CN110537181B - 对应用数据进行分类的方法、计算设备及存储介质 - Google Patents

Abstract

本公开描述了一种用于管理基于云的应用程序的方法。在一个实施方案中，所述方法包括：检测应用程序的发起；检测相对于所述应用程序执行的动作；在所述应用程序对与所检测到的动作相关联的数据的至少一部分进行加密之前捕获所述数据；分析所捕获的数据；并且至少部分地基于所述分析所捕获的数据而将网络管理策略应用于分组流。在一些情况下，所述应用程序被配置为对与所检测到的动作相关联的数据的至少一部分进行加密。

Description

对应用数据进行分类的方法、计算设备及存储介质

技术领域

本申请涉及用于对应用数据进行分类的方法、计算设备及计算机可读存储介质。

背景技术

计算机系统和计算机相关技术的使用继续高速增长。计算机系统使用的这种增长影响了计算机相关技术的进展。计算机已经日益成为商业领域和个人消费者活动密不可分的部分。计算机系统可用于执行若干商业、工业和学术活动。

计算机和移动设备的广泛使用已经导致存在更多恶意程序，诸如隐匿程序、间谍软件、特洛伊木马等。恶意软件程序设计者不断适应于恶意软件检测技术的进步，这形成了恶意软件技术适应恶意软件检测技术进步的持续循环。

发明内容

根据至少一个实施方案，描述了用于管理基于云的应用程序的方法。在一些情况下，本发明的系统和方法可以管理应用程序，该应用程序被配置为对由该应用程序使用的数据诸如用户数据和/或系统数据进行加密。在一个实施方案中，该方法可以包括：检测应用程序的发起；检测相对于应用程序执行的动作；在应用程序对与所检测到的动作相关联的数据的至少一部分进行加密之前捕获该数据；分析所捕获的数据；并且至少部分地基于分析所捕获的数据而将网络管理策略应用于分组流。在一些情况下，该应用程序可以被配置为对与所检测到的动作相关联的数据的至少一部分进行加密。在一些情况下，该应用程序可以包括经由web浏览器访问的在线应用程序、基于云的应用程序、基于web的应用程序、被配置为访问互联网的移动应用程序、以及被配置为访问互联网的桌面应用程序中的至少一者。

在一些实施方案中，该方法可以包括：在多个未识别的分组流中识别与所捕获的数据相关联的分组流；以及确定与应用程序的所检测到的发起相关联的用户标识符、应用程序的发起方、操作系统进程、与应用程序相关联的文件的大小、文件的文件散列、文件名或它们的任何组合中的至少一者。

在一些实施方案中，该方法可以包括将所识别的分组流与所捕获的数据、所确定的用户标识符、所确定的应用程序的发起方、操作系统进程、所确定的与应用程序相关联的文件的大小、所确定的文件的文件散列、文件名或它们的任何组合中的至少一者相关联。在一些实施方案中，该方法可以包括至少部分地基于对所捕获的数据的分析、所检测到的动作、与应用程序相关联的应用程序类别、与应用程序相关联的名称或它们的任何组合而对所捕获的数据进行分类。在一些实施方案中，该方法可以包括：至少部分地基于对所捕获的数据的分类而将网络管理策略应用于所识别的分组流。在一些情况下，可以至少部分地基于相对于检测执行的动作而检测到的动作的类型来应用网络管理策略的一个方面。

在一些情况下，所检测到的动作可以包括以下中的至少一者：相对于应用程序的用户界面菜单项的用户输入、相对于应用程序的按钮的用户输入、相对于应用程序的输入框的用户输入、检测在应用程序中输入的数据、识别向应用程序上传的文件、识别从应用程序下载的文件、识别与应用程序有关的文件删除、经由应用程序识别对数据的修改或它们的任何组合。在一些实施方案中，该方法可以包括：识别应用程序的按钮；并且至少部分地基于对与检测到的光标位置有关的按钮的识别而解释所检测到的动作。

在一些实施方案中，该方法可以包括识别与所捕获的数据相关联的标识符。在一些情况下，标识符可以包括应用程序协议、第4层协议、第3层协议、第4层端口号、第3层地址或它们的任何组合中的至少一者。

在一些实施方案中，该方法可以包括至少部分地基于分析而执行安全动作。在一些情况下，执行安全动作可以包括：检测与应用程序相关联的可疑活动；以及识别内联网的与可疑网络流量相关联的一个或多个设备。在一些情况下，执行安全动作可以包括：映射与内联网的一个或多个设备有关的可疑流量；并且至少部分地基于映射而识别可疑网络流量的起源。

还描述了被配置用于管理基于云的应用程序的计算设备。计算设备可包括处理器和与处理器电子通信的存储器。存储器可以存储计算机可执行指令，该计算机可执行指令在由处理器执行时使处理器执行以下步骤：检测应用程序的发起；检测相对于应用程序执行的动作；在应用程序对与所检测到的动作相关联的数据的至少一部分进行加密之前捕获该数据；分析所捕获的数据；并且至少部分地基于分析所捕获的数据而将网络管理策略应用于分组流。在一些情况下，该应用程序可以被配置为对与所检测到的动作相关联的数据的至少一部分进行加密。

还描述了存储计算机可执行指令的非暂态计算机可读存储介质。当由处理器执行指令时，该指令的执行可以使处理器执行以下步骤：检测应用程序的发起；检测相对于应用程序执行的动作；在应用程序对与所检测到的动作相关联的数据的至少一部分进行加密之前捕获该数据；分析所捕获的数据；并且至少部分地基于分析所捕获的数据而将网络管理策略应用于分组流。在一些情况下，该应用程序可以被配置为对与所检测到的动作相关联的数据的至少一部分进行加密。

来自上述实施方案中的任何一者的特征可根据本文所述的一般原理彼此结合地使用。通过结合附图和权利要求书阅读下面的详细描述，将会更充分地理解这些和其他实施方案、特征和优点。

