CN110192195B - 用于安全数据访问的系统、方法和计算机存储介质 - Google Patents

用于安全数据访问的系统、方法和计算机存储介质 Download PDF

Info

Publication number
CN110192195B
CN110192195B CN201780083919.3A CN201780083919A CN110192195B CN 110192195 B CN110192195 B CN 110192195B CN 201780083919 A CN201780083919 A CN 201780083919A CN 110192195 B CN110192195 B CN 110192195B
Authority
CN
China
Prior art keywords
data item
policy
access
computer system
computer
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201780083919.3A
Other languages
English (en)
Other versions
CN110192195A (zh
Inventor
A·D·帕特尔
M·D·格策尔
K·E·哈特勒利德
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Microsoft Technology Licensing LLC
Original Assignee
Microsoft Technology Licensing LLC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Microsoft Technology Licensing LLC filed Critical Microsoft Technology Licensing LLC
Publication of CN110192195A publication Critical patent/CN110192195A/zh
Application granted granted Critical
Publication of CN110192195B publication Critical patent/CN110192195B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/51—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems at application loading time, e.g. accepting, rejecting, starting or inhibiting executable software based on integrity or source reliability
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Signal Processing (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • Storage Device Security (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

提供通过多个访问通道中的一个访问通道访问的数据项的安全访问，同时提供数据项的策略检查。可以接收与通过多个访问通道中的一个访问通道访问数据项相关联的指示。响应于接收到与访问数据项相关联的指示，可以自动分析数据项以确定数据项是否满足策略。此外，响应于接收到与访问数据项相关联的指示以及在确定数据项是否满足策略的同时，可以提供数据项的安全访问。无论访问数据项的所通过的访问通道如何，任何策略检查、安全访问和数据项分析都可以是相同的。

