CN102710598B - 用于减小计算机网络中的安全风险的系统和方法 - Google Patents

Abstract

本申请所公开的是用于减小计算机网络中的安全风险的系统、方法和计算机程序产品。所述系统包括管理服务器，该服务器从网络中的多个计算机中收集系统使用、用户简档和安全性事故信息。服务器使用所收集的信息确定关于每个计算机的一个或多个风险因子的值。服务器然后将每个计算机用户的安全评级作为风险因子的函数来进行计算，并且基于与给定计算机用户通信的其他计算机用户的安全评级来调整该给定计算机用户的所计算的安全评级。服务器然后基于调整后的安全评级，为给定用户的计算机选择安全设置，以便减小用户对计算机网络的安全风险，并且对给定用户的计算机应用所选安全设置。

Description

用于减小计算机网络中的安全风险的系统和方法

相关申请的交叉引用

本申请根据35U.S.C.119(a)-(d)要求于2011年4月19日提交的第201111536号俄罗斯专利申请的优先权，该申请通过援引的方式并入本申请中。

技术领域

本发明涉及计算机网络安全的系统和方法，且更具体而言，涉及用于对与网络用户的行为和特点有关的风险加以考虑的网络安全管理的系统和方法。

背景技术

企业计算机网络(ECN)的安全性依赖于网络中的每个具体计算机的安全性。对ECN内的信息安全性事故(incident)的监视以及安全组件的远程配置是ECN管理员必须处理的关键问题。目前，存在这样的ECN管理工具，这些工具远程登记安全性事故(例如，违反安全策略)、计算安全风险并根据安全策略配置用户PC。然而，这些安全工具只分析过去的安全性事故，从而无法达到期望的安全级别，尽管这也可能使这些安全性事故得到预防。所提及的安全事件包括在用户计算机上检测到的系统事件，例如文件读取/写入、用户身份验证、应用程序执行、数据加载、网络通信、对系统配置的改变以及其他事件。

此外，由于各计算机用户在其计算机技能方面各不相同，所以ECN中存在不熟练的计算机新手会表现出信息泄露或资源崩溃的高风险，这将会给资源所有者造成巨大损失。这个问题对于其中泄露信息或拒绝为系统用户服务的风险至关重要的大型企业计算机网络而言尤其紧迫。本申请中所提出的解决方案在于：基于对各用户的安全风险的分析及其计算机的适应性配置来预防网络中的安全性事故。

发明内容

本申请所公开的是一种用于减小计算机网络中的安全风险的系统、方法和计算机程序产品。该系统包括管理服务器，该服务器从计算机接收关于计算机的系统使用、用户活动和安全事故的网络信息。该服务器从本地数据存储器检索计算机用户的用户简档信息。该服务器然后对所接收的信息和用户简档信息进行定性和定量评估，以确定计算机的一个或多个风险因子的值。该服务器然后通过对计算机的一个或多个风险因子的值运用模糊逻辑规则来计算计算机的一个或多个安全评级。该服务器然后确定安全评级是否处于准许范围内，其中准许范围是至少部分地基于计算机用户的职位而设定的。如果安全评级处于准许范围内，则服务器基于安全评级而为在计算机上部署的反病毒应用程序选择安全设置，以便减小用户对计算机网络的安全风险，并将所选安全设置传输至计算机的反病毒应用程序。

以上对本发明示例性实施例的简要概括用于提供对这类实施例的基本理解。此概括并不是本发明设想的所有方面的宽泛概述，并且既非意图确定所有实施例的关键或决定性要素也非意图限制任何或者所有实施例的范围。其唯一目的在于简要地提出一个或多个方面的一些构思，作为下面更为详细的描述的前序。为了实现前述的以及相关的目的，一个或多个实施例包括将在下面充分描述且在权利要求书中特别指出的特征。下面的描述和附图详细地阐述了一个或多个实施例的某些示例性特征。不过，这些特征仅通过可以采用各方面原理的各种方式中的一些来加以说明，但此描述意图包括所有这样的方面及其等同物。

