CN102255919A - 用于在局域网中优化安全任务的执行的系统和方法 - Google Patents

Abstract

本发明提供一种用于动态配置安全模块以优化安全任务执行的系统和方法。所述系统包括：客户端检测单元，用于在网络上查找客户端；客户端数据收集单元，用于确定每一个检测到的客户端的硬件/软件配置；安全模块选择和安装单元，用于从模块数据库为每一个客户端选择所需的模块；统计数据收集单元，用于从用户模块和客户端模块收集安全任务执行统计数据；以及重新配置单元，用于基于收集到的统计数据重新配置客户端和服务器模块，以优化安全任务的执行。

Description

用于在局域网中优化安全任务的执行的系统和方法

技术领域

本发明总的来讲涉及反病毒（anti-virus，AV）保护的方法，且尤其涉及用于在局域网中动态配置安全模块以优化安全任务的方法和系统。

背景技术

位于用户个人计算机、移动设备或者企业系统内部的数据的安全性是一个每天只会变得更加复杂的问题。大量新的恶意软件应用程序几乎每天都出现。这些恶意软件应用程序中每一个都能引起计算机故障，或者导致关键个人用户数据的丢失或被盗。很多已知的恶意软件应用程序被频繁修改，所以变得更加难以检测到。

现代计算机威胁不仅包括典型的计算机病毒，还包括更加复杂的恶意软件应用程序，举例来说，诸如木马、蠕虫、后门（rootkit）、漏洞利用（exploit）等。例如，rootkit会在操作系统中隐藏自己的存在，这使得它们难以被检测到。漏洞利用利用应用程序漏洞来进行攻击和获得对系统资源的非授权访问。

诸如赛门铁克端点保护（Symantec Endpoint Protection）、迈克菲全面防护（McAfee Total Protection）和趋势科技无忧业务安全（Trend Micro Worry-Free Business Security）的现代反病毒解决方案成功地处理了大多数现存的威胁。然而，一些安全问题仍然存在。其中一个问题就是企业网络包含大量具有各种硬件组件的计算机。在一些网络中，存在较旧的版本，其不能像现代操作系统（举例来说，诸如Microsoft Windows 7）和最新版本的反病毒应用程序那样，为现代应用程序提供足够的资源。

此外，现代反病毒应用程序和/或安全系统包含有大量处理各种任务的模块。图1描绘了一组典型的安全模块。这些模块中的一些对于用户应用程序的功能来说是必需的（例如，更新模块和文件反病毒）。

可基于用户需求而需要其他模块。例如，电子邮件和互联网需要附加的模块，诸如：邮件反病毒（AV）115、网页反病毒120、即时通讯反病毒125（用于检测使用即时通讯时交换的数据）、网络屏蔽（network screen）135、文件反病毒110等。一些其它模块可被用作附加的安全手段，诸如：反垃圾邮件模块140、备份模块160、个人数据管理器175、虚拟键盘190、数据加密模块170、控制中心165、反钓鱼模块145等。

网页浏览器使用诸如反广告（Anti-Banner）模块150和家长控制（Parental Control）模块185的模块进行网络冲浪。一些模块需要很多系统资源和时间来检查系统。然而，这些模块中的一些即使对付未知的恶意软件对象和新类型的攻击也可以很有效。

例如，主机入侵防御系统（Host Intrusion Prevention System，HIPS）模块130限制了未知应用程序对计算机资源的访问；主动防御模块199可以在活动期内检测病毒感染；仿真器（emulator）195和虚拟机155用于未知可执行文件的安全执行。所有这些模块在不同层次上使用系统资源（例如，处理器时间和存储器）。

反病毒应用程序供应商在不同的网络节点处复制安全相关功能。例如，在网关使用的有效的反垃圾邮件解决方案可以消除在终端用户计算机上使用这种解决方案的必要性。然而，当反病毒应用程序的功能移植到服务器或者中心网络节点时，对终端用户计算机保护不充分的问题变得严重。

如果在网关遗漏了恶意软件对象（例如，未知网络蠕虫）且如果每一台用户计算机都没有附加的反病毒保护，那么所有网络计算机都会感染病毒。因此，需要在各个层次来平衡安全系统。例如，安全应用程序可以基于特定用户参数安装在每一台用户计算机上。这会减少系统资源的使用。

