CN104956376A - 虚拟化环境中应用和设备控制的方法和技术 - Google Patents

虚拟化环境中应用和设备控制的方法和技术 Download PDF

Info

Publication number
CN104956376A
CN104956376A CN201480007008.9A CN201480007008A CN104956376A CN 104956376 A CN104956376 A CN 104956376A CN 201480007008 A CN201480007008 A CN 201480007008A CN 104956376 A CN104956376 A CN 104956376A
Authority
CN
China
Prior art keywords
dlp
file
strategy
source
event
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201480007008.9A
Other languages
English (en)
Other versions
CN104956376B (zh
Inventor
S·S·曼莫汉
S·贾斯瓦
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
CAI Software LLC
Original Assignee
Symantec Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Symantec Corp filed Critical Symantec Corp
Publication of CN104956376A publication Critical patent/CN104956376A/zh
Application granted granted Critical
Publication of CN104956376B publication Critical patent/CN104956376B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6209—Protecting access to data via a platform, e.g. using keys or access control rules to a single file or object, e.g. in a secure envelope, encrypted and accessed using a key, or with access control rules appended to the object itself
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6281—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database at program execution time, where the protection is within the operating system

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Databases & Information Systems (AREA)
  • Storage Device Security (AREA)

Abstract

一种在安全虚拟机上运行的数据泄漏防护(DLP)管理器，其管理多个客户虚拟机的DLP策略。所述DLP管理器识别与文件打开或事件创建相关联的来源。所述来源为至少一个由客户虚拟机(GVM)使用的应用或设备。当根据来源控制策略所述来源为未经批准来源时，所述DLP管理器执行与所述GVM相关联的第一响应规则。当所述文件违背DLP策略时，所述DLP管理器执行第二响应规则。

