得的最新的安全信息，網(wǎng)絡(luò)安全模塊304判斷當(dāng)前實(shí)施的安全措施以及對(duì)應(yīng)的安全等級(jí)是否是與獲得的安全信息保持最新。根據(jù)本發(fā)明的一個(gè)方面，按照網(wǎng)絡(luò)安全模塊當(dāng)前存儲(chǔ)的計(jì)算機(jī)系統(tǒng)的修訂版本信息與安全服務(wù)公布作為最新的修訂版本信息之間的簡(jiǎn)單比較，來做出判斷。如果當(dāng)前實(shí)施的安全措施不是最新的，則在塊510處，網(wǎng)絡(luò)安全模塊304獲得對(duì)應(yīng)于網(wǎng)絡(luò)安全模塊已存儲(chǔ)的關(guān)于該計(jì)算機(jī)系統(tǒng)的信息的用于該計(jì)算機(jī)系統(tǒng)的安全措施?？蛇x地(未示出)，安全措施可包含在獲得的安全信息中。一旦網(wǎng)絡(luò)安全模塊304具有安全措施，則在塊512處，網(wǎng)絡(luò)安全模塊實(shí)施該安全措施，并設(shè)置對(duì)應(yīng)的安全等級(jí)，如紅色、黃色或綠色。在實(shí)施了用于該計(jì)算機(jī)系統(tǒng)的安全措施后，或可選地如果當(dāng)前實(shí)施的安全措施對(duì)于該計(jì)算機(jī)系統(tǒng)來說是最新的，則在塊514，網(wǎng)絡(luò)安全模塊304進(jìn)入延遲狀態(tài)。該延遲狀態(tài)對(duì)應(yīng)于網(wǎng)絡(luò)安全模塊304周期性地詢問安全服務(wù)306以獲得最新的安全信息的時(shí)間周期。 在延遲了預(yù)定的時(shí)間量之后，過程返回到塊506，重復(fù)從安全服務(wù)306獲得最新的安全信息、判斷當(dāng)前實(shí)施的安全措施對(duì)于計(jì)算機(jī)系統(tǒng)是否是最新的、以及實(shí)施任何新的安全措施的過程。如圖5所示，示例性例程500不具有結(jié)束端，因?yàn)樗辉O(shè)計(jì)成連續(xù)工作以保護(hù)計(jì)算機(jī)302不受計(jì)算機(jī)漏洞利用的影響。然而，本領(lǐng)域的技術(shù)人員將認(rèn)識(shí)到，如上所述，如果網(wǎng)絡(luò)安全模塊304關(guān)閉、與示例性的聯(lián)網(wǎng)環(huán)境300斷開連接、或被用戶明確禁用，則例程500 將終止。關(guān)于另外的起始端520，該進(jìn)入點(diǎn)表示網(wǎng)絡(luò)安全模塊304接收來自計(jì)算機(jī)系統(tǒng)的更新通知的情況。如先前所討論的那樣，作為更新計(jì)算機(jī)系統(tǒng)的步驟之一，適用于利用本發(fā)明的應(yīng)用程序?qū)⑼ㄖW(wǎng)絡(luò)安全模塊新的當(dāng)前修訂版本信息。例如，在更新防病毒軟件的同時(shí)，過程的一個(gè)步驟將是發(fā)出針對(duì)網(wǎng)絡(luò)安全模塊304的通知，通知網(wǎng)絡(luò)安全模塊新的當(dāng)前修訂版本。從而，在塊522處，網(wǎng)絡(luò)安全模塊接收更新通知。在塊524，網(wǎng)絡(luò)安全模塊存儲(chǔ)更新通知信息，以稍后用于確定當(dāng)前實(shí)施的安全措施是否是最新的。