CN114253579A - 一种基于白名单机制的软件更新方法、装置及介质 - Google Patents

Abstract

本申请公开了一种基于白名单机制的软件更新方法、装置及介质，涉及软件更新领域。通过发送第一指令至第一客户端，以用于第一客户端执行预设更新文件并生成哈希值和更新文件信息；根据接收到的哈希值和更新文件信息生成白名单更新策略；下发白名单更新策略至其他客户端，以用于客户端根据白名单更新策略更新白名单并进行预设更新文件的更新。由此可见，上述技术方案中，通过预先允许一个客户端进行更新升级，获取到更新文件的信息生成白名单更新策略并下发至其他客户端；其他客户端根据白名单更新策略更新白名单，使白名单中包含了该更新文件的信息，从而在进行更新时能够通过与白名单的匹配，实现了软件更新。

Description

一种基于白名单机制的软件更新方法、装置及介质

技术领域

本申请涉及软件更新领域，特别是涉及一种基于白名单机制的软件更新方法、装置及介质。

背景技术

工控主机白名单，是一种目前市场常见的工控环境下的主机防护软件，由客户端与服务端构成。工控主机白名单客户端通常运行于Windows系统中，采用白名单机制进行防护，全盘扫描所有文件哈希值(HASH)并将其加入白名单，进入防护模式后，工控主机白名单监测系统文件执行动作，并将执行的文件与白名单进行匹配，如匹配失败，意味着该文件为外来未授权文件，系统将对其拦截，从而避免外来恶意程序入侵等风险。该模式下，不能对主机上的软件和操作系统进行更新，一旦更新将造成文件HASH值变化，从而无法匹配白名单，更新后的软件甚至操作系统进程将被工控主机白名单拦截，造成严重后果。如必须更新，需要管理员撤销白名单防护策略后进行软件更新，更新完成后重新进行白名单扫描。该方法需先关闭安全策略，此阶段可能带来安全风险。同时，需要管理员手动进行重新扫描操作，如有大批量主机需要更新，需要人工量极大，且扫描过程中系统资源消耗较大，将对生产业务造成影响。

