CN106997435A - 一种操作系统安全防控的方法、装置及系统 - Google Patents

Abstract

本发明提供了一种操作系统安全防控的方法、装置及系统，该方法，包括：预先根据操作系统和应用的特征信息设置安全策略和白名单；还包括：获取每个待防控目标设备上的操作系统和应用的特征信息；根据每个所述待防控目标设备上的操作系统和应用的特征信息，确定每个所述待防控目标设备对应的安全策略和白名单；向每个所述待防控目标设备发送对应的安全策略和白名单，以使每个所述待防控目标设备根据接收到的安全策略和白名单运行。本发明提供了一种操作系统安全防控的方法、装置及系统，能够提高安全性。

Description

一种操作系统安全防控的方法、装置及系统

技术领域

本发明涉及计算机技术领域，特别涉及一种操作系统安全防控的方法、装置及系统。

背景技术

操作系统已经成为人们日常工作、生活过程中必不可缺少的组件。特别是随着电子商务和网络办公的兴起，大量的服务被开发出来，以满足人们的日常工作和生活的需求；然而伴随着这一过程，病毒和恶意软件的数量也成爆炸式的增长。

现有技术中，主要是通过病毒库和恶意软件库的方式进行安全防控。预先在病毒库中存储各种病毒的信息，在恶意软件库中存储各种恶意软件的信息。在运行某个程序时，到病毒库和恶意软件库中查找是否有与该程序相匹配的病毒或者恶意软件，如果有，则禁止运行该程序。

通过上述描述可见，现有技术中各种不同的设备都使用相同的病毒库和恶意软件库，由于各个设备的操作系统和应用等可能是不同的，各个设备上的病毒或者恶意软件也有所不同，相同的病毒库和恶意软件库很难包括针对所有设备的病毒或者恶意软件，安全性较低。

发明内容

本发明实施例提供了一种操作系统安全防控的方法、装置及系统，能够提高安全性。

第一方面，本发明实施例提供了一种操作系统安全防控的方法，包括：

预先根据操作系统和应用的特征信息设置安全策略和白名单；

还包括：

获取每个待防控目标设备上的操作系统和应用的特征信息；

根据每个所述待防控目标设备上的操作系统和应用的特征信息，确定每个所述待防控目标设备对应的安全策略和白名单；

向每个所述待防控目标设备发送对应的安全策略和白名单，以使每个所述待防控目标设备根据接收到的安全策略和白名单运行。

进一步地，该方法进一步包括：预先设置特征库；

在所述获取每个待防控目标设备上的操作系统和应用的特征信息之后，进一步包括：

将每个所述待防控目标设备上的操作系统和应用的特征信息存储到所述特征库中；

进一步包括：

获取发生更新的任一所述待防控目标设备上的操作系统和/或应用的更新信息；

根据获取的所述更新信息，更新所述特征库；

根据更新后的所述特征库，更新各个所述待防控目标设备的安全策略和/或白名单；

将更新后的安全策略和/或白名单发送给对应的所述待防控目标设备。

进一步地，该方法进一步包括：

预先确定每个所述待防控目标设备中的可更新程序；

在所述获取发生更新的任一所述待防控目标设备上的操作系统和/或应用的更新信息之前，进一步包括：

获取待审核程序发来的更新所述任一所述待防控目标设备上的操作系统和/或应用的请求；

判断所述待审核程序是否是所述可更新程序，如果是，则允许所述待审核程序更新所述任一所述待防控目标设备上的操作系统和/或应用，否则，禁止所述待审核程序更新所述任一所述待防控目标设备上的操作系统和/或应用。