附图说明

附图包含于说明书中并构成说明书的一部分，示出了本发明的一个或多个示例性实施例，与详细描述一起用于解释本发明实施例的原理和实施方式。

附图中：

图1示出了根据一个示例性实施例的用户计算机系统和管理服务器之间的交互；

图2示出了根据一个示例性实施例的用户计算机和管理服务器之间的交互；

图3示出了根据一个示例性实施例的由管理服务器收集的信息的示例；

图4示出了根据一个示例性实施例的用户的通信的示例；

图5示出了根据一个示例性实施例的由管理服务器维护的用户简档的下例；

图6示出了根据一个示例性实施例的管理服务器的功能流程框图；

图7示出了根据一个示例性实施例的用于管理服务器的操作方法的流程图；以及

图8示出了根据一个示例性实施例的计算机系统的示意图。

具体实施方式

在本申请中，围绕用于预测和预防企业计算机网络(ECN)中的安全性事故的系统、方法及计算机程序产品，来描述本发明的示例性实施例。本领域普通技术人员应认识到，下面的描述仅仅是示例性的而并非意图以任何方式进行限定。受益于此公开内容的本领域技术人员将容易获得其他实施例的启示。现在，将更为详细地描述如图所示的示例性实施例的实施方式。贯穿全部附图以及下列描述，相同的附图标记将尽可能用于表示相同或相似的对象。

图1示出了用于预测和预防ECN 100中的安全性事故的系统的配置的一个示例性实施例。该系统具有客户端-服务器配置，并且包括管理服务器110、管理数据库115和多个客户计算机105。在一个示例性实施例中，管理服务器110可以是在PC 105上部署的软件应用程序。在另一个示例性实施例中，可以在由受信任服务提供商托管(host)的远程服务器上调度管理服务器110。另外，管理数据库系统115相对于管理服务器110可以是本地的或远程的。管理服务器110以向网络100中每个接受管理的计算机105提供连接的方式连接到ECN 100。该系统还包括管理控制台140，该控制台用作用于控制管理服务器110的管理员工作场所。管理员组可以使用若干控制台140。控制台140允许网络条件可视化、发送威胁信号、监视设置和更新的过程以及其他信息安全(IS)功能。由服务器110处理的数据可被存储在管理数据系统115的专家数据库130以及用户简档(profile)数据库120中。该数据可包括但不限于事件日志、用户的个人信息、联网的PC信息、安全设置、安全策略、用于预测和预防ECN 100中的安全性事故的系统操作所需要的专家数据以及其他类型的信息。

图2中示出了用于预测和预防ECN 100中的安全性事故的系统操作的一个示例性实施例。操作期间，PC 105的用户执行各种操作；他们中的一些对PC 105以及网络100中的其他计算机会是有害的。为了检测这类情况，可在用户PC 105上部署检测代理程序210。检测代理程序210可以是安装在PC 105上的反病毒应用软件的组件(例如，程序或脚本)。检测代理程序210可以被配置为检查PC 105是否存在恶意软件(例如，病毒、木马)以及其他漏洞和威胁。在检测到恶意代码或有害用户活动的情况下，生成感染记录并将其存储在事件日志220中，该日志可被发送至管理服务器110。日志220可以在检测到事件时由检测代理程序210周期性间隔地或实时地传输至管理服务器110。例如，如果检测代理程序210检测到恶意代码在PC 105上执行，则关于该事故的事件数据可立即被传输至服务器110。例如，由检测代理程序210传送至服务器110的事件信息可包括但不限于事故检测时间、恶意软件或漏洞名称、关于病毒侵入方法的数据、其中已经检测到病毒的目录、感染之前的用户活动以及其他信息。服务器110分析所接收的数据并向PC 105传输一系列预防措施230，例如软件设置、访问权限限制、惩罚通知、安全培训指令以及旨在减小PC 105上信息丢失或感染的风险的其他措施。

用户通常在ECN 100中他们的PC 105上安装各种未经安全服务批准的应用程序。此处以及进一步地，术语“应用程序”意指被设计为执行一定用户任务并意图与用户直接交互的程序。在大多数情况下，应用程序并不直接访问计算机资源；它们经由操作系统而与CPU和存储器交互。这类应用程序通常存在漏洞和错误；并且在在线下载的情况下，存在安装文件被计算机病毒感染的极大可能性。另外，用户通常使用各种设备，例如蜂窝电话、闪存卡、外部硬件驱动器以及与PC 105相互传送数据、图像和音频文件的相机。这些存储设备可能包含恶意软件，这些恶意软件由于这些设备的便携性而可以在ECN 100中快速传播。在用户的文件或信息在网络100中的计算机之间交互之时发生感染。