Description

用于安全数据访问的系统、方法和计算机存储介质
背景技术
计算机系统和相关技术影响社会的许多方面。事实上，计算机系统处理信息的能力改变了我们的生活和工作方式。计算机系统现在通常执行许多任务（例如，字处理、调度、记帐等），在计算机系统出现之前，这些任务是手动执行的。最近，计算机系统已相互耦合且与其他电子设备耦合，以形成有线和无线计算机网络，计算机系统和其他电子设备能通过该网络传送电子数据。因此，许多计算任务的性能分布跨越一些不同的计算机系统和/或一些不同的计算环境。
这些计算机系统和环境使得如下情况变得很容易：共享、下载、上传、传输和/或以其他方式访问各种数据项，诸如文档（例如，.docx文件）、电子邮件或文档中嵌入的链接、电子表格（例如，.xlsx文件）、演示文稿（例如，.ppptx文件）、统一资源定位器（即，URL）、视频文件（例如，.mp4文件）、音频文件（例如，.mp3文件）、图像文件（例如，.jpeg文件）、.exe文件、pdf文件、软件应用程序、社交介质、指向这种数据项的链接等。每天如此持续地使用传输的电子数据会增加这些计算机系统和环境内存在漏洞的风险。例如，持续共享这种传输据项可能允许病毒或其他恶意数据在后台快速、时常高效且静默地传输，而不会向用户指示。如此，确保被共享的电子数据的安全性在现代世界至关重要。
本文提出的主题不限于解决任何缺点或仅在诸如上述环境的环境中操作的实施例。相反，本背景技术部分仅用于说明可以实践本文所述一些实施例的示例性技术领域。
发明内容
本文描述的至少一些实施例涉及提供通过多个访问通道中的一个访问通道访问的数据项的安全访问，同时提供数据项的策略检查。例如，实施例可以包括接收与通过多个访问通道中的一个访问通道访问数据项相关联的指示。响应于接收到与访问数据项相关联的指示，可以自动地分析数据项以确定数据项是否满足策略。此外，响应于接收到与访问数据项相关联的指示以及在确定数据项是否满足策略的同时，可以提供数据项的安全访问。
当从外部源访问数据项时，用户和计算机系统可被保护，同时仍然允许用户安全地访问数据项的至少一部分，而不论访问数据项的所通过的通道如何。保护可来自自动地确定数据项（已尝试进行访问）是否满足正在实施的一个或多个策略，同时不允许全面访问数据项直到完成策略确定为止。自动地确定数据项是否满足策略也可以通过集中地或以分布式方式存储（例如，在数据库内、永久存储、数据项内的加密声明等）与已被测试的每个数据项相关联的唯一标识符以及每个被测试数据项的对应测试结果而更加有效。每次访问新数据项时，可以将该数据项的唯一标识符与数据库进行比较，以确定该数据项是否已经被测试（如果已经被测试，则确定结果）。这样做可以使得更有效地利用时间和资源。此外，在正在进行这种确定/测试时，可以使用户访问数据项的安全版本。如此，在正在进行关于数据项的策略满意的确定时，可以为用户给出安全访问数据项的安全版本的便利。
提供本发明内容部分是为了以简化形式介绍概念的选择，这些概念在下文的具体实施部分进一步描述。本发明内容部分不用于标识所要求主题的关键特征或基本特征，也不用于确定所要求主题的范围。
附图说明
为了描述可以获得本发明上面引用以及其他优势和特征的方式，将通过参考附图所示的特定实施例来呈现上面简要描述的本发明的更加具体的描述。应该理解，这些附图仅示出了本发明的典型实施例，因此不被视为避免其范围，将通过使用附图以附加的特异性和细节来描述和解释本发明，其中：
图1示出了利于本文所述原理的操作的示例计算机架构。
图2示出了用于测试通过多个通道中的任一个访问的数据项，同时在策略检查期间提供被访问数据项的安全视图的示例环境。
图3示出了使用用于为试图通过电子邮件访问的数据项提供策略检查的爆炸服务的特定示例环境。
图4示出了使用用于为通过USB驱动访问的数据项提供策略检查的爆炸服务的特定示例环境。
图5示出了用于提供通过多个访问通道中的一个访问通道访问的数据项的安全访问，同时提供数据项的策略检查的方法的流程图。
具体实施方式
本文描述的至少一些实施例涉及提供通过多个访问通道中的一个访问通道访问的数据项的安全访问，同时提供数据项的策略检查。例如，实施例可包括接收与通过多个访问通道中的一个访问通道访问数据项相关联的指示。响应于接收到与访问数据项相关联的指示，可以自动地分析数据项以确定数据项是否满足策略。此外，响应于接收到与访问数据项相关联的指示以及同时确定数据项是否满足策略，可以提供数据项的安全访问。
当从外部源访问数据项时，用户和计算机系统可被保护，同时仍允许用户安全地访问数据项的至少一部分，而不论访问数据项所通过的通道如何。保护可来自自动地确定数据项（已尝试进行访问）是否满足正在实施的一个或多个策略，同时不允许全面访问数据项直到完成策略确定为止。自动地确定数据项是否满足策略也可以通过集中地或以分布式方式存储（例如，在数据库内、永久存储、数据项内的加密声明等）与已被测试的每个数据项相关联的唯一标识符以及每个被测试数据项的对应测试结果而更加有效。每次访问新数据项或者源于任何实体（例如，计算机系统、计算机用户等）时，可以将该数据项的唯一标识符与数据库进行比较，以确定该数据项是否已经被测试（如果已经被测试，则确定结果）。这样做可以使得更加有效地在多个所有访问实体之间使用时间和资源。此外，在正在进行这种确定/测试时，可以使用户访问数据项的安全版本。如此，在正在进行关于数据项的策略满意的确定时，可以为用户给出安全访问数据项的安全版本的便利。
将参照图1描述计算系统的一些介绍性讨论。然后，将参照图2至图5描述提供通过多个访问通道中的一个访问通道访问的数据项的安全访问，同时提供数据项的策略检查。
计算系统现在越来越多地采用各种形式。例如，计算系统可以是手持设备、电器、笔记本电脑、台式计算机、大型主机、分布式计算系统、数据中心，甚至是通常不被视为计算系统的设备，诸如可穿戴设备（例如，眼镜）。在本说明书和权利要求书中，术语“计算系统”被广义地定义为包括任何设备或系统（或它们的组合），其包括至少一个物理和有形处理器以及能够在其上具有可由处理器执行的计算机可执行指令的物理和有形存储器。存储器可采用任何形式，并且取决于计算系统的性质和形式。计算系统可分布在网络环境中，并且可以包括多个组成计算系统。
如图1所示，在其最基本配置中，计算系统100通常包括至少一个硬件处理单元102和存储器104。存储器104可以是物理系统存储器，其可以是易失性、非易失性或二者的某种组合。术语“存储器”也可在本文中表示非易失性大容量存储器，诸如物理存储介质。如果计算系统是分布式的，则处理、存储器和/或存储能力也可以是分布式的。
计算系统100在其上还具有多个结构，通常被称为“可执行部件”。例如，计算系统100的存储器104被示为包括可执行部件106。术语“可执行部件”是一种结构的名称，该结构被计算领域的普通技术人员充分理解为可以是软件、硬件或它们的组合的结构。例如，当以软件实施时，本领域普通技术人员将理解可执行部件的结构可包括可在计算系统上执行的软件对象、程序、方法等，无论这种可执行部件是否存在于计算系统的堆阵或者可执行部件是否存在于计算机可读存储介质上。
在这种情况下，本领域普通技术人员将认识到，可执行部件的结构存在于计算机可读介质上，使得当由计算系统的一个或多个处理器（例如，由处理器线程）解释时，使计算系统执行一功能。这种结构可以由处理器直接计算机可读（与可执行部件是二进制的情况相同）。可替代地，该结构可以被构造为可解释和/或编译的（无论是在单个阶段还是在多个阶段），以生成可由处理器直接解释的这种二进制。当使用术语“可执行部件”时，这种对可执行部件的示例结构的理解完全符合计算领域普通技术人员的理解。
