CN116097259A - 计算机文件元数据分割安全系统 - Google Patents

Abstract

提供了一种用于数字文件的协作安全增强系统。计算设备检测数字文件给定设备组中的源设备和目标设备之间的传输。计算设备为所传输的数字文件生成唯一标识符(UID)。计算设备指示与数字文件有关的信息被存储在与数字文件相关联的记录中，其中该信息包括：(i)该源设备的标识，(ii)该目标设备的标识；和(iii)所生成的UID。计算设备识别数字文件已被污染。响应于识别该数字文件已被污染，该计算设备至少部分地基于所存储的信息来识别污染的源。

Description

计算机文件元数据分割安全系统

技术领域

本发明通常涉及安全系统领域，尤其涉及由安全系统监视计算机文件。

背景技术

数字世界的迅速发展使得用户通过网络交换数字文件内容的能力得到了丰富。通常，这些文件内容可能包含恶意软件，该恶意软件阻碍了计算机系统的功能而无法识别恶意软件的源。

发明内容

本发明的实施例提供了一种方法、系统和计算机程序产品。

第一实施例包括一种用于数字文件的协作安全增强的方法。一个或多个处理器检测数字文件在给定设备组中的源设备和目标设备之间的传输。一个或多个处理器为所传输的数字文件生成唯一标识符(UID)。一个或多个处理器指示将与数字文件有关的信息存储在与数字文件相关联的记录中，其中该信息包括：(i)源设备的标识，(ii)目标设备的标识；以及(iii)所生成的UID。一个或多个处理器识别数字文件已被污染。一个或多个处理器响应于识别出数字文件已被污染，至少部分地基于所存储的信息来识别污染的源。

第二实施例包括一种用于数字文件的协作安全增强的计算机程序产品。该计算机程序产品包括一个或多个计算机可读存储介质和存储在该一个或多个计算机可读存储介质上的程序指令。该程序指令包括用于检测数字文件在给定设备组中的源设备和目标设备之间的传输的程序指令。该程序指令包括用于为所传输的数字文件生成唯一标识符(UID)的程序指令。该程序指令包括用于指示与数字文件有关的信息被存储在与数字文件相关联的记录中的程序指令，其中该信息包括：(i)源设备的标识，(ii)目标设备的标识；以及(iii)所生成的UID。该程序指令包括用于识别数字文件已被污染的程序指令。该程序指令包括用于响应于识别出数字文件已被污染而至少部分地基于所存储的信息来识别污染的源的程序指令。

第三实施例包括一种用于数字文件的协作安全增强的计算机系统。该计算机系统包括一个或多个计算机处理器、一个或多个计算机可读存储介质、以及存储在计算机可读存储介质上以由一个或多个处理器中的至少一个处理器执行的程序指令。该程序指令包括用于检测数字文件在给定设备组中的源设备和目标设备之间的传输的程序指令。该程序指令包括用于为所传输的数字文件生成唯一标识符(UID)的程序指令。该程序指令包括用于指示与数字文件有关的信息被存储在与数字文件相关联的记录中的程序指令，其中该信息包括：(i)源设备的标识，(ii)目标设备的标识；以及(iii)所生成的UID。该程序指令包括用于识别数字文件已被污染的程序指令。该程序指令包括用于响应于识别出数字文件已被污染而至少部分地基于所存储的信息来识别污染的源的程序指令。

附图说明

图1是示出根据本发明的示例性实施例的计算环境的功能框图，其中计算设备通过元数据回溯来识别被污染的数字文件。

图2示出了根据本发明的示例性实施例在图1的环境内的计算设备上执行用于生成防病毒动作的系统的操作过程。

图3描绘了示出了根据本发明的示例性实施例在图1的环境内的用户之间传输一个或多个文档的框图。

图4描绘了根据本发明的至少一个实施例的云计算环境。

图5描绘了根据本发明的至少一个实施例的抽象模型层。

图6描绘了根据本发明的示例性实施例的图1所示的计算环境内的一个或多个计算设备的部件的框图。

具体实施方式

本文参考附图公开了本发明的详细实施例。应当理解的是，所公开的实施例仅是本发明的潜在实施例的说明，并且可以采取各种形式。此外，结合各种实施例给出的每个示例旨在是说明性的，而非限制性的。此外，附图不一定按比例绘制，并且一些特征可能被放大以显示特定部件的细节。因此，本文公开的特定结构和功能细节不应被解释为限制性的，而仅作为用于教导本领域技术人员以各种方式使用本发明的代表性基础。

说明书中对“一个实施例”、“实施例”、“实施例的示例”等的引用指示所描述的实施例可以包括特定特征、结构或特性，但是每个实施例可以不一定包括该特定特征、结构或特性。此外，这种短语不一定指相同的实施例。此外，当结合实施例描述特定特征、结构或特性时，认为结合其它实施例来影响这种特征、结构或特性是在本领域技术人员的知识范围内的，无论是否明确描述。

本发明的实施例认识到，在现代化的数字环境中，用户能够通过网络在计算机系统之间交换大量的数字文件，其中数字文件可能潜在地包含污染。本发明的实施例还认识到，数字文件可通过社交媒体平台或电子邮件服务器等来共享。此外，本发明的实施例认识到扫描和分析文件的污染并在必要时去除污染并且通知用户污染源以及哪些文件可能被破坏的重要性。

本发明的实施例认识到，用户可能不会意识到文件包含污染，因为例如防病毒软件或病毒签名可能未被正确地更新。通常，在从用户的计算机系统共享数字文件并且另一用户的计算机系统被破坏或者防病毒程序识别出污染之前，用户可能不会意识到污染。本发明的实施例提供了一种用于回溯和识别污染源的更有效和高效的系统。此外，本发明的实施例提供了分析数字文件的元数据并主动通知源以防止污染的进一步扩散以及传达被破坏的数字文件已经与其他用户共享的位置。

本发明的实施例提供了对计算机系统安全的已知解决方案的技术改进。本发明的实施例提供了通过提供更安全和有效的系统来改进传统系统的服务器和系统，从而减少了当污染破坏服务器和系统时这些服务器和系统的停机时间。

