TWI556129B - 管理伺服器與方法，及客戶端裝置與其監控方法 - Google Patents

Description

管理伺服器與方法，及客戶端裝置與其監控方法

本案是有關於一種管理伺服器與方法，及客戶端裝置與其監控方法。

隨著智慧行動裝置的普及，使用者如果可以使用行動裝置來執行公司業務的話，將有助於提升工作效率(因為員工能隨時隨地存取企業資源)。然而，此種企業行動政策需要能有效保護/管制使用者對行動裝置的操作是否違反公司行動政策、安裝於行動裝置上的應用程式是否被公司行動政策所允許/禁止、企業資源存取之安全性等。

為達有效管制/保護公司行動政策，企業內部資訊單位要替企業內部受管控裝置/人員訂定政策(哪些動作/應用程式是被允許/禁止的)。然而，隨著目前科技一直進步，行動裝置的類型推陳出新且應用程式的出現如雨後春筍，造成資訊單位在資全管制/保護上的龐大負擔。

一般來說，這種資安保護/管制需要企業付出較大成本，比如，需要有效的管理系統，且需要熟悉行動應用領域的資 訊人力進行維護/更新/監控，以維持相關安全政策與資料庫。故而，對於中小型企業，如何管制行動裝置與落實企業資安政策，則為一大挑戰。

本案係有關於一種管理伺服器與方法，客戶端裝置與其監控方法。由客戶端監控程式初步監控及判斷使用者對客戶端裝置之使用是否被禁止/允許。如果客戶端監控程式無法確定的話，則客戶端監控程式將相關資料回傳給後端的管理伺服器以進行更進一步的判斷。

根據本案一實施例，提出一種管理伺服器，包括：一服務管理模組，接收並分派由安裝於一客戶端裝置上之一客戶端監控程式所回傳的一回傳資訊；一檢驗模組，當該客戶端監控程式所回傳之該回傳資訊指向一應用程式時，該檢驗模組檢驗該欲安裝於該客戶端裝置上之該應用程式是否被一管理政策所允許/禁止並評估一相對應風險，當該客戶端監控程式所回傳之該回傳資訊指向該客戶端裝置之一狀態改變時，該檢驗模組檢驗該客戶端裝置之該狀態改變是否被該管理政策所允許/禁止並評估該相對應風險，以及當該客戶端監控程式所回傳之該回傳資訊指向操作該客戶端裝置之一使用者行為時，該檢驗模組檢驗操作該客戶端裝置之該使用者行為是否被該管理政策所允許/禁止並評估該相對應風險；一評估模組，根據該檢驗模組之一檢驗結果與該相對應風險，進行風險評估與計算，並對該客戶端裝置回傳一管 理動作；以及一政策管理模組，接收一原始企業管理政策，解析與重組該管理政策，以回傳一管理政策中介資料給該客戶端裝置。

根據本案另一實施例，提出一種管理方法，應用於一管理伺服器，包括：接收並分派由安裝於一客戶端裝置上之一客戶端監控程式所回傳的一回傳資訊；當該客戶端監控程式所回傳之該回傳資訊指向一應用程式時，檢驗該欲安裝於該客戶端裝置上之該應用程式是否被一管理政策所允許/禁止並評估一相對應風險；當該客戶端監控程式所回傳之該回傳資訊指向該客戶端裝置之一狀態改變時，檢驗該客戶端裝置之該狀態改變是否被該管理政策所允許/禁止並評估該相對應風險；當該客戶端監控程式所回傳之該回傳資訊指向操作該客戶端裝置之一使用者行為時，檢驗操作該客戶端裝置之該使用者行為是否被該管理政策所允許/禁止並評估該相對應風險；根據一檢驗結果與該相對應風險，進行風險評估與計算，並對該客戶端裝置回傳一管理動作；以及接收一原始企業管理政策，解析與重組該管理政策，以回傳一管理政策中介資料給該客戶端裝置。

根據本案更一實施例，提出一種客戶端裝置監控方法，應用於一客戶端裝置，包括：於該客戶端裝置運行時，由安裝於該客戶端裝置上之一客戶端監控程式取得一客戶端裝置的一元件狀態資訊；於該客戶端裝置安裝或更新一應用程式時，該客戶端監控程式取得該應用程式之一相關資訊；該客戶端監控程 式記錄對該客戶端裝置之一使用者操作；以及根據由一管理伺服器所傳送來之一管理政策中介資料，該客戶端監控程式對該客戶端裝置的該元件狀態資訊、該應用程式之該相關資訊以及所記錄之該使用者操作進行比對評估並執行對應動作。

