CN105553720A - 一种具有可信运行环境的客户端及系统 - Google Patents

一种具有可信运行环境的客户端及系统 Download PDF

Info

Publication number
CN105553720A
CN105553720A CN201510936601.8A CN201510936601A CN105553720A CN 105553720 A CN105553720 A CN 105553720A CN 201510936601 A CN201510936601 A CN 201510936601A CN 105553720 A CN105553720 A CN 105553720A
Authority
CN
China
Prior art keywords
client
module
software
instruction
configuration file
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201510936601.8A
Other languages
English (en)
Inventor
戴纯兴
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Inspur Electronic Information Industry Co Ltd
Original Assignee
Inspur Electronic Information Industry Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Inspur Electronic Information Industry Co Ltd filed Critical Inspur Electronic Information Industry Co Ltd
Priority to CN201510936601.8A priority Critical patent/CN105553720A/zh
Publication of CN105553720A publication Critical patent/CN105553720A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/04—Network management architectures or arrangements
    • H04L41/046—Network management architectures or arrangements comprising network management agents or mobile agents therefor
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0803—Configuration setting
    • H04L41/0813—Configuration setting characterised by the conditions triggering a change of settings
    • H04L41/0816—Configuration setting characterised by the conditions triggering a change of settings the condition being an adaptation, e.g. in response to network events
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0803—Configuration setting
    • H04L41/0823—Configuration setting characterised by the purposes of a change of settings, e.g. optimising configuration for enhancing reliability
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/08—Configuration management of networks or network elements
    • H04L41/0893—Assignment of logical groups to network elements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/2866—Architectures; Arrangements
    • H04L67/30—Profiles
    • H04L67/303—Terminal profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/56—Provisioning of proxy services
    • H04L67/562—Brokering proxy services

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

本发明提供一种具有可信运行环境的客户端及系统，该客户端包括：注册模块、代理模块、控制模块及指令模块；所述注册模块，用于向外部的控制中心发送注册请求消息，将所述客户端注册到所述控制中心；所述代理模块，用于接收外部控制中心发送的策略配置文件及控制指令；所述控制模块，用于根据所述代理模块接收到的策略配置文件，对所述客户端的网络访问、软件启动、资源修改及外设进行控制；所述指令模块，用于根据所述代理模块接收到的控制指令，对所述客户端的运行环境进行优化。该系统包括：控制中心及至少一个上述客户端。本方案能够提高对公司机密资料的保护力度。