现在将参考附图对本发明进行详细描述。

图1是示出根据本发明一个实施例的计算环境(通常指定为100)的功能框图。计算环境100包括通过网络110连接的计算机系统120、客户端设备130、客户端设备136、客户端设备138和存储区域网络(SAN)140。计算机系统120包括安全响应程序122和计算机接口124。客户端设备130包括客户端应用132和客户端接口134。存储区域网络(SAN)140包括服务器应用142和数据库144。

在本发明的各种实施例中，计算机系统120是计算设备，其可以是独立的设备、服务器、笔记本电脑、平板计算机、上网本计算机、个人计算机(PC)、个人数字助理(PDA)、台式计算机或能够接收、发送和处理数据的任何可编程电子设备。通常，计算机系统120表示能够执行机器可读程序指令并与各种其它计算机系统(未显示)通信的任何可编程电子设备或可编程电子设备的组合。在另一实施例中，计算机系统120表示利用集群计算机和部件充当单个无缝资源池的计算系统。通常，计算机系统120可以是能访问各种其它计算系统(未显示)的任何计算设备或设备的组合，并且能够执行安全响应程序122和计算机接口124。计算机系统120可以包括内部和外部硬件部件，如关于图6进一步详细描述的。

在该示例性实施例中，安全响应程序122和计算机接口124存储在计算机系统120上。然而，在其他实施例中，安全响应程序122和计算机接口124被存储在外部并通过诸如网络110的通信网络来访问。网络110可以是例如局域网(LAN)、诸如因特网的广域网(WAN)或两者的组合，并且可以包括有线、无线、光纤或本领域已知的任何其它连接。通常，根据本发明的期望实施例，网络110可以是支持计算机系统120、客户端设备130和SAN 140以及各种其他计算机系统(未显示)之间的通信的连接和协议的任何组合。

在图1所描绘的实施例中，安全响应程序122至少部分地访问客户端应用132，并且可以将存储在计算机系统120上的数据传达到客户端设备130、SAN 140以及各种其他计算机系统(未显示)。更具体地说，安全响应程序122定义了能够访问存储在客户端设备130和/或数据库144上的数据的计算机系统120的用户。

为了说明的简单，在图1中描绘了安全响应程序122。在本发明的各种实施例中，安全响应程序122表示在计算机系统120上执行的逻辑操作，其中计算机接口124管理查看根据安全响应程序122管理和执行的这些逻辑操作的能力。在一些实施例中，安全响应程序122表示处理和分析输入和输出(I/O)的认知AI系统。此外，安全响应程序122在执行认知AI处理时，进行操作以从被分析的I/O中学习，并用一组程序指令生成防病毒动作以供用户从存储在客户端设备130上的数字文件中去除污染。

计算机系统120包括计算机接口124。计算机接口124提供计算机系统120、客户端设备130和SAN 140之间的接口。在一些实施例中，计算机接口124可以是图形用户界面(GUI)或web用户界面(WUI)，并且可以显示文本、文档、web浏览器、窗口、用户选项、应用界面和操作指令，并且包括程序呈现给用户的信息(诸如图形、文本和声音)以及用户用来控制程序的控制序列。在一些实施例中，计算机系统120经由在计算机系统120上运行的基于客户端的应用访问从客户端设备130和/或SAN 140传达的数据。例如，计算机系统120包括移动应用软件，其提供计算机系统120、客户端设备130和SAN140之间的接口。在各种实施例中，计算机系统120将GUI或WUI传达到客户端设备130，以便由客户端设备130的用户指示和使用。

在各种实施例中，客户端设备130是计算设备，其可以是独立的设备、服务器、笔记本电脑、平板计算机、上网本计算机、个人计算机(PC)、个人数字助理(PDA)、台式计算机或能够接收、发送和处理数据的任何可编程电子设备。通常，计算机系统120表示能够执行机器可读程序指令并与各种其它计算机系统(未显示)通信的任何可编程电子设备或可编程电子设备的组合。在另一实施例中，计算机系统120表示利用集群计算机和部件充当单个无缝资源池的计算系统。通常，计算机系统120可以是能够访问各种其他计算系统(未显示)的任何计算设备或设备的组合，并且能够执行客户端应用132和客户端接口134。客户端设备130可以包括内部和外部硬件部件，如关于图6进一步详细描述的。

为了说明的简单，在图1中描绘了客户端应用132。在本发明的各种实施例中，客户端应用132表示在客户端设备130上执行的逻辑操作，其中客户端接口134管理查看这些各种实施例的能力，客户端应用132定义了可以访问存储在计算机系统120和/或数据库144上的数据的客户端设备130的用户。

存储区域网络(SAN)140是包括服务器应用142和数据库144的存储系统。SAN 140可以包括一个或多个，但不限于计算设备、服务器、服务器群集、web服务器、数据库和存储设备。SAN 140进行操作以通过诸如网络110的网络与计算机系统120、客户端设备130和各种其他计算设备(未显示)通信。例如，SAN 140与安全响应程序122通信以在计算机系统120、客户端设备130和未连接到网络110的各种其他计算设备(未显示)之间传输数据。SAN140可以是任何计算设备或通信地连接到本地IoT网络(即包括但不限于计算机系统120和客户端设备130的各种计算设备的网络)的设备的组合，以提供本文所描述的功能。SAN 140可以包括如关于图6所描述的内部和外部硬件部件。本发明认识到，图1可以包括任何数量的计算设备、服务器、数据库和/或存储设备，并且本发明不仅限于图1中所描绘的内容。这样，在一些实施例中，计算机系统120的一些特征被包括为SAN 140和/或另一计算设备的一部分。

此外，在一些实施例中，SAN 140和计算机系统120表示云计算平台或者是云计算平台的一部分。云计算是一种模型或服务交付，用于实现对可配置的计算资源(例如，网络、网络带宽、服务器、处理、存储器、存储、应用、虚拟机和服务)的共享池的方便的、按需的网络访问，这些资源可以通过最少的管理精力或与服务提供者的交互来快速供应和释放。云模型可以包括诸如按需自助服务、广泛网络访问、资源池、快速弹性和测量服务之类的特性，可以由包括平台即服务(PaaS)模型、基础设施即服务(IaaS)模型和软件即服务(SaaS)模型的服务模型表示，并且可以被实现为各种部署模型，如私有云、社区云、公共云和混合云。在各种实施例中，SAN 140表示包括但不限于与天气模式相关联的数据库或网站。