术语“可执行部件”也被本领域普通技术人员很好地理解为包括仅以硬件或几乎仅以硬件实施的结构，例如现场可编程门阵列（FPGA）、专用集成电路（ASIC）或任何其他专用电路。因此，术语“可执行部件”是针对计算领域普通技术人员很好理解的结构的术语，而无论以软件、硬件还是它们的组合来实施。在本说明中，还可以使用术语“部件”、“服务”、“引擎”、“模块”、“控制”等。如本说明书和这种情况下所使用的，这些术语（无论是否用修饰从句表示）也与术语“可执行部件”同义，因此也具有计算领域普通技术人员很好理解的结构。
在下面的描述中，参照由一个或多个计算系统执行的动作来描述实施例。如果这些动作以软件实施，则（执行动作的相关联计算系统的）一个或多个处理器响应于执行组成可执行部件的计算机可执行指令来引导计算系统的操作。例如，这种计算机可执行指令可在形成计算机程序产品的一个或多个计算机可读介质上具体化。这种操作的示例涉及对数据的操作。
计算机可执行指令（和操作数据）可存储在计算系统100的存储器104中。计算系统100还可以包含允许计算系统100例如在网络110上与其他计算系统通信的通信通道108。
虽然并非所有计算系统都要求用户接口，但在一些实施例中，计算系统100包括用于与用户交互的用户接口112。用户接口112可包括输出机制112A和输入机制112B。本文所述的原理不限于精确的输出机制112A或输入机制112B，因为这将取决于设备的性质。然而，输出机制112A可例如包括扬声器、显示器、触觉输出、全息图等。例如，输入机制112B的示例可包括麦克风、触摸屏、全息图、相机、键盘、其他指针输入的鼠标、任何类型的传感器等。
如下面更详细讨论的，本文所述的实施例可包括或使用特殊用途或通用的计算系统，包括诸如一个或多个处理器和系统存储器的计算机硬件。本文描述的实施例还包括用于承载或存储计算机可执行指令和/或数据结构的物理和其他计算机可读介质。这种计算机可读介质可以是可被通用或专用计算系统访问的任何可用介质。存储计算机可执行指令的计算机可读介质是物理存储介质。承载计算机可执行指令的计算机可读介质是传输介质。因此，通过示例而非避免，本发明的实施例可包括至少两种不同种类的计算机可读介质：存储介质和传输介质。
计算机可读存储介质包括RAM、ROM、EEPROM、CD-ROM或其他光盘存储、磁盘存储或其他磁性存储设备，或者任何其他可用于以计算机可执行指令或数据结构的形式存储期望程序代码且可被通用或专用计算系统访问的物理和有形存储介质。
“网络”被定义为能够在计算系统和/或模块和/或其他电子设备之间传输电子数据的一个或多个数据链路。当信息在网络或另一通信连接（硬接线、无线或硬接线和无线的组合）上传送或提供给计算系统时，计算系统正确地将该连接视为传输介质。传输介质能包括能用于以计算机可执行指令或数据结构的形式承载期望程序代码并且能被通用或专用计算系统访问的网络和/或数据链路。上述组合也应包括在计算机可读介质的范围内。
此外，一旦到达各种计算系统部件，计算机可执行指令或数据结构形式的程序代码可以自动地从传输介质传送到存储介质（反之亦然）。例如，在网络或数据链路上接收的计算机可执行指令或数据结构能缓冲在网络接口模块（例如，“NIC”）内的RAM中，然后最终传送到计算系统RAM和/或计算系统处不太易失的存储介质。因此，应该理解，存储介质可包括在也（甚至主要）使用传输介质的计算系统部件中。
例如，计算机可执行指令包括指令和数据，当在处理器处被执行时，这些指令和数据使通用计算系统、专用计算系统或专用处理设备执行特定功能或功能组。可替代地或另外地，计算机可执行指令可配置计算系统以执行特定功能或功能组。例如，计算机可执行指令可以是二进制的，或者甚至是在被处理器直接执行之前经过一些翻译（例如，编译）的指令，诸如汇编语言的中间格式指令，甚至是源代码。
虽然已经用特定于结构特征和/或方法动作的语言描述了主题，但应当理解，所附权利要求中定义的主题并不一定限于上述特征或动作。相反，所述特征和动作被公开为实施权利要求的示例形式。
本领域技术人员将理解，本发明可以在具有多种计算系统配置的网络计算环境中实施，包括个人计算机、台式计算机、笔记本电脑、消息处理器、手持设备、多处理器系统、基于微处理器或可编程消费电子产品、网络PC、小型计算机、大型计算机、移动电话、PDA、寻呼机、路由器、交换机、数据中心、可穿戴设备（诸如眼镜）等。本发明也可在分布式系统环境中实施，其中经过网络（通过硬接线数据链路、无线数据链路或者通过硬接线和无线数据链路的组合）链接的本地和远程计算系统均执行任务。在分布式系统环境中，程序模块可同时位于本地和远程存储存储设备中。
本领域技术人员还将理解，本发明可以在云计算环境中实践。云计算环境可以是分布式的，尽管这不是必需的。当分布式时，云计算环境可在一组织内进行国际分布，和/或具有在多个组织中拥有的部件。在本说明书和以下权利要求中，“云计算”被定义为用于实现对可配置计算资源（例如，网络、服务器、存储、应用程序和服务）的共享池的按需网络访问的模型。“云计算”的定义并不限于在恰当部署时从这种模型获得的任何其他众多优势。
图2示出了示例环境200，如本文进一步描述的，其用于测试通过多个通道中的任一个通道访问的数据项，同时在策略检查期间提供被访问数据项的安全视图。如图所示，图2包括从外部源230访问数据项212的计算机系统210以及从计算机系统210访问数据项212的验证服务220。计算机系统210可对应于图1的计算机系统100。例如，计算机系统210可包括台式计算机、笔记本电脑、智能电话、平板电脑等。此外，计算机系统210可使用任何类型的操作系统（例如，MICROSOFT®、WINDOWS®、APPLE®MACOSTM、APPLE IOS®、GOOGLETM、CHROMEOSTM、GOOGLE ANDROIDTM等）。
数据项212可包括可被计算机系统210访问和/或使用的任何可应用数据项。例如，数据项212可包括字处理器文档（例如，.docx文件）、链接（例如，在电子邮件或文档中嵌入的链接）、电子表格文件（例如，.xlsx文件）、演示文件（例如，pptx文件）、.pdf文件、图像文件（例如，.jpeg文件）、音频文件（例如，.mp3文件）、视频文件（例如，.mp4文件）、.exe文件等。如本文所使用的，访问可包括在使用计算机系统时可对数据项采取的任何动作。例如，对数据项执行任何下载、存储、保存、编辑、修改、查看、打开、执行等操作都可以是访问数据项的示例。此外，虽然本文讨论了数据项和与访问数据项相关联的动作的特定示例，但仅出于示例性的目的讨论了特定示例，而并不用于限制本发明。注意，可使用本文描述的原理利用和实践数据项和访问数据项的方式的基本无限制类型。
如简要描述的，图2还包括外部源230。外部源230可包括数据项的任何源或者可通过其访问数据项的任何通道。例如，外部源230可包括电子邮件附件、链接（例如，统一资源定位器（URL））、数据项的链接、云存储服务、通用串行总线（USB）驱动器、安全数字（SD）卡、外部硬盘驱动器等。在更具体的示例中，指向数据项的链接可包括指向存储在云存储服务中的数据项的链接。这种链接可包括在短消息服务（SMS）文本消息、即时消息服务的消息、社交媒体服务、电子邮件正文、网页等中。再次地，尽管本文讨论了外部源和可通过其访问数据的通道的特定示例，但仅出于示例性的目的讨论了特定示例而并不用于限制本发明。注意，本文所述的原理可使用外部源和可通过其由计算机系统访问数据的通道的基本无限制类型来实践。
如图所示，图2还包括验证服务220，其可以包括能够确定特定数据项（例如，文件）是否符合特定策略或标准的任何服务。例如，这种策略或标准可与数据项内的恶意软件、数据项内的色情内容、数据项的审核或存档要求、与数据项关联的证书、与数据项关联的签名等有关。在更具体的示例中，可应用的策略可要求数据项中不包括恶意软件，其随后可通过验证服务220来验证。如此，验证服务220可包括能够确定数据项是否满足特定策略或标准的任何类型的服务。
