CN112260985B - 终端安全管控设备及终端安全管控方法 - Google Patents

终端安全管控设备及终端安全管控方法 Download PDF

Info

Publication number
CN112260985B
CN112260985B CN202010916982.4A CN202010916982A CN112260985B CN 112260985 B CN112260985 B CN 112260985B CN 202010916982 A CN202010916982 A CN 202010916982A CN 112260985 B CN112260985 B CN 112260985B
Authority
CN
China
Prior art keywords
terminal
function
network
grade
permission message
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202010916982.4A
Other languages
English (en)
Other versions
CN112260985A (zh
Inventor
李金星
郭紫仁
左富农
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Fulian Intelligent Workshop Zhengzhou Co Ltd
Original Assignee
Fulian Intelligent Workshop Zhengzhou Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Fulian Intelligent Workshop Zhengzhou Co Ltd filed Critical Fulian Intelligent Workshop Zhengzhou Co Ltd
Priority to CN202010916982.4A priority Critical patent/CN112260985B/zh
Publication of CN112260985A publication Critical patent/CN112260985A/zh
Priority to US17/466,041 priority patent/US20220067128A1/en
Application granted granted Critical
Publication of CN112260985B publication Critical patent/CN112260985B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/107—Network architectures or network communication protocols for network security for controlling access to devices or network resources wherein the security policies are location-dependent, e.g. entities privileges depend on current location or allowing specific operations only from locally connected terminals
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H04L67/025—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP] for remote control or remote monitoring of applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/52—Network services specially adapted for the location of the user terminal

Abstract

本申请揭示了终端安全管控设备及方法，涉及终端安全管控领域，通过对网络进行分级，并获取终端连接网络形成限制功能使用的等级，发送至终端，以管控终端使用的功能；能够在多个管控区域通过连接网络不同的特征管理终端，以达到不同管控区域许可终端使用不同的功能集合的目的，从而提高工作效率、降低泄密风险。

