專利名稱：保護(hù)虛擬客機(jī)免于受感染主機(jī)的攻擊的制作方法
保護(hù)虛擬客機(jī)免于受感染主機(jī)的攻擊
背景技術(shù)：
虛擬化是使得能夠通過將一個(gè)計(jì)算資源與其他計(jì)算資源隔離或解除耦合來更有 效且高效地利用信息技術(shù)(“IT”)基礎(chǔ)結(jié)構(gòu)的具有廣泛影響的重要策略。這一策略可應(yīng)用 于計(jì)算棧的所有層，從數(shù)據(jù)中心到桌面。并非像典型的靜態(tài)計(jì)算環(huán)境那樣將各層鎖定在一 起——操作系統(tǒng)(“Os”)鎖定到硬件、應(yīng)用程序鎖定到OS、以及用戶界面鎖定到本地計(jì)算 設(shè)備，虛擬化旨在放松這些部分對彼此的直接依賴。這樣的數(shù)據(jù)中心-到-桌面虛擬化使得在無需獲取新硬件并配置各組件的情況下 快速部署新能力成為可能。減少了測試需求和應(yīng)用兼容性問題，簡化了自動(dòng)化過程，并且 更容易實(shí)現(xiàn)災(zāi)難恢復(fù)能力。在桌面上，虛擬化可幫助創(chuàng)建使消費(fèi)者或企業(yè)員工能夠訪問他 們所需要的應(yīng)用的基礎(chǔ)結(jié)構(gòu)，而不管他們位于何處。例如，使用虛擬化產(chǎn)品和技術(shù)來實(shí)現(xiàn) 客機(jī)，用戶可以使用主機(jī)從實(shí)際上任何位置來訪問他們的個(gè)性化桌面，他們的應(yīng)用程序、數(shù) 據(jù)、設(shè)置、以及偏好全部都保持完好。提供本背景技術(shù)來介紹以下概述和詳細(xì)描述的簡要上下文。本背景技術(shù)不旨在幫 助確定所要求保護(hù)的主題的范圍，也不旨在被看作將所要求保護(hù)的主題限于解決以上所提 出的問題或缺點(diǎn)中的任一個(gè)或全部的實(shí)現(xiàn)。概述在虛擬化環(huán)境中，客機(jī)受該客機(jī)可在其上操作的不健康的受感染主機(jī)的攻擊的 威脅是通過以下安排來解決的監(jiān)視主機(jī)以確定它是否因順從適用策略(如，更新到當(dāng) 前最新安全補(bǔ)丁，運(yùn)行反病毒程序，已被證明能運(yùn)行客機(jī)，等等)并且不受可能破壞或損 害客機(jī)的安全性的惡意軟件(即“malware”)的影響而健康。如果發(fā)現(xiàn)主機(jī)是不順從 (non-compliant)的，則防止客機(jī)在該主機(jī)上引導(dǎo)或連接到網(wǎng)絡(luò)，以確保整個(gè)虛擬化環(huán)境是 順從的并且保護(hù)客機(jī)(包括它的數(shù)據(jù)和應(yīng)用等)免受經(jīng)由在不健康的主機(jī)上運(yùn)行的惡意代 碼針對它發(fā)起的攻擊，或?qū)⒖蜋C(jī)從網(wǎng)絡(luò)隔離直至可以補(bǔ)救不順從性為止。在各說明性示例中，在客機(jī)上運(yùn)行的客健康代理被配置成在客機(jī)的引導(dǎo)過程期間 與主機(jī)上的主健康代理進(jìn)行通信，以檢查主機(jī)與存儲(chǔ)在客機(jī)上的或從順從策略服務(wù)器接收 到的一個(gè)或多個(gè)順從策略的順從性。如果發(fā)現(xiàn)主機(jī)是不順從的，則客機(jī)可以向用戶顯示出 錯(cuò)消息，以便可以補(bǔ)救主機(jī)的不順從性，例如通過安裝適當(dāng)?shù)难a(bǔ)丁、缺失的反病毒應(yīng)用或更 新等。如果主機(jī)已經(jīng)是順從的，或在補(bǔ)救之后變得順從，則客機(jī)可以完成它的引導(dǎo)過程以實(shí) 現(xiàn)虛擬化環(huán)境，使得用戶的桌面、應(yīng)用、和數(shù)據(jù)變得可在客機(jī)上供使用。在虛擬化環(huán)境被初始化并且運(yùn)作之后，還可以周期性地檢查主機(jī)的順從狀態(tài)。例 如，如果客機(jī)嘗試連接到諸如企業(yè)或公司網(wǎng)絡(luò)等網(wǎng)絡(luò)，則客健康代理可以向主健康代理請 求指示主機(jī)的當(dāng)前健康狀況的順從性聲明。在授予網(wǎng)絡(luò)訪問之前，順從性聲明可由客健康 代理轉(zhuǎn)發(fā)到網(wǎng)絡(luò)上的遠(yuǎn)程策略實(shí)施點(diǎn)以驗(yàn)證主機(jī)與該實(shí)施點(diǎn)所要求的一個(gè)或多個(gè)策略的 順從性。如果順從性聲明指示出主機(jī)不遵從適用策略(這指示主機(jī)處于危險(xiǎn)中，并且具有 高的受感染和/或受惡意軟件損害的機(jī)會(huì))，則拒絕網(wǎng)絡(luò)訪問。可以向用戶提供出錯(cuò)消息， 以便可以在再次嘗試網(wǎng)絡(luò)訪問之前補(bǔ)救不順從性。