进一步地，所述操作系统和应用的特征信息，包括：所述操作系统和应用的基本信息和/或所述基本信息的哈希值；

其中，所述基本信息包括：名称、安装路径、证书、版本、厂家、大小、修改日期、原始文件名称、描述中的一个或多个。

第二方面，本发明实施例提供了一种操作系统安全防控的装置，包括：

第一设置单元，用于根据操作系统和应用的特征信息设置安全策略和白名单；

第一获取单元，用于获取每个待防控目标设备上的操作系统和应用的特征信息；

第一确定单元，用于根据每个所述待防控目标设备上的操作系统和应用的特征信息，确定每个所述待防控目标设备对应的安全策略和白名单；

第一发送单元，用于向每个所述待防控目标设备发送对应的安全策略和白名单，以使每个所述待防控目标设备根据接收到的安全策略和白名单运行。

进一步地，该装置进一步包括：

第二设置单元，用于设置特征库；

存储单元，用于将每个所述待防控目标设备上的操作系统和应用的特征信息存储到所述特征库中；

第二获取单元，用于获取发生更新的任一所述待防控目标设备上的操作系统和/或应用的更新信息；

第一更新单元，用于根据获取的所述更新信息，更新所述特征库；

第二更新单元，用于根据更新后的所述特征库，更新各个所述待防控目标设备的安全策略和/或白名单；

第二发送单元，用于将更新后的安全策略和/或白名单发送给对应的所述待防控目标设备。

进一步地，该装置进一步包括：

第二确定单元，用于确定每个所述待防控目标设备中的可更新程序；

第三获取单元，用于获取待审核程序发来的更新所述任一所述待防控目标设备上的操作系统和/或应用的请求；

判断单元，用于判断所述待审核程序是否是所述可更新程序，如果是，则允许所述待审核程序更新所述任一所述待防控目标设备上的操作系统和/或应用，否则，禁止所述待审核程序更新所述任一所述待防控目标设备上的操作系统和/或应用。

进一步地，所述操作系统和应用的特征信息，包括：所述操作系统和应用的基本信息和/或所述基本信息的哈希值；

其中，所述基本信息包括：名称、安装路径、证书、版本、厂家、大小、修改日期、原始文件名称、描述中的一个或多个。

第三方面，本发明实施例提供了一种操作系统安全防控的系统，包括：

如第二方面中任一所述的安全防控的装置和至少一个待防控目标设备；

所述待防控目标设备，用于接收所述安全防控的装置发来的安全策略和白名单，根据接收到的安全策略和白名单运行。

进一步地，所述待防控目标设备，包括：

请求接收单元，用于接收操作请求；

第一请求判断单元，用于判断接收的所述安全策略中是否存在针对所述操作请求的策略，如果有，则按照所述安全策略处理所述操作请求，否则，触发第二请求判断单元；

所述第二请求判断单元，用于判断所述白名单中是否允许实现所述操作请求对应的操作，如果是，则允许实现所述操作请求对应的操作，否则，禁止实现所述操作请求对应的操作。

在本发明实施例中，根据操作系统和应用的特征信息设置安全策略和白名单，为不同的待防控目标设备设置下发对应的安全策略和白名单，以使待防控目标设备根据接收到的安全策略和白名单运行，这里的安全策略和白名单更具有针对性，可以针对不同的待防控目标设备进行针对性的防护，安全性较高。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明一实施例提供的一种操作系统安全防控的方法的流程图；

图2是本发明一实施例提供的另一种操作系统安全防控的方法的流程图；

图3是本发明一实施例提供的一种操作系统安全防控的装置的示意图；

图4是本发明一实施例提供的一种操作系统安全防控的系统的示意图；

图5是本发明一实施例提供的一种待防控目标设备的示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例，基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，本发明实施例提供了一种操作系统安全防控的方法，该方法可以包括以下步骤：

步骤101：预先根据操作系统和应用的特征信息设置安全策略和白名单；

步骤102：获取每个待防控目标设备上的操作系统和应用的特征信息；

步骤103：根据每个所述待防控目标设备上的操作系统和应用的特征信息，确定每个所述待防控目标设备对应的安全策略和白名单；

步骤104：向每个所述待防控目标设备发送对应的安全策略和白名单，以使每个所述待防控目标设备根据接收到的安全策略和白名单运行。

在本发明实施例中，根据操作系统和应用的特征信息设置安全策略和白名单，为不同的待防控目标设备设置下发对应的安全策略和白名单，以使待防控目标设备根据接收到的安全策略和白名单运行，这里的安全策略和白名单更具有针对性，可以针对不同的待防控目标设备进行针对性的防护，安全性较高。