Description

终端安全管控设备及终端安全管控方法
技术领域
本申请涉及终端安全管控领域，尤其涉及一种终端安全管控设备、终端安全管控方法、终端及终端使用的方法。
背景技术
在智能制造工厂或一些严格保密的管控区域，例如封闭式的工厂，通常会对移动终端(PDA、平板电脑、笔记本电脑等)进行管控，管控的类型通常包括限制摄像头、蓝牙、WiFi的使用等。一旦移动终端能够联网或被带出受管控的区域，则容易发生泄密的问题，安全风险将大大增加。因此，工厂通常会发放专用工业终端给需要在管控区域使用终端的工作人员，且工厂内部可能会划分多个管控区域，不同区域管控需求不同。如何在多个管控区域有效管理工业终端，以达到不同管控区域许可终端使用不同的功能集合的目的，对提高工作效率、降低泄密风险都有重要意义。
发明内容
鉴于上述状况，有必要提供终端安全管控设备及方法。
终端安全管控设备，包含：通信器，用于接收终端发送的第一联网信息；处理器，耦接所述通信器，用于：根据所述第一联网信息，确定所述终端连接的第一网络的等级为第一等级；根据所述第一等级，形成第一许可消息，所述第一许可消息包含许可所述终端使用第一功能的指令；所述通信器，进一步用于发送所述第一许可消息至所述终端，以许可所述终端使用所述第一功能。
进一步地，所述通信器，进一步用于接收所述终端发送的身份信息；所述处理器，进一步用于：确定所述身份信息与预设的身份信息相符；基于所述身份信息与预设的身份信息相符，形成所述终端的功能列表；根据所述第一等级及所述功能列表，形成所述第一许可消息。
进一步地，所述通信器，进一步用于接收所述终端发送的第二联网信息；所述处理器，进一步用于：根据所述第二联网信息，确定所述终端连接的第二网络的等级为第二等级；根据所述第二等级，形成第二许可消息，所述第二许可消息未包含许可所述终端使用所述第一功能的指令；所述通信器，进一步用于发送所述第二许可消息至所述终端，以拒绝所述终端使用所述第一功能。
进一步地，其中所述第一许可消息未包含许可所述终端使用第二功能的第二指令；其中所述通信器，进一步用于接收来自所述终端的异常记录，所述异常记录包含所述终端第二启用请求；所述处理器，进一步用于根据所述第二功能的请求及所述指令，判断所述终端操作非法，形成报警消息。
进一步地，所述处理器，进一步用于根据所述报警消息，形成仅许可所述终端使用定位功能的定位指令；所述通信器，进一步用于：发送所述定位指令至所述终端；基于发送所述定位指令至所述终端，接收所述终端发送的定位信息。
进一步地，所述通信器，进一步用于：发送问询指令至所述终端；基于发送问询指令至所述终端，接收所述终端发送的第三联网信息；所述处理器，进一步用于：根据所述第三联网信息，确定所述终端连接的第三网络的等级为第三等级；根据所述第三等级，形成第三许可消息；所述通信器，进一步用于发送所述第三许可消息至所述终端。
本申请还包含终端安全管控方法，包含：所述通信器，进一步用于基于发送所述第三许可消息至所述终端，接收所述终端发送的安全记录；所述处理器，进一步用于根据所述安全记录，确定所述终端操作非法；所述通信器，进一步用于基于所述终端操作非法，发出清除指令，以指示所述终端清除在连接所述第一网络时交互的数据。
进一步地，接收终端发送的第一联网信息；根据所述第一联网信息，确定所述终端连接的第一网络的等级为第一等级；根据所述第一等级，形成第一许可消息，所述第一许可消息包含许可所述终端使用第一功能的指令；发送所述第一许可消息至所述终端，以许可所述终端使用所述第一功能。
进一步地，所述形成第一许可消息的步骤，包含：接收所述终端发送的身份信息；确定所述身份信息与预设的身份信息相符；基于所述身份信息与预设的身份信息相符，形成所述终端的功能列表；根据所述第一等级及所述功能列表，形成所述第一许可消息。
进一步地，接收所述终端发送的第二联网信息；根据所述第二联网信息，确定所述终端连接的第二网络的等级为第二等级；根据所述第二等级，形成第二许可消息，所述第二许可消息未包含许可所述终端使用所述第一功能的指令；发送所述第二许可消息至所述终端，以拒绝所述终端使用所述第一功能。
进一步地，其中所述第一许可消息未包含许可所述终端使用第二功能的第二指令；进一步包含：接收来自所述终端的异常记录，所述异常记录包含所述终端第二启用请求；根据所述第二功能的请求及所述第二指令，确定所述终端操作非法，形成报警消息。
进一步地，根据所述报警消息，形成仅许可所述终端使用定位功能的定位指令；发送所述定位指令至所述终端；基于发送所述定位指令至所述终端，接收所述终端发送的定位信息。
进一步地，发送问询指令至所述终端；基于发送问询指令至所述终端，接收所述终端发送的第三联网信息；根据所述第三联网信息，确定所述终端连接的第三网络的等级为第三等级；根据所述第三等级，形成第三许可消息；发送所述第三许可消息至所述终端。进一步地，基于发送所述第三许可消息至所述终端，接收所述终端发送的安全记录；根据所述安全记录，确定所述终端操作非法；基于所述终端操作非法，发出清除指令，以指示所述终端清除在连接所述第一网络时交互的数据。
本申请还包含终端，包含：通信器，用于：连接第一网络，发送第一联网信息至管控设备；基于所述第一联网信息的发送，接收来自所述管控设备的第一许可消息，所述第一许可消息包含许可终端使用第一功能的第一指令；处理器，耦接所述通信器，用于：接收所述第一功能的第一启用请求；根据所述第一启用请求及所述第一指令，启用所述第一功能。
进一步地，进一步包含：显示器，耦接所述处理器；所述处理器，进一步用于根据所述第一指令，显示所述第一功能的用户交互界面。
进一步地，其中所述第一许可消息未包含许可所述终端使用第二功能的第二指令；进一步包含：所述处理器，进一步用于基于所述第一许可消息未包含许可所述终端使用第二功能的指令，禁止启用所述第二功能。
进一步地，其中所述第一许可消息未包含许可所述终端使用第二功能的第二指令；所述处理器，进一步用于：接收所述第二功能的第二启用请求；基于所述第一许可消息未包含许可所述终端使用第二功能的第二指令，拒绝所述第二启用请求。
进一步地，其中所述处理器，进一步用于根据所述第二启用请求及所述第一许可消息未包含许可所述终端使用第二功能的第二指令，形成异常记录；所述通信器，进一步用于发送所述异常记录至所述管控设备。
进一步地，其中所述通信器，进一步用于：切换连接至第二网络，发送第二联网信息至所述管控设备；基于所述第二联网信息的发送，接收来自所述管控设备的第二许可消息，所述第二许可消息包含许可所述终端使用第二功能的第二指令；所述处理器，进一步用于：接收所述第二功能的第二启用请求；根据所述第二启用请求及所述第二指令，启用所述第二功能。
进一步地，其中所述处理器，进一步用于：基于从连接所述第一网络切换至连接所述第二网络，清除所述终端在连接所述第一网络期间保存的交互数据。
还提供一种终端使用方法，包含：连接第一网络，发送第一联网信息至管控设备；基于所述第一联网信息的发送，接收来自所述管控设备的第一许可消息，所述第一许可消息包含许可终端使用第一功能的第一指令；接收所述第一功能的第一启用请求；根据所述第一启用请求及所述第一指令，启用所述第一功能。
进一步地，根据所述第一指令，显示所述第一功能的用户交互界面。
进一步地，其中所述第一许可消息未包含许可所述终端使用第二功能的第二指令；基于所述第一许可消息未包含许可所述终端使用第二功能的指令，禁止启用所述第二功能。
进一步地，其中所述第一许可消息未包含许可所述终端使用第二功能的第二指令；接收所述第二功能的第二启用请求；基于所述第一许可消息未包含许可所述终端使用第二功能的第二指令，拒绝所述第二启用请求。
进一步地，根据所述第二启用请求及所述第一许可消息未包含许可所述终端使用第二功能的第二指令，形成异常记录；发送所述异常记录至所述管控设备。
进一步地，切换连接至第二网络，发送第二联网信息至所述管控设备；基于所述第二联网信息的发送，接收来自所述管控设备的第二许可消息，所述第二许可消息包含许可所述终端使用第二功能的第二指令；接收所述第二功能的第二启用请求；根据所述第二启用请求及所述第二指令，启用所述第二功能。
进一步地，基于从连接所述第一网络切换至连接所述第二网络，清除所述终端在连接所述第一网络期间保存的交互数据。
上述终端安全管控设备及方法，通过对网络进行分级，并获取终端连接网络形成限制功能使用的等级，发送至终端，以管控终端使用的功能；能够在多个管控区域通过连接网络不同的特征管理终端，以达到不同管控区域许可终端使用不同的功能集合的目的，从而提高工作效率、降低泄密风险；
还提供了终端和限制终端使用的方法，通过响应管控装置的信息，控制显示器显示许可使用的功能集合，或者接受使用功能的请求，禁止使用功能，来避免在管控区域违规使用特定功能，从而进一步降低泄密风险。
附图说明
图1呈现根据本申请的一个或多个实施方式的管控系统的操作环境实例。
图2示出根据本申请的一个或多个实施方式的用于管控系统物理过程域和数字副本域对应的操作环境的实例。
图3呈现根据本申请的一个或多个实施方式的终端安全管控设备的实例。
图4呈现根据本申请的一个或多个实施方式终端安全管控装置的许可模块的实例。
图5呈现根据本申请的一个或多个实施方式的终端的实例。
图6呈现根据本申请的一个或多个实施方式的终端的响应模块的实例。
图7A-图7F示出根据本申请的一个或多个实施方式的用于终端安全管控的相应实例。
如下具体实施方式将结合上述附图进一步说明本申请。
具体实施方式
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
需要说明的是，当一个元件或组件被认为是“连接”另一个元件或组件，它可以是直接连接到另一个元件或组件或者可能同时存在居中设置的元件或组件。当一个元件或组件被认为是“设置在”另一个元件或组件，它可以是直接设置在另一个元件或组件上或者可能同时存在居中设置的元件或组件。
除非另有定义，本申请所使用的所有的技术及科学术语与属于本申请的技术领域的技术人员通常理解的含义相同。本申请中在本申请的说明书中所使用的术语只是为了描述具体的实施例的目的，不是旨在于限制本申请。本申请所使用的术语“及/或”包含一个或多个相关的所列项目的任意的及所有的组合。
本申请的各种实施方式可采取完全或部分硬件实施方式、完全或部分软件实施方式、或软件与硬件的组合(例如，固件实施方式)的形式。此外，如这里所描述的，本申请的各种实施方式(例如，系统和方法)可以采取计算机程序产品的形式，该计算机程序产品包含具有比如计算机软件的计算机可访问指令(例如，计算机可读和/或计算机可执行指令)的计算机可读非暂时性存储介质，该计算机可访问指令被编码或被实施在这种存储介质中。
这些指令可由一个或多个处理器读取或存取和执行以执行或允许执行本申请描述的操作。指令可以以任何合适的形式提供，例如，源代码、编译代码、解释代码、可执行代码、静态代码、动态代码、汇编码、前述的组合等。可以使用任何合适的计算机可读非暂时性存储介质来形成计算机程序产品。例如，计算机可读介质可以包含任何有形的非暂时性介质，用于以可由与其功能性耦接的一个或多个计算机或处理器读取或以其他方式可访问的形式存储信息。非暂时性存储介质可以被实施为或可以包含ROM；RAM；磁盘存储介质；光学存储介质；闪存等。
这里参考方法、系统、设备和计算机程序产品的框图和流程图来描述操作环境和技术的至少一些实施方式。可以理解，框图和流程图中的每个框以及框图和流程图中的框的组合可以分别由计算机可访问指令来实现。在某些实现方式中，可以将计算机可访问指令加载或并入通用计算机、专用计算机或其他可编程信息处理设备中以产生特定机器，使得可以响应于在计算机或处理设备处的执行来实现在一个或多个流程图块中指定的操作或功能。
