CN1267802C - 基于本地无操作系统的网络计算机的预防病毒方法 - Google Patents

Abstract

基于本地无操作系统的网络计算机的预防病毒方法，涉及防病毒领域，其特征是：NC应用服务器中特设重定向文件系统客户端程序：文件重定向器、虚拟磁盘驱动模块以及NC安全网络文件系统客户端程序：用户可信登录和文件加解密模块，用定制磁盘镜像文件提供公用的操作系统和应用程序，用重定向磁盘镜像文件保存过程数据，供用户专用，该镜像文件分别以视图形式提供，且后者优先；NC用户数据服务器配置NC安全网络文件，提供可信登录和安全访问服务，以视图形式提供用户私有数据目录。NC客户端文件在重定向磁盘镜像文件中以扇区为单位分片乱序保存。本发明保证只有合法用户才可访问私有数据目录，也阻止病毒从服务器上访问NC客户端数据。

Description

基于本地无操作系统的网络计算机的预防病毒方法

一、技术领域

本发明属于计算机网络中病毒预防技术领域。

二、技术背景

计算机的发展，大体上经过了三个阶段：大型机阶段，个人计算机阶段，网络计算阶段。网络计算机(Network Computer或NC)最早由Oracle公司在1995年提出，是网络计算阶段具代表性的一种计算机形态。1996年5月Oracle公司联合其它四家公司共同制定了网络计算机标准1(Network Computer RefereNCe Profile 1)。NC采取了简化计算机硬件的做法，客户端本地无硬盘，采用低功耗CPU，主板设置有大容量的非易失性存储装置，通常是只读存储器ROM或快闪存储器(Flash ROM)。在软件上，传统NC在本地的非易失性存储装置中，存储了嵌入式的操作系统或终端协议代码。其工作原理是通过WWW/Applet技术，X-terminal或其他终端技术(如RDP，ICA等)访问远程服务器上的应用程序和数据，本地不进行计算，只负责接收用户输入和进行图形界面显示工作。传统NC的计算主要发生在服务器上，因此对服务器的依赖性很大，尤其在应用于多媒体应用场景的时候，对服务器的要求很高，因此普通服务器能同时支持的NC数目非常有限。并且，由于操作系统固化在NC的ROM或FlashROM中，因此升级困难，可扩展性差。

为了解决传统NC对服务器依赖过重，对多媒体应用支持不足，软件升级困难，可扩展性差的问题。清华大学网络互连实验室提出了一种新模式NC(参见本申请人的相关专利ZL03122022.3，一种本地无操作系统的网络计算机)，它具有本地计算能力，能极大减轻计算对服务器依赖过重的问题，并能大大增强NC应用的灵活性并具有很强的扩展能力，能支持丰富的桌面应用。这种NC在服务器上放置了NC操作系统内核镜像以及应用程序，并配置了动态主机配置协议(Dynamic Host Configuration Protocol，DHCP)服务，简单文件传输协议(Trivial File Transfer Protocol，TFTP)服务以及远程执行环境(Preboot Execution Enviroment，PXE)服务。如图1，NC客户端102a、102b、102c、102d、102e(简称NC或客户端)和NC服务器103(简称服务器)位于一个计算机网络101上，服务器同时为多个客户端提供操作系统和应用程序资源。现有技术NC的启动过程如图2所示，客户端102被加电201后开始NC的启动过程，之后执行非易失存储器中的引导代码202，通过DHCP消息广播同服务器进行联系，服务器收到DHCP客户端广播消息后，向客户端应答并为客户端分配一网络地址，即一IP地址203。获得网络地址之后，客户端向服务器发出下载操作系统内核镜像和包括初始应用程序的根文件系统镜像的文件下载请求104，服务器接收到文件下载请求后向客户端传输操作系统内核镜像以及根文件系统镜像105，客户端接收服务器的传输204，NC客户端接收完毕后加载服务器端传输的操作系统内核镜像和根文件系统镜像205，就完成了NC的启动过程206。NC客户端系统工作以后利用程序按需加载和网络文件系统访问存放在服务器上的操作系统文件、应用系统文件和用户数据文件。