为了说明的简单，在图1中描绘了SAN 140和计算机系统120。然而，应当理解的是，在各种实施例中，SAN 140和计算机系统120可以包括根据安全响应程序122和服务器应用142的功能来管理的任何数量的数据库。通常，数据库144表示数据，并且服务器应用142表示提供使用和修改数据的能力的代码。在一个替代实施例中，安全响应程序122也可以表示上述特征的任何组合，其中服务器应用142可以访问数据库144。为了说明本发明的各个方面，呈现了服务器应用142的示例，其中安全响应程序122表示用户的动态座位选择中的一个或多个，但不限于此。

在一些实施例中，服务器应用142和数据库144被存储在SAN 140上。然而，在各种实施例中，服务器应用142和数据库144可以被存储在外部并且通过诸如网络110的通信网络来访问，如上所述。

为了说明的简单，在图1中描绘了安全响应程序122。然而，计算机系统120可包括根据安全响应程序122来管理的任何数量的逻辑和/或程序。通常，计算机系统120管理对表示物理或虚拟资源的安全响应程序122的访问。在一些实施例中，安全响应程序122包括某些信息并且表示代码，该代码在被执行时使得计算机系统120能够基于但不限于某些信息来对另一物理资源和/或虚拟资源采取特定动作。换句话说，在这样的实施例中，安全响应程序122至少管理计算机系统120对一个或多个物理资源和/或虚拟资源采取各种动作的能力。在一些实施例中，安全响应程序122还可以体现上述元件的任意组合。为了说明本发明的各个方面，呈现了安全响应程序122的示例，其中安全响应程序122包括用户配置文件请求、温度配置文件以及手动和IoT反馈中的一个或多个，但是安全响应程序122的实施例不限于此。本发明的实施例认识到，安全响应程序122可包括本领域已知的其它形式的交易。

在本发明的各种实施例中，客户端设备130的用户至少利用客户端应用132在计算环境100内的各种其他用户(例如，客户端设备136和客户端设备138)之间传输数字文件。在各种实施例中，客户端应用132检测数字文件，并且至少基于由客户端设备130的用户选择的目标将该数字文件传达给用户。在本发明的各种实施例中，安全响应程序122监视数字文件在用户之间的传输。

本发明的实施例提供了一种用于数字文件的协作安全增强系统，由此系统回溯以识别破坏和损害用户系统的污染(例如，破坏的文件、恶意软件等)，并且禁止污染源进一步扩散被破坏的数字文件(例如，被污染的数字文件)。在各种实施例中，安全响应程序122至少利用存储在数字文件的元数据中的校验和来跟踪被破坏的数字文件被传输到的源和目标。在各种实施例中，安全响应程序122使用存储在元数据中的校验和来回溯并通知存储在计算机系统上的被破坏的数字文件的源，并提供关于如何从用户的计算机系统安全地去除污染的指令，并禁止用户将被破坏的数字文件传输给任何其他用户。此外，安全响应程序122禁止具有破坏的数字文件的用户将破坏的数字文件(其与源共享类似的校验和)传输给其他用户。在各种实施例中，安全响应程序122表示用于在协作环境中为用户监视与数字文件相关联的元数据的人工智能(AI)方法，其中协作环境提供用户标识并在用户之间传输数字文件。在各种实施例中，由安全响应程序122在协作环境内执行的动作包括但不限于(i)识别文件内容，(ii)在用户之间传输数字文件期间和之后扫描污染，以及(iii)当用户在多个计算机系统(例如，多个用户)之间传输单个数字文件时为用户授权安全许可。在各种实施例中，安全响应程序122还表示逻辑操作，其中安全响应程序122为在用户之间传输的每个数字文件提供唯一标识符(UID)校验和。

在各种实施例中，客户端设备130的用户利用客户端应用132来使用基于云的服务器与其他用户共享数字文件。在各种实施例中，计算机系统120和SAN 140是基于云的服务器，并且在计算机系统120上执行的安全响应程序122包括AI。在各种实施例中，安全系统120分析在用户之间传达的数字文件以发现污染。在各种实施例中，安全响应程序122至少基于数字文件的元数据来用校验和值来标记数字文件。安全响应程序122将校验和存储在数据库144上以便安全，并且如果以后在数字文件上检测到污染，则回溯。

本发明的实施例规定如果先前在至少两个用户之间传输的数字文件是为一个或多个附加用户准备的或在一个或多个附加用户之间传输的，则针对各个数字文件重新验证校验和。在各种实施例中，当在一个或多个附加用户之间传输各个数字文件时，安全响应程序122重新验证各个数字文件的校验和。在各种实施例中，当第二用户接收到各个数字文件时，安全响应程序122通过生成与数字文件相关联的第二校验和来重新验证各个数字文件的第二传输的校验和，并且将第二校验和存储在元数据中以及数据库144上的校验和的副本中。在各种实施例中，安全响应程序122识别用户之间的各种传输的校验和是否匹配。在各种实施例中，如果安全响应程序122识别出至少一个校验和与原始校验和不匹配，则安全响应程序122将该数据存储在数据库144上以用于与各个数字文件相关联的污染的后续标识。本发明的实施例认识到，失配校验和被安全响应程序122利用来回溯元数据并识别污染源。在替代实施例中，失配校验和指示用户可能已经修改了数字文件，并且安全响应程序122将失配校验和的数据存储在元数据中和数据库144上。

在各种实施例中，安全响应程序122表示防病毒软件或恶意执行检测器，并监视存储在客户端设备130或协作系统内的其它各种计算设备上的污染。本发明的实施例认识到，协同环境内的客户端设备130和各种其他计算设备(例如客户端设备136、客户端设备138)具有在计算机系统上下载并执行的防病毒软件。如果安全响应程序122检测到位于数字文件上的污染，则安全响应程序122将该校验和标记为潜在污染，并将潜在污染的数据传播给协作环境内包含的各种防病毒程序。本发明的实施例认识到，接收或下载经标记的校验和的任何计算设备将被提供具有来自安全响应程序122的程序指令的防病毒动作，从而指示计算设备130的用户禁用该文件。