根據本案又一實施例，提出一種客戶端裝置，包括：一記憶體，儲存一客戶端監控程式；以及一處理器，耦接至該記憶體，當該處理器執行該客戶端監控程式時，可執行上述功能。

為了對本案之上述及其他方面有更佳的瞭解，下文特舉實施例，並配合所附圖式，作詳細說明如下：

110‧‧‧企業資訊單位

120‧‧‧管理伺服器

130‧‧‧客戶端監控程式

140‧‧‧企業資源

210‧‧‧服務管理模組

220‧‧‧檢驗模組

230‧‧‧評估模組

240‧‧‧政策管理模組

221‧‧‧應用程式檢驗模組

222‧‧‧裝置管理模組

223‧‧‧使用者行為分析模組

310~355、410~470、510~570、610~670、710~740、810~830‧‧‧步驟

900‧‧‧客戶端裝置

910‧‧‧處理器

920‧‧‧記憶體

930‧‧‧螢幕

第1圖顯示根據本案一實施例之企業管理示意圖。

第2圖顯示根據本案一實施例之管理伺服器與客戶端監控程式之詳細示意圖。

第3圖顯示根據本案一實施例之客戶端監控程式之詳細操作示意圖。

第4圖顯示根據本案一實施例之應用程式檢驗模組之詳細操作示意圖。

第5圖顯示根據本案一實施例之裝置管理模組之詳細操作示意圖。

第6圖顯示根據本案一實施例之使用者行為分析模組之詳細操作示意圖。

第7圖顯示根據本案一實施例之評估模組之詳細操作示意 圖。

第8圖顯示根據本案一實施例之政策管理模組之詳細操作示意圖。

第9圖顯示根據本案一實施例之客戶端裝置之一例。

本說明書的技術用語係參照本技術領域之習慣用語，如本說明書對部分用語有加以說明或定義，該部分用語之解釋係以本說明書之說明或定義為準。本揭露之各個實施例分別具有一或多個技術特徵。在可能實施的前提下，本技術領域具有通常知識者可選擇性地實施任一實施例中部分或全部的技術特徵，或者選擇性地將這些實施例中部分或全部的技術特徵加以組合。

現請參考第1圖，其顯示根據本案實施例之企業管理示意圖。如第1圖所示，企業資訊單位110可以制定原始企業管理政策，其比如包括，哪些應用程式是被允許/禁止的、各群組包括什麼成員、各成員對裝置的哪些操作是被允許/禁止等。在此一個群組比如是指，企業集團底下的一個分公司/子公司的員工等。

根據本案實施例之管理伺服器120則可以根據由企業資訊單位110所制定出的原始企業管理政策，進行應用程式檢驗(以檢驗安裝於客戶端裝置上的應用程式是否為允許/禁止)、進行裝置管理(以確認，裝置狀態改變是否為允許/禁止)、進行使用 者行為分析(以分析使用者對裝置的操作是否為高風險或惡意等)。管理伺服器120可更警示及回報給企業資訊單位110。

管理伺服器120溝通於企業資訊單位110與客戶端監控程式130，接收原始企業管理政策，並對原始企業管理政策進行相關處理(評估、組合、分派)之動作。管理伺服器120更可以對被管理政策所涵蓋/管控之裝置發布組態設定與管理資訊等。

管理伺服器120可以根據企業資訊單位110所制定出的原始企業管理政策來進一步地產生適合各使用者的管理政策(比如，如果此使用者橫跨數個群組的話)。管理伺服器120可以管控客戶端裝置上的客戶端監控程式130。

使用者可以安裝根據本案實施例之客戶端監控程式130於比如但不受限於，行動裝置，個人電腦(PC)，虛擬裝置等。客戶端監控程式130可以執行於客戶端裝置上，監控客戶端裝置的各項裝置參數與狀態，並監控安裝於此客戶端裝置上的應用程式的執行環境。當有新進程式安裝於客戶端裝置上時，客戶端監控程式130判定此新安裝程式是否屬於黑/白名單，或屬於高風險程式。客戶端監控程式130溝通於管理伺服器120，且可以載入管理政策設定中介資料，以對使用者行為檢查是否屬於禁止/允許的行為，客戶端監控程式130更可以檢查所安裝的應用程式是否屬於黑/白名單內的應用程式，或判定所安裝的應用程式是否具有高度/中度/低度風險。在進行相關操作後，客戶端監控程式130回傳相關資料給管理伺服器120，以讓管理伺服器120進行詳細 判定與風險評估。

在客戶端監控程式130的監控之下，使用者可以操作裝置來連線至企業網路，以存取企業資源140。企業資源140包括企業應用程式與企業資料等。亦即，使用者可以安裝企業應用程式，存取企業資料等。比如，使用者可透過行動裝置，在客戶端監控程式130的監控之下，存取企業內部的資源，或與企業伺服器進行連線等。企業應用程式是指，由企業提供專屬的應用程式給員工使用(通常，這類企業應用程式不會對外開放)。

此外，在本案實施例中，企業資源140(如企業應用程式、企業資料、企業系統等)可放置於公有雲或者是企業內部伺服器，此亦在本案精神範圍內。

如果企業把內部資料與系統放在公有雲上，客戶端裝置可以連接上公有雲來取得所需資料、系統與服務，此亦是未來趨勢之一，而本案實施例亦可以兼顧到此方面的發展。

本案一實施例的管理伺服器120可以同時服務很多客戶/企業，或者是同一個公司/集團底下的不同分公司/子公司所形成的不同群組。如果使用者橫跨多個群組的話，或者是資訊管理政策有所衝突的話，可由本案實施例的管理伺服器120來加以判定/管理。比如，當員工出差至在國外分公司時，其行動裝置適用於國外管理政策，但當員工回到國內後，其行動裝置得要適用國內管理政策。這種情況可由本案實施例的管理伺服器120加以處理/判斷/融合。

比如，管理政策規定，整個公司全部禁止使用行動裝置的攝影機，則不論行動裝置的使用者是誰，一律不准使用攝影機。所以，如果客戶端裝置進到公司內，則客戶端裝置的攝影機功能就會被客戶端監控程式130所禁止。