由于以上原因，现有工控主机白名单的应用场景中，用户通常难以进行及时的软件与系统更新，无法使用新版本软件的功能，可能遭受旧版软件的缺陷与风险影响。

鉴于上述问题，设计一种基于白名单机制的软件更新方法，是该领域技术人员亟待解决的问题。

发明内容

本申请的目的是提供一种基于白名单机制的软件更新方法、装置及介质，实现白名单机制下的软件更新。

为解决上述技术问题，本申请提供一种基于白名单机制的软件更新方法，应用于服务端，包括：

发送第一指令至第一客户端，以用于所述第一客户端执行预设更新文件并生成哈希值和更新文件信息；

接收所述第一客户端发送的所述哈希值和所述更新文件信息，并根据接收到的所述哈希值和所述更新文件信息生成白名单更新策略；

下发所述白名单更新策略至其他客户端，以用于所述客户端根据所述白名单更新策略更新白名单并执行所述预设更新文件。

优选地，在所述下发所述白名单更新策略至其他客户端之前，还包括：

发送所述白名单更新策略至第二客户端，以用于所述第二客户端根据所述白名单更新策略更新所述白名单；

发送第二指令至第二客户端，以用于所述第二客户端执行所述预设更新文件并开启告警功能；

判断是否获取到告警文件和所述告警文件的信息；其中，所述告警文件和所述告警文件的信息为所述第二客户端执行所述预设更新文件时触发告警生成；

若否，进入到所述下发所述白名单更新策略至其他客户端的步骤；

若是，根据所述告警文件的信息将所述告警文件加入所述白名单的放行目录，以用于所述告警文件不参与所述白名单匹配；

更新所述白名单更新策略，返回至所述发送所述白名单更新策略至第二客户端的步骤。

优选地，在所述下发所述白名单更新策略至其他客户端之后，还包括：

接收其他客户端发送的所述白名单更新完成的信息。

优选地，所述更新文件信息包括文件名和文件路径。

优选地，所述第一客户端生成所述哈希值的过程包括如下步骤：

通过Windows Hook API记录执行所述预设更新文件时生成的修改文件；

根据所述修改文件生成所述哈希值。

为解决上述技术问题，本申请还提供另一种基于白名单机制的软件更新方法，应用于第一客户端，包括：

接收第一指令；

根据所述第一指令执行预设更新文件并生成哈希值和更新文件信息；

发送所述哈希值和所述更新文件信息至服务端，以用于所述服务端根据所述哈希值和所述更新文件信息生成白名单更新策略，并下发所述白名单更新策略至其他客户端以执行所述预设更新文件。

为解决上述技术问题，本申请还提供一种基于白名单机制的软件更新装置，包括：

第一发送模块，用于发送第一指令至第一客户端，以用于所述第一客户端执行预设更新文件并生成哈希值和更新文件信息；

接收模块，用于接收所述第一客户端发送的所述哈希值和所述更新文件信息；

生成模块，用于根据接收到的所述哈希值和所述更新文件信息生成白名单更新策略；

第二发送模块，用于下发所述白名单更新策略至其他客户端，以用于所述客户端根据所述白名单更新策略更新白名单并执行所述预设更新文件。

为解决上述技术问题，本申请还提供另一种基于白名单机制的软件更新装置，包括：

接收模块，用于接收第一指令；

生成模块，用于根据所述第一指令执行预设更新文件并生成哈希值和更新文件信息；

发送模块，用于发送所述哈希值和所述更新文件信息至服务端，以用于所述服务端根据所述哈希值和所述更新文件信息生成白名单更新策略，并下发所述白名单更新策略至其他客户端以执行所述预设更新文件。

为解决上述技术问题，本申请还提供另一种基于白名单机制的软件更新装置，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现上述所述的基于白名单机制的软件更新方法的步骤。

为解决上述技术问题，本申请还提供一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现上述所述的基于白名单机制的软件更新方法的步骤。

本申请所提供的一种基于白名单机制的软件更新方法，通过发送第一指令至第一客户端，以用于第一客户端执行预设更新文件并生成哈希值和更新文件信息；根据接收到的哈希值和更新文件信息生成白名单更新策略；下发白名单更新策略至其他客户端，以用于客户端根据白名单更新策略更新白名单并进行预设更新文件的更新。由此可见，上述技术方案中，通过预先允许一个客户端进行更新升级，获取到更新文件的信息生成白名单更新策略并下发至其他客户端；其他客户端根据白名单更新策略更新白名单，使白名单中包含了该更新文件的信息，从而在进行更新时能够通过与白名单的匹配，实现了软件更新。

此外，本申请还提供了一种基于白名单机制的软件更新装置及计算机可读存储介质，效果同上。

附图说明

为了更清楚地说明本申请实施例，下面将对实施例中所需要使用的附图做简单的介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例提供的一种基于白名单机制的软件更新方法的流程图；

图2为本申请实施例提供的另一种基于白名单机制的软件更新方法的流程图；

图3为本申请实施例提供的另一种基于白名单机制的软件更新方法的流程图；

图4为本申请实施例提供的一种基于白名单机制的软件更新装置的结构示意图；

图5为本申请实施例提供的另一种基于白名单机制的软件更新装置的结构示意图；

图6为本申请实施例提供的另一种基于白名单机制的软件更新装置的结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下，所获得的所有其他实施例，都属于本申请保护范围。