Description

一种具有可信运行环境的客户端及系统
技术领域
本发明涉及计算机技术领域，特别涉及一种具有可信运行环境的客户端及系统
背景技术
随着计算机技术的发展，计算机已经成为常用的办公工具，为办公提供了很多便利。计算机为办公带来便利的同时，也为公司资料安全带来了各种各样的威胁，最常见的威胁便是公司中的办公计算机遭受病毒或恶意软件的攻击，由于办公计算机安装不安全的软件或访问不安全的网页，造成办公计算机被非法侵入，造成公司重要资料的泄露。除了上述由于办公计算机遭受病毒或恶意软件的攻击造成公司资料泄露外，另一个重要的泄露途径便是公司内部员工窃取公司重要资料，通过在办公计算机上安装通信软件或通过外设使公司重要资料外泄以获取不正当利益。无论通过何种方式，一旦公司的重要资料发生外泄，将给公司造成巨大的损失。
目前，为了防止公司内部员工窃取公司机密资料，在员工的办公计算机上都安装有监控软件，通过钩子技术获取员工计算机的操作日志，通过查看员工计算机的操作日志，确定员工是否具有窃取公司机密资料的行为。
针对于现有技术防止内部员工窃取机密资料的方法，通过查看员工办公计算机的操作日志，确定员工是否有窃取公司机密资料的行为，这是一种事后处理的方法，当发现员工有窃取公司机密资料的行为时，可能公司的机密资料已经发生了外泄，给公司带来不可挽回的损失，因而，现有技术防止内部员工窃取机密资料的方法，对公司机密资料的保护力度较低。
发明内容
本发明提供一种具有可信运行环境的客户端及系统，能够提高对公司机密资料的保护力度。
本发明实施例提供了一种具有可信运行环境的客户端，包括：注册模块、代理模块、控制模块及指令模块；
所述注册模块，用于向外部的控制中心发送注册请求消息，将所述客户端注册到所述控制中心；
所述代理模块，用于接收外部控制中心发送的策略配置文件及控制指令；
所述控制模块，用于根据所述代理模块接收到的策略配置文件，对所述客户端的网络访问、软件启动、资源修改及外设进行控制；
所述指令模块，用于根据所述代理模块接收到的控制指令，对所述客户端的运行环境进行优化。
优选地，所述策略配置文件包括：第一软件白名单、第二软件白名单、系统资源白名单及外部设备控制策略；
所述控制模块，具体用于执行如下操作：
根据所述第一软件白名单，判断要访问网络资源的软件是否在所述第一软件白名单内，以及判断该软件访问的网络资源是否为所述第一软件白名单规定的特定网络资源，如果判断结果均为是，则允许该软件对网络资源的访问，否则阻止该软件对网络资源的访问；
根据所述第二软件白名单，判断要启动的软件是否在所述第二软件白名单内，如果是，允许该软件启动，否则阻止该软件启动；
根据所述系统资源白名单，判断要被修改的系统资源是否在所述系统资源白名单内，如果是，允许对该系统资源进行修改，否则阻止对该系统资源进行修改；
根据所述外部设备控制策略，判断与所述客户端连接的外部设备是否为存储类外部设备，如果是，阻止所述客户端与该外部设备通信，否则允许所述客户端与该外部设备通信。
优选地，所述控制指令包括：配置文件修改指令、系统状态搜集指令、安装或卸载软件指令及日志发送指令中的任意一个或多个；
所述指令模块，具体用于执行如下操作：
根据所述配置文件修改指令，对所述客户端的系统文件和/或所述策略配置文件进行修改；
和/或，
根据所述系统状态搜集指令，对所述客户端上安装的软件及配置文件信息进行搜集，并将搜集到的软件名单及配置文件信息发送至所述代理模块；
和/或，
根据所述安装或卸载软件指令，在所述客户端上安装或卸载对应的软件；
和/或，
根据所述日志发送指令，对所述客户端的操作日志进行搜集，并将搜集到的操作日志发送至所述代理模块；
所述代理模块，用于将所述软件名单及配置文件信息和/或所述操作日志发送至所述控制中心。
优选地，所述指令模块，进一步用于判断配置文件修改指令的来源，如果所述配置文件修改指令来自所述控制中心，则执行所述根据所述配置文件修改指令，对所述客户端的系统文件和/或所述策略配置文件进行修改，如果所述配置文件修改指令来自于所述客户端自身，则由所述控制模块执行所述根据所述系统资源白名单，判断要被修改的系统资源是否在所述系统资源白名单内，如果是，允许对该系统资源进行修改，否则阻止对该系统资源进行修改。
优选地，所述注册模块，用于接收用户对所述客户端的触发，对所述客户端的代理配置文件进行配置，使所述客户端的IP地址与所述控制中心的IP地址位于同一网段，将所述客户端与所述控制中心之间的网络连通，向所述控制中心发送注册请求消息，待所述控制中心确认后，完成所述客户端向所述控制中心的注册，实现所述代理模块与所述控制中心的通信。
本发明实施例还提供了一种具有可信运行环境的系统，包括：控制中心及至少一个权利要求1至5中任一所述的客户端，其中，
所述控制中心包括：客户端管理模块、通信模块、策略生存模块及环境优化模块；
所述客户端管理模块，用于接收所述客户端发送的注册请求消息，对所述客户端进行注册；