簡言之，客戶端裝置接受本案實施例之管理伺服器之管理。企業可要求使用者將客戶端監控程式130安裝於使用者私有裝置上。當客戶端裝置處於企業領域(Domain)中時，客戶端裝置可藉由相關設定(憑證或網路帳號密碼等)來存取企業相關資源。但裝置相關狀態、應用程式資訊以及使用者操作紀錄等，則受到客戶端監控程式130之監控。客戶端監控程式130進行初步判定與對應之管理操作。對於應用程式安裝，客戶端監控程式130進行判定是否命中管理伺服器所送來之黑/白名單，以決定是否允取/禁止安裝。若未命中黑/白名單但有部分資訊相同(這將可能出現誤判或風險狀態)，則客戶端監控程式130進一步蒐集資料送至管理伺服器120進行判定。

客戶端監控程式130在安裝之初，會依據裝置與使用者(員工)資訊，向管理伺服器120取得管理政策資訊。管理政策資訊比如包含各項被禁止之裝置設定與狀態，各項被禁止之使用者操作，應用程式黑/白名單資訊以及狀況處理描述檔(描述遇到情況時，該如何處理)。客戶端監控程式130依據管理政策資訊持續收集客戶端裝置之各項狀態資訊進行監控與快速判定，若出現違反設定之情況或無法判定之狀態，則客戶端監控程式130將 相關資料送至管理伺服器120進行進一步判定與管理操作。

具備監控裝置狀態、使用者操作行為與應用程式資訊之客戶端監控程式130可以：於客戶端裝置運行時，取得客戶端裝置的當下各項功能元件狀態資訊；於應用程式安裝或更新時，取得應用程式相關資訊；對使用者操作之動作進行記錄；接受後方管理伺服器120所傳送來之管理政策中介資料；對前述四項內容進行比對評估與執行對應動作；以及依據設定資料，回傳對應資訊至後端管理伺服器，並接收與執行由後端管理伺服器所傳來之命令/管理動作。

管理伺服器120對企業資訊單位110所設定之企業管理政策進行運算(展開或重組)後派送給客戶端監控程式130進行操作。如果管理伺服器120接收到客戶端監控程式130送回之相關資訊，則對於裝置狀態、應用程式資訊、使用者操作紀錄等進行比對與運算(由不同內部模組，其細節將於底下詳述)，並將結果由內部的評估模組(見第2圖)進行最後評估，之後，反應給使用者(員工)或企業資訊單位。

現請參考第2圖，其顯示根據本案一實施例之管理伺服器120與客戶端監控程式130之詳細示意圖。如第2圖所示，管理伺服器120包括：服務管理模組210、檢驗模組220、評估模組230與政策管理模組240。檢驗模組220更包括：應用程式檢驗模組221、裝置管理模組222與使用者行為分析模組223。

服務管理模組210接收由客戶端監控程式130所傳 來的相關資訊，分派至檢驗模組220的內部對應模組。

檢驗模組220用以檢驗裝置所安裝的應用程式是否被管理政策所允許/禁止並評估相對應風險，檢驗裝置的狀態改變是否被管理政策所允許/禁止並評估相對應風險，檢驗使用者行為是否被管理政策所允許/禁止並評估相對應風險。檢驗模組將檢驗結果傳送至評估模組230。

亦即，檢驗模組220在收到由客戶端監控程式130所派送來之應用程式相關資訊時(比如，當客戶端監控程式130判定新安裝的應用程式為並非黑/白名單，但卻有部分資訊相關於黑/白名單時)，檢驗模組220將之比對於應用程式資料庫(黑/白名單程式與其他收集之程式細部資料)，以確認此新安裝程式是否為黑名單之偽裝程式，或為可信賴之白名單程式的改版，或者為資料庫中所蒐集之惡意程式之偽裝。當比對出程式屬於黑/白名單或高風險程式時，檢驗模組220進行相關反應與操作。

根據本案一實施例，應用程式檢驗模組221接收由服務管理模組210所傳來的應用程式相關資訊，以檢驗裝置所安裝的應用程式是否被管理政策所允許/禁止。應用程式檢驗模組221將檢驗結果傳送至評估模組230。當客戶端監控程式130發現某隻程式並沒有符合黑/白名單，但是，此程式的部分特徵符合黑/白名單時，客戶端監控程式130可回送相關資訊給服務管理模組210，以傳送給應用程式檢驗模組221來判定此程式是否為黑/白名單內所列出的應用程式。此外，可以視管理政策而定，客戶 端監控程式130可將欲安裝的全新未知程式的相關資訊回傳至服務管理模組210以傳送給應用程式檢驗模組221進行分析。

裝置管理模組222接收由服務管理模組210所傳來的裝置狀態相關資訊，檢驗裝置的狀態改變是否被管理政策所允許/禁止。裝置管理模組222將檢驗結果傳送至評估模組230。當裝置狀態改變時，客戶端監控程式130可判定此狀態改變是否違反管理政策。此外，即便客戶端監控程式130判定此狀態改變未違反管理政策，客戶端監控程式130亦可回送當下的裝置資訊、應用程式資訊、位置資訊等相關輔助資訊(亦可稱為裝置狀態相關資訊)給裝置管理模組222來進行判讀。

使用者行為分析模組223接收由服務管理模組210所傳來的使用者行為相關資訊，檢驗使用者行為是否被管理政策所允許/禁止。使用者行為分析模組223將檢驗結果傳送至評估模組230。使用者行為分析模組223對使用者行為進行判讀，以分析使用者是否進行高風險行為或惡意行為。

評估模組230根據應用程式檢驗模組221、裝置管理模組222與使用者行為分析模組223之個別判定結果，進行風險評估與計算，並導入風險政策資料中的反應清單，對客戶端裝置進行主動操作管理且回報給企業管理單位。

