CN101753556A - 利用了策略组识别符的客户机控制系统 - Google Patents

Abstract

本发明提供一种在根据服务器中定义的策略来控制客户机的动作的系统中，使用策略组识别符，禁止管理者无意识地应用错误的策略或者用户有意识地应用自己所属的组以外的策略的利用了策略组识别符的客户机控制系统。对多个客户机进行分组，在从服务器对客户机分发控制策略时，分发该客户机所属的组的策略组识别符以及控制策略。客户机在参数文件中保存本机应用的控制策略和策略组识别符。之后，在更新控制策略，并分发给客户机时，判定策略更新前后的策略组识别符的一致，在不一致的情况下，禁止控制策略的更新，仅在一致的情况下，允许控制策略的更新。

Description

利用了策略组识别符的客户机控制系统

技术领域

本发明涉及在通过服务器中定义的策略来控制客户机的动作的系统中，使用策略组识别符来进行客户机的控制策略的更新的技术。

背景技术

例如，具有为了防止信息泄漏，限制能够通过客户机执行的动作的系统等，按照管理者指定的策略控制客户机的动作的系统。在实现这样的系统时，考虑在服务器中，把对客户机的动作进行规定的控制信息定义为策略，将该策略应用到客户机中来控制动作。此外，具有以下情形：不是对全部客户机应用一个策略，而是将客户机进行分组，按照分配给各个组的策略来控制各组的客户机的动作。例如在下述专利文献1中公开了这样的系统。下述专利文献1中记载的系统是在中央准备了策略服务器来设定策略，对客户机分发策略的系统。

【专利文献】特表2003-502757

发明内容

在上述专利文献1中记载的技术中，对客户机进行分组，管理者使用策略服务器生成每个组的策略，对客户机分发策略。但是，假设分发了管理者没有计划的错误的策略时，存在客户机仍然以错误的策略来动作的问题。

此外，在上述专利文献1中记载的系统中，在进行专用软件从服务器下载策略然后分发策略的运用时，用户无需自己选择并应用策略，所以用户不会应用错误的策略。但是，在考虑不是通过专用软件进行下载，而是用户使用CD等介质来应用策略的运用时，存在由于故意或过失，用户应用自己所属的组以外的策略，按照错误的策略进行动作的问题。

作为上述问题的对策，考虑对每个组准备识别符，防止在客户机中应用非法的控制策略。但是，假设当策略组识别符损坏时，即使分发正确的策略组识别符，也无法应用策略。在这样的情况下，存在为了应用策略，用户必须重新安装系统的问题。

本发明的目的在于，提供一种在根据服务器中定义的策略来控制客户机的动作的系统中，使用策略组识别符，禁止管理者无意识地应用错误的策略或者用户有意识地应用自己所属的组以外的策略的结构，例如提供一种在上述那样的信息泄露防止系统中，服务器能够正确地控制客户机的动作的结构。

为了实现上述目的，在本发明中，对多个客户机进行分组，在从服务器对客户机分发控制策略时，分发该客户机所属的组的策略组识别符以及控制策略。客户机在参数文件中保存本机应用的控制策略和策略组识别符。之后，在更新控制策略，向客户机进行分发时，比较保存在参数文件中的策略组识别符、和为了更新而分发的策略组识别符，判定是否一致。在策略组识别符不一致的情况下，禁止控制策略的更新，仅在一致的情况下允许控制策略的更新。由此，可以防止管理者无意识地应用错误的策略。此外，在应用控制策略时，当用户从其他组的策略复制策略组识别符、或者直接编辑策略组识别符时，通过上述的策略组识别符的比较检测出不一致，所以能够防止用户有意识地应用自己所属的组以外的策略。

而且，当分发策略组识别符时，在客户机中保存原始的策略组识别符的同时，进行策略组识别符的备份。由此，即使在策略组识别符损坏的情况下，也能够根据备份数据恢复策略组识别符，由此用户能够不重新安装系统地更新控制策略。