上述NC虽然很好地解决了传统NC运行后，尤其是多媒体等应用场景下计算过于依赖服务器的问题，增强了运行态下服务器对客户端的支持数量。但系统也存在以下不足：

1、为系统镜像增加应用的过程复杂

既要保证服务器上操作系统内核和定制应用镜像的完整性，又要满足多个用户并发访问的需求。而NC客户端系统进行数据访问主要依赖网络文件系统，通过网络文件系统配置操作系统运行文件、应用程序运行文件和用户数据文件的存放位置和权限。客户端普通用户对镜像文件只有读和执行权限，对操作系统和每个应用都必须设定其运行过程中产生临时文件和配置文件的存放位置。如果需要增加新的应用都必须分析其产生临时文件和配置文件的方式，进行相应的设置。如果设置不当，就会造成程序无法正常运行。用户只能按预先设定的方式使用NC端系统。

2、系统支持的文件读写的并发用户数受限

NC客户端系统进行数据访问主要依赖网络文件系统，如果多个用户同时执行或读取一个文件，并发数达到一定数目，服务器网络文件系统响应就会变得很缓慢，有可能造成客户端系统运行不稳定，甚至出现客户端系统崩溃的情况。

3、系统的数据安全性不够

由于在处理用户数据文件与操作系统文件、应用系统文件的时候使用了同一机制，用户数据安全和加密方案的应用也受到了限制。这样，数据访问方式的限制使操作系统和应用的数据安全和用户的数据安全都无法保障，从而限制了NC的应用。

4、系统防病毒能力不强

随着互联网的普及，病毒的危害性日益显现。到2005年4月，病毒种类已经超过9万种(据著名病毒研究网站Antony Petrakis的统计)。目前，广义的病毒可分为引导型病毒、文件型病毒、宏病毒、网络蠕虫、特洛伊木马等几类。使用现有的杀毒软件，用户需要经常更新病毒库，不断升级操作系统来应付层出不穷的新病毒，用户陷入了不断被病毒攻击，不断采取补救措施的恶性循环中，疲于奔命，还得时刻提防私有数据的安全。

新模式NC与现有计算机系统相比，从计算系统本身的结构上提高了系统安全性，具备了一定的防病毒能力。NC系统保证了服务器上操作系统内核和定制应用镜像的完整性，NC客户端每次启动时从服务器端下载操作系统内核和定制应用运行。NC端系统上没有物理硬盘存在，引导型病毒不能对端系统造成破坏。NC客户端和服务器全部采用内部IP地址，通过网络地址转换(Network Address Translation，NAT)机制来访问外网，屏蔽了网络蠕虫从外网进行的扫描攻击。但现有技术NC系统中，在服务器上为每个用户设定了存放操作系统以及应用运行时产生的临时文件目录和用户数据目录，病毒可能存在于这些目录中。这样系统启动时，文件型病毒、宏病毒、网络蠕虫、特洛伊木马病毒就有可能在NC客户端运行并造成破坏。由于这些目录都保存在服务器上，在服务器上都可以正常访问或执行其中的文件，就可能使服务器与NC客户端交叉感染病毒。所以，现有NC系统防病毒能力不强，还不能自动地对各种病毒进行处理。