Description

虚拟化环境中应用和设备控制的方法和技术
技术领域
本发明的实施例一般涉及虚拟机系统，具体而言，其涉及虚拟化环境中的数据泄漏防护。
背景技术
在计算机科学中，虚拟机(VM)是软件的一部分，当软件在适当的硬件上运行时，会产生一种允许实际的物理计算机系统虚拟化的环境。每个VM可充当一个独立平台，运行其自身的操作系统(OS)和软件应用(进程)。通常，虚拟机监控器(VMM)管理计算机资源的分配和虚拟化，并执行背景切换(视情况需要)，从而在各个VM之间循环。
一个主机(例如，计算机或服务器)通常能同时运行多个VM，其中，每个VM可由一个远程客户端使用。所述主机将一定数量的主机资源分配给各个VM。各个VM随后能够使用所分配的资源执行各种应用，其中就包括被称为客户操作系统的操作系统。所述VMM将主机的基础硬件虚拟化或对硬件设备进行仿真，使得VM的使用对客户操作系统或使用VM的远程客户端而言是透明的。
虚拟机环境中的数据丢失防护(DLP)系统要求在各虚拟机上都安装代理，以防止因使用应用、可移动设备(即，U盘、CD/DVD盘)和网络共享而丢失敏感数据。然而，要确保使已创建的各个VM均具有最新的DLP代理，不仅具有挑战性，而且是对系统资源的低效使用。
发明内容
本发明的实施例提供一种运行在安全虚拟机上的DLP管理器，其管理多个客户虚拟机的DLP策略。DLP管理器能识别与文件打开或事件创建相关联的来源。所述来源至少为客户虚拟机(GVM)所使用的一个应用或设备。当根据来源控制策略，所述来源为未经批准来源时，DLP管理器执行与GVM相关联的第一响应规则。当文件违背DLP策略时，DLP管理器执行第二响应规则。DLP管理器能识别客户虚拟机的触发事件，并将DLP组件安装在客户虚拟机中。在一个实施例中，DLP管理器在客户虚拟机中安装一个DLP组件之后，才会启用客户虚拟机中的任何其他应用或设备。DLP组件与在安全虚拟机中运行的DLP管理器通信。DLP管理器还能从DLP组件接收文件系统事件，并在所述文件系统事件违背DLP策略的情况下，执行与客户虚拟机相关联的一个或多个响应规则。
在一种方法的一个实施例中，由计算系统执行的专用安全虚拟机(SVM)监控由计算系统执行的客户虚拟机(GVM)存取文件的文件打开或事件创建。所述专用SVM识别与文件打开或事件创建相关联的来源，其中所述来源至少为一个GVM所使用的应用或设备。当根据来源控制策略，与文件打开或事件创建相关联的所述来源为未经批准来源时，专用SVM执行与GVM相关联的第一响应规则。当文件违背数据泄漏防护(DLP)策略时，专用SVM执行与GVM相关联的第二响应规则。
在一个进一步的实施例中，专用SVM判断是否存在用以限制对已识别来源访问的来源控制策略，以便确定DLP策略是否要求监控所述来源。专用SVM监控与文件相关联的文件系统事件，以确定所述文件是否违背DLP策略。
在一个进一步的实施例中，专用SVM通过以下操作进行监控：识别与文件打开或事件创建相关联的文件关闭或保存事件；分析与文件关闭事件相关联的数据，以确定数据是否违背DLP策略；在数据违背DLP策略的情况下，执行与DLP策略相关联的第二响应规则。
在一个进一步的实施例中，在数据违背DLP策略时，专用SVM报告DLP策略的违背情况。
在一个进一步的实施例中，专用SVM确定DLP策略是否要求监控源应用；在应用试图打开文件时存储文件的副本；如应用在数据违背DLP策略情况下试图保存文件，，则恢复关闭事件中的文件副本。
在一个进一步的实施例中，专用SVM在客户虚拟机中安装一个DLP用户界面，所述DLP用户界面可配置为向用户通知发生的DLP违背情况。
在另一个实施例中，专用SVM从配置文件库检索与GVM相关联的DLP配置文件，所述DLP配置文件包括来源控制策略、DLP策略和第二响应规则。
在另一个实施例中，来源控制策略至少为一种应用控制策略或设备控制策略，且专用SVM可确定文件打开或事件创建是否源自所述应用或所述设备。
在另一个实施例中，专用SVM确定文件并未违背DLP策略。在文件未违背DLP策略时，专用SVM缓存确定的结果。当至少有一个文件违背DLP策略或来源是未经批准来源时，专用SVM不缓存所述结果。当在DLP配置文件中存在与GVM相关联的变更时，清除缓存。
另外，该实施例还描述了一种用于管理客户虚拟机DLP策略的计算机可读存储介质。一种示例性计算机可读存储介质提供指令，所述指令在处理系统中执行时，使所述处理系统执行例如上文所述的示例性方法等操作。
此外，该实施例还描述了用于DLP管理器的系统和设备。一种示例性设备可包括存储器和耦合到所述存储器的处理器。所述处理器配置为执行各种操作，例如上文所述的操作。
附图说明
本发明的实施例通过举例说明，而非限定性说明，结合图示及以下详细说明，将能更全面地理解本发明的实施例，图中：
图1所示为虚拟机(VM)主机服务器设备的一个实施例，其利用一个专用安全虚拟机和一个数据泄漏防护(DLP)管理器执行数据泄漏防护；
图2所示为在虚拟机环境中操作的DLP管理器和DLP组件的一个实施例；
图3所示为DLP管理器和DLP组件的一个实施例；
图4所示为一种DLP管理器实施方法的一个实施例的流程图；
图5所示为一个实施例中一种文件系统事件监控方法的流程图；
图6所示为另一个实施例中文件系统事件监控方法的流程图；
图7所示为另一个实施例中一种应用和设备事件监控方法的流程图；
图8所示为一个计算机系统的实施例图解，该系统可促进DLP管理器的执行。
具体实施方式
本文描述用于虚拟机中数据泄漏防护(DLP)的方法和系统。本发明的实施例提供一种在安全虚拟机上运行的DLP管理器，其管理多个客户虚拟机的DLP策略。DLP管理器识别与文件打开或事件创建相关联的来源。所述来源为至少一个由客户虚拟机(GVM)使用的应用或设备。当根据来源控制策略，所述来源为未经批准来源时，DLP管理器执行与GVM相关联的第一响应规则。当文件违背DLP策略时，DLP管理器执行第二响应规则。DLP管理器识别客户虚拟机的触发事件，并将DLP组件安装在客户虚拟机中。在一个实施例中，DLP管理器先将DLP组件安装在客户虚拟机中，之后才启用客户虚拟机中的任何其他应用或设备。DLP组件与在安全虚拟机中运行的DLP管理器通信。DLP管理器还从DLP组件接收文件系统事件，并在所述文件系统事件违背DLP策略的情况下，执行与客户虚拟机相关联的一个或多个响应规则。
以下将说明更多有关细节。然而，对于本领域技术人员而言，显而易见，缺少这些具体细节也能实施本发明。在一些情况下，为避免使本发明表述不清，将以框图形式说明(而非详细说明)众所周知的结构和设备。
在随后的部分详细说明中，将从计算机存储器中数据位操作的算法和符号表示角度进行说明。这些算法描述和表示是数据处理领域技术人员用以向其他同行表述其工作本质的有效手段。此处的算法通常为一系列能达到所需结果的有序步骤。所述步骤是指那些需要对物理量进行的物理操作步骤。通常(但并非必须)，这些物理量以能够被存储、传输、组合、比较以及其他方式操作的电信号或磁信号的形式出现。事实证明，主要出于常见用途原因，有时将这些信号称为位、值、元素、符号、字符、项、数等名称会将便于使用。
然而，应该牢记，这些名称和全部类似术语都将与适当的物理量相关，其使用仅仅出于上述物理量的标记方便。除非另有具体规定，否则，从以下说明显而易见，全部说明中所使用的例如“提供”、“产生”、“安装”、“监控”、“执行”、“接收”、“记录”、“拦截”等术语，是指计算机系统或类似电子计算设备的操作和过程，其对代表计算机系统寄存器和存储器中物理(电子)量的数据进行操作，并将所述数据转换为代表所述计算机系统存储器或寄存器(或其他此类信息存储、传输或显示设备)中其他类似物理量的其他数据。
本发明还涉及一种用于执行本文中操作的设备。此设备可出于所需目的而专门制造，或者其可包括一台通用计算机，其可被存储在计算机中的计算机程序有选择地启动或重新配置。所述计算机程序可存储在计算机可读存储介质中，例如(但不限于)包括软盘、光盘、CD-ROM和磁光盘在内的任何类型的磁盘、只读存储器(ROM)、随机存取存储器(RAM)、EPROM、EEPROM、磁卡或光卡，或适于存储电子指令的任何类型的介质，所述各介质耦合到计算机系统总线。
本发明可作为计算机程序产品或软件提供，所述计算机程序产品或软件可包括其中存储指令的机器可读介质，所述指令可用于计算机系统(或其他电子设备)的编程，用以执行本发明的过程。机器可读介质包括用于存储或传输机器(例如，计算机)可读信息的任何装置。例如，机器可读(例如，计算机可读)介质包括机器(例如，计算机)可读存储介质，例如，只读存储器(“ROM”)、随机存取存储器(“RAM”)、磁盘存储介质、光学存储介质、闪存设备等。
本文提及的“一个实施例”系指，本发明至少一个实施例中包含的一个与该实施例有关的特定特征、结构或特性。本说明书不同场合出现的短语“在一个实施例中”并不一定涉及同一实施例。相同的编号表示图示中的相同元件。
图1所示为虚拟机(VM)主机服务器设备100的一个实施例，其采用专用安全虚拟机101和数据泄漏防护(DLP)管理器104执行数据泄漏防护。如图所示，基础平台硬件116包括一个计算平台，所述计算平台能够运行例如一个操作系统(OS)或虚拟机监控器(VMM)(如VMM 112)。在一些实施例中，基础硬件平台116可包括一个处理器118、存储器设备(存储器120和磁盘125)、网络设备、驱动器等。VMM 112将把基础硬件平台116的物理资源虚拟化为基础硬件平台116上由服务器设备100托管的一个或多个客户VM 102。在一些实施例中，VMM 112还可称为虚拟层、基于内核的虚拟层(例如，基于内核的VM(KVM))，或主机操作系统。在一个实施例中，每个VM 102包括一个客户操作系统(OS)(例如，客户OS 106)和各种客户软件应用110。
