專利名稱：用于在安全通信中保護(hù)計(jì)算設(shè)備不受網(wǎng)絡(luò)環(huán)境散布的計(jì)算機(jī)惡意行為危害的系統(tǒng)和方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種用于在安全通信中保護(hù)計(jì)算設(shè)備不受網(wǎng)絡(luò)環(huán)境散布的計(jì)算機(jī)惡意行為(exploit)危害的系統(tǒng)和方法。
背景技術(shù)：
隨著越來越多的計(jì)算機(jī)和計(jì)算裝置通過諸如Internet的各種網(wǎng)路被相互連接起來，計(jì)算機(jī)安全已經(jīng)變得日益重要，尤其是阻止通過網(wǎng)絡(luò)或信息流發(fā)出的入侵或攻擊。正如本領(lǐng)域的技術(shù)人員所認(rèn)識(shí)到的，這些攻擊是以不同的形式出現(xiàn)的，其包括，但當(dāng)然不局限于；計(jì)算機(jī)病毒、計(jì)算機(jī)惡意程序、系統(tǒng)部件替換、服務(wù)拒絕的攻擊、甚至合法計(jì)算機(jī)系統(tǒng)性能的誤用/濫用，所有的這些都以非法目的而利用了一個(gè)或多個(gè)計(jì)算機(jī)系統(tǒng)的弱點(diǎn)。但本領(lǐng)域的技術(shù)人員應(yīng)認(rèn)識(shí)到各種計(jì)算機(jī)攻擊在技術(shù)上都彼此不同，針對(duì)本發(fā)明的目的來說并且為簡(jiǎn)單描述，所有的這些攻擊下面一般稱為計(jì)算機(jī)惡意行為，或者更簡(jiǎn)單地稱為惡意行為。
當(dāng)一臺(tái)計(jì)算機(jī)被一個(gè)計(jì)算機(jī)惡意行為攻擊或者“感染”時(shí)，其不利結(jié)果是不同的，包括使計(jì)算機(jī)裝置不能使用；清除或者破壞防火墻、應(yīng)用程序或者數(shù)據(jù)文件；將可能的敏感數(shù)據(jù)傳送給網(wǎng)絡(luò)上的另一個(gè)存儲(chǔ)單元；或者使計(jì)算機(jī)系統(tǒng)崩潰。但是，盡管不是所有，許多計(jì)算機(jī)惡意行為的另一個(gè)致命方面就是一臺(tái)感染的計(jì)算機(jī)系統(tǒng)易于感染其它計(jì)算機(jī)。


圖1是表示一般在其上散布計(jì)算機(jī)惡意行為的典型網(wǎng)絡(luò)環(huán)境100的示圖。如圖1所示，典型的網(wǎng)絡(luò)環(huán)境100包括多個(gè)計(jì)算機(jī)102-108，所有的這些計(jì)算機(jī)都通過諸如內(nèi)聯(lián)網(wǎng)的通信網(wǎng)絡(luò)110或者通過包括一般被稱為Internet的全球TCP/IP網(wǎng)絡(luò)的更大的通信網(wǎng)絡(luò)相互連接。無論為了什么目的，連接到網(wǎng)絡(luò)110的計(jì)算機(jī)的惡意部分，例如計(jì)算機(jī)102，產(chǎn)生一個(gè)計(jì)算機(jī)惡意行為112并將其在網(wǎng)絡(luò)上釋放。如箭頭114所指示，被釋放的計(jì)算機(jī)惡意行為112被一臺(tái)或多臺(tái)計(jì)算機(jī)，如計(jì)算機(jī)104，所接收并傳染給它。正如許多計(jì)算機(jī)惡意行為的一般特性，一旦感染，計(jì)算機(jī)104就易于感染其它計(jì)算機(jī)，如箭頭116所指示的計(jì)算機(jī)106，計(jì)算機(jī)106反過來感染其它計(jì)算機(jī)，如箭頭118所指示的計(jì)算機(jī)108。顯然，由于現(xiàn)代計(jì)算機(jī)網(wǎng)絡(luò)的速度和范圍，計(jì)算機(jī)惡意行為112可以以指數(shù)速度“生長(zhǎng)”，并且快速成為局部流行病毒，并可快速升級(jí)為全球計(jì)算機(jī)傳染病毒。
預(yù)防計(jì)算機(jī)惡意行為并且特別是計(jì)算機(jī)病毒和蠕蟲的傳統(tǒng)防御工具是防病毒軟件。通常，防病毒軟件掃描輸入的數(shù)據(jù)、覆蓋的網(wǎng)絡(luò)、查找與已知的計(jì)算機(jī)惡意行為有關(guān)的可確認(rèn)的模式。一旦檢測(cè)到一個(gè)與一已知計(jì)算機(jī)惡意行為有關(guān)的模式，該防病毒軟件就作出響應(yīng)從感染的數(shù)據(jù)中移除該計(jì)算機(jī)病毒，隔離該數(shù)據(jù)或者刪除“被感染”的輸入數(shù)據(jù)。令人遺憾的是，防病毒軟件一般只對(duì)“已知”的可確認(rèn)的計(jì)算機(jī)惡意行為有效。大多數(shù)情況下，這是通過將數(shù)據(jù)中的模式與所謂的惡意行為“特征(signature)”作比較而完成的。惡意行為檢測(cè)模型的其中一個(gè)本質(zhì)缺陷就是未知的計(jì)算機(jī)惡意行為可以由于未被檢測(cè)到而一直在網(wǎng)絡(luò)中傳播，直到計(jì)算機(jī)防病毒軟件被更新并針對(duì)這個(gè)新的計(jì)算機(jī)惡意行為。
隨著防病毒軟件的越來越完善并且能有效識(shí)別成千上萬的已知計(jì)算機(jī)惡意行為，這也使得計(jì)算機(jī)惡意行為也更復(fù)雜。例如，最近許多計(jì)算機(jī)惡意行為是多態(tài)的，或者換句話說，不具有可被運(yùn)行中的防病毒軟件識(shí)別的可確認(rèn)的模式或者“特征”。由于這些多態(tài)惡意行為可以在傳播到另一個(gè)計(jì)算機(jī)系統(tǒng)之前進(jìn)行自我修改，因此其通常不能被防病毒軟件所識(shí)別。
現(xiàn)在所流行的另一個(gè)防計(jì)算機(jī)惡意行為的預(yù)防工具是硬件或軟件網(wǎng)絡(luò)防火墻。正如本領(lǐng)域的技術(shù)人員將認(rèn)識(shí)到的，防火墻就是一個(gè)安全系統(tǒng)，其通過控制內(nèi)部網(wǎng)和外部網(wǎng)之間的信息流而保護(hù)該內(nèi)部網(wǎng)不接受來自該外部網(wǎng)的非授權(quán)訪問。所有來自防火墻外部的通信首先都要發(fā)送到一個(gè)代理，該代理檢驗(yàn)該通信，確定它是否是安全的或者允許將該通信發(fā)送給其制定目標(biāo)。但不幸的是，恰當(dāng)配置防火墻以便使允許的網(wǎng)絡(luò)活動(dòng)不受約束并且拒絕不允許的網(wǎng)絡(luò)活動(dòng)是一個(gè)高深、復(fù)雜的任務(wù)。除了技術(shù)上復(fù)雜外，防火墻配置還管理困難。當(dāng)不正確恰當(dāng)配置防火前時(shí)，允許的網(wǎng)絡(luò)通信會(huì)因疏忽而關(guān)閉，而不允許的通信會(huì)被允許通過，從而危及內(nèi)部網(wǎng)。為此，要經(jīng)常改變防火墻，并且這些改變僅僅可由非常精通技術(shù)網(wǎng)絡(luò)設(shè)計(jì)人員作出。
作為防火墻的另一個(gè)限制，當(dāng)防火墻保護(hù)一內(nèi)部網(wǎng)時(shí)，它并不對(duì)特定計(jì)算機(jī)提供保護(hù)。換句話說，防火墻并不能滿足一個(gè)特定計(jì)算的需要。甚至當(dāng)防火墻用于保護(hù)保護(hù)一臺(tái)計(jì)算機(jī)時(shí)，它仍然根據(jù)該防火墻的配置保護(hù)那臺(tái)計(jì)算機(jī)，而不是根據(jù)該計(jì)算機(jī)的配置。
防火墻的另一個(gè)問題是它不針對(duì)來自防火墻所設(shè)定的范圍的計(jì)算機(jī)惡意行為提供保護(hù)。換句話說，一旦一個(gè)惡意行為可以進(jìn)入一防火墻所保護(hù)的網(wǎng)絡(luò)，該惡意行為就不受該防火墻的禁止。當(dāng)一名員工將一臺(tái)便攜式計(jì)算機(jī)帶回家并在一個(gè)不安全的環(huán)境中使用時(shí)，這種情況就會(huì)經(jīng)常發(fā)生。而員工不知道該便攜式計(jì)算機(jī)隨即就被感染了。當(dāng)便攜式計(jì)算機(jī)再次連接到防火墻保護(hù)的公司網(wǎng)絡(luò)時(shí)，該惡意行為經(jīng)常不被防火墻檢測(cè)而任意感染其它計(jì)算機(jī)。
如上所述，在攻擊中，計(jì)算機(jī)惡意行為經(jīng)常合法影響計(jì)算機(jī)系統(tǒng)的性能。這樣，除防火墻和防病毒軟件外的許多方面也必須加入一起保護(hù)計(jì)算機(jī)不受那些計(jì)算機(jī)惡意行為的攻擊。例如，由于經(jīng)濟(jì)和合同義務(wù)的原因，操作系統(tǒng)提供者現(xiàn)在必須不斷地分析他們的操作系統(tǒng)性能，來確定計(jì)算機(jī)惡意行為所利用的缺點(diǎn)和弱點(diǎn)。為了這里所討論的目的，一般任何一個(gè)計(jì)算機(jī)惡意行為可能攻擊計(jì)算機(jī)系統(tǒng)的方法都被稱為計(jì)算機(jī)系統(tǒng)的弱點(diǎn)，或者簡(jiǎn)稱為弱點(diǎn)。
當(dāng)在操作系統(tǒng)或其它計(jì)算機(jī)系統(tǒng)部件、驅(qū)動(dòng)程序、應(yīng)用程序中確定并定位到弱點(diǎn)時(shí)，供應(yīng)者通常發(fā)布一個(gè)修補(bǔ)該弱點(diǎn)的軟件更新程序。這些更新一般被成為補(bǔ)丁，為了保證計(jì)算機(jī)系統(tǒng)不受該確定的弱點(diǎn)的危害，要將這些補(bǔ)丁安裝在計(jì)算機(jī)系統(tǒng)中。但是，這些更新實(shí)質(zhì)上是對(duì)操作系統(tǒng)部件、設(shè)備驅(qū)動(dòng)程序或軟件應(yīng)用程序的代碼變更。同樣地，他們不能與防病毒軟件提供者提供的防病毒更新同樣迅速和大量的發(fā)布。因?yàn)檫@些更新是代碼變更，軟件更新需要在向公眾發(fā)布之前進(jìn)行充分的內(nèi)部測(cè)試。不幸的是，即使進(jìn)行了內(nèi)部測(cè)試，軟件更新也可以帶來一個(gè)或多個(gè)其它計(jì)算機(jī)系統(tǒng)破壞或故障。這樣，軟件更新就給信賴計(jì)算機(jī)系統(tǒng)的當(dāng)事人造成了極大的難題。更確切地，要當(dāng)事人更新他們的計(jì)算機(jī)系統(tǒng)以保護(hù)計(jì)算機(jī)系統(tǒng)不受破壞他們的計(jì)算機(jī)系統(tǒng)的操作的弱點(diǎn)和風(fēng)險(xiǎn)的危害，還是要當(dāng)事人不更新計(jì)算機(jī)系統(tǒng)而冒感染計(jì)算機(jī)系統(tǒng)的風(fēng)險(xiǎn)？在當(dāng)前的系統(tǒng)下，在網(wǎng)絡(luò)110上發(fā)布一個(gè)新的計(jì)算機(jī)惡意行為和更新計(jì)算機(jī)系統(tǒng)以保護(hù)其不受該計(jì)算機(jī)惡意行為的危害之間存在一段時(shí)間，以下將該時(shí)間稱為危險(xiǎn)階段(vulnerability window)。顧名思義，在此危險(xiǎn)階段，計(jì)算機(jī)系統(tǒng)是易受新的計(jì)算機(jī)惡意行為的攻擊的，或者是暴露給新的計(jì)算機(jī)惡意行為的。圖2A-2B是典型表示此危險(xiǎn)階段的時(shí)限時(shí)限的方框圖。相對(duì)于下面將要討論的時(shí)限時(shí)限，將標(biāo)出重要的時(shí)間或事件，并相對(duì)于時(shí)限時(shí)限將其稱為事件。
圖2A表示相對(duì)一個(gè)現(xiàn)在改進(jìn)級(jí)的計(jì)算機(jī)惡意行為的計(jì)算機(jī)系統(tǒng)的危險(xiǎn)時(shí)間，該計(jì)算機(jī)惡意行為現(xiàn)在正在公共網(wǎng)絡(luò)上發(fā)布。正如下面所要描述的，這個(gè)新級(jí)別的計(jì)算機(jī)惡意行為利用了系統(tǒng)提供者的主動(dòng)安全測(cè)試來確定計(jì)算機(jī)系統(tǒng)的弱點(diǎn)，并連續(xù)創(chuàng)建并散布計(jì)算機(jī)惡意行為。
參照?qǐng)D2A，在事件202處，操作系統(tǒng)提供者確定在發(fā)布的操作系統(tǒng)中存在弱點(diǎn)。例如，在一種情況中，操作系統(tǒng)提供者對(duì)發(fā)布的操作系統(tǒng)執(zhí)行其自己的內(nèi)部分析，發(fā)現(xiàn)一個(gè)先前未知的可被用于攻擊計(jì)算機(jī)系統(tǒng)的弱點(diǎn)。在另一情況中，該先前未知的弱點(diǎn)要涉及三方人員，包括在計(jì)算機(jī)系統(tǒng)上執(zhí)行系統(tǒng)安全分析的人員以及將關(guān)于此弱點(diǎn)信息轉(zhuǎn)給操作系統(tǒng)提供者的人員。