对网络安全问题的研究揭示出：(i)企业计算机网络中的用户的计算机文化程度依赖于年龄、教育、性别、工作经验和其他个人特点；(ii)用户的不受限活动会增大用户计算机系统的感染风险；(iii)计算机保护级别应当与用户在公司的职位对应；(iv)从信息安全的观点看，用户的工作质量依据个人特点和管理措施而会随时间改变；(v)用户的安全评级依赖于他们与其网络中的其他用户的通信。据此，本发明的用于预防安全性事故的系统将这些因素纳入考虑。

在一个示例性实施例中，用户安全评级是对连接至ECN的用户PC上的安全性事故的风险进行定义的一参数或一组参数。换言之，用户安全评级可反映用户活动和系统使用的安全风险。例如，用户的密集的因特网活动增大了计算机感染风险，因而降低了用户的安全评级。在一个示例性实施例中，安全评级的值可被表述为0～100范围内的数值。在另一个实施例中，用户安全评级可被表述为0％～100％范围内的相对值。在此情况下，在ECN中的活动未表现出安全风险的用户将具有高的安全评级。类似地，活动危害极大的用户将具有低得多的安全评级。

为了对用户安全风险进行客观评估，管理服务器110可使用检测代理程序210从PC 105中收集与下面的风险因子相关联的计算机使用信息，该检测代理程序是在管理服务器110上部署的。下面的一系列风险因子仅是示例性的，可包括其他因素。

1.外部驱动器使用(系数Xf)：外部驱动器连接的事件数量，Xf1；每时间单位连接至PC的外部驱动器数量，Xf2(驱动器的唯一性由可通过API接口访问的供应商和驱动器的序列号确定)；由外部驱动器运行的可执行文件数量，Xf3；由存储设备中的检测代理程序检测到的恶意软件数量，Xf4；数码设备(即，主要用途不是作为存储设备的设备，例如，媒体播放器)的连接数量，Xf5；

2.网页浏览器(系数Xi)：每时间单位所浏览的网址数量，Xi1；浏览的唯一网址数量，Xi2；下载的执行文件数量，Xi3；由反病毒系统在用户的通信量(traffic)中检测到的恶意软件数量，Xi4；由授权网址列表中的授权网址数量确定的经过授权网址使用程度，Xi5；黑名单网址的非法浏览程度(例如，家长控制数据库、非法URL数据库)，Xi6；社交网络浏览活动的程度，Xi7；

3.软件安装和PC操作(系数Xp)：新软件安装次数，Xp1；现有软件卸载次数，Xp2；每时间单位PC重启次数，Xp3；由系统日志确定的PC操作故障(例如，蓝屏厄运(Blue Screen of Doom)、程序崩溃)的数量，Xp4；已安装的软件总数，Xp5；自动运行的应用程序数量，Xp6。

在上述示例中，系数Xp、Xi、Xf为风险因子的值，例如构成用户的总和安全评级的外部驱动器使用、网页浏览和软件安装。对诸如外部驱动器使用(系数Xf)这些风险因子的单独安全评级可使用下列公式进行计算：Xf＝Xf1*Pf1+Xf2*Pf2+Xf3*Pf3+Xf4*Pf4+Xf5*Pf5，其中Pf是风险因子重要性的权重系数。在一个示例性实施例中，可将总计用户安全评级作为单独风险因子例如Xp、Xi、Xf的值的和来计算。在另一个示例性实施例中，用户安全评级可使用诸如Mamdani算法这样的模糊逻辑来计算。

对由超过一千个PC组成的样例用所考虑的方法进行实际研究。如果用户的风险阈值被设定在三倍于平均值的级别，则超过该阈值的用户的数量将为大约3％。研究结果显示，照这样选择的用户中大多数都接受了各种调查，并且他们的PC中许多都含有不可由诸如反病毒应用程序等检测代理程序210检测的病毒。

用户安全评级可具有关于PC 105的保护代理程序240的相关联的安全设置230。具体而言，关于PC 105的用户的安全评级一经计算，管理服务器110就选择适当的安全设置230并将其传输至PC 105上的保护代理程序240。代理程序240可以是在PC 105上部署的反病毒应用程序的组件。在一个示例性实施例中，安全设置230可包括一系列用于保护代理程序240的各种组件的可设置参数，所述保护代理程序240即是反病毒应用程序，用于负责垃圾邮件过滤、电子诈骗、网络攻击和病毒的检测。这些参数可根据在关断模式(off mode)和峰值容量的操作之间这一范围内的保护级别加以设定。在另一个示例性实施例中，安全设置230还可包括PC 105的用户在计算机操作期间应当遵循的安全策略。所有组件容量增大会导致计算资源短缺。根据用户安全评级对设置230进行的优化准许维持系统性能和安全性之间的平衡。例如，如果计算机用户主动浏览各种网址并使用很多造成感染的外部驱动器，则系统对该用户PC应用严格的安全策略，该策略禁止由外部驱动器运行可执行文件，并将针对网络攻击的保护设定为最高级别。