DLP管理器104识别、并保护使用中的数据(例如，端点操作)、动态数据(例如，网络操作监控)和闲置数据(例如，数据存储)。此类数据可作为文件、消息、网络请求等形式出现。通常，DLP系统监控各种文件、消息等，以确定其是否构成限制使用的文档或对象。限制使用的文档系指由于其敏感性质而不可自由发布或操作的文档。限制使用的文档可使用例如“机密”、“敏感”、“存档”等词语来标记其敏感性质。另外，限制使用文档可包括例如客户、员工或患者个人信息、定价数据、设计规划、源代码、CAD制图、金融报告等机密信息。限制使用对象系指未经批准的可移动设备或应用。限制使用的应用可利用该应用的可执行文件或其他信息(如内部名称、版本、散列、数字签名、发布者)唯一识别。限制使用的设备可利用硬件ID、制造商等唯一识别。
DLP管理器104可应用DLP策略确定文件或消息是否为限制使用文档。DLP策略可规定文件或消息中出现哪些数据即可被分类为限制使用文档。例如，DLP策略可规定一个或多个用于搜索各种文件、消息等的关键词，例如，“机密”、“敏感”、“存档”、特定疾病的名称(例如，“癌症”、“HIV”等)等。另外，DLP策略还可规定用于识别策略违背的各种情况，包括(但不限于)精确数据匹配(EDM)、索引文件匹配(IDM)和向量机学习(VML)。下文将结合图3详细说明DLP策略。DLP管理器104可应用来源控制策略确定某对象是否为限制使用对象。
与典型的DLP系统(其中每个虚拟机均包括一个DLP代理)不同，图1所示的DLP管理器104在专用安全VM(SVM)101中运行，并与在客户VM 102中运行的DLP组件108通信。在另一个实施例中，DLP管理器104可在VMM 112或其他虚拟层进程中运行。DLP管理器104跨虚拟通信信道与在各个客户VM 102中运行的DLP组件108通信。在一个实施例中，所述虚拟通信信道为虚拟网络，其中每个VM 101、102均可使用标准网络协议通信，或在专用于安全功能的独立虚拟网络中使用专用网络协议通信。在另一个实施例中，所述虚拟通信信道为将各个VM 101、102与VMM 112耦合的一个虚拟化通信总线。DLP组件108可配置为操作系统106的组成部分，也可配置为客户虚拟机102的虚拟化硬件的嵌入进程。下文将结合图2和图3详细说明DLP管理器104和DLP组件108。在一些实施例中，SVM可远程监控用户与GVM中的应用、设备和文件的交互。例如，由加州帕罗奥图市所开发的VMware vShieldTM框架可用于DLP管理器104和DLP组件108。另外，也可使用其他配置。
图2所示为本发明的一个实施例，其中，DLP管理器104和DLP组件108在虚拟机环境中运行。在所述实施例中，DLP管理器104和DLP组件108配置为与DLP系统201配合运行，所述DLP系统包括虚拟层安全驱动程序202和VM安全驱动程序204。由加州帕罗奥图市所开发的VMware vShieldTM框架是适合与本发明一起使用的一个虚拟机DLP系统实例。另外，如上文所述，DLP管理器104和DLP组件108也可配置为独立于虚拟机DLP系统201运行。
虚拟层安全驱动程序202可作为在VMM 112上运行的一个进程实现，并可配置为与多个客户虚拟机102通信，但为明确起见，图2所示仅为一个客户虚拟机。在一个实施例中，DLP管理器104通过DLP系统201与各个客户DLP组件108通信。DLP管理器104配置为从DLP组件108接收说明虚拟机和文件系统活动事件的通知。虚拟机事件的实例包括(但不限于)VM开机事件、关机事件、迁移和重新配置事件。文件系统事件的实例包括(但不限于)文件打开事件、文件创建事件、文件关闭(例如，保存)事件、文件读取/写入、复制/粘贴事件、文件移动事件和文件删除事件。
当客户VM 102开机时，DLP管理器104配置为拦截VM 102的开机事件、识别VM 102，并保存VM 102的身份信息，下文将结合图3详细说明。在一个实施例中，DLP管理器104通过识别VM 102的操作系统和/或角色(例如，文件服务器、电子邮件服务器、台式计算机等)、业务部门(例如，工程、财务、营销、人力资源等)对VM 102进行识别。在另一个实施例中，DLP管理器104通过VMM 112中规定的名称对VM 102进行识别。本领域技术人员将认识到，有许多不同方法可唯一识别根据本发明的实施例所使用的VM 102。
DLP组件108配置为与DLP管理器104就文件系统事件进行通信。例如，当用户在客户VM 102中启动一个文件系统事件时，DLP组件108将拦截文件系统事件，分析所述事件，以确定文件系统事件的类型(例如，打开、创建、关闭、移动、复制、读取、写入、删除等)，并将此信息传输到DLP管理器104。由DLP组件108收集并与DLP管理器104通信的所述信息还可包括文件或对象信息，包括(但不限于)来源、目的地、应用、文件类型(例如，文档、电子数据表、媒体对象等)和文件分类(例如，个人、公司、机密等)。在一些实施例中，由DLP组件108收集并与DLP管理器104通信的所述信息可包括启动所述文件系统事件的应用和用户。在一个实施例中，DLP组件108还配置一个DLP用户界面，在DLP管理器104发现有用户违背DLP策略的事件发生时，可通过该用户界面接收用户的辩解理由。
图3所示为本发明实施例中一个DLP管理器104和DLP组件108的实施例。在一个实施例中，DLP管理器104包括一个VM识别器302和一个VM身份库304。VM识别器302唯一地识别客户虚拟机，参见上文所述及图2所示。DLP管理器104配置为确定所识别的客户虚拟机是否具有与存储在库304中的客户虚拟机相关联的DLP安全配置文件306。库304存有多个配置文件306，每个虚拟机使用一个配置文件306，或多个虚拟机共用一个配置文件306。各个配置文件306中均可包括一个安全控制策略312、数据策略308和一个用于发生数据策略308违背情况时的响应规则310。
DLP策略308是通过监控内容检测是否存在机密信息的规则。例如，DLP策略308规则可指定用于搜索各种文件、消息等的一个或多个关键词，例如，“机密”、“敏感”、“存档”、特定疾病的名称(例如，“癌症”、“HIV”等)等。除关键词之外，DLP策略308还可包括用于检测正被监控的信息内容中是否存在机密数据的其他规则。例如，在金融机构中，DLP策略308可规定，如果消息包含词语“机密”，则应对消息进一步搜索，以确定所述消息是否包括客户数据(例如，社会保障号、姓名等)或其他敏感信息(例如，财务报告、源代码等)。响应规则310规定在检测到策略违背情况时应采取的措施。例如，响应规则310可要求对包含机密数据的消息进行阻止、重新路由、报告、隔离、加密等。
在一个实施例中，DLP策略308包括用于精确数据匹配(EDM)和/或索引文件匹配(IDM)的规则。精确数据匹配(EDM)可以用于保护通常为结构化格式的数据，例如数据库记录。索引文件匹配(IDM)可以用于保护非结构化数据，例如Word或文档或CAD绘图。对于EDM和IDM两者而言，均首先识别敏感数据。然后，DLP管理器104对敏感数据进行指纹识别，用于精确的、不间断的检测。在一个实施例中，指纹识别过程包括访问和提取文本和数据、将其归一化以及使用不可逆散列(加密)来对其进行保护。当要扫描文件或其他数据时，将生成该文件或该文件内容的指纹(例如，散列)，并将该指纹与已存储指纹进行对比。如果发现匹配，则将所扫描的文件识别为包含敏感数据。
在一个实施例中，DLP策略3038包括向量机学习(VML)配置文件。向量机学习可用于保护敏感的非结构化数据。对于VML而言，将向DLP管理器104提供包括敏感数据集以及非敏感数据集的定型数据集。DLP管理器104使用向量机学习分析定型数据集，以生成归类模型和特征集，所述归类模型和特征集连同定型数据集一起被添加到VM安全配置文件306。归类模型是用于数据归类的统计模型，其包括代表边界特征的支持向量的映射。特征集为例如列表或表格等数据结构，其包括从定型数据集中提取的多个特征(例如，词语)。DLP管理器104配置为处理配置文件306，并输入未归类数据，以将数据归类为敏感或不敏感(或将数据归类为个人数据或公司数据)。
DLP管理器104可创建一个默认策略，其用于检测到的各个VM，也可依据虚拟机的角色定制VM配置文件306。另外，DLP管理器104配置为接收用于登录到VM、其他DLP管理器104或虚拟层安全设备上的各种用户的定制VM配置文件306。
将DLP策略308提供给DLP管理器104，DLP管理器104继而执行内容监控，检测跨VM 102的策略违背情况。在另一个实施例中，DLP管理器104配置为传送与特定VM 102和DLP组件108相关联的VM配置文件306(例如，DLP配置)。DLP组件108配置为确定DLP策略是否要求监控目标设备，所述目标设备可包括动态数据，例如使用各种协议(例如，简单邮件传输协议(SMTP)、超文本传输协议(HTTP)、文件传输协议(FTP)、AOL即时消息接发(AIM)、ICQ、单一对象访问协议(SOAP)、SQLNet、TCP/IP协议、用户数据报协议(UDP)、以太网、802.11等)输送的传出消息和网络请求。如果DLP组件108识别出目标设备要求监控，则DLP组件108向DLP管理器104发送通知。DLP管理器104可分析与文件相关联的数据，并创建一个记录，其涉及识别内容、相关的DLP策略308和与违背情况(如果数据违背策略308)相关联的用户。另外，DLP管理器104可配置为远程采取响应规则310要求的其他措施。在另一个实施例中，DLP组件108在本地执行响应规则310要求的这些措施。
