CN101083659A

CN101083659A - 便携式设备的安全策略与环境

Info

Publication number: CN101083659A
Application number: CNA2007101037889A
Authority: CN
Inventors: 单益智; 林祖盛; 邰续晖
Original assignee: O2Micro Inc
Current assignee: O2Micro Inc
Priority date: 2006-05-30
Filing date: 2007-05-30
Publication date: 2007-12-05
Anticipated expiration: 2027-05-30
Also published as: CN101083659B; US8732789B2; TW200814705A; US20070283413A1

Abstract

本发明提供一种便携式安全策略与环境，其可以便利地伴随用户而无论用户去哪里。便携式安全策略和环境包括对客户终端身份的验证，检查该客户终端的安全环境，根据该安全环境生成策略，以及将该策略发送到网络设备。

Description

便携式设备的安全策略与环境

技术领域

本发明涉及安全策略与环境，尤其涉及具有便利性的便携式设备的安全策略与环境。

背景技术

在移动设备领域中，环境安全是主要关注的焦点。不同的用户将不同的用户设备展现给各不相同的安全环境。由于这些用户设备与各不相同的安全环境不会相容，所以典型地不执行安全保护。结果，当在移动设备环境中通信时，用户设备将不是安全的。

所以本发明提供便携式设备的安全策略和简介，以建立安全环境，无论用户在哪里，无论用户使用什么样的平台，便携式设备的安全性都将与之同行，包括便携式设备的安全策略和用户简介。

进而，本发明覆盖了3个主要部分：客户标记、OS安全性以及网络安全性。

发明内容

这里所述的技术主要关注于网络安全策略和环境。根据本发明的一个实施例，为内联网和/或互联网的用户提供一种便携式安全策略和环境。该便携式安全策略和环境包括一个便携式设备，其包括用户身份和用户的缺省简介信息，一客户终端，用于嵌入便携式设备，以及一策略服务器，用于验证用户身份，用于检查客户终端的安全环境，用于为客户终端生成策略，以及用于向网络设备发送策略。

附图说明

合并到说明书中并且作为其中一部分的附图示出了本发明的实施例，并且和文字描述一同用来解释本发明的原理。

图1显示了示出根据本发明的一个实施例的用户从局域网(LAN)登录的安全环境的示意图。

图2显示了示出根据本发明的一个实施例的用户从广域网(WAN)登录的安全环境的示意图。

图3显示了根据本发明的一个实施例的便携式安全环境的流程图。

具体实施方式

现将详细参照本发明的优选实施例，其实例在附图中示出。虽然本发明将连同优选实施例一起描述，但是应当理解并不是意图将本发明限制在这些实施例中。相反，本发明试图覆盖替换、改进和等价物，这些可以涵盖在由所附权利要求所定义的主旨和范围内。此外，在后续对本发明实施例的详细说明中，阐明了许多特殊细节，以便提供对本发明的全面理解。然而，本发明的普通技术人员可以认识到本发明可以在没有这些特殊细节的情况下实施。在其他方面，没有详细说明众所周知的方法、程序、组件和电路，以便不会不必要地使得本发明实施例的各个方面变得模糊。

随后的详细说明的一些部分将以程序、步骤、逻辑单元、处理过程以及其他在计算机存储单元中的数据比特上的操作的符号表示。这些说明和表示由那些数据处理领域的技术人员使用的向那些本领域的其他技术人员有效传达它们工作的实质的手段。这里，程序、计算机执行的步骤、逻辑单元、处理等通常被构思为导向期望结果的前后一致的步骤或指令序列。步骤是物理量必不可少的物理变换。通常，虽然不必要，这些量采用能够存储、传输、组合、比较，或者在计算机系统中进行的其他处理的电或磁信号的形式。理论上是因为共用，这有时已被证实对于提及这些以比特形式存在的信号、值、元素、符号、特征、术语、号码等是十分便利的。

然而，必须记住，所有这些以及类似的术语都与合适的物理量相关联，并且仅仅是用作这些量的方便标签。在后边的讨论中，除非明显的特别申明的其他情形，贯穿于本发明都这样理解，即使用了各种术语的描述或者相似的电子计算设备，其在计算机系统的寄存器和存储器中操作和转换作为物理(电子)量表示的数据，并将其操作和转换为类似由在计算机系统的存储器或寄存器或者其他例如信息存储、传输或显示设备中的物理量表示的其他数据。

本发明的实施例包括三个主要部分：客户标记、OS安全性以及网络安全性。本发明的实施例使用便携式策略和简介信息来建立安全环境，而不管客户终端行进到何处，也不管用户使用什么平台。同样地，便携式安全将与其一致，包括便携式策略和用户简介信息。这就建立了便捷的和安全的安全环境。