三、发明内容

针对现有技术NC操作系统、应用程序数据和用户的数据安全性不高，防病毒能力不强，系统鲁棒性不佳的问题，本发明提出了基于本地无操作系统的网络计算机的预防病毒方法。

图3描述了本发明的网络示意图，一NC应用服务器302、一NC用户数据服务器303(两者物理上可以部署在同一台机器上)和多个NC客户端304a、304b、304c、304d共同位于一个计算机网络301上。NC应用服务器上放置了NC操作系统内核和定制应用程序镜像，并配置了动态主机配置协议服务(Dynamic Host Configuration Protocol，DHCP)，简单文件传输协议服务(Trivial File Transfer Protocol，TFTP)，远程执行环境服务(Preboot Execution Enviroment，PXE)和重定向文件系统服务，为NC客户端提供启动服务以及系统运行过程中操作系统和应用程序所需的网络文件服务。NC用户数据服务器上配置了NC安全网络文件系统服务，为NC客户端提供可信登录验证服务，为合法用户提供私有数据文件的安全访问服务。每台客户端启动时，从NC应用服务器下载了操作系统内核和定制应用程序镜像，其中也包含了重定向文件系统的客户端程序——文件重定向器、虚拟磁盘驱动和NC安全网络文件系统的客户端程序——用户可信登陆模块、文件加解密模块。用户在NC用户数据服务器上进行可信登录验证后才能登录NC客户端。NC客户端操作系统和应用系统运行时，需要产生临时文件和配置文件，通过文件重定向器和虚拟磁盘驱动向应用服务器上的重定向文件系统服务端程序——虚拟磁盘服务程序发出请求，虚拟磁盘服务程序访问服务器上的镜像文件并返回结果305。用户对私有数据文件进行读写操作时，通过网络文件系统向用户数据服务器上的NC安全网络文件系统服务端程序——强制访问策略模块和审计模块发出请求，强制访问策略模块判断用户是否具有合法权限，审计模块对用户请求进行审计，若用户请求合法，通过网络文件系统返回用户请求的文档。在NC客户端，文件加解密模块按照需求进行加解密，共同完成对用户数据文件的访问306。下文中将结合图示对本发明进行详细说明。

本发明是一种基于本地无操作系统的网络计算机的预防病毒方法，用于包括NC应用服务器，NC用户数据服务器和多个NC客户端的计算机网络上，其中：

所述NC应用服务器，除了放置有NC操作系统内核以及应用程序镜像，动态主机配置协议服务，简单文件传输协议服务以及远程执行环境协议服务外，还在应用程序镜像中配置含有重定向文件系统服务的定制应用镜像，所述NC应用服务器为NC客户端提供启动服务以及系统运行过程中操作系统和应用程序所需的网络文件服务；其中，所述的重定向文件系统服务包含了重定向文件系统的客户端程序即文件重定向器和虚拟磁盘驱动，还包含有NC安全网络文件系统的客户端程序即用户可信登录模块和文件加解密模块，这些都保存在定制磁盘镜像文件中，以定制磁盘视图形式向所有用户提供；操作系统和应用程序运行时产生的数据保存在重定向磁盘镜像文件中，以重定向磁盘视图的形式一一对应地为每一个用户提供；在向用户提供用户视图时，重定向磁盘视图的优先级高于定制磁盘视图；NC客户端文件在以上所述的磁盘镜像文件中以磁盘扇区为单位分片乱序保存，对NC应用服务器处于不可见状态；

所述的NC用户数据服务器，其中配置了NC安全网络文件系统服务，为NC客户端提供可信登录验证服务，为合法用户提供私有数据文件目录和安全访问服务；所述用户私有数据的目录以用户安全网络文件系统下用户视图的形式一一对应地向每一个用户提供；

其特征在于，本发明所述的方法依次含有以下步骤：

步骤1：初始化

在用户使用NC客户端之前，管理员在NC用户数据服务器通过强制访问控制模块建立包括输入用户名和口令，指定用户级别并分配相应的用户私有数据目录的用户帐户，设定好用户数据服务器的强制访问规则，并通过审计模块设定审计的事件和内容；接着，管理员启动NC应用服务器和NC用户数据服务器；

步骤2：NC客户端被加电，启动NC服务过程；

步骤3：NC客户端执行非易失存储器中的引导代码，在网络上进行动态主机配置协议服务广播以便同NC应用服务器取得联系；

步骤4：NC应用服务器根据动态主机配置协议服务为NC客户端分配IP，决定操作系统类型和版本，用简单文件传输协议把操作系统核心镜像传输给NC客户端；

步骤5：NC客户端加载从NC应用服务器上下载的操作系统核心和可信登录模块，执行可信登录模块；

步骤6：所述可信登录模块把用户输入的用户名和口令发送到NC用户数据服务器进行验证：若用户名和口令不匹配，则向NC客户端发送登录失败消息；否则，用户登录成功，把用户数据服务器的用户数据目录挂接为用户私有数据盘；再由审计模块对用户登录事件进行审计；根据预先在NC用户数据服务器上设置的强制访问策略根据用户的级别来设定用户数据目录的内容和权限；