政策管理模組240接收企業資訊單位110所制定出的原始企業管理政策，並提供政策解析與重組之功能。當對企業內不同部門/分公司進行監控時，如果出現管理政策衝突(比如， 使用者橫跨多個群組導致應用至此使用者的多個管理政策彼此相衝突，或如果同集團的不同公司/合作企業對同一使用者制定了不同管理政策)，政策管理模組240可依據相關邏輯，重組並定義新的管理政策給相關受管理行動裝置。

第3圖顯示根據本案一實施例之客戶端監控程式130之詳細操作示意圖。在本案實施例中，客戶端監控程式130監控裝置狀態、應用程式資訊與使用者操作紀錄等。

如第3圖所示，客戶端監控程式130接收由政策管理模組240所送來的政策中介資料。政策中介資料包括，比如但不受限於：禁止參數(如禁止藍芽、相機等)，應用程式黑/白名單(Black/White List)與其對應資訊(應用程式之名稱資訊、封包名稱(Package Name)、資源配置文件(Manifest)、開發者自行簽章(Self-Sign)或雜湊函數(Hash)等資訊)，被禁止之使用者操作動作(如使用者裝置被禁止複製畫面影像，禁止刷機(Root)等)以及，如果發現使用者裝置執行被禁止之操作時，客戶端監控程式130所要進行的對應操作(比如，如果偵測到使用者裝置開啟相機，則客戶端監控程式130回報給管理伺服器120；或者，如果偵測到使用者裝置安裝了黑名單上的應用程式，則客戶端監控程式130移除此黑名單應用程式並回報給管理伺服器120等)。

之後，客戶端監控程式130產生管理組態資料(包括組態設定資料、應用程式特徵比對資訊矩陣等)(310)，且客戶端監控程式130執行更動後的組態設定或動作。客戶端監控程式130 偵測裝置操作及/或應用程式的狀態(315)，以判斷狀態是否改變(320)。在此，狀態改變比如是指，使用者裝置安裝新的應用程式或更新應用程式或是使用者裝置打開攝影機等，或者是客戶端裝置連線至不同的無線存取點(AP)等。

如果狀態改變的話，則客戶端監控程式130根據管理組態資料來檢驗狀態(325)，以初步判定此狀態改變是否導致高度/中度風險(330)。

比如，以應用程式而言，如果客戶端監控程式130判定此應用程式屬於黑名單的話，則客戶端監控程式130決定安裝此應用程式的操作屬於高度風險。另外一方面，如果應用程式的部份資訊命中黑名單的話，則可藉由比對封包名稱(Package Name)、資源配置文件(Manifest)、開發者自行簽章(Self-Sign)來判定此應用程式是否屬於高度/中度/低度風險。下表1顯示風險判定表之一舉例。

於表1中，符號“O”代表比對相同，“X”代表比較結果不同。而“*”完全沒命中任何一項資訊，代表此應用程式為全新應用程式，所以無法判定其風險，故而，此狀況可由企業資訊單位110來決定其對應之動作。

如果判定為低度風險的話，則客戶端監控程式130可回至步驟315，繼續偵測。但如果判定為中度/高度風險的話，則客戶端監控程式130依據風險值進行管理設定之對應動作，來送出風險中介資料及所收集之應用程式相關資料給服務管理模組210(335)。之後，客戶端監控程式130接收由評估模組230所傳來的管理動作(340)並執行此管理動作(345)。比如，管理動作可能是將此應用程式禁止執行/刪除等，警示使用者等。如果管理動作成功執行的話(350)，則流程回至步驟315，繼續偵測。如果管理動作執行失敗的話(350)，本案一實施例客戶端監控程式130可以禁止客戶端裝置使用企業應用程式，及/或禁止存取企業資料，或者，將此狀態回報給服務管理模組210(355)。

第4圖顯示根據本案一實施例之應用程式檢驗模組221之詳細操作示意圖。如第4圖所示，服務管理模組210接收由客戶端監控程式130所傳來的應用程式相關資訊(比如，當客戶端監控程式130初步判定應用程式式可能會導致高度/中度風險 時)。服務管理模組210取出應用程式相關資訊(410)並送出應用程式相關資訊至應用程式檢驗模組221(420)。應用程式檢驗模組221載入應用程式簽章資訊(430)，並根據應用程式資料庫來檢驗應用程式相關資訊(440)。如果應用程式檢驗模組221判定此應用程式相似於黑/白名單中的應用程式的話(450)，則應用程式檢驗模組221送出通過/拒絕等比對結果訊息至評估模組230(460)。或者，如果應用程式檢驗模組221判定此應用程式不相似於黑/白名單中的應用程式的話(450)，則應用程式檢驗模組221計算應用程式風險並送至評估模組230，或者是，更進一步地，應用程式檢驗模組221將此應用程式資料存入至應用程式資料庫(來更新應用程式資料庫)(470)。

第5圖顯示根據本案一實施例之裝置管理模組222之詳細操作示意圖。如第5圖所示，服務管理模組210接收由客戶端監控程式130所傳來的裝置狀態相關資訊。服務管理模組210取出裝置狀態相關資訊(510)並送出裝置狀態相關資訊至裝置管理模組222(520)。裝置管理模組222載入裝置風險資料庫(530)，裝置風險資料庫比如儲存有，裝置的何種狀態改變對應至何種風險值。裝置管理模組222根據裝置風險資料庫來檢驗目前操作所帶來的風險(540)。比如，根據裝置狀態、應用程式安裝清單、應用程式啟動狀態、目前裝置所處環境，以及裝置/使用者權限等，裝置管理模組222決定出裝置的可能風險。

