CN1741448A

CN1741448A - 用于客户计算机自行健康检查的方法和系统

Info

Publication number: CN1741448A
Application number: CNA200510084354XA
Authority: CN
Inventors: 达尔·卡维斯·克罗默; 马克·查尔斯·戴维斯; 霍华德·杰弗里·洛克; 兰德尔·斯科特·斯普林菲尔德
Original assignee: International Business Machines Corp
Current assignee: Lenovo Singapore Pte Ltd
Priority date: 2004-08-25
Filing date: 2005-07-19
Publication date: 2006-03-01
Anticipated expiration: 2025-07-19
Also published as: US20060047826A1; CN1741448B

Abstract

本发明提供了定义一贯客户PC在被授权得到使它能加入由指定的DHCP服务器服务的网络的IP地址之前，所需要的每个操作的方法和系统。每个成功的操作产生值，该值存储在客户PC的硬盘驱动器上的预定位置。从所有已存储的值创建散列，并且在加密后，在请求IP地址时将这个散列发送给DHCP服务器。DHCP服务器具有表示任何请求IP地址以加入由该DHCP服务器服务的网络的客户PC应该执行的操作的所需状态的散列。如果DHCP具有的数据串不与客户PC发送的散列匹配，那么DHCP服务器不向客户PC提供必要的IP地址。

Description

用于客户计算机自行健康检查的方法和系统

技术领域

本发明涉及计算机领域，具体地说，涉及基于网络的计算机。特别地，本发明涉及只对符合网络确定的安全性和策略要求的客户计算机提供网络访问的方法和系统。

背景技术

虽然早期的个人计算机(PC)是单独的系统，但今天大多数PC作为客户机接到网络上。通常，这个网络是一个企业范围的局域网(LAN)，通常被标识为企业网。

为了连接到企业网上，客户PC必须有一个地址。大多数企业网用因特网协议(IP)通过网络发送数据分组，因此所用的地址是IP地址。典型的是，IP地址不是静态的，而是每当客户PC登录到网络上时动态地指配给客户PC的。这个IP地址通常由动态主机配置协议(DHCP)服务器指配，其将IP地址“租”给客户PC。

由于客户PC能将数据加到企业网上，因此有着客户PC的用户有意或无意地使企业网感染软件病毒的风险。这样的病毒以各种类型侵入，包括依附于其他程序的病毒、复制和使用存储器但不依附于其他程序的蠕虫、特洛伊木马(由于不复制而不是真正的病毒，仍然危及计算机系统)等。一些病毒直接攻击存储器系统，导致数据污染或系统损坏，而其他一些病毒可由于反复向网络卸出大量数据而导致服务拒绝(DoS)，因此阻碍系统到使系统失去工作能力的程度。

为了保护网络不受病毒和病毒样程序的侵犯，网络通常有赖于在网络上每个节点本地运行的抗病毒程序。也就是说，通常每个客户PC运行一个本地实现的抗病毒程序，其可周期性地对易失性存储器(例如，系统存储器)和非易失性存储器(例如，磁盘驱动器)进行扫描，搜索病毒。这样的抗病毒程序还可以对到来数据/程序进行扫描，搜索有害的病毒。然而，如果抗病毒程序近来没有在一个特定的客户PC上运行，或者如果用户由于某种原因运行了抗病毒程序但是没有选择消除/停用任何存在的病毒，于是这个客户PC就能使整个网络感染。如果还没有下载可以检测最新病毒的抗病毒程序的最新版本，就会出现一些其他的问题。例如，大多数抗病毒程序每星期甚至还要频繁地下载含有最新病毒检测和/或修复机制的签名文件。

客户PC除在登录到一个网络上前需要是无病毒的以外，可能还需要采取其他安全和/或策略措施，诸如安装操作系统(OS)服务包、补丁、密码更新、管理配置文件，确保最新策略遵从级别之类。例如，如果客户PC没有装入和执行最近的OS服务包，那么在这个客户PC上运行的OS就会扰乱整个网络。此外，如果客户PC没有合法遵从一些规定(诸如健康保险流通和责任法案(HIPAA)的法律要求的访问要求)，则客户PC的用户就可能受到法律处罚。