公开号为2010/0138479A1的美国专利描述了当将应用程序模块加载到客户端时最小化流量。每一个客户端可以从列表（包定义文件）选择所需的模块进行加载。公开号为2010/0042991A1的美国专利中，系统允许基于用户硬件设置（包括硬件改变）来配置用户应用程序列表。

WO 2010/016833A1公开了按照取决于特定标志的数组对应用程序进行安装。该标识可以基于硬件配置或者可以基于计算机用户。公开号为2003/0200149A1的美国专利是关于根据应用程序与初始硬件的兼容性来创建所需应用程序的列表。为了确定兼容性，使用具有不同硬件配置的应用程序测试数据。一旦用户选择了所需硬件，会自动为他提供所推荐应用程序的列表。

另一种解决方案是从终端用户计算机委派任务到中央服务器。然而，传统技术只处理负载最优化，而不解决风险等级确定的问题。例如6,920,632B2号美国专利提供了用于周期性执行任务的算法。为这些任务指定优先级，并基于优先级来分配资源。该发明也解决了在优先级冲突的情况下和在资源不充足时的资源分配问题。

6,377,975B1号美国专利公开了将任务指派给负载最小的服务器。轮询所有安全服务器并确定在多个服务器中分配任务的可能性。KR 2007/032441A通过使用模糊逻辑选择负载最小的服务器来处理负载平衡。

因此，现有技术需要能根据任务的重要性和优先性来从客户端（即，终端用户站）指派安全任务到服务器的系统和方法。还需要在客户端本地解决一些安全问题。还需要在服务器上预先选择安全任务以最快和有效地执行这些任务。现有技术也需要用于在局域网内动态配置安全模块以优化安全任务的系统。

发明内容

本发明涉及用于反病毒保护的方法。本发明提供一种用于在局域网中动态配置安全模块以优化安全任务的方法、系统和计算机程序产品，其实际克服一个或者多个相关技术的缺点。

在本发明的一个方面，提供一种用于动态配置安全模块的方法。所述方法包括：(a) 收集客户端的配置数据；(b)基于客户端配置在每个客户端上安装安全模块； (c) 监视客户端和服务器上的安全任务的执行；(d) 收集客户端和服务器上所述安全任务的执行的统计数据；(e) 基于收集到的统计数据分析所述安全任务的执行；以及(f) 基于收集到的统计数据重新配置客户端和服务器安全模块。从而，优化所述安全任务的执行。

一种用于实现所述用于动态配置安全模块的方法的系统包括：客户端检测单元，用于在网络上查找客户端；客户端数据收集单元，用于确定已检测到的每个客户端的硬件/软件配置；安全模块选择和安装单元，用于为每个客户端从模块数据库中选择所需模块；统计数据收集单元，用于从用户模块和从客户端模块收集安全任务执行的统计数据；以及，重新配置单元，用于基于收集到的统计数据重新配置客户端和服务器模块以优化所述安全任务的执行。

本发明的附加功能和优点将在后续说明书中阐明，还有部分通过说明书是显而易见的，或者由本发明的实践可以得知。通过书面的描述、权利要求书和附图中特别指出的结构，将实现并获得本发明的优点。

应当理解的是，无论上述的总体描述还是后续的详细描述都是示例性的和解释性的，并且旨在提供对于本发明权利要求的进一步的解释。

附图说明

附图提供对本发明进一步的理解，并且并入说明书中并构成说明书的一部分，这些附图示出了本发明的实施例并与描述一起用于解释本发明的原理。

附图中：

图1描述了一组典型的安全模块；

图2示出了为示范性客户端选择安全模块；

图3A示出了在客户端上安装安全模块的框图；

图3B示出了示范性模块数据库的结构；

图4示出了根据示范性实施例，从客户端向服务器指派任务；

图5示出了根据示范性实施例，用于指派安全任务到服务器的算法的框图；

图6示出了根据示范性实施例，用于由服务器请求指定数据以执行所指派任务的算法；

图7示出了根据示范性实施例，用于重新配置客户端模块组的算法的框图；

图8示出了根据示范性实施例，用于重新配置服务器模块的算法的框图；

图9示出了如果发生服务器关闭，重新配置客户端模块组的算法；

图10示出了根据示范性实施例，用于任务优化的方法；

图11示出了根据示范性实施例，用于优化安全任务的执行的系统；

图12示出了可用于实现本发明的示范性计算机系统的示意图。

具体实施方式

现在将根据本发明的优选实施例进行详细描述，其示例图示于附图中。

根据示范性实施例，提供一种用于动态配置安全模块的方法。根据提出的方法，收集客户端的配置数据并基于客户端的配置数据将安全模块安装到每个客户端上。监视并分析客户端和服务器上的安全任务的执行。收集执行统计数据并基于收集到的执行统计数据重新配置客户端的和服务器的安全模块。由此，优化安全任务的执行。