如果裝置管理模組222判定此裝置狀態改變有高度/ 中度風險的話(550)，則裝置管理模組222送出高度/中度風險警示訊息至評估模組230(560)。或者，如果裝置管理模組222判定此裝置狀態改變乃是低度風險的話，則裝置管理模組222計算裝置狀態風險值並送至評估模組230，或者是，更進一步地，裝置管理模組222將此裝置狀態相關資訊存入至裝置風險資料庫(來更新裝置風險資料庫)(570)。

透過風險評估，如果估測出客戶端裝置的目前狀態具有高風險操作可能性(如資料外洩、違規操作等)，則可以事先預防使用者裝置所意欲進行的故意或無意高風險操作。

第6圖顯示根據本案一實施例之使用者行為分析模組223之詳細操作示意圖。如第6圖所示，服務管理模組210接收由客戶端監控程式130所傳來的(使用者)行為相關資訊(如打開攝影機功能等)。服務管理模組210取出行為相關資訊(610)並送出行為相關資訊至使用者行為分析模組223(620)。使用者行為分析模組223建立行為路徑(630)。在本案一實施例中，建立行為路徑比如是指，將使用者裝置中，對裝置與應用程式觸發之行為(含實體按鍵、觸控或軟體程式)，將所有觸發行為傳送至後端，並依照時間、觸發來源(source)與插入(sink)資訊、實體或軟體觸發點，應用程式名稱等資訊，於後端重新建立操作行為之關係拓樸(可為樹狀結構、序列結構)。使用者行為分析模組223可將之比對於預先定義之違規操作/高風險操作等，並將結果輸出至對應元件。

使用者行為分析模組223檢驗行為所帶來的風險 (640)。如果使用者行為分析模組223判定此行為違反管理政策的規定的話(650)，則使用者行為分析模組223送出警示訊息至評估模組230(660)。或者，如果使用者行為分析模組223判定此行為並不違反政策規定的話，則使用者行為分析模組223計算行為風險值並送至評估模組230，或者是，更進一步地，使用者行為分析模組223將此行為相關資訊存入至行為風險資料庫(來更新行為風險資料庫)(670)。

第7圖顯示根據本案一實施例之評估模組230之詳細操作示意圖。如第7圖所示，評估模組230接收應用程式風險值(由應用程式檢驗模組221所傳來)、裝置狀態風險值(由裝置管理模組222所傳來)、行為風險值(由使用者行為分析模組223所傳來)以及原始企業管理政策(由政策管理模組240所傳來)。根據這些資訊，評估模組230評估風險(710)，以決定是否警示(720)。亦即，如上述般，如果判定有高度/中度風險的話，則評估模組230決定要警示。評估模組230送出管理動作給客戶端監控程式130，或者，更進一步地，送出警示及評估結果給企業資訊單位110(730)。或者，如果無需警示的話，則評估模組230將評估結果回報給企業資訊單位110(740)。

第8圖顯示根據本案一實施例之政策管理模組240之詳細操作示意圖。如第8圖所示，政策管理模組240根據由企業資訊單位110所制定出的原始企業管理政策，來檢查是否有管理政策衝突(比如，檢驗是否使用者橫跨多個群組導致對此使用者 的多個政策彼此相衝突)。如果有的話，則政策管理模組240為受到管理政策衝突的此使用者產生適合的新的管理政策(820)，以解決管理政策衝突。之後，政策管理模組240產生並傳送(新的或原始的)政策中介資料給客戶端監控程式130(830)，以當成客戶端監控程式130的管理政策。

更進一步地說，當政策管理模組240為橫跨多個群組的使用者產生適合的新的管理政策(820)時，政策管理模組240可從嚴設定或從寬設定。比如，以從嚴設定而言，對於橫跨多個群組的使用者UA，管理政策PA允許此使用者UA進行動作OA/應用程式AA，但管理政策PB不允許此使用者UA進行動作OA/應用程式AA，則新的管理政策PC將不允許使用者進行動作OA/應用程式AA。另一方面，以從寬設定而言，對於橫跨多個群組的使用者UA，如果管理政策PD允許使用者UA進行動作OA/應用程式AA，但管理政策PE不允許使用者UA進行動作OA/應用程式AA，則新的管理政策PF將允許使用者UA進行動作OA/應用程式AA。

亦即，當有使用者橫跨多個群組時，政策管理模組240可依據依原始企業管理政策之相關參數進行政策重組。舉例，原始企業管理政策設定了最高等級風險管理參數，則當多個管理政策對應於同一個客戶端裝置時，則對所禁止之動作與黑名單，以或(OR)邏輯進行重組，對白名單或所允許之操作以及(AND)邏輯重組，如此可以建構最高等級管理措施。此外，重組邏輯亦 可以根據企業根政策(Root Policy)來達成不同部門、分公司或專案的政策重組。

第9圖顯示根據本案實施例之客戶端裝置之一例。如第9圖所示，根據本案實施例之客戶端裝置900包括：處理器910、記憶體920與螢幕930。記憶體920當中可儲存根據本案實施例之客戶端監控程式。儲存於記憶體920當中之客戶端監控程式可供處理器910執行，以實施本案實施例之上述功能，其細節在此不詳細。螢幕930則可用以顯示影像，以供使用者觀看。