在特定示例中，验证服务220可包括爆炸服务，其能够为正在被访问的每个数据项或者为其已尝试访问数据项的每个数据项生成（多个）虚拟机。一旦数据项被激活，生成的虚拟机将被检测以收集与该数据项相关的数据。如此，虚拟机可以在环境内激活（例如，执行）给定的数据项，并收集与该数据项的行为有关的数据，因为其与计算系统、在计算系统上运行的应用程序或源自该数据项的网络活动有关。例如，可对虚拟机仪表化，以确定数据项如何从操作系统的角度来表现、数据项如何影响因特网连接、数据项如何与其他数据交互、数据项如何影响通信通道、数据项如何与其他应用程序交互等等。因此，这种爆炸服务可允许以多种方式测试数据项，以确定数据项的行为和特性。
验证服务220也可以包括数据库224。数据库224可包括用于已经被验证服务220测试的每个特定数据项的唯一标识符和对应结果。例如，数据库224可使用每个特定数据项的哈希作为已被测试的每个数据项的唯一标识符。此外，数据库内的每个特定数据项可包括对应的结果指示符，其反映通过验证服务220的策略或标准检查的结果。在一个示例中，根据验证服务220对策略或标准检查的结果，结果指示符可包括“好”或“坏”。在这种示例中，“好”表示被测试的数据项满足策略或标准，而“坏”表示被测试的数据项不满足策略或标准。
因此，每次在计算机系统210处从任何外部源（或通过任何数量的通道）访问数据项时，数据项可被发送至验证服务220进行策略测试。在一些实施例中，与数据项相关联的唯一标识符（例如，数据项的哈希）最初可被发送至验证服务，而不是发送整个数据项。然后，验证服务220可将数据项的唯一标识符与数据库224内包括的所有唯一标识符进行比较，以确定该数据项是否先前已被验证服务测试。在验证服务220接收到数据项本身而不是数据项的唯一标识符的情况下，验证服务还可以被配置为确定与数据项相关联的唯一标识符，其可用于验证数据项先前是否已被测试。
当验证服务验证该数据项先前已被测试时，验证服务可以克制不再测试该数据项。然而，如本文更加完整描述的，当验证服务无法验证数据项先前是否被测试时，验证服务可测试该数据项。验证服务还可以将与测试数据项相关联的结果返回至计算机系统210。当发现数据项满足可应用策略时，无论是通过确定数据项已被测试（例如，通过将数据项的唯一标识符与数据库224中的所有唯一标识符进行比较），还是通过响应于确定该数据项先前没有被测试而测试数据项，验证服务都可以通知计算机系统210并允许计算机系统（例如，计算机系统的用户）访问该数据项。可替代地，当发现数据项不满足可应用策略时，数据项可以被隔离，并且可以阻止计算机系统210访问该数据项。然后，将数据项的标识及其验证的相关结果（好或坏）存储在数据库中（与唯一标识符相关联）以能够进行未来的优化。
因此，在一些实施例中，在通过验证服务测试数据项之前和期间，可阻止计算机系统210访问数据项。换言之，在验证服务测试数据项或确定数据项已被测试并符合任何可应用策略之前，可阻止计算机系统210访问数据项。在一个示例中，假设计算机系统210的终端用户接收到包括数据项作为附件的电子邮件。当用户试图访问（例如，查看）文档时，文档的唯一标识符（例如，文档的哈希）或者甚至文档本身可以被发送至验证服务，以确定文档是否满足本文更详细描述的任何可应用策略。在验证服务确定文档是否满足任何可应用策略的同时，可阻止终端用户访问（例如，打开）所附文档。一旦验证服务确定了结果，就可以将结果发送给用户，然后可能允许用户访问所附文档（即，在发现文档满足可应用策略的情况下）。
在一些实施例中，用户必须等待直到关于数据项的结果被确定的时间段可能需要相对较长的时间周期。因此，在实际能够访问数据项之前，用户在尝试访问数据项（例如，尝试打开文档）时可经历一些延迟。如本文进一步所述，这种延迟可与使用用于测试数据项的爆炸服务特别相关。有时，爆炸服务可需要相当长的时间周期来充分测试数据项。
因此，爆炸服务220可包括安全访问引擎222。虽然安全访问引擎222被示为包括在爆炸服务220中，但安全访问引擎可在计算机系统210上实施，可包括独立服务，或者可横跨多个计算机系统（例如，横跨计算机系统210和验证服务220）实施。安全访问引擎可包括硬件和软件的任意组合，其被配置为生成与期望数据项相关联的可安全访问数据项。注意，可安全访问的数据项可包括原始数据项的翻译版本。例如，翻译后的数据项可包括已去除可执行代码的原始数据项的版本、原始数据项的只读版本、原始数据项的水印版本、已打印到图像文件（例如，.jpeg）的原始数据项的版本等等。在一个特定示例中，数据项翻译的安全访问版本可包括一部分已被编辑的文档。
因此，在验证服务测试（或完成测试）原始数据项之前，通过计算机系统210可访问可安全访问的数据项，使得即使原始数据项不满足可应用策略，可安全访问的数据项也可被用户安全访问。例如，假设用户试图访问包括将要读取的文本以及包括恶意软件的可执行部分的文档。验证服务首先通过将文档的唯一标识符与数据库224进行比较来确定文档是否已经被测试。如果文档没有被测试，则验证服务随后将针对任何可应用策略测试文档。当验证服务正在确定文档是否已被测试（以及在测试时正在确定测试结果）和/或测试文档时，安全访问引擎可生成文档的可安全访问的版本，该版本已被去除文档的所有可执行部分（即，去除部分包括恶意软件）。然后，用户可在计算机系统210处访问生成的文档的可安全访问的版本。
如此，在验证服务正在确定原始文件是否满足任何可应用策略的同时，可由计算机系统210的终端用户读取可安全访问的文件。因此，在该示例中，当用户能够查看文档可安全访问的版本时，验证服务将确定原始文档包括恶意软件，如此原始文档将被隔离并阻止用户访问。使用前面的示例，如果文档不包括任何恶意软件并且满足任何其他可应用策略，则验证服务随后将允许用户在确定文档确实满足可应用策略时完全访问文档（例如，写入权限）。
注意，在计算机系统210接收到数据项满足任何可应用策略或标准的确认之前，计算机系统可拒绝访问该数据项。例如，试图打开未经验证服务220验证的文档以满足关于恶意软件的策略的用户会被计算机系统210限制不能这样做，直到计算机系统210接收到文档满足恶意软件策略的验证为止。
图3示出了具体示例环境300，其使用爆炸服务320用于对试图通过电子邮件访问的数据项提供策略检查，同时还在策略检查期间提供对数据项的安全访问。如图所示，图3包括计算机系统310，其包括显示器312，显示器当前显示试图查看电子邮件附件的计算机系统310的终端用户的可能视图。如图所示，图3还包括数据库330，其包括先前已被测试的所有数据项的唯一标识符以及对应于每个先前已被测试数据项的测试结果。注意，虽然图3的数据库330被示为与爆炸服务320分开，但在一些实施例中，数据库330可包括在爆炸服务320中。
在这种示例中，当发送计算机系统310的用户正在查看的电子邮件时，电子邮件最初可通过电子邮件服务器传输。然后，在可完全访问电子邮件附件之前（即，无限制访问-打开、执行、编辑等），所使用的特定电子邮件服务可自动地指示电子邮件服务器将电子邮件附件放入将被爆炸服务230检测的队列中。然而，在执行电子邮件附件的实际测试之前，爆炸服务320可将电子邮件附件的唯一标识符与数据库330内包括的先前已被测试数据项进行比较。如本文更详细描述的，这种比较可允许爆炸服务确定电子邮件附件是否已被测试，如果已被测试，则确定先前测试的结果。如果之前未测试电子邮件附件，则爆炸服务320随后将生成虚拟机322，用于测试电子邮件附件324是否满足可应用策略。