在本发明一实施例中，该方法进一步包括：预先设置特征库；

在所述获取每个待防控目标设备上的操作系统和应用的特征信息之后，进一步包括：

将每个所述待防控目标设备上的操作系统和应用的特征信息存储到所述特征库中；

进一步包括：

获取发生更新的任一所述待防控目标设备上的操作系统和/或应用的更新信息；

根据获取的所述更新信息，更新所述特征库；

根据更新后的所述特征库，更新各个所述待防控目标设备的安全策略和/或白名单；

将更新后的安全策略和/或白名单发送给对应的所述待防控目标设备。

在本发明实施例中，安全策略和白名单可以根据特征库中的特征信息的更新而进行对应的更新，使得的安全策略和白名单能够适应待防控目标设备的状态变化，能够进一步提高待防控目标设备的安全性。

在本发明实施例中，特征库中还可以包括应用。特征库可以是一个根据操作系统和应用而设置的一个特定的应用及其特征信息的集合。特征库的作用是只有符合特征库的条件的应用才允许执行。特征库中存储中是允许执行的应用的特征信息。当一个应用的特征信息与特征库中的特征信息相匹配时，则可以确定该应用符合特征库的应用，允许执行。

在本发明实施例中，操作系统的特征信息可以包括操作系统的版本，安全策略可以是根据操作系统的版本和操作系统中的应用的特征信息生成的。任何对安全策略的非法修改都将导致该设备运行异常，具体地，可以指定策略修改程序，只要不是指定的策略修改程序对安全策略的修改都是非法修改。

为了进一步保证待防控目标设备的安全，在本发明一实施例中，该方法，进一步包括：

预先确定每个所述待防控目标设备中的可更新程序；

在所述获取发生更新的任一所述待防控目标设备上的操作系统和/或应用的更新信息之前，进一步包括：

获取待审核程序发来的更新所述任一所述待防控目标设备上的操作系统和/或应用的请求；

判断所述待审核程序是否是所述可更新程序，如果是，则允许所述待审核程序更新所述任一所述待防控目标设备上的操作系统和/或应用，否则，禁止所述待审核程序更新所述任一所述待防控目标设备上的操作系统和/或应用。

在本发明实施例中，只有预先确定的可更新程序才具有对待防控目标设备进行更新的权限，这样能够避免恶意的程序对待防控目标设备进行恶意修改。

在本发明实施例中，可以将可执行文件划分为两种类型：可执行程序和可更新程序。可执行程序只有执行权限，不具有更改特征库的权限；可更新程序具有执行权限且可修改特征库，能够维护特征库中的应用，如添加新应用、修改应用、删除应用，能够修改特征库也就是可以对待防控目标设备上的操作系统和/或应用进行更新，具体地，在待防控目标设备上添加新应用、修改待防控目标设备上的应用、删除待防控目标设备上的应用，还可以对操作系统进行升级、修改等。添加新应用是指允许安装新应用，并在应用安装完毕后，添加新应用的特征信息到特征库中；修改应用一是允许重新安装已有应用、升级应用，完毕后重置特征库中关于该应用的特征信息，二是允许修改操作系统的配置文件，以改变应用的运行状态。删除应用是指卸载已有应用并删除特征库中关于该应用的特征信息。

操作系统及应用的状态是随着运行动态改变的。各种补丁程序、升级程序、安装程序的运行都将改变操作系统及应用的状态，也会改变特征库。因此，在本发明实施例中，能够根据操作系统和应用的修改，对特征库进行更新，确保特征库始终是安全有效的。

本发明实施例可以通过动态信任模型来实现，该动态信任模型是通过用户、可信程序、可信路径、可信证书等有机结合到一起实现的。运行过程中，操作系统的安全策略随着安装软件的变化也会随之发生变化，具体地，安全策略可以根据预设的变化准则来进行变化。动态信任模型是整个系统运行稳定性和有效性的基础保障。处于动态信任模型中的程序可以修改有文件完整性保护的文件。同时在修改完毕后，能够及时的更新特征库中的特征信息，保证了系统能够正常完成软件更新、升级或者安装，并保证更新、升级、安装的应用能够有效运行。