因此，需要一种在允许客户计算机登录到网络上前快速确定网络上的这个客户计算机已装有和执行正确和最新的软件和策略的方法。

发明内容

因此，本发明旨在提供一种使客户计算机登录到网络上的方法和系统。在客户计算机向动态主机配置协议(DHCP)服务器发送对因特网协议(IP)地址的请求时，与这个请求一起包括一个散列标签(hashtag)。这个散列标签描述了客户计算机上业已实施的软件和策略的当前状态。将包括在客户机的对IP地址的请求内的客户机散列标签与一个存储在DHCP服务器内的散列标签相比较。存储在DHCP服务器内的散列标签反映了网络要求任何要登录到网络上的客户计算机实施的软件和策略。如果客户机的散列标签没有与存储在DHCP服务器内的散列标签匹配，就表明客户计算机没有或者没有正确运行必要的保安软件和/或没有处在正确的策略级别(policy level)。于是将必要的软件更新下载给客户计算机。客户计算机应用这些更新并创建新的散列标签。随后，使用新的散列标签的客户机重新向DHCP服务器提交对IP地址的请求。如果来自客户计算机的散列标签仍然没有与存储在DHCP服务器内的散列标签匹配，DHCP服务器就拒绝为这个客户计算机提供IP地址。

从以下详细说明中可以清楚地看到本发明的以上和其他一些目的、特征和优点。

附图说明

在所附权利要求书中提出了相信是新颖的本发明特征。然而，从以下结合附图对本发明的例示性实施例的详细说明中可以更好地理解本发明本身以及它的优选使用模式、其他用途和优点，在这些附图中：

图1示出了可采用本发明的网络；

图2例示了网络上的示范性客户计算机的方框图；

图2a示出了配置在按照本发明的一个实施例设计的服务器内的一些功能组件。

图3a-b示出了许可动态主机配置协议(DHCP)服务器为客户计算机提供因特网协议(IP)地址所采取的步骤；

图4a-b为描述客户计算机从DHCP服务器接收IP地址的流程图；以及

图5为示出在客户计算机内运行和/或应用于客户计算机的示范性安全措施、策略和软件的图形用户界面(GUI)。

具体实施方式

现在来看这些附图，特别是图1，图中示出了本发明采用的网络104的方框图。接到网络104上的有一个客户计算机102。接到网络104上的还有一个动态主机配置协议(DHCP)服务器106。虽然DHCP服务器106示为单个服务器，但实际上优选的是DHCP服务器106是由如在下面要结合图3a说明的DHCP服务器组成的网络。

现在来看图2，图中示出了客户计算机102的示范性方框图。客户计算机102包括一个处理器202，接到系统总线208上。在这个示范性实施例中，客户计算机102包括一个也接到系统总线208上的图形适配器204，用来接收供显示器206用的信息。

连接到系统总线208上的还有系统存储器210和输入输出(I/O)总线桥212。I/O总线桥212将I/O总线214与系统总线208连接，从一个总线到另一个总线转发和/或变换(transform)数据事务(transaction)。外围设备(例如，可以是硬盘驱动器、软盘驱动器、光盘只阅读存储器(CD-ROM)、数字通用光盘(DVD)驱动器之类的非易失存储器216和可以包括传统的鼠标、跟踪球之类的输入装置218)接到I/O总线214上。客户计算机102通过一个网络接口卡(NIC)220与网络104连接，如图所示。

网络104可以是因特网、企业范围的内联网、外联网，或者是任何为熟悉计算机技术的人员所知的其他网络系统。然而，在一个优选实施例中，网络104是在一个防火墙内的企业范围的局域网(LAN)。

图2所示的这个示范性实施例只是用来例示本发明的，熟悉该技术的人员可以看到无论在形式上还是在功能上许多改变都是可行的。例如，客户计算机102还可以包括声卡和扬声器、存储器控制器和各种其他任选部件。所有这样的改变都应包括在本发明的精神和范围之内。