一旦操作系統(tǒng)提供者得知存在安全性弱點(diǎn)，在事件204處，操作系統(tǒng)提供者就定位該弱點(diǎn)，組織創(chuàng)建并發(fā)布補(bǔ)丁，以便保證任何運(yùn)行該操作系統(tǒng)的計(jì)算機(jī)系統(tǒng)的安全。通常，操作系統(tǒng)提供者會(huì)宣告存在一種有效的系統(tǒng)補(bǔ)丁，同時(shí)推薦所有的操作系統(tǒng)用戶安裝該補(bǔ)丁。為了下載并安裝到受侵襲的計(jì)算機(jī)系統(tǒng)上，補(bǔ)丁一般位于網(wǎng)絡(luò)110的一個(gè)公知位置上。
不幸的是，由于太過經(jīng)常，操作系統(tǒng)提供者發(fā)布補(bǔ)丁之后，在事件206處，惡意人員下載補(bǔ)丁，并且使用一些逆向工程(reverse engineering)和操作系統(tǒng)或其他工具造成的公開信息，識(shí)別出操作系統(tǒng)中“修補(bǔ)”的弱點(diǎn)的細(xì)節(jié)。利用這些信息，惡意人員創(chuàng)建一個(gè)計(jì)算機(jī)惡意行為攻擊突出的弱點(diǎn)。在事件208處，惡意人員在網(wǎng)絡(luò)110上發(fā)布計(jì)算機(jī)惡意行為。軟件補(bǔ)丁也被認(rèn)為是“修補(bǔ)”，當(dāng)其目標(biāo)是修正突出的弱點(diǎn)時(shí)，“修補(bǔ)”一般是一段復(fù)雜的軟件代碼，不幸的是，其本身會(huì)產(chǎn)生或包含一個(gè)新的弱點(diǎn)，該弱點(diǎn)可能要被惡意人員創(chuàng)建的計(jì)算機(jī)惡意行為所攻擊。這樣，除了要評(píng)估該“修補(bǔ)”要修正什么，還要評(píng)估該“修補(bǔ)”潛在的弱點(diǎn)。
當(dāng)一“修補(bǔ)”是可靠的時(shí)，惡意人員意識(shí)到，由于包括上述的各種原因，并不是所有的有弱點(diǎn)的計(jì)算機(jī)都會(huì)立即升級(jí)。這樣，在事件208處，惡意人員在網(wǎng)絡(luò)110上發(fā)布計(jì)算機(jī)惡意行為112。計(jì)算機(jī)惡意行為112的發(fā)布就進(jìn)入了危險(xiǎn)階段，如上所述，在危險(xiǎn)階段中，有弱點(diǎn)的計(jì)算機(jī)系統(tǒng)是容易收到該計(jì)算機(jī)惡意行為的襲擊的。只有當(dāng)在事件210處最終計(jì)算機(jī)系統(tǒng)上安裝了補(bǔ)丁時(shí)，計(jì)算機(jī)系統(tǒng)的危險(xiǎn)階段212才結(jié)束。
雖然發(fā)布的許多計(jì)算機(jī)惡意行為是基于已知的弱點(diǎn)的，例如，在圖2A中描述的情況，但有時(shí)候，在網(wǎng)絡(luò)110上也發(fā)布利用預(yù)先未知的弱點(diǎn)的計(jì)算機(jī)惡意行為。圖2B表示了在這樣的情況下時(shí)限220的危險(xiǎn)階段230。因此，如時(shí)限220所示，在事件222處，惡意人員發(fā)布了一個(gè)新的計(jì)算機(jī)惡意行為。由于這是一個(gè)新的計(jì)算機(jī)惡意行為，即沒有操作系統(tǒng)補(bǔ)丁可用的防病毒軟件來保護(hù)有弱點(diǎn)的計(jì)算機(jī)系統(tǒng)不受攻擊。相應(yīng)的，就進(jìn)入了危險(xiǎn)階段230。
某段時(shí)間后這個(gè)新計(jì)算機(jī)惡意行為在網(wǎng)絡(luò)110上流行，操作系統(tǒng)提供者和/或防病毒軟件提供者檢測(cè)到這個(gè)新計(jì)算機(jī)惡意行為，如事件224所指示的。正如本領(lǐng)域的技術(shù)人員應(yīng)當(dāng)知道的，在大概幾小時(shí)之內(nèi)操作系統(tǒng)提供者和防病毒軟件提供者都會(huì)檢測(cè)到這個(gè)新的計(jì)算機(jī)惡意行為的出現(xiàn)。
一旦檢測(cè)到計(jì)算機(jī)惡意行為，通過防病毒軟件辨識(shí)出該計(jì)算機(jī)惡意行為，防病毒軟件提供者就可以開始識(shí)別其模式或“特征”的過程。類似地，操作系統(tǒng)提供者也開始分析該計(jì)算機(jī)惡意行為的過程，以便確定該操作系統(tǒng)是否必須修補(bǔ)以保護(hù)其不受該計(jì)算機(jī)惡意行為的危害。這些并行努力的結(jié)果就是，在事件226處，操作系統(tǒng)提供者和/或防病毒軟件提供者發(fā)布操作系統(tǒng)或防病毒軟件的一個(gè)針對(duì)該計(jì)算機(jī)惡意行為的更新，也就是一個(gè)軟件補(bǔ)丁。接著，在事件228處，在用戶的計(jì)算機(jī)系統(tǒng)上安裝該更新，從而保護(hù)了計(jì)算機(jī)系統(tǒng)，并且結(jié)束了危險(xiǎn)階段230。
從上述實(shí)例中可以看出，所有計(jì)算機(jī)惡意行為對(duì)計(jì)算機(jī)系統(tǒng)造成威脅的可能的情況僅僅是代表性的，危險(xiǎn)階段存在于計(jì)算機(jī)惡意行為112在網(wǎng)絡(luò)110上發(fā)布時(shí)間之間，并且當(dāng)在用戶的計(jì)算機(jī)系統(tǒng)上安裝了相應(yīng)的更新后，危險(xiǎn)階段就結(jié)束了。但令人沮喪的是，無論危險(xiǎn)階段的長(zhǎng)或短，無論如何，受感染的計(jì)算機(jī)都會(huì)花費(fèi)計(jì)算機(jī)所有者大量成本來“殺毒”和修復(fù)。當(dāng)涉及具有成千上萬與網(wǎng)絡(luò)110相連的設(shè)備的大公司或企業(yè)時(shí)，此成本是巨大的。當(dāng)可能惡意篡改或破壞客戶數(shù)據(jù)時(shí)，此成本還會(huì)進(jìn)一步擴(kuò)大。所需要的就是能迅速并根據(jù)個(gè)人計(jì)算機(jī)系統(tǒng)的需要，甚至是在可使用保護(hù)更新和/或安裝在計(jì)算機(jī)系統(tǒng)上之前，用于確保計(jì)算機(jī)系統(tǒng)不受計(jì)算機(jī)惡意行為破壞的系統(tǒng)和方法?，F(xiàn)有技術(shù)中的這些和其他的問題都能被本發(fā)明所解決。
附圖的簡(jiǎn)要說明當(dāng)結(jié)合附圖時(shí)，通過參考下面的詳細(xì)說明，本發(fā)明的上述各個(gè)方面和其所帶來的優(yōu)點(diǎn)將更加顯而易見和更加容易理解。
圖1是表示現(xiàn)有技術(shù)的典型網(wǎng)絡(luò)環(huán)境的示圖，計(jì)算機(jī)惡意行為通常通過該網(wǎng)絡(luò)散布；圖2A和2B是表示涉及網(wǎng)絡(luò)上發(fā)布的計(jì)算機(jī)惡意行為的計(jì)算機(jī)系統(tǒng)的不同危險(xiǎn)階段的典型時(shí)限的方框圖；圖3A和3B是表示適于實(shí)施本發(fā)明的典型網(wǎng)絡(luò)環(huán)境的示圖；圖4A和4B是用于示意本發(fā)明如何使計(jì)算機(jī)惡意行為的危險(xiǎn)階段最小化的典型時(shí)限的示圖；圖5是依據(jù)本發(fā)明，用于根據(jù)公開的安全信息動(dòng)態(tài)控制計(jì)算機(jī)系統(tǒng)的網(wǎng)絡(luò)訪問的典型程序的流程圖；圖6是表示根據(jù)本發(fā)明，安全服務(wù)執(zhí)行的典型程序的流程圖，該安全服務(wù)用于在典型網(wǎng)絡(luò)環(huán)境中公開網(wǎng)絡(luò)安全模型的安全信息；圖7是表示安全服務(wù)執(zhí)行的典型程序的流程圖，該程序用于從網(wǎng)絡(luò)安全模型接收并響應(yīng)一個(gè)安全信息的請(qǐng)求；圖8是表示安全服務(wù)模塊執(zhí)行的典型程序的流程圖，該程序用于根據(jù)從安全服務(wù)那里獲得安全度量(measure)控制計(jì)算機(jī)和網(wǎng)絡(luò)之間的網(wǎng)絡(luò)信息流；圖9是表示實(shí)施為一個(gè)計(jì)算機(jī)外圍硬件設(shè)備的典型網(wǎng)絡(luò)安全模塊的示圖；圖10是表示依據(jù)本發(fā)明形成的網(wǎng)絡(luò)安全模塊的邏輯部件的方框圖；圖11是表示計(jì)算機(jī)惡意行為如何發(fā)送到利用安全通信的計(jì)算設(shè)備的方框圖；圖12是表示依據(jù)本發(fā)明的網(wǎng)絡(luò)安全模塊如何利用安全通信保護(hù)計(jì)算設(shè)備不受發(fā)送到該計(jì)算設(shè)備的計(jì)算機(jī)惡意行為的危害；圖13A和13B表示依據(jù)本發(fā)明的典型程序的方框圖，該程序用于檢測(cè)安全通信以及處理安全通信。
發(fā)明概述根據(jù)本發(fā)明的各個(gè)方面，提出了一種介于計(jì)算設(shè)備和網(wǎng)絡(luò)之間的網(wǎng)絡(luò)安全模塊。網(wǎng)絡(luò)安全模塊的位置使得所有計(jì)算設(shè)備和網(wǎng)絡(luò)之間的網(wǎng)絡(luò)活動(dòng)都要通過該網(wǎng)絡(luò)安全模塊。該網(wǎng)絡(luò)安全模塊包括一個(gè)計(jì)算裝置連接。該計(jì)算裝置連接將該網(wǎng)絡(luò)安全模塊與計(jì)算設(shè)備連接起來。該網(wǎng)絡(luò)安全模塊還包括一個(gè)將網(wǎng)絡(luò)安全模塊與網(wǎng)絡(luò)相連的網(wǎng)絡(luò)連接。通過計(jì)算設(shè)備連接和網(wǎng)絡(luò)連接，網(wǎng)絡(luò)活動(dòng)就能通過該網(wǎng)絡(luò)安全模塊。該網(wǎng)絡(luò)安全模塊還包括一個(gè)解碼模塊。該解碼模塊臨時(shí)利用獲得的解密鑰解密安全通信。該網(wǎng)絡(luò)安全模塊進(jìn)一步包括一個(gè)安全實(shí)施模塊，該安全實(shí)施模塊控制計(jì)算設(shè)備和網(wǎng)絡(luò)之間的網(wǎng)絡(luò)活動(dòng)。該安全實(shí)施模塊執(zhí)行獲得的安全度量，從而保護(hù)計(jì)算設(shè)備不受確定的網(wǎng)絡(luò)安全線程的危害。
根據(jù)本發(fā)明的又一些方面，提出了一種在一個(gè)網(wǎng)絡(luò)安全模塊上實(shí)施的方法，其用于保護(hù)計(jì)算設(shè)備目前不受到確定的安全威脅，該網(wǎng)絡(luò)安全模塊介于計(jì)算設(shè)備和網(wǎng)絡(luò)之間，從而所有計(jì)算設(shè)備和網(wǎng)絡(luò)之間的網(wǎng)絡(luò)活動(dòng)都要通過該網(wǎng)絡(luò)安全模塊。獲得了保護(hù)性安全度量。當(dāng)加強(qiáng)保護(hù)性安全度量時(shí)，其保護(hù)該計(jì)算設(shè)備不受到確定的安全威脅。把安全通信指向到檢測(cè)到的計(jì)算設(shè)備。然后臨時(shí)解密安全通信。此后，在臨時(shí)解密的安全通信上執(zhí)行保護(hù)性安全度量。
優(yōu)選實(shí)施例的詳細(xì)描述圖3A是表示適于實(shí)施本發(fā)明的典型網(wǎng)絡(luò)環(huán)境300的示圖。典型網(wǎng)絡(luò)環(huán)境300包括一臺(tái)與網(wǎng)絡(luò)110相連的計(jì)算機(jī)302。應(yīng)當(dāng)注意的是，雖然本發(fā)明是以連接一臺(tái)例如計(jì)算機(jī)302的個(gè)人計(jì)算機(jī)的運(yùn)行形式描述，但是這僅僅是為了描述，同時(shí)其不應(yīng)當(dāng)解釋為對(duì)本發(fā)明的限制。本領(lǐng)域的技術(shù)人員會(huì)很容易地意識(shí)到幾乎任何網(wǎng)絡(luò)計(jì)算設(shè)備都可能收到計(jì)算機(jī)惡意行為的攻擊。因此，本發(fā)明可有利地保護(hù)眾多類型的計(jì)算機(jī)、計(jì)算設(shè)備或包括但不局限于個(gè)人計(jì)算機(jī)的計(jì)算系統(tǒng)、圖形輸入板計(jì)算機(jī)、筆記本電腦、個(gè)人數(shù)字助理(PDA)、小型或大型計(jì)算機(jī)、無限電話(通常稱為移動(dòng)電話)、例如無限電話/PDA組合體的混合計(jì)算設(shè)備等等。本發(fā)明也可有利地保護(hù)硬件設(shè)備、外圍設(shè)備、軟件應(yīng)用程序、設(shè)備驅(qū)動(dòng)器、操作系統(tǒng)等等。