操作系統(tǒng)更新以及其它代碼模塊更新也可適應(yīng)于向網(wǎng)絡(luò)安全模塊304提供通知，使得安全系統(tǒng)可做出關(guān)于保護(hù)任何給定的計(jì)算機(jī)系統(tǒng)所必須的適當(dāng)?shù)陌踩胧┑母浞值呐袥Q。在存儲(chǔ)了信息之后，例程500進(jìn)入到塊506，如上所述，開始從安全服務(wù)306獲得最新的安全信息、判斷當(dāng)前實(shí)施的安全措施對(duì)于計(jì)算機(jī)系統(tǒng)是否是最新的、以及實(shí)施任何新的安全措施的步驟。作為替代(未示出)，在塊5M處接收了更新的計(jì)算機(jī)系統(tǒng)信息之后， 網(wǎng)絡(luò)安全模塊可等待以獲得安全狀態(tài)信息，直到當(dāng)前延遲狀態(tài)結(jié)束為止。圖6是說明用于在示例性聯(lián)網(wǎng)環(huán)境300中廣播用于網(wǎng)絡(luò)安全模塊(如網(wǎng)絡(luò)安全模塊304)的安全信息的示例性例程600的流程圖。起始于塊602，安全服務(wù)306從各種源獲得與安全有關(guān)的信息。例如，安全服務(wù)306—般將從操作系統(tǒng)提供商、防病毒軟件提供商獲得關(guān)于最新的修訂版本、補(bǔ)丁、和可用更新的信息，以及通過各種補(bǔ)丁和更新而解決的計(jì)算機(jī)漏洞利用和/或弱點(diǎn)。也可輪詢其它源(包括各種政府機(jī)構(gòu)、安全專家等)關(guān)于與安全有關(guān)的信息。在塊604，安全服務(wù)306獲得與連接至網(wǎng)絡(luò)110的計(jì)算機(jī)系統(tǒng)的弱點(diǎn)有關(guān)的信息。 該信息可來自操作系統(tǒng)提供商、防病毒軟件提供商或檢測(cè)到該弱點(diǎn)的其它方。在塊606，安全服務(wù)306根據(jù)弱點(diǎn)所引起的威脅判斷安全等級(jí)(如紅色、黃色或綠色)以及要求網(wǎng)絡(luò)安
16全模塊(如網(wǎng)絡(luò)安全模塊304)所實(shí)施的保護(hù)安全措施，以保護(hù)受影響的計(jì)算機(jī)不受關(guān)于該弱點(diǎn)的計(jì)算機(jī)漏洞利用的攻擊。在塊606，如上所述，安全服務(wù)306向依附于網(wǎng)絡(luò)110的網(wǎng)絡(luò)安全模塊廣播安全公告，包括安全等級(jí)和對(duì)應(yīng)的保護(hù)安全措施。如上所討論的那樣，安全服務(wù)306可通過向所有網(wǎng)絡(luò)安全模塊發(fā)出網(wǎng)絡(luò)范圍的廣播來廣播安全公告。該網(wǎng)絡(luò)范圍的廣播可以基于網(wǎng)絡(luò)110， 任選地使用上述的有保證的傳遞選項(xiàng)，或基于聯(lián)網(wǎng)環(huán)境300中至網(wǎng)絡(luò)安全設(shè)備的第二通信鏈路314。在廣播安全公告之后，例程600終止。圖7是說明由安全服務(wù)306實(shí)施的用以接收和響應(yīng)來自網(wǎng)絡(luò)安全模塊304的安全信息請(qǐng)求的示例性例程700的流程圖。起始于塊702，安全服務(wù)306從網(wǎng)絡(luò)安全設(shè)備304接收安全信息請(qǐng)求。如已經(jīng)描述的那樣，安全信息請(qǐng)求可包括對(duì)應(yīng)于計(jì)算機(jī)的當(dāng)前配置的信肩、ο在塊704，根據(jù)網(wǎng)絡(luò)安全模塊所提供的安全信息請(qǐng)求中的特定計(jì)算機(jī)的配置信息， 安全服務(wù)306識(shí)別與安全信息請(qǐng)求中的計(jì)算機(jī)的當(dāng)前配置信息相對(duì)應(yīng)的相關(guān)安全信息。