本申请的核心是提供一种基于白名单机制的软件更新方法、装置及介质，实现白名单机制下的软件更新。

为了使本技术领域的人员更好地理解本申请方案，下面结合附图和具体实施方式对本申请作进一步的详细说明。

图1为本申请实施例提供的一种基于白名单机制的软件更新方法的流程图。本申请中的基于白名单机制的软件更新方法主要应用在工控系统中。可以理解的是，工控主机白名单，是一种目前市场常见的工控环境下的主机防护软件，由客户端与服务端构成。工控主机白名单客户端通常运行于Windows系统中，采用白名单机制进行防护，全盘扫描所有文件HASH并将其加入白名单，进入防护模式后，工控主机白名单监测系统文件执行动作，并将执行的文件与白名单进行匹配，如匹配失败，意味着该文件为外来未授权文件，系统将对其拦截，从而避免外来恶意程序入侵等风险。工控主机白名单服务端与客户端保持网络通信，可以实时监测客户端及其主机运行状态，并可进行策略下发，一个服务端对应多个客户端。因此如图1所示，在本实施例中方法应用于服务端，包括：

S10：发送第一指令至第一客户端，以用于第一客户端执行预设更新文件并生成哈希值和更新文件信息。

S11：接收第一客户端发送的哈希值和更新文件信息。

S12：根据接收到的哈希值和更新文件信息生成白名单更新策略。

S13：下发白名单更新策略至其他客户端，以用于客户端根据白名单更新策略更新白名单并执行预设更新文件。

可以理解的是，工控主机白名单通常有防护模式、审计模式、学习模式等工作模式。防护模式下，客户端所有程序运行前将与白名单进行匹配，发现非白名单程序运行时将自动拦截，不允许程序运行；审计模式下，非白名单程序运行将告警但不拦截，允许程序运行；而学习模式下，非白名单程序运行将不做拦截和告警，但将监控所有文件修改和新建的行为，并计算新文件的HASH值后自动加入白名单。HASH值，即哈希值，是把任意长度的输入通过散列算法变换成固定长度的输出。哈希值常常被用来判断两个文件是否相同，即通过比较两个文件的哈希值是否一致，以此判断文件在传输过程中是否被损坏。

因此为了实现客户端的软件更新，首先客户端发送第一指令至第一客户端，开启白名单的学习模式，第一客户端被允许执行预设更新文件。第一客户端是服务端对应的多个客户端中的一个，没有特殊限制，可以根据实施情况具体选择。具体地，第一客户端拷贝软件更新包，并执行更新安装，即对目标软件进行更新。在更新过程中，第一客户端根据执行的预设更新文件生成该文件唯一的哈希值，以及更新文件的信息。本实施例中对于第一客户端生成哈希值的方式不做限制，根据具体的实施方式而定；对于更新文件信息具体包含的信息内容不做限制，可以包括文件名称，文件路径，文件生成时间等，根据具体的实施情况而定。

第一客户端执行更新文件后，服务端接收第一客户端生成的哈希值和更新文件信息，根据该哈希值生成白名单更新策略。白名单更新策略即制定的工控系统白名单的更新方法，具体为更新白名单中预设更新文件的信息，包括预设更新文件的哈希值和更新文件信息，使白名单更新后在客户端上允许该预设更新文件的执行。在得到白名单更新策略后下发白名单更新策略至其他客户端，就可以使除第一客户端之外的其他客户端更新白名单，从而能够执行预设更新文件，对软件进行更新升级。

本实施例中，通过发送第一指令至第一客户端，以用于第一客户端执行预设更新文件并生成哈希值和更新文件信息；根据接收到的哈希值和更新文件信息生成白名单更新策略；下发白名单更新策略至其他客户端，以用于客户端根据白名单更新策略更新白名单并进行预设更新文件的更新。由此可见，上述技术方案中，通过预先允许一个客户端进行更新升级，获取到更新文件的信息生成白名单更新策略并下发至其他客户端；其他客户端根据白名单更新策略更新白名单，使白名单中包含了该更新文件的信息，从而在进行更新时能够通过与白名单的匹配，实现了软件更新。

图2为本申请实施例提供的另一种基于白名单机制的软件更新方法的流程图。为了确保通过白名单更新策略更新后的白名单能够允许预设更新文件在各客户端的执行，在下发白名单更新策略至其他客户端之前，即在步骤S13之前，如图2所示，方法还包括：