根据示范性实施例，安全模块可以是任意以下各项：文件反病毒（AV）、邮件反病毒、网页反病毒、即时通讯反病毒、主机入侵防御系统（HIPS）模块；网络屏蔽、反垃圾邮件模块、反钓鱼模块、虚拟机、仿真器、虚拟键盘、家长控制模块、更新模块、个人数据管理器、加密模块、备份模块等。

图2示出了为一个示范性客户端选择安全模块。客户端200是具有一定软件/硬件配置的用户计算机。服务器210向客户端200提供管理和安全服务。这些服务可以由例如用于Microsoft Exchange Server（微软交换服务器）的Kaspersky Security、用于Windows服务器的Kaspersky Anti-Virus、用于Windows工作站的Kaspersky Anti-Virus等来实施。这些服务由卡巴斯基管理工具（Kaspersky Administration Kit）应用程序来控制。

服务器210执行安全任务，而且还存储需要安装在例如客户端200的用户计算机上的可供选择的安全模块。每一个安全模块专用于执行一个特定的安全任务（或者一组相关的任务）。换句话说，服务器210在局域网内部提供终端保护。服务器210有一组与图1中所描述的模块类似的模块230。对每一个客户端200来说，选择适合该客户端的配置的一组模块220。

图3A示出了在客户端上安装安全模块的框图。在步骤300，在网络上检测客户端。这可以作为所有网络节点的定期检查的一部分通过新节点检测来进行。ARP欺骗（ARP-spoofing）技术可用于检测网络上的客户端。这一技术使用ARP协议拦截网络节点之间的通信。ARP协议允许对网络内的未知主机上的广播ARP请求进行拦截。然后，发送回一个虚假ARP响应。在这一响应中，拦截器主机被声明为真正的目标主机（例如，路由器），并且随后由这个主机控制网络通信。

在步骤310中，将数据收集模块传输到检测到的客户端上。然后，在步骤320，收集客户端数据。该数据收集模块收集与该客户端的硬件配置（处理器、存储器容量、连接能力等）相关的数据、客户端操作系统数据和已安装的应用程序数据。这些数据可以由一个单独的模块或者多个独立的应用程序来收集，举例来说，诸如LOGINventory、ServiceDesk Plus等。以及，这些数据也可以通过操作系统的手段来收集，例如，Windows管理器（Windows Management Instrumentation，WMI）。

在步骤330将收集到的数据传输到服务器。然后，在步骤340，基于收集到的客户端数据准备一组模块。在步骤350，将该组模块传输到客户端并安装。使用来自模块数据库的数据选择出该组客户端模块，该模块数据库包含与每个模块功能有关的数据。图3B描绘了该模块数据库360。

该数据库360包含如下数据：模块名称、模块版本、与客户端操作系统和应用程序之间已知的不兼容性、模块硬件要求、数据的类型和大小、与其他模块之间通信的类型（例如，更新模块与所有其它模块通信）、处理所用的数据的类型（例如，仿真器使用文件的可移植可执行（Portable Executable，PE）结构来工作）、在不同工作模式下的重要性(例如，文件反病毒是使用已知恶意软件对象的签名的非常重要的模块)。

注意上述数据被用作示例，且数据库360可以包含任意数据。为了选择客户端模块，对在步骤330中收集到的客户端数据与包含在模块数据库360中的数据加以比较。

选择规则可以以“IF…THEN…”来实现，其中“IF”检查特定的条件。例如，如果客户端200安装了网页浏览器，那么，如果不存在不兼容性并且客户端200有充足的资源，则将网页反病毒包括在客户端200上所安装的那组模块中。