图3示出了管理服务器110上维护的用户简档300的内容。用户简档中所存储的两个用户评估标准是用户属性310和用户行为信息320。管理服务器110还可在用户简档300中或另一个数据库中维护关于用户通信330和事故340的信息。

用户通信330包括两个或更多用户之间的通信，所述通信是由ECN内的数据交换或者关于ECN内这些用户之间的数据交换的一定概率来定义的。基于用户通信对用户安全评级400进行评估的原理示出于图4中，并且基于下列各项：通信流事件415和社交通信435。

通信流事件415由单个数据存储介质或其他设备的常见使用、网络内的数据传输或用户410之间的消息传递来确定。由于用户410的紧密位置或其工作职责，所以公司(例如，社交)通信435包括他们之间高概率的通信流。基于通信的用户评级评估400意指用户安全评级依赖于与他/她通信的其他用户的评级。如果系统通过任一属性确定两个用户的通信，则一个用户PC被感染可能令其他用户PC被感染。这一原则使安全风险评估更为准确。根据下列情况对安全风险评估加以调整：如果对用户400的环境的评级低很多，则在不对他/她的通信加以考虑的情况下，该用户的评级会显得不稳定。

作为示例，对IS方面的理想用户加以考虑，该用户不进行浏览、不安装额外的软件并且完全遵守ECN安全策略。该用户表现出非常低的安全风险，并且因此，其安全评级将接近于可能的最高值，直至这个用户的通信被纳入考虑为止。对这样的情况加以考虑：这个用户在其中所有其他用户都违反IS安全策略并且他们的安全评级都低很多的部门工作。在此情况下，由于该用户与其同事的网络通信或文件交换，所以存在这样的高概率，即该用户PC极为可能对于病毒和其他威胁要脆弱很多。因此，如果对用户的通信加以考虑，则他/她的安全评级应当会被降低，或者以其他方式加以调整以反映：该用户的安全风险由于其同事的高安全风险而变得高很多。

在一个示例性实施例中，可使用关于用户PC上的事故动态的信息来确定用户安全评级。理想情况下，事故数量应随时间减少并趋于零。与该趋势的任何偏离都应当被认为是对系统的错误设置以及对PC的不充分管理。相反的情形是经过授权的网页浏览的参数；该参数的增大将不会导致任何事故。此处所描述的系统启用对每个Xi系数的分析。例如，用户PC通过网址而有规律地受到感染，但风险因子Xi的值不随时间而改变。根据用于对用户安全评级进行评估的规则，用户安全评级同样将不会改变。此后，保护代理程序设置也将不会变动。结果是，用户PC上的事故数量保持不变。如果在计算用户安全评级期间对发生的事故的动态加以考虑，则在有规律地受到感染的用户PC的情况下，安全评级将降低，或者以其他方式加以调整以增强保护代理程序的安全设置。如果事故数量随时间减少，则安全评级将增大，或者以其他方式加以调整以减少对用户操作权限的限制。

在一个示例性实施例中，可使用关于PC用户的个人信息和职业信息来确定用户安全级别。图5示出了可以在用户简档数据库中加以维护的用户属性表。该表中示出两个用户的记录作为示例。第一个记录510是一受过技术教育的男性用户的，年龄25岁、职位销售员。该用户的职位未授权他在工作中涉及商业秘密信息；因此，如果他遵守安全策略并且不执行有害活动，则他的安全评级阈值可以为低。第二个记录520是一女性用户的，年龄35岁、职位首席会计师。该用户在工作中涉及的任何文档都代表公司的商业秘密。由于存在可能丢失重要信息的风险，因此，即使该用户遵守安全策略并且不执行有害活动，她的安全评级阈值也应当被调整至平均水平。安全评级阈值因而可由网络管理员基于用户简档中所包含的信息来加以设定，例如，基于用户年龄、性别、职位或其他个人和职业属性。