所述策略生成模块，用于生成对所述客户端的网络访问、软件启动、资源修改及外设进行控制的策略配置文件；
所述环境优化模块，用于生成对所述客户端的运行环境进行优化的控制指令；
所述通信模块，用于将所述策略生成模块生成的策略配置文件及所述环境优化模块生成的控制指令发送至各个所述客户端。
优选地，所述策略生成模块，用于生成包括第一软件白名单、第二软件白名单、系统资源白名单及外部设备控制策略的策略配置文件，其中，所述第一软件白名单中的软件允许对特定网络资源进行访问，所述第二软件白名单中的软件允许在所述客户端上启动，所述系统资源白名单中的系统资源允许被修改，所述外部设备控制策略为阻止存储类外部设备与所述客户端通信。
优选地，所述环境优化模块包括：配置文件修改单元、状态查询单元、软件安装单元及日志处理单元；
所述配置文件修改单元，用于生成对所述客户端的系统文件和/或所述策略配置文件进行修改的配置文件修改指令，并将该指令发送给所述通信模块；
所述状态查询单元，用于生成对所述客户端上安装的软件及配置文件信息进行搜集的系统状态搜集指令，将该指令发送给通信模块，并获取所述通信模块接收到的所述软件名单及配置文件信息；
所述软件安装单元，用于生成在所述客户端上安装或卸载软件的安装或卸载软件指令，并将该指令发送至所述通信模块；
所述日志处理单元，用于生成要求所述客户端发送日志的日志发送指令，将该指令发送至所述通信模块，并获取所述通信模块接收到的所述操作日志；
所述通信模块，用于向各个所述客户端发送包括所述配置文件修改指令、系统状态搜集指令、安装或卸载软件指令及日志发送指令中任意一个或多个的控制指令，并接收所述客户端反馈的软件名单及配置文件信息和/或操作日志。
优选地，所述日志处理单元，进一步用于配置所述客户端日志的处理策略，根据所述处理策略及所述操作日志，对符合所述处理策略的操作日志进行告警。
优选地，所述客户端管理模块，用于接收所述客户端发送的注册请求消息后，对所述注册请求消息进行确认，确认通过后，对所述客户端进行注册，实现所述通信模块与所述客户端的通信。
优选地，所述客户端管模块，进一步用于接收外部发送的注销请求消息，根据所述注销请求消息，将对应的客户端注销。
本发明实施例提供了一种具有可信运行环境的客户端及系统，通过注册模块发送注册请求消息，将客户端注册到外部的控制中心，实现客户端与控制中心的通信，代理模块接收控制中心发送的策略配置文件及控制指令，控制模块根据策略配置文件对客户端的网络访问、软件启动、资源修改及外设进行控制，指令模块根据控制指令对客户端的运行环境进行优化，这样，通过控制中心发送的策略配置文件，公司员工在使用客户端时，仅能够访问特定的网络，仅能够在客户端上运行特定的软件，仅能够对特定的资源进行修改，并对客户端的外设进行限制，员工无法在客户端上运行向外网发送资料的软件或访问向外网上传资料的网页，同时也无法通过移动存储类外设从客户端拷贝资料，构建了一个可信的运行环境，避免员工泄露公司机密资料的情况发生，提高了对公司机密资料的保护力度。
附图说明
图1是本发明一个实施例提供的一种具有可信运行环境的客户端的示意图；
图2是本发明一个实施例提供的一种具有可信运行环境的系统的示意图；
图3是本发明另一个实施例提供的一种具有可信运行环境的系统的示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
如图1所示，本发明一个实施例提供了一种具有可信运行环境的客户端，包括：注册模块101、代理模块102、控制模块103及指令模块104；
所述注册模块101，用于向外部的控制中心发送注册请求消息，将所述客户端注册到所述控制中心；
所述代理模块102，用于接收外部控制中心发送的策略配置文件及控制指令；
所述控制模块103，用于根据所述代理模块102接收到的策略配置文件，对所述客户端的网络访问、软件启动、资源修改及外设进行控制；
所述指令模块104，用于根据所述代理模块102接收到的控制指令，对所述客户端的运行环境进行优化。
本发明实施例提供了一种具有可信运行环境的客户端，通过注册模块发送注册请求消息，将客户端注册到外部的控制中心，实现客户端与控制中心的通信，代理模块接收控制中心发送的策略配置文件及控制指令，控制模块根据策略配置文件对客户端的网络访问、软件启动、资源修改及外设进行控制，指令模块根据控制指令对客户端的运行环境进行优化，这样，通过控制中心发送的策略配置文件，公司员工在使用客户端时，仅能够访问特定的网络，仅能够在客户端上运行特定的软件，仅能够对特定的资源进行修改，并对客户端的外设进行限制，员工无法在客户端上运行向外网发送资料的软件或访问向外网上传资料的网页，同时也无法通过移动存储类外设从客户端拷贝资料，构建了一个可信的运行环境，避免员工泄露公司机密资料的情况发生，提高了对公司机密资料的保护力度。
在本发明一个实施例中，控制中心发送的配置文件包括：第一软件白名单、第二软件白名单、系统资源白名单及外部设备控制策略；