为防止特征库中应用被恶意篡改，对特征库中的应用进行完整性保护，只允许信任的可执行文件对这些文件修改，不允许随意修改这些应用。保护内容有：可执行文件、配置文件、依赖库文件、操作系统的配置相关的策略等。这里的信任的可执行文件可以是预先指定的，也可以是默认的，也可以是用户设置的。

在本发明一实施例中，所述操作系统和应用的特征信息，包括：所述操作系统和应用的基本信息和/或所述基本信息的哈希值；

其中，所述基本信息包括：名称、安装路径、证书、版本、厂家、大小、修改日期、原始文件名称、描述中的一个或多个。

在本发明实施例中，通过特征信息能够准确地描述操作系统和应用。通过这些特征信息可以更方便地设置安全策略和白名单。例如：具有证书A的应用均是安全的，允许运行。

在本发明实施例中，可以预先设置知识库，将预先设的安全策略和白名单保存到知识库中。

在本发明实施例中，白名单主要是包括允许正常运行的应用的信息。安全策略主要包括操作系统运行的策略。例如：安全策略中包括：用户在设置操作系统的密码时，密码必须包括数字和字母。当然，安全策略中也可以包括针对应用的策略，例如：安全策略中包括：不允许具有证书B的应用安装在操作系统中。

另外，在本发明一实施例中，可以通过高级内存防护的手段，防止程序在运行过程中被注入修改。

在本发明一实施例中，该方法进一步包括：搜集操作系统运行过程中，操作系统及应用的行为特征，根据安全策略和白名单以及特征库，分析这些行为的安全性，并将具有不安全行为的应用设置为黑名单，不允许运行具有不安全行为的应用。这里的行为特征包括：增加、删除、修改、查找等操作。

在本发明实施例中，特征库是本发明实施例的基础部分。特征库中包含系统期望运行的应用的特征信息，包括可执行文件、配置文件、依赖的动态库的特征信息，这些信息可以按照一定的规则组成最小检测力度的基准数据。本发明实施例对应用的执行、更新(安装)赋予不同的权限。处于特征库中的可执行文件，具有执行权限。但不具有更新、修改、安装权限，只有处在特征库中的可执行文件才具有执行权限。应用启动时必须与特征库中的特征信息匹配，与特征库中的特征信息相匹配的，给予执行权限。

在本发明一实施例中，为了保护特征库，为特征库中的文件进行文件完整性保护。文件完整性保护是对特征库中的文件进行写保护的一种强化访问控制措施，也是建立动态信任模型的基础。其中，特征库中的文件主要是指特征库中的应用及配置文件等。

在本发明一实施例中，待防控目标设备在运行过程中，按照设定的时间间隔检测待防控目标设备是否安全，实现对待防控目标设备的执行环境监控。检测过程中，对每一条进程信息进行安全监测。如果该进程属于首次检测，当进程的特征信息与特征库比较是正常的时，会基于该进程的基本信息构建一张图，保存到预先设置的可信进程信息库中；当进程的特征信息与特征库比较是异常时，则认为该进程的运行环境不可信。如果不属于首次检测，则根据进程的特征信息构建的图判断进程是否正常，不正常则认为环境不可信。

在本发明一实施例中，该方法进一步包括：对各个待防控目标设备进行程序运行保护，程序运行保护是保护程序在运行过程中，不被注入、修改。

在本发明实施例中，在判断应用在启动时是否符合运行条件时，判断的主要依据是该应用是否符合特征库，也就是，特征库中是否存在与该应用相匹配的特征信息。

在本发明一实施例中，在待防控目标设备运行时，本发明实施例会监控应用任何启动和改变环境的方式。当应用启动时，根据特征库判断应用是否符合启动条件。当应用要修改系统环境时，根据完整性和动态信任模型判断应用是否有修改权限。如果有修改权限，则会跟踪系统改变，并及时更新特征库。当应用要访问内存时，判断应用是否有访问内存和修改内存的权限。