除非另有明确示出，否则本申请提出的任何方案、程序、过程或技术绝不应解释为要求以特定顺序执行其动作或步骤。因此，当过程或方法权利要求实际上没有记载其动作或步骤遵循的顺序时，或者在本主题公开的权利要求或描述中没有另外具体记载步骤将被限于特定顺序时，绝不意味着在任何方面推断顺序。这适用于解释的任何可能的非明确基础，包含：关于步骤或操作流程的布置的逻辑事项；源于语法组织或标点符号的平常意义；在说明书或附图等中描述的实施方式的数量或类型。
如本申请中所使用，术语“环境”、“系统”、“引擎”、“模块”、“构件”、“架构”、“接口”、“单元”等指代计算机相关实体或与具有一个或多个限定功能性的操作设备相关的实体。术语“环境”、“系统”、“引擎”、“模块”、“构件”、“架构”、“接口”和“单元”可以互换使用，并且一般可以指功能元件。这样的实体可以是硬件、硬件和软件的组合、软件或执行中的软件。例如，模块可以被实施为处理器上运行的进程、处理器、对象、软件的可执行部分、执行线程、程序和/或计算装置。又例如，在计算装置上执行的软件应用程序和计算装置都可以实施为模块。又例如，一个或多个模块可驻留在进程和/或执行线程内。模块可以位于一个计算装置上或分布在两个或多个计算装置之间。如本申请所公开，模块可从其上存储有各种数据结构的各种计算机可读非暂时性存储媒体执行。模块可以经由本地和/或远程进程根据例如，具有一个或多个数据包(例如，来自与本地系统、分布式系统中的另一构件交互的构件的数据，和/或来自与在例如具有其它系统的广域网上的另一构件经由信号交互的构件的数据)的信号(模拟的或数字的)进行通信。
又例如，模块可以被实施为或可以包含具有由机械部件提供的限定功能的设备，机械部件由电路或电子电路操作，电路或电子电路由软件应用或由处理器执行的固件应用控制。这种处理器可以在设备内部或外部，并且可以执行软件或固件应用的至少一部分。又例如，模块可以被实施为或者可以包含通过没有机械部件的电子部件提供限定功能的设备。电子部件可包含处理器以执行软件或固件，软件或固件允许或至少部分地促进电子部件的功能性。
在一些实施方式中，模块可以经由本地和/或远程进程根据例如，具有一个或多个数据包(例如，来自与本地系统、分布式系统中的另一构件交互的构件的数据，和/或来自与在例如具有其它系统的广域网上的另一构件经由信号交互的构件的数据)的信号(模拟或数字)进行通信。另外，或在其他实施方式中，模块可通过热、机械、电和/或机电耦接机构(例如，导管、连接器、其组合等)通信或以其他方式耦接。接口可包含输入/输出(Input/Output，I/O)构件以及相关联的处理器、应用程序和/或其他编程构件。
如本申请中所使用的，术语“通信器”可以指任何类型的通信电路或设备。通信器可以被实施为几种类型的网络元件或者可以包含几种类型的网络元件，包含基站；路由器设备；开关设备；服务器设备；聚合器设备；总线架构；前述的组合；或类似物。一个或多个总线架构可以包含工业总线架构，比如基于以太网的工业总线、控制器局域网(CAN)总线、Modbus、其他类型的现场总线架构等。
如本申请中所使用的，术语“处理器”可以指任何类型的处理电路或设备。处理器可被实现为处理电路或计算处理单元(例如，(Central Processing Unit，CPU)、(GraphicsProcessing Unit，GPU)或两者的组合)的组合。因此，为了描述目的，处理器可以指单核处理器；具有软件多线程执行能力的单处理器；多核处理器；具有软件多线程执行能力的多核处理器；具有硬件多线程技术的多核处理器；并行处理(或计算)平台；以及具有分布式共享存储器的并行计算平台。另外，或又例如，处理器可指集成电路(Integrated Circuit，IC)、专用集成电路(Application Specific Integrated Circuit，ASIC)、数字信号处理器(Digital Signal Processor，DSP)、现场可编程门阵列(Field Programmable GateArray，FPGA)、可编程逻辑控制器(Programmable Logic Controller，PLC)、复杂可编程逻辑设备(Complex Programmable Logic Device，CPLD)、离散门电路或晶体管逻辑、离散硬件构件、或其被设计或配置(例如，制造)以执行在此描述的功能的任何组合。在一些实施方式中，处理器可以使用纳米级架构，为了优化空间使用或增强根据本申请的系统、设备或其他电子设备的性能。例如，处理器可以包含分子晶体管和/或基于量子点的晶体管、开关和门电路。
此外，在本说明书和附图中，比如“存储”、“存储器”、“数据存储”、“数据存储器”、“存储器”、“存储库”等术语以及与本申请的部件的操作和功能相关的基本上任何其他信息存储构件是指存储器构件、实施在一个或多个存储器设备中的实体，或形成存储器设备的构件。应注意，本申请所描述的存储器构件或存储器设备实施或包含可由计算装置读取或存取的非暂时性计算机存储媒体。这样的介质可以以用于存储信息的任何方法或技术来实现，比如机器可访问指令(例如，计算机可读指令)、信息结构、程序模块或其他信息对象。
此外，在本说明书和附图中，比如“存储”、“存储器”、“数据存储”、“数据存储器”、“存储器”、“存储库”等术语以及与本申请的部件的操作和功能相关的基本上任何其他信息存储构件是指存储器构件、实施在一个或多个存储器设备中的实体，或形成存储器设备的构件。存储器构件或存储器设备可被实施为易失性存储器或非易失性存储器，或可包含易失性和非易失性存储器两者。此外，存储器部件或存储器设备可以是可移动的或不可移动的，和/或在计算装置或部件的内部或外部。各种类型的非暂时性存储介质的实例可以包含硬盘驱动器、zip驱动器、CD-ROM、数字多用盘(Digital Video Disc，DVD)或其他光存储、磁带盒、磁带、磁盘存储或其他磁存储设备、闪存卡或其他类型的存储卡、盒式磁带或适于保留所需信息并可由计算装置访问的任何其他非暂时性介质。例如，非易失性存储器可包含只读存储器(Read-Only Memory，ROM)、可编程ROM(Programmable Read-Only Memory，PROM)、电可编程ROM(Erasable Programmable Read-Only Memory，EPROM)、电可擦除可编程ROM(Electrically Erasable Programmable Read-Only Memory，EEPROM)或快闪存储器。易失性存储器可以包含用作外部缓冲存储器的随机存取存储器(Random AccessMemory，RAM)。作为说明而非限制，RAM具有多种形式，例如，同步RAM(Static RandomAccess Memory，SRAM)、动态RAM(Dynamic Random Access Memory，DRAM)、同步DRAM(Synchronous Dynamic Random Access Memory，SDRAM)、双数据速率SDRAM(Double DataRate Synchronous Dynamic Random Access Memory，DDR SDRAM)、增强型SDRAM(EnhancedSynchronous DRAM，ESDRAM)、同步链路DRAM(Sync Link DRAM，SLDRAM)和直接Rambus RAM(Direct Rambus RAM，DRRAM)。在此描述的操作或计算环境的所公开的存储器设备或存储器旨在包含这些和/或任何其他合适类型的存储器之一或多个。
除非另外具体说明或在所使用的背景中另外理解，比如“可以”、“能够”、“可能”或“可”等条件语言通常旨在传达某些实现可以包含某些特征、元件和/或操作，而其他实现方式不包含。因此，这种条件语言通常不旨在暗示特征、元件和/或操作以任何方式对于一个或多个实现方式是必需的，或者一个或多个实现方式必须包含用于在有或没有用户输入或提示的情况下决定这些特征、元件和/或操作是否被包含或将在任何特定实现方式中执行的逻辑。
本申请的计算机可读程序指令可经由网络(例如，因特网、局域网、广域网和/或无线网络)从计算机可读存储介质或外部计算机或外部存储设备下载到相应的计算/处理设备。网络可以包含铜传输电缆、光传输光纤、无线传输、路由器、防火墙、交换机、网关计算机和/或边缘服务器。每个计算/处理设备中的网络适配器卡或网络接口从网络接收计算机可读程序指令，并转发该计算机可读程序指令以存储在相应计算/处理设备内的计算机可读非暂时性存储介质中。
在本说明书和附图中已经描述的内容包含系统、设备、技术和计算机程序产品的实例，系统、设备、技术和计算机程序产品单独地和组合地允许追踪和跟踪在工业设备中制造的产品的部件。当然，不可能出于描述本申请的各种元件的目的而描述部件和/或方法的每一可能组合，但是所公开元件的许多其它组合和排列是可能的。因此，很明显，在不脱离本申请的范围或精神的情况下，可以对本申请进行各种修改。此外，或者作为替代，通过考虑说明书和附图以及如本申请所呈现的本申请的实践，本申请的其他实施方式可以是显而易见的。在说明书和附图中提出的实例在所有方面都被认为是说明性的而非限制性的。尽管这里采用了限定的术语，但是它们仅用于一般的和描述性的意义，而不是用于限制的目的。
在智能制造工厂或一些严格保密的管控区域，例如封闭式的工厂，通常会对移动终端(PDA、平板电脑、笔记本电脑等)进行管控，管控的类型通常包括摄像头、蓝牙等。但是，一旦移动终端能够联网或能够带出管控的区域，安全风险将大大增加，容易造成泄密的问题，因此通常会发放专用工业终端给需要在管控区域使用终端的工作人员。如何在多个管控区域管理工业终端，以达到不同管控区域许可终端使用不同的功能集合的目的，对提高工作效率、降低泄密风险都有重要意义。
请参阅图1，呈现根据本申请的一个或多个实施方式的电子装置的操作环境10的实例，实例性环境10或其部分可实施或可构成各种操作环境和系统。环境10包含计算设备100、计算设备101、终端151、终端152、终端160、通信链路141、网络130。其中计算设备100、计算设备101为相同或相近的设备，终端151、终端152为相同或相近的终端。若计算设备100管理的终端数量不超过最大负载量，运算能力要求低，环境10可只包含计算设备100。若计算设备100管理的终端数量超过最大负载量，运算能力要求高，由于计算设备101具有与计算设备100基本相同的架构，此时环境10可将计算设备100与计算设备101构成并行处理的计算系统，以满足运算能力的要求。下面以计算设备100为例解释本申请的相关处理过程。示例性的，也以终端151为例解释本申请的相关处理过程。在一些情景中，环境10表示本申请的实例，例如可以响应计算设备100中的一个或多个软件模块的执行。这样的一个或多个软件模块使计算设备100(或包含软件模块的任何其他计算装置)成为根据本申请描述的移动设备安全管控的装置。
在一些实施方式中，终端151可用于形成信息(例如，联网信息)且通过通信链路141、网络130、通信链路141的传输路径传递到计算设备100，以完成限定的逻辑过程。终端151也可用于响应终端160的管控指令(如管控应用程序的使用，或管控应用程序的显示)。终端160通过接收计算设备100的信息(例如，验证结果、等级、等级对应的应用程序清单)，呈现至管理人员，以对终端151进行监测。