步骤7：NC客户端加载重定向文件系统的包括文件重定向器、虚拟磁盘驱动在内的客户端程序，还需加载NC安全网络文件系统的另一个客户端程序即文件加解密模块，NC客户端完成启动；向NC应用服务器发送清空重定向磁盘的请求，若重定向磁盘非空，则清空重定向磁盘；

步骤8：用户开始在NC客户端工作并进行文件访问；

步骤9：判断文件访问是否在用户数据盘进行，若是则执行步骤10，若否则转步骤13；

步骤10：通过网络文件系统向NC用户数据服务器发出文件访问请求，进行加密或普通访问；

步骤11：NC用户数据服务器上的强制访问控制模块根据用户的安全级别判断用户的请求是否合法；若请求合法，根据用户请求进行相应处理并通过网络文件系统返回相关内容；若访问非法，则返回错误信息；审计模块对用户的请求进行审计；

步骤12：NC客户端接收返回的结果，根据需要，或者通过文件解密模块进行解密，或者通过文件重定向器合成用户视图，完成文件传输和处理，转至步骤15；

步骤13：NC客户端不在用户数据盘进行文件访问时，主要为操作系统和应用程序运行时产生的数据、临时文件和配置文件时，通过文件重定向器和虚拟磁盘向NC应用服务器发出请求；

步骤14：NC应用服务器中的虚拟磁盘服务程序访问定制磁盘和重定向磁盘，再向NC客户端返回读写的文件内容，转至步骤12；

步骤15：判断NC客户端是否关机：

若关机，则NC客户端向NC应用服务器发送清空重定向磁盘的请求，在NC应用服务器上清空重定向磁盘；NC客户端向NC用户数据服务器发送关机的信号，在NC用户数据服务器上进行审计；关闭NC客户端电源；

若不关机，返回步骤8。

采用以上所述数据访问方法的网络计算机与采用现有技术的网络计算机相比，很好地解决了对定制磁盘共享与保护的问题，简化了给系统镜像添加新应用的过程，增加了系统支持的对同一文件进行并发读写的用户数，系统的防病毒能力得到了很大增强，系统的鲁棒性更好。系统具备了对引导型病毒、文件型病毒、宏病毒、网络蠕虫、特洛伊木马等各种病毒进行自动处理的能力，系统对病毒具有了自愈性。病毒在NC客户端的活跃周期被限定在系统一次开关机之间。可信登录、文件加解密和强制访问控制机制的引入，使用户数据的安全性得到很大提高。通过将一个服务器的功能分配到应用和用户数据两个服务器上，缩短了服务器对NC客户端请求的响应时间，从而提高了NC的性能。

四、附图说明

图1：现有NC系统的网络环境示意图

图2：现有NC的启动关系示意图

图3：本发明的网络环境示意图

图4：本发明所述用户重定向文件系统下的三个视图

图5：本发明的工作流程框图

五、具体实施方式

在本发明中，每个用户能看到的文件系统视图F_i都包含两部分，一部分是重定向文件系统形成的用户视图U_i，一部分是由NC安全网络文件系统形成的用户视图S_i。其关系可表达为下式(式1)：

F_i＝U_i∪S_i

(F_i：i用户文件系统视图；U_i：i用户重定向文件系统下的用户视图；S_i：i用户安全网络文件系统下的用户视图)

以下分别介绍这两个用户视图的形成机制。

在重定向文件系统中存在三个视图：定制磁盘视图402、重定向磁盘视图403、用户视图401。如图4。

定制磁盘视图对应定制磁盘404，系统中只存在一个定制磁盘，定制磁盘中包含操作系统和初始应用程序镜像。普通用户只能读定制磁盘，所有用户读到的内容都是相同的。具有系统定制权限的管理员才可以修改定制磁盘的内容。