来看图2a，图中示出了一些专用于按照本发明的一个实施例设计的服务器106的组件。如图所示，服务器106可以包括一个比较器602，用来将安全性描述符标签与描述客户计算机当前安全性级别的网络安全性描述符相比较，如在下面还要进一步说明的。此外，服务器106还可以包括一个地址提供器604，设计成在一定条件下为客户计算机提供网络地址(或IP地址)。为了通过网络104与客户计算机102及其他一些部件通信，服务器配有一个网络接口606，它可以是例如一个网络接口卡。熟悉该技术领域的人员清楚，以上这些组件可以配置在服务器内，作为可通过软件和/或经适当编程的硬件实现的类似功能的补充或替代。

现在来看图3，图中示出了按照本发明客户计算机要从DHCP服务器获得IP地址需采取的步骤的方框图。客户计算机102向包括DHCP服务器106在内的所有接到网络104上的DHCP服务器发送DHCPDISCOVER分组。DHCP服务器106检验包括客户计算机102的客户机安全性描述符散列302的DHCP DISCOVER分组。客户机安全性描述符散列302的详细情况将在下面结合图4说明。

DHCP服务器106将附着于DHCP DISCOVER分组的客户机安全性描述符散列302与一个企业安全性描述符散列304相比较。企业安全性描述符散列304是一个在被DHCP服务器106授权连接到网络104上前要求客户计算机102具备的包括安全性特征在内的所有特征的散列。这样要求的示范性安全性特征的其他情况将在下面结合图4说明。

按照一个实施例，以上比较可以用一个配置在服务器内的如图2a所示的专用比较器602执行。

如果客户机安全性描述符散列302与企业安全性描述符散列304匹配，就将一个DHCP OFFER消息发送给客户计算机102，提供从DHCP服务器106租出的因特网协议(IP)地址。客户计算机102可能从不同的DHCP服务器接收到多个DHCP OFFER分组，如果是这样的话，客户计算机102从中选择一个优选的DHCP OFFER(它提供一个具有优选租用期和具有与优选子网络的连接的IP地址)。客户计算机102将一个DHCP REQUEST分组发送给发送所选的DHCP OFFER分组的DHCP服务器106。DHCP服务器106于是用一个DHCP ACK分组，提供(租出)一个客户计算机IP地址306。

可能有时候由于客户计算机102没有诸如OS补丁、抗病毒程序(和更新)之类的最新安全性软件从而客户机安全性描述符散列302与企业安全性描述符散列304不匹配。于是参见图3b，如果DHCP服务器106确定客户机安全性描述符散列302没有与企业安全性描述符散列304匹配，DHCP服务器106就向客户计算机102发送由客户机安全性描述符散列302内不充分(inadequate)值表示的安全性更新308。例如，如果客户机安全性描述符散列302具有一个为ABCDx01_hex的价值，其中值“x”表示一个所需的抗病毒程序的最新版本还没有在客户计算机102上运行，于是DHCP服务器106就将这个抗病毒程序的最新版本发送给客户计算机102(在其可以装入和运行的的情况下)。客户计算机102于是运行接收到的抗病毒程序，并更新客户计算机描述符散列302。安全性更新308内的其他项包括(但不局限于)软件补丁、公共加密密钥、用来形成描述符散列的散列算法等。

然后，经更新的客户机安全性描述符散列302与客户机的DHCPREQUEST分组(从DHCP服务器106请求IP地址)一起发送。DHCP服务器106将经更新的安全性描述符散列302与企业安全性描述符散列304相比较，如果它们匹配，就在DHCP ACK分组内向客户计算机102发送客户计算机IP地址306和许可证。

现在来看图4a，图中示出了本发明的优选实施例的流程图。启动方框402后，客户计算机启动DHCP过程(方框404)。具体地说，客户计算机广播DHCP DISCOVER分组，从DHCP服务器网络请求IP地址。一个或多个DHCP服务器接收到DHCP DISCOVER分组后，用一个对客户机安全性描述符散列的请求进行响应(方框406)(如果其尚未与DHCP DISCOVER分组一同发送的话，如上面结合图3a-b所说明的那样)。