管理伺服器120也可以包含至少一積體電路來實現服務管理模組210、檢驗模組220、評估模組230、以及政策管理模組240所實現的功能。

管理伺服器120也可包含至少一處理單元來完成服務管理模組210、檢驗模組220、評估模組230、以及政策管理模組240所實現的功能。

此外，如果使用者不慎遺失手機的話，本案實施例之監控程式或者是管理系統可以自動鎖住手機，限制手機的使用，或者是直接刪除手機裡的資料，遠端刪除存放公司資料的應用程式/資料夾，避免企業資料外洩。此等亦在本案精神範圍內。

透過本案實施例，員工可以透過裝置來存取企業內的系統與電子郵件等，就如同在裝置內有虛擬的加密環境，存取企業資料。這樣的做法可以大幅提昇員工工作效率。

本案實施例在企業資源存取的方面，可以成為平 台，提供以監控程式為基礎的一貫性操作流程。如果客戶端裝置通過驗證後，設定檔、所需安裝的應用程式和內容將會依使用者和裝置的所有權類型，自動地進行配置。如此一來，可讓客戶端裝置享有安全的企業資源存取權。員工能夠透過客戶端裝置來連結到企業內部網路網站，以及存取企業內容、企業專屬應用程式、企業Wi-Fi網路等。

此外，在隱私權考量方面，本案實施例可依照裝置之所有權類型和透過客製的隱私權原則，將存在客戶端裝置內的企業資料和其他資料(比如，使用者個人資料等)所有隔離。如此一來，可防止公司在未經員工許可情況下，收集員工裝置中的私人資料(如Email、內容或APP等)。此外，GPS定位資料、使用者個人資料和電訊數據將保持不透明化，無法被公司所得知。而且，員工裝置不會受到還原抹除或遠端控管之威脅，使員工安心地使用裝置。

以保護企業資源的角度來看，在本案實施例中，當使用者解除註冊或從公司離職時，企業資訊單位可移除企業電子郵件、對企業網路(Wi-Fi或VPN)的存取權。在使用者離職後，企業資訊單位可移除離職員工裝置內的公司企業專屬APP和企業內容/資料。亦即，本案實施例可對離職員工裝置執行企業抹除功能而不影響到裝置內的其他內容。

此外，在本案上述實施例中，企業資訊單位無需高度熟悉裝置安全訊息之判斷與管理(如應用程式黑/白名單、使用 者自安裝程式風險、裝置操作合規等)，所以，可降低企業資訊單位的維護與持續修正上所碰到的問題。

此外，本案實施例除了能夠偵測惡意軟體外，也可以對偽冒軟體或缺陷軟體(因為，以目前技術而言，行動平台的應用程式是可被有心人心破解並進行修改後再行上架或散播的)進行分析檢測，此亦是本案實施例之特點之一。

此外，本案實施例可以避免使用者裝置上的企業機密資料被偷取。而且，如果使用者裝置有不當/惡意操作的話，則這類操作之追蹤可被紀錄，故而，能夠進行事後鑑識。如此一來，可以避免使用者/員工意欲進行惡意操作的意圖。

本案上述實施例可對缺乏行動安全管理技術能力或專業素養之中小型企業，提供簡易有效的管理服務與流程。對於客戶端裝置端管理方面，本案上述實施例可進行快速黑/白名單比對與基礎權限管理(禁止清單)，並對裝置操作、狀態資訊以及可疑高風險程式，由客戶端監控程式後送至管理伺服器來進行分析與處理。故而，對企業行動管理單位/企業資訊單位而言，藉由簡單操作介面，設定企業相關的管理政策與需求，交由管理伺服器的政策管理模組進行展開與重組即可。

於應用本案實施例之後，企業內部資訊單位制訂好政策後，將所訂好的政策交給本案實施例的管理伺服器，由管理伺服器根據政策進行對人員/行動裝置的管控，並將管控結果/警示訊息告知企業內部資訊單位。故而，對企業而言，特別是對中 小企業而言，能大幅減低企業維護行動安全/資安之成本。

由上述可知，本案實施例可在確保企業資安/行動安全之前題下，開放員工自帶裝置，提供員工生產力，造成企業與員工雙贏的局面。

本案實施例可藉由分析與持續收集從客戶端監控程式所傳的應用程式相關資訊，以建立軟體指紋(software fingerprint)資料庫，若與軟體市集合作或由軟體市集參與經營，則更具優勢。

藉由所收集之軟體資訊、裝置資訊、使用者資訊，本案實施例可對各種樣態的安全問題與事件進行定義，避免企業安全漏洞持續發生與擴散。

本案實施例可做到在客戶端裝置上的軟硬體快速篩檢，亦即，檢查是否合規，可在行動裝置上初步執行。另外，在安裝應用程式時，本案實施例初步判定是否吻合黑/白名單或需要更進一步檢驗。故而，本案實施例可搭配現有之防毒程式或技術，並於防毒檢測前先進行過濾，對於被判定為偽冒程式或惡意程式的那些可疑應用程式則不安裝於客戶端裝置上，如此可減少資源消耗。

另外，本案實施例可建立、記錄、歸檔與追蹤裝置資訊、軟體資訊、使用者操作資訊，如此有助於找出未知之安全漏洞與事後責任歸屬，增進企業行動服務應用之彈性與信心。

而且，本案實施例可在第一時間對客戶端裝置進行 警示與管控動作，並回報企業資訊單位，降低員工惡意操作/無心操作所帶來的風險與傷害。

綜上所述，雖然本案已以實施例揭露如上，然其並非用以限定本案。本案所屬技術領域中具有通常知識者，在不脫離本案之精神和範圍內，當可作各種之更動與潤飾。因此，本案之保護範圍當視後附之申請專利範圍所界定者為準。