在生成虚拟机并最终测试电子邮件附件的同时，可生成电子邮件附件的安全访问版本，并且可使计算机系统310的终端用户进行访问。例如，如果电子邮件附件是字处理器文档，则安全访问版本可包括终端用户能查看但不能编辑的电子邮件附件（即，字处理器文档）的只读版本。电子邮件附件的安全访问版本可允许用户访问文档（虽然以有限方式），即使在虚拟机环境中测试电子邮件附件花费相对较长的时间。一旦电子邮件附件经过全面测试，用户就可以访问附件的完整版本，前提是附件满足任何可应用策略。此外，爆炸服务可确保发生数据库已填充特定电子邮件附件的测试（即，将被填充在数据库中的电子邮件附件的唯一标识符和策略测试结果）。
如本文所述，爆炸服务还可以访问数据库330，其中包括爆炸服务先前已经测试的数据项。因此，与测试处理相关联的时间周期可大大缩短，因为电子邮件附件先前已经被测试。在这种情况下，爆炸服务可避免再次测试，并使电子邮件附件的先前测试结果（例如，‘安全’、‘不安全’等）返回计算机系统310使用的电子邮件服务。此外，爆炸服务可以向计算机系统和/或电子邮件服务通知电子邮件附件是被用户完全访问还是隔离/阻止。
在图3的特定电子邮件附件示例中，当爆炸服务320确定电子邮件附件324先前没有被测试时，随后可通过爆炸服务针对可应用策略自动测试电子邮件附件。通常，这会导致对电子邮件附件的策略测试在接收电子邮件的用户甚至有机会查看用户的电子邮件收件箱之前完成。虽然策略测试可在电子邮件到达用户的收件箱之前没有完成，但策略测试可以在用户查看或访问收件箱之前完成。此外，在策略测试在用户首次尝试访问电子邮件附件时完成的情况下，用户可以在附件满足可应用策略时简单地访问完整的电子邮件附件（即，不是附件的安全访问版本或者必须等待策略测试完成）。
在另一示例中，存储在云存储服务中的每个数据项可在存储给定数据项时自动地测试任何可应用策略。如上所述，虽然不保证这样做，但这可以使得在访问被存储数据项之前完成策略测试以及在被存储数据项满足可应用策略时立即完全访问被存储的数据项。此外，如本文更完整描述的，作为针对可应用策略自动测试数据项（即，通过电子邮件服务、云存储服务等）的一部分，数据库224（或数据库330）也可用于确定给定数据项是否已被测试。将给定数据项的唯一标识符与已被测试的数据项的数据库进行比较，可进一步提高用户可完全访问数据项的速度，因为数据项已经被测试（在这种情况下，可以避免重新测试）。
因此，可将流经预期通道的数据项（例如，电子邮件、云存储服务、文档管理服务等）与先前已被测试数据项的数据库进行比较，并在可应用时，在传输期间（例如，电子邮件）、在初始存储（例如，云存储服务）等时由验证服务220（例如，爆炸服务320）进行测试。例如，在发送具有附件的电子邮件时，可以自动将电子邮件附件的哈希与数据库330内包括的、先前已针对可应用策略被测试的所有数据项进行比较，以确定电子邮件附件是否已被测试（如果已被测试，则在用户有机会查看电子邮件之前，能将测试的直接结果发送给电子邮件服务）。以这种方式，在用户甚至尝试访问数据项之前，通常可以测试数据项是否满足任何可应用策略。
图4示出了具体示例环境400，其使用爆炸服务320用于对通过USB驱动器访问的数据项提供策略检查，同时在策略检查期间还提供被访问数据项的安全视图。如图所示，图4包括计算机系统410，其包括显示器412，该显示器当前显示计算机系统410的终端用户的可能视图，计算机系统正在查看与打开存储在USB驱动器414中的数据项相关联的用户界面。在这种示例中，假设用户试图访问存储在USB驱动器414内的文档。在尝试访问文档时，可以启动特定的软件应用程序或客户端（例如，MICROSOFT WOED、ADOBE®READER、GOOGLE DOCSTM等）。
在一些实施例中，这种客户端可被启发，使得客户端避免允许用户完全访问数据项，直到客户端可验证数据项能被安全访问为止。例如，在接收到使用被启发客户端打开文档的尝试时，客户端可以对爆炸服务320执行应用程序编程接口（API）函数调用，而不论从哪个源/通道访问数据项。通过被启发客户端进行的这种API函数调用可以包括将被访问文档的唯一标识符（例如，文档的哈希）发送给爆炸服务，以将唯一标识符与数据库330进行比较，从而确定先前是否针对可应用策略测试了文档。在其他实施例中，可以将文档的唯一标识符直接发送至数据库330，以确定是否已针对可应用策略测试了文档。
然后，被启发客户端可以接收到来自爆炸服务或数据库的响应：关于文档是否已被测试以及测试结果（在可应用时）。当文档已经被测试时，被启发客户端可以基于先前的测试结果进行用户是否能完全访问文档的直接确定。例如，如果测试使得文档满足可应用策略，则客户端可以立即允许完全访问。然而，如果测试使得文档不满足可应用策略，则文档可以被隔离并且阻止用户完全访问。
当文件先前未被测试时，被启发客户端可以接收来自爆炸服务或数据库的请求，以将文件上传至爆炸服务用于测试可应用策略。一旦爆炸服务接收到文档，爆炸服务就可以生成虚拟机422，其被配置为测试文档424是否满足可应用策略。同时，爆炸服务和被启发客户端的任何组合都可以生成与在爆炸服务正在测试文档时将被用户利用的文档424相关联的安全访问文档。一旦爆炸服务完成文档测试，客户端可以接收与测试相关联的结果：由用户完全访问文档或隔离/阻止文档进一步使用。
尽管参照图4讨论的示例涉及访问存储在USB驱动器内的文档，但如本文进一步描述的，任何数量的其他示例也可用于实践被启发客户端的原理。例如，无论用户是否通过电子邮件中的链接、通过网页中包括的链接访问来自USB驱动、来自SD卡的数据项，被启发客户端都可以用于访问数据项。随后，如本文进一步描述的，这种被启发文档可避免允许用户完全访问数据项，直到客户端能确定该数据项满足可应用策略为止。在进行关于数据项的最终确定时，被启发客户端还可以允许访问数据项的安全版本。
虽然本文讨论了被启发客户端，但未被启发的客户端也可以用于限制用户访问未被验证满足可应用策略的数据项，同时还提供对数据项翻译版本的安全访问。在这种情况下，操作系统迂回可以用于提供本文针对被启发应用程序所描述的相同经验。例如，当非启发客户端用于通过任何可能的通道（例如，USB驱动、SD卡等）访问数据项时，透明地拦截非启发客户端的API调用的补偿API可以用于调用可应用驱动器。然后，驱动器可将数据项的唯一标识符发送给验证服务（或直接发送到数据库），以确定该数据项先前是否已被测试。
然后，验证服务可以使结果返回与数据项是否已被测试相关联的驱动器。如果数据项已被测试并且数据项满足可应用策略，则验证服务可以将该情况通知驱动器。然后，驱动器可以向未启发客户端通知用户可以完全访问数据项。当数据项已被测试并且数据项不满足可应用策略时，可以通过驱动器/操作系统隔离数据项并且阻止其进一步使用。
如本文进一步描述的，当数据项先前没有被测试时，驱动器可以将数据项上传到验证服务用于进一步的测试。同时，验证服务可以将数据项翻译为数据项的安全访问版本，并将翻译后的数据项发送给驱动器。然后，驱动器可以允许用户经由未启发客户端访问翻译的数据项，直到数据项测试完成。一旦完成测试，可以基于测试结果完全访问数据项，或者隔离和阻止数据项。因此，无论数据项是通过预期通道（例如，电子邮件服务、云存储服务、文档管理服务等）被访问，还是经由被启发客户端通过非预期通道（例如，USB驱动、SD卡驱动、网页链接等）被访问，或者经由未启发客户端通过非预期通道被访问，都会同时发生数据项的先前测试的自动检测、数据项的测试以及数据项的安全访问。此外，无论用于访问数据项的外部源/访问通道如何，都可以以相同方式执行任何可应用策略、检查策略的方式（例如，经由爆炸服务）或提供数据项的安全访问的方式（例如，只读数据项）。