图6中示出了管理服务器的配置的一个示例性实施例。服务器110的风险因子评估模块630从在用户计算机105上部署的检测代理程序(例如，反病毒软件)接收了所收集的信息220，包括但不限于系统事件日志、事故信息和用户活动报告。模块630还访问在本地数据库中加以维护的用户简档620。模块630然后对用户PC的各种风险因子进行定性和定量评估，并输出关于各种风险因子的一组值。可以通过对各种系统事件、安全性事故的情形以及危险的/有害的用户活动的情形计数，并将它们与由管理员预先设定的阈值相比较来进行评估。作为一组值的风险因子被传递至安全评级模块640，该模块基于所提供的风险因子为计算机用户计算用户安全评级。具体而言，可由模块640的一个或多个分析器使用清晰(crisp)逻辑规则和模糊逻辑规则以及统计方法或其他方法，来对每个风险因子进行处理。每个分析器使用专家数据库610中所包含的由隶属函数(membershipfunction)选择的算法、结构模型、规则和权重系数。模糊逻辑规则接受各种风险因子的输入值，并且输出用户安全评级的语言值，所述语言值指明具体用户计算机的安全风险。

接着，安全评级模块640将所计算的安全评级传递至安全设置模块650，该模块将数值或语言安全评级重新转换为关于用户计算机105的实际安全设置。安全评级和安全设置之间的关系可通过依赖函数的任何方法加以设定：公式、图表、表格及其他。在一个示例性实施例中，可使用模糊逻辑基于输入的安全评级来选择适当的安全设置。例如，可使用模糊逻辑分析模块来确定是否需要禁用由用户的驱动器运行可执行文件。该模块可以是Mamdani模糊逻辑系统。输入的参数是由用户数据计算的安全评级。由于不可能仅存在唯一解决方案，因而会出现竞争——其中对于每个输入参数而言解决方案各异的情形。例如，关于由外部驱动器引致的用户PC感染的统计数据，用户属性具有绝对主导性(激发出无以言表的自信)。Mamdani算法有助于基于专家数据而为PC 105的反病毒应用程序和其他组件生成唯一的一组安全设置，包括校正因子、用户的排除和分组。

最后，关于保护代理程序(例如，反病毒应用程序)的所选安全设置被传递至远程管理模块660，这些安全设置包括计算机的安全策略、软件使用和安装限制、网络访问设置、计算机使用限制、用户培训材料和管理通知，模块660被配置为识别并建立与用户PC 105上部署的保护代理程序的连接，并将适当的安全设置230传输至适当的保护代理程序。

图7中示出了用于减小计算机安全风险的方法的一个示例性实施例。过程启动不影响技术结果并且既可以周期性地也可以基于事件来执行，例如通过用户命令或在检测到IS威胁时。在步骤700，管理服务器从用户PC和本地数据库中收集事件日志、系统日志、用户简档、事故信息和其他数据。在步骤710对所收集的数据进行处理以确定风险因子的值。分析的过程包括针对每个数据类型的拣选、计数和数字数据的相互关联。该过程得到风险因子的一组数值{X1，X2，X3...}。在步骤720，基于所确定的风险因子计算/调整用户PC的安全评级。评级为反映与用户PC操作有关的IS风险的数值或语言值。可能的安全评级的数量不受限制，因此属性、变量和评级计算函数的数量可以任意大。PC安全性所依赖的主要属性为从PC中收集的用户个人信息、PC使用信息、用户通信信息和事故信息。该列表不受限制；也可以包括外部因素，例如，如果PC是便携式的，则还可包括当前病毒蔓延或PC的地理位置。PC的设置730基于所计算的评级，包括PC的安全特征(security feature)。在ECN内应用这些设置。评级预先设定了确定安全PC操作的可允许范围的关键级别。在一个示例性实施例中，如上所述，所表现出的安全评级范围可依赖于用户在公司内的职位(即，职业)。如果评级超过裕量设定，则在步骤750，系统产生警告760，伴随以声音、文本或图形信息，藉此通知ECN管理员需要预防措施770。除PC中的严格设置以外，预防措施可以包括培训程序、惩罚体制、对PC访问模式的强化以及其他处罚。如果在采取管理措施之后或者在引入必要的PC设置之后评级未达到其关键级别，则在步骤780结束循环。

作为规则，特定的保护模块或者至少一个PC参数或安全策略规则负责对用户PC应用新的安全设置。例如，在PC 105上部署的反病毒应用程序的各种组件(例如，脚本仿真器、防火墙、浏览器虚拟化、URL黑名单及其他)可负责控制用户的因特网浏览能力。具体而言，软件和硬件安装以及外部驱动器的使用受安全策略控制并且受用户权限(例如，管理员权限、用户权限、访客权限及其他)限制。安全策略可由PC操作系统和反病毒应用程序一起实施。PC中的设置可从管理服务器远程设定。