如果客户端数据表明大量的应用程序需要用户授权，那么用户模块组包括加密模块和个人数据管理模块。如果客户端有多个用户，则还可包括家长控制模块。换句话说，安装在客户端上的模块组可以基于客户端配置而明显地变化。

将用户模块安装到客户端200以后，在步骤350，如果缺少一些模块，则客户端200不得不略过特定安全事件（即，例如，用于恶意软件或者链接的网页扫描）或者客户端200不得不将与安全事件有关的任务指派给服务器210。

图4示出了根据示范性实施例，从客户端到服务器的任务指派。客户端200有一组无法在其自身执行的安全任务410。客户端200将该任务410指派给具有公用任务组420的服务器210。每一个服务器端任务均有其自身参数，诸如优先级、任务类型、所需数据等。在指派中，任务优先级可以由用户（手动）设置或者可以使用优先级算法来确定，所述优先级算法使用对象的数据（即，文件、索引、消息等）。

根据示范性实施例，数据传输可以按照图5中所描述的按阶段“请求-应答”模式来实现。安全任务可以是任意以下各项：文件和网页的反病毒处理、可执行文件的仿真、在虚拟环境中可执行文件的执行、检查电子邮件是否有垃圾邮件、数据加密、个人数据管理、安全数据输入（使用虚拟键盘）、备份复制、模块数据库的更新、家长控制、限制应用程序对系统资源的访问、网络连接的控制，阻止不想要的内容等。

图5示出了用于指派安全任务到服务器的算法的框图。在步骤500，确定客户端是否有足够的资源来执行任务。客户端资源是安全任务所需要的模块（即，例如，检查硬盘上文件的文件反病毒）。如果客户端资源足够，在步骤505在客户端上执行该任务。

否则，在步骤510，确定服务器是否可用以执行指派的任务。如果服务器不可用，在步骤515通知用户而且指派不发生。如果服务器可用，步骤520将任务放入公用队列中。在步骤530中根据任务的优先级来更新该公用任务队列并重新将任务排序。在步骤540中该任务等待执行。在步骤550，系统检查服务器是否开始执行该任务。

如果服务器已经开始执行该任务，在步骤555，系统等待服务器完成对该任务的执行。然而，如果在步骤550服务器没有开始执行该任务，在步骤560系统检查是否已经超出等待限度。如果还没有超出等待限度，那么进程返回到步骤540并等待开始任务执行。如果在步骤560已经超出了等待限度，在步骤570提高该任务的优先级并且该任务返回到步骤540等待执行。

重复此过程直到该任务不再被发送执行（步骤555）。因此，来自每个客户端的安全任务的执行均得到保证。每一个任务都有一组指定的数据。例如，在检查文件时，可以是与文件有关的数据（例如，哈希值、数字签名、文件大小的数据、文件位置、命令字符串的属性、文件属性（例如隐藏存档）、文件源（网络地址）、最后修改等）。 

检查网页时，可以是，例如，网页的地址（索引）、脚本仿真器的检查配置（即，哪些脚本应该被检查到哪个深度以及应该在每一级别检查哪些对象）。根据示范性实施例，为了使发送给服务器的数据量减到最小，实施增量服务器数据请求的算法。

所有与检查对象有关的数据可以分为几类：必要数据、重要数据和可选数据。该必要数据是生成检查结论所需的数据。例如，如果是文件，它是允许立即对照黑名单/白名单进行文件检查的哈希总和（hash-sum）。另一类必要数据是对象指针（例如，页面索引）或者对象自身（例如，需要在安全环境中启动的可执行文件）。

该重要数据可以是，例如，文件属性（例如，命令字符串的签名或者属性）。为了生成更精确的结论，需要该重要数据。该可选数据是与判决的生成不相关的数据。例如，文件名是可选的（因为一些木马可能有正常的文件名）。这样，逐步执行任务。首先，使用必要数据，并且如果必要数据不足（例如，在黑名单或白名单中都没有找到哈希总和），则使用重要数据。而且只有此时，可以考虑一些可选数据。

图6示出了用于由服务器请求指定数据以执行所指派任务的算法。在步骤600，服务器请求指定数据以执行所指派任务。例如，如果是文件，它可以是哈希值（hash-value）。步骤610检查数据是否足以关于此任务做出结论。如果数据足够（即，例如，在黑名单数据库里找到哈希值），则在步骤615执行任务并且将结果提供给客户端。