于是，客户计算机将它的安全性描述符散列发送给DHCP服务器(方框408)。客户机安全性描述符散列被定义为一个表示客户计算机多个安全性属性的散列值。所述散列值是从一串安全性描述记录产生的数，其大大小于这些记录本身。例如，考虑以下记录：

抗病毒程序 Norton^TM

上次运行抗病毒程序的时间在过去24小时内

用来加密的公钥 AB28749BC293

数据访问安全性级别遵从HIPAA

这些记录指出：客户计算机已经安装了一个Norton^TM抗病毒程序，而且在过去24小时内已经运行过这个抗病毒程序；加密消息所用的公钥是“AB28749BC293”(属于一个公/私钥对，其中私钥存储在一个最好可由DHCP服务器访问的位置)；以及访问数据的安全性级别遵从健康保险流通和责任法案(HIPAA)，(如在U.S.FederalRegistry/Volume 63，No.155/Wednesday，August 12，1998/ProporsedRules，pages 43269 to 43271中所说明的，它在这里列为参考全面予以引用)，包括数据访问控制、病毒检验、记录清除、数据验证、加密等所需的安全性级别。

可以将以上所示的这些各指出客户计算机的安全性属性的示范性记录优选地用一些各指出每个安全性属性的一个状态的标志散列成单个客户机安全性描述符散列(标签)，诸如A93F，其从客户计算机发送给DHCP服务器(如上面对方框408所说明的那样)。在一个优选实施例中，客户机安全性描述符散列标签用它的公钥加密，其与存储在DHCP服务器内的私钥成对，在所述DHCP服务器内对客户机安全性描述符散列标签解密。

注意，所示的这些记录都是示范性的，并没有列出本发明所考虑的所有类型的安全性级别/特征。也就是说，在一个优选实施例中本发明考虑到企业安全性描述符散列304和匹配的客户机安全性描述符散列302(图3a-b中所示)都基于DHCP服务器在将IP地址许可证授予客户计算机前所要求的整个协议。怎样定义和执行这整个协议的优选实施例如图4b所示。

在启动方框418后，定义对于任何要登录到网络上的客户PC的企业安全性要求(方框420)。这些对要加入网络的客户PC的安全性要求包括(但不局限于)：装在客户PC上的是什么抗病毒程序，上次什么时候在客户PC上运行过抗病毒程序，在客户PC上安装的是哪些OS服务包，任何要求安装在客户PC上的软件补丁，客户PC上设置了什么策略遵从级别来限制用户访问和/或操作客户PC上的软件(包括数据库和程序)的能力，客户PC所用的加密例程和口令(或密钥)，等等。为这些所定义的企业安全性要求指定一个预定义的次序(方框422)，以便如在下面所说明的那样使散列结果一致。

一旦定义了企业安全性要求和排定了企业安全性要求的次序，就对每个企业定义安全性要求的完成或遵从状态定义指示符(方框424)。例如，运行一个抗病毒程序的最新版本可以将一个值置入客户PC内的硬盘驱动器(诸如图2中所示的非易失存储器216)上的预定义位置。这个值与在操作(如果适当的话，完成)所有其他企业安全性要求时产生的值一同按照预定义的次序存储在硬盘驱动器的预定义位置上，如方框424所示。

然后，定义用于所存储的(反映企业安全性要求的遵从状态的)这些值的散列例程(方框426)。还定义加密指令(方框428)，包括需运行哪个加密程序、需用什么公钥等。

作为散列的例示，考虑反映以上遵从状态的四个记录(1.装有Norton抗病毒程序；2.在过去24小时内在客户PC上运行过Norton抗病毒程序；3.将公钥AB28749BC293用于加密；4.客户PC遵从HIPAA)。如果所有这些条件都满足，这四个记录的一组条件值就可以是一个诸如“E98A_hex”之类的数据串，存储在客户PC的硬盘驱动器内一个特定的预定位置。(注意，虽然为了例示清晰起见表示为一个四字节的值，但散列数据串的优选长度实际为20字节。)