在一个实施例中，DLP组件108还可配置为分析源数据的指纹而不是实际源数据，以避免暴露机密信息、提高内容的搜索效率。指纹可包括源数据的散列、加密源数据或可唯一识别源数据的任何其他签名。DLP组件108随后可向DLP管理器104报告DLP策略违背情况，和/或采取其他必要措施(例如，阻止或重新路由相关内容)。或者，DLP管理器104可配置为远程对数据实施监控和分析。
SVM中的DLP管理器104识别使用未经批准应用或设备的用户。如果不存在应用或设备控制策略，则DLP管理器104可通过识别正由应用访问的文件是否包含敏感信息而应用DLP策略和响应规则。访问敏感数据的应用并不一定能获得批准。当GVM中的用户访问任何文件时，SVM中的DLP管理器104将对文件打开或事件创建进行拦截。DLP管理器104将检索所保存的VM身份，以确定源GVM。DLP管理器104使用DLP内核驱动程序识别进程或应用、正使用的设备、用户和正在GVM中访问的文件。如果应用或设备具有来源控制策略，则阻止对所述设备的访问和/或应用的执行。如果不存在应用或设备控制策略，则DLP管理器104应用DLP策略监控文件访问活动，其中SVM中的DLP管理器104将远程读取文件数据，并此本地数据执行检测。如果数据违背某DLP策略，则SVM中的DLP管理器104将远程执行GVM中的响应规则。所述响应规则可阻止(但不限于)对敏感数据的访问。
在进一步的实施例中，为了优化运行，DLP管理器104可请求vShield框架不缓存结果。如果发现数据并不敏感，则DLP管理器104可请求vShield框架缓存结果，使在文件被修改或重新命名之前并不发送对于相同文件的进一步通知。当DLP配置文件中存在与GVM相关联的变更时，清除缓存。
可由SVM中的DLP管理器104使用GVM中的轻量级DLP UI组件108将用户通知远程提交GVM中的用户，如前所述。除远程地执行GVM中的响应规则之外，SVM中的DLP管理器104还将针对策略违背情况创建一个事件，除用户、文件、应用、设备、数据泄漏向量之外，事件还包含VM的来源。在一些实施例中，在DLP管理器104对数据执行检测之前，DLP管理器104可确定执行操作的GVM位置，并应用机器过滤器优化检测或避免检测。在一些实施例中，当GVM中的用户访问文件时，DLP管理器104可确定执行操作的用户，并应用用户或用户群组过滤器优化检测或避免检测。在一些实施例中，在DLP管理器104对文件执行检测之前，可应用文件类型、文件路径和大小过滤器优化检测或避免检测。
本文所述的实施例提供一种用于服务器和台式计算机虚拟化环境的高效无代理DLP解决方案。所述实施例还可用于移动环境中。可由SVM中的DLP管理器104自动保护可动态配置的VM。将一个DLP管理器104用于服务器上的所有VM可简化DLP管理器104管理，并可提高系统性能。所述实施例可通过减少或可能消除各个VM中的DLP管理器104足迹，提高系统的整体安全性。
图4到图7所示为本发明实施例中的方法、系统和计算机程序产品的流程图和/或框图图解。可以理解，可通过处理逻辑实施流程图和/或框图说明的各模块，以及流程图和/或框图说明中各模块的组合。处理逻辑可包括硬件(电路、专用逻辑等)、软件(例如在通用计算机系统或专用机器上运行的软件)或两者的组合。可将这些软件指令或其他计算机程序指令提供给通用计算机、专用计算机或其他可编程数据处理设备的处理器，以生成处理逻辑，使得通过计算机或其他可编程数据处理设备的处理器执行的所述指令能实施在流程图和/或框图的模块中指定的功能。
图4所示为本发明实施例中用于实施DLP管理器104的方法400的一个实施例的流程图。所述方法启动，处理逻辑在框402处检测虚拟机触发事件。在一个实施例中，处理逻辑配置为通过识别已向虚拟层请求计算资源的虚拟机来捕获触发事件。处理逻辑随后在框404处拦截启动请求，并在框406处识别虚拟机。处理逻辑配置为通过分析虚拟机的特性识别虚拟机。这些特性可包括(但不限于)由虚拟机请求的资源、虚拟机操作系统的类型、虚拟机的操作角色(例如，文件服务器、电子邮件服务器、数据库服务器等)，和/或在VMM或虚拟机所属的业务部门名称中指定的虚拟机的名称。
在框408处，处理逻辑将虚拟机信息保存到库304。在一个实施例中，处理逻辑确定虚拟机信息是否已作为虚拟机配置文件306存在。如果虚拟机配置文件306对于所识别的虚拟机并不存在，则处理逻辑配置为使用默认的来源控制策略、DLP策略308和响应规则310来创建新的虚拟机配置文件306。在另一个实施例中，处理逻辑从例如图2的虚拟层安全驱动程序202检索虚拟机配置文件306。
在框410处，处理逻辑将DLP组件远程安装在所识别的虚拟机中。处理逻辑配置为通过推送并自动安装DLP组件来安装DLP组件。在框412处，处理逻辑任选地安装配置为向用户通知DLP策略违背情况的用户界面。在一个实施例中，所述向用户显示用户界面视觉或听觉消息。或者，所述用户界面可将消息(例如，电子邮件)传输到用户。方法400随后结束。
图5所示为本发明实施例中用于监控文件系统事件的一种方法500的流程图。所述方法开始，处理逻辑在框502处检测客户虚拟机中的“文件关闭”事件。在一个实施例中，处理逻辑例如从虚拟机102的DLP组件108接收指示用户正关闭或保存文件的通知。处理逻辑在框504处从库304(参看图3)检索与启动文件关闭事件的VM匹配的VM身份配置文件306。
在框506处，处理逻辑识别与文件关闭或保存事件相关联的存储目标。例如，处理逻辑配置为确定存储目标设备是否为可移动设备、可移动介质、网络共享等。如果DLP策略308要求监控存储目标设备，则处理逻辑在框510处配置为分析用户正请求存储在目标设备上的数据。如果DLP策略308不要求监控存储目标设备，则处理逻辑在框512处允许数据传输。
在框514处，处理逻辑确定所分析的数据是否违背DLP策略308。例如，DLP策略308规则可指定用于搜索各种文件、消息等的一个或多个关键词，例如，“机密”、“敏感”、“存档”、特定疾病的名称(例如，“癌症”、“HIV”等)等。除关键词外，DLP策略308还可包括用于检测正被监控的信息内容中的机密数据是否存在的其他规则。例如，在金融机构中，DLP策略308可规定，如果消息包含词语“机密”，则应对消息执行进一步搜索，以确定所述消息是否包括客户数据(例如，社会保障号、姓名等)或其他敏感信息(例如，财务报告、源代码等)。如果所分析的数据并不违背DLP策略308，则处理逻辑在框512处允许数据传输。
然而，如果所分析的数据违背DLP策略，则处理逻辑在框516处执行与DLP策略308相关联的响应规则310。例如，响应规则310可要求对包含机密数据的消息实施阻止、重新路由、报告、隔离、加密等。处理逻辑在框518处报告策略违背情况，响应于策略违背情况并采取措施。在一个进一步的实施例中，处理逻辑指令DLP用户接口向用户指示其已违背DLP策略。例如，DLP用户界面可配置为在屏幕上向用户显示消息，和/或通过电子邮件将消息传给用户。方法500随后结束。
图6所示为本发明实施例中另一个用于监控文件系统事件的实施例的方法600的流程图。所述方法600开始，处理逻辑在框602处检测客户虚拟机中的文件创建或文件打开事件。在一个实施例中，处理逻辑配置为远程地监控虚拟机中的文件系统事件。或者，处理逻辑配置为从DLP组件108接收通知。
在框604处，处理逻辑检索与文件系统事件相关联的虚拟机的虚拟机身份。如上文所述，处理逻辑配置为通过分析虚拟机的特性而唯一识别虚拟机。所述特性可包括(但不限于)操作系统的类型、与虚拟机相关联的虚拟设备的类型，以及虚拟机的角色。处理逻辑配置为从库304检索与所识别的虚拟机相关联的DLP配置文件。
在框606处，处理逻辑识别文件系统事件的源设备。例如，处理逻辑识别用户是否正试图打开来自因特网、附接的存储设备、本地存储设备、来自网络附接的存储设备等来源的现有文件。处理逻辑随后在框608处确定DLP策略308是否要求监控所识别的源设备。如果DLP配置文件308不要求监控源设备，则处理逻辑在框610处允许打开文件。
然而，如果DLP配置文件308要求监控源设备，则处理逻辑在框612处制作将被打开文件中数据的副本。在一个实施例中，处理逻辑可在图1的安全VM 101专用存储区中制作数据的副本。或者，处理逻辑可在客户VM 102中专用存储区中制作数据的副本。
图7所示为本发明另一个实施例的方法600流程图，该实施例用于监控一个文件系统事件。所述方法700开始，处理逻辑在框702处检测客户虚拟机中的文件创建或文件打开事件。在一个实施例中，处理逻辑配置为远程地监控虚拟机中的文件系统事件。或者，处理逻辑配置为从DLP组件108接收通知。在一个实施例中，在框702之前，处理逻辑可接收其他GVM活动事件和文件系统活动事件，例如VM触发事件。当GVM开机时，SVM中的DLP管理器104拦截所述VM触发事件，识别新VM的身份，保存此信息与VM背景，并选择性地将两个轻量级组件(DLP UI组件和DLP内核驱动程序)推送到GVM中。如本文所述，DLP UI组件用于告知用户并收集用户辩解理由。DLP内核驱动程序可用于拦截文件系统活动事件，以及监控GVM的其他活动。另外，DLP内核驱动程序可帮助识别访问文件的应用或设备，如下文所述。
在框704处，处理逻辑检索与打开或创建文件事件相关联的虚拟机的虚拟机身份。如上文所述，处理逻辑配置为通过分析虚拟机的特性而唯一识别虚拟机。所述特性可包括(但不限于)操作系统的类型、与虚拟机相关联的虚拟设备的类型，以及虚拟机的角色。处理逻辑配置为从库304检索与所识别的虚拟机相关联的DLP配置文件。