如果在步骤610数据不足，在步骤620服务器请求额外的对象数据。例如，该额外的数据可以是数字签名或者文件属性（例如，文件扩展名、文件封装、位置、大小等）。在步骤630，确定数据是否足以关于当前任务做出结论。如果数据足够，在步骤635执行任务并且将结果提供给客户端。如果在步骤630数据不足，则进程在步骤640检查客户端是否有可用的一些额外对象数据。

例如，如果是仿真器，客户端可以提供到服务器的仿真登录。根据示范性实施例，可以使用不同的配置进行仿真。例如，客户端可以具有轻型配置以最小化时间和资源消耗。另外，服务器可以使用更加严格的配置来进行仿真，这是由于一些恶意软件有反仿真功能而且在客户端上无法被检测到。此外，可将一些应用程序中的指令和一些API调用发送到服务器以完成登录。如果客户端没有额外数据而且服务器无法做出结论，在步骤650出于安全考虑阻止在客户端上的任务执行。

图7示出了用于重新配置客户端模块组的算法的框图。在步骤700，服务器基于客户端的请求收集统计数据。服务器分析客户端的请求和客户端的模块组。在步骤710，进程确定相同类型的请求的数目是否超出了阈值。相同类型的请求可以是，例如，文件检查请求或者对收到的邮件进行垃圾邮件分析的请求、网页检查请求、检查通过网络接收到的文件、备份请求、加密请求等。

阈值可以根据经验设置（例如，由管理员手动设置）或者阈值可以基于特定参数（例如，服务器和客户端的硬件配置、网络上的客户端数目、这种类型任务所需的平均资源等）自动计算出来。例如，如果网络包含100个客户端计算机和一个服务器，而且一天中只有一些客户端请求为个人文件加密，则可以由服务器执行加密。然而，如果加密请求来自几十个计算机而且加密量达到几十兆字节，那么需要在客户端上执行加密代理。该代理可以安装在胖客户端（thick client）上，与此同时瘦客户端（thin client）仍然可以将加密任务指派给服务器。

如果在步骤710并未超出阈值，则在步骤715继续收集统计数据。可以在一定的时间段内收集统计收据，例如，一个小时。然而，按小时的统计数据可能无法表明客户端上所需的特别模块，这是因为在特定的一小时内，一些请求会超出阈值。因此，计算并使用在8-9个小时内接收到的请求的平均数。

在步骤720，进程检查客户端是否有足够的资源来安装处理所需类型的问题的模块。例如，加密任务可能需要快速处理器（例如，2GHz的酷睿i5）。如果客户端没有足够资源，则在步骤725由服务器执行任务。然而，如果在步骤720客户端有足够的资源，可以减少服务器的负载并在步骤730将所需的模块安装到客户端上。为了处理所指派的客户端的任务，可以提前在服务器上安装该模块。

图8示出了用于重新配置客户端模块的算法的框图。在步骤800，服务器基于客户端请求收集统计数据。服务器分析客户端的请求和客户端的模块组。在步骤810，进程确定相同类型的请求的数目是否超出了阈值。相同类型的请求可以是，例如，文件检查请求或者对接收到的邮件进行垃圾邮件分析的请求。

如果在步骤810没有超出阈值，在步骤815继续收集统计数据。在步骤820，进程确定是否在服务器上所请求（所指派）任务的执行有效性较高。例如，在使用用于邮件重定向的特别模块的服务器上，可得到更有效的垃圾邮件分析。

可以基于一些参数来评估该有效性，举例来说，诸如客户端-服务器带宽、给定类型任务的平均资源需求以及客户端和服务器的硬件/软件配置。如果用户发送仿真日志（尤其如果该日志反应了相同应用程序的仿真）到服务器而且服务器用严格的配置执行仿真并检测恶意软件，则仿真检查完全被转移到服务器端。在示范性实施例中，有效性是按照一定时间段内（例如，数天、数周和数月）在服务器上给定类型任务执行的合计速度与在客户端上执行速度之比来计算的。

可以基于反映安全模块的功能的网关数据提前计算服务器上的任务执行速度。例如，用于检查点防火墙（Check Point Firewall）的Kaspersky AV或者用于Microsoft Exchange Server的Kaspersky Security具有一定的执行速度。如果该比率大于一，则服务器上的有效性更高。