110‧‧‧企業資訊單位

120‧‧‧管理伺服器

130‧‧‧客戶端監控程式

140‧‧‧企業資源

Claims (24)

1. 一種管理伺服器，包括：一服務管理模組，接收並分派從一客戶端裝置上之一客戶端監控程式所回傳的一回傳資訊；一檢驗模組，當該客戶端監控程式所回傳之該回傳資訊指向一應用程式時，該檢驗模組檢驗該欲安裝於該客戶端裝置上之該應用程式是否被一管理政策所允許/禁止並評估一相對應風險，當該客戶端監控程式所回傳之該回傳資訊指向該客戶端裝置之一狀態改變時，該檢驗模組檢驗該客戶端裝置之該狀態改變是否被該管理政策所允許/禁止並評估該相對應風險，以及當該客戶端監控程式所回傳之該回傳資訊指向操作該客戶端裝置之一使用者行為時，該檢驗模組檢驗操作該客戶端裝置之該使用者行為是否被該管理政策所允許/禁止並評估該相對應風險；一評估模組，根據該檢驗模組之一檢驗結果與該相對應風險，進行風險評估與計算，並對該客戶端裝置回傳一管理動作；以及一政策管理模組，接收一原始企業管理政策，解析與重組該管理政策，以回傳一管理政策中介資料給該客戶端裝置。
2. 如申請專利範圍第1項所述之管理伺服器，其中：當該檢驗模組收到該客戶端監控程式所回傳之該回傳資訊指向該應用程式時，該檢驗模組決定該應用程式是否為一黑名單之一偽裝程式，或為一白名單之一可信賴應用程式之改版，或者 為一惡意程式之偽裝，並進行相關反應與操作；以及該服務管理模組接收該客戶端監控程式欲安裝的一全新未知應用程式的一相關資訊，以傳送給該檢驗模組進行分析。
3. 如申請專利範圍第1項所述之管理伺服器，其中：該服務管理模組取出一應用程式相關資訊並送至該檢驗模組；該檢驗模組載入一應用程式簽章資訊，並根據一應用程式資料庫來檢驗該應用程式相關資訊；以及該檢驗模組送出一比對結果訊息至該評估模組，或者，該檢驗模組計算一應用程式風險並送至該評估模組，並更新該應用程式資料庫。
4. 如申請專利範圍第1項所述之管理伺服器，其中：該服務管理模組取出並送出一裝置狀態相關資訊至該檢驗模組；該檢驗模組載入一裝置風險資料庫，以檢驗該狀態改變是否帶來風險；以及如果該檢驗模組判定該狀態改變有風險的話，則該檢驗模組送出一風險警示訊息至該評估模組，或者，該檢驗模組計算一裝置狀態風險值並送至該評估模組，並更新該裝置風險資料庫。
5. 如申請專利範圍第1項所述之管理伺服器，其中：該服務管理模組取出並送出一行為相關資訊至該檢驗模組；該檢驗模組建立行為路徑； 該檢驗模組檢驗該使用者行為所帶來的一使用者行為風險；以及如果該檢驗模組判定該使用者行為違反該管理政策，則該檢驗模組送出一警示訊息至該評估模組，或者，如果該檢驗模組判定該使用者行為未違反該管理政策，則該檢驗模組將該使用者行為風險送至該評估模組，或者是，該檢驗模組將該使用者行為存入並更新一行為風險資料庫。
6. 一種管理方法，應用於一管理伺服器，包括：接收並分派從一客戶端裝置上之一客戶端監控程式所回傳的一回傳資訊；當該客戶端監控程式所回傳之該回傳資訊指向一應用程式時，檢驗該欲安裝於該客戶端裝置上之該應用程式是否被一管理政策所允許/禁止並評估一相對應風險；當該客戶端監控程式所回傳之該回傳資訊指向該客戶端裝置之一狀態改變時，檢驗該客戶端裝置之該狀態改變是否被該管理政策所允許/禁止並評估該相對應風險；當該客戶端監控程式所回傳之該回傳資訊指向操作該客戶端裝置之一使用者行為時，檢驗操作該客戶端裝置之該使用者行為是否被該管理政策所允許/禁止並評估該相對應風險；根據一檢驗結果與該相對應風險，進行風險評估與計算，並對該客戶端裝置回傳一管理動作；以及接收一原始企業管理政策，解析與重組該管理政策，以回傳 一管理政策中介資料給該客戶端裝置。
7. 如申請專利範圍第6項所述之管理方法，其中：當收到該客戶端監控程式所回傳之該回傳資訊指向該應用程式時，決定該應用程式是否為一黑名單之一偽裝程式，或為一白名單之一可信賴應用程式之改版，或者為一惡意程式之偽裝，並進行相關反應與操作；以及由該客戶端監控程式將欲安裝的一全新未知應用程式的一相關資訊回傳給該管理伺服器，以進行分析。
8. 如申請專利範圍第6項所述之管理方法，其中：取出並送出一應用程式相關資訊；載入一應用程式簽章資訊，並根據一應用程式資料庫來檢驗該應用程式相關資訊；以及送出一比對結果訊息，或者，計算一應用程式風險，並更新該應用程式資料庫。
9. 如申請專利範圍第6項所述之管理方法，其中：取出並送出一裝置狀態相關資訊；載入一裝置風險資料庫，以檢驗該狀態改變是否帶來風險；以及如果判定該狀態改變有風險的話，則送出一風險警示訊息，或者，計算一裝置狀態風險值並更新該裝置風險資料庫。