然后，将在方框420-428内所描述的所有特征的指令和定义发送给客户PC(方框430)，在终止方框432结束这些步骤。因此，每个客户PC现在具有客户PC在被允许从DHCP服务器获得IP地址前必须具有什么和做什么的概况(基于方框430内所示的这些项)。在本发明的一个优选实施例中，方框420-428内所描述的这些步骤由DHCP服务器执行。

再来看图4a，DHCP服务器于是将发送的客户机散列与存储在DHCP服务器内和/或可由DHCP服务器访问的企业安全性描述符散列相比较。按照一个实施例，以上比较可以用一个配置在服务器内的如图2a所示的专用比较器602执行。企业安全性描述符散列是一个客户计算机要加入由DHCP服务器服务的网络所需要的最少安全性描述符级别的一个散列。也就是说，DHCP服务器将识别安全性特性(诸如上面对客户计算机所说明的那些)的列表。这些安全特性用与上面由客户计算机用的相同的散列程序散列成一个企业安全性要求散列。当且仅当(正在请求使它能够登录到特定网络上的IP地址的)客户计算机具有一个与企业安全性描述符散列匹配的安全性描述符散列标签时(方框410)，DHCP服务器才完成DHCP IP地址指配(方框414)。注意，查询方框410内的查询为“最新散列？”，因为客户机安全性描述符散列不仅必须包含在企业安全性描述符散列内描述的最新安全性特性，而且这些特性(特别是抗病毒程序)必须已经在由DHCP服务器所要求的并且在企业安全性描述符散列内所表示的近期时段内运行(安装并执行)过。

如果散列不是最新的，DHCP服务器可以直接就判定这个请求IP地址的客户计算机不应得到IP地址(见从查询方框410出来的虚线)，过程结束(终止方框416)。然而，DHCP服务器在认识到没有达到所要求的安全性级别时，可以向客户计算机发送使客户机安全性描述符散列达到DHCP服务器的标准所需的软件(方框412)。例如，客户机的安全性描述符散列可以指示客户计算机仍然在使用一个没有安装最新安全性补丁的操作系统(OS)。DHCP服务器于是将这个OS补丁发送给客户计算机，使客户计算机更新它的安全性描述符散列，指出已经安装了OS补丁。客户机安全性描述符散列现在可以得到更新，并且如果它与DHCP服务器内的企业安全性描述符散列匹配，DHCP服务器就向客户计算机发送IP地址，从而完成DHCP IP地址指配过程(方框416)。

按照一个实施例，IP地址由服务器内的一个地址提供器604提供给客户计算机(图2a)。

如果如上面所说明的散列比较没有向DHCP服务器提供足以知道需要向客户计算机发送什么修复的足够信息，那么客户计算机在接收到DHCP服务器的请求后可以发送有关客户计算机的安全性、策略和软件程序的附加信息。例如，如图5所示，图形用户界面(GUI)502向客户计算机的用户示出了当前在客户计算机上的是什么策略/软件设置。如果客户计算机发送的散列没有与DHCP服务器内的企业安全性描述符散列匹配，DHCP服务器可以向客户计算机请求与业已应用什么安全性级别、软件和策略有关的附加信息，诸如图形用户界面502内所示的那些。

除了在GUI 502内所示的这些一般描述符之外，客户计算机可以发送有关客户计算机内安全性设置的附加信息。这样的信息可以包括(但不局限于)：哪个公司编写了特定的软件，软件何时装入客户计算机，软件何时最后一次更新，软件存储在客户计算机的什么位置(文件路径)，客户计算机使用什么类型的网络连接器，等等。接收到所有或其中一些(相关部分的)详细信息，DHCP服务器于是就可以将适当的补丁/更新等发送给客户计算机，以使客户计算机遵从网络的安全性要求。