图1显示了示出根据本发明的一个实施例的用户在局域网(LAN)中登录的安全系统的示意图。

该系统提供了检测内联网客户机的健康状态的综合手段，其中该客户机正试图连接到网络或者在网络上通信，并且限制网络客户机的访问，直到符合健康策略的需求。策略的需求包括已安装的应用程序、已安装的补丁、配置、设备性能、硬件组件和/或类似物。

为了基于系统健康而确认网络访问，网络基础结构必须提供下列功能区域：健康策略确认，其确定计算机是否服从健康策略的需要；网络访问限制，其限制对于不服从的计算机的访问；自动纠错，其提供必要的升级以允许不服从的计算机变为服从。正在进行的服从过程中，其自动升级服从的计算机，所以其紧随着健康策略的需要中的变化。

在基于策略的网络，可以根据白天的时间、客户验证特许、网络资源有效性以及当构成策略时网络管理员可以指定的其他任一因素，通过策略服务器分配资源。关于文件和文档，策略服务器能够允许或者拒绝访问，控制客户可以使用文档的范围(例如，一次打印或者只是下载)，追踪客户使用方式，登录变化或者改进，提供自动升级，消除不必要的冗余，将重排文档的需要最小化，以及删除陈旧的数据。策略服务器可以是网络的重要部分，在其中客户隐私必须受到保护(如在医疗记录中)或者是被保持着的秘密(如在军事行动中)。

参考图1，来自LAN的用户将便携式ID设备插入客户终端101中以进行登录。客户终端101自动安装安全代理。该安全代理自动地启动网络加密连接。也就是说，本实施例通过任何服务端口登记到策略服务器106上，其中的服务端口可以连接到外网上(例如，互联网)。客户终端101可以包括个人计算机、服务器计算机、客户设备、路由器、交换机、无线访问点、安全应用程序、手持式或膝上型设备、机顶盒、可编程消费型电器、微型计算机、大规模计算机等。

安全系统100包括策略服务器106，其为安全系统100的核心设备。策略服务器106提供验证服务以及促进文件跟踪和控制。策略服务器接受访问控制需求，处理这些与一组正式的状态相反的需求，其中的一组正式的状态定义了网络资源如何被分配到其客户机(众所周知被称为策略)中，并且返回访问控制响应。

如果客户终端101成功登记到策略服务器106，那么策略服务器106使得客户终端101通过验证。也就是说，策略服务器106检查客户终端101的身份。

如果客户终端101通过了验证，策略服务器开始自动下载最新的清单。也就是说，策略服务器检查客户终端是否符合策略服务器的要求。更为特别的是，策略需求表示关于诸如已安装的应用程序、已安装的补丁、配置、设备性能、硬件组件和/或类似物的标准的计算机设备状态。

客户终端101从策略服务器106自动下载最新的安全清单。同时，策略服务器106自动开始客户终端101的主机检查。在策略服务器106和客户终端之间的主机检查包括，但不限于以下项目：系统补丁、反病毒模式、文件检查、处理检查、本地IP，以及设备检查。

主机检查是客户终端101的可信赖性的一个量度。特别地，如果客户终端表现出安全状态，则需求被转送到期望的目的。如果客户终端表现出不安全状态，则可能降低需求的通信量。在另一个实施方式中，如果客户终端表现出不健康状态，则需求可能根据一个或者多个常规网络规定和通信量参数而被过滤或者限制。在另一个其他的实施方式中，如果客户终端表现出不健康状态，则可能指向需求。需求可以通过将源和/或目的设备推进到适当的资源重定向，以进行设备状态的更新。例如，可以使得源计算设备指向服务器，在该服务器中其操作系统可以用当前的安全补丁进行更新。

另一方面，如果客户终端101符合安全标准，策略服务器106基于客户终端101的身份和环境动态生成预定的客户策略。策略服务器将动态策略配置到客户终端101中，以及诸如交换机112/114、无线AP、防火墙(FW)114、入侵保护系统(IPS/IDP)110、服务器站(Server Farm)108等的网络设备中。

在另一个实施例中，如果客户终端没能连接到策略服务器106，那么策略服务器106执行本地验证。如果用户通过本地验证，则客户终端101载入缺省的简介信息和功能。另一方面，在一个实施例中，如果客户终端没能通过本地验证，则便携式设备不能运行或者被禁用。在另一个实施例中，当客户终端既没能连接到策略服务器106，又没能通过本地验证时，策略服务器106将不会提供任何安全保护或者运行任何安全策略。

另一方面，在一个实施例中，当便携式设备通过了本地验证时，则客户终端载入缺省简介信息和功能。在一个实施例中，载入是在脱机的状态下完成的。在该实施例中的缺省功能(脱机模式)包括但不限于，用户的简介信息(爱好、文件、桌上型)；用户应用工具(邮件客户机、远程通信网、可信赖数据报协议(RDP)等)；基本策略；反phishing；以及文件加密/解密。