在各种实施例中，第一用户将数字文件上传到基于云的服务器，并且安全响应程序122分析数字文件并为该数据文件生成校验和，并且将该校验和存储在文件的元数据中以及数据库144上。本发明的实施例提供了基于用户的行为检测，其中安全响应程序122表示AI并监视关于在基于云的服务器内传输和下载的数字文件的用户行为。在各种实施例中，至少第二用户从基于云的服务器(例如，数据库144)下载数字文件，并且安全响应程序122生成与第二用户下载的数字文件相关联的校验和，并且将该校验和存储在元数据中和数据库144上。在各种实施例中，安全响应程序122分析数字文件以确定数字文件是否被污染破坏。在各种实施例中，安全响应程序122监视第二用户的活动，并学习第二用户下载的数字文件和/或第二用户向协作环境内的各种其他用户传输数字文件的用户行为。在各种实施例中，如果第二用户希望将第二用户下载的相同数字文件传输到一个或多个其他用户，则安全响应程序122将生成与传输相关联的另一校验和，并且允许各种其他用户(例如，客户端设备136、客户端设备138)继续进行数字文件下载，而不需要来自安全响应程序122的授权。

在各种实施例中，安全响应程序122利用回溯来禁止用户传输或下载可能破坏或传输各种其他用户的计算机系统(例如，客户端设备136、客户端设备138)的数字文件。在各种实施例中，安全响应程序122通过回溯元数据来识别污染源。安全响应程序122识别污染的存在并向防病毒动作提供程序指令以从用户的计算设备去除污染。此外，在各种实施例中，安全响应程序122利用回溯来识别污染所驻留的各种计算设备，并传达具有程序指令的防病毒动作以去除污染。最后，安全响应程序122禁止用户将被破坏的数字文件传输或上传到基于云的服务器内的用户，以防止污染的扩散。

图2是根据本发明的说明性实施例描绘计算环境100中的安全响应程序122的操作的流程图200。图2还表示安全响应程序122和客户端应用132之间的某些交互。在一些实施例中，图2中所描绘的操作结合了在计算机系统120上执行的安全响应程序122的输出。应当理解的是，图2提供了一种实现的图示，并且不暗示对其中可实现不同实施例的环境的任何限制。可以对所描绘的环境进行许多修改。在一个实施例中，图2中的一系列操作可以按任何顺序执行。在另一实施例中，图2中所描绘的一系列操作可以同时执行。此外，图2中所描绘的一系列操作可以在任何操作处终止。除了先前提到的特征之外，图2中所描绘的任何操作可以在任何时间恢复。

在操作202中，安全响应程序122基于用户之间的数字文件的通信生成校验和。在各种实施例中，安全响应程序122监视用户之间的数字文件的通信。在各种实施例中，基于云的服务器内的用户在彼此之间传达数字文件。此外，接收数字文件的用户可以将数字文件传输到基于云的服务器内的一个或多个用户。在各种实施例中，安全响应程序122识别基于云的服务器内的用户何时在各种其他用户之间传输数字文件。响应于识别用户何时在基于云的服务器内的各种其他用户之间传输数字文件，安全响应程序122为数字文件的每个各个传输生成校验和。在各种实施例中，安全响应程序122将校验和存储在数字文件的元数据中和数据库144上。本发明的实施例规定校验和允许安全响应程序122回溯元数据以识别与数字文件相关联的污染源，其中校验和值至少基于数字文件是否被修改而改变。在各种实施例中，数字文件的修改包括但不限于，污染被附加到数字文件、污染覆盖文件代码的部分、或者如果用户修改数字文件(例如，用户通过在word文档内添加或去除字符来修改word文档)。

本发明的实施例还规定了校验和值保持与先前的校验和值相同，直到数字文件被修改。在一个示例和实施例中，如果第一用户将数字文件传输到第二用户，则安全响应程序122生成校验和值(ab)并将该校验和值存储在数字文件的元数据中和数据库144上。此外，如果第二用户没有修改数字文件并且将数字文件传输给第三用户，则安全响应程序122至少生成与第二用户接收到数字文件时生成的先前校验和值相同的第二校验和值(ab)。本发明的实施例规定安全响应程序122能够区分无害改变和恶意改变，其中安全响应程序122分析经修改的数字文件的签名。在各种实施例中，如果经修改的数字文件的签名被接收方用户修改，则安全响应程序122接受接收方用户的修改作为对数字文件的无害改变。替代地，在各种实施例中，安全响应程序122分析经修改的数字文件的签名并确定经修改的数字文件被另一用户、未知用户、或除接收方用户以外的未知程序修改，并且作为响应，安全响应程序122确定对数字文件的恶意改变(例如，病毒或木马)已发生。在替代实施例中，如果第二用户修改数字文件和/或数字文件变得破坏并且将数字文件传输到第三用户，则安全响应程序122生成与第二用户接收的数字文件的先前校验和值不同的第二校验和(ac)。在替代实施例中，安全响应程序122将第二校验和值(ac)存储在数字文件的元数据中和数据库144上。在各种实施例中，安全响应程序122利用校验和值来识别与数字文件相关联的任何所识别的污染的源。

在操作204中，安全响应程序122检测与数字文件相关联的污染。在各种实施例中，由用户在基于云的服务器内传达的数字文件被识别为包含污染。在各种实施例中，安全响应程序122将包含污染的数字文件标记为已破坏的数字文件，并将该数据存储在数据库144上，如上所述。

在操作206中，安全响应程序122对照数字文件的历史文件传输来验证校验和。响应于安全响应程序122识别与数字文件相关联的污染，安全响应程序122开始回溯历史文件传输，并彼此对照来验证校验和值以识别污染源。在各种实施例中，安全响应程序122识别数字文件的最新校验和值，其中污染被识别，并且安全响应程序122回溯元数据以识别校验和值在用户的传输之间改变的位置。在各种实施例中，安全响应程序122识别校验和值何时在用户的传输之间改变，并且安全响应程序122确定校验和值改变时的用户是污染源。

在一个示例性实施例中，安全响应程序122识别如上所述的数字文件A的污染。安全响应程序122还识别与被破坏的数字文件相关联的最新校验和值(即校验和值(ac))。在该示例性实施例中，安全响应程序122与数据库144通信并检索数字文件A的历史文件传输。在该示例性实施例中，安全响应程序122分析历史文件传输并识别与数字文件A在各种用户之间的传输相关联的各种校验和值。安全响应程序122识别与校验和值(ac)相关联的被破坏的数字文件被传输给用户：用户F、用户G、用户H、用户J。此外，安全响应程序122通过回溯数字文件的元数据来识别在用户D从用户Q接收到数字文件之后校验和值的改变，其中安全响应程序122识别用户Q是传输文件的原始用户，并且当用户D从用户Q接收到数字文件时，存储的校验和值是校验和值(ab)。安全响应程序122确定被破坏的数字文件的源是源自于用户D的。