当客户端上的软件要访问网络资源时，客户端的控制模块判断该访问网络资源的软件是否在第一软件白名单中，以及判断该软件访问的网络资源是否为第一软件白名单规定的特定网络资源，如果两个判断的结果均为是，则允许该软件的网络资源访问请求，否则阻止对软件的网络资源访问请求，这样通过第一软件白名单限制客户端上能够访问网络资源的软件及该软件可以访问的网络资源范围，防止使用客户端的员工通过访问具有上传功能的网络资源泄露公司机密资料的情况发生；
当客户端上有软件需要启动时，客户端的控制模块判断该软件是否在第二软件白名单中，如果该软件在第二软件白名单中，则允许该软件在客户端上启动，如果该软件不再第二软件白名单中，则阻止该软件在客户端上运行，从而防止使用客户端的员工通过运行通信类软件将公司机密文件传出公司；
当使用客户端的员工对客户端的系统资源提出修改请求时，客户端的控制模块判断员工要修改的系统资源是否在系统资源白名单中，如果员工要修改的系统资源在系统资源白名单中，则允许员工对该系统资源的修改，否则阻止员工对系统资源的修改，防止员工通过对客户端系统资源进行修改以达到访问禁止访问的网络资源或运行禁止运行的软件的目的；
当使用客户端的员工在客户端上连接外部设备时，客户端的控制模块判断员工连接的外设设备是否为存储类外部设备，如果是，则阻止该外部设备与客户端之间的通信，否则允许该外部设备与客户端之间的通信，这样可以避免使用客户端的员工通过移动存储设备拷贝客户端上的资料造成公司重要资料发生外泄的情况发生。
在本发明一个实施例中，控制中心发送的控制指令包括：配置文件修改指令、系统状态搜集指令、安装或卸载软件指令及日志发送指令中的任意一个或多个；
当客户端接收到控制中心发送的配置文件修改指令后，客户端上的指令模块根据该配置文件修改指令，对客户端上对应的系统文件和/或策略配置文件进行修改，保证客户端能够正常运行，并对策略配置文件进行更新；
当客户端接收到控制中心发送的系统状态搜集指令后，客户端上的指令模块对客户端上安装的软件及配置文件信息进行搜集，将搜集到的软件名单及配置文件信息发送给代理模块，由代理模块将搜集到的软件名单及配置文件信息发送至控制中心；
当客户端接收到控制中心发送的安装或卸载软件指令后，客户端上的指令模块根据该安装或卸载软件指令，在客户端上安装对应的软件，或将客户端上已经安装的对应软件卸载，以实现对客户端上所安装软件的远程控制；
当客户端接收到控制中心发送的日志发送指令后，客户端上的指令模块搜集客户端的操作日志，并将搜集到的操作日志发送给代理模，由代理模块将操作日志发送至控制中心，以实现对使用客户端的员工的操作行为进行监控。
在本发明一个实施例中，客户端在接收到对配置文件修改指令后，客户端上的指令模块首先判断该配置文件修改指令的来源，如果该配置文件修改指令来至于控制中心，指令模块直接根据该配置文件修改指令，对客户端的系统文件和/或策略配置文件进行修改，如果该配置文件修改指令来至于客户端自身，由使用客户端的员工发送，则由客户端上的控制模块根据系统资源白名单，判断该位置文件修改指令要修改的系统文件或策略配置文件是否在系统资源白名单内，如果在，由指令模块根据该配置文件修改指令对对应的系统文件或策略配置文件进行修改，如果否，阻止该配置文件修改指令对系统文件或策略配置文件的修改，从而保证控制中心对客户端运行环境控制的同时避免员工对客户端运行环境的破坏。
在本发明一个实施例中，在客户端与控制中心初次连接时，客户端上的注册模块接收用户对客户端的触发，对代理配置文件进行配置，使客户端的IP地址与控制中心的IP地址位于同一网段，将客户端与控制中心之间的网络连通，注册模块向控制中心发送注册请求消息，等待控制中心进行确认，控制中心确认后完成客户端向控制中心的注册，实现客户端上代理模块与控制中心之间的通信，以实现控制中心对客户端可信运行环境的创建及维护。
如图2所示，本发明一个实施例提供了一种具有可信运行环境的系统，包括：控制中心201及至少一个上述实施例提供的任意一种客户端202，其中，
所述控制中心201包括：客户端管理模块2011、通信模块2012、策略生成模块2013及环境优化模块2014；
所述客户端管理模块2011，用于接收所述客户端202发送的注册请求消息，对所述客户端202进行注册；
所述策略生成模块2013，用于生成对所述客户端202的网络访问、软件启动、资源修改及外设进行控制的策略配置文件；
所述环境优化模块2014，用于生成对所述客户端202的运行环境进行优化的控制指令；
所述通信模块2012，用于将所述策略生成模块2013生成的策略配置文件及所述环境优化模块2014生成的控制指令发送至各个所述客户端202。
本发明实施例提供了一种具有可信运行环境的系统，控制中心上的客户端管理模块接收到客户端发送的注册请求消息后，对客户端进行注册，实现客户端与控制中心的通信，控制中心上的策略生成模块及环境优化模块分别生成策略配置文件和控制指令，控制中心上的通信模块将生成的策略配置文件和控制指令发送至各个客户端，客户端根据策略配置文件对网络访问、软件启动、资源修改及外设进行控制，根据控制指令对运行环境进行优化，通过控制中心生成对应的策略配置文件及控制指令，客户端执行策略配置文件及控制指令，防止使用客户端的员工通过访问具有上传功能的网络资源、启动具有与外部通信功能的软件或通过存储类外部设备将公司机密资料泄露，从而提高对公司机密资料的保护力度。