S14：发送白名单更新策略至第二客户端，以用于第二客户端根据白名单更新策略更新白名单。

S15：发送第二指令至第二客户端，以用于第二客户端执行预设更新文件并开启告警功能。

S16：判断是否获取到告警文件和告警文件的信息；其中，告警文件和告警文件的信息为第二客户端执行预设更新文件时触发告警生成；若否，进入到步骤S13；若是，进入到步骤S17。

S17：根据告警文件的信息将告警文件加入白名单的放行目录，以用于告警文件不参与白名单匹配。

S18：更新白名单更新策略，返回至步骤S14。

可以理解的是，由于第一客户端在获取预设的更新文件或在执行安装时，文件可能会与其他客户端的更新出现差别，导致根据生成的哈希值和更新文件信息得到的白名单更新策略对其他客户端的白名单进行更新后，在防护模式下还是无法实现预设软件的更新。因此在将白名单更新策略下发之前，还要确保通过白名单更新策略更新后的白名单能够允许预设更新文件在各客户端的执行。

在具体实施中，发送白名单更新策略至第二客户端，对于第二客户端没有特殊限制，只需保证与第一客户端不是同一个客户端即可。第二客户端接收到白名单更新策略后更新白名单。服务端发送第二指令至第二客户端，以开启白名单的审计模式，使得非白名单程序运行将告警但不拦截，允许程序运行，即使第二客户端执行预设更新文件并开启告警功能。服务端判断是否获取到告警文件和告警文件的信息，这里的告警文件和告警文件的信息是第二客户端判断软件更新后触发了安全告警得到；这里的告警文件的信息包含但不限于文件的告警文件存在的目录，在这里不做限制。如果服务端没有获取到告警文件和告警文件的信息，即第二客户端在软件更新时没有触发安全告警，则确认该白名单更新策略能够允许预设更新文件在各客户端的执行，进入到步骤S13，即下发白名单更新策略至其他客户端的步骤。

需要注意的是，如果服务端获取到告警文件和告警文件的信息，即第二客户端在软件更新时触发了安全告警，表明根据白名单更新策略更新的白名单在防护模式下还是无法允许其他客户端对预设软件的更新。因此，服务端根据告警文件的信息将告警文件加入白名单的放行目录。可以理解的是，工控主机白名单有放行目录功能，放行目录下的文件执行时，无论该文件是否在白名单内，均不会进行告警和拦截。这样能够使告警文件在执行时不参与白名单匹配，实现对预设软件的更新。在将告警文件放入放行目录后更新白名单更新策略，使其更新放行目录；再返回至步骤S14，对白名单下预设软件的更新进行再次验证。

此外，在将告警文件放入放行目录后更新白名单更新策略，使其更新放行目录后，还可以将更新后的白名单更新策略下发至第三客户端，以此对白名单是否允许预设更新文件的执行进行再次确定；相应的，也可以将更新后的白名单同时发给多个客户端进行确认，对此不做限制，根据具体的实施情况。

本实施例中，通过发送白名单更新策略和第二指令至第二客户端，使其执行预设更新文件并开启告警功能。当判断到第二客户端触发告警时，将触发告警的文件加入白名单的放行目录，以用于告警文件不参与白名单匹配。更新白名单更新策略后再进入下发策略至其他客户端的步骤，确保了通过白名单更新策略更新后的白名单能够允许预设更新文件在各客户端的执行。

如图2所示，为了获知客户端的白名单是否均更新完成，在下发白名单更新策略至其他客户端之后，即步骤S13之后，方法还包括：

S19：接收其他客户端发送的白名单更新完成的信息。

可以理解的是，服务端下发白名单更新策略至其他的客户端，各客户端根据白名单更新策略对白名单进行更新。在具体实施过程中，客户端的白名单更新后将更新完成的信息返回至服务端，使服务端确认客户端的白名单已更新。