计算设备100包含处理器104，一个或多个I/O接口106，一个或多个存储器设备(统称为存储器116)。总线142可以允许或便于在处理器104、通信器(例如，I/O接口106)和/或存储器116或其它的相应功能元件之间交换信息(例如数据、元数据和/或信令)。总线142可以包含系统总线、存储器总线、地址总线或消息总线中的至少一个。
处理器104用于通过由I/O接口106、通信链路141、网络130、通信链路141形成的通信路径，收集终端151的信息(如身份信息、联网信息)并完成判断动作(如判断身份信息、判断配置的等级)形成计算结果(如验证结果、等级)并发送至终端160。终端160接收到计算结果后，形成信息(如许可指令、报警消息)发送至终端151。
处理器104也可以接收终端160发送的信息，以形成计算结果后发送相应信息(如许可指令)至终端151以控制终端151，但不限于此。当计算设备100包含多个处理器104时，通过总线142连接多个处理器104可以实现并行计算。
存储器116为各种计算机可读介质。在一些实施方案中，存储器116可以包含指令存储器118和信息存储器120。
指令存储器118可包含计算机可存取指令，计算机可存取指令被处理器104调用，以执行可实施本申请的移动设备安全管控策略。计算机可访问指令可实施为或可包含被示为许可模块230的一个或多个软件模块。具体实施中，处理器104执行许可模块230，可从信息存储器120中检索信息，或将信息保留在信息存储器120中，以便由许可模块230编程或配置功能。
信息存储器120内的信息可统称为许可指令254，许可指令254可以包含代码指令及信息结构的至少一个。例如，这种信息结构的至少一部分可以指示或表示根据等级限定许可终端151使用的应用程序清单、终端151的历史操作数据等。
指令存储器118和其他可执行程序部件(例如，OS指令122)可在不同时间驻留在计算设备100的不同存储器116中，且可由处理器104执行。在某些情形中，许可模块230的实现可被保留在某种形式的计算机可读介质上。
存储器116还可以包含允许或促进计算设备100的操作和/或管理(例如，升级、软件安装、任何其他配置等)的计算机可访问指令和信息(例如，数据、元数据和/或编程代码指令)。因此，存储器116包含存储器元件，实施为或包含一个或多个OS指令122(OperatingSystem，OS，操作系统)，例如，Windows操作系统、Unix、Linux、Symbian、Android、Chromium和大体上任何适合于移动计算装置或绑定计算装置的OS。在一个方面，计算设备100的操作和/或架构复杂度可以决定选择何种合适的OS。
存储器116还包含具有数据、元数据和/或编程代码的系统信息存储器124，数据、元数据和/或编程代码可以允许或便于计算设备100的操作和/或管理。OS指令122和系统信息存储器124可以由处理器104访问或操作。
存储器116还包含接口126，用于准许或促进指令存储器118内的两个或多个模块之间的信息通信。
在一些实施例中，I/O接口106可允许或促进计算设备100与外部设备之间的信息通信。这种通信可以包含直接通信或间接通信，比如经由网络或其元件在计算设备100和外部设备之间交换信息。在一些实施方式中，I/O接口106可以包含网络适配器108、外围适配器112和显示单元114之一或多个，允许或有助于外部设备与处理器104或存储器116之间的连接。
网络适配器108用于经由一个或多个通信链路(无线、有线，或其组合)，单独地或组合地允许或促进计算设备100与一个或多个计算设备101之间的信息(数据、元数据，和/或信令)，通过一个或多个网络130进行交换。至少部分地由网络适配器108中的至少一个提供的这种网络耦接可以在有线环境、无线环境或两者中实现。
外围适配器112可以包含一组端口，该组端口可以包含并行端口、串行端口、以太网端口、V.35端口或X.21端口中的至少一个，用于允许或促进计算设备100与外部设备进行有线连接。在某些实施方式中，并行端口可以包含通用接口总线(General-PurposeInterface Bus，GPIB)、IEEE-1284，而串行端口可以包含推荐标准(RS)-232、V.11、通用串行总线(USB)、火线接口或IEEE-1394，来有线适配连接不同的接口。
显示单元114可包含功能元件(例如，灯，比如发光二极管；显示器，例如，液晶显示器(Liquid Crystal Display，LCD)、等离子体监视器、发光二极管(Light-EmittingDiode，LED)监视器或电致变色监视器；它们的组合；或类似的)其可允许或便于控制计算设备100的操作，或可允许传送或揭示计算设备100的操作条件。
在一些实施方式中，计算设备100可选地包含无线电单元102。无线电单元102可包含一个或多个天线和通信处理单元，其可允许计算设备100与另一设备(例如，计算设备101)之间的无线通信。
计算设备100还可以包含电源(图1中未示出)，其可以对这些设备内的构件或功能元件上电。电源可以是可再充电电源，例如，可再充电电池，并且它可以包含一个或多个变压器以获得适合于计算设备100以及其中的构件、功能元件和相关电路的操作的功率水平。在某些情况下，可将电源附接到常规电网以再充电并确保此类设备可操作。在一个方面中，电源可包含I/O接口(例如，网络适配器108之一)以操作地连接到常规电网。在另一方面中，电源可包含能量转换构件(例如，太阳能面板)，以为计算设备100提供额外或替代电源或自主性。
在一些实例中，计算设备100可以是个人计算机、便携式计算机、服务器、路由器、网络计算机、对等设备或其他常见网络节点等。
在一些实施方式中，终端151、终端152、终端160可以包含个人计算机；服务器计算机；膝上型设备；手持计算装置，例如，移动平板电脑或电子阅读器；可穿戴计算装置；以及多处理器系统。另外的实例可以包含可编程消费电子产品、网络个人计算机(PersonalComputer，PC)、小型计算机、大型计算机、刀片计算机、可编程逻辑控制器。
计算机可读介质可以是可由计算设备100访问的任何可用介质(暂时性和非暂时性)。一方面，计算机可读介质可包含计算机非暂时性存储介质(或计算机可读非暂时性存储介质)和通信介质。实例性计算机可读非易失性存储介质可以包含例如，易失性介质和非易失性介质，以及可移动和/或不可移动介质。
总线142和这里描述的所有其他总线架构可以通过有线或无线网络连接来实现，并且每个子系统，包含处理器104、存储器116和其中的存储器元件，并且I/O接口106可以被包含在物理上分离的位置处的一个或多个远程计算设备101内，通过这种形式的总线连接。实际上实现了完全分布式系统。在一些实施方式中，这样的分布式系统可以在客户机-主机或客户机-服务器配置中实现这里描述的功能，其中许可模块230或监测信息254或两者可以分布在计算设备100中。
在一些实施方式中，总线142表示若干可能类型的总线结构之一或多者，包含存储器总线或存储器控制器、外围总线、加速图形端口以及使用各种总线架构中的任一者的处理器或局部总线。作为说明，此类架构可包含工业标准架构(Industry StandardArchitecture，ISA)总线、微通道架构(Micro Channel Architecture，MCA)总线、增强型ISA(Enhanced ISA)总线、视频电子技术标准协会(Video Electronics StandardsAssociation，VESA)局部总线、加速图形端口(Accelerated-Graphics-Port，AGP)总线、外围部件互连(Peripheral Component Interconnect，PCI)总线、PCI-Express总线、个人计算机存储卡国际协会(Personal Computer Memory Card International Association，PCMCIA)总线、通用串行总线(Universal Serial Bus，USB)等。
在一个或多个实施方式中，所公开方法之一或多者可在分布式计算环境(例如，基于网格的环境)中实践，其中任务可由通过计算设备100中的至少一者功能性耦接(例如，以通信方式链接或耦接)的远程处理设备(计算设备101)执行。在分布式计算环境中，在一个方面中，一个或多个软件模块(例如，程序模块)可位于本地计算装置(例如，计算设备100)和至少一个远程计算装置两者内。
在一些实施方式中，通信链路141可以包含例如上行链路(Up Link，UL)和下行链路(Down Link，DL)。UL和DL中的每一个可以被实施为或者可以包含无线链路(例如，深空无线链路和/或陆地无线链路)、有线链路(例如，光纤线路、同轴电缆和/或双绞线)或其组合。
网络130可以包含若干类型的网络元件，包含基站；路由器设备；开关设备；服务器设备；聚合器设备；总线架构；前述的组合；或类似的。网络元件可以被组装以形成局域网(LAN)、城域网(MAN)、广域网(WAN)和/或具有不同覆盖区的其他网络(无线或有线)。网络130还可以包含若干类型的网络元件，包含基站；路由器设备；开关设备；服务器设备；聚合器设备；总线架构；前述的组合；或类似的。网络元件可以被组装以形成局域网(LAN)、城域网(MAN)、广域网(WAN)和/或具有不同覆盖区的其他网络(无线或有线)。由网络适配器108中的至少一个传送的信息可由根据本申请的各方面的方法(或技术)的一个或多个操作的实现产生。这种输出可以是任何形式的视觉表示，包含文本、图形、动画、音频、触觉等。
实例性操作环境10仅仅是说明性的，并不旨在建议或传达关于操作环境的架构的使用范围或功能的任何限制。
环境10中的软件模块(例如许可模块230)可被实施为或可包含一个或多个计算机可访问指令(例如，计算机可读和/或计算机可执行指令)。计算机可访问指令的至少一部分可被执行，以执行本申请所描述的一个或多个实例性方法和/或其中的至少一部分。为了实施这样的目的，计算机可访问指令被封装成程序模块，并保存在计算机可读存储非暂时性介质中并由处理器(例如，处理器104)执行，可以在计算设备100由处理器104编译、链接和/或执行。
作为更具体的说明，图2示出根据本申请的一个或多个实施方式的，用于电子装置物理过程和数字副本对应的操作环境的实例。所示的环境20包含终端151、终端160构成的实现处理过程的物理过程域。环境20还包含数字副本域，该数字副本域包含计算机实现的环境，物理过程域中的处理过程可以映射到该计算机实现的环境上。数字副本域包含并利用多种建模、计算和人工智能(Artificial Intelligence，AI)技术，这些技术可以单独地或组合地允许实现该处理过程的数字副本。这种数字副本实施或构成物理处理过程的动态仿真模型。
终端151可实施或执行限定的处理过程，以允许使用信息251(例如人手点击触摸屏中的应用程序图标)逐步形成指示信息252。指示信息252可以具有必要的消息表达，以提供一个或多个期望的功能(如向外界指示终端151不能够使用当前等级情况下不被许可使用的应用程序，或隐藏当前等级情况下不被许可使用的应用程序)。指示信息252可以实施为成像数据、音频数据和/或触觉数据的物理表达等。