在框706处，处理逻辑识别文件系统事件的打开或创建文件事件的来源。所述来源可为应用、设备等。例如，处理逻辑识别出用户正使用未经批准应用或未经批准设备，并用于应用控制策略或设备控制策略。例如，处理逻辑可在用户使用未经批准应用或未经批准设备时远程应用应用或设备的控制策略。如果不存在应用或设备的控制策略，则处理逻辑可通过识别正被访问的文件是否包含敏感信息而应用DLP策略和响应规则。处理逻辑还可识别应用的类型、设备的类型，或与文件系统活动事件相关联的其他信息。
在框708处，处理逻辑确定来源控制策略是否存在，以限制对所识别来源的访问，以确定DLP策略是否要求监控所述来源。在框708处，如果处理逻辑确定存在来源控制策略，则处理逻辑确定所述来源是否为已批准的来源(框710)。在框710处，如果处理逻辑确定所述来源为已批准来源，则在框720处，处理逻辑可允许数据传输。如果来源未被批准，则处理逻辑阻止数据传输(框712)，方法700结束。如果在框708处不存在来源控制策略，则处理逻辑监控来源，如下文所述。例如，处理逻辑可确定DLP配置文件308是否要求监控。
在框714处，处理逻辑处理逻辑制作将被打开的文件中的数据的副本。在一个实施例中，处理逻辑可在图1的安全VM 101的专用存储区域中制作数据的副本。或者，处理逻辑可在客户VM 102中的专用存储区域中制作数据的副本。处理逻辑在框716处当从虚拟机102的DLP组件108接收到指示用户正关闭或保存文件的通知时，确定经修改的文件是否违背DLP策略308(框718)。例如，处理逻辑配置为分析违背DLP策略的词语和媒体对象(例如，图像、音频对象和视频对象)的内容。如果处理逻辑在框718处确定所分析的数据并不违背DLP策略308，则处理逻辑在框720处允许数据传输。如果在框718处所分析的数据违背DLP策略，则处理逻辑在框722处执行与DLP策略308相关联的响应规则310，并将文件的副本恢复到其原始位置。处理逻辑在框724处删除文件的副本，方法700结束。
在另一个实施例中，处理逻辑通过专用SVM监控GVM访问文件的文件打开或事件创建。处理逻辑识别与文件打开或事件创建相关联的来源，其中所述来源为至少一个正由GVM使用的应用或设备。当与文件打开或事件创建相关联的所述来源根据来源控制策略为未经批准来源时，处理逻辑执行与GVM相关联的第一响应规则。当文件违背DLP策略时，处理逻辑执行与GVM相关联的第二响应规则。
在一个进一步的实施例中，处理逻辑确定来源控制策略是否存在，以限制对所识别来源的访问，确定DLP策略是否要求监控所述来源。处理逻辑在来源中监控与文件相关联的文件系统事件，以确定所述文件是否违背DLP策略。
在一个进一步的实施例中，处理逻辑通过以下操作进行监控：识别与文件打开事件相关联的文件关闭或保存事件；分析与文件关闭或保存事件相关联的数据，以确定数据是否违背DLP策略；在数据违背DLP策略的情况下，执行与DLP策略相关联的第二响应规则。在一个进一步的实施例中，在数据违背DLP策略时，处理逻辑记录DLP策略违背情况。
在另一个实施例中，处理逻辑确定DLP策略是否要求监控来源。处理逻辑存储文件的副本，并在数据违背DLP策略的情况下，在关闭或保存事件中恢复文件的副本。
在另一个实施例中，处理逻辑将DLP组件远程安装在所识别的虚拟机中。处理逻辑配置为通过推送并自动安装DLP组件来安装DLP组件。处理逻辑可选择性地安装用户界面，其配置为向用户通知DLP策略违背情况。在一个实施例中，所述用户界面向用户显示视觉或听觉消息。
在一个进一步的实施例中，处理逻辑从配置文件库检索与GVM相关联的DLP配置文件，所述DLP配置文件包括来源控制策略、DLP策略和第二响应规则。在另一个实施例中，来源控制策略为至少一种应用控制策略或设备控制策略。处理逻辑识别来源包括确定文件打开或事件创建是否源自所述应用或所述设备。
在另一个实施例中，处理逻辑确定文件并未违背DLP策略。在文件未违背DLP策略时，处理逻辑缓存确定的结果。至少有一个文件违背DLP策略或在来源为未经批准来源时，不缓存所述结果。当DLP配置文件中存在与GVM相关联的变更时，清除缓存。
图8所示为一个实施例中可促进DLP管理器执行的一种计算机系统图解。在所述计算机系统00中为一组用于使机器执行本文所述任一或多种方法的指令。在可供选择的实施例中，该机器可以连接到(例如，联网到)LAN、内部网、外部网或因特网中的其他机器。所述机器可以为云端的主机、云提供商系统、云控制器或任何其他机器。所述机器可以在客户端服务器网络环境中以作为服务器或客户端机器运行，也可在对等(或分布式)网络环境中作为对等机器运行。所述机器可以为个人计算机(PC)、平板PC、控制台设备或机顶盒(STB)、个人数字助理(PDA)、蜂窝式电话、网络设备、服务器、网络路由器、交换机或桥接器，或能够(按顺序或以其他方式)执行规定措施的任何机器。此外，虽然此处仅对一个机器说明，但术语“机器”还应视为包括机器(例如，计算机)的任何集合，所述机器独立或共同执行一组(或多组)指令，以执行本文所述的任何一种或多种方法。
示例性计算机系统800包括处理设备802、主存储器804(例如，只读存储器(ROM)、闪存、例如同步DRAM(SDRAM)或DRAM(RDRAM)等动态随机存取存储器(DRAM)等)、静态存储器806(例如，闪存、静态随机存取存储器(SRAM)等)以及辅助存储器818(驱动器形式的数据存储设备，其可包括固定或可移动计算机可读存储介质)，其通过总线830进行相互通信。
处理设备802为一个或多个通用处理设备，例如微处理器、中央处理器等等。具体而言，处理设备802可为复杂指令集计算(CISC)微处理器、精简指令集计算(RISC)微处理器、超长指令字(VLIW)微处理器、实施其他指令集的处理器或实施指令集组合的多个处理器。处理设备802还可为一个或多个专用处理设备，例如专用集成电路(ASIC)、现场可编程门阵列(FPGA)、数字信号处理器(DSP)、网络处理器等等。处理设备802配置为执行指令826，用于执行本文所述操作和步骤。
所述计算机系统800可进一步包括网络接口设备822。计算机系统800还可包括通过图形端口和图形芯片组连接到计算机系统的视频显示器810(例如，液晶显示器(LCD)或阴极射线管(CRT))、字母数字输入设备812(例如，键盘)、光标控制设备814(例如，鼠标)，和信号发生器820(例如，扬声器)。
辅助存储器818可包括机器可读存储介质(或具体而言为计算机可读存储介质)824，其中存储一组或多组指令826，所述一组或多组指令体现本文所述任何一种或多种方法或功能。在一个实施例中，指令826包括用于DLP管理器104的指令。指令826还可在其由计算机系统800执行期间完全或至少部分驻留在主存储器804和/或处理设备802中，主存储器804和处理设备802也构成机器可读存储介质。
计算机可读存储介质824还可用于永久存储指令826虽然计算机可读存储介质824在示例性实施例中为一种介质，但术语“计算机可读存储介质”应视为包括存储了一个或多组指令的一种介质或多种介质(例如，集中式或分布式数据库和/或相关联的缓存和服务器)。术语“计算机可读存储介质”还应视为包括能够存储或编码用于由机器执行并使机器执行本发明任一或多种方法的一组指令的任何介质。术语“计算机可读存储介质”应因此视为包括(但不限于)固态存储器以及光学介质和磁介质。
本文所述的指令826、组件和其他特征可被实施为离散硬件组件或集成在例如ASICS、FPGA、DSP或类似设备等硬件组件的功能中。另外，指令826可作为硬件设备中的固件或功能电路实施。此外，指令826可在任何硬件设备和软件组件的组合实施。
上文对诸多细节做出陈述。然而，，对本领域技术人员而言，显而易见，缺少这些具体细节也能实施本发明。在一些情况下，为避免使本发明表述不清，将以框图形式(而非详细说明)说明众所周知的结构和设备。
在随后的部分详细说明中，将从计算机存储器中数据位操作的算法和符号表示角度进行说明。这些算法描述和表示是是数据处理领域技术人员用以向其他同行表述其工作本质的有效手段。此处的算法通常为一系列能达到所需结果的有序步骤。所述步骤是指那些需要对物理量进行的物理操作步骤。通常(但并非必须)，这些物理量以能够被存储、传输、组合、比较以及其他方式操作的电信号或磁信号的形式出现。事实证明，主要出于常见用途原因，有时将这些信号称为位、值、元素、符号、字符、项、数等名称会将便于使用。
然而，应该牢记，这些和全部类似术语都将与适当的物理量相关，其使用仅仅出于上述物理量的标记方便。除非另有具体规定，否则，从以下论述显而易见，全部说明中所使用的例如“提供”、“产生”、“安装”、“监控”、“执行”、“接收”、“记录”、“拦截”等术语，是指计算机系统的有关操作和过程，其对代表计算机系统寄存器和存储器中物理(电子)量的数据进行操作，并将所述数据转换为代表所述计算机系统存储器或寄存器(或其他此类信息存储、传输或显示设备)中其他类似物理量的其他数据。
应当理解，上述描述旨在做示例性描述，而非限制性描述。在阅读并理解上述描述后，许多其他实施例对于本领域技术人员而言将是显而易见的。虽然本文已结合具体示例性实施例对本发明进行说明，但应认识到，本发明并不限于所述的实施例，在不脱离所附权利要求书的精神和范围情况下，本发明在实施中可做有关修改和变更。因此，应以说明性意义而非限制性意义看待本说明书和附图。因此，应结合所附权利要求书以及所述权利要求书有权获得的等效物的完整范围，共同确定本发明的范围。