如果在服务器上的有效性较低，则在步骤825在客户端上执行该任务。然而，如果在步骤820在服务器上的有效性较高，则在步骤830将模块从客户端移除。然后，在步骤840，在服务器上安装该模块。请注意为了处理所指派的客户端的任务，可以提前在服务器上安装该模块。模块在服务器上的安装分担了客户端的负载并减轻了整个网络的负载。

根据示范性实施例，对在服务器和客户端上任务执行有效性的持续检查允许评估双方的安全模块的有效性。可以在八小时内（例如，工作时间）每小时计算一次有效性值并随后进行平均。然后可以每周、每月等检查一次有效性。需要这样做是因为新的计算机和服务器持续地添加到公司网络。客户端模块组的进一步重新配置可以提高整个局域网的安全任务执行的有效性。

图9示出了如果发生服务器关闭，重新配置客户端模块组的算法。当服务器210无法从客户端200接收请求时，在无法预见的情境下使用本方案。这可以由多种因素引起，诸如断开或者切断连接通道（有线的或者无线的）、由分布式拒绝服务攻击（DDoS-attack）所可能引起的连接通道超负荷造成的不稳定连接和数据丢失、意外服务器关闭等。

在步骤940，客户端200向服务器210发送请求。在步骤950如果服务器210接收到该请求，则发送已经接受任务用于执行的通知，且在步骤955客户端200继续工作在正常模式下。否则，客户端200计算服务器端闲置时间(例如，来自于在步骤940所发送的时间)。通常，服务器响应在小型局域网内所需的时间不超过几十毫秒，对于包含数万计算机的大型分布式网络需要花费几分钟。在步骤960，计算服务器闲置（不响应）时间。

根据网络规模来选择服务器闲置阈值。保证服务器在阈值时间以内应答客户端请求。阈值是基于经验数据自动选择的但可以由管理员修改。在步骤970，检查服务器闲置时间是否超出阈值。如果没有超出阈值，在步骤940客户端再次发送请求（尤其当传输协议不保证传递的情况下，例如，UDP）。如果已超出阈值，在步骤980客户端提高其模块的安全设置。

通过改变HIPS模块的策略、提高仿真时间和使用虚拟机等等来实现安全配置的提高。或者，在步骤980，可创建额外的与AV服务器（诸如卡巴斯基和赛门铁克）的网络连接来向其发送安全任务相关的信息。在另一个实施例中，使用延迟任务。在这种情况下，客户端不需同时向服务器210发送所有安全任务。而是，它们在一定时间段内发送这些任务。

图10示出了根据示范性实施例，用于任务执行优化的方法。在步骤1010，检测网络客户端。在步骤1020，确定每一个客户端所需要的模块组（基于客户端配置）并在客户端上安装模块。然后，在步骤1030，收集在客户端执行安全任务的统计数据。在步骤1040基于收集到的统计数据分析客户端上安全任务的执行。在步骤1050，根据收集到的统计数据重新配置客户端模块。在步骤1060，根据客户端的任务执行请求，重新配置服务器。

图11示出了根据示范性实施例，用于优化安全任务的执行的系统。客户端检测单元1110查找网络上的客户端。可以使用ARP协议来检测客户端。客户端数据收集单元1120确定每一个检测到的客户端的硬件/软件配置。将这一数据提供给安全模块选择和安装单元1130。该单元1130使用模块数据库400来为每个客户端选择所需的模块。

这样，该模块选择和安装单元1130确定一组将被安装在客户端上的安全模块220和一组安装在服务器上的安全模块230。对于服务器的情况，安全模块230可以根据需要加以安装或者可以加以预装。为了节省服务器资源，可能直到有用户请求由该已预装的模块所提供的服务时才激活该已预装的模块。客户端模块220和服务器模块230向数据收集单元1160提供安全任务执行统计数据，所述数据收集单元1160为重新配置单元1170汇总接收到的数据。

重新配置单元1170发送命令给该模块选择和安装单元1130以选择最佳安全模块组220和230。这样有利地优化了在局域网内的安全任务的执行。

参照图12，用于实施本发明的示范性系统包括形式为计算机200（或服务器210）或诸如此类的通用计算机设备，包括处理单元21、系统存储器22和将包括系统存储器22在内的各种系统组件耦连到处理单元21的系统总线23。