在一些实施例中，终端151可包含功能模块204，还可以包含多组功能模块如功能模块206、功能模块208，以对使用信息251进行响应。功能模块204可集成到硬件202中(图未示)，或以其他方式耦接(如总线242)到硬件202，以收集指示或表示终端151的操作状态的数据。在一些实施方式中，功能模块204根据终端160发出的管控指令(如等级对应的应用程序清单)有选择的被执行或有选择的被显示(如将对应的应用程序图标变灰，表示不可使用，或者直接隐藏对应的应用程序图标)。功能模块204、功能模块206、功能模块208任一可包含特殊管控项、通用管控项、配置管控项三种类型的管控，特殊管控项包括NFC管控、NFC传输管控、相机管控、蓝牙管控、USB管控，但不限于此。通用管控项包括WiFi管控、WiFi白名单管控、截屏管控、浮水印管控、锁屏PIN码管控，但不限于此。配置管控项包括网络和互联网、已连接的设备、应用和通知、电池、内存、显示、声音、手势、高级、存储、安全性和位置信息、帐号、无障碍、Google、系统、开发者选项、搜索框、建议栏的显示与否，但不限于此。
此外，为使该终端151实现的处理过程的自动化，终端160可功能性地耦接(例如，通信耦接、电耦接、电磁耦接和/或机电耦接，不限于通过图1的网络130)到终端151。通信架构241可以允许或促进终端160和终端151之间的信息(数据、元数据和/或信令)交换。
总线242及通信架构241可以被实施为几种类型的网络元件或者可以包含几种类型的网络元件，包含基站；路由器设备；开关设备；服务器设备；聚合器设备；总线架构；前述的组合；或类似物。一个或多个总线架构可以包含工业总线架构，比如基于以太网的工业总线、控制器局域网(CAN)总线、Modbus、其他类型的现场总线架构等。
在一些实施方式中，一些计算设备可准许或促进执行数字副本。为此，数字副本域可以包含计算系统，该计算系统可以接收数据处理过程的模型，该模型可以由终端160自动化运行，并且至少部分地由终端151实现。因此，计算系统可以接收数据、元数据和/或代码指令(其可以构成库和/或其他类型的软件部件)，数据、元数据和/或代码指令可以允许在物理过程域中模拟数据处理过程的全部或部分。
该数字副本域包含许可模块230，用于实现根据本申请中终端160许可终端151使用功能模块的目的。为此，在一些实施方式中，许可模块230需要验证终端151的身份信息，以确定终端151允许连接网络，即需要对终端151进行身份验证，这些身份验证的方式可选的采用检索一个或多个数据结构238(命名为身份列表238)，这些身份列表238存储在一个或多个存储设备236中，看能否检索出与终端151对应的身份信息，若没有检出，则形成禁用指令，通过指示信息252发出至终端151，以禁用终端151的一切功能；若有检出，则继续进行生成许可指令的行为。
在一些实施方式中，许可模块230确认终端151的身份信息合法，则从终端151连接的网络中获取当前终端151连接的是何种等级的网络，例如第一等级网络171、第二等级网络172至第N等级网络173。这种网络的等级是根据所在的管控区域划分的，例如在管控区域外的网络为第三等级网络，在管控区域内的网络为第二等级网络172，在严格管控区域内的网络为第一等级网络171，对应的许可终端151使用功能模块的种类、数量等都有差异，这些网络等级对应能够使用的功能集合储存在一个或多个数据结构(即功能列表234)，一个或多个存储设备232用于保存这些功能列表234。许可模块230获取当前终端151连接的网络等级后，根据功能列表234，形成能够表征功能列表234信息的许可指令253，并将许可指令253通过数字副本域映射到物理过程域中，形成便于与交互终端151的对象(例如用户或触发功能使用的输入信号)理解的指示信息252。
这种数字副本可以被称为“数字双胞胎”，用于实施或构成物理过程的动态仿真模型。在一些实施方式中，数字副本可集成物理过程的信息、控制物理过程的逻辑和物理过程的仿真模型。数字副本可使用基于机器学习方法的模型驱动方法。另外，或在一些实施方式中，数字副本可以基于现实过程的物理现象和这种过程的规则来使用或利用模型驱动方法。因此，在一些情况下，通过结合物理现实过程的模型，数字副本可以几乎实时地与其物理副本同步。数字副本还允许或便于在对应物理系统中实现该状态之前仿真和评估该过程的状态。数字双胞胎能够几乎连续地学习并且能够从多个源更新其自身以改进其物理过程的实时表示。
请参照图3，在一些实施方式中，在一些数据维数较低、运算量不大的场景，例如终端160管理的终端151的数量少于50部，但不限于此，采用管控设备30(如将计算设备100的功能集成或耦接到终端160中)实现终端安全管控的功能。管控设备30包含处理器310、存储器320及通信器330，许可模块230设置于存储器320内，通信器330用于作为UL或DL之一，实现内部耦接或与外部进行交互。通信架构350可以允许或促进管控设备30和终端50之间的信息(数据、元数据和/或信令)交换。
在一些实施方式中，管控设备30中的各元件的功能为：通信器330，用于接收终端50发送的第一联网信息；处理器310，耦接该通信器330，用于：根据该第一联网信息，确定该终端50连接的第一网络的等级为第一等级；根据该第一等级，形成第一许可消息，该第一许可消息包含许可该终端50使用第一功能的指令；该通信器330，进一步用于发送该第一许可消息至该终端50，以许可该终端50使用该第一功能。
在一些实施方式中，存储器320包含许可模块230，其中许可模块230用于实现根据本申请中管控设备30许可终端50使用功能模块的功能。
请参考图4，在一些实施方式中，许可模块230包含异常处理模块237、分析模块233，可选的包含数据结构235、收发模块231。数据结构235用于存储许可模块230中存储的数据(例如功能列表234、身份列表238)。收发模块231用于接收通过处理器310判断的联网等级(如第一等级)、接收调整联网等级对应的功能模块集合的指令等，控制该通信器330发送许可指令至终端50。
在一些实施方式中，在未切换连接的网络时，终端50在使用过程中，发现有使用该第二功能的行为，则需要引起管控人员的重视，此时异常处理模块237，用于根据接收到的异常记录，判断终端50操作非法，形成报警消息，以提示管控人员注意这种异常情况，可选的发出定位指令禁止终端50继续使用除了定位功能以外的所有功能，并根据定位功能让管控人员获得终端位置，及时进行人工干预，防止信息的泄露。
在一些实施例中，分析模块233包含身份信息模块2331、等级判定模块2333及选择模块2335。
在一些实施例中，身份信息模块2331用于被处理器310调用，判断通信器330接收的终端50的身份信息是否与存储器320中的预设的身份信息是否相符，若相符则形成验证结果至等级判定模块2333，若不相符则直接形成定位指令(即只允许使用定位功能的指令)，控制通信器330发送至终端50。
在一些实施例中，在获取到身份信息模块2331的验证结果后，等级判定模块2333用于被处理器310调用，根据终端50连接网络(如第一网络，可以为WIFI、蜂窝网络等)形成的联网信息(如第一联网信息)，判断该网络被配置的等级(如第一网络被配置为第一等级)，并将判断结果发送至选择模块2335。
在一些实施例中，选择模块2335接收到该判断结果后(例如判断结果为第一等级)，则选择模块2335根据判断结果选择存储器320中(如数据结构235中的功能列表234)的功能，例如数据结构235中存储有第一等级许可使用的功能为A、B、C，第二等级许可使用的功能为B、C、D、E，则选择模块2335在得到等级判定模块2333的判断结果为第二等级时，则选择表征B、C、D、E功能的许可指令，通过通信器330发送许可指令至终端50，以管控终端50只能使用B、C、D、E功能。进一步地，在一些实施例中，若终端50只具有A、B、F功能，而不具备E功能，则选择模块2335根据终端50的功能列表(即包含A、B、F功能)，以及判断结果(例如第一等级)，则形成功能的标识(可选的为该功能列表与第一等级许可使用的功能的交集，即A、B、C功能与A、B、F功能的交集，则功能的标识为A、B功能的标识)，再根据该功能的标识(如第一功能的标识)，形成第一许可消息，第一许可消息为只许可终端50在连接第一等级的第一网络时使用A、B功能。
进一步地，在一些实施例中，当终端50发生联网信息改变时(例如从连接第一网络切换到连接第二网络)，通信器330接收到第二联网信息并传递至处理器310，该处理器310调用存储器320中的等级判定模块2333，判断该第二网络被配置为第二等级，由于在终端50连接第一网络时即已调用身份信息模块2331验证形成了验证结果，因此可不再进行身份验证。该选择模块2335根据第二等级，例如第二等级许可使用的功能为B、C、D、E，但未包含许可该终端50使用的第一功能(如A功能)，则选择模块2335形成第二许可消息，就不会包含许可该终端50使用A功能的该第一许可消息。选择模块2335被处理器310调用，控制通信器330发送第二许可消息至终端50，当外部输入请求使用终端50的A功能时，终端50将根据第二许可消息，拒绝A功能的使用请求。同理，例如，当终端50连接第一网络时，管控设备30发出许可指令，拒绝终端50使用D功能，但当终端50切换到第二网络后，在第二等级的管控下，允许终端50使用D功能，具体的过程是：当终端50连接第一网络，接收到第一许可消息时，第一许可消息未包含许可该终端使用第二功能的第二许可消息，因此终端50拒绝D功能的使用请求；当终端50连接到第二网络时，通信器330接收到第二联网信息，处理器310将根据第二联网信息，检索存储器320，判断该第二网络被配置为第二等级，并根据验证结果及第二等级，形成包含许可终端50使用D功能的第二许可消息；最后，处理器310控制通信器330发送该第二许可消息至该终端50，使终端50允许外部输入提出使用D功能的请求。
请参考图5，在一些实施方式中，终端50包含处理器510、存储器520及通信器530，响应模块521存储在存储器520中。通信器530用于作为UL或DL之一，实现内部耦接或与外部进行交互。
在一些实施方式中，该终端50中的各元件的功能为：通信器530，用于连接第一网络，该第一网络被配置为第一等级；发送第一联网信息至管控设备30，该第一联网信息包含该终端50的身份信息；响应该第一联网信息的发送，接收来自该管控设备30的第一许可消息，该第一许可消息包含根据该第一等级及该身份信息，许可该终端50使用第一功能的第一许可消息。处理器510，耦接该通信器530，用于获取使用该第一功能(例如前述A功能)的请求；根据该第一启用请求及该第一许可消息，许可该终端使用该第一功能。
在一些实施方式中，存储器520包含响应模块521。其中响应模块521用于实现根据本申请中终端50接收到管控设备30的许可指令后，被一个或多个处理器510调用，以对终端50内部或终端50外部对终端50使用功能模块请求的响应。终端50内部或终端50外部简称内部或外部，术语“内部”可选为终端50内或终端50与管控设备30组成的系统内部的数据交互，例如应用程序或其他功能模块如前述的许可模块使用功能的请求，发生在系统内部；术语“外部”可选为终端50外部的输入，例如终端50具有触摸显示屏，用户通过点击触发触摸显示屏的图标发出的使用功能模块的请求。
请参考图6，在一些实施方式中，响应模块521包含处理模块523，可选的包含数据结构525、输入输出模块527。数据结构525用于存储响应模块521中存储的数据(例如第一许可消息、第二许可消息、许可指令等)。输入输出模块527用于接收管控设备30发送的通过通信器530传递的数据，以及输出反馈信息(如提示当前网络请求使用A功能非法等)。