图2显示了示出根据本发明的一个实施例的用户在广域网(WAN)上登录的安全系统的示意图。该系统提供了一种检测互联网客户机的健康状态的综合手段并且限制网络客户机的访问直到符合健康策略需求为止，其中该互联网客户正试图连接到一个网络或者在该网络上通信。

连接到WAN上的用户将便携式ID设备插入客户终端201中以进行登录。客户终端201自动安装安全代理。该安全代理自动地启动网络加密连接。也就是说，本实施例通过任何服务端口登记到策略服务器106上，其中服务端口可以连接到外网上(例如，互联网)。客户终端201可以包括个人计算机、服务器计算机、客户设备、路由器、交换机、无限访问点、安全应用程序、手持式或膝上型设备、机顶盒、可编程消费型电器、微型计算机、大规模计算机等。

安全系统200包括策略服务器206，其为安全系统200的核心设备。策略服务器206提供验证服务以及促进文件跟踪和控制。策略服务器接受访问控制需求，处理这些与一组正式的状态相反的需求，其中的一组正式的状态定义了网络资源如何被分配到其客户机(众所周知的被称为策略)中，并且返回访问控制响应。

如果客户终端201成功登记到策略服务器106，那么策略服务器106使得客户终端201通过验证。也就是说，策略服务器1 06检查客户终端201的身份。

如果客户终端201通过了验证，则策略服务器开始自动下载最新的清单。也就是说，策略服务器检查客户终端是否符合策略服务器的要求。更为特别的是，策略需求表示关于诸如已安装的应用程序、已安装的补丁、配置、设备性能、硬件组件和/或类似物的标准的设备状态。

客户终端201从策略服务器106自动下载最新的安全清单。同时，策略服务器106自动开始客户终端201的主机检查。在策略服务器106和客户终端201之间的主机检查包括但不限于以下项目：系统补丁、反病毒模式、文件检查、处理检查、本地IP，以及设备检查。

另一方面，如果客户终端201符合安全标准，策略服务器106基于客户终端201的身份和环境动态生成预定的客户策略。策略服务器将动态策略配置到客户终端201、交换机204、无线AP、防火墙(FW)214、入侵保护系统(IPS/IDP)210、安全插座层加密和验证(SSL)VPN212等中。

在另一个实施例中，如果客户终端没能连接到策略服务器106，那么策略服务器106执行本地验证。如果用户通过本地验证，则客户终端载入缺省的简介信息和功能。另一方面，在一个实施例中，如果客户终端没能通过本地验证，则便携式设备不能运行或者被禁用。在另一个实施例中，当客户终端既没能连接到策略服务器106，又没能通过本地验证时，策略服务器106将不会提供任何安全保护或者执行任何安全策略。

另一方面，在一个实施例中，当便携式设备通过了本地验证时，则客户终端载入缺省简介信息和功能。在一个实施例中，载入是在脱机的状态下完成的。在该实施例中的缺省功能(脱机模式)包括但不限于，用户的简介信息(爱好、文件、桌上型)；用户应用工具(邮件客户机、远程通信网、SSH、可信赖数据报协议(RDP)等)；基本策略；反phishing；以及文件加密/解密。

图3显示了根据本发明的一个实施例的便携式安全环境的流程图。该客户平台包括，但不限于下列设备、桌上型、笔记本式个人计算机(PC)、个人数字处理(PDA)、移动电话、手持式智能卡、通用串行总线(USB)标记等。

在一个实施例中，图3中显示的流程图的操作301提供移动安全应用的自动执行。特别地，在一个实施例中，用户将一个便携式ID设备插入到客户终端，以自动安装安全代理(Security Agent)。根据本发明的实施例，已有几种可以使用的验证方法，例如，ID密码、智能卡和USB标记等。

图3的流程图包括操作302，在其中安全代理自动启动网络加密连接。也就是说，本实施例通过能够连接到外部网络(例如互联网)的任一服务端口，注册进入策略服务器(例如，图1和图2中各自的策略服务器106和206)。

如果进入策略服务器的注册成功，则本实施例进入第三操作，在303通过在线验证。另一方面，如果本实施例不能连接到策略服务器，则本实施例在304执行本地验证模块。

在图3中的流程图的304上，本实施例执行本地验证。如果用户通过了本地验证，则本实施例进入306，载入默认的用户简介和功能。另一方面，在一个实施例中，如果本实施例不能通过本地验证，则本实施例进入到305，在那里便携式设备不运行或者被禁用。在另一实施例中，当客户设备既不能够连接到策略服务器(例如图1和图2中各自的策略服务器106和206)，也不能通过本地验证时，操作305将不会提供任一安全保护或者执行任一安全策略。