本实施例中，通过接收其他客户端发送的白名单更新完成的信息，实现了获知客户端的白名单是否均更新完成。

在上述实施例的基础上：

作为一种优选的实施例，更新文件信息包括文件名和文件路径。

可以理解的是，预设更新文件在执行时会存在固有的文件名和文件安装路径。考虑到需要生成白名单更新策略，以及第一客户端在安装预设更新文件时可能会对更新文件做出部分修改，例如文件名和文件路径。因此更新文件信息包括文件名和文件路径，并同哈希值共同生成白名单更新策略，以实现白名单的更新和预设软件的更新。

本实施例中，更新文件信息包括文件名和文件路径，使得服务端在生成白名单更新策略时能够根据预设更新文件的名称和路径进行相应的设置。

在上述实施例的基础上：

作为一种优选的实施例，第一客户端生成哈希值的过程包括如下步骤：

通过Windows Hook API记录执行预设更新文件时生成的修改文件；

根据修改文件生成哈希值。

可以理解的是，挂钩(Hook)是Windows系统中提供的一种用以替换磁盘操作系统(Disk Operating System，DOS)下“中断”的系统机制，在对特定的系统事件进行hook后，一旦发生已hook事件，对该事件进行hook的程序就会收到系统的通知，这时程序就能在第一时间对该事件做出响应。因此对于第一客户端，在对预设更新文件进行安装时，通过Windows系统的Hook应用程序接口(Application Programming Interface，API)能够记录执行预设更新文件时生成的文件和修改的文件。第一客户端再根据所有修改的文件和新建的文件获取到哈希值，并发送给服务端。

本实施例中，第一客户端通过Windows Hook API记录执行预设更新文件时生成的修改文件，从而根据修改文件生成哈希值，十分便捷。

图3为本申请实施例提供的另一种基于白名单机制的软件更新方法的流程图。如图3所示，方法应用于第一客户端，包括：

S20：接收第一指令。

S21：根据第一指令执行预设更新文件并生成哈希值和更新文件信息。

S22：发送哈希值和更新文件信息至服务端，以用于服务端根据哈希值和更新文件信息生成白名单更新策略，并下发白名单更新策略至其他客户端以执行预设更新文件。

本实施例中，通过接收第一指令，根据第一指令执行预设更新文件并生成哈希值和更新文件信息；发送哈希值和更新文件信息至服务端，以用于服务端根据哈希值和更新文件信息生成白名单更新策略，并下发白名单更新策略至其他客户端以执行预设更新文件。由此可见，上述技术方案中，通过预先允许一个客户端进行更新升级，获取到更新文件的信息生成白名单更新策略并下发至其他客户端；其他客户端根据白名单更新策略更新白名单，使白名单中包含了该更新文件的信息，从而在进行更新时能够通过与白名单的匹配，实现了软件更新。

在上述实施例中，对于基于白名单机制的软件更新方法进行了详细描述，本申请还提供基于白名单机制的软件更新装置对应的实施例。需要说明的是，本申请从两个角度对装置部分的实施例进行描述，一种是基于功能模块的角度，另一种是基于硬件结构的角度。

图4为本申请实施例提供的一种基于白名单机制的软件更新装置的结构示意图。如图4所示，基于白名单机制的软件更新装置包括：

第一发送模块10，用于发送第一指令至第一客户端，以用于第一客户端执行预设更新文件并生成哈希值和更新文件信息。

接收模块11，用于接收第一客户端发送的哈希值和更新文件信息。

生成模块12，用于根据接收到的哈希值和更新文件信息生成白名单更新策略。

第二发送模块13，用于下发白名单更新策略至其他客户端，以用于客户端根据白名单更新策略更新白名单并执行预设更新文件。

本实施例所提供的基于白名单机制的软件更新装置，通过发送第一指令至第一客户端，以用于第一客户端执行预设更新文件并生成哈希值和更新文件信息；根据接收到的哈希值和更新文件信息生成白名单更新策略；下发白名单更新策略至其他客户端，以用于客户端根据白名单更新策略更新白名单并进行预设更新文件的更新。由此可见，上述技术方案中，通过预先允许一个客户端进行更新升级，获取到更新文件的信息生成白名单更新策略并下发至其他客户端；其他客户端根据白名单更新策略更新白名单，使白名单中包含了该更新文件的信息，从而在进行更新时能够通过与白名单的匹配，实现了软件更新。