在一些实施例中，处理模块523包含合法性判断模块5231及调用模块5233。
在一些实施例中，合法性判断模块5231用于被处理器510调用，根据管控设备30发送的包含许可指令的信息(如第一许可消息、第二许可消息等)，判断当前网络环境及网络等级情况下，外部或内部输入的使用某功能(例如A功能)的请求是否合法，若合法，则传递判断结果至调用模块5233，若非法，则反馈至外部或内部提示操作非法，若多次对同一种请求判断非法，则形成异常记录，通过通信器530发送至管控设备30。
在一些实施方式中，调用模块5233在接收到合法性判断模块5231判断为合法的结果后，根据外部或内部输入的请求，选择该请求对应的功能模块，例如A功能，使处理器530能够调用A功能，响应外部或内部输入的请求。
在一些实施方式中，若第一许可消息未包含许可该终端50使用第二功能(例如前述的D功能)的第二许可消息，则当处理器510在获取到内部或外部输入使用D功能的请求(如第二启用请求)时，处理器510调用响应模块521，会根据这一请求和第一许可消息，判断请求非法，拒绝这一请求，进而禁止外部使用D功能。
进一步的，还会对非法使用D功能的行为进行提示，告知外部当前不允许使用D功能，若外部仍然触发D功能，则会主动通过通信器530上传记录这一行为的异常记录至管控设备30，以调用异常处理模块237请求安全管控人员进行判断，若判断为不涉及安全问题的行为，则不予处理；若判断可能有泄密风险，则终端50会接收到定位指令，禁用除了定位功能以外的可能泄密的功能。
在一些实施方式中，当终端50发生联网信息改变时，例如从第一网络切换到连接第二网络，由于第二网络被配置为第二等级，通信器530将接收到管控设备30发送的第二许可消息，第二许可消息包含根据该第二等级及该身份信息，许可该终端50使用该第二功能(例如D功能)的该第二许可消息，处理器510调用响应模块521，此时可接收内部或外部对D功能的使用请求。同理，由于第二等级不允许使用第一功能(例如A功能)，则处理器510拒绝外部使用A功能。
在一些实施方式中，终端50可选的包含显示器540，显示器540耦接处理器510，由于处理器510在终端50连接第一网络时许可使用A功能，因此显示器540显示A功能与终端50外部交互的第一界面，第一界面就包含有外部输入请求使用A功能的标识(例如图标)，外部输入就可以通过点击A功能对应的标识，使用终端50的A功能。同理，示例性的，由于处理器510在终端50连接第一网络时拒绝使用第二功能(如D功能)，因此显示器540隐藏D功能与终端50外部交互的第二界面，第二界面不会显示外部输入请求使用D功能的标识(例如图标)，外部输入就无法主动的触发D功能，这样避免了误用的风险；结合前述异常处理模块237，也能在出于非法目的，破解终端50在第一网络时使用D功能的权限时，及时报警以避免泄密。
请参阅图7，示出根据本申请的一个或多个实施方式的用于终端安全管控的相应实例，为便于说明，将终端安全管控方法与终端使用的方法共同说明，区别在于终端安全管控方法为控制方的方法，终端使用的方法为受控方的方法，本实例在具有电子设备411(例如图1中的计算设备100或图3中的管控设备30)、终端412的系统中执行。本实例40中的一些操作任选地被组合，和/或一些操作的顺序任选地被改变。
在一些实施方案中，电子设备411预先存储终端的预设的身份信息，身份信息示例性的如一段字符串或标识码、生物信息、NFC数据信息。预设的身份信息包含了被记录在电子设备411中的合法身份，可以进行添加、修改、删除、查询等数据库常规操作。
在一些实施方案中，终端412连接第一网络，形成的第一联网信息后并发送(422)，电子设备411接收第一联网信息(424)，可选的第一联网信息包含有终端412的身份信息。
可选的，电子设备411判断该身份信息与预设的身份信息是否相符(426)，若否，则发出报警消息(428)，若是，则继续进行网络等级的认定。用这种方式，能够确保连接的终端412是合法终端，而不是仿冒的终端，降低泄密风险。
在一些实施方式中，经过步骤426判断身份相符后，形成验证结果，电子设备411根据第一联网信息，确定终端连接的第一网络的等级为第一等级(430)，依据第一等级，形成第一许可消息，并发送(432)。终端412接收第一许可消息(434)，构成许可内部或外部使用功能的集合，当内部或外部发出使用某个功能的请求时，若在集合内，则能够被调用，若在集合外则拒绝调用，用这种方式能够避免滥用终端412的功能，引起泄密的可能。
具体地，请参阅图7B，步骤432，还可以包含：基于终端的身份信息与预设的身份信息相符，形成终端的功能列表(4322)；根据该功能列表，形成第一功能的标识(4324)；根据第一功能的标识，形成包含第一指令的第一许可消息(4326)。在一些情况下，例如终端412只具有A、B、F功能，而不具备E功能，根据终端412的功能列表(即包含A、B、F功能)，以及联网等级(例如第一等级)，则形成功能的标识(可选的为该功能列表与第一等级许可使用的功能的交集，即A、B、C功能与A、B、F功能的交集，则功能的标识为A、B功能的标识)，再根据该功能的标识(如第一功能的标识)，形成第一许可消息，第一许可消息为只许可终端412在连接第一等级的第一网络时使用A、B功能的至少一个。
在另一些实施方式中，终端412接收该第一功能的第一启用请求(436)，根据第一启用请求及该第一指令，启用该第一功能(438)，通过这种方式，以许可终端412能够有限使用功能集合里被许可的功能。
在一些实施方式中，终端412接收该第二功能的第二启用请求(440)；根据该第二启用请求及该第一许可消息，拒绝使用第二功能(442)。通过这种方式，以禁用终端412使用功能集合里未被许可的功能。
如图7C所示，可选的，在一些实施例中，终端412在执行步骤434后，由于第一指令，终端412能够使用第一功能，则根据第一指令，显示该第一功能的用户交互界面(4342)，使得用户可以通过如触摸屏的方式，启用该第一功能。若没有第一指令，则可隐藏第一功能与用户交互的界面，避免外部调用，进一步降低泄密的风险。但是，该第一许可消息未包含许可该终端使用第二功能的第二指令；根据该第一许可消息，隐藏该第二功能与该终端外部交互的第二界面(4344)，通过这种方式，能够避免使用者误触，也让使用的人无法开启终端412中被拒绝使用的功能。
如图7D所示，在一些实施例中，终端412发现内部或外部多次发起步骤4422至步骤4424(例如3次)，由于第二功能并未获得使用的许可，根据该第二启用请求及该第一许可消息，形成异常记录(4442)，并发送至电子设备411(4444)，电子设备411接收该异常记录，该异常记录包含该终端第二启用请求(446)，由第三方(例如管控人员)判断该终端操作是否非法(448)，若否，则结束对异常记录的处理(450)；若是，则形成报警消息(452)，通知相关的人员(例如控制管控终端412的人员、其上级主管或其他安全管控人员)注意这一异常情况，并形成仅许可该终端使用定位功能的定位指令，并发送至终端412(454)。终端412接收定位指令(456)后，形成终端的定位信息，并发送至电子设备411(458)，电子设备411接收终端412的位置，提示管控人员处理(460)。通过这种方式，能够对异常操作进行及时的反馈，以克服可能有泄密行为发生时，造成更大的损失。
如图7E所示，在一些实施方式中，当终端412切换连接第一网络到连接第二网络时，形成第二联网信息，并发送第二联网信息至电子设备411(462)。电子设备411接收第二联网信息(464)后，根据第二联网信息，确定终端连接的第二网络的等级为第二等级(466)，进而形成第二许可消息，该第二许可消息包含根据该第二等级及该身份信息，许可该终端使用该第二功能的该第二指令，并发送(468)。这里不需要再次执行步骤426，因为在终端412连接第一网络时就已经完成了身份的验证，能够加快响应切换网络时，对终端412管控的效率和速度。
在一些实施方式中，终端412接收第二许可消息(470)后，形成了许可使用功能的集合，在获取第二启用请求(472)时，根据第二启用请求及第二许指令，许可使用第二功能(474)。终端412接收使用第一功能的第一启用请求(476)，基于第一启用请求及第二许可消息，拒绝使用第一功能(478)。第一功能在终端412连接第一网络时被许可使用，第二功能在终端412连接第一网络时被拒绝使用，因此通过步骤470后，终端412被许可使用功能的列表同步更新。
在一些实施方式中，电子设备411出于监督控制考虑，会不定期查询终端412的联网情况。当发生查询时，电子设备411形成问询指令后，发送问询指令至终端412(480)。终端412当前连接网络为第三网络，形成第三联网信息(482)，并发送第三联网信息至电子设备411(484)，电子设备411根据第三联网信息，确定终端连接的第三网络的等级为第三等级(486)，根据该第三等级，形成第三许可消息并发送至终端412(488)。终端412接收第三许可消息，根据第三许可信息，形成安全记录(490)，并发送该安全记录至电子设备411(492)。安全记录可包含何时切换连接第一网络至第三网络，以及连接到第三网络后有哪些数据进行了上传下载，第三网络可包含任何除第一网络外的网络(例如第二网络)。由于电子设备411在先确认终端412连接的是第一网络，因此安全记录还可包含切换时间和切换时长，来帮助电子设备411判断该安全记录是否合法(494)，若合法，则判断可能由于网络连接不稳定造成，而非遭受了非法攻击，结束问询的过程(4962)；若不合法，则形成清除指令并发出(4964)，以使终端412清除终端在连接第一网络时交互的数据(498)，若有必要，还可格式化终端412，避免更多的信息泄露造成严重后果。
上述终端安全管控设备及方法，通过对网络进行分级，并获取终端连接网络形成限制功能使用的等级，发送至终端，以管控终端使用的功能；能够在多个管控区域通过连接网络不同的特征管理终端，以达到不同管控区域许可终端使用不同的功能集合的目的，从而提高工作效率、降低泄密风险；
还提供了终端和限制终端使用的方法，通过响应管控装置的信息，控制显示器显示许可使用的功能集合，或者接受使用功能的请求，禁止使用功能，来避免在管控区域违规使用特定功能，从而进一步降低泄密风险。
上述所识别的每个模块和应用对应于用于执行上述一种或多种功能以及在本申请中所描述的方法的一组可执行指令。这些模块(即，指令集)不必以独立的软件程序、过程或模块实现，因此这些模块的各种子集任选地在各种实施方案中组合或以其他方式重新布置。在一些实施方案中，存储器任选地存储上述模块和数据结构的子集。此外，存储器任选地存储上面未描述的附加模块和数据结构。
另外，本领域技术人员还可在本申请精神内做其它变化，当然，这些依据本申请精神所做的变化，都应包含在本申请所要求保护的范围。出于解释的目的，前面的描述为参考具体实施方案来描述的。然而，上面的示例性讨论并非旨在是穷尽的或将本申请限制为所公开的精确形式。根据以上教导内容，很多修改形式和变型形式均为可能的，例如流程图的顺序结构可缺省或调整。选择和描述实施例是为了阐明本申请的原理及其实际应用，以便由此使得本领域的其他技术人员能够最佳地使用具有适合于所构想的特定用途的各种修改的本申请以及各种所描述的实施例。