重定向磁盘视图对应重定向磁盘405，每个用户都有一个自己的重定向磁盘，重定向磁盘中主要包含操作系统和应用程序运行过程中产生的数据。普通用户可读写自己的重定向磁盘。

定制磁盘和重定向磁盘都保存在NC应用服务器上，以一个磁盘镜像文件的形式存在，NC客户端文件在镜像中以磁盘扇区为单位进行分片乱序保存，对NC应用服务器文件系统来说，NC客户端文件系统中的文件保持不可见状态。这样，即便病毒、特洛伊木马或网络蠕虫等恶意程序存在于用户重定向磁盘中，也不可能应用服务器中运行。每个用户不能访问其他用户的重定向磁盘磁盘镜像文件，用户数据相互隔离，相互之间不会产生影响。

用户视图U_i是由定制磁盘视图C和重定向磁盘视图R_i合成的，每个用户都有自己的用户视图，其合成的规则是重定向磁盘视图的优先级高于定制磁盘视图，即当某文件或文件夹在定制磁盘视图和重定向磁盘视图都存在时，以重定向磁盘视图为准。

其关系可表达为下式(式2)：

U_i＝R_i∪(R_i∩C)

(U_i：i用户视图；R_i：用户i重定向磁盘视图；C：定制磁盘视图)

用户在通过用户视图打开文件进行读写操作时，其访问规则如下。

(读操作指不会破坏文件/目录完整性的操作，包括读文件/目录，执行文件，查看文件/目录属性，查找文件/目录等。写操作指破坏文件/目录完整性的操作，包括写文件/目录，文件/目录改名，更改文件/目录属性，创建新文件/目录，删除文件/目录等。)

读操作：

读操作	重定向磁盘上存在	重定向磁盘上不存在
			定制磁盘上存在	打开重定向磁盘上文件	打开定制磁盘上文件
定制磁盘上不存在	打开重定向磁盘上文件	返回文件不存在

写操作：

写操作	重定向磁盘上存在	重定向磁盘上不存在
			定制磁盘上存在	打开重定向磁盘上文件	将定制磁盘上的文件拷贝到重定向磁盘并打开
定制磁盘上不存在	打开重定向磁盘上文件	在重定向磁盘上创建文件并打开

在NC安全网络文件系统中的用户视图S_i包含了用户私有数据目录，还可能包含其他用户的私有数据目录。在NC网络安全文件系统中实现了基于级别的强制访问控制。结合可信登陆，每个用户登陆后拥有一个预先设定的固定级别，并将NC数据服务器上的私有数据目录挂接为自己的用户数据盘；高级别用户挂接的数据盘中包含了低级别用户的数据盘，低级别用户数据盘中也可包含高级别用户的数据盘，但读写访问的权限由系统采用的强制访问策略来进行设定，如采用BLP(BELL-LAPADULA)保密模型的两种规则：

●上读(NRU)，主体不可读安全级别高于它的客体

●下写(NWD)，主体不可写安全级别低于它的客体

在强制访问控制系统中，所有主体(用户，进程)和客体(文件，数据)都被定义了一个安全等级。低级别用户可向高级别用户的目录中写入文件，但不可列出目录，也不可读写文件。高级别用户可以读低级别用户目录和文件，但不可进行写操作。所有文件级别和用户级别相对应。用户在自己的数据盘中访问其他用户文件时，系统会自动按照预先定义的基于BLP模型和实际应用环境需求的一套访问控制规则进行判定，符合访问控制规则的允许用户继续访问，否则拒绝访问。

用户采用加密方式使用用户私有数据文件时，在NC数据服务器上的用户私有数据目录中的文件都以密文形式保存。若从NC数据服务器上访问加密文件，所能看到的文件是密文，无法正常使用。这样机制保证了用户私有文件目录在NC数据服务器端的安全性。若病毒、特洛伊木马或网络蠕虫等恶意程序存在于用户私有数据文件中，也不可能应用服务器中运行。保存在NC数据服务器上的用户私有数据目录都设置了相应的本地目录权限，只有系统中合法的用户才可本地访问自己的私有数据目录。当用户试图在NC数据服务器上对其他用户目录进行本地访问时，系统将拒绝其访问要求，并由审计模块对此进行记录。