图5为本申请实施例提供的另一种基于白名单机制的软件更新装置的结构示意图。如图5所示，基于白名单机制的软件更新装置包括：

接收模块14，用于接收第一指令。

生成模块15，用于根据第一指令执行预设更新文件并生成哈希值和更新文件信息。

发送模块16，用于发送哈希值和更新文件信息至服务端，以用于服务端根据哈希值和更新文件信息生成白名单更新策略，并下发白名单更新策略至其他客户端以执行预设更新文件。

本实施例所提供的基于白名单机制的软件更新装置，通过接收第一指令，根据第一指令执行预设更新文件并生成哈希值和更新文件信息；发送哈希值和更新文件信息至服务端，以用于服务端根据哈希值和更新文件信息生成白名单更新策略，并下发白名单更新策略至其他客户端以执行预设更新文件。由此可见，上述技术方案中，通过预先允许一个客户端进行更新升级，获取到更新文件的信息生成白名单更新策略并下发至其他客户端；其他客户端根据白名单更新策略更新白名单，使白名单中包含了该更新文件的信息，从而在进行更新时能够通过与白名单的匹配，实现了软件更新。

图6为本申请实施例提供的另一种基于白名单机制的软件更新装置的结构示意图，如图6所示，基于白名单机制的软件更新装置包括：

存储器20，用于存储计算机程序。

处理器21，用于执行计算机程序时实现如上述实施例中所提到的基于白名单机制的软件更新的方法的步骤。

本实施例提供的基于白名单机制的软件更新装置可以包括但不限于智能手机、平板电脑、笔记本电脑或台式电脑等。

其中，处理器21可以包括一个或多个处理核心，比如4核心处理器、8核心处理器等。处理器21可以采用DSP(Digital Signal Processor，数字信号处理器)、FPGA(Field－Programmable Gate Array，现场可编程门阵列)、PLA(Programmable Logic Array，可编程逻辑阵列)中的至少一种硬件形式来实现。处理器21也可以包括主处理器和协处理器，主处理器是用于对在唤醒状态下的数据进行处理的处理器，也称CPU(Central ProcessingUnit，中央处理器)；协处理器是用于对在待机状态下的数据进行处理的低功耗处理器。在一些实施例中，处理器21可以在集成有GPU(Graphics Processing Unit，图像处理器)，GPU用于负责显示屏所需要显示的内容的渲染和绘制。一些实施例中，处理器21还可以包括AI(Artificial Intelligence，人工智能)处理器，该AI处理器用于处理有关机器学习的计算操作。

存储器20可以包括一个或多个计算机可读存储介质，该计算机可读存储介质可以是非暂态的。存储器20还可包括高速随机存取存储器，以及非易失性存储器，比如一个或多个磁盘存储设备、闪存存储设备。本实施例中，存储器20至少用于存储以下计算机程序201，其中，该计算机程序被处理器21加载并执行之后，能够实现前述任一实施例公开的基于白名单机制的软件更新方法的相关步骤。另外，存储器20所存储的资源还可以包括操作系统202和数据203等，存储方式可以是短暂存储或者永久存储。其中，操作系统202可以包括Windows、Unix、Linux等。数据203可以包括但不限于基于白名单机制的软件更新方法涉及到的数据。

在一些实施例中，基于白名单机制的软件更新装置还可包括有显示屏22、输入输出接口23、通信接口24、电源25以及通信总线26。

本领域技术人员可以理解，图6中示出的结构并不构成对基于白名单机制的软件更新装置的限定，可以包括比图示更多或更少的组件。

最后，本申请还提供一种计算机可读存储介质对应的实施例。计算机可读存储介质上存储有计算机程序，计算机程序被处理器执行时实现如上述方法实施例(可以是服务端侧对应的方法、也可以是客户端侧对应的方法，还可以是服务端侧和客户端侧对应的方法)中记载的步骤。

