CN103262024B - 用于强制应用将数据存储在安全的存储位置中的方法和系统 - Google Patents

Abstract

本申请针对用于将由可信应用发出的写请求重定向到安全的存储装置的方法和系统。当重定向写请求时，可将在那些请求中包含的数据存储在客户计算机的安全的存储区域中。在一些实施例中，所述方法和系统可包括确定发出所述请求的应用是否是要求将数据存储在安全的存储库中的可信应用。当做出该确定时，过滤驱动器可识别客户计算机上的安全的存储区域并且可将所述写请求重定向到这个安全的存储装置。在其他实施例中，所述过滤驱动器可拒绝可信应用向不安全的存储区域进行写入的请求。

Description

用于强制应用将数据存储在安全的存储位置中的方法和系统

相关申请

本申请要求2010年5月9日提交的、名称为“Methods and Systems for Forcing an Application to Store Data in a Secure Storage Location”的美国临时专利申请No.61/332797的优先权和权益，其内容通过引用被全部包含于此。

技术领域

本文描述的方法和系统总的涉及强制执行公司安全策略。该方法和系统尤其涉及在端装置上创建可信的存储库，并且通过将信息存储在可信的存储库中来保护应用信息和用户数据的机密性。

背景技术

允许工作伙伴将他们的个人便携式电脑或计算机带入工作且将该便携式电脑用作他们的公司计算机已受到很多公司的欢迎。在很多情况下，这些程序允许雇员使用他们的个人计算机代替公司机器。尽管该程序具有许多优点，然而让雇员将他们的个人计算机用于与工作相关的计算的其中一个很大缺陷在于雇员经常将敏感的公司文档和应用信息存储在他们的通常来说不安全的个人计算机上。个人便携式电脑上的盘空间通常是不受管理的，并且当用户没有登入公司网时难以强制执行安全策略。因而，需要系统和方法保护在用户计算装置上的公司信息的机密性，并且强制执行策略来保护该公司信息的机密性。

发明内容

描述了用于通过将由可信应用发出的写请求重定向到安全存储装置来强制应用将应用和用户数据存储在安全存储区域中的方法和系统的实施例。当重定向写请求时，可将在那些请求中包含的数据存储在客户计算机的安全存储区域中。在一些实施例中，所述方法和系统可包括确定发出请求的应用是否是要求将数据存储在安全存储库中的可信应用。当做出这种确定时，过滤驱动器可识别客户计算机上的安全存储区域并且可将所述写请求重定向到这个安全存储装置而无需对应用执行任何修改。因此，将写请求透明地重定向到安全的存储装置强制用户将应用和用户数据存储在安全的存储区域中，从而强制执行要求将特定应用存储在安全的存储区域中的安全策略。

在一个方面，本申请针对一种用于强制应用将数据存储在安全的存储位置中的方法。所述方法包括通过由第一计算装置执行的策略引擎将由第一计算装置执行的第一应用标识为可信应用。所述方法还包括由文件系统过滤驱动器拦截向不安全的存储位置写入第一组数据的、所述第一应用的第一请求。所述方法进一步包括响应于将所述第一应用标识为可信应用，由所述文件系统过滤驱动器将所拦截的第一请求重定向到安全的存储位置。所述方法还包括由所述第一计算装置将所述第一组数据写入所述安全的存储位置。

在一些实施例中，所述方法包括由所述文件系统过滤驱动器拦截从不安全的存储位置读文件的所述第一应用的第二请求，并且响应于将所述第一应用标识为可信应用，由所述文件系统过滤驱动器向所述第一应用提供对该文件的只读访问。在另一个实施例中，所述方法包括在安全的存储位置加密所述第一组数据。

在一个实施例中，所述方法包括由所述文件系统过滤驱动器拦截向不安全的存储位置写入第二组数据的所述第一应用的第二请求。所述方法还包括响应于将所述第一应用标识为可信应用，由所述策略引擎确定由第一计算装置执行的第一应用传送客户端在预定的时间段内还没有与由第二计算装置执行的集中管理服务通信。所述方法进一步包括由所述文件系统过滤驱动器响应于该确定拒绝向所述不安全的存储位置写入所述第二组数据的所述第二请求。

在另一个实施例中，所述方法包括由所述策略引擎将由所述第一计算装置执行的第二应用标识为不可信应用。所述方法还包括由文件系统过滤驱动器拦截向不安全的存储位置写入第三组数据的所述第二应用的第三请求。所述方法还包括响应于将所述第二应用标识为不可信应用，由所述文件系统过滤驱动器指示所述第一计算装置将所述第三组数据写入不安全的存储位置。

在一些实施例中，所述第一应用是显示由第二计算装置执行的第二应用的图形输出数据的客户机代理，所述图形输出数据经由远程桌面协议被传送给所述第一计算装置。在其他实施例中，所述方法包括对第一应用的用户的用户证书应用策略。在其他实施例中，所述方法包括从第二计算装置接收由管理员标识为可信的预定应用的列表。在其他实施例中，第一应用是从第二计算装置流式传输的，并且所述方法包括确定所述第一应用是流式应用。

在一个实施例中，所述方法包括由所述文件系统过滤驱动器拦截从安全的存储位置读第一组数据的第二应用的第四请求。所述方法还包括由所述策略引擎将所述第二应用标识为不可信应用。所述方法进一步包括响应于将所述第二应用标识为不可信应用，由所述文件系统过滤驱动器拒绝从所述安全的存储位置读所述第一组数据的第四请求。

在另一个方面，本申请针对一种用于强制应用将数据存储在安全的存储位置中的系统。所述系统包括第一计算装置，该第一计算装置包括不安全的存储位置、安全的存储位置和处理器，该处理器被配置为执行第一应用、策略引擎和文件系统过滤驱动器。所述策略引擎被配置为将所述第一应用标识为可信应用。所述文件系统过滤驱动器被配置用于拦截向不安全的存储位置写入第一组数据的所述第一应用的第一请求、响应于将第一应用标识为可信应用将所拦截的第一请求重定向到安全的存储位置，并且将所述第一组数据写入该安全的存储位置。

在所述系统的一个实施例中，所述文件系统过滤驱动器被配置用于拦截从不安全的存储位置读文件的所述第一应用的第二请求；以及响应于将所述第一应用标识为可信应用，向所述第一应用提供对所述文件的只读访问。在另一个实施例中，将所述第一组数据写入所述安全的存储位置还包括在所述安全的存储位置加密所述第一组数据。

在所述系统的一些实施例中，所述第一计算装置被进一步配置为执行第一应用传送客户端。所述策略引擎被进一步配置为响应于将所述第一应用标识为可信应用，确定由所述第一计算装置执行的第一应用传送客户端在预定的时间段内还没有与由第二计算装置执行的第二应用传送客户端通信。所述文件系统过滤驱动器被进一步配置为拦截向不安全的存储位置写入第二组数据的所述第一应用的第二请求，并且响应于该确定拒绝向不安全的存储位置写入第二组数据的第二请求。

在所述系统的其他实施例中，所述第一计算装置被进一步配置为执行第二应用。所述策略引擎被进一步配置为将所述第二应用标识为不可信应用。所述文件系统过滤驱动器被进一步配置为拦截向不安全的存储位置写入第三组数据的所述第二应用的第三请求，并且将第三组数据写入不安全的存储位置。在进一步的实施例中，所述文件系统过滤驱动器被进一步配置为响应于将所述第二应用标识为不可信应用，指示所述第一计算装置将所述第三组数据写入所述不安全的存储位置。

在所述系统的一些实施例中，所述第一应用是显示由第二计算装置执行的第二应用的图形输出数据的客户机代理，所述图形输出数据经由远程桌面协议被传送给所述第一计算装置。在所述系统的其他实施例中，将第一应用标识为可信应用包括对所述第一应用的用户的用户证书应用策略。在所述系统的其他实施例中，所述策略引擎从第二计算装置接收由管理员标识为可信的预定应用的列表。