下面参照图示对本发明进行详细说明。

NC应用服务器和NC用户数据服务器在任一NC客户端启动之前已经启动。NC应用服务器上除了保存了客户端所使用的所有的操作系统内核镜像以及初始的应用程序文件资源，镜像中还保存了重定向文件系统的客户端程序：文件重定向器、虚拟磁盘驱动和NC安全网络文件系统的客户端程序：可信登陆模块、文件加解密模块。这些都保存在定制磁盘镜像文件中。对每个用户，NC应用服务器上还保存了一个重定向磁盘镜像文件。NC客户端重启时，重定向磁盘中无内容。用户在使用NC客户端之前，应先由管理员在NC用户数据服务器上通过强制访问控制模块建立用户帐户，包括输入用户名和口令，指定用户级别并分配相应的用户私有数据目录。管理员还需设定好用户数据服务器的强制访问规则，并通过审计模块设定审计的事件和内容。

本发明在客户端接收到操作系统内核镜像之前步骤采用了与现有技术相似的办法：NC客户端被加电511之后开始NC启动过程：执行本地ROM中的引导代码512；在网络上进行DHCP广播同服务器取得联系；服务器用DHCP为客户端分配IP；客户端获得本地IP后，请求从服务器上下载操作系统核心镜像，服务器决定对应该用户的操作系统，之后用TFTP将操作系统核心镜像传输给客户端521。此后，客户端加载从服务器上下载的操作系统核心镜像和可信登录模块，执行可信登录模块513。用户输入的用户名和口令被发送到NC用户数据服务器进行验证，若用户名和口令不匹配，则返回登录失败。若用户登录成功，将用户数据服务器的用户数据目录挂接为用户私有数据盘。由审计模块对用户登录事件进行审计531。根据预先在数据服务器上设置的强制访问策略，用户数据目录的内容和权限根据用户的级别有所区别。低级别用户挂接了自己的数据目录和高级别用户的目录，可以完全控制自己的目录，对高级别目录只可提交文档，而不可列目录或读取文件。高级别用户挂接了自己的数据目录和所有低级别用户的目录，可以完全控制自己的目录，对低级别目录可以列目录和读取文件。用户登录成功后，客户端加载重定向文件系统的客户端程序——文件重定向器、虚拟磁盘驱动和NC安全网络文件系统另一个客户端程序——文件加解密模块，客户端完成启动514。为防止用户非正常退出时，没有对重定向磁盘进行清空。此时客户端向NC应用服务器上的虚拟磁盘服务程序发出请求，若用户重定向磁盘非空，对重定向磁盘进行清空。

用户开始在客户端进行工作，进行文件访问515。系统判断是否是在用户数据盘进行文件访问，若是则通过NC安全网络文件系统进行文件访问，若否，则通过重定向文件系统进行文件访问。这两种处理流程下面分别加以介绍。

在用户数据盘进行文件访问时，用户可选择进行文件加密访问。用户在私有用户数据盘中设定加密目录：在设定时输入一个加密口令，系统根据这个口令自动生成密钥，访问该目录时，用户需要输入加密口令，系统验证该口令是正确的口令后，自动还原出密钥，将加密文件解密为明文。文件加解密模块工作在网络文件系统之上，在系统的文件I/O操作流程中插入加解密处理流程，读时解密，写时进行加密。对用户和应用程序来说，只要用户在首次访问加密目录时输入正确的加密口令就可以透明的访问加密内容，但NC用户数据服务器存储的是密文。其中加密算法使用64位长度算法公开的高强度对称分组加密算法，密钥长度为128位。系统密钥的产生都采用伪随机序列的形式生成，密钥只存在于客户端运行态的内存中。密钥以密文形式保存在NC用户数据服务器的配置文件中以用于验证。对用户数据文件进行加密或普通访问，用户都通过网络文件系统向NC用户数据服务器发出文件访问请求516。NC用户数据服务器上强制访问控制策略模块根据用户的安全级别判断用户的请求是否合法。若请求合法，通过网络文件系统返回用户请求的文件内容。若访问非法则返回错误信息。审计模块对用户的请求进行审计532。