本发明的实施例规定在用户之间传输的给定数字文件被给予作为元数据存储在基于云的数据库上的特定校验和值。此外，当给定数字文件被传输到至少第三目标设备(例如，客户端设备130、客户端设备136、客户端设备138等的)另一用户时，校验和值被重新计算并被附加到元数据和基于云的数据库中，其中安全响应程序122将在数字文件的一个或多个传输之间比较校验和值。

本发明的实施例规定安全响应程序122利用两种检测方法来检测对数字文件的恶意改变。在各种实施例中，恶意改变由能够扫描被递送到目标设备(例如，客户端设备130、客户端设备136、客户端设备138等)的传入文件的防病毒软件来检测。在各种其他实施例(或相同的实施例)中，恶意改变由安全响应程序122检测，该安全响应程序122分析经修改的文件的签名(例如，元数据)并确定经修改的数字文件是否由未知用户、非接收方用户或未知程序修改。在这些实施例中，安全响应程序122然后至少基于校验和值来识别经修改的数字文件的污染，并且安全响应程序122用匹配的校验和值来标记该文件和所有其他相关数字文件。

在操作208中，安全响应程序122向接收到污染的用户生成警报。在各种实施例中，安全响应程序122响应于识别被破坏的数字文件的源，向被该污染影响的用户生成具有程序指令的防病毒动作。在各种实施例中，防病毒动作包括指示用户从数字文件中去除污染或从用户的计算设备(例如，客户端设备130)中整个去除被破坏的数字文件的程序指令。在各种实施例中，安全响应程序122将具有程序指令的防病毒动作传达给由安全响应程序122识别为已接收到被破坏的数字文件的每个用户。此外，在各种实施例中，安全响应程序122禁止被破坏的数字文件影响的用户进一步传输破坏的数字文件，直到从计算设备(例如，客户端设备130)去除污染为止。

图3描绘了根据本发明的说明性实施例的文档用户之间的交易历史的框图300，其中用户在彼此之间传输文档。本发明的实施例认识到，文档可以是分别存储在用户的计算设备的存储器中的数字文件。图3示出了在用户A 302、用户B 306和用户C 310之间传输的文档A。在各种实施例中，用户A 302将文档A传输到用户B 306(304)。在各种实施例中，为文档A 304生成校验和314(即aa)，并且将校验和314存储在校验和存储器(例如数据库144)上以供后续审阅。在各种实施例中，用户B 306将文档A传输到用户C 310(308)。在各种实施例中，为文档A 308生成校验和316(即ab)。在各种实施例中，为文档A 308的校验和316(即ab)生成被存储在校验和存储器上。本发明的实施例认识到，因为在文档A 304和文档A 308之间校验和从“aa”变为“ab”，所以在将数字文件(例如，文档A)传输到用户C 310之前，用户B306对数字文件(例如，文档A)进行了修改。本领域普通技术人员将理解的是，图3是为了说明的简单而描绘的，并且本发明的实施例不限于所描绘的。本发明的实施例认识到，用户之间的许多传输是可能的，并且在污染被附加到文档之前一个或多个用户可以修改文档。

在各种实施例中，安全响应程序122识别与存储在用户C 310的计算设备上的文档A312相关联的污染，其中文档A 312被标记为已破坏，并且生成校验和318(即AB)并将其存储在校验和存储器上。在各种实施例中，安全响应程序122回溯文档A的元数据，并且至少识别校验和值在图3内的用户传输之间何时改变。本发明的实施例认识到，当(i)用户修改数字文档(例如，文档A)和(ii)当污染被附加到文档A时校验和值改变。在各种实施例中，安全响应程序122识别出当用户B 306将文档A 308传输给用户C310时校验和改变。在各种实施例中，安全响应程序122分析用户A 302和用户B 306之间的校验和314的值，并确认用户A302不是污染源。安全响应程序122在用户B 306的计算设备上运行恶意诊断分析，并且识别用户B 306的计算设备上的污染。在各种实施例中，安全响应程序122至少基于用户B 306的计算设备是文档A的改变的最早源这一事实来确定用户B 306的计算设备是污染源。

在替代实施例中，安全响应程序122回溯元数据以识别污染源。本发明的实施例认识到，安全响应程序122分析文档A的元数据以识别污染源。在该替代实施例中，安全响应程序122识别出校验和316的值在用户B 306和用户C 310之间改变，并且进一步识别污染驻留在用户B 306的计算设备上。安全响应程序122确定用户B 306的计算设备是潜在的污染源；为了确认，安全响应程序122分析用户A 302的计算设备和校验和314的值。安全响应程序122分析元数据并识别用户A 302是文档A 304的初始传输者以及识别初始校验和314的值。在该替代实施例中，安全响应程序122识别污染驻留在用户A 302的计算设备上。安全响应程序122确定用户A 302的计算设备是污染源，并且安全响应程序122进一步确定校验和316的值在用户B 306和用户C 310之间改变，因为用户B 306修改了文档A。

应当理解的是，尽管本公开包括关于云计算的详细描述，但是本文所陈述的教导的实现不限于云计算环境。相反，本发明的实施例能够结合现在已知或以后开发的任何其它类型的计算环境来实现。

云计算是一种服务交付模型，用于实现对可快速供应的可配置计算资源(例如，网络、网络带宽、服务器、处理、存储器、存储、应用、虚拟机和服务)的共享池的方便的、按需的网络访问，该模型可以包括至少五个特征、至少三个服务模型和至少四个部署模型。

特征如下：

按需自助服务：云消费者可以根据需要单方面地自动地提供计算功能，诸如服务器时间和网络存储，而不需要与服务的提供者进行人工交互。

广域网访问：功能可通过网络获得，并且通过标准机制来访问，该标准机制促进了异构的薄客户端平台或厚客户端平台9的使用(例如，移动电话、笔记本电脑和PDA)。

资源池：提供者的计算资源被池化以使用多租户模型来服务多个消费者，其中不同的物理和虚拟资源根据需求被动态地分配和重新分配。存在位置独立性的感觉，因为消费者通常不控制或不知道所提供的资源的确切位置，但可能能够在较高抽象水平(例如，国家、州或数据中心))指定位置。