在一个实施例中，所述第一应用是从第二计算装置流式传输的，并且将所述第一应用标识为可信应用包括确定所述第一应用是流式应用。在另一个实施例中，所述第一计算装置的处理器被进一步配置为执行第二应用。所述策略引擎被进一步配置为将所述第二应用标识为不可信应用。所述文件系统过滤驱动器被进一步配置为拦截从安全的存储位置读第一组数据的所述第二应用的第四请求，并且响应将所述第二应用标识为不可信应用，拒绝从安全的存储位置读第一组数据的第四请求。在其他实施例中，所述文件系统过滤驱动器被配置为拦截向不安全的存储位置进行写入的第一应用的请求，并且拒绝该请求。拒绝该请求可包括向第一计算装置的用户显示指示对该不安全的存储位置的访问被拒绝的警告消息。

在附图和下文的描述中将详细阐述本发明的各种实施例的细节。

附图说明

通过参考下述结合附图的描述，本发明的前述和其它目的、方面、特征和优点将会更加明显并更易于理解，其中：

图1A是示出具有与服务器通信的客户机器的远程访问、网络化环境的实施例的框图；

图1B和1C是示出用于实施本文描述的方法和系统的计算机器的实施例的框图；

图2是示出用于将安全的应用信息保存在加密的盘空间中的系统的实施例的框图；

图3A是示出用于将安全的应用信息保存在加密的盘空间中的方法的实施例的流程图；以及

图3B是示出用于将安全的应用信息保存在加密的盘空间中的方法的实施例的另一个流程图。

从下面结合附图所阐述的详细描述，本发明的特征和优点将更明显，其中，同样的参考标记在全文中标识相应的元素。在附图中，同样的附图标记通常表示相同的、功能上相似的和/或结构上相似的元素。

具体实施方式

图1A示出了计算环境101的一个实施例，所述计算环境101包括与一个或者多个服务器106A-106N（本文统称为“服务器106”）通信的一个或者多个客户机器102A-102N（本文统称为“客户机器102”）。在客户机器102和服务器106之间安装的是网络。

在一个实施例中，计算环境101可包括在服务器106和客户机器102之间安装的设备。这个设备可以管理客户机/服务器连接，并且在一些情况下能够在多个后端服务器之间负载平衡客户机连接。

在一些实施例中，客户机器102可以被称为单个客户机器102或单组客户机器102，而服务器106可以被称为单个服务器106或单组服务器106。在一个实施例中，单个客户机器102与不只一个服务器106通信，而在又一个实施例中，单个服务器106与不只一个客户机器102通信。在又一个实施例中，单个客户机器102与单个服务器106通信。

在一些实施例中，客户机器102可以通过下列术语的任何一个而被引用：客户机器102、客户机、客户计算机、客户装置、客户计算装置、本地机器、远程机器、客户机节点、端点、端节点或第二机器。在一些实施例中，服务器106可以通过下列术语的任何一个而被引用：服务器、本地机器、远程机器、服务器群、主机计算装置或第一机器。

在一个实施例中，客户机器102可以是虚拟机102C。尽管在一些实施例中该虚拟机102C可以是由XenSolutions、Citrix Systems、IBM、VMware公司开发的管理程序或任何其他管理程序管理的任一虚拟机，但该虚拟机102C可以是任何虚拟机。在其他实施例中，虚拟机102C可以被任何管理程序管理，而仍在其他实施例中，虚拟机102C可以被在服务器106上执行的管理程序或在客户机102上执行的管理程序管理。

在一些实施例中，客户机器102可以执行、操作或者以其它方式提供应用，所述应用可为下列的任何一个：软件、程序、可执行指令，虚拟机、管理程序、web浏览器、基于web的客户端、客户端－服务器应用、瘦客户端计算客户机、ActiveX控件、Java小应用程序、与例如软IP电话的互联网协议电话（VoIP）通信相关的软件，用于流式传输视频和/或音频的应用、用于促进实时数据通信的应用、HTTP客户端、FTP客户端、Oscar客户端、Telnet客户端或任何其他可执行指令集。其他实施例包括显示由在服务器106或其他位于远程的机器上远程地执行的应用产生的应用输出的客户装置102。在这些实施例中，客户装置102可在应用窗口、浏览器或其他输出窗口中显示应用输出。在一个实施例中，该应用是桌面，而在其他实施例中，该应用是产生桌面的应用。

在一些实施例中，服务器106执行远程表示客户端或其他客户端或程序，所述远程表示客户端或其他客户端或程序使用瘦客户端或远程显示协议来捕获由在服务器106上执行的应用产生的显示输出并且将该应用显示输出传输到远程客户机102。瘦客户端或远程显示协议可以是下列协议的任何一个：由位于美国佛罗里达州Ft.Lauderdale的Citrix Systems有限公司出品的独立计算架构（ICA）协议；或者由位于美国华盛顿州Redmond的微软公司出品的远程桌面协议（RDP）。

计算环境可以包括不只一个服务器106A-106N，使得服务器106A-106N被一起逻辑分组到服务器群106中。服务器群106可包括地理上分散但逻辑上被一起分组到服务器群106中的服务器106，或者互相位置接近且逻辑上被一起分组到服务器群106中的服务器。在一些实施例中，在服务器群106中地理上分散的服务器106A-106N使用WAN、MAN或LAN通信，其中不同的地理区域可以被表征为：不同的大陆、大陆的不同区域、不同的国家、不同的州、不同的城市、不同的校园、不同的房间、或前述地理位置的任何组合。在一些实施例中，服务器群106可以作为单个实体被管理，而在其他实施例中，服务器群106可包括多个服务器群106。

在一些实施例中，服务器群106可包括执行大体上相似类型的操作系统平台（例如，由美国华盛顿州Redmond的Microsoft公司出品的WINDOWS NT、UNIX、LINUX或SNOW LEOPARD）的服务器106。在其他实施例中，服务器群106可包括执行第一类型的操作系统平台的第一组服务器106，和执行第二类型的操作系统平台的第二组服务器106。在其他实施例中，服务器群106可包括执行不同类型的操作系统平台的服务器106。

在一些实施例中，服务器106可以是任何服务器类型。在其他实施例中，服务器106可以是任何下列服务器类型：文件服务器、应用服务器、web服务器、代理服务器、设备、网络设备、网关、应用网关、网关服务器、虚拟化服务器、部署服务器、SSL VPN服务器、防火墙、web服务器、应用服务器或者作为主应用服务器、执行活动目录的服务器106、或执行提供防火墙功能、应用功能，或负载平衡功能的应用加速程序的服务器106。在一些实施例中，服务器106可以是包括远程认证拨入用户服务的RADIUS服务器。在服务器106包括设备的实施例中，服务器106可以是由任何一个下列制造商制造的设备：Citrix应用网络组、Silver Peak Systems有限公司、Riverbed Technology有限公司、F5Networks有限公司或Juniper Networks有限公司。一些实施例包括第一服务器106A，其接收来自客户机器102的请求，将该请求转发到第二服务器106B，并且用来自第二服务器106B的响应对由客户机器102产生的请求进行响应。第一服务器106A可以获取对客户机器102可用的应用的列举以及与寄载该应用列举中识别的应用的应用服务器106关联的地址信息。第一服务器106A接着可以使用web接口来呈现对该客户机的请求的响应，并且可以直接与客户机102通信以向客户机102提供对所识别的应用的访问。

在一些实施例中，服务器106可以执行下列应用的任何一个：使用瘦客户端协议传输应用显示数据到客户机的瘦客户端应用、远程显示表示应用、Citrix Systems有限公司的CITRIX ACCESS SUITE的任一部分（例如METAFRAME或CITRIX PRESENTATION SERVER），由微软公司出品的MICROSOFTWINDOWS终端服务、或由Citrix Systems有限公司开发的ICA客户端。又一个实施例包括为应用服务器的服务器106，例如：提供诸如由微软公司制造的MICROSOFT EXCHANGE的电子邮件服务的邮件服务器、web或Internet服务器、桌面共享服务器、协同服务器或任何其他类型的应用服务器。其他实施例包括执行任何一种下列类型的所寄载的服务器应用的服务器106：由Citrix Online Division有限公司提供的GOTOMEETING，由位于美国加利福尼亚州Santa Clara的WebEx有限公司提供的WEBEX，或者由微软公司提供的Microsoft Office LIVE MEETING。