若用户的文件处理不在用户数据盘进行文件访问，则通过重定向文件系统进行文件访问。重定向文件系统客户端程序文件重定向器和虚拟磁盘驱动在NC客户端上运行。文件重定向器工作于文件系统之上。文件重定向器将用户对用户视图Ui中文件的读写请求重定向为对重定向磁盘和定制磁盘的文件请求并提交给文件系统。虚拟磁盘驱动负责处理文件系统发出的对相应硬盘进行数据读写的请求。当读写请求到达时，虚拟磁盘驱动将系统请求的起始扇区和请求扇区数目发送给服务器517。服务器上的虚拟磁盘服务程序对预置的端口进行侦听，接收到虚拟磁盘驱动的读写请求后，根据发来的起始扇区和请求扇区数目计算出要访问的相应磁盘镜像文件的访问位置，对文件进行读写操作，并把结果返回给NC客户端523。虚拟磁盘驱动和虚拟磁盘服务程序之间采用轻量级的UDP作为网络传输协议，减少了复杂协议的网络开销，提高了服务器的响应能力，可以支持的并发用户数目得到了较大提高。重定向磁盘和定制磁盘在应用服务器上以镜像文件的形式存在，其中存在一个定制磁盘，而对每个用户都有一个重定向磁盘。定制磁盘和重定向磁盘中的文件在NC应用服务器上分片乱序保存，对NC应用服务器文件系统来说，NC客户端文件系统中的文件保持不可见状态。当病毒、特洛伊木马或网络蠕虫等恶意程序存在于用户重定向磁盘中，恶意程序就有可能在用户重新登录系统时自动运行造成破坏，为防止这种情况发生，用户重定向磁盘端系统开/关机时被自动清空，即使系统感染了病毒，病毒也只能在系统一次开关机的过程中存在。NC客户端开/关机时，系统就自动清除了用户重定向磁盘其中的病毒，提高了操作系统和定制应用的安全性。

通过以上处理，在NC客户端接收到传回的数据。若用户是对用户数据盘进行加密文件访问时，则通过文件加解密模块进行解密，实现合法用户对加密内容的透明访问。若用户需返回重定向文件系统下的用户视图，则通过文件重定向器按照规则式2返回用户视图。从而完成用户对文件的传输和处理518。

用户继续工作时，系统流程又返回515。若NC客户机关机退出，则客户端向NC应用服务器上的虚拟磁盘服务程序发出请求清空用户的重定向磁盘524，并向NC用户数据服务器上的审计模块发出信号以进行NC客户端关键事件的审计。最后客户端系统进入关机断电状态519。

Claims (1)

1、一种基于本地无操作系统的网络计算机的预防病毒方法，用于包括网络计算机应用服务器，网络计算机用户数据服务器和多个网络计算机客户端的计算机网络上，其中：

所述网络计算机应用服务器，除了放置有网络计算机操作系统内核以及应用程序镜像，动态主机配置协议服务，简单文件传输协议服务以及远程执行环境协议服务外，还在应用程序镜像中配置含有重定向文件系统服务的定制应用镜像，所述网络计算机应用服务器为网络计算机客户端提供启动服务以及系统运行过程中操作系统和应用程序所需的网络文件服务；其中，所述的重定向文件系统服务包含了重定向文件系统的客户端程序即文件重定向器和虚拟磁盘驱动，还包含有网络计算机安全网络文件系统的客户端程序即用户可信登录模块和文件加解密模块，这些都保存在定制磁盘镜像文件中，以定制磁盘视图形式向所有用户提供；操作系统和应用程序运行时产生的数据保存在重定向磁盘镜像文件中，以重定向磁盘视图的形式一一对应地为每一个用户提供；在向用户提供用户视图时，重定向磁盘视图的优先级高于定制磁盘视图；网络计算机客户端文件在以上所述的磁盘镜像文件中以磁盘扇区为单位分片乱序保存，对网络计算机应用服务器处于不可见状态；