系统总线23可以是多种类型总线结构的任意一种，该多种类型总线结构包括存储器总线或者存储器控制器、外围总线以及使用各种总线架构中任何任意的本地总线。系统存储器包括只读存储器（ROM）24和随机访问存储器（RAM）25。ROM 24中存储有基本输入/输出系统（BIOS）26，该基本输入/输出系统26包含例如在开机过程中帮助在计算机200内部的元件之间传输信息的基本例程。

计算机200可能进一步包括：图中未示的用于硬盘读写的硬盘驱动器27、用于可移动磁盘29读写的磁盘驱动器28和用于诸如CD-ROM、 DVD-ROM或其它光学介质的可移动光盘31读写的光盘驱动器30。

该硬盘驱动器27，磁盘驱动器28和光盘驱动器30分别通过硬盘驱动器接口32、磁盘驱动器接口33和光盘驱动器接口34连接到系统总线23。驱动器及其相关联的计算机可读介质为计算机200提供计算机可读指令、数据结构、程序模块和其它数据的非易失性存储。

尽管在此描述的示例环境使用了硬盘、可移动磁盘29和可移动光盘31，但本领域的技术人员应当理解，可对计算机200可访问数据加以存储的其他类型计算机可读介质也可用于该示范性操作系统环境中，例如，盒式磁带、闪存卡、数字视频盘、伯努利（Bernoulli）盒式存储器、随机访问存储器（RAM）、只读存储器（ROM）等等。

硬盘、磁盘29、光盘31、ROM 24或者RAM 25上可以存储很多程序模块，包括操作系统35。计算机200包括与操作系统35相连的或者包含在操作系统35内的文件系统36、一个或多个应用程序37、其它程序模块38和程序数据39。用户可以通过诸如键盘40和定位装置（pointing device）42的输入设备将命令和信息输入到计算机200。其它输入设备（图中未示）可以包括麦克风、操纵杆、游戏垫、卫星天线、扫描仪等等。

这些和其它的输入设备通常通过耦连到系统总线的串行接口46与处理单元21连接，但是也可能通过其它接口连接，诸如并行接口、游戏端口或通用串行总线（USB）。监视器47或者其它类型的显示设备也通过诸如视频适配器48的接口连接到系统总线23。除了监视器47，个人计算机通常包括其它外围输出设备（图中未示）, 诸如扬声器和打印机。

计算机200通过与一个或多个远程计算机49逻辑连接，可以在网络环境中运行。远程计算机（或计算机组）49可以是另一台计算机、服务器、路由器、网络PC、对端设备或其它常见的网络节点，且尽管仅有存储设备50示出，但该远程计算机（或计算机组）通常包括上文描述的多个或者全部和计算机200相关的元件。逻辑连接包括局域网（LAN）51和广域网（WAN）52。这样的网络环境在办公室、企业级计算机网络、内部网（Intranets）和互联网（Internet）中很常见。

当在局域网的网络环境中使用计算机200时，该计算机200通过网络接口或者适配器53连接到局域网51。当在广域网的网络环境中使用计算机200时，该计算机200通常包括调制解调器54或者用于在诸如互联网的广域网52中建立通信的其它方式。

调制解调器54可以是内置的或者外置的，通过串行接口46连接到系统总线23。在网络环境中，所描述的与计算机200相关的程序模块或者其中的一部分可以存储在远程存储器设备中。可以理解的是示出的网络连接是示例性的，可以使用在计算机之间建立通信链接的其它方式。

通过这样描述一个优选的实施例，对本领域技术人员而言，所描述的已经实现的方法和装置的某些优点是显而易见的。具体而言，本领域技术人员应当理解的是，所提出的系统和方法通过向服务器指派任务执行和重新配置安全模块来提供安全任务执行的最优化。

还应当理解的是，可以在本发明的精神和范围内做出各种修改、适应及其替代实施例。本发明由权利要求进一步限定。

Claims (19)