Claims (15)

1.一种方法，包括：
通过由计算系统执行的专用安全虚拟机(SVM)监控由所述计算系统执行的客户虚拟机(GVM)访问文件的文件打开事件；
识别与所述文件打开事件相关联的来源，其中所述来源为至少一个正由所述GVM使用的应用或设备；
当根据来源控制策略，与所述文件打开事件相关联的所述来源为未经批准来源时，执行与所述GVM相关联的第一响应规则；
当所述文件违背数据泄漏防护(DLP)策略时，执行与所述GVM相关联的第二响应规则。
2.根据权利要求1所述的方法，还包括：
确定所述来源控制策略是否存在，以限制对所述所识别来源的访问，确定所述DLP策略是否要求监控所述来源；
在所述来源中监控与所述文件相关联的文件系统事件，以确定所述文件是否违背所述DLP策略，其中所述监控包括：
识别与所述文件打开事件相关联的文件关闭事件；
分析与所述文件关闭事件相关联的数据，以确定所述数据是否违背所述DLP策略；
在所述数据违背所述DLP策略的情况下，执行与所述DLP策略相关联的所述第二响应规则；及
在所述数据违背所述DLP策略时，报告DLP策略违背情况。
3.根据权利要求1所述方法，还包括：
确定所述DLP策略是否要求监控所述来源；
存储所述文件的副本；及
在所述数据违背所述DLP策略情况下，在所述关闭事件中恢复所述文件的所述副本。
4.根据权利要求1所述的方法，还包括将DLP用户界面安装在所述客户虚拟机中，所述DLP用户界面配置为向用户通知DLP违背情况。
5.根据权利要求1所述的方法，还包括从配置文件库检索与所述GVM相关联的DLP配置文件，所述DLP配置文件包括所述来源控制策略、DLP策略和所述第二响应规则。
6.根据权利要求1所述的方法，其中所述来源控制策略至少为一种应用控制策略或设备控制策略，其中，识别所述来源包括确定所述文件打开事件是否源自所述应用或所述设备。
7.根据权利要求1所述方法，还包括：
确定所述文件是否违背所述DLP策略；
在所述文件不违背所述DLP策略时，缓存所述确定的结果，其中，在至少有一个所述文件违背所述DLP策略或所述来源为未经批准来源时，不缓存所述结果。
8.一种永久性计算机可读存储介质，包括指令，所述指令在由处理设备执行时，使所述处理设备执行以下操作，其中包括：
通过由计算系统执行的专用安全虚拟机(SVM)监控由所述计算系统执行的客户虚拟机(GVM)访问文件的文件打开事件；
识别与所述文件打开事件相关联的来源，其中所述来源为至少一个正由所述GVM使用的应用或设备；
当根据来源控制策略，与所述文件打开事件相关联的所述来源为未经批准来源时，执行与所述GVM相关联的第一响应规则；
当所述文件违背数据泄漏防护(DLP)策略时，执行与所述GVM相关联的第二响应规则。
9.根据权利要求8所述的计算机可读存储介质，其中所述操作还包括：
确定所述来源控制策略是否存在，以限制对所述所识别的来源的访问，确定所述DLP策略是否要求监控所述来源；
在所述来源中监控与所述文件相关联的文件系统事件，以确定所述文件是否违背所述DLP策略，其中所述监控包括：
识别与所述文件打开事件相关联的文件关闭事件；
分析与所述文件关闭事件相关联的数据，以确定所述数据是否违背所述DLP策略；
在所述数据违背所述DLP策略的情况下，执行与所述DLP策略相关联的所述第二响应规则。
10.根据权利要求8所述的计算机可读存储介质，其中所述操作还包括：
确定所述文件是否违背所述DLP策略；
在所述文件不违背所述DLP策略时，缓存所述确定的结果，其中，在在至少有一个所述文件违背所述DLP策略或所述来源为未经批准来源时，不缓存所述结果。
11.一种计算设备，包括：
一种存储器，其用以存储用于提供一种数据泄漏防护(DLP)管理器的指令；
一种计算设备，其耦合到所述存储器，其中所述计算设备配置为执行所述DLP管理器：
通过所述DLP管理器监控由所述计算系统执行的客户虚拟机(GVM)访问文件的文件打开事件；
识别与所述文件打开事件相关联的来源，其中所述来源为至少一个正由所述GVM使用的应用或设备；
当根据来源控制策略，与所述文件打开事件相关联的所述来源为未经批准来源时，执行与所述GVM相关联的第一响应规则；
当所述文件违背数据泄漏防护(DLP)策略时，执行与所述GVM相关联的第二响应规则。
12.根据权利要求11所述的计算设备，其中所述DLP管理器进一步配置为：
确定所述来源控制策略是否存在，以限制对所述所识别的来源的访问，确定所述DLP策略是否要求监控所述来源；
在所述来源中监控与所述文件相关联的文件系统事件，以确定所述文件是否违背所述DLP策略。
13.根据权利要求12所述的计算设备，其中所述DLP管理器进一步配置为：
识别与所述文件打开事件相关联的文件关闭事件；
分析与所述文件关闭事件相关联的数据，以确定所述数据是否违背所述DLP策略；
在所述数据违背所述DLP策略的情况下，执行与所述DLP策略相关联的所述第二响应规则。
14.根据权利要求11所述的计算设备，其中所述DLP管理器进一步配置为从配置文件库检索与所述GVM相关联的DLP配置文件，所述DLP配置文件包括所述来源控制策略、DLP策略和所述响应规则。
15.根据权利要求11所述的计算设备，其中所述DLP管理器进一步配置为将DLP用户界面安装在所述客户虚拟机中，所述DLP用户界面配置为向用户通知DLP违背情况。
CN201480007008.9A 2013-02-19 2014-02-12 虚拟化环境中应用和设备控制的方法和技术 Active CN104956376B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US13/770032 2013-02-19
US13/770,032 US9165150B2 (en) 2013-02-19 2013-02-19 Application and device control in a virtualized environment
PCT/US2014/016131 WO2014130328A1 (en) 2013-02-19 2014-02-12 Method and technique for application and device control in a virtualized environment