如图2所示，本发明实施例提供了一种操作系统安全防控的方法，该方法可以包括以下步骤：

步骤201：预先设置特征库。

具体地，该特征库可以包括各个待防控目标设备上的操作系统和应用的特征信息，以及各个待防控目标设备上的应用。

步骤202：预先根据操作系统和应用的特征信息设置安全策略和白名单。

这里的操作系统和应用可以包括常用的操作系统和常用的应用等。这里的安全策略和白名单可以预先设置多种，以适用多种不同的待防控目标设备。

这里的各个待防控目标设备可以是属于同一个局域网中，当其中一个待防控目标设备的安全策略或白名单发生改变时，可以对其他的待防控目标设备的安全策略或白名单产生影响。举例来说，在待防控目标设备A检测到应用A是恶意软件，需要禁止应用A的运行，因此，修改待防控目标设备A的安全策略或白名单，以禁止运行应用A，为了确保其他待防控目标设备不被应用A攻击，也可以对其他待防控目标设备的安全策略或白名单进行修改，以禁止运行应用A。

步骤203：获取每个待防控目标设备上的操作系统和应用的特征信息。

由于不同的待防控目标设备上的操作系统和应用可能是不同，其对应的特征信息也是不同的。

操作系统和应用的特征信息，包括：操作系统和应用的基本信息和/或基本信息的哈希值；

其中，基本信息包括：名称、安装路径、证书、版本、厂家、大小、修改日期、原始文件名称、描述中的一个或多个。

举例来说，基本信息的哈希值包括：证书的哈希值。

步骤204：将每个待防控目标设备上的操作系统和应用的特征信息存储到特征库中。

通过特征库存储各个待防控目标设备对应的特征信息，方便后续统一处理，也方便对安全策略和白名单的更新。

步骤205：根据每个待防控目标设备上的操作系统和应用的特征信息，确定每个待防控目标设备对应的安全策略和白名单。

具体地，通过特征信息来将待防控目标设备与安全策略和白名单匹配。举例来说，安全策略A和白名单A是根据特征信息A和特征信息B生成的，待防控目标设备A上的操作系统和应用的特征信息为特征信息A和特征信息B，那么，待防控目标设备A与安全策略A和白名单A相对应。

步骤206：获取发生更新的任一待防控目标设备上的操作系统和/或应用的更新信息。

具体地，当任一待防控目标设备发送更新时，需要根据更新信息更新特征库。这里的更新可以包括：升级操作系统、升级应用、按照新应用、卸载应用、重新安装应用等。

步骤207：根据获取的更新信息，更新特征库。

具体地，对发生更新的待防控目标设备对应的特征信息进行更新。

步骤208：根据更新后的特征库，更新各个待防控目标设备的安全策略和/或白名单。

当一个待防控目标设备的特征信息更新后，可以对其他的待防控目标设备的特征信息进行更新，并对其他的待防控目标设备的安全策略和/或白名单进行更新。

举例来说，待防控目标设备B中安装了新的应用B，该应用B是安全可信的，对待防控目标设备B对应的特征信息进行更新，具体地，将应用B的特征信息添加到特征库中，然后，将应用B添加到待防控目标设备B的白名单中，使得应用B能够在待防控目标设备B上正常运行。由于应用B是安全可信的，对应同一个局域网中的其他待防控目标设备来说，也是安全可信的，可以将应用B添加到其他待防控目标设备的白名单中，使得应用B在其他待防控目标设备上可以正常运行。

步骤209：将更新后的安全策略和/或白名单发送给对应的待防控目标设备，以使每个待防控目标设备根据接收到的安全策略和白名单运行。

具体地，当某个待防控目标设备的安全策略和/或白名单更新后，则将更新后的安全策略和/或白名单发送给对应的待防控目标设备，以使每个待防控目标设备按照最新的安全策略和白名单运行，提高每个待防控目标设备的安全性。

本发明实施例可以应用于局域网内的各个待防控目标设备，能够提高局域网内的各个待防控目标设备的安全性。

在本发明实施例中，为各个待防控目标设备构建安全运行环境，构建运行环境的特征库；智能判断各个待防控目标设备上的应用是否能够运行；构建动态信任模型，保证环境的可靠性；动态获取应用中相关程序的基本信息，生成对应的特征信息，判断运行环境可靠性。

在本发明实施例中，构建能够对局域网内的各个待防控目标设备的操作系统进行安全防控的体系结构，能够集中管控局域网内的各个待防控目标设备的所有操作系统的安全策略及监控各个待防控目标设备的操作系统的运行状态。