快速弹性：在一些情况下，可以快速并弹性地提供功能以自动地快速向外扩展并快速释放以快速向内扩展。对于消费者来说，可用于供应的功能常常看起来是不受限制的，并且可以在任何时间以任何质量购买。

测量服务：云系统通过利用在适合于服务类型(例如，存储、处理、带宽和活动用户账户)的某一抽象水平的计量功能来自动地控制和优化资源使用。可以监视、控制和报告资源使用，从而为所利用服务的提供者和消费者两者提供透明性。

服务模型如下：

软件即服务(SaaS)：提供给消费者的功能是使用在云基础设施上运行的提供者的应用。应用可通过诸如web浏览器(例如，基于web的电子邮件)的薄客户端界面从各种客户端设备访问。消费者不管理或控制包括网络、服务器、操作系统、存储、甚至单独应用功能的底层云基础设施，可能的例外是有限的用户特定应用配置设置。

平台即服务(PaaS)：提供给消费者的将消费者创建或获取的应用部署到云基础设施上的功能，该消费者创建或获取的应用是使用由提供者支持的编程语言和工具创建的。消费者不管理或控制包括网络、服务器、操作系统或存储的底层云基础设施，但具有对部署的应用和可能的应用托管环境配置的控制。

基础设施即服务(IaaS)：提供给消费者的功能，以提供消费者能够部署和运行任意软件的处理、存储、网络和其它基本计算资源，该任意软件可以包括操作系统和应用。消费者不管理或控制底层云基础设施，但具有对操作系统、存储、部署的应用的控制，以及可能对选择的联网部件(例如，主机防火墙)有限控制。

部署模型如下：

私有云：云基础设施仅为组织操作。它可以由组织或第三方管理，并且可以存在于内部或外部。

社区云：云基础设施由若干组织共享，并且支持具有共同关注(例如，任务、安全请求、策略和合规性考虑)的特定社区。它可以由组织或第三方管理，并且可以存在于内部或外部。

公有云：云基础设施可用于公众或大型工业集团，并且由销售云服务的组织拥有。

混合云：云基础设施是两个或多个云(私有、社区或公共)的组合，该云保持唯一实体但通过标准化或能够实现数据和应用的可移植性(例如，用于云之间的负载平衡的云突发)的私有技术绑定在一起。

云计算环境是面向服务的，其焦点在于无状态、低耦合、模块性和语义互操作性。在云计算的核心是包括互连节点的网络的基础设施。

现在参考图4，描绘了说明性云计算环境50。如图所示，云计算环境50包括一个或多个云计算节点10，云消费者使用的本地计算设备：例如个人数字助理(PDA)或蜂窝电话54A、台式计算机54B、笔记本电脑54C和/或汽车计算机系统54N可以与该云计算节点通信。节点10可以彼此通信。它们可以在一个或多个网络中被物理地或虚拟地分组(未显示)，诸如本文所述的私有云、社区云、公共云或混合云或其组合。这允许云计算环境50提供基础设施、平台和/或软件作为服务，云消费者不需要为其维护本地计算设备上的资源。应当理解的是，图4中所示的计算设备54A-N的类型仅旨在说明，并且计算节点10和云计算环境50可以通过任何类型的网络和/或网络可寻址连接(例如，使用web浏览器)与任何类型的计算机化设备通信。

现在参考图5，示出了由云计算环境50(图4)提供的一组功能抽象层。应当预先理解的是，图5中所示的部件、层和功能仅旨在说明，并且本发明的实施例不限于此。如所描绘的，提供了以下的层和相应的功能：

硬件和软件层60包括硬件和软件部件。硬件部件的示例包括：主机61；基于RISC(精简指令集计算机)架构的服务器62；服务器63；刀片服务器64；存储设备65；以及网络和联网部件66。在一些实施例中，软件部件包括网络应用服务器软件67和数据库软件68。

虚拟化层70提供抽象层，从该抽象层可以提供虚拟实体的以下示例：虚拟服务器71；虚拟存储72；虚拟网络73；包括虚拟私有网络；虚拟应用和操作系统74；以及虚拟客户端75。

在一个示例中，管理层80可以提供以下描述的功能。资源供应81提供用于在云计算环境内执行任务的计算资源和其它资源的动态采购。计量和定价82提供了在云计算环境中利用资源时的成本跟踪，以及为这些资源的消耗开具帐单或发票。在一个示例中，这些资源可以包括应用软件许可证。安全为云消费者和任务提供身份验证，以及为数据和其他资源提供保护。用户门户83为消费者和系统管理员提供对云计算环境的访问。服务水平管理84提供云计算资源分配和管理，使得满足所需的服务水平。服务水平协议(SLA)规划和履行85提供对云计算资源的预安排和采购，其中根据SLA预期对云计算资源的未来需求。

工作负载层90提供了可以利用云计算环境的功能的示例。可以从该层提供的工作负载和功能的示例包括：绘图和导航91；软件开发和生命周期管理92；虚拟教室教育交付93；数据分析处理94；交易处理95；且提供舒缓输出96。

图6描绘了根据本发明的说明性实施例的计算机系统120、客户端设备130和SAN140的部件的框图600。应当理解的是，图6仅提供了一种实现的说明，而不暗示对其中可实现不同实施例的环境的任何限制。可以对所描述的环境进行许多修改。

计算机系统120、客户端设备130和SAN 140包括通信结构602，其提供计算机处理器604、存储器606、永久性存储608、通信单元610和输入/输出(I/O)接口612之间的通信。通信结构602可以用被设计成在处理器(诸如微处理器、通信和网络处理器等)、系统存储器、外围设备、以及系统内的任何其它硬件部件之间传递数据和/或控制信息的任何架构来实现。例如，通信结构602可以用一个或多个总线来实现。

存储器606和永久性存储608是计算机可读存储介质。在该实施例中，存储器606包括随机存取存储器(RAM)614和高速缓存存储器616。通常，存储器606可以包括任何合适的易失性或非易失性计算机可读存储介质。