根據(jù)一個(gè)實(shí)施例，安全服務(wù)306通過根據(jù)計(jì)算機(jī)的配置信息確定保護(hù)計(jì)算機(jī)302 所需要的保護(hù)安全措施來識(shí)別相關(guān)的安全信息。根據(jù)另一實(shí)施例，安全服務(wù)306通過將對(duì)應(yīng)于特定計(jì)算機(jī)的配置的所有安全信息返回以用于進(jìn)一步由網(wǎng)絡(luò)安全模塊處理來確定應(yīng)當(dāng)實(shí)施的保護(hù)安全措施，來識(shí)別相關(guān)的安全信息。作為又一替代，安全服務(wù)306通過返回隨后將從網(wǎng)絡(luò)安全設(shè)備轉(zhuǎn)送到計(jì)算機(jī)302的對(duì)應(yīng)于特定的計(jì)算機(jī)配置的所有安全信息來識(shí)別相關(guān)的安全信息，使得計(jì)算機(jī)能夠向網(wǎng)絡(luò)安全模塊要實(shí)施哪些保護(hù)安全措施。也可使用上述可選方案的組合以及其它系統(tǒng)。因此，本發(fā)明不應(yīng)被解釋成局限于任一特定實(shí)施例。在塊706，安全服務(wù)306將相關(guān)的安全信息返回到做出請(qǐng)求的網(wǎng)絡(luò)安全模塊304。 此后，例程700終止。圖8是說明由網(wǎng)絡(luò)安全模塊304實(shí)施的用于根據(jù)從安全服務(wù)306獲得的安全措施來控制計(jì)算機(jī)302和網(wǎng)絡(luò)之間的網(wǎng)絡(luò)通信流的示例性方法800的流程圖。起始于塊802，網(wǎng)絡(luò)安全模塊304解說網(wǎng)絡(luò)通信，包括來到計(jì)算機(jī)302的網(wǎng)絡(luò)通信以及源自計(jì)算機(jī)的網(wǎng)絡(luò)通在判決塊804，做出關(guān)于網(wǎng)絡(luò)通信是否是來自或前往受信任的網(wǎng)絡(luò)站點(diǎn)(例如安全服務(wù)、防病毒軟件提供商、操作系統(tǒng)提供商等等)的判決。如果網(wǎng)絡(luò)通信是來自或前往受信任的網(wǎng)絡(luò)站點(diǎn)，則例程進(jìn)行到塊810，在塊810，允許網(wǎng)絡(luò)通信流過網(wǎng)絡(luò)安全模塊304，并且例程800接著終止。然而，如果網(wǎng)絡(luò)通信不是來自或前往受信任的網(wǎng)絡(luò)站點(diǎn)，則例程進(jìn)入到判決塊806。在判決塊806，做出關(guān)于網(wǎng)絡(luò)通信是否根據(jù)當(dāng)前實(shí)施的安全措施而受到限制的另一判斷。如果根據(jù)當(dāng)前實(shí)施的安全措施，網(wǎng)絡(luò)通信不受限制，則例程進(jìn)行到塊810，在塊 810，允許網(wǎng)絡(luò)通信流過網(wǎng)絡(luò)安全模塊304，并且例程800接著終止。然而，如果根據(jù)當(dāng)前實(shí)施的安全措施，網(wǎng)絡(luò)通信受到限制，責(zé)例程進(jìn)行到塊808，在塊808，不允許網(wǎng)絡(luò)通信流過網(wǎng)絡(luò)安全模塊304。此后，例程800終止。