Publications (2)

Publication Number Publication Date
CN104956376A true CN104956376A (zh) 2015-09-30
CN104956376B CN104956376B (zh) 2018-09-18

Family

ID=50190791

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201480007008.9A Active CN104956376B (zh) 2013-02-19 2014-02-12 虚拟化环境中应用和设备控制的方法和技术

Country Status (5)

Country Link
US (1) US9165150B2 (zh)
EP (1) EP2959425A1 (zh)
JP (1) JP6356158B2 (zh)
CN (1) CN104956376B (zh)
WO (1) WO2014130328A1 (zh)

Families Citing this family (57)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8307177B2 (en) 2008-09-05 2012-11-06 Commvault Systems, Inc. Systems and methods for management of virtualization data
US11449394B2 (en) 2010-06-04 2022-09-20 Commvault Systems, Inc. Failover systems and methods for performing backup operations, including heterogeneous indexing and load balancing of backup and indexing resources
DE102012200155A1 (de) * 2012-01-05 2013-07-11 Continental Automotive Gmbh Rechnersystem und Verfahren zum Betreiben eines Rechnersystems
US9779260B1 (en) 2012-06-11 2017-10-03 Dell Software Inc. Aggregation and classification of secure data
US9230096B2 (en) * 2012-07-02 2016-01-05 Symantec Corporation System and method for data loss prevention in a virtualized environment
US9740702B2 (en) 2012-12-21 2017-08-22 Commvault Systems, Inc. Systems and methods to identify unprotected virtual machines
US9286086B2 (en) 2012-12-21 2016-03-15 Commvault Systems, Inc. Archiving virtual machines in a data storage system
US20140196038A1 (en) 2013-01-08 2014-07-10 Commvault Systems, Inc. Virtual machine management in a data storage system
US20140201162A1 (en) 2013-01-11 2014-07-17 Commvault Systems, Inc. Systems and methods to restore selected files from block-level backup for virtual machines
US9286110B2 (en) 2013-01-14 2016-03-15 Commvault Systems, Inc. Seamless virtual machine recall in a data storage system
US20140325605A1 (en) * 2013-04-30 2014-10-30 Kings Information & Network Co., Ltd. System for storage security of cloud server in cloud computing environment and method thereof
US9027078B1 (en) * 2013-05-28 2015-05-05 Symantec Corporation Systems and methods for enforcing data loss prevention policies on sandboxed applications
US9208310B2 (en) * 2013-06-26 2015-12-08 Cognizant Technology Solutions India Pvt. Ltd. System and method for securely managing enterprise related applications and data on portable communication devices
US9939981B2 (en) 2013-09-12 2018-04-10 Commvault Systems, Inc. File manager integration with virtualization in an information management system with an enhanced storage manager, including user control and storage management of virtual machines
US9811427B2 (en) 2014-04-02 2017-11-07 Commvault Systems, Inc. Information management by a media agent in the absence of communications with a storage manager
KR101534566B1 (ko) * 2014-05-09 2015-07-24 한국전자통신연구원 클라우드 가상 데스크탑 보안 통제 장치 및 방법
US20160014078A1 (en) * 2014-07-10 2016-01-14 Sven Schrecker Communications gateway security management
US20160019317A1 (en) 2014-07-16 2016-01-21 Commvault Systems, Inc. Volume or virtual machine level backup and generating placeholders for virtual machine files
US9417968B2 (en) 2014-09-22 2016-08-16 Commvault Systems, Inc. Efficiently restoring execution of a backed up virtual machine based on coordination with virtual-machine-file-relocation operations
US9436555B2 (en) 2014-09-22 2016-09-06 Commvault Systems, Inc. Efficient live-mount of a backed up virtual machine in a storage management system
US9710465B2 (en) * 2014-09-22 2017-07-18 Commvault Systems, Inc. Efficiently restoring execution of a backed up virtual machine based on coordination with virtual-machine-file-relocation operations
US10776209B2 (en) 2014-11-10 2020-09-15 Commvault Systems, Inc. Cross-platform virtual machine backup and replication
US9983936B2 (en) 2014-11-20 2018-05-29 Commvault Systems, Inc. Virtual machine change block tracking
US10326748B1 (en) 2015-02-25 2019-06-18 Quest Software Inc. Systems and methods for event-based authentication
US10417613B1 (en) 2015-03-17 2019-09-17 Quest Software Inc. Systems and methods of patternizing logged user-initiated events for scheduling functions
US9652612B2 (en) * 2015-03-25 2017-05-16 International Business Machines Corporation Security within a software-defined infrastructure
US9990506B1 (en) 2015-03-30 2018-06-05 Quest Software Inc. Systems and methods of securing network-accessible peripheral devices
US9842218B1 (en) 2015-04-10 2017-12-12 Dell Software Inc. Systems and methods of secure self-service access to content
US9842220B1 (en) * 2015-04-10 2017-12-12 Dell Software Inc. Systems and methods of secure self-service access to content
US10536352B1 (en) 2015-08-05 2020-01-14 Quest Software Inc. Systems and methods for tuning cross-platform data collection
US10157358B1 (en) 2015-10-05 2018-12-18 Quest Software Inc. Systems and methods for multi-stream performance patternization and interval-based prediction
US10218588B1 (en) 2015-10-05 2019-02-26 Quest Software Inc. Systems and methods for multi-stream performance patternization and optimization of virtual meetings
US20180247085A1 (en) * 2015-10-30 2018-08-30 Hewlett Packard Enterprise Development Lp Secure job pool and process
US10565067B2 (en) 2016-03-09 2020-02-18 Commvault Systems, Inc. Virtual server cloud file system for virtual machine backup from cloud operations
US10142391B1 (en) 2016-03-25 2018-11-27 Quest Software Inc. Systems and methods of diagnosing down-layer performance problems via multi-stream performance patternization
US10162973B2 (en) 2016-06-28 2018-12-25 International Business Machines Corporation Dynamically provisioning virtual machines
US10417102B2 (en) 2016-09-30 2019-09-17 Commvault Systems, Inc. Heartbeat monitoring of virtual machines for initiating failover operations in a data storage management system, including virtual machine distribution logic
US10152251B2 (en) 2016-10-25 2018-12-11 Commvault Systems, Inc. Targeted backup of virtual machine
US10162528B2 (en) 2016-10-25 2018-12-25 Commvault Systems, Inc. Targeted snapshot based on virtual machine location
US10678758B2 (en) 2016-11-21 2020-06-09 Commvault Systems, Inc. Cross-platform virtual machine data and memory backup and replication
US10678579B2 (en) * 2017-03-17 2020-06-09 Vmware, Inc. Policy based cross-cloud migration
US10474542B2 (en) 2017-03-24 2019-11-12 Commvault Systems, Inc. Time-based virtual machine reversion
US10387073B2 (en) 2017-03-29 2019-08-20 Commvault Systems, Inc. External dynamic virtual machine synchronization
US10911233B2 (en) * 2017-09-11 2021-02-02 Zscaler, Inc. Identification of related tokens in a byte stream using structured signature data
US10877928B2 (en) 2018-03-07 2020-12-29 Commvault Systems, Inc. Using utilities injected into cloud-based virtual machines for speeding up virtual machine backup operations
WO2019237072A1 (en) * 2018-06-08 2019-12-12 Nvidia Corporation Virtualized intrusion detection and prevention in autonomous vehicles
RU2708355C1 (ru) * 2018-06-29 2019-12-05 Акционерное общество "Лаборатория Касперского" Способ обнаружения вредоносных файлов, противодействующих анализу в изолированной среде
US11200124B2 (en) 2018-12-06 2021-12-14 Commvault Systems, Inc. Assigning backup resources based on failover of partnered data storage servers in a data storage management system
CN112292678A (zh) * 2019-01-04 2021-01-29 百度时代网络技术（北京）有限公司 用于验证将要由主机系统的数据处理加速器执行的内核对象的方法与系统
US10996974B2 (en) 2019-01-30 2021-05-04 Commvault Systems, Inc. Cross-hypervisor live mount of backed up virtual machine data, including management of cache storage for virtual machine data
US10768971B2 (en) 2019-01-30 2020-09-08 Commvault Systems, Inc. Cross-hypervisor live mount of backed up virtual machine data
US11467753B2 (en) 2020-02-14 2022-10-11 Commvault Systems, Inc. On-demand restore of virtual machine data
US11442768B2 (en) 2020-03-12 2022-09-13 Commvault Systems, Inc. Cross-hypervisor live recovery of virtual machines
US11099956B1 (en) 2020-03-26 2021-08-24 Commvault Systems, Inc. Snapshot-based disaster recovery orchestration of virtual machine failover and failback operations
US11500669B2 (en) 2020-05-15 2022-11-15 Commvault Systems, Inc. Live recovery of virtual machines in a public cloud computing environment
US11656951B2 (en) 2020-10-28 2023-05-23 Commvault Systems, Inc. Data loss vulnerability detection
KR102327886B1 (ko) * 2021-03-30 2021-11-18 (주)지란지교시큐리티 가상 머신 운영 장치 및 방법