因此，本发明提供了一种定义客户PC在被允许得到使其能加入一个由指定DHCP服务器服务的网络之前，所需要的每个操作的方法和系统。每个成功的操作产生一个值，其存储在客户PC的硬盘驱动器上一个预先确定的位置。从所有的已存储值产生散列，并且在加密后，在请求IP地址时将这个散列发送给DHCP服务器。DHCP服务器具有一个表示任何请求IP地址以加入由DHCP服务器服务的网络的客户PC应该执行的操作的所需状态的散列串。如果DHCP具有的数据串不与客户PC发送的散列匹配，DHCP服务器就不会向客户PC提供必要的IP地址。

可以理解，本发明的至少一些方面也可以以一种程序产品的形式实现。规定本发明的功能的程序可以通过各种承载信号的媒体发给一个数据存储系统或计算机系统，承载信号的媒体包括(但不局限于)：非可写存储媒体(例如，CD-ROM)，可写存储媒体(例如，软盘、硬盘驱动器、读/写CDROM、光媒体或USB存储部件)，以及诸如包括以太网在内的计算机和电话网络之类的通信媒体。因此，可以理解，在这样的承载信号的媒体内，在载有或编有有实现本发明的方法的计算机可读指令时，表示本发明的一些可替代的实施例。此外，可以理解，本发明可以用一种具有如在这里所说明的硬件、软件或软件和硬件的组合形式的装置或与之等效的装置的系统实现。

虽然以上是结合本发明的一个优选实施例对本发明进行说明的，但熟悉该技术的人员可以理解其中无论在形式上还是在细节上都可以作出各种改变，这并不背离本发明的精神和专利保护范围。

Claims

1.一种方法，所述方法包括下列步骤：

将服务器耦合到网络上；

定义在客户计算机被授权登录到网络上之前，需由该客户计算机植入的多个安全性要求；

在服务器接收来自客户计算机的对网络地址的请求，所述网络地址使客户计算机能够登录到网络上，对网络地址的请求包括描述客户计算机遵从所需的安全性要求的状态的安全性描述符标签；

将安全性描述符标签与网络安全性描述符相比较，网络安全性描述符描述与客户计算机登录到网络上所需要的安全性要求遵从的状态；以及

只有在安全性描述符标签与网络安全性描述符匹配时，才为客户计算机提供所请求的网络地址。

2.如权利要求1所述的方法，其中所述网络地址是因特网协议(IP)地址，而所述服务器是动态主机配置协议(DHCP)服务器。

3.如权利要求1所述的方法，其中所述客户计算机遵从所需的安全性要求的状态由存储在客户计算机的非易失性存储器内的一个预定位置的数据串表示。

4.如权利要求3所述的方法，所述方法还包括下列步骤：

对表示客户计算机遵从状态的数据串进行散列，使得安全性描述符标签是客户机安全性描述符散列；

对网络安全性描述符进行散列，以创建企业安全性描述符散列；

将客户机安全性描述符散列与企业安全性描述符散列相比较；以及

只有在客户机安全性描述符散列与企业安全性描述符散列匹配时，才为客户计算机提供所请求的IP地址。

5.如权利要求4所述的方法，所述方法还包括下列步骤：

响应于来自客户计算机的散列数据串与企业安全性描述符散列不匹配，发送描述客户计算机内遵从状态的详细描述符的至少一部分。

6.如权利要求1所述的方法，其中所述安全性描述符标签基于客户计算机上次运行抗病毒程序的时间。

7.如权利要求1所述的方法，其中所述安全性描述符标签基于客户计算机是否具有充分的数据访问保护，以防止对客户计算机上的数据的未授权数据访问。

8.如权利要求7所述的方法，其中所述充分的数据访问保护遵从健康保险流通和责任法案(HIPAA)。

9.如权利要求1所述的方法，其中所述安全性描述符标签基于客户计算机是否已经执行服务器所要求的所有操作系统(OS)补丁。

10.如权利要求1所述的方法，其中所述安全性描述符标签基于客户计算机是否具有与密钥对中的第二密钥匹配的第一密钥，所述第二密钥存储在服务器中。

11.如权利要求1所述的方法，其中所述安全性描述符标签基于客户计算机是否已经下载和执行了由服务器标识的与网络通信所需的所有补丁。

12.如权利要求1所述的方法，所述方法还包括下列步骤：

响应于安全性描述符标签与网络安全性描述符不匹配，从客户计算机向服务器发送列有当前在客户计算机内的软件和安全性设置的非散列列表，所述软件和安全性设置先前已经由客户计算机散列以创建客户计算机的安全性描述符标签；以及