雖然網(wǎng)絡(luò)安全模塊304置于計(jì)算機(jī)302和因特網(wǎng)110之間，網(wǎng)絡(luò)安全模塊的實(shí)際實(shí)施例是可變化的。根據(jù)圖3所例示的實(shí)施例，網(wǎng)絡(luò)安全模塊304可實(shí)現(xiàn)為計(jì)算機(jī)302外部的硬件設(shè)備，具有對(duì)因特網(wǎng)110和計(jì)算機(jī)302的連接。然而，本發(fā)明不應(yīng)被解釋成局限于該實(shí)施例。作為一個(gè)替代(未示出)，網(wǎng)絡(luò)安全模塊304可以是集成作為計(jì)算機(jī)302內(nèi)的組件的組件，或作為計(jì)算機(jī)的網(wǎng)絡(luò)接口內(nèi)的子組件。這兩個(gè)實(shí)施例在計(jì)算機(jī)302通過無線連接連接至因特網(wǎng)110時(shí)是尤其有用的。作為又一個(gè)替代實(shí)施例，網(wǎng)絡(luò)安全模塊304可實(shí)現(xiàn)為集成在操作系統(tǒng)內(nèi)的軟件模塊，或作為安裝在計(jì)算機(jī)302上的單獨(dú)的模塊。因此，網(wǎng)絡(luò)安全模塊304不應(yīng)被解釋成局限于任何特定的實(shí)際的或邏輯的實(shí)施例。
雖然已經(jīng)例示和描述了本發(fā)明的較佳實(shí)施例，但是應(yīng)理解可做出各種改變而不背離本發(fā)明的精神和范圍。
權(quán)利要求
1.一種用于保護(hù)計(jì)算設(shè)備不受網(wǎng)絡(luò)上的安全威脅影響的網(wǎng)絡(luò)安全模塊，所述網(wǎng)絡(luò)安全模塊包括將網(wǎng)絡(luò)安全模塊連接至計(jì)算設(shè)備的計(jì)算設(shè)備連接；將網(wǎng)絡(luò)安全模塊連接至網(wǎng)絡(luò)的網(wǎng)絡(luò)連接；存儲(chǔ)用于保護(hù)計(jì)算設(shè)備的安全信息的網(wǎng)絡(luò)安全模塊存儲(chǔ)器；網(wǎng)絡(luò)安全模塊處理器；以及安全實(shí)施模塊，所述安全實(shí)施模塊通過使用網(wǎng)絡(luò)安全模塊處理器來實(shí)現(xiàn)存儲(chǔ)在網(wǎng)絡(luò)安全模塊上的網(wǎng)絡(luò)安全模塊存儲(chǔ)器中的暫時(shí)安全補(bǔ)丁，從而既保護(hù)計(jì)算設(shè)備不受網(wǎng)絡(luò)上的安全威脅影響、又使計(jì)算設(shè)備能無需實(shí)施在其他方式中需要實(shí)現(xiàn)的必需保護(hù)性安全措施而進(jìn)行操作，其中通過在將相應(yīng)的安全補(bǔ)丁安裝在計(jì)算設(shè)備上之前在網(wǎng)絡(luò)安全模塊本身上實(shí)現(xiàn)暫時(shí)安全補(bǔ)丁，所述安全實(shí)施模塊作為計(jì)算設(shè)備功能的擴(kuò)展和/或修改，使得網(wǎng)絡(luò)安全模塊本身提供了用于安裝在計(jì)算設(shè)備上的相應(yīng)安全補(bǔ)丁被配置來提供的功能中的至少一些；其中，網(wǎng)絡(luò)安全模塊置于計(jì)算設(shè)備和網(wǎng)絡(luò)之間，使得計(jì)算設(shè)備和網(wǎng)絡(luò)間的所有網(wǎng)絡(luò)活動(dòng)都通過網(wǎng)絡(luò)安全模塊。