在一些实施例中，客户机器102可以是寻求访问由服务器106所提供资源的客户机节点。在其他实施例中，服务器106可向客户机102或客户机节点提供对所寄载的资源的访问。在一些实施例中，服务器106充当主节点，从而它与一个或多个客户机102或服务器106通信。在一些实施例中，该主节点可以识别并向一个或多个客户机102或服务器106提供与寄载所请求的应用的服务器106关联的地址信息。在其他实施例中，主节点可以是服务器群106、客户机102、客户机节点102的集群或设备。

一个或多个客户机102和/或一个或多个服务器106可以通过在计算环境101中的机器和设备之间安装的网络104传输数据。网络104可以包括一个或多个子网，并且可以被安装在计算环境101中所包含的客户机102、服务器106、计算机器和设备的任何组合之间。在一些实施例中，网络104可以是：局域网（LAN）、城域网（MAN）、广域网（WAN）、由位于客户机器102和服务器106之间的多个子网104构成的专用网104、具有专用子网104的主公网104、具有公共子网104的主专用网104或者具有专用子网104的主专用网104。另外的实施例包括可以为任何下列网络类型的网络104：点对点网络、广播网络、电信网络、数据通信网络、计算机网络、ATM（异步传输模式）网络、SONET（同步光纤网络）网络、SDH（同步数字体系）网络、无线网络、有线网络或者包括无线链路的网络104（其中无线链路可以是红外信道或者卫星频带）。网络104的网络拓扑在不同的实施例中存在差异，可能的网络拓扑包括：总线型网络拓扑、星型网络拓扑、环型网络拓扑、基于中继器的网络拓扑或者分层-星型网络拓扑。其他实施例可包括由移动电话网络组成的网络104，所述移动电话网络使用协议在移动装置间通信，这些协议可以是下列的任何一个：AMPS、TDMA、CDMA、GSM、GPRS UMTS或能够在移动装置之间传输数据的任何其他协议。

图1B所示的是计算装置100的实施例，其中图1A示出的客户机器102和服务器106可以被部署为本文示出和描述的计算装置100的任一实施例和/或在其上执行。计算装置100中包括与下列组件通信的系统总线150：中央处理单元121、主存储器122、存储装置128、输入/输出（I/O）控制器123、显示装置124A-124N、安装装置116和网络接口118。在一个实施例中，存储装置128包括：操作系统、软件例程和客户机代理120。在一些实施例中，I/O控制器123还连接到键盘126和指示装置127。其他实施例可包括连接不只一个输入/输出装置130A－130N的I/O控制器123。

图1C所示的是计算装置100的一个实施例，其中图1A示出的客户机器102和服务器106可以被部署为本文示出和描述的计算装置100的任一实施例和/或在其上执行。计算装置100中包括系统总线150，系统总线150与下列组件通信：桥170和第一I/O装置130A。在又一个实施例中，桥170还与主中央处理单元121通信，其中该中央处理单元121还与第二I/O装置130B、主存储器122和高速缓存存储器140通信。中央处理单元121内包括I/O端口、存储器端口103和主处理器。

计算机器100的实施例可包括由下列组件配置的任何一个表征的中央处理单元121：响应并处理从主存储器单元122取出的指令的逻辑电路；微处理器单元，例如：由Intel公司制造的微处理器单元、由Motorola公司制造的微处理器单元、由位于美国加利福尼亚州Santa Clara的Transmeta公司制造的微处理器单元；RS/6000处理器（例如由International BusinessMachines公司制造的那些处理器）;处理器，例如由Advanced Micro Devices公司制造的那些处理器；或者逻辑电路的任何其他组合。中央处理器单元122的其他实施例可包括下列的任何组合：微处理器、微控制器、具有单个处理核的中央处理单元、具有两个处理核的中央处理单元或者具有不只一个处理核的中央处理单元。

尽管图1C示出了包括单个中央处理单元121的计算装置100，但在一些实施例中，计算装置100可以包括一个或多个处理单元121。在这些实施例中，计算装置100可以存储和执行固件或其他可执行指令，当所述固件或其他可执行指令被执行时，指示一个或多个处理单元121同时执行指令或者对于单个数据片同时执行指令。在其他实施例中，计算装置100可以存储和执行固件或其他可执行指令，当所述固件或其他可执行指令被执行时，指示一个或多个处理单元121各自执行一组指令的一部分。例如，每个处理单元121可以被指示执行程序的一部分或者程序内的特定模块。

在一些实施例中，处理单元121可包括一个或多个处理核。例如，处理单元121可以具有两个核、四个核、八个核等。在一个实施例中，处理单元121可包括一个或多个并行处理核。在一些实施例中，处理单元121的处理核可访问作为全局地址空间的可用存储器，或者在其他实施例中，在计算装置100内的存储器可被分段并分配给处理单元121内的特定核。在一个实施例中，计算装置100中的一个或多个处理核或处理器可各自访问本地存储器。在又一个实施例中，计算装置100内的存储器可以在一个或多个处理器或处理核之间被共享，而其他处理器可以被特定的处理器或处理器子集访问。在计算装置100包括不只一个处理单元的实施例中，多个处理单元可以被包含在单个集成电路（IC）中。在一些实施例中，这些多个处理器可以通过内部高速总线连接在一起，可以将内部高速总线称为单元互连总线。

在计算装置100包括一个或多个处理单元121，或处理单元121包括一个或多个处理核的实施例中，处理器可以对多个数据片同时执行单个指令（SIMD），或者在其他实施例中，处理器可以对多个数据片同时执行多个指令（MIMD）。在一些实施例中，计算装置100可以包括任何数量的SIMD和MIMD处理器。

在一些实施例中，计算装置100可包括图形处理器或图形处理单元（未示出）。图形处理单元可包括软件和硬件的任何组合，并且还可以输入图形数据和图形指令、根据所输入的数据和指令来呈现图形、以及输出所呈现的图形。在一些实施例中，图形处理单元可以被包含在处理单元121之内。在其他实施例中，计算装置100可以包括一个或多个处理单元121，其中，至少一个处理单元121专用于处理和呈现图形。

计算机器100的一个实施例包括通过次级总线（也被称为后端总线）与高速缓存存储器140通信的中央处理单元121，而计算机器100的又一个实施例包括通过系统总线150与高速缓存存储器通信的中央处理单元121。在一些实施例中，中央处理单元也使用本地系统总线150来与不只一种类型的I/O装置130A-130N进行通信。在一些实施例中，本地系统总线150可以是下列任何一种类型的总线：VESA VL总线、ISA总线、EISA总线、微通道架构（MCA）总线、PCI总线、PCI-X总线、PCI-Express总线或NuBus。计算机器100的其他实施例包括的I/O装置130A-130N是与中央处理单元121通信的视频显示器124。计算机器100的其他版本包括经由下列连接的任何一个连接到I/O装置130A-130N的处理器121：HyperTransport、Rapid I/O或InfiniBand。计算机器100的另外的实施例包括使用本地互连总线与I/O装置130A通信且使用直接连接与I/O装置130B通信的处理器121。

在一些实施例中，计算装置100包括主存储器单元122和高速缓存存储器140。高速缓存存储器140可以是任何存储器类型，并且在一些实施例中可以是下列类型的存储器的任何一种：SRAM、BSRAM或EDRAM。其他实施例包括的高速缓存存储器140和主存储器单元122可以是下列类型的存储器的任何一种：静态随机存取存储器(SRAM)、突发SRAM或同步突发SRAM（BSRAM）、动态随机存取存储器（DRAM）、快速页模式DRAM（FPM DRAM）、增强DRAM（EDRAM）、扩展数据输出RAM（EDO RAM）、扩展数据输出DRAM（EDODRAM）、突发扩展数据输出DRAM（BEDO DRAM）、增强DRAM（EDRAM）、同步DRAM（SDRAM）、JEDEC SRAM、PC100 SDRAM、双倍数据速率SDRAM（DDR SDRAM）、增强SDRAM（ESDRAM）、同步链路DRAM（SLDRAM）、直接内存总线DRAM（DRDRAM）、铁电RAM（FRAM）或者任何其他类型的存储器。另外的实施例包括的中央处理单元121可以通过系统总线150、存储器端口103或允许处理器121访问存储器122的任何其他连接、总线或端口来访问主存储器122。