Claims (10)

1.终端安全管控设备，包含：
通信器，用于接收终端发送的第一联网信息；
处理器，耦接所述通信器，用于：
根据所述第一联网信息，确定所述终端连接的第一网络的等级为第一等级，所述终端连接的第一网络的等级根据所述终端所在的管控区域进行分级，所述第一等级的网络为在严格管控区域内的网络；
根据所述第一等级，形成第一许可消息，所述第一许可消息包含许可所述终端使用第一功能的指令，所述第一功能包括所述许可终端在连接所述第一等级的第一网络时能够使用的功能；
所述通信器，进一步用于发送所述第一许可消息至所述终端，以许可所述终端使用所述第一功能；
所述第一许可消息未包含许可所述终端使用第二功能的第二指令；其中
所述通信器，进一步用于接收来自所述终端的异常记录，所述异常记录包含所述终端的第二启用请求；
所述处理器，进一步用于根据所述第二启用请求及所述第一许可消息，确定所述终端操作非法，形成报警消息，并进一步用于根据所述报警消息，形成仅许可所述终端使用定位功能的定位指令；
所述通信器，进一步用于：
发送所述定位指令至所述终端；
基于发送所述定位指令至所述终端，接收所述终端发送的定位信息。
2.如权利要求1所述的终端安全管控设备，其中
所述通信器，进一步用于接收所述终端发送的身份信息；
所述处理器，进一步用于：
确定所述身份信息与预设的身份信息相符；
基于所述身份信息与预设的身份信息相符，形成所述终端的功能列表；
根据所述第一等级及所述功能列表，形成所述第一许可消息。
3.如权利要求1所述的终端安全管控设备，其中
所述通信器，进一步用于接收所述终端发送的第二联网信息；
所述处理器，进一步用于：
根据所述第二联网信息，确定所述终端连接的第二网络的等级为第二等级，所述第二等级为在管控区域内的网络；
根据所述第二等级，形成第二许可消息，所述第二许可消息未包含许可所述终端使用所述第一功能的指令；
所述通信器，进一步用于发送所述第二许可消息至所述终端，以拒绝所述终端使用所述第一功能。
4.如权利要求1所述的终端安全管控设备，其中
所述通信器，进一步用于：
发送问询指令至所述终端；
基于发送问询指令至所述终端，接收所述终端发送的第三联网信息；
所述处理器，进一步用于：
根据所述第三联网信息，确定所述终端连接的第三网络的等级为第三等级，所述第三等级为管控区域外的网络；
根据所述第三等级，形成第三许可消息；
所述通信器，进一步用于发送所述第三许可消息至所述终端。
5.如权利要求4所述的终端安全管控设备，其中
所述通信器，进一步用于基于发送所述第三许可消息至所述终端，接收所述终端发送的安全记录；
所述处理器，进一步用于根据所述安全记录，确定所述终端操作非法；
所述通信器，进一步用于基于所述终端操作非法，发出清除指令，以指示所述终端清除在连接所述第一网络时交互的数据。
6.终端安全管控方法，包含：
接收终端发送的第一联网信息；
根据所述第一联网信息，确定所述终端连接的第一网络的等级为第一等级，所述终端连接的第一网络的等级根据所述终端所在的管控区域进行分级，所述第一等级的网络为在严格管控区域内的网络；
根据所述第一等级，形成第一许可消息，所述第一许可消息包含许可所述终端使用第一功能的指令，所述第一功能包括所述许可终端在连接所述第一等级的所述第一网络时能够使用的功能；
发送所述第一许可消息至所述终端，以许可所述终端使用所述第一功能；
所述第一许可消息未包含许可所述终端使用第二功能的第二指令；
接收来自所述终端的异常记录，所述异常记录包含所述终端的第二启用请求；
根据所述第二启用请求及所述第一许可消息，确定所述终端操作非法，形成报警消息；
根据所述报警消息，形成仅许可所述终端使用定位功能的定位指令；
发送所述定位指令至所述终端；
基于发送所述定位指令至所述终端，接收所述终端发送的定位信息。
7.如权利要求6所述的终端安全管控方法，其中
所述形成第一许可消息的步骤，包含：
接收所述终端发送的身份信息；
确定所述身份信息与预设的身份信息相符；
基于所述身份信息与预设的身份信息相符，形成所述终端的功能列表；
根据所述第一等级及所述功能列表，形成所述第一许可消息。
8.如权利要求6所述的终端安全管控方法，进一步包含：
接收所述终端发送的第二联网信息；
根据所述第二联网信息，确定所述终端连接的第二网络的等级为第二等级，所述第二等级为在管控区域内的网络；
根据所述第二等级，形成第二许可消息，所述第二许可消息未包含许可所述终端使用所述第一功能的指令；
发送所述第二许可消息至所述终端，以拒绝所述终端使用所述第一功能。
9.如权利要求6所述的终端安全管控方法，进一步包含：
发送问询指令至所述终端；
基于发送问询指令至所述终端，接收所述终端发送的第三联网信息；
根据所述第三联网信息，确定所述终端连接的第三网络的等级为第三等级，所述第三等级为管控区域外的网络；
根据所述第三等级，形成第三许可消息；
发送所述第三许可消息至所述终端。
10.如权利要求9所述的终端安全管控方法，进一步包含：
基于发送所述第三许可消息至所述终端，接收所述终端发送的安全记录；
根据所述安全记录，确定所述终端操作非法；
基于所述终端操作非法，发出清除指令，以指示所述终端清除在连接所述第一网络时交互的数据。
CN202010916982.4A 2020-09-03 2020-09-03 终端安全管控设备及终端安全管控方法 Active CN112260985B (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN202010916982.4A CN112260985B (zh) 2020-09-03 2020-09-03 终端安全管控设备及终端安全管控方法
US17/466,041 US20220067128A1 (en) 2020-09-03 2021-09-03 Terminal device security management device, method, and terminal device