注意，本文描述的原理也可以适用于嵌入在其他数据项中的数据项。例如，嵌入在数据项内的链接（例如，URL）也可以与数据库224进行比较，以确定该链接先前是否针对可应用策略被测试。如果没有，则可以通过验证服务220（例如，爆炸服务320）测试链接（以及其中嵌入链接的数据项），以确定链接是否满足可应用策略。在另一示例中，可以将与数据项内嵌入的文件相关联的唯一标识符与数据库224进行比较，以确定嵌入的文件先前是否已被测试。如果没有，则可以通过验证服务220测试嵌入的文件（以及其中嵌入文件的数据项），以确定嵌入的文件是否满足可应用策略。在又一示例中，如本文进一步描述的，可以通过验证服务220测试存档格式文件（例如，.zip文件、.rar文件等），使得可以测试存档格式文件和其中包括的数据项。在另一示例中，如本文进一步描述的，还可以通过验证服务测试嵌入到另一电子邮件内的电子邮件。
虽然数据库224（和数据库330）内存储的被测试数据项的结果被描述为仅具有一个值（例如，好或坏），但在一些实施例中，与被测试数据项相对应的结果可包括多个值。例如，与先前已被测试数据项相对应的结果可包以括基于预期收件人、实际收件人、组织策略等的多种验证类型。注意，这些附加结果也可以存储在数据库224（和数据库330）内。
在特定示例中，与测试特定数据项相关联的结果可以包括好或坏的确定以及与特定数据项对应的风险或置信度分数。风险/置信度分数可以指示特定数据项满足策略的概率。关于风险/置信度分数，在给予用户对特定数据项的完全访问权之前，接收用户或接收组织可以要求满足与特定数据项对应的特定风险/置信度阈值。
此外，即使在同一个组织内，不同的用户可以具有不同的策略。例如，常规的中-低级别雇员可以具有一策略，其允许雇员访问已经被证实先前已被验证满足策略（例如，通过将数据项的唯一标识符与先前已被测试的数据项的数据库进行比较）的数据项。可替代地，高级雇员可以具有不允许雇员访问已经被证实先前已被验证满足策略的数据项的策略。在这种情况下，每当高级雇员试图访问数据项时，该数据项都将被新验证，而不论该数据项过去是否已被验证。因此，验证服务220可以被配置为确定各种类型的验证（即，除好/坏之外），包括与特定数据项相关联的置信度或风险分数以及基于尝试访问数据项的用户的不同策略。
可替代地或者另外地，任何类型的结果也可以基于用户、组织、验证服务220、数据库224等的策略到期。如此，一旦与特定数据项对应的结果到期，特定数据项的任何后续访问都可以触发验证服务220对该数据项的新分析。在高度受限的环境（例如，军事或政府组织）内访问的数据项可以频繁地被重新测试或重新验证，以确保不发生数据项的篡改。也可以发生高度受限环境（或任何环境）中对被访问数据项的频繁重新验证，以允许验证服务（例如，爆炸服务320）的改进或可应用策略的更改。例如，在确定数据项是否满足可应用策略方面，验证服务220可持续地升级和改进。
如此，频繁的重新验证在包括包含“定时炸弹”的数据项的情况下可以尤其有用，其中“定时炸弹”被配置为仅在特定上下文中执行（例如，在特定时间/日期或之后、响应于被特定用户访问等等）。然后，验证服务的改进和频繁的重新验证可以一起工作，以允许检测这些数据项（例如，一旦已经出现与定时炸弹相关联的特定日期/时间，验证服务将能够完全访问/测试定时炸弹数据项，并且验证服务的改进可以允许检测这种情况）。在另一示例中，对于一个长时间周期在云存储服务中空闲的文档也可以周期性地被重新测试或重新验证，以确保没有发生文档的篡改或者满足可应用策略（例如，要求数据项的周期性验证的策略）。在一些实施例中，可以在每当可应用策略改变时重新验证数据项。
注意，虽然贯穿本文讨论了将唯一标识符与数据库224进行比较以快速确定数据项是否满足可应用策略，但是还可以使用快速确定数据项是否满足可应用策略的其他方式。例如，与被访问数据项相关联的加密安全声明可以由通过其访问数据项的服务/客户端使用（例如，电子邮件服务、字处理器客户端等）。服务/客户端可以签署声明，声明指示被访问数据项先前已被测试并且发现满足可应用策略。然后，声明可以包括在数据项中，使得服务/客户端能够确定数据项满足策略，即使服务/客户端处于离线状态（例如，无法与数据库224通信）。
此外，在一些实施例中，在向用户给予对数据项的完全访问之前，可以为用户给予将被测试的数据项的控制。例如，用户能够确定用户将能够基于访问数据项所通过的通道（例如，电子邮件服务、云存储服务等）、基于数据项的类型等完全访问数据项。在特定示例中，用户可以选择能够立即打开从特定用户接收的任何电子邮件附件。即使当用户已选择立即查看一些数据项时，也可以在后台执行测试（例如，经由爆炸服务），使得可以最终向用户通知测试结果。可以经由将用于访问文档的服务或客户端的用户接口、经由计算机系统210的操作系统的用户接口等，向用户给予能立即完全访问数据项的这种控制（即，无需首先针对可应用策略进行测试）。
图5示出用于提供通过多个访问通道中的一个访问的数据项的安全访问，同时提供数据项的策略检查的方法500的流程图。方法500将经常参考图2进行描述。方法500可以包括接收与通过多个访问通道中的一个访问通道访问数据项相关联的指示（动作510）。例如，计算机系统210可以接收用户试图访问电子邮件附件、存储在USB驱动中的文档、文本消息内的链接等的指示。
响应于接收到与访问数据项相关联的指示，可以自动执行许多动作，而不论访问数据项所通过的访问通道如何。例如，方法500可以进一步包括响应于接收到指示分析数据项以确定数据项是否满足策略（动作520）。例如，可以将被访问（或试图进行访问）的数据项的唯一标识符发送给验证服务（最终发送给数据库224），以确定数据项先前是否针对可应用策略被测试。如果是，则先前测试的结果可发送到计算机系统210，这可以使得对数据项完全访问或阻止/隔离数据项进一步访问。
在先前没有测试数据项时，则可以测试（例如，经由爆炸服务320）数据项是否满足可应用策略。方法500还可以包括：响应于指示并且在确定数据项是否满足策略的同时，提供数据项的安全访问（动作530）。例如，在对于可应用策略测试数据项时，可以生成数据项的安全访问版本，并且可以使用户访问。一旦测试完成，在数据项满足可应用策略时，可以给予用户对数据项的完全访问权。可代替地，在发现数据项不满足可应用策略时，可以阻止/隔离该数据项不被用户进一步使用。
以这种方式，在从外部源访问数据项时可以保护用户和计算机系统，同时仍然允许用户安全地访问数据项的至少一部分，而不论访问数据项所通过的通道。保护可以来自自动地确定数据项（已经尝试进行访问）是否满足正在实施的一个或多个策略，同时在策略确定完成之前不允许完全访问数据项。通过（在数据库内）存储与已测试的每个数据项相关联的唯一标识符以及每个已测试数据项的对应测试结果，可以使自动确定数据项是否满足策略更加有效。每次访问新数据项时，可以将该数据项的唯一标识符与数据库进行比较，以确定该数据项是否已被测试（如果是，则确定结果）。这样做可以更加有效地使用时间和资源。此外，在进行这种确定/测试时，用户可以被给予对文档的安全版本的访问权。如此，在进行关于数据项的策略满足的确定时，用户可以被给予安全地访问数据项的安全版本的便利性。
虽然已经用特定于结构特征和/或方法动作的语言描述了主题，但应当理解，所附权利要求中定义的主题不一定限于上述特征或动作或者上述动作的顺序。相反，特征和动作被公开为实施权利要求的示例形式。
本发明可以其他具体形式来体现而不背离其精神或本质特性。所述实施例在所有方面被视为说明性而非限制性的。因此，本发明的范围由所附权利要求而不是由上述说明书指定。在权利要求的含义和等效范围内的所有变更都应包括在其范围内。