在本发明一个实施例中，策略生成模块生成包括第一软件白名单、第二软件白名单、系统资源白名单及外部设备控制策略的策略配置文件，其中第一软件白名单中的软件为运行在客户端上允许对特定网络资源进行访问的软件，第二软件摆明单中的软件为允许在客户端上启动的软件，系统资源白名单中的系统资源为客户端上允许被修改的系统资源，外部设备控制策略为阻止存储类外部设备与客户端之间的通信；
通过配置第一软件白名单可以对客户端上软件的访问网络行为进行限制，阻止软件对具有上传文件功能的网络资源进行访问；
通过配置第二软件白名单对可以在客户端上启动的软件进行限制，阻止具有与外网进行通信的软件运行；
通过配置系统资源白名单，阻止使用客户端的员工通过修改系统资源而访问禁止访问的网络资源或启动禁止启动的通信软件；
通过配置外部设备控制策略可以阻止使用客户端的员工通过移动存储设备拷贝客户端上的文件。
在本发明一个实施例中，环境优化模块包括：配置文件修改单元、状态查询单元、软件安装单元及日志处理单元；
所述配置文件修改单元，用于生成对客户端的系统文件和/或策略配置配置文件进行修改的配置文件修改指令，通过通信模块将生成的配置文件修改指令发送给客户端，客户端上的指令模块根据接收到的配置文件修改指令，对相应的系统文件和/或策略配置文件进行修改；
所述状态查询单元，用于生成要求客户端对其自身上安装的软件及配置文件信息进行搜集的系统状态搜集指令，通过通信模块将生成的系统状态搜集指令发送至客户端，客户端上的指令模块根据接收到的系统状态收集指令，搜集客户端上已安装软件的软件名称及各个软件的配置文件信息，客户端上的指令模块搜集完成后，通过客户端上的代理模块将搜集的软件名称及配置文件信息反馈至控制中心上的状态查询单元，状态查询单元通过生成系统状态收集指令可以获取客户端上已经安装的软件及各个软件的配置文件信息，进而可以判断是否需要对客户端安装或卸载软件，或更改软件的配置文件；
所述软件安装单元，用于生成在客户端上安装或卸载软件的安装或卸载软件指令，通过通信模块将该安装或卸载软件指令发送至客户端，客户端上的指令模块接收到该安装或卸载软件指令后，根据该安装或卸载软件指令，在客户端上安装相应的软件或卸载客户端上已经安装的软件；
所述日志处理单元，用于生成要求客户端发送日志的日志发送指令，通过通信模块将该日志发送指令发送至客户端，客户端上的指令模块接收到该日志发送指令后，搜集客户端上的操作日志，通过客户端上的代理模块将该操作日志发送至控制中心上的日志处理单元，日志处理单元通过操作日志可以获取用户对客户端进行操作的详细记录。
在本发明一个实施例中，日志处理单元还用于配置客户端日志的处理策略，日志出来单元在接收到客户端发送的操作日志后，根据配置的处理策略，对符合处理日志的操作日志进行告警。
在本发明一个实施例中，客户端管理模块用于接收客户端发送的注册请求信息，对接收到的注册请求信息进行确认，确认通过后，将发送注册请求信息的客户端注册到控制中心，实现控制中心上的通信模块与客户端上的代理模块之间的通信。
在本发明一个实施例中，客户端管理模块进一步用于接收控制中心的用户发送的注销请求消息，根据该注销请求消息，将对应的客户端从控制中心注销。
为使本发明的目的、技术方案和优点更加清楚，下面结合附图及具体实施例对本发明作进一步地详细描述。
如图3所示，本发明一个实施例提供了一种具有可信运行环境的系统，包括：控制中心301及2个上述实施例提供的任意一种客户端302，其中，
所述控制中心301包括：客户端管理模块3011、通信模块3012、策略生存模块3013及环境优化模块3014；
所述客户端302包括：注册模块3021、代理模块3022、控制模块3023及指令模块3024；
通信模块3012与各个客户端302中的代理模块3022相连。
在本发明一个实施例中，在系统初次创建时，两个客户端302的用户分别对各自客户端302上的代理配置文件进行配置，将客户端302的IP地址与控制中心301的IP地址设置为同一网段，使客户端302与控制中心301之间的网络连通，注册模块3021向客户端管理模块3011发送注册请求消息，客户端管理模块3011接收到注册请求消息之后，由客户端301的用户对注册请求消息进行确认，确认通过后客户端管理模块3011将客户端302进行注册，实现通信模块3012与各个代理模块3022之间的通信。