所述的网络计算机用户数据服务器，其中配置了网络计算机安全网络文件系统服务，为网络计算机客户端提供可信登录验证服务，为合法用户提供私有数据文件目录和安全访问服务；所述用户私有数据的目录以用户安全网络文件系统下用户视图的形式一一对应地向每一个用户提供；

其特征在于，本发明所述的方法依次含有以下步骤：

步骤1：初始化

在用户使用网络计算机客户端之前，管理员在网络计算机用户数据服务器通过强制访问控制模块建立包括输入用户名和口令，指定用户级别并分配相应的用户私有数据目录的用户帐户，设定好用户数据服务器的强制访问规则，并通过审计模块设定审计的事件和内容；接着，管理员启动网络计算机应用服务器和网络计算机用户数据服务器；

步骤2：网络计算机客户端被加电，启动网络计算机服务过程；

步骤3：网络计算机客户端执行非易失存储器中的引导代码，在网络上进行动态主机配置协议服务广播以便同网络计算机应用服务器取得联系；

步骤4：网络计算机应用服务器根据动态主机配置协议服务为网络计算机客户端分配IP，决定操作系统类型和版本，用简单文件传输协议把操作系统核心镜像传输给网络计算机客户端；

步骤5：网络计算机客户端加载从网络计算机应用服务器上下载的操作系统核心和可信登录模块，执行可信登录模块；

步骤6：所述可信登录模块把用户输入的用户名和口令发送到网络计算机用户数据服务器进行验证：若用户名和口令不匹配，则向网络计算机客户端发送登录失败消息；否则，用户登录成功，把用户数据服务器的用户数据目录挂接为用户私有数据盘；再由审计模块对用户登录事件进行审计；根据预先在网络计算机用户数据服务器上设置的强制访问策略根据用户的级别来设定用户数据目录的内容和权限；

步骤7：网络计算机客户端加载重定向文件系统的包括文件重定向器、虚拟磁盘驱动在内的客户端程序，还需加载网络计算机安全网络文件系统的另一个客户端程序即文件加解密模块，网络计算机客户端完成启动；向网络计算机应用服务器发送清空重定向磁盘的请求，若重定向磁盘非空，则清空重定向磁盘；

步骤8：用户开始在网络计算机客户端工作并进行文件访问；

步骤9：判断文件访问是否在用户数据盘进行，若是则执行步骤10，若否则转步骤13；

步骤10：通过网络文件系统向网络计算机用户数据服务器发出文件访问请求，进行加密或普通访问；

步骤11：网络计算机用户数据服务器上的强制访问控制模块根据用户的安全级别判断用户的请求是否合法；若请求合法，根据用户请求进行相应处理并通过网络文件系统返回相关内容；若访问非法，则返回错误信息；审计模块对用户的请求进行审计；

步骤12：网络计算机客户端接收返回的结果，根据需要，或者通过文件解密模块进行解密，或者通过文件重定向器合成用户视图，完成文件传输和处理，转至步骤15；

步骤13：网络计算机客户端不在用户数据盘进行文件访问时，主要为操作系统和应用程序运行时产生的数据、临时文件和配置文件时，通过文件重定向器和虚拟磁盘向网络计算机应用服务器发出请求；

步骤14：网络计算机应用服务器中的虚拟磁盘服务程序访问定制磁盘和重定向磁盘，再向网络计算机客户端返回读写的文件内容，转至步骤12；

步骤15：判断网络计算机客户端是否关机：

若关机，则网络计算机客户端向网络计算机应用服务器发送清空重定向磁盘的请求，在网络计算机应用服务器上清空重定向磁盘；网络计算机客户端向网络计算机用户数据服务器发送关机的信号，在网络计算机用户数据服务器上进行审计；关闭网络计算机客户端电源；

若不关机，返回步骤8。

Images