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101673215A (zh) * 2008-09-09 2010-03-17 联想(北京)有限公司 一种计算机和虚拟环境中用户管理方法
US20100125855A1 (en) * 2008-11-14 2010-05-20 Oracle International Corporation System and method of security management for a virtual environment
CN102741853A (zh) * 2009-11-10 2012-10-17 麦克菲公司 用于利用虚拟机包裹应用来防止数据丢失的系统和方法

Family Cites Families (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4177957B2 (ja) * 2000-03-22 2008-11-05 日立オムロンターミナルソリューションズ株式会社 アクセス制御システム
US7260820B1 (en) * 2001-04-26 2007-08-21 Vm Ware, Inc. Undefeatable transformation for virtual machine I/O operations
US20040025166A1 (en) * 2002-02-02 2004-02-05 International Business Machines Corporation Server computer and a method for accessing resources from virtual machines of a server computer via a fibre channel
US7814021B2 (en) 2003-01-23 2010-10-12 Verdasys, Inc. Managed distribution of digital assets
JP4557875B2 (ja) * 2005-11-30 2010-10-06 キヤノン株式会社 画像処理方法及び装置
US7653659B2 (en) 2005-12-12 2010-01-26 International Business Machines Corporation System for automatic arrangement of portlets on portal pages according to semantical and functional relationship
US8627490B2 (en) * 2005-12-29 2014-01-07 Nextlabs, Inc. Enforcing document control in an information management system
JP4806271B2 (ja) * 2006-02-27 2011-11-02 富士通株式会社 情報セキュリティシステム、そのサーバ、プログラム
US8307443B2 (en) * 2007-09-28 2012-11-06 Microsoft Corporation Securing anti-virus software with virtualization
US8037537B1 (en) 2007-11-28 2011-10-11 Mcafee, Inc. System, method, and computer program product for conditionally securing data stored on a peripheral device coupled to a system, based on a state of the system
US8621551B2 (en) 2008-04-18 2013-12-31 Samsung Electronics Company, Ltd. Safety and management of computing environments that may support unsafe components
US8347380B1 (en) * 2008-06-30 2013-01-01 Symantec Corporation Protecting users from accidentally disclosing personal information in an insecure environment
US8826443B1 (en) 2008-09-18 2014-09-02 Symantec Corporation Selective removal of protected content from web requests sent to an interactive website
JP2010092288A (ja) * 2008-10-08 2010-04-22 Mitsubishi Electric Corp ファイル管理方法、管理端末、情報処理端末、ファイル管理システム、ファイル管理プログラム
JP2010257429A (ja) * 2009-04-28 2010-11-11 Toshiba Corp 計算機
WO2011143103A2 (en) * 2010-05-10 2011-11-17 Citrix Systems, Inc. Redirection of information from secure virtual machines to unsecure virtual machines
JP5517162B2 (ja) * 2010-09-22 2014-06-11 インターナショナル・ビジネス・マシーンズ・コーポレーション 文書情報の機密ラベルを判定する方法、コンピュータ・プログラム、装置、及びシステム
US8849857B2 (en) 2010-12-17 2014-09-30 International Business Machines Corporation Techniques for performing data loss prevention
US9230096B2 (en) * 2012-07-02 2016-01-05 Symantec Corporation System and method for data loss prevention in a virtualized environment

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101673215A (zh) * 2008-09-09 2010-03-17 联想(北京)有限公司 一种计算机和虚拟环境中用户管理方法
US20100125855A1 (en) * 2008-11-14 2010-05-20 Oracle International Corporation System and method of security management for a virtual environment
CN102741853A (zh) * 2009-11-10 2012-10-17 麦克菲公司 用于利用虚拟机包裹应用来防止数据丢失的系统和方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
XIN ZHAO: ""Towards Protecting Sensitive Files in a Compromised System"", 《COMPUTER SOCIETY》 *

Also Published As

Publication number Publication date
US9165150B2 (en) 2015-10-20
EP2959425A1 (en) 2015-12-30
CN104956376B (zh) 2018-09-18
US20140237537A1 (en) 2014-08-21
JP2016507124A (ja) 2016-03-07
WO2014130328A1 (en) 2014-08-28
JP6356158B2 (ja) 2018-07-11

Similar Documents

Publication Publication Date Title
CN104956376B (zh) 虚拟化环境中应用和设备控制的方法和技术
US9230096B2 (en) System and method for data loss prevention in a virtualized environment
US10891371B2 (en) Detecting malicious user activity
US10936717B1 (en) Monitoring containers running on container host devices for detection of anomalies in current container behavior
US9652597B2 (en) Systems and methods for detecting information leakage by an organizational insider
US8844059B1 (en) Method and apparatus for preventing data loss through screen capture
US11138600B2 (en) Smart contract regulation
CN110383278A (zh) 用于检测恶意计算事件的系统和方法
US10956664B2 (en) Automated form generation and analysis
WO2016138067A1 (en) System and method for securing an enterprise computing environment
US11483319B2 (en) Security model
WO2014208427A1 (ja) セキュリティ情報管理システム及びセキュリティ情報管理方法
US10242187B1 (en) Systems and methods for providing integrated security management
US10482240B2 (en) Anti-malware device, anti-malware system, anti-malware method, and recording medium in which anti-malware program is stored
US20200012789A1 (en) Selection apparatus, selection method, and selection program
US11093611B2 (en) Utilization of deceptive decoy elements to identify data leakage processes invoked by suspicious entities
KR20200025043A (ko) 인공 지능 기반의 통합 로그 관리 방법 및 그 시스템
CN115904605A (zh) 软件防御方法以及相关设备
US9171171B1 (en) Generating a heat map to identify vulnerable data users within an organization
US9137317B2 (en) Data loss prevention of information using structured document templates and forms
JP7486579B2 (ja) 仮想マシンのコンテンツに基づくクラスタ・セキュリティ
US20210049516A1 (en) Using a Machine Learning System to Process a Corpus of Documents Associated With a User to Determine a User-Specific and/or Process-Specific Consequence Index
CN115238292A (zh) 数据安全管控方法、装置、电子设备及存储介质
US9253214B1 (en) Systems and methods for optimizing data loss prevention systems
KR102311997B1 (ko) 인공지능 행위분석 기반의 edr 장치 및 방법

Legal Events

Date Code Title Description
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
TR01 Transfer of patent right

Effective date of registration: 20191231

Address after: California, USA

Patentee after: CA,INC.

Address before: California, USA

Patentee before: Symantec Corporation

TR01 Transfer of patent right