應(yīng)當(dāng)意識(shí)到，網(wǎng)絡(luò)110可包括任意數(shù)量的現(xiàn)行的通信網(wǎng)絡(luò)。這些現(xiàn)行的通信網(wǎng)絡(luò)包括但不局限于Internet、廣域和局域網(wǎng)、內(nèi)聯(lián)網(wǎng)、移動(dòng)電話網(wǎng)、IEEE802.11和藍(lán)牙無限網(wǎng)絡(luò)等等。因此，盡管本發(fā)明以計(jì)算機(jī)網(wǎng)絡(luò)的形式描述，特別是Internet，但是其僅僅是為了描述方便，并且其不應(yīng)當(dāng)被解釋為對(duì)本發(fā)明的限制。
典型網(wǎng)絡(luò)環(huán)境300還包括一個(gè)網(wǎng)絡(luò)安全模塊304和一個(gè)安全服務(wù)306。網(wǎng)絡(luò)安全模塊304介于例如計(jì)算機(jī)302的計(jì)算機(jī)和網(wǎng)絡(luò)110之間。網(wǎng)絡(luò)安全模塊304可物理地或邏輯地介于計(jì)算機(jī)302和網(wǎng)絡(luò)110之間。計(jì)算機(jī)302和網(wǎng)絡(luò)110之間的通信流過網(wǎng)絡(luò)安全模塊304。依據(jù)本發(fā)明，網(wǎng)絡(luò)安全模塊304根據(jù)相應(yīng)于計(jì)算機(jī)的特定配置的安全信息，選擇性地控制計(jì)算機(jī)302和網(wǎng)絡(luò)110之間的網(wǎng)絡(luò)活動(dòng)，該計(jì)算機(jī)特定配置包括但不局限于安裝在計(jì)算機(jī)302上的特殊操作系統(tǒng)的版本、防病毒信息、防病毒軟件和相應(yīng)的特征數(shù)據(jù)文件的包含版本信息、安裝的應(yīng)用程序、設(shè)備驅(qū)動(dòng)程序等等，所有的這些都可以是利用的計(jì)算機(jī)系統(tǒng)弱點(diǎn)的計(jì)算機(jī)惡意行為的潛在目標(biāo)。
依據(jù)本發(fā)明的一個(gè)實(shí)施例，為了從安全服務(wù)306那里周期地獲得安全信息，網(wǎng)絡(luò)安全模塊304周期地向安全服務(wù)306發(fā)出針對(duì)計(jì)算機(jī)302的特殊、具體配置的安全信息的安全信息請(qǐng)求。網(wǎng)絡(luò)安全模塊304可被配置為周期地從安全服務(wù)306那里獲得安全信息。例如，網(wǎng)絡(luò)安全模塊306可以被配置為每分鐘都從安全服務(wù)306那里獲得安全信息?？蛇x擇的，網(wǎng)絡(luò)安全模塊304可被配置為根據(jù)用戶指定的時(shí)間周期從安全服務(wù)306那里獲得安全信息。
針對(duì)一臺(tái)計(jì)算機(jī)的特殊、具體配置的安全信息的獲得是很重要的，其原因是，由于各種原因許多用戶必須延遲更新他們的操作系統(tǒng)。例如，由于計(jì)算機(jī)一段時(shí)間沒有開機(jī)使用，操作系統(tǒng)或防病毒軟件的更新就要延遲。這樣，雖然最新版本的計(jì)算機(jī)操作系統(tǒng)和/或防病毒軟件可以提供足夠的不受最新發(fā)現(xiàn)的計(jì)算機(jī)惡意行為的危害的保護(hù)，但是計(jì)算機(jī)并不是“最新的”，因此容易受計(jì)算機(jī)惡意行為的感染，并且其必須針對(duì)該計(jì)算機(jī)的特定配置進(jìn)行安全度量。因此，安全信息請(qǐng)求可包括，但并不只局限于識(shí)別的計(jì)算機(jī)操作系統(tǒng)版本的信息，其包括安裝的補(bǔ)??；特別的防病毒軟件和該計(jì)算機(jī)所使用的版本，軟件和數(shù)據(jù)文件更新；以及使用網(wǎng)絡(luò)的應(yīng)用程序信息，例如，電子郵件和瀏覽器的標(biāo)識(shí)符、版本、固件提供者和版本，及其它安全設(shè)置。
根據(jù)本發(fā)明的內(nèi)容，作為更新計(jì)算機(jī)系統(tǒng)部件的一個(gè)步驟，網(wǎng)絡(luò)安全模塊304獲得計(jì)算機(jī)的特定配置信息。例如，作為安裝操作系統(tǒng)補(bǔ)丁的一個(gè)步驟，當(dāng)用戶在計(jì)算機(jī)302上安裝一個(gè)操作系統(tǒng)補(bǔ)丁時(shí)，將操作系統(tǒng)的最新版本信息通知網(wǎng)絡(luò)安全模塊304。同樣的，當(dāng)更新其它計(jì)算機(jī)系統(tǒng)功能部件時(shí)，例如使用網(wǎng)絡(luò)的應(yīng)用程序和防病毒軟件，也要通知網(wǎng)絡(luò)安全模塊304，這都能使網(wǎng)絡(luò)安全模塊獲得最正確及足夠的安全信息，來根據(jù)計(jì)算機(jī)當(dāng)前特定的配置保護(hù)計(jì)算機(jī)302。
根據(jù)在安全信息請(qǐng)求中計(jì)算機(jī)特殊配置信息，安全服務(wù)306確定相關(guān)安全信息，以便保護(hù)計(jì)算機(jī)不受已知和意識(shí)到的計(jì)算機(jī)系統(tǒng)弱點(diǎn)的危害。下面將詳細(xì)描述識(shí)別相關(guān)安全信息的步驟。安全信息包括保護(hù)性安全度量，其由網(wǎng)絡(luò)安全模塊304執(zhí)行，并能使網(wǎng)絡(luò)安全模塊將計(jì)算機(jī)302與已知弱點(diǎn)的計(jì)算機(jī)惡意行為相隔離。保護(hù)性安全度量可包括任何數(shù)量的網(wǎng)絡(luò)活動(dòng)控制或者其組合，這些控制包括，但不局限于阻止計(jì)算機(jī)302和網(wǎng)絡(luò)110之間的所有網(wǎng)絡(luò)活動(dòng)、預(yù)期的某些已知的安全網(wǎng)絡(luò)位置之間的通信，例如安全服務(wù)306或用于安裝或更新的防病毒軟件服務(wù)器308；阻止特殊通信端口和地址上的通信；阻止到或來自某些使用網(wǎng)絡(luò)的應(yīng)用程序的通信，例如電子由附或Web瀏覽器應(yīng)用程序；以及阻止訪問計(jì)算機(jī)302上的特殊硬件或軟件部件。這樣，一旦接收到安全響應(yīng)，網(wǎng)絡(luò)安全模塊就執(zhí)行安全度量。
如上所述，網(wǎng)絡(luò)安全模塊304介于計(jì)算機(jī)302和網(wǎng)絡(luò)110之間，這樣，計(jì)算機(jī)和網(wǎng)絡(luò)之間的所有網(wǎng)絡(luò)活動(dòng)都必須通過網(wǎng)絡(luò)安全模塊。隨著網(wǎng)絡(luò)通訊流過網(wǎng)絡(luò)安全模塊304網(wǎng)絡(luò)安全模塊監(jiān)視網(wǎng)絡(luò)通信并執(zhí)行來自安全服務(wù)306的保護(hù)性安全度量，例如阻止除了已知位置之間的預(yù)期通信以外的所有網(wǎng)絡(luò)訪問，等等。
根據(jù)本發(fā)明的另一方面的內(nèi)容，安全響應(yīng)也可包括設(shè)計(jì)的安全等級(jí)，例如，紅、黃和綠等級(jí)。安全等級(jí)是一種信息，該信息表示為計(jì)算機(jī)302的用戶標(biāo)識(shí)的保護(hù)性度量的代表等級(jí)，其中，該保護(hù)性度量是由網(wǎng)絡(luò)安全模塊304執(zhí)行的。例如，紅色安全等級(jí)表示網(wǎng)絡(luò)安全模塊304當(dāng)前阻止了計(jì)算機(jī)302和網(wǎng)絡(luò)110之間的所有網(wǎng)路活動(dòng)，除了通向和來自已知的安全位置的網(wǎng)絡(luò)活動(dòng)?？蛇x擇地，黃色安全等級(jí)表示網(wǎng)絡(luò)安全模塊304當(dāng)前正在進(jìn)行一些保護(hù)性安全度量，但是計(jì)算機(jī)302仍然可以進(jìn)行與網(wǎng)絡(luò)110進(jìn)行其它方式的通信。更進(jìn)一步地，綠色安全等級(jí)表示網(wǎng)絡(luò)安全模塊304沒有進(jìn)行任何保護(hù)性安全度量，并且計(jì)算機(jī)302和網(wǎng)絡(luò)110之間的通信不受限制。根據(jù)上述安全等級(jí)，為了描述方便，紅色安全等級(jí)也被稱為完全鎖定，黃色安全等級(jí)也被稱為部分鎖定，綠色安全等級(jí)也被稱為自由網(wǎng)絡(luò)訪問。雖然上面的描述表示了三個(gè)安全等級(jí)以及紅色、黃色和綠色的表述，但是這些都是示例性的，不能理解為對(duì)本發(fā)明的限制。本領(lǐng)域的技術(shù)人員應(yīng)當(dāng)意識(shí)到，可以使用任何數(shù)量的安全等級(jí)，在向用戶表示時(shí)，這些安全等級(jí)具有可選擇的表述。
由于網(wǎng)絡(luò)安全模塊304是自動(dòng)運(yùn)行的，也就是說，無需用戶干預(yù)，上面確定的安全等級(jí)和任何安全等級(jí)的相應(yīng)視覺表示都僅僅是為了通知用戶。它們用于向用戶提供網(wǎng)絡(luò)安全模塊304執(zhí)行的限制等級(jí)的指示。當(dāng)用戶試圖確認(rèn)網(wǎng)絡(luò)連接是否出現(xiàn)故障或者網(wǎng)絡(luò)活動(dòng)是否由于當(dāng)前網(wǎng)絡(luò)安全事項(xiàng)而被限制時(shí)，此視覺指示就特別有用。
根據(jù)本發(fā)明的內(nèi)容并且由于增加的安全度量，當(dāng)將網(wǎng)絡(luò)安全模塊304通電時(shí)，網(wǎng)絡(luò)安全模塊就進(jìn)入一個(gè)默認(rèn)狀態(tài)。此默認(rèn)狀態(tài)對(duì)應(yīng)于安全的最高等級(jí)，也就是，完全鎖定，這樣就允許計(jì)算機(jī)302和可信網(wǎng)絡(luò)位置之間的網(wǎng)絡(luò)活動(dòng)。當(dāng)通電或者是當(dāng)與安全服務(wù)306周期地通信的時(shí)候，網(wǎng)絡(luò)安全模塊304就獲得最新的安全信息，同時(shí)根據(jù)該安全信息，就強(qiáng)制到較低限制的安全度量。很顯然，當(dāng)弱點(diǎn)可能已經(jīng)被確認(rèn)或者在網(wǎng)絡(luò)安全模塊關(guān)閉期間網(wǎng)絡(luò)110上發(fā)布了計(jì)算機(jī)惡意行為時(shí)，在網(wǎng)絡(luò)安全模塊304處實(shí)現(xiàn)完全鎖定的默認(rèn)狀態(tài)對(duì)計(jì)算機(jī)302是有利的。
依據(jù)本發(fā)明的一個(gè)實(shí)施例，網(wǎng)絡(luò)安全模塊304不從計(jì)算機(jī)302處請(qǐng)求或訪問信息。相反網(wǎng)絡(luò)安全模塊304直接操作由與某些事件相聯(lián)系的計(jì)算機(jī)302傳送給它的信息。這樣，當(dāng)網(wǎng)絡(luò)安全模塊304開始保護(hù)一臺(tái)計(jì)算機(jī)時(shí)，例如當(dāng)網(wǎng)絡(luò)安全模塊最初介于計(jì)算機(jī)302和網(wǎng)絡(luò)110時(shí)，網(wǎng)絡(luò)安全模塊不具有該計(jì)算機(jī)系統(tǒng)的任何特定配置信息。如上所述，當(dāng)網(wǎng)絡(luò)安全模塊304沒有關(guān)于計(jì)算機(jī)302的配置信息時(shí)，或者當(dāng)網(wǎng)絡(luò)安全模塊通電時(shí)，網(wǎng)絡(luò)安全模塊就進(jìn)入其默認(rèn)狀態(tài)，也就是完全鎖定。但是，如上所示，完全鎖定仍然允許計(jì)算機(jī)302與已知的安全位置通信。作為一個(gè)例子，這些已知的安全位置包括操作系統(tǒng)更新所在的一個(gè)位置或多個(gè)位置。這樣，甚至在計(jì)算機(jī)302被配置為可用的最新的操作系統(tǒng)、防病毒軟件、應(yīng)用程序和設(shè)備驅(qū)動(dòng)程序的版本和更新，用戶也可以進(jìn)行更新過程，結(jié)果配置信息就被發(fā)送到網(wǎng)絡(luò)安全模塊304。可選擇地，可提供一個(gè)特定程序，該程序?qū)⒂?jì)算機(jī)系統(tǒng)的當(dāng)前配置通知網(wǎng)絡(luò)安全模塊304。