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010916982.4A CN112260985B (zh) 2020-09-03 2020-09-03 终端安全管控设备及终端安全管控方法

Publications (2)

Publication Number Publication Date
CN112260985A CN112260985A (zh) 2021-01-22
CN112260985B true CN112260985B (zh) 2023-08-01

Family

ID=74224521

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010916982.4A Active CN112260985B (zh) 2020-09-03 2020-09-03 终端安全管控设备及终端安全管控方法

Country Status (1)

Country Link
CN (1) CN112260985B (zh)

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1274181C (zh) * 2004-06-25 2006-09-06 华为技术有限公司 管理本地终端设备接入网络的方法
US9143529B2 (en) * 2011-10-11 2015-09-22 Citrix Systems, Inc. Modifying pre-existing mobile applications to implement enterprise security policies
TW201322039A (zh) * 2011-11-18 2013-06-01 Hon Hai Prec Ind Co Ltd 安全管控系統及安全管控方法
CN105162795A (zh) * 2015-09-24 2015-12-16 中国长江三峡集团公司 移动终端app模块、服务端及系统数据权限管理系统与方法
US10097560B1 (en) * 2016-03-08 2018-10-09 Symantec Corporation Systems and methods for automatically adjusting user access permissions based on beacon proximity
CN106302782A (zh) * 2016-08-26 2017-01-04 维沃移动通信有限公司 一种网络访问控制方法及移动终端
WO2018145266A1 (zh) * 2017-02-08 2018-08-16 深圳市汇顶科技股份有限公司 权限控制方法、权限受控装置、电子设备及系统
CN107426168A (zh) * 2017-05-23 2017-12-01 国网山东省电力公司电力科学研究院 一种网络安全访问处理方法及装置
CN110691064B (zh) * 2018-09-27 2022-01-04 国家电网有限公司 一种现场作业终端安全接入防护和检测系统
CN110247906A (zh) * 2019-06-10 2019-09-17 平安科技（深圳）有限公司 一种网络监控方法及装置、设备、存储介质

Also Published As

Publication number Publication date
CN112260985A (zh) 2021-01-22

Similar Documents

Publication Publication Date Title
Quarta et al. An experimental security analysis of an industrial robot controller
CN106227159B (zh) 用于工业控制基础设施的使用动态签名的安防系统
JP4999240B2 (ja) プロセス制御システムとそのセキュリティシステムおよび方法並びにそのソフトウェアシステム
CN101713963B (zh) 模块化对象动态托管
JP7013153B2 (ja) プロセスプラント内のプロセス制御装置へのアクセスを制御する認証と権限付与
CN102906759B (zh) 情境感知数据保护
CN113625665B (zh) 集中式安全事件生成策略
US10521550B2 (en) Planning and engineering method, software tool and simulation tool for an automation solution
US9560523B2 (en) Mobile device authentication
CN102742243A (zh) 检查用于ied的配置修改
CN104423370A (zh) 用于工业资产的远程资产管理服务
CN110109427A (zh) 基于最小特权的过程控制软件安全架构
JP2006099777A (ja) レガシー・オートメーション・システムのための集中管理プロキシ・ベースのセキュリティ
CN109690545A (zh) Plc虚拟补丁和安全上下文的自动分发
US10805304B2 (en) Edge server and management server
CN106227158B (zh) 用于工业控制基础设施的快速配置安防系统
CN110390184A (zh) 用于在云中执行应用的方法、装置和计算机程序产品
JP2021096834A (ja) 構成エンジニアリングおよびランタイムアプリケーションの人プロファイルおよび指紋認証
CN112261658B (zh) 终端和终端使用的方法
EP3667526A1 (en) Rapid file authentication on automation devices
CN112260985B (zh) 终端安全管控设备及终端安全管控方法
JP2021051740A (ja) モバイルデバイスによるプロセス制御データのセキュアなオフプレミスアクセス
CN110266666A (zh) 一种基于工业互联网的安全管理方法及系统
CN113625664B (zh) 通过零接触注册的自动端点安全策略分配
Hollerer et al. Challenges in ot security and their impacts on safety-related cyber-physical production systems

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
CB02 Change of applicant information
CB02 Change of applicant information

Address after: 451162 building 7, intersection of Huaxia Avenue and Donghai Road, hanghanggang District, Zhengzhou City, Henan Province

Applicant after: Fulian intelligent workshop (Zhengzhou) Co.,Ltd.

Address before: 451162 room 320, 3rd floor, Yufa Lanshan mansion, 100m east of the intersection of Zhenggang 6th Road and Zhenggang 2nd Street, HANGGANG District, Zhengzhou City, Henan Province

Applicant before: Zhengzhou Fulian intelligent workshop Co.,Ltd.

GR01 Patent grant
GR01 Patent grant