安全响应程序122、计算机接口124、客户端应用132、客户端接口134、服务器应用142和数据库144被存储在永久性存储608中，以便由一个或多个相应的计算机处理器604经由存储器606的一个或多个存储器执行和/或访问。在该实施例中，永久性存储608包括磁硬盘驱动器。作为磁硬盘驱动器的替代或附加，永久性存储608可包括固态硬盘驱动器、半导体存储设备、只读存储器(ROM)、可擦除可编程只读存储器(EPROM)、闪存或能够存储程序指令或数字信息的任何其它计算机可读存储介质。

永久性存储608使用的介质也可以是可移动的。例如，可移动硬盘驱动器可以用于永久性存储608。其它示例包括光盘和磁盘、拇指驱动器、以及智能卡，它们被插入驱动器中以便传输到也是永久性存储X08的一部分的另一计算机可读存储介质上。

在这些示例中，通信单元610提供与包括网络110的资源的其它数据处理系统或设备的通信。在这些示例中，通信单元610包括一个或多个网络接口卡。通信单元610可通过使用物理和无线通信链路中的一种或两种来提供通信。安全响应程序122、计算机接口124、客户端应用132、客户端接口134、服务器应用142和数据库144可以通过通信单元610下载到永久性存储608。

I/O接口612允许与可以连接到计算机系统120、客户端设备130和SAN 140的其它设备输入和输出数据。例如，I/O接口612可以提供与外部设备618诸如键盘、小键盘、触摸屏和/或一些其它合适的输入设备的连接。外部设备618还可以包括便携式计算机可读存储介质，例如拇指驱动器、便携式光盘或磁盘、以及存储卡。用于实践本发明的实施例的软件和数据(例如，安全响应程序122、计算机接口124、客户端应用132、客户端接口134、服务器应用142和数据库144)可以存储在这种便携式计算机可读存储介质上，并且可以经由I/O接口612加载到永久性存储608上。I/O接口612也连接到显示器620。

显示器620提供向用户显示数据的机制，并且例如可以是计算机监视器或电视屏幕。

本发明可以是系统、方法和/或计算机程序产品。计算机程序产品可以包括其上具有计算机可读程序指令的计算机可读存储介质(或媒介)，所述计算机可读程序指令用于使处理器执行本发明的各方面。

计算机可读存储介质可以是可以保留和存储由指令执行设备使用的指令的有形的设备。计算机可读存储介质可以是，例如但不限于电子存储设备、磁存储设备、光存储设备、电磁存储设备、半导体存储设备或前述的任何合适的组合。计算机可读存储介质的更具体示例的非穷举列表包括以下：便携式计算机磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或闪存)、静态随机存取存储器(SRAM)、便携式光盘只读存储器(CD-ROM)、数字多功能盘(DVD)、记忆棒、软盘、诸如上面记录有指令的打孔卡或凹槽中的凸起结构的机械编码设备，以及上述的任何合适的组合。如本文所使用的计算机可读存储介质不应被解释为暂时性信号本身，诸如无线电波或其他自由传播的电磁波、通过波导或其他传输介质传播的电磁波(例如，通过光纤电缆的光脉冲)、或通过导线传输的电信号。

本文描述的计算机可读程序指令可以从计算机可读存储介质下载到相应的计算/处理设备，或者经由网络，例如因特网、局域网、广域网和/或无线网络，下载到外部计算机或外部存储设备。该网络可以包括铜传输电缆、光传输光纤、无线传输、路由器、防火墙、交换机、网关计算机和/或边缘服务器。每个计算/处理设备中的网络适配卡或网络接口从网络接收计算机可读程序指令，并转发计算机可读程序指令以便存储在相应的计算/处理设备内的计算机可读存储介质中。

用于执行本发明的操作的计算机可读程序指令可以是汇编指令、指令集架构(ISA)指令、机器指令、机器依赖指令、微代码、固件指令、状态设置数据，或者以一种或多种编程语言的任意组合编写的源代码或目标代码，该编程语言包括面向对象的编程语言(诸如Smalltalk、C++等)以及常规的程序性编程语言(诸如“C”编程语言或类似的编程语言)。计算机可读程序指令可以完全在用户的计算机上执行，部分在用户的计算机上执行，作为独立的软件包执行，部分在用户的计算机上并且部分在远程计算机上执行，或者完全在远程计算机或服务器上执行。在后一种情况下，远程计算机可以通过任何类型的网络连接到用户的计算机，该网络包括局域网(LAN)或广域网(WAN)，或者可以连接到外部计算机(例如，通过因特网使用因特网服务提供者)。在一些实施例中，为了执行本发明的各方面，包括例如可编程逻辑电路、现场可编程门阵列(FPGA)或可编程逻辑阵列(PLA)的电子电路可以通过利用计算机可读程序指令的状态信息来执行计算机可读程序指令以使电子电路个性化。

本文参考根据本发明实施例的方法、装置(系统)和计算机程序产品的流程图图示和/或框图描述本发明的各方面。将理解的是，流程图图示和/或框图的每个方框以及流程图图示和/或框图中的方框的组合可以由计算机可读程序指令来实现。

这些计算机可读程序指令可以被提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器以产生机器，使得经由计算机或其他可编程数据处理装置的处理器执行的指令创建用于实现流程图和/或框图的一个或多个方框中指定的功能/动作的装置。这些计算机可读程序指令还可以存储在计算机可读存储介质中，该介质可以指导计算机、可编程数据处理装置和/或其他设备以特定方式工作，使得其中存储有指令的计算机可读存储介质包括制造品，该制造品包括实现流程图和/或框图的一个或多个方框中指定的功能/动作的各方面的指令。

计算机可读程序指令还可以被加载到计算机、其他可编程数据处理装置或其他设备上，以使得在计算机、其他可编程装置或其他设备上执行一系列操作步骤，以产生计算机实现的过程，使得在计算机、其他可编程装置或其他设备上执行的指令实现流程图和/或框图的一个或多个方框中指定的功能/动作。

附图中的流程图和框图示出了根据本发明的各种实施例的系统、方法和计算机程序产品的可能实现的结构、功能和操作。对此，流程图或框图中的每个方框可以表示指令的模块、段或部分，其包括用于实现指定的逻辑功能的一个或多个可执行指令。在一些替代实现中，方框中所提到的功能可不按附图中所提到的顺序发生。例如，连续示出的两个方框实际上可以基本上同时执行，或者这些方框有时可以以相反的顺序执行，这取决于所涉及的功能。还将注意的是，框图和/或流程图图示的每个方框以及框图和/或流程图图示中的方框的组合可以由执行指定功能或动作或执行专用硬件和计算机指令的组合的专用的基于硬件的系统来实现。