附图说明

附图示出了多个示例性实施方案并且为说明书的一部分。这些附图结合下面的描述展示并且说明本公开的各种原理。

图1是示出环境的一个实施方案的框图，在该环境中可实施本发明的系统和方法；

图2是示出数据分类模块的一个示例的框图；

图3示出了根据本公开的各个方面的数据流的框图；

图4是示出根据本公开的各个方面的方法的一个实施方案的流程图；

图5是示出根据本公开的各个方面的方法的一个实施方案的流程图；

图6示出了适于实施本发明的系统和方法的计算机系统的框图；并且

图7示出了适于实施本发明的系统和方法的计算机系统的框图。

虽然本文所述的实施方案易受各种修改和替代形式的影响，但在附图中以举例的方式示出了特定实施方案并且将在本文详细描述。然而，本文所述的示例性实施方案并非旨在限于所公开的特定形式。相反，本发明涵盖落在所附权利要求书范围内的所有修改形式、等同形式和替代形式。

具体实施方式

本文所述的系统和方法涉及被配置为对数据进行加密的应用程序。此类应用程序的示例包括基于云的应用程序、基于web的应用程序和基于非web的应用程序。更具体地，本文所述的系统和方法涉及管理与基于云的应用程序、基于web的应用程序以及与对多个计算设备的监测有关的基于非web的加密应用程序有关的事件。在一些情况下，受监测的应用程序可以实施第三方可能无法进行解密的自定义、非标准或专有加密技术。因此，本发明的系统和方法可以在应用程序对要加密的数据进行加密之前捕获数据。尽管本文使用某些应用程序诸如基于云的应用程序作为示例，但是应当理解，本文所述的系统和方法适用于被配置为对数据进行加密的任何应用程序。

计算机用户越来越多地使用基于云的应用程序诸如基于web的办公应用程序、云存储应用程序等来执行通常已经执行并存储在本地计算机上的任务。作为一个示例，基于云的应用程序越来越多地被企业环境中的工作者所使用。基于云的应用程序可以包括在本地客户端机器和远程计算设备诸如云应用程序服务器上部分地执行的应用程序。基于云的应用程序可以包括将与基于云的应用程序有关的数据存储在远程云存储位置的应用程序。例如，用户可以使用基于云的文字处理应用程序来创建文本文档。被执行以创建文本文档的基于云的文字处理应用程序的进程的至少一部分可以在远程云应用程序服务器上执行，并且该进程的至少一部分可以在用户的本地客户端机器上执行以创建文本文档。文本文档的文本可以主要地存储在远程云存储服务器上。例如，由基于云的文字处理应用程序的用户输入的文本可以存储在远程云存储服务器上。附加地或另选地，文档的文本可以存储在本地客户端机器上。

本发明的系统和方法的一个实施方案包括利用关于一个或多个基于云的应用程序收集的信息并将该信息传输到网络处理设备以实时地对基于云和加密的应用流量进行分类和管理。在一些情况下，网络处理设备可以包括内联网络处理设备。

在一个实施方案中，本发明的系统和方法可以对多个应用程序进行分类。多个应用程序可以包括桌面应用程序、服务器应用程序、基于web的应用程序、基于云的应用程序、移动应用程序或它们的任何组合。在一些情况下，多个应用程序可以包括被配置为对与应用程序相关联的系统数据和/或用户数据的至少一部分进行加密的应用程序。在一些情况下，应用程序可以使用专有加密技术对数据进行加密，以增加识别在应用程序和/或应用程序的数据方面的难度。

在一些实施方案中，本发明的系统和方法可以跟踪客户端机器或端点的每个分组和每个TCP/UDP流。在一些情况下，对于每个流，系统和方法可以实时地将从端点收集的信息传输到网络处理设备。作为一个示例，收集到的信息可以包括n元组，诸如“应用程序X已启动”、“菜单项Y已单击”、“TCP连接Z已触发TCP”等。一旦收集到的信息到达网络处理设备，该网络处理设备就可以分析该信息并将应用程序ID应用于正被监测的端点的特定的分组流。该系统和方法可以使网络处理设备能够对具体的基于云的应用程序(诸如特定的基于云的文字处理应用程序等)的流量流提供细粒度分类。在一些情况下，可以在每个物理网络段或节点上部署网络处理设备作为内联网络设备。在一些情况下，由多个内联网络设备提供的反馈回路可以使网络处理设备能够提供关于哪个客户端机器正在运行哪个被监测的应用程序等的企业整体视图。此外，网络处理设备可以群集以报告每个内联网络设备进程的流量详细信息。内联网络处理设备可以实时地传输监测到的数据。在一些情况下，反馈回路可以使网络处理设备能够检测可疑流量或潜在恶意流量的起源点，以及生成可疑流量流如何渗入整个网络的映射图。例如，由网络处理设备接收实时信息的次序和/或由网络处理设备接收的信息的时间戳可以使网络处理设备能够确定可疑进程的起源位置、可疑进程的扩散方式、该进程扩散到的地方、以及可疑进程在计算设备和网络设备的网络上扩散的时间。

本发明的系统和方法的益处包括识别和分离生产流量与娱乐流量，并且然后相应地对流量进行排优和管理。益处还包括对应用程序内的具体的动作进行分类，例如在视频会议应用程序中的工作相关视频会议与个人聊天，并且然后分别管理相关联流，诸如在允许工作相关视频会议的同时阻止个人聊天。本发明的系统和方法实现加密流量管理，而不必对网络路径中的流量进行解密(诸如通过使用代理)。本发明的系统和方法允许加密流量管理，即使当应用程序试图检测和绕过中间盒诸如代理或下一代防火墙(NGFW)时也是如此。本发明的系统和方法允许加密流量管理，无论加密算法和密钥交换方法如何都是如此。本发明的系统和方法实现细粒度应用程序管理，以相对于应用程序内的具体的动作来应用策略，而不是将策略整体应用于应用程序。