计算装置100的一个实施例支持下列安装装置116的任何一个：CD-ROM驱动器、CD-R/RW驱动器、DVD-ROM驱动器、各种格式的磁带驱动器、USB装置、可引导介质、可引导CD、诸如的用于分发GNU/Linux的可引导CD、硬盘驱动器或适于应用或软件的任意其它装置。在一些实施例中，应用可以包括客户机代理120或客户机代理120的任何部分。计算装置100还可以包括存储装置128，所述存储装置128可以是一个或者多个硬盘驱动器，或者一个或多个独立盘冗余阵列，其中该存储装置被配置为存储操作系统、软件、程序应用或者客户机代理120的至少一部分。计算装置100的另一个实施例包括用作存储装置128的安装装置116。

计算装置100还可以包括网络接口118以通过多种连接来与局域网（LAN）、广域网（WAN）或互联网对接，所述连接包括但不限于标准电话线路、LAN或WAN链路（例如802.11、T1、T3、56kb、X.25、SNA、DECNET）、宽带连接（如I SDN、帧中继、ATM、千兆以太网、基于SONET的以太网（Ethernet-over-SONET））、无线连接、或上述任意或全部的某种组合。可使用多种通信协议（例如TCP/IP、IPX、SPX、NetBIOS、Ethernet、ARCNET、SONET、SDH、光纤分布数据接口（FDDI）、RS232、RS485、IEEE802.11、IEEE802.11a、IEEE802.11b、IEEE802.11g、CDMA、GSM、WiMax和直接异步连接）来建立连接。一种版本的计算装置100包括的网络接口118能够通过任意类型和/或形式的网关或诸如安全套接字层（SSL）或传输层安全（TLS）,或由Citrix Systems有限公司制造的Citrix网关协议的隧道协议来与其他计算装置100’通信。网络接口118的版本可以包括下列的任何一个：内置网络适配器、网络接口卡、PCMCIA网络卡、卡总线网络适配器、无线网络适配器、USB网络适配器、调制解调器或适用于将计算装置100对接到能够通信并执行本文所述的方法和系统的网络的任意其它装置。

计算装置100的实施例包括下列I/O装置130A-130N中的任何一个：键盘126、指示装置127、鼠标、触控板、光笔、轨迹球、麦克风、绘图板、视频显示器、扬声器、喷墨打印机、激光打印机和热升华打印机，或者能执行本文所述的方法和系统的任何其他输入/输出装置。在一些实施例中，I/O控制器123可连接到多个I/O装置130A-130N以控制该一个或多个I/O装置。I/O装置130A-130N的一些实施例可以被配置为提供存储或安装介质116，而其他实施例可提供通用串行总线（USB）接口，用于接纳USB存储装置，例如由Twintech Industry有限公司制造的USB闪存驱动系列装置。其他实施例包括的I/O装置130可以是在系统总线150和外部通信总线之间的桥，所述外部通信总线例如：USB总线、Apple桌面总线、RS-232串行连接、SCSI总线、FireWire总线、FireWire800总线、以太网总线、AppleTalk总线、千兆位以太网总线、异步传输模式总线、HIPPI总线、超级HIPP I总线、SerialPlus总线、SCI/LAMP总线、光纤信道总线，或串行小型计算机系统接口总线。

在一些实施例中，计算机器100可以连接多个显示装置124A-124N，在其他实施例中，计算装置100可以连接单个显示装置124，而仍在其他实施例中，计算装置100连接相同的显示类型或形式的显示装置124A-124N，或者连接不同的类型或形式的显示装置124A-124N。显示装置124A-124N的实施例可以由下列来支持和使能：一个或多个I/O装置130A-130N、I/O控制器123、I/O装置130A-130N和I/O控制器123的组合、任何类型和/或形式的视频适配器、视频卡、驱动器和/或库，以与显示装置124A-124N对接、通信、连接或以其他方式使用显示装置124A-124N。在一些实施例中，计算装置100可以被配置为使用一个或多个显示装置124A-124N，这些配置包括：具有多个连接器以与多个显示装置124A-124N对接；具有多个视频适配器，每个视频适配器连接到一个或多个显示装置124A-124N；具有被配置成支持多个显示装置124A-124N的操作系统；使用在计算装置100内包含的电路和软件来连接并使用多个显示装置124A-124N；以及在主计算装置100和多个从计算装置上执行软件以使得主计算装置100能够使用从计算装置的显示器作为该主计算装置100的显示装置124A-124N。在计算装置100的其他实施例中包括由多个从计算装置提供的且经由网络连接到主计算装置100的多个显示装置124A-124N。

在一些实施例中，计算机器100可执行任何操作系统，而在其他实施例中，计算机器100可以执行任何下列操作系统：MICROSOFT WINDOWS操作系统的多个版本，例如WINDOWS 3.x、WINDOWS 95、WINDOWS 98、WINDOWS 2000、WINDOWS NT 3.51、WINDOWS NT 4.0、WINDOWS CE、WINDOWS XP和WINDOWS VISTA；不同发行版本的Unix和Linux操作系统；由苹果计算机公司出品的MAC OS的任意版本；由国际商业机器公司出品的OS/2；任意嵌入式操作系统；任意实时操作系统；任意开源操作系统；任意专有操作系统；用于移动计算装置的任意操作系统，或者任意其它操作系统。在又一个实施例中，计算机器100可以执行多个操作系统。例如，计算机器100可以执行PARALLELS或另一个虚拟化平台，所述PARALLELS或另一个虚拟化平台能执行或管理执行第一操作系统的虚拟机，而计算机器100执行不同于第一操作系统的第二操作系统。

计算机器100可以体现在下列计算装置的任何一个中：计算工作站、台式计算机、膝上型或笔记本电脑、服务器、掌上电脑、移动电话或便携电信装置、媒体播放装置、游戏系统、移动计算装置、上网本、由苹果计算机公司出品的I POD系列装置中的装置、由索尼公司出品的PLAYSTATION系列装置中的任何一个、由Nintendo有限公司出品的Nintendo系列装置中的任何一个、由微软公司出品的XBOX系列装置中的任何一个，或能够通信并有足够的处理器能力和存储容量以执行本文所述的方法和系统的任意其它类型和/或形式的计算、电信或者媒体装置。在其他实施例中，计算机器100可以是移动装置，例如下列移动装置中的任何一个：JAVA使能蜂窝电话或个人数字助理（PDA），诸如i55sr、i58sr、i85s、i88s、i90c、i95c1或im1100，以上这些均由摩托罗拉公司制造；由Kyocera公司制造的6035或7135；由Samsung电子有限公司制造的i300或i330；由Palm有限公司出品的TREO180、270、600、650、680、700p、700w或750智能电话；具有不同处理器、操作系统和符合该装置的输入装置的任何计算装置；或者能够执行本文所述的方法和系统的任何其他移动计算装置。在其他实施例中，计算装置100可以是下列移动计算装置中的任何一个：由Research In Motion有限公司制造的任一系列的黑莓（Blackberry）或其他手持装置、由苹果计算机公司制造的iPhone、由苹果计算机公司制造的iPad、Palm Pre、Pocket PC、Pocket PC电话，或任何其它手持移动装置。

图2示出了用于强制或要求可信的公司应用将它们的数据仅保存在指定的安全盘空间中的系统的一个实施例。在一些实施例中，该系统可包括通过网络104通信的客户计算机102和服务器106。客户机可以包括盘空间205，该盘空间205可进一步包括不安全的盘空间210和安全的盘空间215。文件系统过滤驱动器、应用传送客户端225和管理服务230可在该客户机上执行。所述服务器可执行一个或多个应用240A-240N（总的称为服务器应用242或应用240），并且还可执行应用传送服务器235。所述客户机可执行一个或多个应用242A-242N（总的称为客户机应用242或应用242），其可以是本地安装的应用或者是在附接到客户计算机102的存储装置中安装的应用。