2.如權(quán)利要求1所述的網(wǎng)絡(luò)安全模塊，其特征在于，所述安全實(shí)施模塊還實(shí)現(xiàn)存儲(chǔ)在網(wǎng)絡(luò)安全模塊存儲(chǔ)器中的安全措施來保護(hù)計(jì)算設(shè)備不受網(wǎng)絡(luò)上的安全威脅影響，其中所述安全措施限制了計(jì)算設(shè)備和網(wǎng)絡(luò)之間的網(wǎng)絡(luò)活動(dòng)。
3.如權(quán)利要求2所述的網(wǎng)絡(luò)安全模塊，其特征在于，安全實(shí)施模塊所實(shí)現(xiàn)的安全措施和計(jì)算設(shè)備的當(dāng)前位置以及當(dāng)前由安全實(shí)施模塊使用網(wǎng)絡(luò)安全模塊處理器在網(wǎng)絡(luò)安全模塊上實(shí)現(xiàn)的任何安全補(bǔ)丁相對(duì)應(yīng)。
4.如權(quán)利要求3所述的網(wǎng)絡(luò)安全模塊，其特征在于，在獲得和對(duì)計(jì)算設(shè)備的安全威脅有關(guān)的安全信息后，所述網(wǎng)絡(luò)安全模塊確定暫時(shí)安全補(bǔ)丁是否可用于在網(wǎng)絡(luò)安全模塊上實(shí)現(xiàn)；以及將可用的暫時(shí)安全補(bǔ)丁下載到安全模塊存儲(chǔ)器中；以及經(jīng)由安全實(shí)施模塊實(shí)現(xiàn)安全補(bǔ)丁。
5.如權(quán)利要求4所述的網(wǎng)絡(luò)安全模塊，其特征在于，在獲得和對(duì)計(jì)算設(shè)備的安全威脅有關(guān)的安全信息后并且如果暫時(shí)安全補(bǔ)丁可用，所述網(wǎng)絡(luò)安全模塊就獲得和當(dāng)前計(jì)算設(shè)備配置以及當(dāng)前在網(wǎng)絡(luò)安全模塊上實(shí)現(xiàn)的暫時(shí)安全補(bǔ)丁相對(duì)應(yīng)的經(jīng)更新的安全信息。
6.如權(quán)利要求4所述的網(wǎng)絡(luò)安全模塊，其特征在于，在從計(jì)算設(shè)備接收配置信息之后， 所述網(wǎng)絡(luò)安全模塊確定計(jì)算設(shè)備是否安裝了和當(dāng)前在網(wǎng)絡(luò)安全模塊上實(shí)現(xiàn)的暫時(shí)安全補(bǔ)丁相對(duì)應(yīng)的安全補(bǔ)丁，并且如果是停止在其本身上實(shí)現(xiàn)和安裝在計(jì)算設(shè)備上的安全補(bǔ)丁相對(duì)應(yīng)的任何暫時(shí)安全補(bǔ)丁 ；以及從安全模塊存儲(chǔ)器移除相應(yīng)的暫時(shí)安全補(bǔ)丁。
7.如權(quán)利要求6所述的網(wǎng)絡(luò)安全模塊，其特征在于，在從計(jì)算設(shè)備接收配置信息之后并且如果計(jì)算設(shè)備安裝了和網(wǎng)絡(luò)安全模塊上實(shí)現(xiàn)的暫時(shí)安全補(bǔ)丁相對(duì)應(yīng)的安全補(bǔ)丁，所述網(wǎng)絡(luò)安全模塊根據(jù)計(jì)算設(shè)備的配置以及當(dāng)前在網(wǎng)絡(luò)安全模塊上實(shí)現(xiàn)的安全補(bǔ)丁來獲得經(jīng)更新的安全信息。