图1是示出环境100的一个实施方案的框图，在该环境中可实施本发明的系统和方法。在一些实施方案中，本文所述的系统和方法可以在设备(例如，设备105)上执行。如图所示，环境100可以包括设备105、服务器110、显示器130、计算设备150和允许设备105、服务器110和计算设备150彼此通信的网络115。

设备105的示例可以包括移动设备、智能电话、个人计算设备、计算机、膝上型计算机、台式计算机、服务器、媒体内容机顶盒或它们的任何组合的任何组合。

计算设备150的示例可以包括网络处理设备、移动计算设备、膝上型计算机、台式计算机、服务器、媒体机顶盒或它们的任何组合的任何组合。在一个实施方案中，计算设备150可以包括网络115内的网络设备。服务器110的示例可以包括云应用程序服务器、云存储服务器、远程云存储服务器、数据服务器、云服务器、与自动化服务提供方相关联的服务器、代理服务器、邮件服务器、web服务器、应用程序服务器、数据库服务器、通信服务器、文件服务器、家庭服务器、移动服务器、名称服务器或它们的任何组合中的至少一者。

在一些配置中，设备105可以包括用户界面135、应用程序140和数据分类模块145。尽管设备105的部件被描绘为在设备105的内部，但是应当理解，部件中的一个或多个可以在设备105的外部并通过有线和/或无线连接连接到设备105。在一些实施方案中，应用程序140可以安装在计算设备150上，以便允许用户与设备105、数据分类模块145和/或服务器110的功能进行交互。

在一些实施方案中，设备105可以经由网络115与服务器110通信。网络115的示例可以包括云网络、局域网(LAN)、广域网(WAN)、虚拟专用网(VPN)、无线网络(例如，使用802.11)、蜂窝网络(例如，使用3G和/或LTE)等的任何组合。在一些配置中，网络115可以包括互联网。需注意，在一些实施方案中，设备105可以不包括数据分类模块145。例如，设备105可以包括应用程序140，该应用程序允许设备105经由位于另一个设备诸如计算设备150和/或服务器110上的数据分类模块145与外部机器进行交互。在一些实施方案中，设备105和服务器110可以包括数据分类模块145，其中数据分类模块145的功能的至少一部分在设备105和/或服务器110上单独地和/或同时地执行。同样，在一些实施方案中，用户可以从计算设备150访问设备105的功能(直接地或经由数据分类模块145通过设备105)。例如，在一些实施方案中，计算设备150包括与设备105、数据分类模块145和/或服务器110的一个或多个功能进行交互的移动应用程序。

在一些实施方案中，计算设备150可以耦接到数据库120。数据库120可以在计算设备150的内部或外部。在一个示例中，设备105可以直接地耦接到数据库120，数据库120在设备105的内部或外部。数据库120可以包括网络管理策略160和识别的分组流165。在一个示例中，计算设备150可以结合所识别的分组流165中的至少一个来实现网络管理策略160的一个方面。例如，计算设备150可以识别与结合设备105执行的特定的基于云的应用程序相关联的特定的分组流。在识别特定的分组流、基于云的应用程序的一个方面或与其相关联的方面或它们的任何组合时，计算设备150可以实现网络管理策略160的与设备105有关的方面。作为一个示例，计算设备150可以应用与所识别的分组流有关的分组成形策略。

数据分类模块145可以使计算设备能够将客户端机器上的基于云的应用程序的活动与特定的分组流相关联，并且基于该分组流的一个方面、基于云的应用程序的一个方面或它们的任何组合(例如，由基于云的应用程序使用的带宽、由执行基于云的应用程序的客户端机器使用的带宽、包括执行云应用程序的客户端机器的客户端机器网络可用的总带宽、一天中的时间、用户类型、云应用程序的类型等)而应用网络策略。在一些实施方案中，数据分类模块145可以被配置为结合用户界面135和应用程序140执行本文所述的系统和方法。用户界面135可以使用户能够与数据分类模块145的一个或多个功能交互、对其进行控制和/或编程。下面讨论关于数据分类模块145的进一步细节。

图2是示出数据分类模块145-a的一个示例的框图。数据分类模块145-a可以是图1中描绘的数据分类模块145的一个示例。如图所示，数据分类模块145-a可以包括监测模块205、数据模块210、分析模块215和策略模块220。

在一些实施方案中，数据分类模块145的至少一部分可以在本地机器(例如，图1的设备105)、远程计算设备(例如，图1的计算设备150)、网络设备(例如，图1的网络115)、服务器(例如，图1的服务器110)或它们的任何组合上的应用程序中实现。

在一个实施方案中，监测模块205可以被配置为检测基于云的应用程序和/或基于web的应用程序的发起。在一些情况下，监测模块205可以检测与客户端机器有关的基于云的应用程序的发起。作为一个示例，监测模块205可以钩住与基于云的应用程序相关联的一个或多个应用程序编程接口(API)。在一些实施方案中，结合监测模块205，应用程序可以被配置为检测客户端机器上的基于云的应用程序的发起。在一些情况下，基于云的应用程序是与应用程序有关的第三方应用程序，其被配置为监测和/或检测基于云的应用程序的发起。

在一些情况下，基于云的应用程序可以包括经由web浏览器访问的在线应用程序、基于云的应用程序、基于web的应用程序、被配置为访问互联网的移动应用程序、以及被配置为访问互联网的桌面应用程序或它们的任何组合中的至少一者。在一些情况下，移动应用程序和/或桌面应用程序可以被配置为对与桌面应用程序的操作相关联的数据进行加密。在一些情况下，移动应用程序和/或桌面应用程序可以独立于浏览器对数据进行加密。例如，移动/桌面应用程序诸如视频会议应用程序可以捕获未加密视频、加密视频，并且将加密视频传输到远程计算设备。因此，监测模块205可以在移动/桌面应用程序对未加密视频进行加密之前捕获该未加密视频。