在本发明实施例中，基于各个待防控目标设备的应用的特征构建可信的名单库，该名单库可以是白名单，符合库中特征的软件都是可信的；名单库是系统允许运行的应用的最小的特征集合，安全策略是系统运行的安全保障。

在本发明实施例中，白名单随着应用的升级或者安装等智能改变，实时保证应用的有效性，实时根据运行状态修改安全策略和白名单。

在本发明实施例中，监控启动进程启动过程中的完整性，只有符合白名单和安全策略的进程允许启动。

在本发明实施例中，操作系统运行应用的安全性将被监控，应用在运行过程中，不会被篡改。

在本发明实施例中，存在允许执行和允许修改特征库中应用是两种策略；特征库中的应用是受保护的，只能被特定的应用程序修改。

如图3所示，本发明实施例提供了一种操作系统安全防控的装置，包括：

第一设置单元301，用于根据操作系统和应用的特征信息设置安全策略和白名单；

第一获取单元302，用于获取每个待防控目标设备上的操作系统和应用的特征信息；

第一确定单元303，用于根据每个所述待防控目标设备上的操作系统和应用的特征信息，确定每个所述待防控目标设备对应的安全策略和白名单；

第一发送单元304，用于向每个所述待防控目标设备发送对应的安全策略和白名单，以使每个所述待防控目标设备根据接收到的安全策略和白名单运行。

在本发明一实施例中，该装置进一步包括：

第二设置单元，用于设置特征库；

存储单元，用于将每个所述待防控目标设备上的操作系统和应用的特征信息存储到所述特征库中；

第二获取单元，用于获取发生更新的任一所述待防控目标设备上的操作系统和/或应用的更新信息；

第一更新单元，用于根据获取的所述更新信息，更新所述特征库；

第二更新单元，用于根据更新后的所述特征库，更新各个所述待防控目标设备的安全策略和/或白名单；

第二发送单元，用于将更新后的安全策略和/或白名单发送给对应的所述待防控目标设备。

在本发明一实施例中，该装置，进一步包括：

第二确定单元，用于确定每个所述待防控目标设备中的可更新程序；

第三获取单元，用于获取待审核程序发来的更新所述任一所述待防控目标设备上的操作系统和/或应用的请求；

判断单元，用于判断所述待审核程序是否是所述可更新程序，如果是，则允许所述待审核程序更新所述任一所述待防控目标设备上的操作系统和/或应用，否则，禁止所述待审核程序更新所述任一所述待防控目标设备上的操作系统和/或应用。

在本发明一实施例中，所述操作系统和应用的特征信息，包括：所述操作系统和应用的基本信息和/或所述基本信息的哈希值；

其中，所述基本信息包括：名称、安装路径、证书、版本、厂家、大小、修改日期、原始文件名称、描述中的一个或多个。

本发明实施例提供了一种操作系统安全防控的系统，包括：

如本发明实施例中任一所述的安全防控的装置和至少一个待防控目标设备；

所述待防控目标设备，用于接收所述安全防控的装置发来的安全策略和白名单，根据接收到的安全策略和白名单运行。

在本发明实施例中，安全防控的装置可以对至少一个待防控目标设备进行安全防控。这里的至少一个待防控目标设备可以是同一个局域网中的设备。例如：待防控目标设备为服务器。

如图4所示，本发明实施例提供了一种操作系统安全防控的系统，包括：

如本发明实施例中任一所述的安全防控的装置401和三个待防控目标设备402；

所述待防控目标设备402，用于接收所述安全防控的装置发来的安全策略和白名单，根据接收到的安全策略和白名单运行。

如图5所示，本发明实施例提供了一种待防控目标设备，包括：

请求接收单元501，用于接收操作请求；

第一请求判断单元502，用于判断接收的所述安全策略中是否存在针对所述操作请求的策略，如果有，则按照所述安全策略处理所述操作请求，否则，触发第二请求判断单元503；

所述第二请求判断单元503，用于判断所述白名单中是否允许实现所述操作请求对应的操作，如果是，则允许实现所述操作请求对应的操作，否则，禁止实现所述操作请求对应的操作。