可以理解的是，如果上述实施例中的方法以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上对本申请所提供的一种基于白名单机制的软件更新方法、装置及介质进行了详细介绍。说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以对本申请进行若干改进和修饰，这些改进和修饰也落入本申请权利要求的保护范围内。

还需要说明的是，在本说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims (10)

1.一种基于白名单机制的软件更新方法，其特征在于，应用于服务端，包括：

发送第一指令至第一客户端，以用于所述第一客户端执行预设更新文件并生成哈希值和更新文件信息；

接收所述第一客户端发送的所述哈希值和所述更新文件信息，并根据接收到的所述哈希值和所述更新文件信息生成白名单更新策略；

下发所述白名单更新策略至其他客户端，以用于所述客户端根据所述白名单更新策略更新白名单并执行所述预设更新文件。

2.根据权利要求1所述的基于白名单机制的软件更新方法，其特征在于，在所述下发所述白名单更新策略至其他客户端之前，还包括：

发送所述白名单更新策略至第二客户端，以用于所述第二客户端根据所述白名单更新策略更新所述白名单；

发送第二指令至第二客户端，以用于所述第二客户端执行所述预设更新文件并开启告警功能；

判断是否获取到告警文件和所述告警文件的信息；其中，所述告警文件和所述告警文件的信息为所述第二客户端执行所述预设更新文件时触发告警生成；

若否，进入到所述下发所述白名单更新策略至其他客户端的步骤；

若是，根据所述告警文件的信息将所述告警文件加入所述白名单的放行目录，以用于所述告警文件不参与所述白名单匹配；

更新所述白名单更新策略，返回至所述发送所述白名单更新策略至第二客户端的步骤。

3.根据权利要求2所述的基于白名单机制的软件更新方法，在所述下发所述白名单更新策略至其他客户端之后，还包括：

接收其他客户端发送的所述白名单更新完成的信息。

4.根据权利要求3所述的基于白名单机制的软件更新方法，其特征在于，所述更新文件信息包括文件名和文件路径。

5.根据权利要求1至4任意一项所述的基于白名单机制的软件更新方法，其特征在于，所述第一客户端生成所述哈希值的过程包括如下步骤：

通过Windows Hook API记录执行所述预设更新文件时生成的修改文件；

根据所述修改文件生成所述哈希值。

6.一种基于白名单机制的软件更新方法，其特征在于，应用于第一客户端，包括：

接收第一指令；

根据所述第一指令执行预设更新文件并生成哈希值和更新文件信息；

发送所述哈希值和所述更新文件信息至服务端，以用于所述服务端根据所述哈希值和所述更新文件信息生成白名单更新策略，并下发所述白名单更新策略至其他客户端以执行所述预设更新文件。

7.一种基于白名单机制的软件更新装置，其特征在于，包括：

第一发送模块，用于发送第一指令至第一客户端，以用于所述第一客户端执行预设更新文件并生成哈希值和更新文件信息；

接收模块，用于接收所述第一客户端发送的所述哈希值和所述更新文件信息；

生成模块，用于根据接收到的所述哈希值和所述更新文件信息生成白名单更新策略；

第二发送模块，用于下发所述白名单更新策略至其他客户端，以用于所述客户端根据所述白名单更新策略更新白名单并执行所述预设更新文件。

8.一种基于白名单机制的软件更新装置，其特征在于，包括：

接收模块，用于接收第一指令；

生成模块，用于根据所述第一指令执行预设更新文件并生成哈希值和更新文件信息；

发送模块，用于发送所述哈希值和所述更新文件信息至服务端，以用于所述服务端根据所述哈希值和所述更新文件信息生成白名单更新策略，并下发所述白名单更新策略至其他客户端以执行所述预设更新文件。

9.一种基于白名单机制的软件更新装置，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至6任一项所述的基于白名单机制的软件更新方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至6任一项所述的基于白名单机制的软件更新方法的步骤。

Images