Claims (20)

1.一种计算机系统，包括：
一个或多个处理器；以及；
一个或多个计算机可读硬件存储介质，其上存储有计算机可执行指令，所述计算机可执行指令被所述一个或多个处理器可执行以使所述计算机系统提供通过多个访问通道中的一个访问通道访问的数据项的安全访问，同时提供所述数据项的策略检查，所述计算机可执行指令包括可执行以使所述计算机系统至少执行以下处理的指令：
接收与通过多个访问通道中的一个访问通道访问数据项相关联的指示；以及
响应于接收到与访问所述数据项相关联的所述指示，自动地执行至少以下处理而不论访问所述数据项所通过的访问通道如何：
分析所述数据项以确定所述数据项是否满足策略，其中确定所述数据项是否满足所述策略包括生成虚拟机以激活所述数据项；并且
在确定所述数据项是否满足所述策略的同时，
将所述数据项翻译为所述数据项的不同安全访问版本，包括先前未被确定为满足所述策略的部分；并且
提供对所述数据项的所述安全访问版本。
2.根据权利要求1所述的计算机系统，其中，所述多个访问通道中的所述一个访问通道包括通用串行总线（USB）驱动。
3.根据权利要求1所述的计算机系统，其中，所述多个访问通道中的所述一个访问通道包括USB驱动、电子邮件服务或到云存储服务的链接中的一个。
4.根据权利要求1所述的计算机系统，其中，提供所述数据项的所述安全访问版本包括：显示所述数据项的只读副本。
5.根据权利要求1所述的计算机系统，其中，所述计算机可执行指令还包括可执行以使所述计算机系统标识所述数据项是否先前已被确定为满足所述策略的指令。
6.根据权利要求5所述的计算机系统，其中，所述计算机可执行指令还包括能被执行以使得当所述数据项被标识先前已被确定为满足所述策略时避免分析所述数据项的指令。
7.根据权利要求1所述的计算机系统，其中，分析所述数据项包括：在虚拟机内分析所述数据项，所述虚拟机被生成仅用于分析所述数据项是否满足所述策略。
8.根据权利要求1所述的计算机系统，其中，当所述数据项没有恶意软件时所述策略被满足。
9.根据权利要求1所述的计算机系统，其中，所述数据项包括统一资源定位器。
10.根据权利要求1所述的计算机系统，其中，不论用于访问所述数据项的访问通道如何，所述策略、所述策略检查或所述安全访问中的至少一项是相同的。
11. 一种方法，在计算机系统处实施，所述计算机系统包括一个或多个处理器，所述方法用于提供通过多个访问通道中的一个访问通道访问的数据项的安全访问， 同时提供所述数据项的策略检查，包括：
接收与通过多个访问通道中的一个访问通道访问数据项相关联的指示；以及
响应于接收到与访问所述数据项相关联的所述指示，自动地执行至少以下处理而不论访问所述数据项所通过的访问通道如何：
分析所述数据项以确定所述数据项是否满足策略，其中确定所述数据项是否满足所述策略包括生成虚拟机以激活所述数据项；并且
在确定所述数据项是否满足所述策略的同时：
将所述数据项翻译为所述数据项的不同安全访问版本，包括先前未被确定为满足所述策略的部分；并且
提供对所述数据项的所述安全访问版本。
12.根据权利要求11所述的方法，其中，所述多个访问通道中的所述一个访问通道包括通用串行总线（USB）驱动。
13. 根据权利要求11所述的方法，其中，所述多个访问通道中的所述一个访问通道包括USB 驱动、电子邮件服务或到云存储服务的链接中的一个。
14.根据权利要求11所述的方法，其中，提供对所述数据项的安全访问包括：显示所述数据项的只读副本。
15.根据权利要求11所述的方法，还包括：标识所述数据项是否先前已被确定为满足所述策略。
16.根据权利要求15所述的方法，还包括：当所述数据项被标识先前已被确定为满足所述策略时，避免分析所述数据项。
17.根据权利要求11所述的方法，其中，分析所述数据项包括:在虚拟机内分析所述数据项，所述虚拟机被生成仅用于分析所述数据项是否满足所述策略。
18.根据权利要求11所述的方法，其中，当所述数据项没有恶意软件时所述策略被满足。
19.根据权利要求11所述的方法，其中，不论用于访问所述数据项的访问通道如何，所述策略、所述策略检查或所述安全访问中的至少一项是相同的。
20. 一种计算机存储介质，其上存储有计算机可执行指令，所述计算机可执行指令被计算机系统的一个或多个处理器执行以使所述计算机系统提供通过多个访问通道中的一个访问通道访问的数据项的安全访问，同时提供所述数据项的策略检查，所述计算机可执行指令包括可执行以使所述计算机系统至少执行以下处理的指令：
接收与通过多个访问通道中的一个访问通道访问数据项相关联的指示；以及
响应于接收到与访问所述数据项相关联的所述指示，自动地执行至少以下处理而不论访问所述数据项所通过的所述访问通道如何：
分析所述数据项以确定所述数据项是否满足策略，其中确定所述数据项是否满足所述策略包括生成虚拟机以激活所述数据项；并且
在确定所述数据项是否满足所述策略的同时，
将所述数据项翻译为所述数据项的不同安全访问版本，包括先前未被确定为满足所述策略的部分；并且
提供对所述数据项的所述安全访问版本。
CN201780083919.3A 2017-01-25 2017-12-20 用于安全数据访问的系统、方法和计算机存储介质 Active CN110192195B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US15/415,617 2017-01-25
US15/415,617 US10511631B2 (en) 2017-01-25 2017-01-25 Safe data access through any data channel
PCT/US2017/067458 WO2018140167A1 (en) 2017-01-25 2017-12-20 Safe data access through any data channel