在一个示例性实施例中，可用语言变量来定义用户安全评级：非常低(VL)、低(L)、平均水平以下(BA)、平均水平(A)、平均水平以上(AA)、高(H)、非常高(VH)。可以存在多于7个的变量，并且计算准确度取决于变量的数量。确切地说，此评估被应用于模糊匹配方法(例如，Mamdani算法)中。表1示出了风险因子、其根据从用户简档以及从PC(由检测代理程序)获得的数据的值以及关联用户的安全评级。以属性(个人属性、通信流等)为基础对下表中的所有风险因子进行划分。每个参数均接受模糊化处理，即被转变成模糊变量(语言变量)。将模糊变量的级别存储在专家数据库中；由IS专家设定并且以用户组的统计数据为基础计算这些模糊变量；接着对这些模糊变量进行更新，然后通过与属性值相比较，作为结果，确定相应的级别。例如，对于“年龄”属性，级别可以如下细分：20岁以下以及50岁以上，安全评级为“高”；20到25岁之间以及40到50岁之间，安全评级为“平均水平”；25到40岁之间，安全评级别“低”。

表1

表1示出了关于最后的Xt和之前的Xt-1操作周期的用户安全评级，用于减小ECN中的安全风险。安全评级随时间的改变可以用于确定对安全设置的改变是否必要。评级历史的大小可以各异，并且数据可被存储数小时至数年范围内的一段时间。

为了计算用户安全评级，安全评级模块640可使用表1中风险因子的值。在模块640中实施的规则以偶然性为基础：

如果{参数值＝“X1”}，则{风险值＝“Y1”}条件在此为属性值。用于评估PC通信量限制要求的规则的样例如下：

如果{“未经授权的网址浏览程度”＝“低”}则“通信量限制要求”＝“低”}

如果{“未经授权的网址浏览程度”＝“中”}则“通信量限制要求”＝“中”}

如果{“未经授权的网址浏览程度”＝“高”}则“通信量限制要求”＝“中”}

如果{“经过授权的网址浏览程度”＝“低”}则“通信量限制要求”＝“高”}

如果{“经过授权的网址浏览程度”＝“中”}则“通信量限制要求”＝“中”}

如果{“经过授权的网址浏览程度”＝“高”}则“通信量限制要求”＝“低”}。

该模型可具有两个输入“经过授权的网址浏览程度”和“未经授权的网址浏览程度”以及一个输出“通信量限制要求”。

这些规则可基于用户安全评级的值而不基于参数的值：

如果{“因特网使用风险评级”＝“高”}，则{“通信量限制要求”＝“高”}

在此情况下，因为需要为每一个参数创建规则，并且单个规则覆盖一组上面列出的相关参数，所以规则的数量将明显减少。

每个规则均具有准许避免规则冲突的一定权重系数。在确定通信量限制级别之后，可以基于下面表2中示出的依赖关系设定来选择安全设置。

表2

所要求的通信量限制	防火墙设置
		低	启用输入通信量检查
中	启用输入和输出通信量检查
		高	启用输入和输出通信量检查并禁用对未经授权网址的访问

接着，将安全设置发送至用户计算机。ECN设置的进程依赖于安装在用户PC上的安全组件工具箱。通过使用已知的网络管理方法来执行该进程。

图8示出了计算机系统5例如用户PC 105或管理服务器110的一个示例性实施例。如图所示，计算机系统5包括通过系统总线10连接的一个或多个处理器15、存储器20、一个或多个硬盘驱动器30、光盘驱动器35、串行端口40、图形卡45、声卡50和网卡55。系统总线10可以是若干种总线结构中的任何一种，包括使用多种已知总线架构中的任何一种的存储器总线或存储器控制器、外设总线和本地总线。处理器15可包括一个或多个Core 2 Quad 2.33GHz处理器或其他类型的微处理器。

系统存储器20可包括只读存储器(ROM)21和随机存取存储器(RAM)23。存储器20可被实现为DRAM(动态RAM)、EPROM、EEPROM、闪存或其他类型的存储器架构。ROM 21存储基本输入/输出系统22(BIOS)，包含帮助在计算机系统5的组件之间传递信息的基本例程，例如启动过程。RAM 23存储有操作系统24(OS)，例如或者其他类型的OS，其负责计算机系统5中进程的管理和协调以及硬件资源的分配和共享。系统存储器20还存储应用程序和程序25，例如服务306。系统存储器20还存储程序25所使用的各种运行时间数据26。