在一些实施方案中，监测模块205可以被配置为检测相对于基于云的应用程序执行的动作。在一些情况下，基于云的应用程序可以被配置为对与所检测到的动作相关联的数据的至少一部分进行加密。

在一个实施方案中，数据模块210可以被配置为在基于云的应用程序对与所检测到的动作相关联的数据的至少一部分进行加密之前捕获该数据。在一些实施方案中，数据模块210可以被配置为将分组流与所捕获的数据相关联。附加地或另选地，数据模块210可以被配置为将识别的分组流与所确定的用户标识符、所确定的基于云的应用程序的发起方、所确定的与基于云的应用程序相关联的文件的大小、所确定的文件的文件散列、文件名(诸如预先确定的可执行文件的名称)或它们的任何组合相关联。

在一些实施方案中，数据模块210可以被配置为对所捕获的数据进行分类。在一些情况下，数据模块210可以至少部分地基于由分析模块215对所捕获的数据执行的分析而对所捕获的数据进行分类。附加地或另选地，数据模块210可以至少部分地基于所检测到的动作的一个或多个方面而对所捕获的数据进行分类。

在一些情况下，分析模块215可以至少部分地基于与基于云的应用程序相关联的应用程序类别而对所捕获的数据进行分类。作为一个示例，客户端机器上的基于云的应用程序可以被分类为以下中的至少一种：文字处理应用程序、电子表格应用程序、数据库应用程序、多媒体应用程序、演示应用程序、云存储应用程序、云存储办公应用程序、社交媒体应用程序、音频流应用程序、视频流应用程序、视频会议应用程序、新闻或媒体应用程序、企业应用程序、教育应用程序、内容访问应用程序、防病毒应用程序、电子邮件应用程序、互联网浏览器应用程序、图形应用程序、通信应用程序或它们的任何组合。在一些情况下，基于云的应用程序可以被分类为生产应用程序或工作相关应用程序。另外，基于云的应用程序可以被分类为个人应用程序或娱乐应用程序。

在一个实施方案中，分析模块215可以被配置为分析所捕获的数据。在一些实施方案中，分析模块215可以被配置为识别与所捕获的数据相关联的分组流。在一些情况下，分析模块215可以在多个未知的或未识别的分组流中识别该分组流。例如，分析模块215可以识别来自图1的设备105的一个或多个分组流、来自图1的计算设备150的一个或多个分组流和/或来自图1的服务器110的一个或多个分组流。基于多个未识别的分组流，分析模块215可以识别与所捕获的数据相关联的分组流。

在一些实施方案中，分析模块215可以被配置为确定以下中的至少一者：与检测到的基于云的应用程序的发起相关联的用户标识符、基于云的应用程序的发起方、与基于云的应用程序相关联的文件的大小、文件的文件散列或它们的任何组合。在一些情况下，远程机器可以在客户端机器连接到的内部网络的外部，或在其中客户端机器作为内部网络的节点的内部网络的外部。或者，远程机器可以是在客户端机器连接到的同一个内部网络上的机器。

在一些实施方案中，分析模块215可以被配置为识别与所捕获的数据相关联的标识符。在一些情况下，标识符可以包括应用程序协议，诸如超文本传输协议(HTTP)或安全HTTP协议。在一些情况下，标识符可以包括通用资源定位符(URL)、域名或它们的任何组合。附加地或另选地，标识符可以包括第4层协议，诸如传输控制协议(TCP)或用户数据报协议(UDP)。在一些情况下，标识符可以包括第3层协议，诸如互联网协议(IP)地址、源IP地址、目的地IP地址或它们的任何组合。附加地或另选地，标识符可以包括一个或多个第4层端口号，诸如TCP源端口、TCP目的地端口、UDP源端口、UDP目的地端口或它们的任何组合。在一些实施方案中，分析模块215可以在同一个客户端机器上检测到两个或更多个基于云的应用程序。在一些情况下，分析模块215可以基于识别两个或更多个基于云的应用程序中的每个的至少一个标识符而区分两个或更多个基于云的应用程序。

在一些情况下，所捕获的数据可以包括在基于云的应用程序中输入的数据，诸如输入到电子邮件或文字处理应用程序中的文本、通过基于云的应用程序上传到外部位置(诸如，云存储装置)的文件、经由基于云的应用程序删除的文件(诸如删除云存储装置中的文件)或它们的任何组合。在一些情况下，所检测到的动作可以包括检测到播放视频、流式播放播客、发起聊天会话、开始视频呼叫或它们的任何组合。在一些示例中，由监测模块205检测到的动作可以包括以下中的至少一者：相对于基于云的应用程序的用户界面菜单项的用户输入、相对于基于云的应用程序的按钮的用户输入、相对于基于云的应用程序的输入框或文本框的用户输入或数据、检测在基于云的应用程序中输入的数据、识别向基于云的应用程序上传的文件、识别从基于云的应用程序下载的文件、识别与基于云的应用程序有关的文件删除、经由基于云的应用程序识别对数据的修改或它们的任何组合。

在一些实施方案中，分析模块215可以被配置为识别基于云的应用程序的按钮。在一些示例中，分析模块215可以被配置为至少部分地基于对与检测到的光标位置有关的按钮的识别而解释所检测到的动作。在一些情况下，分析模块215可以被配置为检测光标相对于基于云的应用程序的用户界面的位置。在一些情况下，分析模块215可以被配置为检测基于云的应用程序的正被选择的按钮、检测与基于云的应用程序有关的用户输入或它们的任何组合。

在一个实施方案中，策略模块220可以被配置为至少部分地基于由分析模块215执行的对所捕获的数据的分析而将网络管理策略应用于所识别的分组流。

在一些实施方案中，策略模块220可以被配置为至少部分地基于对所捕获的数据的分类而将网络管理策略应用于所识别的分组流。在一些情况下，网络管理策略可以包括网络带宽策略，其至少部分地基于在客户端机器上发起的基于云的应用程序的类型而确定分配给客户端机器的带宽量。附加地或另选地，网络管理策略可以包括网络带宽策略，其至少部分地基于与基于云的应用程序相关联的特定的用户标识符的分配的优先级、用户类型或使用基于云的应用程序的用户的类型(例如，标准用户、管理员等)、正在发起和/或使用基于云的应用程序的一天中的时间、客户端机器当前可用的带宽量、基于云的应用程序正在消耗的带宽量或它们的任何组合而确定分配给客户端机器的带宽量。