為了保證網(wǎng)絡(luò)安全模塊304和安全服務(wù)306之間的通信是可信的和未被污染的，在本發(fā)明的一個(gè)實(shí)施例中，例如安全請(qǐng)求和安全信息的網(wǎng)路安全模塊和安全服務(wù)之間的通信是在加密、安全的通信中傳輸?shù)模缋眉用芴捉幼謪f(xié)議層(SSL)協(xié)議的安全通信。同樣的，網(wǎng)絡(luò)安全模塊304和計(jì)算機(jī)302之間的通信也同樣是安全的。
根據(jù)本發(fā)明可選的方面，甚至在關(guān)閉計(jì)算機(jī)的時(shí)候，網(wǎng)絡(luò)安全模塊304也連續(xù)操作，即，連續(xù)獲得計(jì)算機(jī)302的安全信息。例如，網(wǎng)絡(luò)安全模塊304可以為計(jì)算機(jī)302連續(xù)獲得安全信息，這些安全信息都取決于開機(jī)時(shí)計(jì)算機(jī)提供的最新操作系統(tǒng)和/或防病毒軟件的版本數(shù)據(jù)。依據(jù)一個(gè)實(shí)施例，網(wǎng)絡(luò)安全模塊304連接于計(jì)算機(jī)的輔助電源線路，如本領(lǐng)域的技術(shù)人員所知道的，該輔助電源線路甚至是在計(jì)算機(jī)302關(guān)機(jī)時(shí)也能為外圍設(shè)備提供電力。另外，如果網(wǎng)絡(luò)安全模塊304只在計(jì)算機(jī)302運(yùn)行的時(shí)候運(yùn)行，當(dāng)網(wǎng)絡(luò)安全模塊恢復(fù)運(yùn)行時(shí)，當(dāng)網(wǎng)絡(luò)安全模塊獲得相應(yīng)于計(jì)算機(jī)當(dāng)前配置的最近的安全信息時(shí)，其實(shí)施完全鎖定。
根據(jù)本發(fā)明的另一個(gè)實(shí)施例，可選擇地，網(wǎng)絡(luò)安全模塊304可被用戶停止。由于完全訪問網(wǎng)絡(luò)需要幾次外部權(quán)衡計(jì)算機(jī)惡意行為攻擊的風(fēng)險(xiǎn)，這就是非常有用的。例如，當(dāng)想要診斷網(wǎng)絡(luò)難題/問題時(shí)，需要停止網(wǎng)絡(luò)安全模塊304。可選擇地，在某些緊急情況，例如使用E911語音IP(VoIP)服務(wù)可能需要停止網(wǎng)絡(luò)安全模塊304。
依據(jù)本發(fā)明的一個(gè)方面，當(dāng)被停止時(shí)，盡管網(wǎng)絡(luò)安全模塊304不能進(jìn)行保護(hù)性安全度量，但是其可以從安全服務(wù)306那里連續(xù)獲得安全信息。對(duì)用戶來說，連續(xù)更新安全信息是有利的，特別是由于網(wǎng)絡(luò)安全模塊在停止時(shí)將具有最近的安全信息，如果網(wǎng)絡(luò)安全模塊304臨時(shí)被停止的時(shí)候?？蛇x擇的，如果網(wǎng)絡(luò)安全模塊304被停止并且不能連續(xù)更新，在安全服務(wù)306一段時(shí)間不通信之后，網(wǎng)絡(luò)安全模塊可以返回到其默認(rèn)狀態(tài)，也就是完全鎖定網(wǎng)絡(luò)活動(dòng)。
安全服務(wù)306可以實(shí)施為所有安全信息的單一服務(wù)器/信源，或者可選擇地實(shí)施為分布到網(wǎng)絡(luò)110的層級(jí)服務(wù)器/信源。在層級(jí)式系統(tǒng)中，網(wǎng)絡(luò)安全模塊304最初被配置了安全服務(wù)的一個(gè)根服務(wù)器/信源，該根服務(wù)器會(huì)一直存在。但是，也許在網(wǎng)絡(luò)安全模塊304和安全服務(wù)之間的第一通信中，安全服務(wù)提供了關(guān)于安全服務(wù)的層級(jí)信息，該信息是安全服務(wù)返回的安全信息的一部分。此信息可被提供為一個(gè)或多個(gè)范圍的網(wǎng)絡(luò)地址，所有的地址都是安全服務(wù)層級(jí)中的節(jié)點(diǎn)，它們可以向網(wǎng)絡(luò)安全模塊304提供正確的安全信息。此后，網(wǎng)絡(luò)安全模塊304就無需請(qǐng)求原始節(jié)點(diǎn)以獲得信息。很顯然，以分級(jí)方式實(shí)施安全服務(wù)的優(yōu)點(diǎn)是為了調(diào)節(jié)網(wǎng)絡(luò)安全模塊請(qǐng)求信息的數(shù)量，安全服務(wù)可以很容易地按比例增加或減少，并且安全服務(wù)層級(jí)的原始節(jié)點(diǎn)不會(huì)被網(wǎng)絡(luò)中的所有網(wǎng)絡(luò)安全模塊的安全信息請(qǐng)求所淹沒。在分布在網(wǎng)絡(luò)110中的層級(jí)結(jié)構(gòu)下，也會(huì)發(fā)生負(fù)載平衡，并且網(wǎng)絡(luò)中會(huì)堆積冗余，這樣如果層級(jí)中的一個(gè)節(jié)點(diǎn)失敗，那么其它的節(jié)點(diǎn)就會(huì)介入并提供安全信息。
依據(jù)本發(fā)明的內(nèi)容，利用本領(lǐng)域公知的端口模仿技術(shù)(port mimicking)，網(wǎng)絡(luò)安全模塊304對(duì)于計(jì)算機(jī)302和網(wǎng)絡(luò)110來說是透明的。一般來說，利用端口模仿技術(shù)，網(wǎng)絡(luò)安全模塊304對(duì)計(jì)算機(jī)302來說作為網(wǎng)絡(luò)110出現(xiàn)，并且對(duì)于網(wǎng)絡(luò)上的設(shè)備來說作為計(jì)算機(jī)出現(xiàn)。這樣，網(wǎng)絡(luò)活動(dòng)通過網(wǎng)絡(luò)安全模塊自由地在計(jì)算機(jī)302和網(wǎng)絡(luò)110之間流動(dòng)，直到網(wǎng)絡(luò)安全模塊確定直接與網(wǎng)絡(luò)安全模塊通信，例如注意到一個(gè)操作系統(tǒng)更新或安全信息響應(yīng)，或者直到網(wǎng)絡(luò)安全模塊必須根據(jù)保護(hù)性安全度量阻止網(wǎng)絡(luò)活動(dòng)。
如上所述，網(wǎng)絡(luò)安全模塊304從安全服務(wù)306那里獲得安全信息作為請(qǐng)求的結(jié)果。本領(lǐng)域的技術(shù)人員應(yīng)當(dāng)將此認(rèn)為是輪詢系統(tǒng)，即，向安全服務(wù)306輪詢安全信息。但是，在一個(gè)替換實(shí)施例中，安全服務(wù)306方便地向網(wǎng)絡(luò)110中的網(wǎng)絡(luò)安全模塊廣播重要的安全信息。例如，根據(jù)網(wǎng)絡(luò)環(huán)境300中的網(wǎng)絡(luò)安全模塊從安全服務(wù)306那里獲得安全信息的周期間隔，如果特殊致命計(jì)算機(jī)惡意行為開始在網(wǎng)絡(luò)110中傳播，而不是等待網(wǎng)絡(luò)安全模塊請(qǐng)求重要的安全信息，安全服務(wù)向網(wǎng)絡(luò)安全模塊廣播安全信息。下面稱此安全信息為安全通報(bào)，其一般包括容易受計(jì)算機(jī)惡意行為影響的所有配置、要采取的保護(hù)性安全度量，以及指示的相應(yīng)安全等級(jí)。依據(jù)本發(fā)明的一個(gè)實(shí)施例，安全通報(bào)是依據(jù)預(yù)定模式的XML文檔。
向接收者廣播信息的系統(tǒng)被稱為下推系統(tǒng)，也就是說，安全服務(wù)306將重要安全信息推到網(wǎng)絡(luò)安全模塊。依據(jù)本發(fā)明的內(nèi)容，安全通報(bào)是利用“安全傳送”服務(wù)在網(wǎng)絡(luò)110上廣播。在安全傳送服務(wù)中，安全通報(bào)被標(biāo)識(shí)為高優(yōu)先級(jí)事項(xiàng)，并且在網(wǎng)絡(luò)服務(wù)提供者的同意下，在傳送其它網(wǎng)絡(luò)通信之前傳送安全通報(bào)，否則這些網(wǎng)絡(luò)通信就要首先傳送。
除了在計(jì)算機(jī)302通信的相同網(wǎng)絡(luò)110上傳送安全通報(bào)外，更多是方便地在“頻帶外”通信，例如，在與網(wǎng)絡(luò)110獨(dú)立的第二通信鏈路上通信。圖3B是表示用于實(shí)施本發(fā)明的可選擇配置的網(wǎng)絡(luò)環(huán)境310，該網(wǎng)絡(luò)環(huán)境310包括第二通信鏈路314，其用于向附著在網(wǎng)絡(luò)110上的網(wǎng)絡(luò)安全模塊傳送安全信息。
如圖3B所示，可選擇配置的網(wǎng)絡(luò)環(huán)境310包括與上面關(guān)于網(wǎng)絡(luò)環(huán)境300的描述相似的部件，其包括計(jì)算機(jī)302、安全服務(wù)306以及網(wǎng)絡(luò)安全模塊304。但是，安全服務(wù)306被另外配置為向網(wǎng)絡(luò)安全模塊304傳輸包括安全信息和/或安全通報(bào)的安全信息，該網(wǎng)絡(luò)安全模塊特別改裝了接收設(shè)備312來通過第二通信鏈路314接收信息。依據(jù)本發(fā)明的內(nèi)容，第二通信鏈路314可以是衛(wèi)星通信鏈路、無線電頻率廣播或者安全服務(wù)306和網(wǎng)絡(luò)安全模塊304之間的其它形式第二通信。本領(lǐng)域的技術(shù)人員應(yīng)當(dāng)理解可以使用通信信道數(shù)。
依據(jù)本發(fā)明可選擇的方面，第二通信鏈路314可以是來自安全服務(wù)306和網(wǎng)絡(luò)安全模塊304的單向通信鏈路，或者用于在安全服務(wù)和安全模塊之間進(jìn)行通信的雙向通信鏈路。另外，上述的軟件更新或補(bǔ)丁也可以通過第二通信鏈路314從安全服務(wù)306下載。
雖然網(wǎng)絡(luò)安全模塊304介于計(jì)算機(jī)302和Internet110之間，但是網(wǎng)絡(luò)安全模塊的實(shí)體可以變化。在各種情況下，網(wǎng)絡(luò)安全模塊304被計(jì)算機(jī)302認(rèn)為是可信任的部件。依據(jù)一個(gè)實(shí)施例，網(wǎng)絡(luò)安全模塊被實(shí)施為計(jì)算機(jī)302外部的硬件設(shè)備，有時(shí)被稱為“軟件狗”，其與網(wǎng)絡(luò)110和計(jì)算機(jī)相連。可選擇的，網(wǎng)絡(luò)安全模塊304可被實(shí)施為集成在計(jì)算機(jī)302內(nèi)部的硬件部件，或者集成在計(jì)算機(jī)網(wǎng)絡(luò)接口內(nèi)的子部件。當(dāng)計(jì)算機(jī)302通過無限連接連接到網(wǎng)絡(luò)110時(shí)，將網(wǎng)絡(luò)安全模塊304集成在計(jì)算機(jī)302內(nèi)或者集成為計(jì)算機(jī)網(wǎng)絡(luò)接口上的子部件會(huì)特別有用。
依據(jù)另一個(gè)可選擇的實(shí)施例，網(wǎng)絡(luò)安全模塊可被實(shí)施為計(jì)算機(jī)302的一個(gè)部件內(nèi)的邏輯，例如微編碼或固件，其中該計(jì)算機(jī)部件包括處理器、圖形處理單元、北電橋或南電橋。仍然作為本發(fā)明再一個(gè)實(shí)施例，網(wǎng)絡(luò)安全模塊304可被實(shí)施為與操作系統(tǒng)結(jié)合或者作為操作系統(tǒng)一部分運(yùn)行的軟件模塊，或者被實(shí)施為安裝在計(jì)算機(jī)302上的軟件應(yīng)用程序。網(wǎng)絡(luò)安全模塊304執(zhí)行的軟件可在計(jì)算機(jī)302的第二處理器上運(yùn)行。第二處理器能或不能與計(jì)算機(jī)主處理器不對(duì)稱地執(zhí)行其它計(jì)算機(jī)任務(wù)。因此，網(wǎng)絡(luò)安全模塊304并不應(yīng)當(dāng)解釋為對(duì)任何特定實(shí)施例的限制。
應(yīng)當(dāng)指出，本發(fā)明的一個(gè)有益之處在于本發(fā)明減輕了許多惡意行為的危害。例如，本領(lǐng)域的技術(shù)人員將認(rèn)識(shí)到服務(wù)拒絕(DOS)攻擊試圖壓制計(jì)算機(jī)進(jìn)行網(wǎng)絡(luò)請(qǐng)求，結(jié)果，計(jì)算機(jī)耗盡其資源并崩潰，或者替換地，錯(cuò)誤地進(jìn)入容易被外部攻擊/惡意行為攻擊而損壞的不明確狀態(tài)。但是，由于具有通過執(zhí)行保護(hù)性安全度量而響應(yīng)于安全服務(wù)306的網(wǎng)絡(luò)安全模塊304，這些包括潛在壓制網(wǎng)絡(luò)請(qǐng)求的惡意行為就不能到達(dá)計(jì)算機(jī)302。