10. 如申請專利範圍第6項所述之管理方法，其中：取出並送出一行為相關資訊； 建立行為路徑；檢驗該使用者行為所帶來的一使用者行為風險；以及如果判定該使用者行為違反該管理政策，則送出一警示訊息，或者，如果判定該使用者行為未違反該管理政策，則送出該使用者行為風險，或者是，將該使用者行為存入並更新一行為風險資料庫。
11. 一種客戶端裝置監控方法，應用於一客戶端裝置，包括：於該客戶端裝置運行時，由安裝於該客戶端裝置上之一客戶端監控程式取得一客戶端裝置的一元件狀態資訊；於該客戶端裝置安裝或更新一應用程式時，該客戶端監控程式取得該應用程式之一相關資訊；該客戶端監控程式記錄對該客戶端裝置之一使用者操作；以及根據由一管理伺服器所傳送來之一管理政策中介資料，該客戶端監控程式對該客戶端裝置的該元件狀態資訊、該應用程式之該相關資訊以及所記錄之該使用者操作進行比對評估並執行對應動作。
12. 如申請專利範圍第11項所述之客戶端裝置監控方法，更包括：依據該管理政策中介資料，該客戶端監控程式回傳一對應資訊至該管理伺服器；以及該客戶端監控程式接收與執行由該管理端伺服器所傳來之 一管理動作，其中，該管理動作有關於該客戶端監控程式所回傳的該對應資訊。
13. 如申請專利範圍第11項所述之客戶端裝置監控方法，其中，當欲安裝該應用程式於該客戶端裝置上時，該客戶端監控程式判定該安裝應用程式是否屬於一黑/白名單，或屬於一風險程式，以決定是否允許/禁止安裝該應用程式。
14. 如申請專利範圍第13項所述之客戶端裝置監控方法，其中，如果該客戶端監控程式決定該應用程式未命中該黑/白名單但有部分資訊相同的話，則該客戶端監控程式蒐集該應用程式的該相關資訊，並送至該管理伺服器，以由該管理伺服器進行判定。
15. 如申請專利範圍第11項所述之客戶端裝置監控方法，其中，該管理政策中介資料包含：複數項被禁止之裝置設定與狀態，複數項被禁止之使用者操作，一黑/白名單以及一狀況處理描述檔，該狀況處理描述檔描述各情況之相對應處理。
16. 如申請專利範圍第11項所述之客戶端裝置監控方法，其中：該客戶端監控程式依據該管理政策中介資料來持續監控該客戶端裝置之該元件狀態資訊；以及如果出現違反設定之情況或無法判定之狀態，該客戶端監控程式回傳至該管理伺服器，以進行進一步判定與管理。
17. 如申請專利範圍第12項所述之客戶端裝置監控方法，其 中：如果該客戶端監控程式成功執行該管理動作，則該客戶端監控程式繼續偵測該客戶端裝置；以及如果該客戶端監控程式執行該管理動作失敗的話，則該客戶端監控程式禁止該客戶端裝置使用一企業應用程式，及/或禁止存取一企業資料，及/或回報給該管理伺服器。
18. 一種客戶端裝置，包括：一記憶體，儲存一客戶端監控程式；以及一處理器，耦接至該記憶體，當該處理器執行該客戶端監控程式時，該處理器執行下列：取得一客戶端裝置的一元件狀態資訊；於該客戶端裝置安裝或更新一應用程式時，取得該應用程式之一相關資訊；記錄對該客戶端裝置之一使用者操作；以及根據由一管理伺服器所傳送來之一管理政策中介資料，對該客戶端裝置的該元件狀態資訊、該應用程式之該相關資訊以及所記錄之該使用者操作進行比對評估並執行對應動作。
19. 如申請專利範圍第18項所述之客戶端裝置，其中，該處理器更執行：依據該管理政策中介資料，回傳一對應資訊至該管理伺服器；以及接收與執行由該端管理伺服器所傳來之一管理動作，其中， 該管理動作有關於所回傳的該對應資訊。
20. 如申請專利範圍第18項所述之客戶端裝置，其中，當欲安裝該應用程式於該客戶端裝置上時，該處理器判定該安裝應用程式是否屬於一黑/白名單，或屬於一風險程式，以決定是否允許/禁止安裝該應用程式。
21. 如申請專利範圍第20項所述之客戶端裝置，其中，如果該處理器決定該應用程式未命中該黑/白名單但有部分資訊相同的話，則該處理器蒐集該應用程式的該相關資訊，並送至該管理伺服器，以由該管理伺服器進行判定。
22. 如申請專利範圍第18項所述之客戶端裝置，其中，該管理政策中介資料包含：複數項被禁止之裝置設定與狀態，複數項被禁止之使用者操作，一黑/白名單以及一狀況處理描述檔，該狀況處理描述檔描述各情況之相對應處理。
23. 如申請專利範圍第18項所述之客戶端裝置，其中：該處理器依據該管理政策中介資料來持續監控該客戶端裝置之該元件狀態資訊；以及如果出現違反設定之情況或無法判定之狀態，該處理器回傳至該管理伺服器，以進行進一步判定與管理。
24. 如申請專利範圍第19項所述之客戶端裝置，其中：如果該處理器成功執行該管理動作，則該處理器繼續偵測該客戶端裝置；以及如果該處理器執行該管理動作失敗的話，則該處理器禁止該 客戶端裝置使用一企業應用程式，及/或禁止存取一企業資料，及/或回報給該管理伺服器。