另一方面，在一个实施例中，当便携式设备通过本地验证，则操作306载入缺省的简介信息和功能。在一个实施例中，这是以脱机方式完成的。在此实施例中的缺省功能(脱机模式)包括但不限于用户简介信息(喜好、文件、桌上型)；用户应用工具(邮件客户、电话、SSH、可信赖数据报协议(RDP)等)；基本策略；反网络钓鱼(Anti-Phishing)、以及文件加密/解密。

再次参考图3，图3中的流程图包括第七个操作307，如果便携式设备在303通过了在线验证，则自动下载最新的清单和开始客户终端环境检查。在307，客户终端自动下载最新的安全清单。同时，本实施例自动开始客户终端环境检查。在策略服务器(例如在图1和图2中各自的106或206)与客户终端之间的主机检查包括但不限于下列项目：系统补丁、反病毒模式、文件检查、进程检查、本地IP以及设备检查。

图3的流程图包括检查客户与安全标准是否匹配的操作308。

如果最新的安全清单与安全标准不匹配，则本实施例进行到操作309，并将用户重定向到升级服务器，以升级系统补丁、模式、软件等等，直到达成一个匹配。根据本发明的实施例，客户升级机制包括但不限于，客户补丁升级、反病毒模式升级、反Phishing、恶意的统一资源定位器数据库(URL DB)升级以及代理升级。在进行升级处理之后，本实施例返回到操作308，以完成基本标准。

另一方面，如果安全清单与安全标准匹配，则本实施例进行到操作310，在其中的安全服务器(例如图1和图2中各自的106和206)基于客户环境动态地产生预定客户策略。

图3中的流程图的操作310显示了策略服务器如何基于客户环境动态地产生预定客户策略。同样地，用户策略(例如客户简介信息和网络ACL)将会继续伴随用户，而不管用户位于何处。这就启动了便携式安全策略和环境。

图3的流程图包括操作311，以配置动态策略到客户终端、交换机、无线AP、防火墙、IPS和SSL(加密套接字协议层加密和验证)VPN。

同样地，安全策略(例如客户简介信息和网络ACL)将伴随用户，而不管用户位于何处。这就启动了便携式安全策略和环境。而且，策略服务器能够运行虚拟平台，以使安全策略覆盖所有OS，其包括但不限于Windows、Linux/Unix、Apple等。进而，策略服务器可以包括能够使得安全策略覆盖所有设备的协议，其包括但不限于Cisco、Microsoft等。

在上述论述和附图描述了本发明的优选实施例的同时，将会理解在不背离所附权利要求所定义的本发明原理的主旨和范围的情况下，在此可以产生各种不同的增加、改进和替换。本领域技术人员会理解本发明可以以形式、结构、配置、比例、物质、元件和组件等等的改进形式来使用，在本发明的实际使用中，其很大程度上适于特定的环境和操作需要，而不背离本发明的原理。所以现在公开的实施例在各个方面是作为示例性来考虑的，而不是约束性的，由所附权利要求及其合法等价物来表明本发明的范围，并不受限于上面的描述。

Claims

1.一种用于提供便携式安全环境的方法，其特征在于，包括：

在访问便携式安全设备的目录之后，将客户终端连接到策略设备上；

对所述客户终端的身份进行验证；

检查所述客户终端的安全环境；

为所述客户终端生成客户策略；以及

将安全策略发送到网络设备。

2.根据权利要求1所述的方法，其特征在于，所述客户终端的检查安全环境步骤还包括允许或者拒绝对所述客户终端的访问。

3.根据权利要求2所述的方法，其特征在于，所述客户终端的检查安全环境步骤还包括将所述客户终端重定向一个资源用于更新。

4.根据权利要求1所述的方法，其特征在于，所述客户终端的检查安全环境步骤还包括从所述策略服务器下载最新的清单。

5.根据权利要求1所述的方法，其特征在于，还包括：

通过所述客户终端的本地验证；以及

从所述客户终端载入缺省的简介信息和功能。

6.一种安全环境系统，其特征在于，包括

一便携式安全设备；

一客户终端，其与所述便携式安全设备相兼容；以及

一策略服务器，其为所述客户终端生成策略。

7.根据权利要求6所述的安全环境系统，其特征在于，所述便携式安全设备包括所述客户终端的身份和缺省简介信息。

8.根据权利要求6所述的安全环境系统，其特征在于，所述策略服务器验证所述客户终端的身份。

9.根据权利要求8所述的安全环境系统，其特征在于，所述策略服务器检查所述客户终端的安全环境。

10.根据权利要求9所述的安全环境系统，其特征在于，所述策略服务器控制所述客户终端访问内联网。

11.根据权利要求9所述的安全环境系统，其特征在于，所述策略服务器控制所述客户终端访问互联网。