8.一種用于向聯(lián)網(wǎng)計(jì)算機(jī)提供安全網(wǎng)絡(luò)活動(dòng)的聯(lián)網(wǎng)系統(tǒng)，所述聯(lián)網(wǎng)系統(tǒng)包括用于向聯(lián)網(wǎng)計(jì)算機(jī)提供安全信息的安全服務(wù)；經(jīng)由網(wǎng)絡(luò)耦合至安全服務(wù)的多個(gè)聯(lián)網(wǎng)計(jì)算機(jī)；以及多個(gè)網(wǎng)絡(luò)安全模塊，使得對(duì)于每個(gè)聯(lián)網(wǎng)計(jì)算機(jī)有一個(gè)相應(yīng)的網(wǎng)絡(luò)安全模塊，其中每個(gè)網(wǎng)絡(luò)安全模塊被置于網(wǎng)絡(luò)和聯(lián)網(wǎng)計(jì)算機(jī)之間，使得聯(lián)網(wǎng)計(jì)算機(jī)和網(wǎng)絡(luò)間的所有網(wǎng)絡(luò)活動(dòng)都通過網(wǎng)絡(luò)安全模塊，每個(gè)安全模塊具有安全模塊存儲(chǔ)器和安全模塊處理器，所述安全模塊存儲(chǔ)器被配置成存儲(chǔ)一個(gè)或多個(gè)暫時(shí)安全補(bǔ)丁，所述安全模塊處理器被配置成實(shí)現(xiàn)暫時(shí)安全補(bǔ)丁 ；以及其中每個(gè)網(wǎng)絡(luò)安全模塊被配置成，使用網(wǎng)絡(luò)安全模塊處理器在網(wǎng)絡(luò)安全模塊本身上實(shí)現(xiàn)多個(gè)暫時(shí)安全補(bǔ)丁，從而既保護(hù)聯(lián)網(wǎng)計(jì)算機(jī)不受網(wǎng)絡(luò)上的安全威脅影響、又使聯(lián)網(wǎng)計(jì)算機(jī)能無需實(shí)施在其他方式中需要實(shí)現(xiàn)的必需保護(hù)性安全措施而進(jìn)行操作，其中通過在將相應(yīng)的安全補(bǔ)丁安裝在聯(lián)網(wǎng)計(jì)算機(jī)上之前在網(wǎng)絡(luò)安全模塊本身上實(shí)現(xiàn)多個(gè)暫時(shí)安全補(bǔ)丁中的一個(gè)安全補(bǔ)丁來保護(hù)聯(lián)網(wǎng)計(jì)算機(jī)，所述網(wǎng)絡(luò)安全模塊本身作為聯(lián)網(wǎng)計(jì)算機(jī)功能的擴(kuò)展和 /或修改，使得網(wǎng)絡(luò)安全模塊本身提供了用于安裝在聯(lián)網(wǎng)計(jì)算機(jī)上的相應(yīng)安全補(bǔ)丁被配置來提供的功能中的至少一些。
9.如權(quán)利要求8所述的聯(lián)網(wǎng)系統(tǒng)，其特征在于，每個(gè)網(wǎng)絡(luò)安全模塊還被配置成實(shí)現(xiàn)存儲(chǔ)在網(wǎng)絡(luò)安全模塊存儲(chǔ)器中的安全措施來保護(hù)計(jì)算設(shè)備不受網(wǎng)絡(luò)上的安全威脅影響，其中所實(shí)現(xiàn)的安全措施限制了聯(lián)網(wǎng)計(jì)算機(jī)和網(wǎng)絡(luò)之間的網(wǎng)絡(luò)活動(dòng)。
10.如權(quán)利要求9所述的聯(lián)網(wǎng)系統(tǒng)，其特征在于，每個(gè)網(wǎng)絡(luò)安全模塊被配置成使用網(wǎng)絡(luò)安全模塊的處理器來實(shí)現(xiàn)多個(gè)暫時(shí)安全補(bǔ)丁并且被配置成根據(jù)其相應(yīng)的聯(lián)網(wǎng)計(jì)算機(jī)的配置來實(shí)現(xiàn)安全措施。