计算机系统5可进一步包括硬盘驱动器30，例如SATA硬磁盘驱动器(HDD)，以及用于对可移除光盘进行读写的光盘驱动器35，例如CD-ROM、DVD-ROM或其他光学介质。驱动器30和35及其关联的计算机可读介质为实现这里所公开的算法和方法的计算机可读指令、数据结构、应用程序和程序模块/子例程提供非易失性存储器。虽然示例性计算机系统5使用磁盘和光盘，但本领域技术人员应予以了解，在计算机系统的替代实施例中，还可以使用能够对可由计算机系统5存取的数据加以存储的其他类型的计算机可读介质，例如磁带、闪存卡、数字视频光盘、RAM、ROM、EPROM以及其他类型的存储器。

计算机系统5进一步包括多个串行端口40，例如通用串行总线(USB)，用于连接诸如键盘、鼠标、触摸板等数据输入设备75。串行端口40还可用于连接诸如打印机、扫描仪等数据输出设备80以及诸如外部数据存储设备等其他外围设备85。计算机系统5还可包括图形卡45，例如 GT 240M或其他视频卡，用于与监视器60或其他视频再现设备接口。系统5还可包括声卡50，用于经由内部或外部扬声器65再现声音。此外，系统5还可包括网卡55，例如以太网、WiFi、GSM、蓝牙或用于将计算机系统5连接到如因特网的网络70的其他有线、无线或蜂窝网络接口。

在各种实施例中，这里所描述的算法和方法可以实现于硬件、软件、固件或其任一组合中。如果实施于软件中，则功能可以作为非暂时性计算机可读介质上的一个或多个指令或代码来进行存储。计算机可读介质既包括计算机存储介质也包括通信介质，所述通信介质包括便于将计算机程序从第一个地方传送到另一个地方的任一介质。存储介质可以是可由计算机存取的任何可获得的介质。作为示例而非限制，这类计算机可读介质可以包括RAM、ROM、EEPROM、CD-ROM或其他光盘存储器、磁盘存储器或其他磁性存储设备、或者可用于容纳或存储所需程序代码的任一其他介质，这些程序代码为指令或数据结构的形式且可由计算机存取。此外，可以将任何连接定义为计算机可读介质。例如，如果利用同轴电缆、光纤电缆、双绞线、数字用户线(DSL)或诸如红外、射频和微波这类无线技术从网站、服务器或其他远程信源(source)发送软件，则其都被涵盖在介质的定义内。

为了清楚起见，这里所描述的实施方式的常规特征并未全部示出和描述。应予以认识的是，在任何这类实际的实施方式的开发中，为了达到开发者的特定目标例如符合与应用程序相关的制约，必须做出大量特定的实施方式决策，以及这些特定目标将根据不同的实施方式和不同的开发者而改变。而且，应予认识到的是，这类开发工作可能是复杂和耗时的，但不论如何，对于受益于本申请的本领域一般技术人员而言，都将是常规的工程任务。

此外，要理解的是，这里所使用的措辞或术语仅为了说明而非限制，这样，本说明书的术语或措辞将由本领域技术人员鉴于这里所给出的教导并结合相关领域的技术人员的知识予以解释。而且，除非如此明确地予以阐述，否则说明书或权利要求书中的任何术语都并非意图表示不常见的或特殊的意思。

这里所披露的各种实施例囊括了本申请中用于说明而涉及的已知构成要素的现在和将来的已知等同物。此外，虽然已经示出和描述了这些实施例及应用，但对于受益于本申请的本领域技术人员而言显而易见的是，在不脱离本申请中所披露的发明构思的情况下，比上面提及的更多的修改例都是可能的。

Claims (12)

1.一种用于减小计算机网络中的安全风险的由计算机实施的方法，所述方法包括： 

从所述网络中的多个计算机中，收集关于计算机使用、安全性事故和计算机用户之间的通信的信息； 

针对每个计算机用户检索用户简档，所述用户简档至少包括用户的个人信息和职业信息以及与用户相关联的多个风险因子； 

针对每个计算机用户，基于从每个用户的计算机中收集的所述计算机使用信息，来计算所述用户简档中的所述多个风险因子的值； 

针对每个计算机用户，基于所述用户简档中的多个风险因子中的一个或多个风险因子的值，来计算用户安全评级； 

基于下列各项来调整至少一个计算机用户的安全评级：(i)所述至少一个计算机用户的所述个人信息或职业信息，和(ii)通信流事件和社交通信，其中所述通信流事件由所述至少一个计算机用户的单个数据存储介质的常见使用、所述至少一个计算机用户的所述计算机网络内的数据传输或所述至少一个计算机用户与至少一个其他计算机用户之间的消息传递来确定，并且其中所述社交通信包括所述至少一个计算机用户与所述至少一个其他计算机用户之间高概率的通信流，和所述至少一个其他计算机用户的安全评级；以及 