在本发明一个是实施例中，在客户端302注册完成后，环境优化模块3014中的状态查询单元生成系统状态搜集指令，通过通信模块3012及代理模块3022将该系统状态搜集指令发送至各个客户端302中的指令模块3024，指令模块3024在接收到系统状态搜集指令后，搜集其所在客户端302上已经安装软件的软件名称及各个软件的配置文件信息，指令模块3024通过代理模块3022及通信模块3012将搜集到的软件名称及对应的配置文件信息发送至环境优化模块3014中的状态查询单元，控制中心3012的用户通过状态查询单元查看各个客户端上已经安装的软件，根据需要触发环境优化模块3014中的软件安装单元，软件安装单元根据触发生成安装或卸载软件指令，该安装或卸载软件指令被发送至指令模块3024，指令模块3024根据该安装或卸载软件指令卸载客户端302上的对应软件或在客户端302上安装对应的软件。
在本发明一个实施例中，环境优化模块3014中的配置文件修改单元根据控制中心301的用户的触发生成配置文件修改指令，该配置文件修改指令被发送至指令模块3024后，指令模块3024根据该配置文件修改指令对客户端302上的系统文件和/或策略配置文件进行修改，使客户端302能够正常运行。
在本发明一个实施例中，策略生成模块3013生成包括第一软件白名单、第二软件白名单、系统资源白名单及外部设备控制策略的策略配置文件，策略配置文件被发送至各个控制模块3023，各个控制模块3023根据策略配置文件中的第一软件白名单对访问网络资源的软件及被访问的网络资源进行限制，根据策略配置文件中的第二软件白名单对启动的软件进行限制，根据策略配置文件中的系统资源白名单，对修改客户端302中系统资源的行为进行限制，通过策略配置文件中的外部设备控制策略对连接到客户端302上的外设进行限制。
在本发明一个实施例中，环境优化模块3014中的日志处理单元，根据控制中心301的用户的触发，生成日志发送指令，该日志发送指令被发送至各个指令模块3024，指令模块3024根据该日志发送指令，搜集其所在客户端302上的用户的操作日志，将搜集到的操作日志发送至日志处理单元，日志处理单元根据预先配置的处理策略，判断操作日志中是否包括符合处理策略的操作日志，如果有，则对符合处理策略的操作日志进行告警。
在本发明一个实施例中，客户端管理模块3011接收控制中心301的用户发送的注销请求消息，根据该注销请求消息，将对应的客户端302从控制中心301上注销。
根据上述方案，本发明的实施例所提供的一种具有可信运行环境的客户端及系统，至少具有如下有益效果：
1、本发明实施例中，通过注册模块发送注册请求消息，将客户端注册到外部的控制中心，实现客户端与控制中心的通信，代理模块接收控制中心发送的策略配置文件及控制指令，控制模块根据策略配置文件对客户端的网络访问、软件启动、资源修改及外设进行控制，指令模块根据控制指令对客户端的运行环境进行优化，这样，通过控制中心发送的策略配置文件，公司员工在使用客户端时，仅能够访问特定的网络，仅能够在客户端上运行特定的软件，仅能够对特定的资源进行修改，并对客户端的外设进行限制，员工无法在客户端上运行向外网发送资料的软件或访问向外网上传资料的网页，同时也无法通过移动存储类外设从客户端拷贝资料，构建了一个可信的运行环境，避免员工泄露公司机密资料的情况发生，提高了对公司机密资料的保护力度。
2、本发明实施例中，控制中心可以获取客户端的操作日志，通过预先配置日志的处理策略，判断操作日志中是否存在符合处理策略的操作日志，如果存在，则对控制中心的用户发出告警，使控制中心的用户及时发现客户端出现的异常操作，以对相应的客户端及客户端的使用者进行处理，避免公司机密资料的进一步泄露。
3、本发明实施例中，控制中心通过安装或卸载软件指令，可以在各个客户端上安装新的软件或卸载客户端上无用的软件，实现对客户端的远程控制，提高了可信运行环境创建及管理的效率。
4、本发明实施例中，客户端在接收到对系统文件或策略配置文件进行修改的配置文件修改指令后，首先判断该配置文件修改指令的来源，如果来至控制中心，则直接根据该指令对相应的系统文件或策略配置文件进行修改，如果来至客户端的用户，则需要进一步判断该指令要修改的内容是否是位于系统资源白名单中，如果是，则执行该修改指令，否则阻止对相关内容的修改，这样在保证控制中心对客户端进行控制的前提下，客户端的用户可以在权限范围内进行相应的修改系统文件或策略配置文件，提高了该系统的易用性。
需要说明的是，在本文中，诸如第一和第二之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个〃〃〃〃〃〃”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同因素。
本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储在计算机可读取的存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质中。
最后需要说明的是：以上所述仅为本发明的较佳实施例，仅用于说明本发明的技术方案，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (10)