根据本发明，使用策略组识别符，仅在策略更新前后的策略组识别符一致的情况下，允许控制策略的更新，由此能够防止管理者无意识地更新错误的控制策略。由此，例如在为信息泄露防止系统时，管理者能够正确地控制客户机的动作，能够强化防止信息的泄漏。此外，检测用户从其他组复制策略组识别符、或者直接编辑策略组识别符而导致的篡改，仅在策略组识别符没有被篡改的情况下，可以进行控制策略的更新，由此防止用户有意识地应用非法的控制策略。由此，例如在为信息泄露防止系统的情况下，管理者能够正确地控制客户机的动作，能够强化防止信息的泄漏。而且，通过在客户机中进行策略组识别符的备份，即使在策略组识别符损坏的情况下，也能够恢复策略组识别符。由此，用户能够不重新安装系统地进行控制策略的更新，不影响便利性。

附图说明

图1是表示本发明的实施方式的系统结构图。

图2是登录控制策略和策略组识别符的组合的表。

图3是控制策略的重新安装的处理的流程。

图4是控制策略的更新处理的流程。

图5是策略组识别符损坏时的策略更新的处理流程。

符号说明

100服务器；101组策略表；102组A；103组B；120客户机组A；130客户机组B

具体实施方式

图1表示本实施方式的信息泄露防止系统的系统结构。本系统具有服务器100、多个客户机CL_A1、CL_A2、CL_A3、CL_B1以及CL_B2。管理者预先对客户机进行了分组。此处，将客户机CL_A1、CL_A2、CL_A3作为客户机组A120，将CL_B1、CL_B2作为客户机组B130。服务器100是仅由管理者使用的、对各客户机分发控制策略的设备。在组策略表101中，存储有分发给各客户机的控制策略等。102、103具体记载了分别登录在组策略表101中的各组的策略组识别符和控制策略。

在各客户机中，应用与包含该客户机的客户机组相对应的控制策略。例如，在属于客户机组A的客户机CL_A1中如箭头121所示应用控制策略A1；在客户机CL_A2中，如箭头122所示应用控制策略A2。关于其他客户机CL_A3、CL_B1、CL_B2，也同样如箭头123、131、132所示，最初应用属于各个组的控制策略。假设由管理者对于每个客户机预定决定了最初新应用的控制策略。

当对客户机最初应用控制策略时，在该客户机内保存有策略组识别符。具体地说，各客户机保存有以用户等级无法篡改的参数文件，在该参数文件内存储所应用的控制策略以及组识别符。例如，当如箭头121那样，在客户机CL_A1中，初次应用策略A1时，在客户机CL_A1内的参数文件中，存储策略A1以及策略组识别符A。“以用户等级无法篡改”参数文件，包括将参数文件存储在用户无法访问的区域中，或者以用户无法更新的方式对参数文件施加写入限制等对参数文件本身施加访问限制的方法，除此之外还包含例如在用户使用非法的手段变更了参数文件时，在系统一侧检测该情况，并以不能有效使用非法变更的参数文件的内容的方式自动地进行应对等，禁止实质性地变更参数文件的内容的方法等。

在更新策略时，在本系统中，仅在想要新设定的策略的策略组识别符、和客户机在参数文件内保存的策略组识别符一致的情况下，能够进行该策略的更新。例如，客户机CL_A1根据管理者的指示、或者收到管理者的许可，想要应用控制策略A2时，该客户机CL_A1在本机中保持的策略组识别符是表示客户机组A的识别符，另一方面，想要应用的控制策略A2属于组A，与策略组识别符A相对应，所以，如箭头125那样该应用成功。同样地，可以在客户机CL_A2中，应用策略A1(箭头124)。

另一方面，假设在客户机CL_A3中进行篡改(140)，使该客户机属于客户机组B。此时，由于客户机CL_A3在参数文件内拥有的组识别符表示组A，并且以无法篡改的方式进行保存，所以即使想应用属于组B的控制策略B1，也如箭头133那样失败。同样，即使想在客户机CL_B1中，如箭头126那样应用属于组A的策略，也会失败。另外，上述的序号140的“篡改”不是参数文件中的组识别符的篡改，而是意味着通过参数文件以外的部分伪装组识别符的篡改。在用户通过非法的手段变更了参数文件的内容时，自动地检测该非法的变更并进行警告等。