基于所述计算机的用户的所述安全评级，来为所述多个计算机选择安全设置，从而减小所述计算机网络中的安全风险。 

2.根据权利要求1所述的方法，其中，计算用户安全评级包括： 

对所述用户简档中的一个或多个风险因子的值运用模糊逻辑规则。 

3.根据权利要求1所述的方法，其中，基于所述至少一个用户的个人信息来调整所述至少一个计算机用户的安全级别包括： 

基于所述至少一个计算机用户的年龄和性别中的一个或多个，来调整所述至少一个计算机的安全评级。 

4.根据权利要求1所述的方法，其中，基于所述至少一个用户的职业信息来调整所述至少一个计算机用户的安全评级包括： 

基于所述至少一个计算机用户的工作职位、工作经验和教育程度中的一个或多个，来调整所述至少一个计算机用户的安全评级。 

5.根据权利要求1所述的方法，进一步包括： 

基于与所述至少一个计算机用户的计算机上的安全性事故相关的信息，来调整所述至少一个计算机用户的所述用户安全评级。 

6.根据权利要求5所述的方法，其中，与安全性事故相关的所述信息包括： 

事故类型、事故源、事故时间和事故之前的用户活动。 

7.一种用于减小计算机网络中的安全风险的系统，包括： 

存储器，所述存储器被配置为存储关于多个计算机用户的多个用户简档，每个用户简档至少包括计算机用户的个人信息和职业信息以及与所述计算机用户相关联的多个风险因子； 

处理器，所述处理器耦接至所述存储器，并且被配置为： 

从所述网络中的多个计算机，接收关于计算机使用、安全性事故和计算机用户之间的通信的信息； 

针对每个计算机用户，从所述存储器检索用户简档； 

针对每个计算机用户，基于从每个用户的计算机接收的所述计算机使用信息，来计算所述用户简档中的所述多个风险因子的值； 

针对每个计算机用户，基于所述用户简档中所述多个风险因子中的一个或多个风险因子的值，来计算用户安全评级； 

基于下列各项调整至少一个计算机用户的安全评级：(i)所述至少一个计算机用户的所述个人信息或职业信息，和(ii)通信流事件和社交通信，其中所述通信流事件由所述至少一个计算机用户的单个数据存储介质的常见使用、所述至少一个计算机用户的所述计算机网络内的数据传输或所述至少一个计算机用户与至少一个其他计算机用户之间的消息传递来确定，并且其中所述社交通信包括所述至少一个计算机用户与所述至少一个其他计算机用户之间高概率的通信流，和所述至少一个其他计算机用户的安全评 级；以及 

基于所述计算机的用户的所述安全评级，来为所述多个计算机选择安全设置，从而减小所述计算机网络中的安全风险。 

8.根据权利要求7所述的系统，其中，为了计算用户安全评级，所述处理器进一步被配置为：对所述用户简档中的一个或多个风险因子的值运用模糊逻辑规则。 

9.根据权利要求7所述的系统，其中，为了基于所述至少一个用户的所述个人信息来调整所述至少一个计算机用户的安全评级，所述处理器进一步被配置为：基于所述至少一个计算机用户的年龄和性别中的一个或多个来调整所述至少一个计算机用户的所述安全评级。 

10.根据权利要求7所述的系统，其中，为了基于所述至少一个用户的所述职业信息来调整所述至少一个计算机用户的所述安全评级，所述处理器进一步被配置为：基于所述至少一个计算机用户的工作职位、工作经验和教育程度中的一个或多个，来调整所述至少一个计算机用户的安全评级。 

11.根据权利要求7所述的系统，其中，所述处理器进一步被配置为：基于与所述至少一个计算机用户的计算机上的安全性事故相关的信息，来调整所述至少一个计算机用户的所述用户安全级别。 

12.根据权利要求11所述的系统，其中，与安全性事故相关的所述信息包括：事故类型、事故源、事故时间和事故之前的用户活动。