响应于在服务器接收到非散列列表，从服务器向客户计算机发送任何所需的校正软件，所述软件在运行时使客户计算机遵从网络的安全性要求，从而产生与网络安全性描述符匹配的安全性描述符标签。

13.一种驻留在计算机可用媒体上的计算机程序产品，所述计算机程序产品包括：

将服务器耦合到网络上的程序代码；

定义在客户计算机被授权登录到网络上之前，需由该客户计算机植入的多个安全性要求的程序代码；

在服务器接收来自客户计算机的对网络地址的请求的程序代码，所述网络地址使客户计算机能够登录到网络上，对网络地址的请求包括描述客户计算机遵从所需的安全性要求的状态的安全性描述符标签；

将安全性描述符标签与网络安全性描述符相比较的程序代码，网络安全性描述符描述与客户计算机登录到网络上所需要的安全性要求遵从的状态；以及

只有在安全性描述符标签与网络安全性描述符匹配时，才为客户计算机提供所请求的网络地址的程序代码。

14.如权利要求13所述的计算机程序产品，其中所述网络地址是因特网协议(IP)地址，而所述服务器是动态主机配置协议(DHCP)服务器。

15.如权利要求13所述的计算机程序产品，其中所述客户计算机遵从所需的安全性要求的状态由存储在客户计算机的非易失性存储器内一个预定位置的数据串表示。

16.如权利要求15所述的计算机程序产品，所述计算机程序产品还包括：

对表示客户计算机遵从状态的数据串进行散列，使得安全性描述符标签是客户机安全性描述符散列的程序代码；

对网络安全性描述符进行散列，以创建企业安全性描述符散列的程序代码；

将客户机安全性描述符散列与企业安全性描述符散列相比较的程序代码；以及

只有在客户机安全性描述符散列与企业安全性描述符散列匹配时，才为客户计算机提供所请求的IP地址的程序代码。

17.如权利要求13所述的计算机程序产品，所述计算机程序产品还包括：

响应于安全性描述符标签与网络安全性描述符不匹配，从客户计算机向服务器发送列有当前在客户计算机内的软件和安全性设置的非散列列表的程序代码，所述软件和安全性设置先前已经由客户计算机散列以创建客户计算机的安全性描述符标签；以及

响应于在服务器接收到非散列列表，从服务器向客户计算机发送任何所需的校正软件的程序代码，所述软件在运行时使客户计算机遵从网络的安全性要求，从而导致与网络安全性描述符匹配的安全性描述符标签。

18.一种系统，所述系统包括：

与网络耦合的服务器；

在服务器中的网络接口，用来在服务器接收来自客户计算机的对网络地址的请求，所述网络地址使客户计算机能够登录到网络上，对网络地址的请求包括描述客户计算机的当前安全性级别的安全性描述符标签；

在服务器中的比较器，用来将安全性描述符标签与网络安全性描述符相比较，所述网络安全性描述符描述网络所需的允许客户计算机登录到网络上的当前安全性级别；以及

在服务器中的地址提供器，用来只有在安全性描述符标签与网络安全性描述符匹配时，才为客户计算机提供所请求的网络地址。

19.如权利要求18所述的系统，其中所述网络地址是因特网协议(IP)地址，所述服务器是动态主机配置协议(DHCP)服务器，并且其中所述安全性描述符标签是表示客户计算机的多个安全性属性的散列值。

20.如权利要求19所述的系统，其中所述安全性描述符标签是描述客户计算机要登录到网络上所需的多个安全性要求的预定次序的散列串，并且其中所述网络安全性描述符是描述与客户计算机要登录到网络上所需的安全性要求的遵从状态的散列串。