图2表示图1中说明的组策略表101的详细的结构。“组名”是确定客户机组的组名。“策略组识别符”是确定该客户机组的组识别符。“控制策略”是可以在该策略组识别符的组中应用的控制策略。如此，将组名、策略组识别符以及控制策略作为1组的记录来登录。

图3表示客户机安装或更新控制策略时的处理流程的概要。在网络上新连接客户机时、在存在来自客户机用户的请求时、或者定期地等，在任意的定时执行该处理。

首先，在步骤301中，从服务器100分发控制策略和策略组识别符，所以客户机接收这些控制策略和策略组识别符。在步骤302中，客户机判定是否进行新安装。可以根据参数文件，判定已经应用了控制策略，或者未应用控制策略。在新安装时(即，目前没有应用任何控制策略的情况)，在步骤303中，将分发的控制策略和策略组识别符，以无法篡改的形式保存在参数文件内，并应用该控制策略，由此，该客户机按照应用的控制策略来动作。此外，在步骤304中，还以无法篡改的形式保存策略组识别符的备份。该备份可以利用参数文件内的规定的区域，但优选使用与参数文件不同的文件。当在步骤302中不是新安装时，在步骤305中进行控制策略的更新处理。

图4表示客户机更新控制策略时的处理流程的概要。图4是图3的步骤305的详细的流程。

首先，在步骤401中判定参数文件内保存的策略组识别符是否被篡改。通过检查是否非法地变更了参数文件来进行该判定。在被篡改的情况下，在步骤402中进行错误显示并结束。在没有被篡改的情况下，因为保证了参数文件的内容正确，所以在步骤403中，判定在该参数文件内保存的策略组识别符、与指示了更新的策略组识别符(在步骤301中分发的识别符)是否一致。在不一致的情况下，在步骤404中进行错误显示并结束。在步骤403中策略组识别符一致的情况下，在步骤405中应用分发的控制策略并结束。由此，将参数文件内的控制策略置换成分发的控制策略。此后，该客户机按照新应用的控制策略进行动作。

图5表示在客户机拥有的策略组识别符损坏的情况下，进行策略更新时的处理流程的概要。在步骤501中，判定参数文件内的策略组识别符是否损坏。在损坏时，在步骤502中恢复已备份的策略组识别符，并在参数文件中设定。在没有损坏时，进入步骤503。在步骤503中，执行与策略组识别符相对应的控制策略的更新处理(图4)。

Claims (2)

1.一种客户机控制系统，其对客户机分发在服务器中定义的控制策略，并对客户机应用该控制策略，由此控制该客户机的动作，其特征在于，

多个客户机预先被分组，

所述服务器具备：

设定了确定所述组的策略组识别符、以及能够应用于属于各组的客户机的控制策略的策略组识别符表；以及

对各客户机分发控制策略和策略组识别符的单元，

所述客户机具备：

在无法篡改的参数文件中，保存本机应用的控制策略和策略组识别符；

接收从所述服务器分发的控制策略和策略组识别符的单元；以及

对接收到的策略组识别符、和保存在所述参数文件中的策略组识别符进行比较，在不一致的情况下，禁止控制策略的更新，在一致的情况下，使用从所述服务器分发的控制策略，覆盖在所述参数文件中保存的控制策略，并且将该分发的策略作为控制信息来使用的单元。

2.根据权利要求1所述的客户机控制系统，其特征在于，

还具备：

当从所述服务器分发了策略组识别符时，将该分发的策略组识别符保存在规定的备份单元中的单元；以及

在检测出所述参数文件中的策略组识别符损坏时，根据在所述备份单元中保存的策略组识别符，恢复策略组识别符的单元。

Images