继续参考图2且具体而言，在一个实施例中，该系统可包括客户计算机102和服务器106。客户计算机102可以是本文描述的任何计算装置100并且可以是本文描述的任何客户机102。同样地，服务器106可以是本文描述的任何计算装置100并且可以是本文描述的任何服务器106。在一些实施例中，服务器106可以是包括一个或多个服务器106的服务器群。客户机102和服务器106可通过诸如本文描述的任何网络104的网络104进行通信。

在一些实施例中，客户机102可执行一个或多个应用242A-242N（总的称为应用242）。在其他实施例中，服务器106可执行一个或多个应用240A-240N（总的称为应用240），可以通过应用传送客户端225和应用传送服务器235将该应用传递给客户机。在一些实施例中，在客户机102上执行的应用传送客户端225可以是能够从在服务器106上执行的服务器应用传送客户端235接收应用输出的应用、客户端或程序，该应用输出诸如是图形显示输出或其他数据输出。客户机102的应用传送客户端225可以接收应用输出并且在客户机102上的应用窗口中显示该应用输出。在一些实施例中，应用传送客户端225可促进客户机102和服务器106之间虚通道的创建，并且可以促进客户机102的应用传送系统和服务器106的应用传送系统之间的通信。客户计算机102的应用传送客户端225可以与服务器106的应用传送客户端235通信并且可以发送和接收文件访问请求。在一些实施例中，应用传送客户端225可以是由CITRIX SYSTEMS公司出品的ICA客户端。在其他实施例中，应用传送客户端225可被称为远程桌面客户端、桌面显示客户端或任何相似类型的客户端，并且可以通过诸如ICA或RDP的表示层协议与服务器106通信。

服务器106的应用传送服务器235可以在服务器106上执行并且可与在该服务器106上执行的应用240相接口。在一些实施例中，服务器应用传送服务器235可拦截、检索或接收由应用240生成的图形应用输出（例如，由应用240发出的绘制命令），并且可以将该应用输出和任何相关的图像数据一起转发到客户机102的应用传送客户端225，。客户计算机102的应用传送客户端225可使用所述应用输出和图像数据来重新绘制该应用，如同该应用会显示在服务器106的显示屏上一样。在一些实施例中，应用传送服务器235可以是由CITRIX SYSTEMS公司出品的ICA服务器。在一些实施例中，客户机102的应用传送客户端225可通过一个或多个虚通道以及一个或多个传输层连接与应用传送服务器235通信。

在其他的实施例中，应用传送客户端225和应用传送服务器235可包括用于从服务器106流式传输应用240使其在客户计算机102上执行的应用。在其他的实施例中，应用传送客户端225和应用传送服务器235可包括用于将应用下载到客户计算机102以在线或离线执行的应用、服务、代理或其他可执行代码。因此，在不脱离本申请的范围的情况下，应用可在服务器106处执行而其输出被传输到客户机102、可被流式传输用于由客户机102执行、可被下载到或以其他方式传送到客户机102用于本地执行，或者可被安装在客户机102上。

应用240和242（总的被称作服务器应用240或客户机应用242）可以是任何应用。在一些实施例中，应用240可包括本文所述的任何应用，或者任何其他应用。在一些实施例中，可以通过将应用输出传输到应用传送客户端235来将在服务器106上执行的应用240与应用传送服务器235相接口。在其他实施例中，如上所述，应用242可在客户机102上执行和/或可以被流式传输到客户机102用于由客户机102执行。

在一些实施例中，客户计算机102可包括盘空间205，所述盘空间205可以包含不安全的盘空间或不安全的存储位置210以及安全的盘空间或安全的存储位置215。尽管是在客户计算机102内示出盘空间205，但是盘空间205可以包括在客户计算机102中包含的物理盘、对于客户计算机102可用的外部物理盘（包括专用盘和网盘）以及对于客户计算机102可用的虚拟盘。尽管被称为盘，但在一些实施例中，盘空间205可包含闪存存储装置、磁存储装置、光存储装置、这些的任意组合或者任何其他类型和形式的存储装置。此外，尽管仅示出了一个不安全的存储位置210和一个安全的存储位置215，但在一些实施例中，可能存在多个不安全的和安全的存储位置。例如，为多家公司工作的用户可针对每个公司使用一个安全存储位置，从而将一个组织的保密数据与其他组织的数据保持隔离。在一个实施例中，不安全的盘空间210可包括由文件系统过滤驱动器220或管理服务230标识为不安全的存储装置的盘空间。在其他实施例中，不安全的盘空间210可被标记为不安全的存储装置。类似地，在一些实施例中，盘空间205可包括可被标记为安全的存储装置、或者可由文件系统过滤驱动器220或管理服务230标识为安全的存储装置的安全的盘空间215。

在一些实施例中，标记或以其他方式将盘空间205标识为不安全的210或安全的215可包括由文件系统过滤驱动器220、应用传送客户端225或管理服务230将盘空间205中的卷或驱动器识别为安全的或不安全的。例如，在一个实施例中，盘空间205可被划分为一个或多个驱动器。例如，在Windows操作系统环境下，盘空间205可被划分为不安全的A:\驱动器、第二不安全的C:\驱动器和安全的X:\驱动器。可使用其他驱动器符，并且在其他操作系统中，可采用其他的盘空间标识符。在一些实施例中，文件系统过滤驱动器220、应用传送客户端225或管理服务230可以在表、索引、数据库或列表中标识每个驱动器是安全的还是不安全的。例如，A:\和C:\驱动器可被标识为不安全的，而X:\驱动器可被标识为安全的。在其他实施例中，可根据驱动器的性质（property）、标识符、驱动器标识符中的预定位、标志，或者任何其他类型和形式的标识将驱动器或分区标识为安全的或不安全的。

在一个实施例中，在客户机102上安装的应用传送客户端225、管理服务230或未示出的其他客户机代理可将客户机102上可用的盘空间进行分区以创建安全的存储空间215和不安全的存储空间210。在其他实施例中，当启动时，应用传送客户端225、管理服务230或未示出的其他客户机代理可将客户机102上可用的盘空间进行分区以创建安全的存储空间215和不安全的存储空间210。在其他实施例中，应用传送客户端225、管理服务230或其他客户机代理可通过将一个存储器地址范围分配为安全的存储位置来创建安全的盘空间215。此外，尽管所讨论的是盘空间，但在一些实施例中，本文所述的系统和方法可应用于管理诸如RAM的存储器中的安全和不安全的位置。

在一些实施例中，文件系统过滤驱动器220可与应用传送客户端225或在客户机上执行的其他应用240交互，以拦截从客户计算机102上的本地存储装置读取信息或者向该本地存储装置写入信息的请求，并且根据本文所述的方法和系统来处理该请求。文件系统过滤驱动器220可与管理服务230和应用传送客户端225或其他应用240交互，来接收请求并且获得关于应该将安全的盘空间215提供给哪个应用以及将不安全的盘空间210提供给哪个应用的安全信息。在一个实施例中，文件系统过滤驱动器220可拦截请求、确定数据应该被存储到安全的盘空间215还是不安全的盘空间210，以及通过将信息存储到两个存储区域中的任何一个来处理该请求。例如，文件系统过滤驱动器220可拦截由在服务器106上执行的可信应用发出的、并且由应用传送客户端225或在客户机102上执行的可信应用远程呈现的请求。当确定了生成该请求的源应用是要求安全的存储装置的可信应用时，文件系统过滤驱动器220可将应用数据和其他信息存储在客户机102上的安全盘空间215中。在其他实施例中，文件系统过滤驱动器220可拦截由在服务器或客户机上执行的不可信应用发出的存储应用数据的请求。响应于该应用是不可信应用，文件系统过滤驱动器220可允许将数据存储在不安全的位置的请求，或者可以拒绝将数据存储在安全的位置的请求。在一些实施例中，文件系统过滤驱动器220可与流式应用、公司传送应用、由App-V传送的应用或其他类似应用直接进行交互。