附加地或另选地，网络管理策略可以包括分组成形策略，其确定提供特定的分组流的带宽量。例如，客户端机器可以包括两个或更多个分组流。网络管理策略可以将第一带宽应用于客户端机器上的第一分组流，并且将第二带宽应用于同一个客户端机器上的第二分组流。

在一些情况下，网络管理策略可以包括数据安全策略，其确定与基于云的应用程序相关联的数据的敏感度级别。例如，如果基于云的应用程序与在客户端机器处生成的未加密用户数据相关联，那么可以为数据分配相对低的敏感度级别。另一方面，如果web应用程序与加密数据、源自在客户端机器的外部的数据、源自安全或受限存储区域的数据或它们的任何组合相关联，那么可以为数据分配相对高的敏感度级别。

在一些情况下，至少部分地基于相对于检测执行的动作而检测到的动作的类型来应用网络管理策略的一个方面。例如，第一策略可以在第一时间应用于分组流，并且然后第二策略可以基于用户在第一时间之后和在第二时间之前执行的动作而在第一时间之后的第二时间应用于同一个分组流。例如，用户可以在第一时间之后和在第二时间之前采取访问受限存储位置的动作。

在一些示例中，可以至少部分地基于分析模块215分析所捕获的数据的结果而执行安全动作。在一些情况下，可以结合策略模块220应用策略来实现安全动作。例如，可以至少部分地基于对所捕获的数据的分类而执行安全动作。作为一个示例，安全动作可以包括基于对应用程序的分析而阻止应用程序的一个或多个方面。例如，可以基于对与聊天会话相关联的预加密数据的分析而阻止聊天会话。在一些情况下，执行安全动作可以包括检测与基于云的应用程序相关联的可疑活动、识别内联网的与可疑网络流量相关联的一个或多个设备、映射与内联网的一个或多个设备有关的可疑流量、至少部分地基于映射而识别可疑网络流量的来源或它们的任何组合。

作为一个示例，图1的服务器110可以表示提供云服务诸如云应用程序和/或云存储装置的第三方服务器。在该示例中，图1的设备105可以表示被配置为企业网络中的端点设备的客户端机器，并且图1的计算设备150可以表示企业网络中的网络处理设备，其被配置为监测设备105的一个或多个方面。在一个示例中，计算设备150可以包括专用网络处理设备，其被配置为监测企业网络中的多个客户端机器，包括设备105。附加地或另选地，计算设备105的一个示例可以在连接到企业网络的路由器中实现。在该示例中，设备105可以发起到服务器110的云服务的连接。因此，设备105上的监测模块205可以检测连接的发起。在一个示例中，设备105可以执行与服务器110的云服务有关的一个或多个动作。例如，设备105可以指示服务器110上传文件、下载文件、删除服务器110上的文件、播放媒体文件、流式传输文件、发起聊天会话、发起视频会议应用程序或它们的任何组合。因此，设备105上的监测模块205可以检测该动作。在一些情况下，设备105上的数据模块210可以被配置为在设备105对与所检测到的动作相关联的数据进行加密之前捕获相关联的数据。在一些情况下，数据模块210可以将所捕获的数据发送到计算设备150。因此，计算设备150上的分析模块215可以分析所捕获的数据。作为一个示例，计算设备150上的策略模块220可以基于分析而将一个或多个策略应用于设备105。因此，数据分类模块145-a可以检测客户端机器上的应用程序的各方面，该客户端机器被配置为基于对所检测到的方面的分析而对数据进行加密并应用网络和/或安全策略。

图3示出了根据本公开的各个方面的数据流300的框图。数据流300示出了数据分类模块145-b与设备105-a之间的数据流。数据分类模块145-b可以是来自图1和/或图2的数据分类模块145-b的示例。设备105-a可以是图1的设备105和/或计算设备150的示例。在一些情况下，数据分类模块145-b可以安装在计算设备诸如智能电话、台式计算机、膝上型计算机、远程服务器(例如，图1的设备105、计算设备150和/或服务器110)上并执行与其有关的一个或多个操作。

在305处，数据分类模块145-b监测设备105-a的一个或多个具体的操作。例如，数据分类模块145-b可以被配置为监测与特定的基于云的应用程序有关的设备105-a的操作。在框310处，设备105-a可以执行与基于云的应用程序有关的动作。

在315处，数据分类模块145-b至少部分地基于在305处的对设备105-a的监测而检测框310的动作。在320处，数据分类模块145-b传输与所检测到的动作相关联的数据。

在框325处，设备105-a可以执行与基于云的应用程序有关的数据操作。在一些情况下，设备105-a可以执行由访问基于云的应用程序的客户端机器的用户发起的数据操作。在330处，数据分类模块145-b可以检测数据操作。在335处，数据分类模块145-b可以获得与检测到的数据操作相关联的数据。

在框340处，数据分类模块145-b可以分析所检测到的动作和与所检测到的动作相关联的数据中的至少一者。在框345处，数据分类模块145-b可以基于框340的分析而对与基于云的应用程序相关联的活动进行分类。

在框350处，设备105-a可以对与框325的检测到的数据操作相关联的数据进行加密。在框355处，设备105-a可以将加密数据流式传输到云存储服务器和/或云应用程序服务器。如图所示，框350和355被分配了接在框340和345的附图标记之后的附图标记。因此，在一些实施方案中，与框350相关联的动作可以在框340和/或框345之后发生。类似地，与框355相关联的动作可以在框340和/或框345之后发生。或者，在一些示例中，与框350相关联的动作可以在框340和/或框345之前发生。类似地，在一些示例中，与框355相关联的动作可以在框340和/或框345之前发生。