Publications (2)

Publication Number Publication Date
CN110192195A CN110192195A (zh) 2019-08-30
CN110192195B true CN110192195B (zh) 2023-10-24

Family

ID=60991588

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201780083919.3A Active CN110192195B (zh) 2017-01-25 2017-12-20 用于安全数据访问的系统、方法和计算机存储介质

Country Status (4)

Country Link
US (1) US10511631B2 (zh)
EP (1) EP3574428B1 (zh)
CN (1) CN110192195B (zh)
WO (1) WO2018140167A1 (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11379577B2 (en) 2019-09-26 2022-07-05 Microsoft Technology Licensing, Llc Uniform resource locator security analysis using malice patterns
US11509667B2 (en) 2019-10-19 2022-11-22 Microsoft Technology Licensing, Llc Predictive internet resource reputation assessment
US11431751B2 (en) 2020-03-31 2022-08-30 Microsoft Technology Licensing, Llc Live forensic browsing of URLs

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101231683A (zh) * 2006-12-12 2008-07-30 Secunet安全网络股份公司 用于计算机系统的安全数据处理方法
CN101461177A (zh) * 2006-06-02 2009-06-17 微软公司 从访问检查机制的本机表示中抽象安全策略以及将其变换到该表示
CN102792307A (zh) * 2010-03-15 2012-11-21 赛门铁克公司 在虚拟环境中提供网络访问控制的系统和方法
US9083749B1 (en) * 2012-10-17 2015-07-14 Amazon Technologies, Inc. Managing multiple security policy representations in a distributed environment
CN105760773A (zh) * 2015-07-06 2016-07-13 卡巴斯基实验室股份制公司 通过易受攻击的应用控制打开文件的系统和方法

Family Cites Families (28)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5956481A (en) 1997-02-06 1999-09-21 Microsoft Corporation Method and apparatus for protecting data files on a computer from virus infection
US7340774B2 (en) 2001-10-15 2008-03-04 Mcafee, Inc. Malware scanning as a low priority task
US7058975B2 (en) 2001-12-14 2006-06-06 Mcafee, Inc. Method and system for delayed write scanning for detecting computer malwares
US7096500B2 (en) 2001-12-21 2006-08-22 Mcafee, Inc. Predictive malware scanning of internet data
US7640586B1 (en) 2003-07-07 2009-12-29 Mcafee, Inc. Reducing HTTP malware scanner latency using HTTP range queries for random access
US7523484B2 (en) * 2003-09-24 2009-04-21 Infoexpress, Inc. Systems and methods of controlling network access
US7254836B2 (en) * 2003-10-23 2007-08-07 Microsoft Corporation Protected media path and refusal response enabler
US7526792B2 (en) * 2004-06-09 2009-04-28 Intel Corporation Integration of policy compliance enforcement and device authentication
US7774824B2 (en) * 2004-06-09 2010-08-10 Intel Corporation Multifactor device authentication
US7581253B2 (en) 2004-07-20 2009-08-25 Lenovo (Singapore) Pte. Ltd. Secure storage tracking for anti-virus speed-up
US7334722B1 (en) 2005-02-14 2008-02-26 Symantec Corporation Scan-on-read
US20080052539A1 (en) * 2006-07-29 2008-02-28 Macmillan David M Inline storage protection and key devices
US8307428B1 (en) 2006-12-19 2012-11-06 Mcafee, Inc. System, method and computer program product for scanning portions of data
US8839431B2 (en) 2008-05-12 2014-09-16 Enpulz, L.L.C. Network browser based virus detection
US10521423B2 (en) * 2008-12-22 2019-12-31 Ctera Networks, Ltd. Apparatus and methods for scanning data in a cloud storage service
US9003517B2 (en) 2009-10-28 2015-04-07 Microsoft Technology Licensing, Llc Isolation and presentation of untrusted data
US8732473B2 (en) 2010-06-01 2014-05-20 Microsoft Corporation Claim based content reputation service
JP5576262B2 (ja) * 2010-12-27 2014-08-20 インターナショナル・ビジネス・マシーンズ・コーポレーション データを分類してアクセス制御を行う方法、並びに、システム
US9111094B2 (en) 2011-01-21 2015-08-18 F-Secure Corporation Malware detection
US8726388B2 (en) 2011-05-16 2014-05-13 F-Secure Corporation Look ahead malware scanning
US9843603B2 (en) * 2012-10-16 2017-12-12 Dell Products, L.P. Techniques for dynamic access control of input/output devices
US20140331337A1 (en) * 2013-05-02 2014-11-06 International Business Machines Corporation Secure isolation of tenant resources in a multi-tenant storage system using a gatekeeper
US9058495B2 (en) * 2013-05-16 2015-06-16 Airwatch Llc Rights management services integration with mobile device management
US9167104B2 (en) * 2013-07-25 2015-10-20 Airwatch Llc Telecommunications data usage management
US9208334B2 (en) * 2013-10-25 2015-12-08 Verance Corporation Content management using multiple abstraction layers
US10922112B2 (en) * 2014-05-21 2021-02-16 Vmware, Inc. Application aware storage resource management
US20160006754A1 (en) 2014-07-01 2016-01-07 Mcafee, Inc. Secure enclave-rendered contents
WO2018004572A1 (en) 2016-06-29 2018-01-04 Sophos Limited Sandbox environment for document preview and analysis

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101461177A (zh) * 2006-06-02 2009-06-17 微软公司 从访问检查机制的本机表示中抽象安全策略以及将其变换到该表示
CN101231683A (zh) * 2006-12-12 2008-07-30 Secunet安全网络股份公司 用于计算机系统的安全数据处理方法
CN102792307A (zh) * 2010-03-15 2012-11-21 赛门铁克公司 在虚拟环境中提供网络访问控制的系统和方法
US9083749B1 (en) * 2012-10-17 2015-07-14 Amazon Technologies, Inc. Managing multiple security policy representations in a distributed environment
CN105760773A (zh) * 2015-07-06 2016-07-13 卡巴斯基实验室股份制公司 通过易受攻击的应用控制打开文件的系统和方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
XML网络服务安全策略应用;曲巨宝;;计算机技术与发展(第12期);全文 *

Also Published As

Publication number Publication date
US10511631B2 (en) 2019-12-17
EP3574428B1 (en) 2024-01-24
CN110192195A (zh) 2019-08-30
WO2018140167A1 (en) 2018-08-02
EP3574428A1 (en) 2019-12-04
US20180213000A1 (en) 2018-07-26

Similar Documents

Publication Publication Date Title
US10867041B2 (en) Static and dynamic security analysis of apps for mobile devices
KR101373986B1 (ko) 모델을 사용하여 실행가능 프로그램을 조사하는 방법 및 장치
Jiang et al. Detecting passive content leaks and pollution in android applications
KR101565230B1 (ko) 샌드박스에 참조들을 유지하는 시스템 및 방법
KR101557322B1 (ko) 호스트형 컴퓨터 환경에서 가상 오브젝트 우회
US20150347771A1 (en) Isolation and presentation of untrusted data
US9948676B2 (en) System and method for securing documents prior to transmission
CN106934282B (zh) 使用用于残疾用户的api控制对数据的访问的系统和方法
US20150012924A1 (en) Method and Device for Loading a Plug-In
US20210185089A1 (en) System and method for securing documents prior to transmission
CN110192195B (zh) 用于安全数据访问的系统、方法和计算机存储介质
US11886716B2 (en) System and method to secure a computer system by selective control of write access to a data storage medium
US10970392B2 (en) Grouping application components for classification and malware detection
US10831883B1 (en) Preventing application installation using system-level messages
US20230004638A1 (en) Redirection of attachments based on risk and context
US11436331B2 (en) Similarity hash for android executables
Ahmed et al. Digital evidence extraction and documentation from mobile devices
KR20120116295A (ko) 문서 명칭 관리 장치 및 방법
CN103034809B (zh) 一种免疫文件宏病毒的方法和装置
US10454960B2 (en) Method of and system for user authentication in electronic service for transmission of digital objects
US20240054216A1 (en) Monitoring and Validating File Associations
CN116502218A (zh) 一种定向威胁攻击检测方法、装置与计算设备
MAHMOD SMS-Phishing on Android Smart Phone
Liu et al. An Empirical Study on Android for Saving Nonshared Data on Public Storage...... KEHUAN ZHANG

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant