CN101399827A - 用于安全地为系统安装补丁的方法和系统 - Google Patents

用于安全地为系统安装补丁的方法和系统 Download PDF

Info

Publication number
CN101399827A
CN101399827A CNA2007101619362A CN200710161936A CN101399827A CN 101399827 A CN101399827 A CN 101399827A CN A2007101619362 A CNA2007101619362 A CN A2007101619362A CN 200710161936 A CN200710161936 A CN 200710161936A CN 101399827 A CN101399827 A CN 101399827A
Authority
CN
China
Prior art keywords
patch
update
strategy
operating system
fire wall
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CNA2007101619362A
Other languages
English (en)
Inventor
赵石顽
袁泉
张夏天
傅荣耀
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Priority to CNA2007101619362A priority Critical patent/CN101399827A/zh
Priority to US12/235,781 priority patent/US8640125B2/en
Publication of CN101399827A publication Critical patent/CN101399827A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/029—Firewall traversal, e.g. tunnelling or, creating pinholes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2105—Dual mode as a secondary aspect

Abstract

本发明提供了一种安全地为系统安装补丁的方法和系统，该系统包括：个人防火墙，用于对进出的网络流量进行过滤；系统更新代理，用于与系统更新服务器连接以下载补丁；策略管理器，用于在系统的不同运行阶段调用不同的策略；阶段协调器，用于在策略管理器和系统更新代理之间在系统的不同运行阶段之间进行协调；策略数据库，用于存储系统的不同运行阶段的策略。通过本发明的方法和系统，使得系统在连接到互联网下载补丁进行更新的过程中受到恶意软件侵害的可能性大大降低。

Description

用于安全地为系统安装补丁的方法和系统
技术领域
本发明涉及计算机系统安全，更确切地涉及安全地为系统安装补丁的方法和系统。
背景技术
安全问题是主流操作系统中一直存在的问题，这在操作系统中尤其突出。没有及时安装补丁的计算机在没有受到保护的情况下，在连接到互联网时非常容易受到恶意软件的威胁，很可能在刚刚连接互联网的几分钟内就会受到影响。根据美国计算机安全组织系统网络安全协会(SANS Institute)的互联网风暴中心(InternetStorm Center)的数据表明，计算机连接到互联网就被恶意软件侵入或者病毒感染所需要的时间越来越短，而且已经到达这样一个临界点：即不能提供足够的时间下载必要的补丁以保护系统不受恶意软件的侵害，导致计算机在下载补丁的过程中，就已经被恶意软件侵入或者病毒感染。
当获得一台新的计算机，或重新安装系统，甚至是开启一台没有安装最新补丁的计算机时，一旦连接到互联网，就会面临着多种恶意软件和流氓软件的威胁。这些恶意软件会很快地感染计算机的操作系统。根据由Sophos在2005年7月出版的研究报告，未安装补丁的计算机在连接到互联网的12分钟内受到恶意软件感染的可能性占50％。一旦受到感染，除了重新安装操作系统之外很难有其它的办法使操作系统重新变得干净。
很多蠕虫和病毒利用操作系统的安全漏洞对操作系统进行攻击或感染。因此，通过更新操作系统来安装必要的补丁对保护计算机不受蠕虫和病毒的攻击和感染来说非常重要。然而，为了能够得到最新的补丁，通常必须将计算机连接到互联网，这样，没有安装最新补丁的系统在更新的过程中有可能会受到感染。因此，利用不稳定或不安全的网络作为分发安全更新的主要途径存在很多问题。
因此，存在一种需求，使得能够安全地为系统安装补丁使其不受恶意软件的侵害。
目前，越来越多的计算机通过安装个人防火墙来保护其不受蠕虫和病毒的侵害。个人防火墙是一种设计成在单个计算机上使用的工具，其通过阻止入侵者来保护计算机的安全。防火墙作为安全系统仅允许通过特定门户(端口)的特定通信量。如果有人试图通过计算机上的端口，防火墙将通知用户，由用户来决定谁能够访问。本发明利用防火墙的上述特性实现上述目的。
发明内容
根据本发明的一个方面，提供了一种安全地为系统安装补丁的方法，包括以下步骤：启动个人防火墙；调用更新策略使系统能够安全地下载补丁；安装下载的补丁。
优选地，根据本发明的方法进一步包括对下载的补丁进行安全检查。
根据本发明的一个方面，提供了一种用于安全地为系统安装补丁的系统，包括：个人防火墙，用于对进出的网络流量进行过滤；系统更新代理，用于与系统更新服务器连接以下载补丁；策略管理器，用于在系统的不同运行阶段调用不同的策略；阶段协调器，用于在策略管理器和系统更新代理之间在系统的不同运行阶段之间进行协调；策略数据库，用于存储系统的不同运行阶段的策略。
优选地，根据本发明的方法进一步包括用于对下载的补丁进行安全检查的更新分组检测器。
通过本发明的方法和系统，使得系统在连接到互联网下载补丁进行更新的过程中受到恶意软件侵害的可能性大大降低。
附图说明
下面将结合附图对本发明的优选实施方式进行描述，其中：
图1是能够在其中实施本发明的典型的计算机系统100的结构图；
图2是根据本发明的用于安全地为系统安装补丁的系统200的框图；
图3是根据本发明的用于安全地为系统安装补丁的方法300的流程图。
具体实施方式
图1是能够在其中实施本发明的典型的计算机系统100的结构。计算机系统100包括一个或多个连接到内部总线116的中央处理单元CPU 102，所述内部系统总线116和随机存取存储器RAM 108、只读存储器110和输入/输出适配器112相互连接。该输入输出适配器112支持各种I/O设备，例如打印机128、盘单元130或其它未示出的设备，例如音频输出系统等。系统总线116也连接到提供对通信链路126的接入的通信适配器114。用户接口适配器118连接各种用户设备，例如键盘120和鼠标124或其它未示出的设备，例如触摸屏、记录笔、麦克风等。显示适配器104将系统总线116连接到显示设备106。
本领域技术人员将意识到图1中的硬件可以依靠系统实现来变化。例如该系统可以具有一个或多个处理器，例如
Figure A200710161936D00051
基于
Figure A200710161936D00052
的处理器和数字信号处理器，和一种或多种类型的非易失性和易失性存储器。其它外设设备可以用来作为补充或替代图1中描述的硬件。所描述的例子不意味着对本发明进行结构限制。
下面将结合
Figure A200710161936D00053
操作系统对本发明的优选实施例进行描述，但本领域技术人员知道，本发明不限于
Figure A200710161936D00054
操作系统，任何需要安装补丁以防止恶意软件侵害的操作系统都能够应用本发明。
本发明基于将系统分成三个运行阶段的思想，这三个阶段分别是：
第一阶段，即启动阶段，其中系统进行启动过程，加载系统内核，启动各种驱动。在该阶段启动网络栈，个人防火墙开始工作；
第二阶段，即更新阶段，其中系统更新代理检查系统状态并与更新服务器通信以检测需要的更新，如果有更新将进行下载并安装；
第三阶段，即使用阶段，其中系统更新完成，用户能够进行正常的日常工作。
如果计算机启动时没有安装最新的补丁，那么在第一和第二阶段将很可能受到恶意软件的感染。本发明提供了一种新的方法和系统，其利用个人防火墙来建立安全的网络环境以安全地下载系统所需的补丁并进行安装，因而能够在第一和第二阶段保护计算机不受恶意软件的侵害。在补丁安装完成之后，系统进入第三阶段以使用户进行正常的日常工作。本发明的方法和系统通过在不同的阶段调用不同的策略来保证达到上述目的。
现在参考图2，其中示出了根据本发明的用于安全地为系统安装补丁的系统200的框图。根据本发明的系统包括个人防火墙202、系统更新代理204和阶段协调器206。系统更新代理204与个人防火墙202连接，用于通过个人防火墙202连接到更新服务器214下载补丁以进行系统的更新。个人防火墙202包括策略管理器208，用于对存储在策略数据库210中的用于进行安全地为系统安装补丁的各个策略进行管理并在各个不同的阶段调用与之对应的不同的策略。策略数据库210中存储用于安全地为系统安装补丁的各个策略，根据本发明的优选实施例，这些策略包括：启动策略、更新策略和使用策略。其中，在启动阶段调用启动策略，提供一个静态的启动策略以控制启动阶段的网络流量。启动策略仅允许计算机执行诸如DNS或DHCP等基本的网络任务，以便与域名控制器通信。除了这些基本的任务，所有进出的网络流量都将被阻止。在更新阶段调用更新策略，除了启动策略中定义的之外，更新策略只允许系统更新代理204与更新服务器214连接。在使用阶段调用使用策略，其中系统更新完成，用户能够进行正常的日常工作。阶段协调器206与策略管理器208以及系统更新代理204通信，用于在策略管理器208和系统更新代理204之间在各个不同的阶段之间进行协调。系统200还包括更新分组检测器212，用于对从更新服务器下载的补丁中的更新数据分组进行检测以确定其是否安全。对于
Figure A200710161936D00071
 
Figure A200710161936D00072
操作系统来说，其本身提供了用于对来自网络的数据分组进行安全检查的接口，利用该接口可以实现分组检测器212。在上面描述的系统中，更新分组检测器212是可选的，阶段协调器206、策略管理器208以及策略数据库210既可以单独的实现，也可以部分或全部的位于个人防火墙202中。
下面结合附图3对根据本发明的用于安全地为系统安装补丁的方法进行描述。
图3的方法300从步骤302开始。在步骤302，系统启动，进入启动阶段，在该阶段加载系统内核，启动各种驱动。在启动阶段，当网络栈启动时个人防火墙202也被启动以对系统进行保护。这种保护的结果是个人防火墙对向某一服务发送和从某一服务接收的所有分组都将受到监控/过滤/检查。根据本发明的优选实施例，提供了一个静态的启动策略以控制启动阶段的网络流量。该策略允许计算机执行诸如DNS或DHCP等基本的网络任务，以便与域名控制器通信。除了这些基本的任务，所有进出的网络流量都将被阻止。这样，个人防火墙202为系统提供了启动阶段的安全性。
当阶段协调器206被启动时，根据本发明的方法进入步骤304，其中通过调用策略管理器208将个人防火墙202中的启动策略移除并将策略数据库210中的更新策略导入个人防火墙202。除了启动策略中定义的之外，更新策略只允许系统更新代理204与更新服务器214连接。这样将保护未安装补丁的计算机不受恶意软件的侵害。这时，阶段协调器206通知系统更新代理204开始下载补丁以更新系统，根据本发明的方法进入步骤306，其中下载更新系统所必需的补丁并进行安装。下载和安装补丁的过程与现有技术中的相同或类似，因此这里不再做详细描述。
当成功下载更新所必需的补丁之后，系统更新代理204通知阶段协调器206下载更新完成，系统进而进行补丁的安装。这时，为了进一步保证系统更新过程中的安全性，优选地，提供一个更新分组检测器212来检测所下载的补丁中的每一更新分组是否安全来保证系统不受病毒的侵害。
Figure A200710161936D00081
 操作系统本身提供了这种用于对来自网络的数据分组进行安全检查的接口，利用该接口可以实现分组检测器212。可以替代的，不单独提供该更新分组检测器212，而是由系统中安装的病毒检测程序对更新分组进行检测。通过上述方法，进一步保证了下载的补丁的安全性。
当为系统成功安装了下载的补丁之后，根据本发明的方法进入步骤308，其中，阶段协调器206调用策略管理器208以将个人防火墙202中的策略改变为使用策略。这时，由于计算机已经安装了所有必需的最新的补丁，因而其受恶意软件侵害的可能性大大降低。在步骤308中，个人防火墙202被配置为在使用策略的控制下工作，允许用户进行正常的日常工作。在工作阶段，用户还可以根据应用的使用动态地对个人防火墙202的策略进行配置，即使用策略可以根据用户的需要进行动态配置。
上面为了说明的目的已经对本发明的优选实施例进行了描述，但不必穷举或局限于所公开的实施例。对于本领域的那些技术人员来说，在本发明的基础上可以做很多修改和变化。选择所述实施例来解释本发明的原理和它的实际应用仅仅是出于说明的目的，并且使其他本领域的技术人员能理解本发明，不用认为是对本发明的保护范围构成的限制。本发明的保护范围将由权利要求书中的权利要求进行限制。

Claims (8)

1、一种用于安全地为操作系统安装补丁的系统，包括：
个人防火墙，用于对进出操作系统的网络流量进行过滤；
系统更新代理，用于通过个人防火墙与系统更新服务器连接以下载补丁；
策略管理器，用于在操作系统的不同运行阶段调用不同的策略；
阶段协调器，用于在操作系统的不同运行阶段之间在策略管理器和系统更新代理之间进行协调；
策略数据库，用于存储操作系统的不同运行阶段的策略。
2、根据权利要求1的系统，还包括：
用于对下载的补丁进行安全检查的更新分组检测器。
3、根据权利要求1的系统，其中操作系统的不同运行阶段的策略包括启动策略、更新策略和使用策略。
4、根据权利要求3的系统，其中更新策略只允许系统更新代理与更新服务器连接。
5、一种用于安全地为操作系统安装补丁的方法，包括以下步骤：
在启动阶段启动个人防火墙，调用启动策略以对进出的网络流量进行过滤；
在系统更新阶段调用更新策略，使系统更新代理通过个人防火墙与更新服务器连接以下载并安装补丁；以及
在使用阶段调用使用策略，使系统能够正常的工作；
其中，在操作系统的不同的运行阶段之间协调策略的调用以进行操作系统的更新。
6、根据权利要求5的方法，进一步包括：
对下载的补丁进行安全检查。
7、根据权利要求5的方法，其中更新策略只允许系统更新代理与更新服务器连接。
8、根据权利要求5的方法，其中在操作系统启动时启动个人防火墙。
CNA2007101619362A 2007-09-26 2007-09-26 用于安全地为系统安装补丁的方法和系统 Pending CN101399827A (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CNA2007101619362A CN101399827A (zh) 2007-09-26 2007-09-26 用于安全地为系统安装补丁的方法和系统
US12/235,781 US8640125B2 (en) 2007-09-26 2008-09-23 Method and system for securely installing patches for an operating system

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CNA2007101619362A CN101399827A (zh) 2007-09-26 2007-09-26 用于安全地为系统安装补丁的方法和系统

Publications (1)

Publication Number Publication Date
CN101399827A true CN101399827A (zh) 2009-04-01

Family

ID=40473094

Family Applications (1)

Application Number Title Priority Date Filing Date
CNA2007101619362A Pending CN101399827A (zh) 2007-09-26 2007-09-26 用于安全地为系统安装补丁的方法和系统

Country Status (2)

Country Link
US (1) US8640125B2 (zh)
CN (1) CN101399827A (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104821896A (zh) * 2015-04-27 2015-08-05 成都腾悦科技有限公司 多设备同时升级系统及方法
WO2017202133A1 (zh) * 2016-05-23 2017-11-30 中兴通讯股份有限公司 设备维护方法及装置

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8166534B2 (en) 2007-05-18 2012-04-24 Microsoft Corporation Incorporating network connection security levels into firewall rules
US8266685B2 (en) * 2007-05-18 2012-09-11 Microsoft Corporation Firewall installer
CN101399827A (zh) * 2007-09-26 2009-04-01 国际商业机器公司 用于安全地为系统安装补丁的方法和系统
US8726260B2 (en) * 2007-11-26 2014-05-13 Lenovo (Singapore) Pte Ltd Techniques for providing software patches to a computer system
KR101089023B1 (ko) * 2010-08-06 2011-12-01 삼성에스디에스 주식회사 스마트 카드, 및 이를 이용한 안티-바이러스 시스템 및 스캐닝 방법
US8881258B2 (en) 2011-08-24 2014-11-04 Mcafee, Inc. System, method, and computer program for preventing infections from spreading in a network environment using dynamic application of a firewall policy
SG194245A1 (en) * 2012-04-17 2013-11-29 ZingMobile Pte Ltd A method for real-time synchronization between a device and host servers
US9910660B2 (en) * 2013-08-05 2018-03-06 Harman International Industries, Incorporated Operating system replacement for in-vehicle computing system
US9215214B2 (en) * 2014-02-20 2015-12-15 Nicira, Inc. Provisioning firewall rules on a firewall enforcing device
US9680706B2 (en) 2015-06-30 2017-06-13 Nicira, Inc. Federated firewall management for moving workload across data centers
US10348685B2 (en) 2016-04-29 2019-07-09 Nicira, Inc. Priority allocation for distributed service rules
US11425095B2 (en) 2016-05-01 2022-08-23 Nicira, Inc. Fast ordering of firewall sections and rules
US11171920B2 (en) 2016-05-01 2021-11-09 Nicira, Inc. Publication of firewall configuration
US11088990B2 (en) 2016-06-29 2021-08-10 Nicira, Inc. Translation cache for firewall configuration
US11258761B2 (en) 2016-06-29 2022-02-22 Nicira, Inc. Self-service firewall configuration
US11310202B2 (en) 2019-03-13 2022-04-19 Vmware, Inc. Sharing of firewall rules among multiple workloads in a hypervisor