11.如權(quán)利要求10所述的聯(lián)網(wǎng)系統(tǒng)，其特征在于，在獲得和對(duì)聯(lián)網(wǎng)計(jì)算機(jī)的安全威脅有關(guān)的安全信息后，網(wǎng)絡(luò)安全模塊確定暫時(shí)安全補(bǔ)丁是否可用于網(wǎng)絡(luò)安全模塊，并且如果是將可用的暫時(shí)安全補(bǔ)丁下載到網(wǎng)絡(luò)安全模塊存儲(chǔ)器中；以及使用網(wǎng)絡(luò)安全模塊的處理器來實(shí)現(xiàn)所述暫時(shí)安全補(bǔ)丁。
12.如權(quán)利要求11所述的聯(lián)網(wǎng)系統(tǒng)，其特征在于，在獲得和對(duì)聯(lián)網(wǎng)計(jì)算機(jī)的安全威脅有關(guān)的安全信息后并且如果安全補(bǔ)丁可用，所述網(wǎng)絡(luò)安全模塊就根據(jù)聯(lián)網(wǎng)計(jì)算機(jī)的當(dāng)前配置以及當(dāng)前由網(wǎng)絡(luò)安全模塊實(shí)現(xiàn)并且在其上實(shí)現(xiàn)的安全補(bǔ)丁來獲得經(jīng)更新的安全措施。
13.如權(quán)利要求12所述的聯(lián)網(wǎng)系統(tǒng)，其特征在于，所述網(wǎng)絡(luò)安全模塊從其相應(yīng)的聯(lián)網(wǎng)計(jì)算機(jī)接收當(dāng)前配置信息，并且在接收配置信息之后，所述網(wǎng)絡(luò)安全模塊確定聯(lián)網(wǎng)計(jì)算機(jī)是否安裝了和網(wǎng)絡(luò)安全模塊所實(shí)現(xiàn)的暫時(shí)安全補(bǔ)丁相對(duì)應(yīng)的安全補(bǔ)丁，并且如果是停止實(shí)現(xiàn)和安裝在聯(lián)網(wǎng)計(jì)算機(jī)上的安全補(bǔ)丁相對(duì)應(yīng)的任何暫時(shí)安全補(bǔ)丁 ；以及從網(wǎng)絡(luò)安全模塊存儲(chǔ)器移除相應(yīng)的安全補(bǔ)丁。
14.如權(quán)利要求13所述的聯(lián)網(wǎng)系統(tǒng)，其特征在于，在從其相應(yīng)的聯(lián)網(wǎng)計(jì)算機(jī)接收當(dāng)前配置信息之后并且如果聯(lián)網(wǎng)計(jì)算機(jī)安裝了和網(wǎng)絡(luò)安全模塊所實(shí)現(xiàn)的暫時(shí)安全補(bǔ)丁相對(duì)應(yīng)的安全補(bǔ)丁，所述網(wǎng)絡(luò)安全模塊根據(jù)聯(lián)網(wǎng)計(jì)算機(jī)的當(dāng)前配置以及當(dāng)前由網(wǎng)絡(luò)安全模塊實(shí)現(xiàn)的安全補(bǔ)丁來獲得經(jīng)更新的安全信息。
15.一種在置于聯(lián)網(wǎng)設(shè)備和網(wǎng)絡(luò)之間的網(wǎng)絡(luò)安全模塊上實(shí)現(xiàn)的用于保護(hù)聯(lián)網(wǎng)設(shè)備不受網(wǎng)絡(luò)攻擊影響的方法，所述方法包括從聯(lián)網(wǎng)設(shè)備接收當(dāng)前配置信息；根據(jù)從聯(lián)網(wǎng)設(shè)備接收的當(dāng)前配置信息來確定暫時(shí)安全補(bǔ)丁是否從安全服務(wù)可用以便在網(wǎng)絡(luò)安全模塊上實(shí)現(xiàn)，并且如果是；將暫時(shí)安全補(bǔ)丁從安全服務(wù)下