在一些实施例中，管理服务230可以在客户机102上执行，并且与文件系统过滤驱动器220和应用传送客户端225相接口。在一些实施例中，管理服务230可包括应用、服务器、服务、守护进程、例程和其他可执行代码，并且可以在用户模式或内核模式下执行。在一些实施例中，管理服务230可充当策略引擎或包含策略引擎。管理服务器230或该管理服务器的策略引擎可以管理安全策略和确定哪些应用应该被标识为可信以及哪些应用应该被标识为不可信的其他管理策略。在一些实施例中，管理服务230可在应用传送客户端225中作为该应用传送客户端的策略引擎来执行，并且可以被用于确定是否要将由应用生成的数据重定向到安全的存储空间215。在其他实施例中，管理服务230或管理服务230的策略引擎可被用于将在客户机上执行的应用标识为可信或不可信应用。在一个实施例中，管理服务230还可管理将哪些存储器卷、存储器地址范围或驱动器视为不安全的盘空间210以及将哪些存储器卷、存储器地址范围或驱动器视为安全的盘空间215。在一些实施例中，公司管理员可设置策略从而将某些应用标记为可信的。还可以将额外的文件夹指定为安全的，从而需要启用该文件夹用于自动重定向。

在一个实施例中，管理服务230或策略引擎可响应于执行应用的用户的用户证书将该应用标识为可信应用。例如，在一个实施例中，在将应用作为可信应用执行之前用户可能需要先登录。如果用户没有登录，该应用可能作为不可信应用被执行。在又一个实施例中，该应用可由根用户或管理员用户执行，并且可以响应于这些用户的权限将该应用标识为可信应用。在又一个实施例中，该应用可由服务器106提供并且可以因为是由服务器提供的而被标识为可信应用。例如，远程执行的应用或流式应用，或者从公司服务器下载的应用可被标识为可信的，而由用户本地安装的或从别处获得的应用可被标识为不可信的。在一些实施例中，取决于会话的执行参数，应用可以是可信的或者不可信的。例如，如上文所述，可能要求用户登录从而将应用作为可信应用来执行。取决于用户已经登录与否，应用可作为可信应用或不可信应用被执行。这样做可避免需要安装相同应用的多个实例。

在另外的实施例中，管理服务230或策略引擎还可以包括用于响应于客户机在预定的时间段内还没有联系服务器或例如认证服务器的另一计算装置而锁定安全的存储位置的功能。在一些实施例中，服务器106或另一服务器可运行集中管理服务、票据机构（ticket authority）、授权服务器或者其他服务，并且，管理服务或策略引擎可响应于客户机在预定的时间段内还没有联系集中管理服务而锁定安全的存储位置。这样做可以提供安全开关（dead-man switch）以控制移动装置上（特别在用户拥有该移动装置的情况下）的公司数据。例如，具有便携式电脑的用户可将公司数据转移到该便携式电脑并且在安全的存储位置处理该数据，其中该用户保持与公司网络连接或者离线工作并且间歇地连接以同步文件或取回电子邮件。如果用户离开公司，一般来说公司雇员会被要求获得访问该用户的便携式电脑的权限从而移除公司文件或核实公司文件的移除。对于远程用户来说或者由于用户离开的情况，这样做有难度。因此，如果用户在预定的时间段内没有登录公司网络（例如，如果由于在终止时他们的账户被禁用），管理服务230或策略引擎可禁用安全的存储位置、拒绝对在该位置中存储的数据的读/写访问，或者擦除或重写该安全的存储位置。

图3A中所描述的是用于将由可信或安全的应用发出的请求重定向到安全的存储空间215的方法的实施例。存储装置过滤器拦截由可信应用发出的写请求（步骤302）并且将该写请求重定向到安全的存储位置（步骤304）。该写请求可以接着由安全的存储位置所服务，在于该请求中包含的数据被写入安全的存储位置（步骤305）。

继续参考图3A且具体而言，在一些实施例中，过滤驱动器可首先标识应用是否是要求安全存储区域的可信或安全的应用。在一些方面，该确定可包括当可信应用发出向不安全的存储区域（例如C:\驱动器）的写请求时，拒绝可信应用访问不安全的存储区域。在这些实施例中，用户不能在不安全的存储位置进行保存。相反，在客户机102上执行的过滤驱动器可以拦截由可信应用发出的写请求，并且可以将该请求重定向到安全的存储位置（例如X:\驱动器）。该请求的数据可接着被写入该安全的存储位置。在一些实施例中，当存储数据时可以对数据进行加密。在其他实施例中，用户可从不安全的存储区域打开现有文档，但是安全的/可信应用只能看到（如只读）内容且因而不能回写该不安全的存储位置。例如，MicrosoftWord的可信版本可以将应用文件存储在安全的存储区域中，并且因此只能向该安全的存储区域写入。如果用户打开在不安全的区域中存储的Microsoft Word文件，且试图使用Microsoft Word的安全实例来打开该文件，所打开的文档版本将是只读的。

尽管图3A描述了其中由可信或安全的应用发出的所有写请求都被重定向到安全的存储位置的方法，但在其他实施例中，所发出的写请求只有部分被重定向。在一些实施例中，由可信或安全的应用发出的写请求不被重定向，且取而代之的是可向该应用返回出错消息。在这些实施例中，响应于尝试在一个位置进行保存或执行应用，用户可能接收“拒绝访问”消息。在一个实施例中，图3中描述的方法可用于限制应用使得该应用将其数据存储在指定的安全的存储区域中。应用可包括通过远程应用系统传送的应用、流式应用、本地可用的应用，或者使用Microsoft App-V技术传送的应用。

现参考图3B，其示出了用于控制访问敏感信息的方法的实施例的另一流程图。在步骤320，文件系统过滤驱动器可拦截来自应用的请求。该请求可包含将一组数据写入第一存储位置或从该第一存储位置读一组数据的请求。该应用可包括本地执行的应用或由计算装置执行的应用（包括从第二计算装置传送的流式应用），或者可以包含显示由第二计算装置执行的第二应用的输出数据（例如图形输出数据）的客户机代理或远程显示应用。例如，应用可以是显示由服务器执行的第二应用的图形输出数据的ICA客户端，诸如远程桌面。

在步骤322，策略引擎可标识应用是否是可信应用。尽管在步骤320之后示出，在很多实施例中，策略引擎可以在文件系统过滤驱动器拦截请求之前首先标识应用是否是可信应用。例如，在一些实施例中，当应用被启动、初始化或者以其他方式在客户机处执行时，策略引擎可标识该应用是可信应用还是不可信应用。策略引擎可将该应用是可信的或不可信的记录在索引、数据库、注册表或其他列表中，使得文件系统过滤驱动器在拦截来自该应用的随后请求时可以查阅该列表。在一些实施例中，策略引擎可响应于应用代表其执行的用户的用户证书而将该应用标识为可信应用。例如，如果应用由根用户或管理员执行，策略引擎可将该应用标识为可信应用。如果应用由访客用户执行，策略引擎可将该应用标识为不可信应用。在类似的实施例中，可能要求用户提供证书，如用户名和密码、安全授权、认证、生物信息或者其他证书，并且策略引擎可响应于该证书将应用标识为可信或不可信应用。在其他实施例中，策略引擎可响应于计算装置的证书将应用标识为可信应用。例如，策略引擎可响应于计算装置具有防火墙、杀毒应用、当前安全更新、所建立的到授权服务器的连接或者任何其他类型和形式的证书或特征（trait），将应用标识为可信应用。