在本发明实施例中，安全策略的优先级高于白名单，当安全策略中有相关的策略时，按照安全策略处理，当安全策略中没有相关策略时，按照白名单处理。

在本发明实施例中，在局域网内部设置安全防控的装置，该安全防控的装置是该局域网内部所有待防控目标设备的操作系统安全管控的基础，只有通过该安全防控的装置下发安全策略的待防控目标设备才允许运行，否则不允许运行。

在本发明实施例中，每个待防控目标设备上安装软件代理，通过软件代理与安全防控的装置进行交互。每个待防控目标设备与集中管控设备通信后，才允许接入网络。否则待防控目标设备只允许单机运行，不允许接入到网络中。

在本发明实施例中，在每个待防控目标设备上安装管控软件，上述的软件代理位于该管控软件中，通过管控软件实现对所在的待防控目标设备的防控，并通过管控软件实现与安全防控的装置的交互。该管控软件与安全防控的装置组成管理操作系统安全策略和白名单及操作系统运行的基本管理单元。若待防控目标设备未安装管控软件，则该待防控目标设备不允许接入到网络中，只允许单机运行。

在本发明实施例中，当待防控目标设备的操作系统安装管控软件后，管控软件将会搜集当前安装的应用并将特征信息发送到安全防控的装置，安全防控的装置将根据特征信息下发该操作系统的安全策略和白名单。只有同时符合安全策略和白名单的应用才允许运行。

在本发明实施例中，该系统包括：特征库、文件完整性保护、动态信任模型、执行环境监控、程序运行保护、系统及应用执行保护，代理等。

在本发明实施例中，程序行为监控和用户行为监控主要依靠将这些行为发送到安全防控的装置上，通过安全防控的装置的分析这些行为是否符合规范。

在本发明实施例中，特征库、动态信任模型都将实时与安全防控的装置联动。通过安全防控的装置的安全策略、特征库、白名单实时跟踪修改。

在本发明实施例中，通过该监控方法将用户行为和程序行为及操作系统集中特征的变化上传到安全防控的装置，由安全防控的装置分析该行为的安全性，并反馈到待防控目标设备的操作系统进行决策。

上述装置内的各单元之间的信息交互、执行过程等内容，由于与本发明方法实施例基于同一构思，具体内容可参见本发明方法实施例中的叙述，此处不再赘述。

本发明各个实施例至少具有如下有益效果：

1、在本发明实施例中，根据操作系统和应用的特征信息设置安全策略和白名单，为不同的待防控目标设备设置下发对应的安全策略和白名单，以使待防控目标设备根据接收到的安全策略和白名单运行，这里的安全策略和白名单更具有针对性，可以针对不同的待防控目标设备进行针对性的防护，安全性较高。

2、在本发明实施例中，安全策略和白名单可以根据特征库中的特征信息的更新而进行对应的更新，使得的安全策略和白名单能够适应待防控目标设备的状态变化，能够进一步提高待防控目标设备的安全性。

3、在本发明实施例中，当某个待防控目标设备的安全策略和/或白名单更新后，则将更新后的安全策略和/或白名单发送给对应的待防控目标设备，以使每个待防控目标设备按照最新的安全策略和白名单运行，提高每个待防控目标设备的安全性。

需要说明的是，在本文中，诸如第一和第二之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个······”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同因素。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储在计算机可读取的存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质中。

最后需要说明的是：以上所述仅为本发明的较佳实施例，仅用于说明本发明的技术方案，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (10)