1.一种计算机实现的用于优化安全任务的执行的系统，所述系统包括：

客户端检测单元，用于在网络上识别客户端；

客户端数据收集单元，耦连到所述客户端检测单元，用于确定每一个检测到的客户端的硬件和软件配置；

模块数据库，用于存储安全模块和模块的数据；

安全模块选择单元，连接到所述客户端数据收集单元，用于从所述模块数据库为每一个客户端选择所需的模块，以便在所述客户端和服务器上后续安装所选择的安全模块；

统计数据收集单元，从所述客户端和所述服务器收集安全相关的统计数据；以及

重新配置单元，连接到所述安全模块选择单元，所述重新配置单元基于所述收集到的安全相关的统计数据重新配置所述客户端和所述服务器模块，

其中，如果客户端具有专用于安全任务的安全模块，则所述安全任务在所述客户端上执行，而如果所述客户端不具有专用于所述安全任务的所述安全模块，则所述安全任务在所述服务器上执行。

2.如权利要求1所述的系统，其中所述客户端检测单元使用ARP欺骗来查找所述客户端。

3.如权利要求2所述的系统，其中所述模块的数据为任意以下各项:

模块名称；

模块版本；

与操作系统的不兼容性；

与应用程序的不兼容性；

硬件要求；

指定数据的类型和大小；

与其他模块交互的类型；以及

在不同工作模式中的能力。

4.如权利要求1所述的系统，其中所述安全模块为任意以下各项：

文件反病毒；

邮件反病毒；

网页反病毒；

即时通讯反病毒；

主机入侵防御系统模块；

网络屏蔽；

反垃圾邮件模块；

反钓鱼模块；

虚拟机；

仿真器；

虚拟键盘；

家长控制模块；

更新模块；

个人数据管理器；

加密模块；以及

备份模块。

5.如权利要求1所述的系统，其中所述安全任务为任意以下各项：

文件的反病毒检查；

网页的反病毒检查；

可执行文件的仿真；

在虚拟环境下文件的执行；

邮件的垃圾邮件扫描；

数据加密；

个人数据管理；

虚拟键盘的实现；

备份拷贝的生成；

模块数据库的更新；

家长控制；

对系统资源的限制访问；

网络连接的控制；以及

不想要的内容的阻止。

6.如权利要求5所述的系统，其中每个安全任务均由专用的安全模块来执行。

7.一种计算机实现的用于优化安全任务的执行的方法，所述方法包括：

(a)在局域网上检测客户端；

(b)收集客户端的配置数据；

(c)基于所述客户端的配置在每一个客户端上安装安全模块

(d)由所述客户端和服务器上的所述安全模块来监视安全任务的执行；

(e)从所述客户端和所述服务器收集安全相关的统计数据；

(f)基于所述收集到的安全相关的统计数据分析所述安全任务的执行；以及

(g)基于所述收集到的统计数据，重新配置所述客户端的和所述服务器安全模块，

其中，如果客户端具有专用于安全任务的安全模块，则所述安全任务在所述客户端上执行，而如果所述客户端不具有专用于所述安全任务的所述安全模块，则所述安全任务在所述服务器上执行。

8.如权利要求7所述的方法，其中所述客户端的检测由所述客户端通过ARP欺骗来完成。

9.如权利要求7所述的方法，其中所述客户端配置包括硬件和软件配置。

10.如权利要求7所述的方法，其中如果所述客户端不具有足够的资源，则将所述安全任务指派在所述服务器上执行。

11.如权利要求10所述的方法，其中所述被指派的安全任务具有指定的执行优先级。

12.如权利要求7所述的方法，其中每个安全任务由专用的安全模块执行。

13.如权利要求7所述的方法，其中所述重新配置所述客户端包括移除所述安全模块。

14.如权利要求7所述的方法，其中所述重新配置所述客户端包括安装所述安全模块。

15.如权利要求7所述的方法，其中所述重新配置所述服务器包括基于客户端请求安装所述安全模块。

16.如权利要求7所述的方法，其中将所述安全模块预安装在所述服务器上并根据用户请求激活。

17.如权利要求7所述的方法，其中如果在服务器上所述安全任务执行的有效性较高，则将所述安全任务指派给所述服务器。

18.如权利要求17所述的方法，其中按照一定时间段内在所述服务器上执行给定类型的任务的合计速度与在所述客户端上所述任务的执行速度之商来确定所述任务执行的有效性。

19.一种用于优化安全任务的执行的系统，所述系统包括：

处理器；

存储器，耦连到所述处理器；

计算机程序逻辑，存储在所述存储器中并且在所述处理器上执行，所述计算机程序逻辑用于实现权利要求7的步骤。

Images