在其他实施例中，策略引擎可响应于管理员建立的策略将应用标识为可信应用。例如，应用可响应于注册键、索引列表、位于特定的目录中、已由第二计算装置提供或者任何其他特征而被标识为可信应用。在一个实施例中，应用可响应于执行第二应用、建立到服务器的连接或者执行其他任务而被标识为可信应用。例如，用户可能被要求执行认证应用，该应用可能要求用户名和密码或者到认证服务器的连接。当该认证应用正在执行并且用户成功登录时，在一个实施例中，由该用户执行的一个或多个额外应用接着以在可信模式下被执行。

在一些实施例中，应用可以在第一会话期间是不可行应用并且在第二会话期间是可信应用。例如，可给用户提供登录选项从而在可信模式下执行应用。如果用户没有登录，或者不正确地登录，可以在不可信模式下执行该应用。在另一个实施例中，诸如上述的其中用户经由第二认证应用登录的实施例，策略引擎可在执行期间将应用从可信切换为不可信，例如，响应于该用户登出或关闭第二认证应用。

如果应用是不可信的，那么文件系统过滤驱动器在步骤324a可以允许对不安全的存储位置的任何读或写请求，并且在步骤324b拒绝对安全的存储位置的任何读或写请求。在进一步的实施例中，拒绝对安全的存储位置的读和写请求可包括将该请求重定向到不安全的存储位置。例如，如果不可信应用试图向安全的存储位置中的目录进行写入，文件系统过滤驱动器可拦截该请求并将该请求重定向到不安全的存储位置中的目录。这样做可允许无缝的用户体验，使得用户总是相信他们在同一个目录下工作，但响应于用户在可信或不可信模式下执行应用，可以访问不同的文件。在其他实施例中，由不可信应用对安全存储位置的读或写尝试可能被拒绝，且警告消息可被提供给用户。可以提供用户机会来登录或以其他方式提供认证证书，使得策略引擎可将应用标识为可信应用。在进一步的实施例中，当提供了这样的证书时，接着文件系统过滤驱动器可响应于应用被标识为可信应用而允许读或写请求。

如果应用是可信的，那么在步骤326，文件系统过滤驱动器可允许对安全的存储位置的任何的读或写请求。在一些实施例中，从安全的存储位置读或向安全的存储位置写入可包括对在安全的存储位置中存储的数据进行解密或加密。在进一步的实施例中，如上所述，在一些实施例中，管理服务或策略引擎可响应于从安全的存储位置读数据或向安全的存储位置写数据的请求，来确定计算装置是否已经在预定的时间内与第二计算装置通信。该时间可以短如一分钟或一秒钟或更短，或者可以长如一天或一周或更长，并且可以由系统管理员或者由在安全的存储位置中存储的数据的所有者来设定。与第二计算装置通信可包括建立认证会话、检索安全认证或证书、登录或执行其他安全相关的任务。如果计算装置在预定的时间段内还没有与第二计算装置通信，文件系统过滤驱动器可拒绝对安全的存储位置的读和/或写访问。在进一步的实施例中，计算装置可擦除安全的存储位置、删除对应于安全的存储位置的盘分区，或者采取其他行动来保护在安全的存储位置中存储的数据。

如果应用是可信的并且请求是将数据块写入不安全的存储位置，那么在一些实施例中，文件系统过滤驱动器可确定是否允许或拒绝该请求。可响应于由管理员确定的策略执行允许或拒绝该请求，并且可响应于应用、用户、存储位置或任何其他类型和形式的消息允许或拒绝该请求。例如，在一个这样的实施例中，文件系统过滤驱动器可将可信应用的写尝试重定向到第一不安全的存储位置，如“我的文档”文件夹，但拒绝应用对第二不安全的存储位置的写尝试，该第二不安全的存储位置如桌面文件夹、根目录、注册表文件、配置文件、系统文件夹或任何其他位置。在另一个这样的实施例中，文件系统过滤驱动器可重定向代表管理员执行的可信应用的写尝试，但是拒绝那些代表访客用户执行的应用写尝试。在另一个实施例中，文件系统过滤驱动器可重定向来自可信字处理文档的写请求，但是拒绝来自可信web浏览应用的请求。在又一个实施例中，且如上文所述，如果第一计算装置在预定的时间段内还没有联系集中管理服务，文件系统过滤驱动器可拒绝来自可信应用的写请求。

如果文件系统过滤驱动器确定允许请求，那么在步骤328，文件系统过滤驱动器可将该请求重定向到安全的存储位置。在一些实施例中，重定向请求可包括在安全的存储位置中创建与在不安全的存储位置中的目录对应的一个或多个目录。例如，在其中可信应用试图向在C:\Users\Default\AppData\Application\处的不安全的存储位置进行写入的一个实施例中，文件系统过滤驱动器可以在安全的存储位置中创建目录使得该应用写入可以被重定向到例如X:\Users\Default\AppData\Application\处。在其他实施例中，可使用不同级别的目录。例如，在一个实施例中，文件系统过滤驱动器可将对C:\Users\Default\AppData\Application\的写请求重定向到X:\AppData\Application\。在一个实施例中，重定向请求可进一步包括在将数据写入安全的存储位置后加密该数据。因此，通过上述方法，可信应用的应用数据可被自动重定向到安全的、加密的存储位置。

在其他实施例中，文件系统过滤器驱动器可确定拒绝请求。如果文件系统过滤驱动器确定拒绝该请求，那么在步骤329，文件系统过滤驱动器可拒绝对不安全的存储位置的写访问。拒绝对不安全的存储位置的写访问可包括向请求的应用返回指示该访问被拒绝的出错。在一些实施例中，计算装置可向用户提供指示访问被拒绝的出错消息或者其他警告。

如果应用是可信的并且该请求是从不安全的存储位置读数据块，那么在步骤330，在一些实施例中，文件系统过滤驱动器可提供对于在该不安全的存储位置中的文件的只读访问。提供只读访问可包括设置打开文件的标志或其他属性，或者以其他方式阻止应用能够修改该文件。在一些实施例中，可信应用的用户可在另一位置保存该文件的副本。例如，用户可在安全的存储位置将该只读文件的副本保存为可编辑文件，对于该安全的存储位置来说，已被允许对其进行全写访问。

尽管图3B示出了查询的特定顺序，本领域技术人员应很容易领会在一些实施例中这些查询可以不同的顺序出现。例如，在一个这样的实施例中，在标识请求的应用是可信还是不可信的之前，文件系统过滤驱动器可首先确定所拦截的写请求是要向不安全的存储位置还是安全的存储位置进行写入。在另一个实施例中，可通过权限或访问控制列表来提供对于向安全的存储空间的读或写请求的控制。因而，在一些实施例中，文件系统过滤驱动器可能不拦截指向安全的存储位置的请求，其允许其他操作系统机制来控制访问。相反，文件系统过滤驱动器可拦截对不安全的存储位置的读或写请求，并且可以基于该请求是来自可信应用还是不可信应用来处理请求。

在本文所述的方法和系统的一些实施例中，可将包括了高速缓存数据或程序数据的可信应用数据重定向到安全的存储位置，用于保护公司信息。例如，在这样一个实施例中，用户可执行诸如由Microsoft有限公司制造的Outlook的电子邮件程序。该电子邮件程序可连接到公司邮件服务器并且下载一个或多个消息用于离线访问。例如，在多个实施例中，Outlook创建离线存储表（.ost文件），该离线存储表可以用于读电子邮件、写回复或者执行其他任务。接着，在下一次访问期间将该离线数据与邮件服务器同步。由于该离线数据包括电子邮件消息和附件，所以最好能保护这个信息。通常，Outlook在不安全的默认位置创建离线存储表。不用修改该电子邮件程序，并且对于应用来说实际上是透明的，上述的文件系统过滤驱动器可以拦截对这个表的读和写请求并且将请求重定向到安全、加密过的盘存储位置，用于保护该数据不被其他不可信程序访问。

同样地，文件系统过滤驱动器可用于拦截可信应用对在不安全的存储位置中存储的用户文件的读请求，并且在只读模式下打开该文件。由于应用是可信的并且可以访问该安全的存储位置，存储在不安全的位置的文件中的恶意宏指令可包括访问安全的文件、从该安全的文件检索数据，并且将所检索的数据保存在不安全的文件中的命令，用于破坏安全保护。因而，通过以只读模式打开文件，防止了可信应用将任何数据写入不安全的存储位置。