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5896499A (en) * 1997-02-21 1999-04-20 International Business Machines Corporation Embedded security processor
US7093287B1 (en) * 2000-10-12 2006-08-15 International Business Machines Corporation Method and system for building dynamic firewall rules, based on content of downloaded documents
DE60212599D1 (de) * 2001-03-01 2006-08-03 Storeage Networking Technologi Sicherheit für ein san (storage area network)
US7100202B2 (en) * 2001-03-02 2006-08-29 Tekelec Voice firewall
US7363353B2 (en) * 2001-07-06 2008-04-22 Juniper Networks, Inc. Content service aggregation device for a data center
CA2465151A1 (en) * 2003-04-16 2004-10-16 Novadigm, Inc. Method and system for patch management
US7509673B2 (en) * 2003-06-06 2009-03-24 Microsoft Corporation Multi-layered firewall architecture
KR100631784B1 (ko) 2004-02-16 2006-10-11 삼성전자주식회사 컴퓨터 바이러스로부터의 감염을 방지하기 위한 시스템 및방법
US7540013B2 (en) * 2004-06-07 2009-05-26 Check Point Software Technologies, Inc. System and methodology for protecting new computers by applying a preconfigured security update policy
US7610477B2 (en) * 2004-09-15 2009-10-27 Microsoft Corporation Deploying and receiving software over a network susceptible to malicious communication
EP1813073B1 (en) * 2004-10-29 2010-07-21 Telecom Italia S.p.A. System and method for remote security management of a user terminal via a trusted user platform
NO323215B1 (no) * 2005-02-04 2007-01-29 Tandberg Telecom As Fremgangsmate for monitorering og konfigurering av brannmur/NAT-beskyttet nettverk
US20060253555A1 (en) * 2005-05-04 2006-11-09 Kwok-Yan Leung Remote control apparatus
US7805752B2 (en) * 2005-11-09 2010-09-28 Symantec Corporation Dynamic endpoint compliance policy configuration
CN101399827A (zh) * 2007-09-26 2009-04-01 国际商业机器公司 用于安全地为系统安装补丁的方法和系统

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104821896A (zh) * 2015-04-27 2015-08-05 成都腾悦科技有限公司 多设备同时升级系统及方法
WO2017202133A1 (zh) * 2016-05-23 2017-11-30 中兴通讯股份有限公司 设备维护方法及装置

Also Published As

Publication number Publication date
US20090083727A1 (en) 2009-03-26
US8640125B2 (en) 2014-01-28

Similar Documents

Publication Publication Date Title
CN101399827A (zh) 用于安全地为系统安装补丁的方法和系统
US8359645B2 (en) Dynamic protection of unpatched machines
US9112899B2 (en) Remedial action against malicious code at a client facility
EP2696282B1 (en) System and method for updating authorized software
US8732839B2 (en) Automatically protecting computer systems from attacks that exploit security vulnerabilities
US7716727B2 (en) Network security device and method for protecting a computing device in a networked environment
US7600259B2 (en) Critical period protection
US7877795B2 (en) Methods, systems, and computer program products for automatically configuring firewalls
US8154987B2 (en) Self-isolating and self-healing networked devices
US8719935B2 (en) Mitigating false positives in malware detection
US7886065B1 (en) Detecting reboot events to enable NAC reassessment
US7665139B1 (en) Method and apparatus to detect and prevent malicious changes to tokens
US20110078797A1 (en) Endpoint security threat mitigation with virtual machine imaging
JP4527802B2 (ja) コンピュータシステム
US20100071065A1 (en) Infiltration of malware communications
WO2001026276A1 (en) Method and system for providing data security in a file system monitor with stack positioning
JP2005251189A (ja) ネットワークに接続されたコンピュータシステムを攻撃から保護するシステムおよび方法
EP2876572B1 (en) Firmware-level security agent supporting operating system-level security in computer system
US10204036B2 (en) System and method for altering application functionality
RU101233U1 (ru) Система ограничения прав доступа к ресурсам на основе расчета рейтинга опасности
US7340775B1 (en) System, method and computer program product for precluding writes to critical files
JP4437107B2 (ja) コンピュータシステム
US20130247191A1 (en) System, method, and computer program product for performing a remedial action with respect to a first device utilizing a second device
US11632400B2 (en) Network device compliance
GB2424291A (en) Blocking network attacks based on device vulnerability

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
AD01 Patent right deemed abandoned

Effective date of abandoning: 20090401

C20 Patent right or utility model deemed to be abandoned or is abandoned