图4是示出用于管理基于云的应用程序的方法400的一个实施方案的流程图。在一些配置中，方法400可以通过图1、图2和/或图3中示出的数据分类模块145实现。在一些配置中，方法400可以结合设备105、服务器110、网络115、数据库120、它们的部件或它们的任何组合来实现。

在框405处，方法400可以包括检测基于云的应用程序的发起。在框410处，方法400可以包括检测相对于基于云的应用程序执行的动作。在一些情况下，基于云的应用程序可以被配置为对与所检测到的动作相关联的数据的至少一部分进行加密。在框415处，方法400可以包括在基于云的应用程序对与所检测到的动作相关联的数据的至少一部分进行加密之前捕获该数据。在框420处，方法400可以包括分析所捕获的数据。在框425处，方法400可以包括至少部分地基于分析所捕获的数据而将网络管理策略应用于所识别的分组流。

图5是示出用于管理基于云的应用程序的方法500的一个实施方案的流程图。在一些配置中，方法500可以通过图1、图2和/或图3中示出的数据分类模块145实现。在一些配置中，方法500可以结合设备105、服务器110、网络115、数据库120、它们的部件或它们的任何组合来实现。

在框505处，方法500可以包括相对于基于web的应用程序分析所捕获的数据。在框510处，方法500可以包括识别与所捕获的数据相关联的分组流。在框515处，方法500可以包括检测与所检测到的捕获的数据相关联的识别信息。在框520处，方法500可以包括将所识别的分组流与所捕获的数据和所检测到的识别信息中的至少一者相关联。在框525处，方法500可以包括至少部分地基于对所捕获的数据和所检测到的识别信息的分析中的至少一者而对所捕获的数据进行分类。在框530处，方法500可以包括至少部分地基于对所捕获的数据的分类而将网络管理策略应用于所识别的分组流。

图6示出了适于实现本发明的系统和方法的计算设备600的框图。设备600可以是图1中所示的设备105、计算设备150和/或服务器110的示例。在一个配置中，设备600包括互连设备600的主要子系统的总线605，所述子系统诸如中央处理器610、系统存储器615(通常为RAM，但是也可以包括ROM、闪存RAM等)、输入/输出控制器620、外部音频设备(诸如经由音频输出接口630的扬声器系统625)、外部设备(诸如经由显示适配器640的显示屏635)、输入设备645(例如，与输入控制器650交接的远程控制设备)、多个USB设备665(与USB控制器670交接)以及存储接口680。还包括通过传感器控制器660连接到总线605的至少一个传感器655且包括网络接口685(直接地耦接到总线605)。

总线605允许在中央处理器610与系统存储器615之间进行数据通信，如前文所提及，系统存储器可以包括只读存储器(ROM)或闪存存储器(都未示出)以及随机存取存储器(未示出)。RAM是将操作系统和应用程序装载到其中的主存储器。除了其他代码，ROM或闪存存储器可以包含控制基本硬件操作(诸如与外围部件或设备的交互)的基本输入输出系统(BIOS)。例如，用于实施本发明的系统和方法的数据分类模块145-c可以存储在系统存储器615中。与设备600驻存在一起的应用程序(例如，应用程序140)一般存储在非暂态计算机可读介质上并经由该非暂态计算机可读介质进行访问，所述非暂态计算机可读介质诸如硬盘驱动器(例如，固定磁盘675)或其他存储介质。另外，当经由接口685进行访问时，可以根据应用程序和数据通信技术以电子信号的形式对应用程序进行调制。

存储接口680与设备600的其他存储接口一样可以连接到标准计算机可读介质(诸如固定磁盘驱动器675)以用于存储和/或检索信息。固定磁盘驱动器675可以是设备600的一部分，或可以是单独的，并且可以通过其他接口系统进行访问。网络接口685可以经由直接网络链路提供到远程服务器的直接连接，或经由POP(入网点)提供到互联网的直接连接。网络接口685可以使用无线技术提供此类连接，包括数字蜂窝电话连接、蜂窝数字分组数据(CDPD)连接、数字卫星数据连接等。在一些实施方案中，一个或多个传感器(例如，运动传感器、烟雾传感器、玻璃破碎传感器、门传感器、窗传感器、一氧化碳传感器等)经由网络接口685无线地连接到设备600。

许多其他设备和/或子系统可以以类似的方式连接(例如，娱乐系统、计算设备、远程相机、无线钥匙扣、壁挂式用户界面设备、蜂窝无线电模块、电池、警报器、门锁、照明系统、恒温器、家用电器监测器、公用设备监测器等)。相反地，不需要提供图6中示出的所有设备也可实践本发明的系统和方法。可以使用与图6中所示的方式不同的方式来互连设备和子系统。系统的一些操作的方面(诸如图6中所示的操作的方面)是本领域中熟知的，并且在本申请中不详细地讨论。用于实现本公开的代码可以存储在非暂态计算机可读介质诸如系统存储器615或固定磁盘675中的一者或多者中。在设备600上提供的操作系统可以是 或另一个已知的操作系统。

此外，关于本文所述的信号，本领域中的技术人员将会认识到，可以将信号从第一块直接传输到第二块，或者可以在块之间修改信号(例如，放大、衰减、延迟、锁存、缓冲、反转、过滤或以其他方式修改)。尽管上述实施方案的信号被特性化为从一个块传输到下一个块，但本发明的系统和方法的其他实施方案可以包括经过修改的信号来代替这些直接传输的信号，只要信号的信息和/或功能方面在块之间传输。在某种程度上，由于所涉及的电路的物理限制(例如，不可避免地存在一些衰减和延迟)，第二块上的信号输入可以概念化为根据来自第一块的第一信号输出派生得到的第二信号。因此，正如本文所用，根据第一信号派生的第二信号包括第一信号或对第一信号所做的任何修改，无论是由于电路限制还是由于通过不会改变第一信号的信息和/或最终功能方面的其他电路元件。