1.一种具有可信运行环境的客户端，其特征在于，包括：注册模块、代理模块、控制模块及指令模块；
所述注册模块，用于向外部的控制中心发送注册请求消息，将所述客户端注册到所述控制中心；
所述代理模块，用于接收外部控制中心发送的策略配置文件及控制指令；
所述控制模块，用于根据所述代理模块接收到的策略配置文件，对所述客户端的网络访问、软件启动、资源修改及外设进行控制；
所述指令模块，用于根据所述代理模块接收到的控制指令，对所述客户端的运行环境进行优化。
2.根据权利要求1所述的客户端，其特征在于，
所述策略配置文件包括：第一软件白名单、第二软件白名单、系统资源白名单及外部设备控制策略；
所述控制模块，具体用于执行如下操作：
根据所述第一软件白名单，判断要访问网络资源的软件是否在所述第一软件白名单内，以及判断该软件访问的网络资源是否为所述第一软件白名单规定的特定网络资源，如果判断结果均为是，则允许该软件对网络资源的访问，否则阻止该软件对网络资源的访问；
根据所述第二软件白名单，判断要启动的软件是否在所述第二软件白名单内，如果是，允许该软件启动，否则阻止该软件启动；
根据所述系统资源白名单，判断要被修改的系统资源是否在所述系统资源白名单内，如果是，允许对该系统资源进行修改，否则阻止对该系统资源进行修改；
根据所述外部设备控制策略，判断与所述客户端连接的外部设备是否为存储类外部设备，如果是，阻止所述客户端与该外部设备通信，否则允许所述客户端与该外部设备通信。
3.根据权利要求2所述的客户端，其特征在于，
所述控制指令包括：配置文件修改指令、系统状态搜集指令、安装或卸载软件指令及日志发送指令中的任意一个或多个；
所述指令模块，具体用于执行如下操作：
根据所述配置文件修改指令，对所述客户端的系统文件和/或所述策略配置文件进行修改；
和/或，
根据所述系统状态搜集指令，对所述客户端上安装的软件及配置文件信息进行搜集，并将搜集到的软件名单及配置文件信息发送至所述代理模块；
和/或，
根据所述安装或卸载软件指令，在所述客户端上安装或卸载对应的软件；
和/或，
根据所述日志发送指令，对所述客户端的操作日志进行搜集，并将搜集到的操作日志发送至所述代理模块；
所述代理模块，用于将所述软件名单及配置文件信息和/或所述操作日志发送至所述控制中心。
4.根据权利要求3所述的客户端，其特征在于，
所述指令模块，进一步用于判断配置文件修改指令的来源，如果所述配置文件修改指令来自所述控制中心，则执行所述根据所述配置文件修改指令，对所述客户端的系统文件和/或所述策略配置文件进行修改，如果所述配置文件修改指令来自于所述客户端自身，则由所述控制模块执行所述根据所述系统资源白名单，判断要被修改的系统资源是否在所述系统资源白名单内，如果是，允许对该系统资源进行修改，否则阻止对该系统资源进行修改。
5.根据权利要求1至4中任一所述的客户端，其特征在于，
所述注册模块，用于接收用户对所述客户端的触发，对所述客户端的代理配置文件进行配置，使所述客户端的IP地址与所述控制中心的IP地址位于同一网段，将所述客户端与所述控制中心之间的网络连通，向所述控制中心发送注册请求消息，待所述控制中心确认后，完成所述客户端向所述控制中心的注册，实现所述代理模块与所述控制中心的通信。
6.一种具有可信运行环境的系统，其特征在于，包括：控制中心及至少一个权利要求1至5中任一所述的客户端，其中，
所述控制中心包括：客户端管理模块、通信模块、策略生存模块及环境优化模块；
所述客户端管理模块，用于接收所述客户端发送的注册请求消息，对所述客户端进行注册；
所述策略生成模块，用于生成对所述客户端的网络访问、软件启动、资源修改及外设进行控制的策略配置文件；
所述环境优化模块，用于生成对所述客户端的运行环境进行优化的控制指令；
所述通信模块，用于将所述策略生成模块生成的策略配置文件及所述环境优化模块生成的控制指令发送至各个所述客户端。
7.根据权利要求6所述的系统，其特征在于，
所述策略生成模块，用于生成包括第一软件白名单、第二软件白名单、系统资源白名单及外部设备控制策略的策略配置文件，其中，所述第一软件白名单中的软件允许对特定网络资源进行访问，所述第二软件白名单中的软件允许在所述客户端上启动，所述系统资源白名单中的系统资源允许被修改，所述外部设备控制策略为阻止存储类外部设备与所述客户端通信。
8.根据权利要求7所述的系统，其特征在于，所述环境优化模块包括：配置文件修改单元、状态查询单元、软件安装单元及日志处理单元；
所述配置文件修改单元，用于生成对所述客户端的系统文件和/或所述策略配置文件进行修改的配置文件修改指令，并将该指令发送给所述通信模块；
所述状态查询单元，用于生成对所述客户端上安装的软件及配置文件信息进行搜集的系统状态搜集指令，将该指令发送给通信模块，并获取所述通信模块接收到的所述软件名单及配置文件信息；
所述软件安装单元，用于生成在所述客户端上安装或卸载软件的安装或卸载软件指令，并将该指令发送至所述通信模块；
所述日志处理单元，用于生成要求所述客户端发送日志的日志发送指令，将该指令发送至所述通信模块，并获取所述通信模块接收到的所述操作日志；
所述通信模块，用于向各个所述客户端发送包括所述配置文件修改指令、系统状态搜集指令、安装或卸载软件指令及日志发送指令中任意一个或多个的控制指令，并接收所述客户端反馈的软件名单及配置文件信息和/或操作日志。
9.根据权利要求8所述的系统，其特征在于，
所述日志处理单元，进一步用于配置所述客户端日志的处理策略，根据所述处理策略及所述操作日志，对符合所述处理策略的操作日志进行告警。
10.根据权利要求6至9中任一所述的系统，其特征在于，
所述客户端管理模块，用于接收所述客户端发送的注册请求消息后，对所述注册请求消息进行确认，确认通过后，对所述客户端进行注册，实现所述通信模块与所述客户端的通信；
和/或，
所述客户端管模块，进一步用于接收外部发送的注销请求消息，根据所述注销请求消息，将对应的客户端注销。
CN201510936601.8A 2015-12-15 2015-12-15 一种具有可信运行环境的客户端及系统 Pending CN105553720A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201510936601.8A CN105553720A (zh) 2015-12-15 2015-12-15 一种具有可信运行环境的客户端及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201510936601.8A CN105553720A (zh) 2015-12-15 2015-12-15 一种具有可信运行环境的客户端及系统