為了更完全地理解上述部件如何運(yùn)行以便向計(jì)算機(jī)302提供較高的安全，要參考用具有相應(yīng)事件的時(shí)限表示的典型情況。圖4A和4B是表示示意本發(fā)明的部件的運(yùn)行時(shí)限的方框圖。更具體地，圖4A是表示典型時(shí)限400的方框圖，該時(shí)限400用于當(dāng)網(wǎng)絡(luò)110上發(fā)布一個(gè)新的計(jì)算機(jī)惡意行為時(shí)，本發(fā)明如何最小化計(jì)算機(jī)302的危險(xiǎn)階段的方框圖。應(yīng)當(dāng)意識(shí)到，雖然下文表示為計(jì)算機(jī)惡意行為攻擊一個(gè)操作系統(tǒng)，但是其僅僅是為了說明，并且不應(yīng)當(dāng)理解為對(duì)本發(fā)明的限制。本發(fā)明可以用于保護(hù)代碼模塊、服務(wù)甚至計(jì)算機(jī)系統(tǒng)中的硬件設(shè)備。
如時(shí)限400所示，在事件402處，惡意人員在網(wǎng)絡(luò)110上發(fā)布了一個(gè)新的計(jì)算機(jī)惡意行為。新計(jì)算機(jī)惡意行為的釋放啟動(dòng)了該新計(jì)算機(jī)惡意行為所針對(duì)的與網(wǎng)絡(luò)110連接的計(jì)算機(jī)的危險(xiǎn)階段406，例如計(jì)算機(jī)302。在事件404處，如上文所述，操作系統(tǒng)提供者或者防病毒軟件提供者檢測(cè)到新計(jì)算機(jī)惡意行為的出現(xiàn)。
一旦檢測(cè)到新計(jì)算機(jī)惡意行為的出現(xiàn)，甚至是在確定該惡意行為的攻擊特性和模式之前，在事件408處，操作系統(tǒng)提供者通過安全服務(wù)306公布安全信息。一般地，當(dāng)發(fā)現(xiàn)計(jì)算機(jī)惡意行為時(shí)，其特性、范圍或者攻擊模式不是公知的，安全服務(wù)將明顯受到影響的計(jì)算機(jī)系統(tǒng)的安全等級(jí)設(shè)為紅色，也就是完全鎖定。在方框410處，網(wǎng)絡(luò)安全模塊304或者在其周期請(qǐng)求中或者作為安全通報(bào)獲得安全信息，并進(jìn)行相應(yīng)的安全度量，在這種情況下，完全鎖定。有利地，一旦從安全服務(wù)306提供了安全度量，目標(biāo)計(jì)算機(jī)的危險(xiǎn)階段406就結(jié)束了。
與圖2B的危險(xiǎn)階段230相比，危險(xiǎn)階段406相對(duì)要小，因此減少了目標(biāo)計(jì)算機(jī)系統(tǒng)暴露于新計(jì)算機(jī)惡意行為的時(shí)間。很清楚地，以危險(xiǎn)階段406為例，危險(xiǎn)階段開放的實(shí)際時(shí)間依賴于小數(shù)量的因素。一個(gè)因素是在檢測(cè)到計(jì)算機(jī)惡意行為之前所經(jīng)過的時(shí)間量。如上所述，從發(fā)布開始一般在十五分鐘到幾小時(shí)之內(nèi)就可以檢測(cè)到新的計(jì)算機(jī)惡意行為。第二個(gè)因素是網(wǎng)絡(luò)安全模塊304從安全服務(wù)306那里獲得安全信息所需要的時(shí)間量，其比第一因素更不定。假設(shè)網(wǎng)絡(luò)安全模塊304可連續(xù)獲得安全信息，僅僅幾秒鐘就可以獲得安全信息并進(jìn)行相應(yīng)的安全度量。但是，如果網(wǎng)絡(luò)安全模塊不能連續(xù)地與安全服務(wù)306通信，或者如果獲得安全信息的周期時(shí)間幀比較長(zhǎng)，保護(hù)性安全度量的執(zhí)行可能要花費(fèi)相當(dāng)長(zhǎng)的時(shí)間。依據(jù)本發(fā)明的內(nèi)容，如果網(wǎng)絡(luò)安全模塊在一段時(shí)間內(nèi)不能與安全服務(wù)306聯(lián)系，由于為確定將與安全服務(wù)的通信，網(wǎng)絡(luò)安全模塊就默認(rèn)進(jìn)入完全鎖定狀態(tài)。
在公布了最初的安全信息后，操作系統(tǒng)提供者或者防病毒軟件提供者通常會(huì)繼續(xù)分析該計(jì)算機(jī)惡意行為，以便更好地理解其怎樣運(yùn)行和/或其攻擊什么特定計(jì)算機(jī)系統(tǒng)特性。根據(jù)這些分析，第二組也許更少限制性的保護(hù)性度量被確定，即有弱點(diǎn)的計(jì)算機(jī)系統(tǒng)必須采取措施來阻止被計(jì)算機(jī)惡意行為感染。因此，在事件412處，公布更新的安全信息，其具有黃色安全等級(jí)并確定保護(hù)性度量阻止有風(fēng)險(xiǎn)的網(wǎng)絡(luò)活動(dòng)，也就是部分鎖定。例如，如上所述，保護(hù)性度量可包括簡(jiǎn)單阻止到和來自特定范圍的通信端口的訪問，其端口包括源和/或目的端口，或者中斷電子郵件通信、Web訪問或其它直接到安裝在受保護(hù)的計(jì)算機(jī)系統(tǒng)上的操作系統(tǒng)、應(yīng)用程序、設(shè)備驅(qū)動(dòng)程序的網(wǎng)絡(luò)活動(dòng)，而允許其它網(wǎng)絡(luò)活動(dòng)自由流動(dòng)。應(yīng)當(dāng)理解的是，“具有風(fēng)險(xiǎn)”的網(wǎng)絡(luò)活動(dòng)包括表示惡意行為對(duì)計(jì)算系統(tǒng)的一個(gè)威脅的網(wǎng)絡(luò)活動(dòng)，而不管該惡意行為攻擊計(jì)算機(jī)系統(tǒng)缺點(diǎn)或簡(jiǎn)單濫用合法計(jì)算機(jī)系統(tǒng)特性。另外，“具有風(fēng)險(xiǎn)”的網(wǎng)絡(luò)活動(dòng)包括直接到由另一設(shè)備單向啟動(dòng)的計(jì)算機(jī)系統(tǒng)的網(wǎng)絡(luò)活動(dòng)。換句話說，“具有風(fēng)險(xiǎn)”的網(wǎng)絡(luò)活動(dòng)包括惡意行為直接到計(jì)算機(jī)系統(tǒng)的網(wǎng)絡(luò)活動(dòng)，該計(jì)算機(jī)系統(tǒng)除了與網(wǎng)絡(luò)連接外不作其它任何工作。
在事件414處，網(wǎng)絡(luò)安全模塊304獲得更新的安全信息，并且進(jìn)行相應(yīng)的保護(hù)安全度量。在事件416處，操作系統(tǒng)提供者和/或防病毒軟件提供者產(chǎn)生并使軟件更新可用后，公布附加的更新安全信息。假設(shè)軟件更新，例如來自操作系統(tǒng)提供者、防病毒軟件提供者或應(yīng)用程序提供者的更新已安裝在計(jì)算機(jī)302上，此附加的更新安全信息可確定安全等級(jí)為綠色。接著，在事件418處，獲得附加的更新的安全信息，該軟件更新被安裝在計(jì)算機(jī)302上，同時(shí)網(wǎng)絡(luò)安全模塊304就可以安全使用，也就是非限制的網(wǎng)絡(luò)訪問。
圖4B是表示可選擇的典型時(shí)限420的方框圖，該時(shí)限420示意了本發(fā)明如何消除相對(duì)在網(wǎng)絡(luò)110上的計(jì)算機(jī)惡意行為的釋放而存在的危險(xiǎn)階段，該計(jì)算機(jī)惡意行為更特別是利用在先已經(jīng)確定的弱點(diǎn)的惡意行為，而不是全新的攻擊。正如上面所提到的，在先公知弱點(diǎn)的使用比全新的攻擊更常見。在事件422處，操作系統(tǒng)提供者確定在當(dāng)前發(fā)布的操作系統(tǒng)中存在弱點(diǎn)。響應(yīng)于確定弱點(diǎn)引起的威脅，在事件424處，通過設(shè)定安全等級(jí)并確定相應(yīng)的保護(hù)性安全度量，操作系統(tǒng)提供者公開緩和的安全度量。在圖4B所示的此實(shí)例中，假設(shè)該弱點(diǎn)對(duì)連接到網(wǎng)絡(luò)110的計(jì)算機(jī)造成重大風(fēng)險(xiǎn)，操作系統(tǒng)提供者公開安全信息，該安全信息根據(jù)安全度量設(shè)置安全等級(jí)為紅色以便執(zhí)行完全鎖定。在事件426處，網(wǎng)絡(luò)安全模塊304獲得最新的安全信息并執(zhí)行完全鎖定。應(yīng)當(dāng)注意的是，在補(bǔ)丁或“修補(bǔ)”可用時(shí)，執(zhí)行安全度量，該安全度量保護(hù)計(jì)算機(jī)302不受確定的弱點(diǎn)的危害。由于大多數(shù)計(jì)算機(jī)惡意行為都是從通過分析補(bǔ)丁修改的弱點(diǎn)而獲得的信息所導(dǎo)出的，惡意人員主動(dòng)拒絕這個(gè)創(chuàng)建攻擊該弱點(diǎn)的惡意行為的機(jī)會(huì)。這樣就沒有啟動(dòng)任何危險(xiǎn)階段。顯而易見的，這對(duì)于計(jì)算機(jī)用戶是特別有利的，特別是，當(dāng)網(wǎng)絡(luò)安全模塊沒有執(zhí)行安全度量時(shí)，與圖2A所示的相應(yīng)的時(shí)限200相比。
經(jīng)常，在進(jìn)一步分析計(jì)算機(jī)惡意行為后，操作系統(tǒng)提供者可確定較低限制的保護(hù)性度量，該保護(hù)性度量將保護(hù)連接到網(wǎng)絡(luò)110的計(jì)算機(jī)302不受計(jì)算機(jī)惡意行為的危害。這樣，如圖4B所示，在事件428處，公開更新的安全通報(bào)，該安全通報(bào)設(shè)置安全等級(jí)為黃色，并包括相應(yīng)的保護(hù)性安全度量，也就是部分鎖定，該安全通報(bào)特別定位于該惡意行為的弱點(diǎn)，同時(shí)所有的網(wǎng)絡(luò)活動(dòng)都是可用的。相應(yīng)的，在事件430處，獲得更新的安全信息，網(wǎng)絡(luò)安全模塊304進(jìn)行部分鎖定。
一旦操作系統(tǒng)或防病毒更新可以使用，如果該更新安裝在計(jì)算機(jī)302上，該更新將保護(hù)計(jì)算機(jī)不受以該弱點(diǎn)為目標(biāo)的計(jì)算機(jī)惡意行為的危害，在事件432處，操作系統(tǒng)提供者公布該信息，并指示一旦被安裝，該網(wǎng)絡(luò)安全模塊就允許自由的網(wǎng)絡(luò)訪問，也就是一旦安全了補(bǔ)丁就設(shè)置安全等級(jí)為綠色。相應(yīng)的，在事件434處，計(jì)算機(jī)302安裝補(bǔ)丁或防病毒更新后，網(wǎng)絡(luò)安全模塊304可以安全訪問。
圖5是表示根據(jù)公開的安全信息動(dòng)態(tài)控制計(jì)算機(jī)系統(tǒng)的網(wǎng)絡(luò)訪問的典型程序的流程圖。圖5包括兩個(gè)開始端，開始端502相應(yīng)于網(wǎng)絡(luò)安全模塊304的起始，而開始端520相應(yīng)于從計(jì)算機(jī)302接收一個(gè)更新通知。最初從開始端502處開始，前進(jìn)到方框504，網(wǎng)絡(luò)安全模塊304相應(yīng)于安全度量執(zhí)行完全鎖定。如上所述，當(dāng)在完全鎖定狀態(tài)時(shí)，為了獲得最新的安全狀態(tài)信息和任何可用的更新，計(jì)算機(jī)被限制為訪問已知的、可信的網(wǎng)絡(luò)位置，包括安全服務(wù)306。
在方框506，網(wǎng)絡(luò)安全模塊304從安全服務(wù)器306那里獲得相應(yīng)于計(jì)算機(jī)當(dāng)前配置的最新的安全信息。依據(jù)本發(fā)明的內(nèi)容，通過向安全服務(wù)發(fā)出對(duì)該信息的請(qǐng)求，網(wǎng)絡(luò)安全模塊304可從安全服務(wù)那里獲得最新安全信息?？蛇x擇的，或者通過第二通信鏈路，或者作為在該網(wǎng)絡(luò)上的廣播，網(wǎng)絡(luò)安全模塊304可從安全服務(wù)306那里獲得廣播的最新安全信息。
在判定方框508，根據(jù)從安全服務(wù)306那里獲得最新的安全信息，網(wǎng)絡(luò)安全模塊304確定具有獲得安全信息的當(dāng)前執(zhí)行的安全度量和相應(yīng)的安全等級(jí)是否是最新的。依據(jù)本發(fā)明的一個(gè)方面，此確定是一個(gè)簡(jiǎn)單的比較，其將計(jì)算機(jī)系統(tǒng)的版本信息與安全服務(wù)公開的最新版本相比較，該計(jì)算機(jī)系統(tǒng)的版本信息是網(wǎng)絡(luò)安全模塊當(dāng)前所存儲(chǔ)的。