載至網(wǎng)絡(luò)安全模塊的存儲(chǔ)器；以及使用網(wǎng)絡(luò)安全模塊的處理器在網(wǎng)絡(luò)安全模塊本身上實(shí)現(xiàn)所下載的暫時(shí)安全補(bǔ)丁，從而既保護(hù)聯(lián)網(wǎng)設(shè)備不受網(wǎng)絡(luò)上的安全威脅影響、又使聯(lián)網(wǎng)設(shè)備能無需實(shí)施在其他方式中需要實(shí)現(xiàn)的必需保護(hù)性安全措施而進(jìn)行操作；其中通過在網(wǎng)絡(luò)安全模塊本身上實(shí)現(xiàn)暫時(shí)安全補(bǔ)丁，所述網(wǎng)絡(luò)安全模塊本身作為聯(lián)網(wǎng)設(shè)備功能的擴(kuò)展和/或修改，使得網(wǎng)絡(luò)安全模塊本身提供了用于安裝在聯(lián)網(wǎng)設(shè)備上的相應(yīng)安全補(bǔ)丁被配置來提供的功能中的至少一些。
16.如權(quán)利要求15所述的方法，還包括在從聯(lián)網(wǎng)設(shè)備接收當(dāng)前配置信息后 確定網(wǎng)絡(luò)安全模塊是否正在使用它的處理器在網(wǎng)絡(luò)安全模塊上實(shí)現(xiàn)暫時(shí)安全補(bǔ)丁，其中所述暫時(shí)安全補(bǔ)丁的功能現(xiàn)在由安裝在聯(lián)網(wǎng)設(shè)備上的相應(yīng)安全補(bǔ)丁來實(shí)現(xiàn)，并且如果是停止實(shí)現(xiàn)其功能現(xiàn)在在聯(lián)網(wǎng)設(shè)備上實(shí)現(xiàn)的暫時(shí)安全補(bǔ)??；以及從網(wǎng)絡(luò)安全模塊存儲(chǔ)器移除其功能現(xiàn)在在聯(lián)網(wǎng)設(shè)備上實(shí)現(xiàn)的暫時(shí)安全補(bǔ)丁；以及下載和聯(lián)網(wǎng)設(shè)備的當(dāng)前配置以及當(dāng)前由網(wǎng)絡(luò)安全模塊實(shí)現(xiàn)的安全補(bǔ)丁相對(duì)應(yīng)的保護(hù)性安全性措施；以及實(shí)現(xiàn)保護(hù)性安全措施。
全文摘要
本發(fā)明涉及保護(hù)連接至網(wǎng)絡(luò)的計(jì)算機(jī)系統(tǒng)不受攻擊的系統(tǒng)和方法。給出了一種用于保護(hù)連接至通信網(wǎng)絡(luò)的計(jì)算設(shè)備不受被識(shí)別出的安全威脅的影響的網(wǎng)絡(luò)安全系統(tǒng)。安全服務(wù)將針對(duì)網(wǎng)絡(luò)安全模塊的安全信息公布到通信網(wǎng)絡(luò)中。網(wǎng)絡(luò)安全模塊邏輯上或物理上置于計(jì)算機(jī)和通信網(wǎng)絡(luò)之間。安全信息包括安全措施，當(dāng)由網(wǎng)絡(luò)安全模塊實(shí)施時(shí)，保護(hù)對(duì)應(yīng)的計(jì)算機(jī)不受到對(duì)該計(jì)算機(jī)的識(shí)別出的安全威脅的影響。
文檔編號(hào)G06F21/20GK102158489SQ20111008632
公開日2011年8月17日 申請(qǐng)日期2005年2月16日 優(yōu)先權(quán)日2004年2月13日
發(fā)明者A·M·查德雷, A·法蘭克, C·A·喬帕, T·G·菲利普斯, W·J·韋斯特林寧 申請(qǐng)人:微軟公司