与系统600相关联的信号可以包括无线通信信号，诸如射频、电磁、局域网(LAN)、广域网(WAN)、虚拟专用网(VPN)、无线网络(例如，使用802.11)、蜂窝网络(例如，使用3G和/或LTE)和/或其他信号。网络接口685可以启用WWAN(GSM、CDMA和WCDMA)、WLAN(包括和Wi-Fi)、用于移动通信的WMAN(WiMAX)、用于无线个域网(WPAN)应用程序(包括RFID和UWB)的天线等中的一个或多个。

I/O控制器620可以与网络接口685和/或存储接口680一起操作。网络接口685可以使系统600能够通过图1的网络115与客户端设备(例如，图1的设备105)和/或其他设备通信。网络接口685可以提供有线和/或无线网络连接。在一些情况下，网络接口685可以包括以太网适配器或光纤信道适配器。存储接口680可以使系统600能够访问一个或多个数据存储设备。一个或多个数据存储设备可以各自包括两个或更多个数据层。存储接口680可以包括以太网适配器、光纤信道适配器、光纤信道协议(FCP)适配器、SCSI适配器和iSCSI协议适配器中的一者或多者。

图7是描绘网络架构700的框图，其中客户端系统705、710和715以及存储服务器720-a和720-b(其中任何一个都可以使用计算机系统600实现)耦接到网络730。在一个实施方案中，数据分类模块145-d可以位于存储服务器720-a、720-b中的一个内，以实现本发明的系统和方法。数据分类模块145-d可以是图1、图2、图3和/或图6中所示的数据分类模块145的一个示例。存储服务器720-a进一步描绘为具有直接地附接的存储设备725-a-1至725-a-j，并且存储服务器720-b被描绘为具有直接地附接的存储设备725-b-1至725-b-k。SAN架构740支持由存储服务器720-a和720-b访问存储设备735-1至735-m，并且因此支持由客户端系统705、710和715经由网络730进行访问。智能存储阵列745还被示出为可经由SAN架构740访问的特定的存储设备的示例。

参考计算机系统600，网络接口685或一些其他方法可以用于提供从客户端计算机系统705、710和715中的每个到网络730的连接性。客户端系统705、710和715能够使用例如web浏览器或其他客户端软件(未示出)来访问存储服务器720-a或720-b上的信息。这样的客户端允许客户端系统705、710和715访问由存储服务器720-a或720-b或存储设备725-a-1至725-a-j、725-b-1至725-b-k、735-1至735-m或智能存储阵列745中的一个托管的数据。虽然图7描绘了使用网络(诸如互联网)来交换数据，但是本发明的系统和方法并不限于互联网或任何特定的基于网络的环境。

虽然上述公开内容使用特定框图、流程图和示例阐述了各种实施方案，但每个框图部件、流程图步骤、操作和/或本文描述和/或例示的部件可使用多种硬件、软件或固件(或其任何组合)配置单独和/或共同地实现。此外，包含在其他部件内的部件的任何公开内容应当被视为在本质上是示例性的，因为可实施许多其他体系结构来实现相同功能。

本文描述和/或例示的过程参数和步骤序列仅通过举例的方式给出并且可根据需要改变。例如，虽然本文示出和/或描述的步骤可以特定顺序示出或讨论，但这些步骤不一定需要按例示或讨论的顺序来执行。本文描述和/或例示的各种示例性方法也可省略本文描述或例示的步骤中的一个或多个，或除了所公开的那些步骤之外还包括另外步骤。

此外，虽然本文已经在全功能计算系统的背景中描述和/或示出了各种实施方案，但这些示例性实施方案中的一者或多者可作为各种形式的程序产品来分配，而不考虑用于实际进行分配的计算机可读介质的特定类型。本文所公开的实施方案也可使用执行某些任务的软件模块来实现。这些软件模块可包括脚本、批文件或可存储在计算机可读存储介质上或计算系统中的其他可执行文件。在一些实施方案中，这些软件模块可将计算系统配置为执行本文所公开的示例性实施方案中的一个或多个。

出于阐释目的，已参考特定实施方案进行了以上描述。然而，以上示例性讨论并非旨在是穷举的或将本发明限制为所公开的精确形式。鉴于上述教导，许多修改形式和变型形式都是可能的。为了最好地解释本发明的系统和方法的原理及其实际应用，选择并描述了实施方案，由此使得本领域其他技术人员能最好地利用本发明的系统和方法以及具有可适合所设想的具体用途的各种修改形式的各种实施方案。

除非另有说明，否则在本说明书和权利要求书中使用的术语“一”或“一个”应当理解为是表示“……中的至少一者”。此外，为了易于使用，在本说明书和权利要求书中使用的词语“包括”和“具有”与词语“包含”可互换并且与词语“包含”具有相同含义。此外，将在说明书和权利要求书中使用的术语“基于”理解为“至少基于”的含义。

如本文所用，术语“安全动作”可以是指在确定文件可能包括某种类型的恶意软件之后本文所述的系统可采取的任何数量的动作。例如，安全动作的类型可以包括防止文件在计算设备上执行任何动作、提醒管理员文件的潜在恶意、隔离文件、删除文件、阻止下载文件和/或就文件向用户发出警告。另外，本文所述的系统可以对除文件之外的对象执行安全动作。例如，本文所述的系统可以将恶意URL和/或IP地址列入黑名单。因此，结合本文所述的方法和系统的安全动作可以通过保护一个或多个计算设备的硬件、固件、软件或它们的任何组合免受恶意攻击来提高一个或多个计算设备的安全性和操作完整性。应当理解，这些不是可由本文所述的系统执行的安全动作的类型的详尽列表。其他安全动作也包括在本公开中。

Claims (15)