如果當(dāng)前執(zhí)行的網(wǎng)絡(luò)度量不是最新的，在方框510處，網(wǎng)絡(luò)安全模塊304根據(jù)網(wǎng)絡(luò)安全模塊存儲(chǔ)的計(jì)算機(jī)系統(tǒng)的信息，為該計(jì)算機(jī)系統(tǒng)獲得安全度量?？蛇x擇的(未示出)，安全度量可包括獲得的安全信息。在方框512，一旦網(wǎng)絡(luò)安全模塊304具有了安全度量，網(wǎng)絡(luò)安全模塊就執(zhí)行該安全度量，并設(shè)置相應(yīng)的安全等級(jí)，例如，紅、黃或綠色。
在為計(jì)算機(jī)系統(tǒng)執(zhí)行完安全度量后，或者可選擇的，對(duì)于計(jì)算機(jī)系統(tǒng)來說，如果當(dāng)前執(zhí)行的安全度量是最新的，在方框514，網(wǎng)絡(luò)安全模塊304進(jìn)入延遲狀態(tài)。此延遲狀態(tài)相應(yīng)于網(wǎng)絡(luò)安全模塊304周期地向安全服務(wù)306請(qǐng)求以獲得最新的安全信息的時(shí)間。在延遲一個(gè)預(yù)定的時(shí)間后，過程返回到方框506，在那里，重復(fù)進(jìn)行從安全服務(wù)306那里獲得最新安全信息、確定當(dāng)前執(zhí)行的安全度量對(duì)于計(jì)算機(jī)系統(tǒng)來說是否是最新的以及執(zhí)行任何新的安全度量的過程。
如圖5所示，由于典型程序500被設(shè)計(jì)成連續(xù)運(yùn)行以保護(hù)計(jì)算機(jī)302不受計(jì)算機(jī)惡意行為的危害，所以程序500不具有重點(diǎn)。但是，本領(lǐng)域的技術(shù)人員應(yīng)當(dāng)認(rèn)識(shí)到，如果網(wǎng)路安全模塊304被關(guān)機(jī)、與典型網(wǎng)絡(luò)環(huán)境300斷開或者被用戶明確中止，正如上文所述的，程序500將結(jié)束。
參看可選擇的開始端520，此入口點(diǎn)表示當(dāng)網(wǎng)路安全模塊304從計(jì)算機(jī)系統(tǒng)接收更新通知時(shí)的情況。如先前所述，當(dāng)一個(gè)步驟更新計(jì)算機(jī)系統(tǒng)時(shí)，適合使用本發(fā)明的應(yīng)用程序會(huì)將新的當(dāng)前版本信息通知網(wǎng)絡(luò)安全模塊。例如，當(dāng)更新防病毒軟件時(shí)，過程的一個(gè)步驟會(huì)向網(wǎng)絡(luò)安全模塊304發(fā)布一個(gè)通知，將該新的當(dāng)前版本通知網(wǎng)絡(luò)安全模塊。這樣，在方框522，網(wǎng)絡(luò)安全模塊接收一個(gè)更新通知。
在方框524，網(wǎng)絡(luò)安全模塊存儲(chǔ)更新通知信息，用于隨后確定當(dāng)前執(zhí)行的安全度量是否是最新的。操作系統(tǒng)的更新和其它代碼模塊的更新可以適于向網(wǎng)絡(luò)安全模塊304提供通知，這樣安全系統(tǒng)可作出更多正確的決定，此決定是關(guān)于保護(hù)任何給定計(jì)算機(jī)系統(tǒng)所需的正確的安全度量的決定。
存儲(chǔ)信息后，程序500前進(jìn)到方框506，如上所述，此方框是從安全服務(wù)306獲得最新安全信息、確定當(dāng)前執(zhí)行的安全度量對(duì)計(jì)算機(jī)系統(tǒng)來說是否是最新的以及是否開始執(zhí)行任何新的安全度量的步驟。最為一個(gè)替換(未示出)，在方框524處接收到更新的計(jì)算機(jī)系統(tǒng)信息后，網(wǎng)絡(luò)安全模塊要等待獲得安全狀態(tài)信息，直到當(dāng)前延遲狀態(tài)結(jié)束。
圖6是表示用于在典型網(wǎng)絡(luò)環(huán)境300中為例如網(wǎng)絡(luò)安全模塊304的網(wǎng)絡(luò)安全模塊廣播安全信息的典型程序600的流程圖。在方框602開始，安全服務(wù)306從各種信源獲得相關(guān)安全的信息。例如，安全服務(wù)306一般從操作系統(tǒng)提供者、防病毒軟件提供者那里獲得信息，這些信息涉及最新版本、補(bǔ)丁和可用更新，同時(shí)涉及通過各種補(bǔ)丁和更新而定位到的計(jì)算機(jī)惡意行為和/或弱點(diǎn)。也可以向其它信源輪詢相關(guān)安全的信息，其包括各種政府代理、安全專家等等。
在方框604，安全服務(wù)306獲得關(guān)于連接到網(wǎng)絡(luò)110的計(jì)算機(jī)系統(tǒng)的弱點(diǎn)的信息。此信息可來自操作系統(tǒng)提供者、防病毒軟件提供者或者檢測(cè)該弱點(diǎn)的其它部門。在方框606，根據(jù)弱點(diǎn)帶來的威脅，安全服務(wù)306確定安全等級(jí)，舉例來說，紅色、黃色和綠色，以及網(wǎng)絡(luò)安全模塊要執(zhí)行的保護(hù)性安全度量，例如網(wǎng)絡(luò)安全模塊304，以便保證受影響的計(jì)算機(jī)不受針對(duì)該弱點(diǎn)的計(jì)算機(jī)惡意行為的危害。
在方框606，如上所述，安全服務(wù)306向連接到網(wǎng)絡(luò)110的網(wǎng)絡(luò)安全模塊廣播安全通報(bào)，該安全通報(bào)包括安全等級(jí)和相應(yīng)的保護(hù)性安全度量。如上所示，安全服務(wù)306可通過向所有的網(wǎng)絡(luò)安全模塊發(fā)布全網(wǎng)絡(luò)廣播，或者在網(wǎng)絡(luò)環(huán)境300中通過第二通信鏈路向網(wǎng)絡(luò)安全設(shè)備發(fā)布全網(wǎng)絡(luò)廣播，而廣播安全通報(bào)。廣播了安全通報(bào)后，程序600結(jié)束。
圖7是表示安全服務(wù)306執(zhí)行的典型程序的流程圖，該程序用于從網(wǎng)絡(luò)安全模型304接收并響應(yīng)一個(gè)安全信息的請(qǐng)求。從方框702開始，安全服務(wù)702從網(wǎng)絡(luò)安全設(shè)備304那里接收安全信息。正如已經(jīng)提到的，安全信息請(qǐng)求可包括相應(yīng)于計(jì)算機(jī)當(dāng)前配置的信息。
在方框704，根據(jù)網(wǎng)路安全模塊提供的安全信息中的特殊計(jì)算機(jī)的配置信息，安全服務(wù)306識(shí)別相關(guān)的安全信息，該安全信息相應(yīng)于安全信息請(qǐng)求中的計(jì)算機(jī)當(dāng)前配置信息。
根據(jù)一個(gè)實(shí)施例，通過根據(jù)計(jì)算機(jī)配置信息確定保護(hù)計(jì)算機(jī)302所需的保護(hù)性安全度量，安全服務(wù)306識(shí)別出相關(guān)的安全信息。依據(jù)一個(gè)替換實(shí)施例，為了由網(wǎng)絡(luò)安全模塊進(jìn)一步處理以便確定要執(zhí)行哪個(gè)保護(hù)性安全度量，通過返回所有的相應(yīng)于特殊計(jì)算機(jī)配置的安全信息，安全服務(wù)306識(shí)別出相關(guān)安全信息。作為進(jìn)一步的替換，通過返回所有的相應(yīng)于特殊計(jì)算機(jī)的配置的安全信息，安全服務(wù)306識(shí)別出相關(guān)的安全信息，該安全信息然后被從網(wǎng)絡(luò)安全設(shè)備傳送到計(jì)算機(jī)302，這樣，計(jì)算機(jī)可以通知網(wǎng)絡(luò)安全模塊要執(zhí)行哪個(gè)保護(hù)安全度量。也可以應(yīng)用上述替換的組合和其它系統(tǒng)。因此本發(fā)明并不被解釋為局限于任何一個(gè)特定實(shí)施例。
在方框706，安全服務(wù)306將相關(guān)安全信息返回到請(qǐng)求的網(wǎng)絡(luò)安全模塊304。此后，程序700中止。
圖8是表示安全服務(wù)模塊304執(zhí)行的典型方法800的流程圖，該方法用于根據(jù)從安全服務(wù)306那里獲得的安全度量(measure)控制計(jì)算機(jī)302和網(wǎng)絡(luò)之間的網(wǎng)絡(luò)信息流。從方框802開始，網(wǎng)絡(luò)安全模塊304接收網(wǎng)絡(luò)通信，其包括來到計(jì)算機(jī)302的網(wǎng)絡(luò)通信和源自計(jì)算機(jī)的網(wǎng)絡(luò)通信。
在決定方框804，作出網(wǎng)絡(luò)通信是否到或來自可信網(wǎng)絡(luò)站點(diǎn)的決定，該網(wǎng)絡(luò)站點(diǎn)例如是安全服務(wù)、防病毒提供者、操作系統(tǒng)提供者等等。如果網(wǎng)絡(luò)通信到或來自可信的網(wǎng)絡(luò)站點(diǎn)，程序前進(jìn)到方框810，在此允許網(wǎng)絡(luò)通信通過網(wǎng)絡(luò)安全模塊304，并且接著程序800中止。但是，如果網(wǎng)絡(luò)通信不是到或來自可信的網(wǎng)絡(luò)站點(diǎn)，程序前進(jìn)到?jīng)Q定方框806。
在決定方框806，要作出另一個(gè)根據(jù)當(dāng)前執(zhí)行的安全度量是否限制網(wǎng)絡(luò)通信的判定。如果根據(jù)當(dāng)前執(zhí)行的安全度量并不限制網(wǎng)絡(luò)通信，那么程序前進(jìn)到方框810，在此允許網(wǎng)絡(luò)通信通過網(wǎng)絡(luò)安全模塊304，并且接著程序800中止。但是如果根據(jù)當(dāng)前執(zhí)行的安全度量要限制網(wǎng)絡(luò)通信，程序800前進(jìn)到方框808，在此不允許網(wǎng)絡(luò)通信通過網(wǎng)絡(luò)安全模塊304。此后，程序800中止。
雖然網(wǎng)絡(luò)安全模塊304介于計(jì)算機(jī)302和Internet110之間，可以改變網(wǎng)絡(luò)安全模塊的實(shí)際實(shí)施例。根據(jù)一個(gè)實(shí)施例，網(wǎng)絡(luò)安全模塊304可被實(shí)施為硬件設(shè)備，其物理上位于計(jì)算機(jī)302外部，并與網(wǎng)絡(luò)110和計(jì)算機(jī)302相連。圖9是表示被實(shí)施為計(jì)算機(jī)303的一個(gè)外圍硬件設(shè)備的典型網(wǎng)絡(luò)安全模塊304的示圖。
如圖9所示，作為一個(gè)外部設(shè)備，網(wǎng)絡(luò)安全模塊304包括連接到網(wǎng)絡(luò)110的連接902和連接到計(jì)算機(jī)302的相應(yīng)的連接904。計(jì)算機(jī)302和網(wǎng)絡(luò)110之間的所有網(wǎng)絡(luò)活動(dòng)都要在連接計(jì)算機(jī)的連接904上進(jìn)行。描述的網(wǎng)絡(luò)安全模塊304也包括以一個(gè)位于計(jì)算機(jī)302和網(wǎng)絡(luò)安全模塊304之間的第二計(jì)算機(jī)連接918，其用于在這兩個(gè)部件之間通信信息。描述的網(wǎng)絡(luò)安全模塊304進(jìn)一步包括一個(gè)可用/不可用開關(guān)906、狀態(tài)指示器910-916以及可選的到外部電源的連接908。
如先前所提到的，需要使網(wǎng)絡(luò)安全模塊304不能實(shí)施其當(dāng)前的度量。根據(jù)圖9所示的實(shí)施例，可用/不可用開關(guān)906是一個(gè)搬鈕開關(guān)，其可以在需要繞過當(dāng)前安全度量的時(shí)候使網(wǎng)絡(luò)安全模塊304不可用，并且也可以使網(wǎng)絡(luò)安全模塊304可用從而使其強(qiáng)制實(shí)施從安全服務(wù)306那里獲得的當(dāng)前安全度量。
包括狀態(tài)指示器910-916是為了提供網(wǎng)絡(luò)安全模塊當(dāng)前狀態(tài)的可視指示。如先前所討論的，狀態(tài)指示器僅僅是為了通知的目的。他們向用戶提供了關(guān)于網(wǎng)絡(luò)安全模塊304執(zhí)行的保護(hù)性安全度量的可視線索。每個(gè)指示器都對(duì)應(yīng)于一個(gè)特定安全狀態(tài)。例如狀態(tài)指示器910可相應(yīng)于紅色安全等級(jí)，其意味著網(wǎng)絡(luò)活動(dòng)的完全鎖定，并且當(dāng)網(wǎng)絡(luò)安全模塊304實(shí)施完全鎖定時(shí)，其亮起紅色。狀態(tài)指示器912可相應(yīng)于黃色安全等級(jí)，舉例來說是網(wǎng)絡(luò)活動(dòng)的部分鎖定，并且當(dāng)網(wǎng)絡(luò)安全模塊304實(shí)施部分鎖定時(shí)，其亮起黃色。相同的，狀態(tài)指示器914可相應(yīng)于綠色安全等級(jí)，舉例來說是自由的網(wǎng)絡(luò)訪問，并且當(dāng)網(wǎng)絡(luò)安全模塊304允許不限制的網(wǎng)絡(luò)訪問時(shí)，其亮起綠色。狀態(tài)指示器916可相應(yīng)于網(wǎng)絡(luò)安全模塊304的可用/不可用狀態(tài)，這樣當(dāng)網(wǎng)絡(luò)安全模塊不可用時(shí)，點(diǎn)亮該狀態(tài)指示器，也許是閃爍的紅光。
雖然本發(fā)明可如圖9那樣實(shí)施，但是其僅僅是示意性的。在不背離本發(fā)明的范圍的條件下，可以對(duì)圖9所示的物理實(shí)施組出多種修改和改變。因此，不應(yīng)當(dāng)將本發(fā)明解釋為限制作為任何特殊的物理實(shí)施。
作為一個(gè)物理實(shí)施例的替換(未示出)，網(wǎng)絡(luò)安全模塊304可以是集成在計(jì)算機(jī)302中的一個(gè)部件，或者是計(jì)算機(jī)網(wǎng)絡(luò)接口終端一個(gè)子部件。當(dāng)計(jì)算機(jī)302通過無線連接連接到Internet110時(shí)，這兩個(gè)實(shí)施例就會(huì)特別有用。作為另一個(gè)替換實(shí)施例，網(wǎng)絡(luò)安全模塊304可被實(shí)施為集成在操作系統(tǒng)中的軟件模塊，或者被實(shí)施為安裝在計(jì)算機(jī)302上的獨(dú)立模塊。因此，網(wǎng)絡(luò)安全模塊304不應(yīng)被理解為限制到任何特定物理或邏輯的實(shí)施例。
圖10是表示依據(jù)本發(fā)明形成的網(wǎng)絡(luò)安全模塊304的邏輯部件的方框圖。網(wǎng)絡(luò)安全模塊304包括內(nèi)存儲(chǔ)器1002、安全狀態(tài)指示器模塊1004、比較模塊1006、安全強(qiáng)制執(zhí)行模塊1008、更新請(qǐng)求模塊1010、網(wǎng)絡(luò)連接1012、計(jì)算機(jī)連接1014、第二計(jì)算機(jī)連接1018以及編碼/解碼模塊1020。
內(nèi)存儲(chǔ)器1002存儲(chǔ)由網(wǎng)絡(luò)安全模塊304執(zhí)行的當(dāng)前安全度量，其包括易失和非易失內(nèi)存區(qū)域。內(nèi)存儲(chǔ)器1002也存儲(chǔ)向網(wǎng)絡(luò)安全模塊304提供的配置信息，該配置信息包括操作系統(tǒng)、防病毒軟件和特征、應(yīng)用程序等等的當(dāng)前版本信息。內(nèi)存儲(chǔ)器1002也可以存儲(chǔ)其他信息，包括可信位置地址、更新信源等等。例如可信位置地址的信息更可能存儲(chǔ)在非易失內(nèi)存儲(chǔ)器中。
安全狀態(tài)指示器模塊1004用于向計(jì)算機(jī)用戶表示網(wǎng)絡(luò)安全模塊304的當(dāng)前安全狀態(tài)。例如，當(dāng)網(wǎng)絡(luò)安全模塊304被實(shí)施為例如圖9所示的物理設(shè)備時(shí)，安全狀態(tài)指示器模塊1004根據(jù)網(wǎng)絡(luò)安全模塊的當(dāng)前安全狀態(tài)控制狀態(tài)指示器910-916。
比較模塊1006將內(nèi)存儲(chǔ)器1002中存儲(chǔ)的安全信息和從安全服務(wù)306那里獲得的安全信息進(jìn)行比較，以便確定內(nèi)存儲(chǔ)器1002中存儲(chǔ)的安全信息對(duì)于計(jì)算機(jī)當(dāng)前的配置來說是否是最新的。安全強(qiáng)制執(zhí)行1008是強(qiáng)制執(zhí)行安全度量的部件，以便保護(hù)計(jì)算機(jī)不受察覺到的威脅的危害。這樣，安全強(qiáng)制執(zhí)行模塊1008就根據(jù)存儲(chǔ)在內(nèi)存儲(chǔ)器1002中的安全度量控制計(jì)算機(jī)302和網(wǎng)絡(luò)110之間的網(wǎng)絡(luò)活動(dòng)。
更新請(qǐng)求模塊1010用在一個(gè)輪詢系統(tǒng)中，以便周期的請(qǐng)求來自安全服務(wù)的最新安全信息。在推系統(tǒng)中，更新請(qǐng)求模塊1010可作為來自安全服務(wù)的安全信息的接受器，并根據(jù)來自安全服務(wù)306的信息與比較模塊合作，以便確認(rèn)出用于有效保護(hù)計(jì)算機(jī)302的保護(hù)性安全度量。網(wǎng)絡(luò)安全模塊304的所有部件都是通過公共系統(tǒng)總線1016相互連接的。
編碼/解碼模塊1020用于編碼和解碼網(wǎng)絡(luò)安全模塊304和安全服務(wù)306之間的安全通信以及計(jì)算機(jī)302和網(wǎng)絡(luò)安全模塊之間的安全通信。為了實(shí)施當(dāng)前的安全度量，編碼/解碼模塊1020解碼的信息被提供給安全強(qiáng)制實(shí)施模塊1008。
依據(jù)一個(gè)實(shí)施例，計(jì)算機(jī)302和網(wǎng)絡(luò)安全模塊304之間的安全通信通過第二計(jì)算機(jī)連接1018傳送。但是本發(fā)明并不理解為被限制于包括一個(gè)第二計(jì)算機(jī)連接1018。在一個(gè)替換實(shí)施例中，網(wǎng)絡(luò)安全模塊304利用主要計(jì)算機(jī)連接1014于計(jì)算機(jī)302進(jìn)行通信。
雖然已經(jīng)描述了網(wǎng)絡(luò)安全模塊304的各個(gè)部件，但是應(yīng)當(dāng)理解，在一實(shí)際實(shí)施中，它們都是邏輯部件，并且能合并在一起，或者與其他未描述的部件合并在一起。因此，應(yīng)當(dāng)將上述部件視為是示例性的，并且不解釋為對(duì)本發(fā)明的限制。
正如所描述的，雖然獨(dú)立運(yùn)行或者與防病毒軟件結(jié)合運(yùn)行的網(wǎng)絡(luò)安全模塊304可以保護(hù)計(jì)算機(jī)設(shè)備不受許多計(jì)算機(jī)惡意行為/攻擊的危害，但是在一些情況下，某些定向惡意行為可以繞過網(wǎng)絡(luò)安全模塊和/或防病毒軟件。特別地，有一種惡意人員在攻擊一個(gè)計(jì)算設(shè)備所用的技術(shù)是通過使用感染的計(jì)算機(jī)/惡意行為信源和目標(biāo)計(jì)算設(shè)備之間的安全的通信，而使惡意行為不被檢測(cè)到。圖11是表示計(jì)算機(jī)惡意行為如何發(fā)送到使用安全通信的計(jì)算設(shè)備的方框圖。
作為計(jì)算機(jī)惡意行為如何發(fā)送到使用安全通信的計(jì)算設(shè)備的一個(gè)例子，參照?qǐng)D11，計(jì)算機(jī)102上的惡意人員具有一個(gè)惡意行為112。為了感染另一臺(tái)計(jì)算機(jī)，例如計(jì)算機(jī)1104，惡意人員可以將惡意行為112作為一個(gè)合法信源/內(nèi)容提供給其他人，但是要通過安全的通信傳送它。作為本領(lǐng)域的技術(shù)人員所公知的，安全通信一般利用公共和私人密鑰加密，這樣只有密鑰(私人密鑰)的處理器才能解密并瀏覽安全通信的內(nèi)容。安全通信協(xié)議的實(shí)例包括加密套接字協(xié)議層(SSL)和傳輸層安全(TLS)協(xié)議。
接著本實(shí)例，不懷疑的用戶通過計(jì)算設(shè)備1104被欺騙相信惡意行為112是真正合法內(nèi)容，并從計(jì)算機(jī)102請(qǐng)求該惡意行為。為了加密和解密該惡意行為112，計(jì)算機(jī)102和計(jì)算設(shè)備1104協(xié)商并交換密鑰。此后，為了發(fā)送，傳輸編碼器1106編碼該惡意行為，并且通過箭頭1108所示的網(wǎng)絡(luò)110安全地將該加密的惡意行為發(fā)送給計(jì)算設(shè)備1104。因?yàn)閻阂庑袨橐约用艿臓顟B(tài)發(fā)送，很可能就能夠通過網(wǎng)絡(luò)安全模塊(未示出)和任何防病毒軟件。一旦到達(dá)計(jì)算設(shè)備1104，傳輸編碼器模塊1110將該編碼的傳輸解碼/解密，并傳給瀏覽器顯示模塊112。本領(lǐng)域的技術(shù)人員應(yīng)認(rèn)識(shí)到通常傳輸解碼模塊1110是瀏覽器顯示模塊112的整體部分。一旦現(xiàn)實(shí)該惡意行為，瀏覽器現(xiàn)實(shí)模塊112就能使惡意行為感染該計(jì)算設(shè)備1104。
依據(jù)本發(fā)明的內(nèi)容，網(wǎng)絡(luò)安全模塊304可用于保護(hù)計(jì)算設(shè)備不受通過安全通信發(fā)送的計(jì)算機(jī)惡意行為的危害。再參照?qǐng)D10，網(wǎng)絡(luò)安全模塊304通過第二計(jì)算連接1018從計(jì)算設(shè)備那里獲得加密該安全通信所需的密鑰。一旦獲得密鑰，編碼/解碼模塊1020就為該過程臨時(shí)編碼該安全通信。如下面將詳細(xì)描述的，如果發(fā)現(xiàn)安全通信破壞了網(wǎng)絡(luò)安全模塊304實(shí)施的安全度量或者是一個(gè)惡意行為，就禁止來通信到達(dá)該計(jì)算設(shè)備1104。但是，如果安全通信沒有破壞安全度量，并且不是一個(gè)惡意行為，就允許安全通信流向該計(jì)算設(shè)備110。
依據(jù)本發(fā)明的內(nèi)容，第二計(jì)算連接1018(圖10)可以是各種連接到計(jì)算設(shè)備1104的各種通信信道。例如第二計(jì)算連接1018可以是通用串行總線(USB)連接、IEEE1394連接或者標(biāo)準(zhǔn)的串行或并行數(shù)據(jù)連接。如上所述，第二計(jì)算連接的一個(gè)目的就是提供一個(gè)通信信道，通過該信道網(wǎng)絡(luò)安全模塊304可從傳輸解碼器1110那里獲得一個(gè)密碼解密鑰，以便臨時(shí)解密安全通信。因此作為一個(gè)替換實(shí)施例，第二計(jì)算連接1018也可以是計(jì)算機(jī)連接1014，在此計(jì)算機(jī)連接1014上可以進(jìn)行計(jì)算設(shè)備和網(wǎng)絡(luò)110之間的網(wǎng)絡(luò)活動(dòng)。依據(jù)此替換實(shí)施例，計(jì)算機(jī)連接1014和第二計(jì)算連接1018之間的區(qū)別是邏輯而非物理的區(qū)別。
圖12是表示一個(gè)典型環(huán)境1200的方框圖，其表示使用本發(fā)明的網(wǎng)絡(luò)安全模塊304如何通過安全通信保護(hù)計(jì)算設(shè)備1104不受發(fā)送到該計(jì)算設(shè)備的計(jì)算機(jī)惡意行為112的危害。與圖11的例子相似，計(jì)算機(jī)102上的惡意人員試圖通過箭頭1108所示的安全通信向計(jì)算設(shè)備1104傳送計(jì)算機(jī)惡意行為112。但是介于網(wǎng)絡(luò)110和計(jì)算設(shè)備1104之間的網(wǎng)絡(luò)安全模塊304首先獲得安全通信。作為強(qiáng)制實(shí)施與當(dāng)前安全等級(jí)有關(guān)的安全度量的部分，或者僅僅作為正在進(jìn)行的安全預(yù)防，網(wǎng)絡(luò)安全模塊304評(píng)估進(jìn)入的網(wǎng)絡(luò)活動(dòng)以便確定所有的通信是否是安全通信。
一旦檢測(cè)到安全通信，網(wǎng)絡(luò)安全模塊304就通過第二計(jì)算機(jī)連接1018向計(jì)算設(shè)備1102的傳輸解碼模塊請(qǐng)求密碼解密鑰。利用該密碼解密鑰，網(wǎng)絡(luò)安全模塊304臨時(shí)解密該安全通信，并根據(jù)網(wǎng)絡(luò)安全模塊實(shí)施的任何安全度量處理該解密的通信數(shù)據(jù)。根據(jù)本發(fā)明的附加內(nèi)容，與防病毒軟件結(jié)合運(yùn)行的網(wǎng)絡(luò)安全模塊304也可將該臨時(shí)解密的通信數(shù)據(jù)發(fā)送到防病毒軟件，用于惡意行為/病毒評(píng)估。