本文描述的程序是基于在本发明的特定实施例中实现它们的应用来识别的。然而，应当理解的是，本文的任何特定程序术语仅是为了方便而使用，因此本发明不应当局限于仅在由这样的术语识别和/或暗示的任何特定应用中使用。

应当注意的是，例如“Smalltalk”等术语可能受世界各种管辖范围内的商标权利的保护，并且在此仅参考由标记正确命名的产品或服务来使用，以至于这种商标权利可能存在。

Claims (20)

1.一种计算机实现的方法，所述方法包括：

由一个或多个处理器检测数字文件在给定设备组中的源设备和目标设备之间的传输；

由一个或多个处理器为所传输的数字文件生成唯一标识符(UID)；

由一个或多个处理器指示与所述数字文件有关的信息被存储在与所述数字文件相关联的记录中，其中所述信息包括：(i)所述源设备的标识，(ii)所述目标设备的标识；和(iii)所生成的UID；

由一个或多个处理器识别所述数字文件已被污染；和

响应于识别所述数字文件已被污染，由一个或多个处理器至少部分地基于所存储的信息来识别所述污染的源。

2.根据权利要求1所述的计算机实现的方法，所述方法还包括：

由一个或多个处理器指示所述给定设备组执行防病毒动作，其中所述防病毒动作去除被污染的数字文件。

3.根据权利要求1所述的计算机实现的方法，所述方法还包括：

由一个或多个处理器向所述给定设备组通知所述数字文件已被污染；和

由一个或多个处理器指示所述给定设备组禁止在所述给定设备组内进一步传输被污染的数字文件。

4.根据权利要求1所述的计算机实现的方法，其中所述污染是通过反病毒软件来识别的。

5.根据权利要求1所述的计算机实现的方法，其中所述污染是通过分析存储在与所述数字文件相关联的所述记录中的所述信息来识别的。

6.根据权利要求1所述的计算机实现的方法，其中至少部分地基于所存储的信息来识别所述污染的所述源包括：

由一个或多个处理器通过存储在与所述数字文件相关联的所述记录中的所述信息来回溯，直到检测到UID的改变；和

由一个或多个处理器将与所检测的UID的改变相关联的源设备识别为所述污染的所述源。

7.根据权利要求1所述的计算机实现的方法，其中与所述数字文件相关联的所述记录由所述目标设备存储在所述数字文件中。

8.根据权利要求1所述的计算机实现的方法，其中与所述数字文件相关联的所述记录存储在服务器上，其中所述服务器可通信地连接到所述给定设备组。

9.一种计算机程序产品，包括：

一个或多个计算机可读存储介质和存储在所述一个或多个计算机可读存储介质上的程序指令，所存储的程序指令包括：

用于检测数字文件在给定设备组中的源设备和目标设备之间的传输的程序指令；

用于为所传输的数字文件生成唯一标识符(UID)的程序指令；

用于指示与所述数字文件有关的信息被存储在与所述数字文件相关联的记录中的程序指令，其中所述信息包括：(i)所述源设备的标识，(ii)所述目标设备的标识；和(iii)所生成的UID；

用于识别所述数字文件已被污染的程序指令；和

用于响应于识别所述数字文件已被污染，至少部分地基于所存储的信息来识别所述污染的源的程序指令。

10.根据权利要求9所述的计算机程序产品，所存储的程序指令还包括：

用于指示所述给定设备组执行防病毒动作的程序指令，其中所述防病毒动作去除被污染的数字文件。

11.根据权利要求9所述的计算机程序产品，所存储的程序指令还包括：

用于向所述给定设备组通知所述数字文件已被污染的程序指令；和

用于指示所述给定设备组禁止在所述给定设备组内进一步传输被污染的数字文件的程序指令。

12.根据权利要求9所述的计算机程序产品，其中所述污染是通过防病毒软件来识别的。

13.根据权利要求9所述的计算机程序产品，其中所述污染是通过分析存储在与所述数字文件相关联的所述记录中的所述信息来识别的。

14.根据权利要求9所述的计算机程序产品，其中用于至少部分地基于所存储的信息来识别所述污染的所述源的所述程序指令包括：

用于通过存储在与所述数字文件相关联的所述记录中的所述信息来回溯，直到检测到UID的改变的程序指令；和

用于将与所检测的UID改变相关联的源设备识别为所述污染的所述源的程序指令。

15.根据权利要求9所述的计算机程序产品，其中与所述数字文件相关联的所述记录由所述目标设备存储在所述数字文件中。

16.根据权利要求9所述的计算机程序产品，其中与所述数字文件相关联的所述记录存储在服务器上，其中所述服务器可通信地连接到所述给定设备组。

17.一种计算机系统，所述计算机系统包括：

一个或多个计算机处理器；

一个或多个计算机可读存储介质；和

存储在所述计算机可读存储介质上以供所述一个或多个处理器中的至少一个处理器执行的程序指令，所存储的程序指令包括：

用于检测数字文件在给定设备组中的源设备和目标设备之间的传输的程序指令；

用于为所传输的数字文件生成唯一标识符(UID)的程序指令；

用于指示与所述数字文件有关的信息被存储在与所述数字文件相关联的记录中的程序指令，其中所述信息包括：(i)所述源设备的标识，(ii)所述目标设备的标识；和(iii)所生成的UID；

用于识别所述数字文件已被污染的程序指令；和

用于响应于识别所述数字文件已被污染，至少部分地基于所存储的信息来识别所述污染的源的程序指令。

18.根据权利要求17所述的计算机系统，所存储的程序指令还包括：

用于指示所述给定设备组执行防病毒动作的程序指令，其中所述防病毒动作去除被污染的数字文件。

19.根据权利要求17所述的计算机系统，所存储的程序指令还包括：

用于向所述给定设备组通知所述数字文件已被污染的程序指令；和

用于指示所述给定设备组禁止在所述给定设备组内进一步传输被污染的数字文件的程序指令。

20.根据权利要求17所述的计算机系统，其中所述污染是通过分析存储在与所述数字文件相关联的所述记录中的信息来识别的。

Images