1.一种用于对应用数据进行分类的方法，包括：

检测应用程序的发起；

检测相对于所述应用程序执行的动作，其中所述应用程序被配置为对与所检测到的动作相关联的数据的至少一部分进行加密；

在所述应用程序对与所检测到的动作相关联的所述数据的所述至少一部分进行加密之前捕获所述数据；

分析所捕获的数据；

在多个未识别的分组流中识别与所捕获的数据相关联的分组流；并且

至少部分地基于所述分析所捕获的数据和与所捕获的数据相关联的所述分组流而将网络管理策略应用于分组流。

2.根据权利要求1所述的方法，还包括：

确定与所述应用程序的所检测到的发起相关联的用户标识符、所述应用程序的发起方、与所述应用程序相关联的文件的大小、所述文件的文件散列、文件名或它们的任何组合中的至少一者。

3.根据权利要求2所述的方法，还包括：

将所识别的分组流与所捕获的数据、所确定的用户标识符、所确定的所述应用程序的发起方、所确定的与所述应用程序相关联的所述文件的大小、所确定的所述文件的文件散列、文件名或它们的任何组合中的至少一者相关联。

4.根据权利要求3所述的方法，还包括：

至少部分地基于对所捕获的数据的所述分析、所检测到的动作、与所述应用程序相关联的应用程序类别或它们的任何组合而对所捕获的数据进行分类；并且

至少部分地基于对所捕获的数据的所述分类而将所述网络管理策略应用于所识别的分组流，其中至少部分地基于相对于检测执行的所述动作而检测到的动作的类型来应用所述网络管理策略的一个方面。

5.根据权利要求1所述的方法，所检测到的动作包括以下中的至少一者：相对于所述应用程序的用户界面菜单项的用户输入、相对于所述应用程序的按钮的用户输入、相对于所述应用程序的输入框的用户输入、检测在所述应用程序中输入的数据、识别向所述应用程序上传的文件、识别从所述应用程序下载的文件、识别与所述应用程序有关的文件删除、经由所述应用程序识别对数据的修改、播放媒体文件、流式传输媒体文件、从云存储装置删除文件、发起聊天会话、开始视频通话或它们的任何组合。

6.根据权利要求5所述的方法，还包括：

识别所述应用程序的所述按钮；并且

至少部分地基于对与检测到的光标位置有关的所述按钮的所述识别而解释所检测到的动作。

7.根据权利要求1所述的方法，还包括：

识别与所捕获的数据相关联的标识符，所述标识符包括应用程序协议、第4层协议、第3层协议、第3层地址、第4层端口号或它们的任何组合中的至少一者。

8.根据权利要求1所述的方法，还包括：

至少部分地基于所述分析而执行安全动作，执行所述安全动作包括：

检测与所述应用程序相关联的可疑活动；以及

识别内联网的与可疑网络流量相关联的一个或多个设备。

9.根据权利要求8所述的方法，执行所述安全动作包括：

映射与所述内联网的所述一个或多个设备有关的所述可疑流量；并且

至少部分地基于所述映射而识别所述可疑网络流量的起源。

10.根据权利要求1所述的方法，所述应用程序包括经由web浏览器访问的在线应用程序、基于云的应用程序、基于web的应用程序、被配置为访问互联网的移动应用程序、以及被配置为访问互联网的桌面应用程序中的至少一者。

11.一种被配置用于对应用数据进行分类的计算设备，还包括：

处理器；

存储器，所述存储器与所述处理器进行电子通信，其中所述存储器存储计算机可执行指令，所述计算机可执行指令在由所述处理器执行时使所述处理器执行以下步骤：

检测应用程序的发起；

检测相对于所述应用程序执行的动作，其中所述应用程序被配置为对与所检测到的动作相关联的数据的至少一部分进行加密；

在所述应用程序对与所检测到的动作相关联的所述数据的所述至少一部分进行加密之前捕获所述数据；

分析所捕获的数据；

在多个未识别的分组流中识别与所捕获的数据相关联的分组流；并且

至少部分地基于所述分析所捕获的数据和与所捕获的数据相关联的所述分组流而将网络管理策略应用于分组流。

12.根据权利要求11所述的计算设备，其中由所述处理器执行的所述指令使所述处理器执行以下步骤：

确定与所述应用程序的所检测到的发起相关联的用户标识符、所述应用程序的发起方、与所述应用程序相关联的文件的大小、所述文件的文件散列、文件名或它们的任何组合中的至少一者。

13.根据权利要求12所述的计算设备，其中由所述处理器执行的所述指令使所述处理器执行以下步骤：

将所识别的分组流与所捕获的数据、所确定的用户标识符、所确定的所述应用程序的发起方、所确定的与所述应用程序相关联的所述文件的大小、所确定的所述文件的文件散列、文件名或它们的任何组合中的至少一者相关联。

14.根据权利要求13所述的计算设备，其中由所述处理器执行的所述指令使所述处理器执行以下步骤：

至少部分地基于对所捕获的数据的所述分析、所检测到的动作、与所述应用程序相关联的应用程序类别或它们的任何组合而对所捕获的数据进行分类；并且

至少部分地基于对所捕获的数据的所述分类而将所述网络管理策略应用于所识别的分组流，其中至少部分地基于相对于检测执行的所述动作而检测到的动作的类型来应用所述网络管理策略的一个方面。

15.一种非暂态计算机可读存储介质，所述非暂态计算机可读存储介质存储计算机可执行指令，所述计算机可执行指令在由处理器执行时使所述处理器执行以下步骤：

检测应用程序的发起；

检测相对于所述应用程序执行的动作，其中所述应用程序被配置为对与所检测到的动作相关联的数据的至少一部分进行加密；

在所述应用程序对与所检测到的动作相关联的所述数据的所述至少一部分进行加密之前捕获所述数据；

分析所捕获的数据；

在多个未识别的分组流中识别与所捕获的数据相关联的分组流；并且

至少部分地基于所述分析所捕获的数据和与所捕获的数据相关联的所述分组流而将网络管理策略应用于分组流。