一旦檢測(cè)到該安全通信數(shù)據(jù)是實(shí)施的安全度量所禁止的網(wǎng)絡(luò)活動(dòng)，或者檢測(cè)表示是一個(gè)由任何防病毒軟件檢測(cè)到的惡意行為，網(wǎng)絡(luò)安全模塊304就禁止該安全通信/惡意行為到達(dá)該計(jì)算設(shè)備1104，如箭頭1204所示。在這種方式下，就保護(hù)了計(jì)算設(shè)備104，甚至是保護(hù)了不受到在安全通信信道中傳送的通信的危害?？蛇x擇的地，如果安全通信不破壞任何實(shí)施的安全度量，并且不是惡意行為，安全通信就被轉(zhuǎn)送到計(jì)算設(shè)備1104。
雖然圖11和12的上述描述表示了傳輸解碼器1110是一個(gè)與瀏覽器顯示模塊1112相獨(dú)立的模塊，但是其僅僅為了說明目的。本領(lǐng)域的技術(shù)人員應(yīng)當(dāng)認(rèn)識(shí)到傳輸解碼器1110經(jīng)常是計(jì)算設(shè)備上的瀏覽器現(xiàn)實(shí)模塊1112的整體部件。
圖13A和13B表示依據(jù)本發(fā)明的典型程序1300的方框圖，該程序1300用于檢測(cè)和處理安全通信。應(yīng)當(dāng)理解雖然典型程序1300可在網(wǎng)絡(luò)安全模塊304上實(shí)施，但是其也可以獨(dú)立實(shí)施和執(zhí)行為與瀏覽器顯示模塊1112結(jié)合運(yùn)行的軟件模塊，以便保護(hù)計(jì)算設(shè)備1104不受惡意行為112的危害。
在方框1302處開始(圖13A)，典型程序1300監(jiān)視網(wǎng)絡(luò)活動(dòng)，特別是進(jìn)入的網(wǎng)絡(luò)活動(dòng)。一旦檢測(cè)到進(jìn)入的網(wǎng)絡(luò)活動(dòng)，在決定方框1304，確定網(wǎng)絡(luò)活動(dòng)是否是指向到受保護(hù)的計(jì)算設(shè)備的安全通信。在方框1306，如果該網(wǎng)絡(luò)活動(dòng)不是指向到受保護(hù)的計(jì)算設(shè)備的安全通信，就將網(wǎng)絡(luò)活動(dòng)轉(zhuǎn)送到受保護(hù)的計(jì)算設(shè)備。此后，程序返回到方框1302，以便監(jiān)視其他網(wǎng)絡(luò)活動(dòng)。例如，如果典型程序1300在網(wǎng)絡(luò)安全模塊上執(zhí)行，例如網(wǎng)絡(luò)安全模塊304，可發(fā)生其他處理，例如確定網(wǎng)絡(luò)活動(dòng)是否破壞網(wǎng)絡(luò)安全模塊實(shí)施的任何安全度量。非安全網(wǎng)絡(luò)活動(dòng)的處理已經(jīng)在前面描述了。
如果網(wǎng)絡(luò)活動(dòng)是安全通信，在方框1308，獲得解密安全通信的解密鑰。在方框1310，利用獲得的解密鑰，臨時(shí)解密該安全通信。此后，在決定方框1312(圖13B)，確定解密的通信是否是網(wǎng)絡(luò)安全模塊304實(shí)施的安全度量所禁止的。如果該通信是被禁止的網(wǎng)絡(luò)活動(dòng)，在方框1314處，不允許該安全通信，例如，不向該計(jì)算設(shè)備運(yùn)送。此后，程序1300返回到方框1302(圖13A)來繼續(xù)監(jiān)視網(wǎng)絡(luò)活動(dòng)。
如果解密的通信不是實(shí)施的安全度量所禁止的，在決定方框1316，就作出該解密通信是否是一個(gè)惡意行為的另一個(gè)確定。如上所述，網(wǎng)絡(luò)安全模塊304可與外部防病毒軟件結(jié)合運(yùn)行。在此環(huán)境中，網(wǎng)絡(luò)安全模塊304將臨時(shí)解密的通信發(fā)送到防病毒軟件，來評(píng)估其是否是一個(gè)惡意行為或者已受惡意行為的感染。如果確定解密的通信是一個(gè)惡意行為，在方框1314，就不允許該安全通信，并且程序1300返回到方框1302(圖13A)，以便繼續(xù)監(jiān)視網(wǎng)絡(luò)活動(dòng)。可選擇的，如果確定解密的通信不是一個(gè)惡意行為，在方框1318，就將該安全通信傳送到計(jì)算設(shè)備。此后，程序1300返回到方框1302(圖13A)來繼續(xù)監(jiān)視網(wǎng)絡(luò)活動(dòng)。
雖然已經(jīng)說明和描述了本發(fā)明的包括優(yōu)選實(shí)施例的多個(gè)實(shí)施例，但是應(yīng)當(dāng)認(rèn)識(shí)到在不背離本發(fā)明的精神和范圍的條件下可以作出各種改變。
權(quán)利要求
1.一種網(wǎng)絡(luò)安全模塊，其置于一計(jì)算設(shè)備和一網(wǎng)絡(luò)之間，以至于所述計(jì)算設(shè)備和所述網(wǎng)絡(luò)之間的所有網(wǎng)絡(luò)活動(dòng)都要通過所述網(wǎng)絡(luò)安全模塊，所述網(wǎng)絡(luò)安全模塊用于保護(hù)所述計(jì)算設(shè)備不受在所述網(wǎng)絡(luò)上的確定的安全威脅的危害，所述網(wǎng)絡(luò)安全模塊包括一計(jì)算設(shè)備連接，其將所述網(wǎng)絡(luò)安全模塊連接到所述計(jì)算設(shè)備；一網(wǎng)絡(luò)連接，其將所述網(wǎng)絡(luò)安全模塊連接到所述網(wǎng)絡(luò)；一解碼器模塊，其利用一個(gè)獲得的解密鑰臨時(shí)解密一個(gè)安全通信；以及一安全強(qiáng)制實(shí)施模塊，其通過實(shí)施獲得的安全度量，控制所述計(jì)算設(shè)備和所述網(wǎng)絡(luò)之間的網(wǎng)絡(luò)活動(dòng)，從而保護(hù)所述計(jì)算設(shè)備不受所述網(wǎng)絡(luò)上的一個(gè)確定的安全威脅的危害。
2.如權(quán)利要求1所述的網(wǎng)絡(luò)安全模塊，其中，所述安全強(qiáng)制實(shí)施模塊通過獲得臨時(shí)解密的安全通信并且根據(jù)所述獲得的安全度量評(píng)估所述臨時(shí)解密的安全通信，來控制所述計(jì)算設(shè)備和所述網(wǎng)絡(luò)之間的網(wǎng)絡(luò)活動(dòng)。
3.如權(quán)利要求1所述的網(wǎng)絡(luò)安全模塊，其中，所述解碼器模塊從所述計(jì)算設(shè)備上的一解碼模塊那里獲得所述解密鑰，來臨時(shí)解密所述安全通信。
4.如權(quán)利要求3所述的網(wǎng)絡(luò)安全模塊，其進(jìn)一步包括一第二通信連接，其將所述網(wǎng)絡(luò)安全模塊連接到所示計(jì)算設(shè)備，并且其中，所述解碼器模塊通過所述第二通信連接從所述計(jì)算設(shè)備上的一解碼模塊那里獲得所述解密鑰，來臨時(shí)解密所述安全通信。
5.如權(quán)利要求1所述的網(wǎng)絡(luò)安全模塊，其中，所述安全通信根據(jù)加密套接字層協(xié)議被加密。
6.如權(quán)利要求1所述的網(wǎng)絡(luò)安全模塊，其中，所述安全通信根據(jù)傳輸層安全協(xié)議被加密。
7.一種用于保護(hù)一計(jì)算設(shè)備不受通過網(wǎng)絡(luò)傳送的一確定的安全威脅的危害的方法，由置于所述計(jì)算設(shè)備和所述網(wǎng)絡(luò)之間的一個(gè)網(wǎng)絡(luò)安全模塊上實(shí)施，以至于所述計(jì)算設(shè)備和所述網(wǎng)絡(luò)之間的所有網(wǎng)絡(luò)活動(dòng)都要通過所述網(wǎng)絡(luò)安全模塊，所述方法包括獲得用于保護(hù)所述計(jì)算設(shè)備不受一確定的安全威脅的危害的保護(hù)性安全度量；檢測(cè)直接到所述計(jì)算設(shè)備的安全通信；臨時(shí)解碼所述安全通信；以及在所述臨時(shí)解碼的安全通信上實(shí)施所述保護(hù)性安全度量。
8.如權(quán)利要求7所述的方法，其進(jìn)一步包括從所述計(jì)算設(shè)備那里獲得用于解密所述安全通信的解密鑰。
9.如權(quán)利要求8所述的方法，其中，所述解密鑰是通過所述網(wǎng)絡(luò)安全模塊和所述計(jì)算設(shè)備之間的一第二通信連接從所述計(jì)算設(shè)備那里獲得的。
10.如權(quán)利要求9所述的方法，其中，所述解密鑰是從所述計(jì)算設(shè)備上的一解碼模塊那里獲得的。
11.如權(quán)利要求9所述的方法，其中，所述安全通信根據(jù)加密套接字層協(xié)議被加密。
12.如權(quán)利要求9所述的方法，其中，所述安全通信根據(jù)傳輸層安全協(xié)議被加密。
13.如權(quán)利要求7所述的方法，其進(jìn)一步包括從所述計(jì)算設(shè)備那里獲得與所述計(jì)算設(shè)備有關(guān)的配置信息，并且其中，獲得用于保護(hù)所述計(jì)算設(shè)備不受一確定的安全威脅的危害的保護(hù)性安全度量的步驟包括根據(jù)與所述計(jì)算設(shè)備有關(guān)的所述配置信息獲得用于保護(hù)所述計(jì)算設(shè)備的保護(hù)性安全度量。
14.一種網(wǎng)絡(luò)安全模塊，其置于一網(wǎng)絡(luò)設(shè)備和一網(wǎng)絡(luò)之間，以至于所述網(wǎng)絡(luò)設(shè)備和所述網(wǎng)絡(luò)之間的所有網(wǎng)絡(luò)活動(dòng)都要通過所述網(wǎng)絡(luò)安全模塊，所述網(wǎng)絡(luò)安全模塊用于保護(hù)所述網(wǎng)絡(luò)設(shè)備不受在所述網(wǎng)絡(luò)上的確定的安全威脅的危害，所述網(wǎng)絡(luò)安全模塊包括一計(jì)算設(shè)備連接，其將所述網(wǎng)絡(luò)安全模塊連接到所述網(wǎng)絡(luò)設(shè)備；一網(wǎng)絡(luò)連接，其將所述網(wǎng)絡(luò)安全模塊連接到所述網(wǎng)絡(luò)；一解碼器裝置，其利用一個(gè)獲得的解密鑰臨時(shí)解密一個(gè)安全通信；以及一安全強(qiáng)制實(shí)施裝置，其通過實(shí)施獲得的安全度量，來控制所述網(wǎng)絡(luò)設(shè)備和所述網(wǎng)絡(luò)之間的網(wǎng)絡(luò)活動(dòng)，從而保護(hù)所述網(wǎng)絡(luò)設(shè)備不受所述網(wǎng)絡(luò)上的一個(gè)確定的安全威脅的危害。
15.如權(quán)利要求14所述的網(wǎng)絡(luò)安全模塊，其中，所述安全強(qiáng)制實(shí)施裝置通過從所述解碼器裝置那里獲得臨時(shí)解密的安全通信并根據(jù)所述獲得的安全度量評(píng)估所述臨時(shí)解密的安全通信，來控制所述網(wǎng)絡(luò)設(shè)備和所述網(wǎng)絡(luò)之間的網(wǎng)絡(luò)活動(dòng)。
16.如權(quán)利要求14所述的網(wǎng)絡(luò)安全模塊，其中，所述解碼器裝置從所述網(wǎng)絡(luò)設(shè)備上的一解碼模塊那里獲得所述解密鑰，來臨時(shí)解密所述安全通信。
17.如權(quán)利要求16所述的網(wǎng)絡(luò)安全模塊，其進(jìn)一步包括一第二通信連接，其將所述網(wǎng)絡(luò)安全模塊連接到所述網(wǎng)絡(luò)設(shè)備，并且其中，所述解碼器裝置通過所述第二通信連接從所述網(wǎng)絡(luò)設(shè)備上的一解碼裝置那里獲得所述解密鑰，來臨時(shí)解密所述安全通信。
18.如權(quán)利要求14所述的網(wǎng)絡(luò)安全模塊，其中，所述安全通信根據(jù)加密套接字層協(xié)議被加密。
19.如權(quán)利要求14所述的網(wǎng)絡(luò)安全模塊，其中，所述安全通信根據(jù)傳輸層安全協(xié)議被加密。
全文摘要
提出了一種用于保護(hù)連接到一通信網(wǎng)絡(luò)的計(jì)算設(shè)備不受確定的安全通信中的網(wǎng)絡(luò)威脅的危害的網(wǎng)絡(luò)安全模塊。該網(wǎng)絡(luò)安全模塊或者邏輯或者物理地介于受保護(hù)的計(jì)算機(jī)和通信網(wǎng)絡(luò)之間。一旦檢測(cè)到安全通信，該網(wǎng)絡(luò)安全模塊就從計(jì)算設(shè)備那里獲得一個(gè)解密鑰，以便解碼該安全通信。然后該網(wǎng)絡(luò)安全模塊根據(jù)該加密的通信是否破壞該網(wǎng)絡(luò)安全模塊實(shí)施的保護(hù)性安全度量，處理該解密的通信。
文檔編號(hào)H04L29/06GK1658577SQ20051005652
公開日2005年8月24日 申請(qǐng)日期2005年2月2日 優(yōu)先權(quán)日2004年2月13日
發(fā)明者A·法蘭克, T·G·菲利浦斯 申請(qǐng)人:微軟公司