应该理解，上文描述的系统可提供多个组件或每个组件并且这些组件可以在单独机器上提供，或者在一些实施例中，可在分布式系统的多个机器上提供。可以使用编程和/工程技术将上文所描述的系统和方法实现为方法、装置或产品以提供软件、固件、硬件或上述的任何组合。此外，上述系统和方法可作为一件或多件产品上所体现的或在其中的一个或多个计算机可读程序而被提供。此处使用的术语“产品”旨在包括从一个或多个计算机可读的装置、固件、可编程逻辑、存储器装置（例如，EEPROM、ROM、PROM、RAM、SRAM等）、硬件（例如，集成电路芯片、现场可编程门阵列（FPGA）、专用集成电路（ASIC）等）、电子装置、计算机可读的非易失存储单元（例如，CD-ROM、软盘、硬盘等）可访问的或嵌入其中的代码或逻辑。所述产品可以从经由网络传输线、无线传输介质、通过空间传播的信号、无线电波、红外信号等提供对计算机可读程序的访问的文件服务器进行访问。所述产品可以是闪存存储卡或磁带。所述产品包括硬件逻辑以及嵌入在计算机可读介质中由处理器执行的软件或可编程代码。通常，计算机可读程序可以任何编程语言来实现，如LISP、PERL、C、C++、C#、PROLOG，或者诸如JAVA的任何字节码语言。软件程序可以作为目标代码被存储在一件或多件产品上或其中。

虽然已经描述方法和系统的多个实施例，但是这些实施例是示例性的并且不以任何方式限制所述方法或系统的范围。相关领域中的技术人员在不脱离所描述方法和系统的最宽范围的情况下可以对所描述的方法和系统的形式和细节进行修改。因此，此处描述的方法和系统的范围不应该通过任何示例性实施例来限定，而是应该根据所附权利要求书和其等价范围来限定。

Claims (18)

1.一种用于强制应用将数据存储在安全的存储位置中的方法，所述方法包括：

通过由第一计算装置执行的策略引擎响应于执行第一应用的用户的用户证书将由第一计算装置执行的所述第一应用标识为可信应用；

由文件系统过滤驱动器拦截向不安全的存储位置写入第一组数据的所述第一应用的第一请求；

响应于将所述第一应用标识为可信应用，由所述文件系统过滤驱动器将所拦截的第一请求重定向到安全的存储位置；

由所述第一计算装置将所述第一组数据写入所述安全的存储位置；

由所述策略引擎将由所述第一计算装置执行的第二应用标识为不可信应用；

由所述文件系统过滤驱动器拦截向所述不安全的存储位置写入第二组数据的所述第二应用的第一请求；以及

响应于将所述第二应用标识为不可信应用，由所述文件系统过滤驱动器指示所述第一计算装置将所述第二组数据写入所述不安全的存储位置。

2.根据权利要求1所述的方法，还包括：

由所述文件系统过滤驱动器拦截从所述不安全的存储位置读文件的所述第一应用的第二请求；以及

响应于将所述第一应用标识为可信应用，由所述文件系统过滤驱动器向所述第一应用提供对于所述文件的只读访问。

3.根据权利要求1所述的方法，其中将所述第一组数据写入所述安全的存储位置还包括在所述安全的存储位置加密所述第一组数据。

4.根据权利要求1所述的方法，还包括：

由所述文件系统过滤驱动器拦截向所述不安全的存储位置写入第三组数据的所述第一应用的第二请求；

响应于将所述第一应用标识为可信应用，由所述策略引擎确定由所述第一计算装置执行的第一应用传送客户端程序在预定的时间段内还没有与由第二计算装置执行的集中管理服务通信；以及

响应于该确定，由所述文件系统过滤驱动器拒绝向所述不安全的存储位置写入所述第三组数据的所述第二请求。

5.根据权利要求1所述的方法，其中所述第一应用是显示由第二计算装置执行的应用的图形输出数据的客户机代理，该图形输出数据经由远程桌面协议传送给所述第一计算装置。

6.根据权利要求1所述的方法，其中将第一应用标识为可信应用包括对所述第一应用的用户的用户证书应用策略。

7.根据权利要求1所述的方法，其中将第一应用标识为可信应用包括从第二计算装置接收由管理员标识为可信的预定应用的列表。

8.根据权利要求1所述的方法，其中所述第一应用是从第二计算装置流式传输的，并且将所述第一应用标识为可信应用包括确定所述第一应用是流式应用。

9.根据权利要求1所述的方法，还包括：

由所述文件系统过滤驱动器拦截从所述安全的存储位置读所述第一组数据的第二应用的第二请求；以及

响应于将所述第二应用标识为不可信应用，由所述文件系统过滤驱动器拒绝从所述安全的存储位置读所述第一组数据的所述第二请求。

10.一种用于强制应用将数据存储在安全的存储位置中的设备，所述设备包括：

用于通过由第一计算装置执行的策略引擎响应于执行第一应用的用户的用户证书将由第一计算装置执行的所述第一应用标识为可信应用的装置；

用于由文件系统过滤驱动器拦截向不安全的存储位置写入第一组数据的所述第一应用的第一请求的装置；

用于响应于将所述第一应用标识为可信应用，由所述文件系统过滤驱动器将所拦截的第一请求重定向到安全的存储位置的装置；

用于由所述第一计算装置将所述第一组数据写入所述安全的存储位置的装置；

用于由所述策略引擎将由所述第一计算装置执行的第二应用标识为不可信应用的装置；

用于由所述文件系统过滤驱动器拦截向所述不安全的存储位置写入第二组数据的所述第二应用的第一请求的装置；以及

用于响应于将所述第二应用标识为不可信应用，由所述文件系统过滤驱动器指示所述第一计算装置将所述第二组数据写入所述不安全的存储位置的装置。

11.根据权利要求10所述的设备，还包括：

用于由所述文件系统过滤驱动器拦截从所述不安全的存储位置读文件的所述第一应用的第二请求的装置；以及

用于响应于将所述第一应用标识为可信应用，由所述文件系统过滤驱动器向所述第一应用提供对所述文件的只读访问的装置。

12.根据权利要求10所述的设备，其中用于将所述第一组数据写入所述安全的存储位置的装置还包括用于在所述安全的存储位置加密所述第一组数据的装置。

13.根据权利要求10所述的设备，还包括：

用于由所述文件系统过滤驱动器拦截向所述不安全的存储位置写入第三组数据的所述第一应用的第二请求的装置；

用于响应于将所述第一应用标识为可信应用，由所述策略引擎确定由所述第一计算装置执行的第一应用传送客户端程序在预定的时间段内还没有与由第二计算装置执行的集中管理服务通信的装置；以及

用于响应于该确定，由所述文件系统过滤驱动器拒绝向所述不安全的存储位置写入所述第三组数据的所述第二请求的装置。

14.根据权利要求10所述的设备，其中所述第一应用是显示由第二计算装置执行的应用的图形输出数据的客户机代理，该图形输出数据经由远程桌面协议被传送给所述第一计算装置。

15.根据权利要求10所述的设备，其中用于将所述第一应用标识为可信应用的装置包括用于对所述第一应用的用户的用户证书应用策略的装置。

16.根据权利要求10所述的设备，其中用于将所述第一应用标识为可信应用的装置包括用于从第二计算装置接收由管理员标识为可信的预定应用的列表的装置。

17.根据权利要求10所述的设备，其中所述第一应用是从第二计算装置流式传输的，并且用于将所述第一应用标识为可信应用的装置包括用于确定所述第一应用是流式应用的装置。

18.根据权利要求10所述的设备，还包括：

用于由所述文件系统过滤驱动器拦截从所述安全的存储位置读所述第一组数据的所述第二应用的第二请求的装置；以及

用于响应于将所述第二应用标识为不可信应用，由所述文件系统过滤驱动器拒绝从所述安全的存储位置读所述第一组数据的所述第二请求的装置。