1.一种操作系统安全防控的方法，其特征在于，包括：

预先根据操作系统和应用的特征信息设置安全策略和白名单；

还包括：

获取每个待防控目标设备上的操作系统和应用的特征信息；

根据每个所述待防控目标设备上的操作系统和应用的特征信息，确定每个所述待防控目标设备对应的安全策略和白名单；

向每个所述待防控目标设备发送对应的安全策略和白名单，以使每个所述待防控目标设备根据接收到的安全策略和白名单运行。

2.根据权利要求1所述的方法，其特征在于，

进一步包括：预先设置特征库；

在所述获取每个待防控目标设备上的操作系统和应用的特征信息之后，进一步包括：

将每个所述待防控目标设备上的操作系统和应用的特征信息存储到所述特征库中；

进一步包括：

获取发生更新的任一所述待防控目标设备上的操作系统和/或应用的更新信息；

根据获取的所述更新信息，更新所述特征库；

根据更新后的所述特征库，更新各个所述待防控目标设备的安全策略和/或白名单；

将更新后的安全策略和/或白名单发送给对应的所述待防控目标设备。

3.根据权利要求2所述的方法，其特征在于，进一步包括：

预先确定每个所述待防控目标设备中的可更新程序；

在所述获取发生更新的任一所述待防控目标设备上的操作系统和/或应用的更新信息之前，进一步包括：

获取待审核程序发来的更新所述任一所述待防控目标设备上的操作系统和/或应用的请求；

判断所述待审核程序是否是所述可更新程序，如果是，则允许所述待审核程序更新所述任一所述待防控目标设备上的操作系统和/或应用，否则，禁止所述待审核程序更新所述任一所述待防控目标设备上的操作系统和/或应用。

4.根据权利要求1-3中任一所述的方法，其特征在于，

所述操作系统和应用的特征信息，包括：所述操作系统和应用的基本信息和/或所述基本信息的哈希值；

其中，所述基本信息包括：名称、安装路径、证书、版本、厂家、大小、修改日期、原始文件名称、描述中的一个或多个。

5.一种操作系统安全防控的装置，其特征在于，包括：

第一设置单元，用于根据操作系统和应用的特征信息设置安全策略和白名单；

第一获取单元，用于获取每个待防控目标设备上的操作系统和应用的特征信息；

第一确定单元，用于根据每个所述待防控目标设备上的操作系统和应用的特征信息，确定每个所述待防控目标设备对应的安全策略和白名单；

第一发送单元，用于向每个所述待防控目标设备发送对应的安全策略和白名单，以使每个所述待防控目标设备根据接收到的安全策略和白名单运行。

6.根据权利要求5所述的装置，其特征在于，

进一步包括：

第二设置单元，用于设置特征库；

存储单元，用于将每个所述待防控目标设备上的操作系统和应用的特征信息存储到所述特征库中；

第二获取单元，用于获取发生更新的任一所述待防控目标设备上的操作系统和/或应用的更新信息；

第一更新单元，用于根据获取的所述更新信息，更新所述特征库；

第二更新单元，用于根据更新后的所述特征库，更新各个所述待防控目标设备的安全策略和/或白名单；

第二发送单元，用于将更新后的安全策略和/或白名单发送给对应的所述待防控目标设备。

7.根据权利要求6所述的装置，其特征在于，进一步包括：

第二确定单元，用于确定每个所述待防控目标设备中的可更新程序；

第三获取单元，用于获取待审核程序发来的更新所述任一所述待防控目标设备上的操作系统和/或应用的请求；

判断单元，用于判断所述待审核程序是否是所述可更新程序，如果是，则允许所述待审核程序更新所述任一所述待防控目标设备上的操作系统和/或应用，否则，禁止所述待审核程序更新所述任一所述待防控目标设备上的操作系统和/或应用。

8.根据权利要求5-7中任一所述的装置，其特征在于，

所述操作系统和应用的特征信息，包括：所述操作系统和应用的基本信息和/或所述基本信息的哈希值；

其中，所述基本信息包括：名称、安装路径、证书、版本、厂家、大小、修改日期、原始文件名称、描述中的一个或多个。

9.一种操作系统安全防控的系统，其特征在于，包括：

如权利要求5-8中任一所述的安全防控的装置和至少一个待防控目标设备；

所述待防控目标设备，用于接收所述安全防控的装置发来的安全策略和白名单，根据接收到的安全策略和白名单运行。

10.根据权利要求9所述的系统，其特征在于，

所述待防控目标设备，包括：

请求接收单元，用于接收操作请求；

第一请求判断单元，用于判断接收的所述安全策略中是否存在针对所述操作请求的策略，如果有，则按照所述安全策略处理所述操作请求，否则，触发第二请求判断单元；

所述第二请求判断单元，用于判断所述白名单中是否允许实现所述操作请求对应的操作，如果是，则允许实现所述操作请求对应的操作，否则，禁止实现所述操作请求对应的操作。