Publications (1)

Publication Number Publication Date
CN105553720A true CN105553720A (zh) 2016-05-04

Family

ID=55832660

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201510936601.8A Pending CN105553720A (zh) 2015-12-15 2015-12-15 一种具有可信运行环境的客户端及系统

Country Status (1)

Country Link
CN (1) CN105553720A (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110457892A (zh) * 2019-07-24 2019-11-15 武汉虹信通信技术有限责任公司 一种嵌入式系统权限管理方法及系统
CN115941656A (zh) * 2022-12-29 2023-04-07 南京维拓科技股份有限公司 一种工业设计中设计软件的集成方法

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101667232A (zh) * 2009-07-13 2010-03-10 北京中软华泰信息技术有限责任公司 基于可信计算的终端可信保障系统与方法
CN101923609A (zh) * 2009-06-09 2010-12-22 深圳市联软科技有限公司 一种计算机网络的安全保护方法及系统
CN102646173A (zh) * 2012-02-29 2012-08-22 成都新云软件有限公司 基于黑白名单的安全防护控制方法及系统
CN102651856A (zh) * 2011-02-23 2012-08-29 腾讯科技（深圳）有限公司 一种提高终端上网安全性的方法、系统和装置
CN104539467A (zh) * 2015-01-22 2015-04-22 广州中国科学院软件应用技术研究所 一种基于云端服务器的终端设备管理系统及管理方法
CN105069352A (zh) * 2015-07-29 2015-11-18 浪潮电子信息产业股份有限公司 一种在服务器上构建可信应用程序运行环境的方法
CN105138901A (zh) * 2015-08-03 2015-12-09 浪潮电子信息产业股份有限公司 一种基于白名单的云主机主动防御实现方法
CN105138920A (zh) * 2015-07-30 2015-12-09 浪潮电子信息产业股份有限公司 一种内网终端安全管理的实现方法

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101923609A (zh) * 2009-06-09 2010-12-22 深圳市联软科技有限公司 一种计算机网络的安全保护方法及系统
CN101667232A (zh) * 2009-07-13 2010-03-10 北京中软华泰信息技术有限责任公司 基于可信计算的终端可信保障系统与方法
CN102651856A (zh) * 2011-02-23 2012-08-29 腾讯科技（深圳）有限公司 一种提高终端上网安全性的方法、系统和装置
CN102646173A (zh) * 2012-02-29 2012-08-22 成都新云软件有限公司 基于黑白名单的安全防护控制方法及系统
CN104539467A (zh) * 2015-01-22 2015-04-22 广州中国科学院软件应用技术研究所 一种基于云端服务器的终端设备管理系统及管理方法
CN105069352A (zh) * 2015-07-29 2015-11-18 浪潮电子信息产业股份有限公司 一种在服务器上构建可信应用程序运行环境的方法
CN105138920A (zh) * 2015-07-30 2015-12-09 浪潮电子信息产业股份有限公司 一种内网终端安全管理的实现方法
CN105138901A (zh) * 2015-08-03 2015-12-09 浪潮电子信息产业股份有限公司 一种基于白名单的云主机主动防御实现方法

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110457892A (zh) * 2019-07-24 2019-11-15 武汉虹信通信技术有限责任公司 一种嵌入式系统权限管理方法及系统
CN115941656A (zh) * 2022-12-29 2023-04-07 南京维拓科技股份有限公司 一种工业设计中设计软件的集成方法
CN115941656B (zh) * 2022-12-29 2023-09-08 南京维拓科技股份有限公司 一种工业设计中设计软件的集成方法

Similar Documents

Publication Publication Date Title
US11388200B2 (en) Scalable network security detection and prevention platform
US11159571B2 (en) Apparatus, method and device for encapsulating heterogeneous functional equivalents
US11632392B1 (en) Distributed malware detection system and submission workflow thereof
US10574698B1 (en) Configuration and deployment of decoy content over a network
US9888025B2 (en) Method and system for providing an efficient asset management and verification service
EP3161999B1 (en) Method and system for secure delivery of information to computing environments
CN102047262B (zh) 用于分布式安全内容管理系统的认证
CN112367321B (zh) 快速构建服务调用的方法及中台api网关
EP3175381B1 (en) Method and system for providing a virtual asset perimeter
CN111193698B (zh) 数据处理方法、装置、终端及存储介质
CA2943271C (en) Method and system for providing security aware applications
US10798218B2 (en) Environment isolation method and device
KR20230048431A (ko) 서비스 통신 방법, 시스템, 장치 및 전자 디바이스
CN104601530A (zh) 云安全服务的实现方法及系统
EP2936368A1 (en) Hardware management interface
EP3959632B1 (en) File storage service initiation of antivirus software locally installed on a user device
WO2014099690A1 (en) Hardware management interface
CN111787038A (zh) 一种提供边缘服务的方法、系统及计算设备
CN111737232A (zh) 数据库管理方法、系统、装置、设备及计算机存储介质
CN105553720A (zh) 一种具有可信运行环境的客户端及系统
Kang et al. A strengthening plan for enterprise information security based on cloud computing
CN116579019B (zh) 一种计算机信息安全监管系统
CN111539006A (zh) 一种权限管控方法及装置
CN111581673B (zh) 一种sap电子签章方法及系统
Haq Cloud computing

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20160504

WD01 Invention patent application deemed withdrawn after publication