在檢查主機(jī)的健康的另一示例中，如果懷疑虛擬化環(huán)境的完整性受到損害，則客 健康代理可以向主健康代理請求順從性聲明以驗(yàn)證和/或確認(rèn)與適用策略的繼續(xù)順從。例 如，可以在端點(diǎn)(即，安全網(wǎng)關(guān)設(shè)備)處接收在企業(yè)安全評估共享(“ESAS”)安全模型下的 安全評估，該端點(diǎn)被安排成監(jiān)視網(wǎng)絡(luò)中的安全相關(guān)信息。接收到的安全評估可以觸發(fā)虛擬 環(huán)境受到損害的懷疑。順從性聲明可被用來確定是否發(fā)生了涉及主機(jī)的安全事故，以確認(rèn) 或拒絕該懷疑，或觸發(fā)對主機(jī)的附加分析。如果確認(rèn)主機(jī)受到損害，則可以掛起客機(jī)上的操 作，拒絕網(wǎng)絡(luò)連接請求等等，直至涉及主機(jī)的安全事故已被解決并補(bǔ)救為止。有利的是，本發(fā)明的用于保護(hù)客機(jī)免受主機(jī)上的惡意軟件的攻擊的安排使得能夠 增強(qiáng)虛擬化環(huán)境中的安全性。盡管維持了對計(jì)算資源解除耦合的基本虛擬化原理，但對客 機(jī)和主機(jī)的安全分析被鏈在一起以檢查并實(shí)施主機(jī)對適用策略的順從性。提供本概述是為了以簡化的形式介紹將在以下詳細(xì)描述中進(jìn)一步描述的一些概 念。本概述不旨在標(biāo)識(shí)出所要求保護(hù)的主題的關(guān)鍵特征或必要特征，也不旨在用于幫助確 定所要求保護(hù)的主題的范圍。附圖描述

圖1示出可在主機(jī)上操作的虛擬化體系結(jié)構(gòu)；圖2示出客機(jī)可在具有到網(wǎng)絡(luò)的連接的主機(jī)上操作的說明性虛擬化環(huán)境；圖3示出可在客機(jī)和主機(jī)上操作的說明性組件；圖4示出在客機(jī)引導(dǎo)時(shí)檢查主機(jī)的健康狀況的第一說明性使用場景的流程圖；圖5示出周期性地檢查主機(jī)的健康狀況的第二說明性使用場景的流程圖；圖6示出其中提供信道以使得能夠在多個(gè)端點(diǎn)之間共享安全評估的說明性企業(yè) 安全評估共享(“ESAS”)安排；以及圖7示出使用安全評估來觸發(fā)對主機(jī)與適用策略的順從性的檢查的說明性場景。各附圖中相同的附圖標(biāo)記指示相同的元素。詳細(xì)描述虛擬化是在許多方面極大地改變當(dāng)今計(jì)算的分裂技術(shù)。例如，虛擬化使得用戶 (即，消費(fèi)者或諸如企業(yè)員工等商業(yè)用戶)能夠避免在離開他們的臺(tái)式PC(個(gè)人計(jì)算機(jī))時(shí) 必須攜帶他們自己的膝上型計(jì)算機(jī)。相反，他們可以在諸如USB(通用串行總線)設(shè)備等便 攜式存儲(chǔ)設(shè)備上攜帶他們桌面的鏡像，并在諸如家庭PC ；酒店自助服務(wù)終端、機(jī)場、圖書館 或網(wǎng)吧處的可公共訪問的PC ；朋友的家庭計(jì)算機(jī)等任何主計(jì)算機(jī)上將該桌面作為虛擬客 機(jī)來運(yùn)行。通過創(chuàng)建被稱為分區(qū)的、主機(jī)的操作系統(tǒng)和一個(gè)或多個(gè)客機(jī)在其中執(zhí)行的多個(gè)隔 離邏輯單元，可在諸如PC等主機(jī)100上設(shè)置虛擬化環(huán)境。如圖1所示，虛擬化環(huán)境102通 常包括可被用來創(chuàng)建支持客機(jī)的一個(gè)或多個(gè)子分區(qū)1101. . . N的根分區(qū)106。在一些情況 下，子分區(qū)還可進(jìn)一步產(chǎn)生它自己的子分區(qū)。根分區(qū)106包含主機(jī)的操作系統(tǒng)并且能夠直 接訪問該主機(jī)的硬件，包括中央處理器、存儲(chǔ)器以及其他硬件資源。虛擬化軟件層116被安排在各分區(qū)與主機(jī)上的硬件120之間。在該示例中，虛擬 化軟件包括通過支持分區(qū)間通信的層116中的邏輯信道來向子分區(qū)110展示硬件120的虛 擬視圖的管理程序。來自客機(jī)的對虛擬硬件的請求通過該邏輯信道被定向到父分區(qū)或根分 區(qū)。根分區(qū)隨后將管理這些請求并通過該信道進(jìn)行響應(yīng)。整個(gè)請求和響應(yīng)過程對在客機(jī)上運(yùn)行的操作系統(tǒng)而言完全透明。盡管虛擬化執(zhí)行得很好并且提供顯著的靈活性和經(jīng)濟(jì)價(jià)值，但在主機(jī)感染了諸如 病毒、特洛伊木馬、鍵擊記錄器等惡意軟件時(shí)，存在可能的安全威脅。一旦在子分區(qū)110上 啟動(dòng)了客機(jī)，就可向主機(jī)上的惡意軟件提供偷取或篡改該客機(jī)上的數(shù)據(jù)的機(jī)會(huì)。另外，如果 客機(jī)被用來訪問諸如遠(yuǎn)程企業(yè)網(wǎng)絡(luò)等網(wǎng)絡(luò)，則惡意軟件可以通過該客機(jī)來獲得對網(wǎng)絡(luò)上的 資源和數(shù)據(jù)的未經(jīng)授權(quán)的訪問。諸如NAP/NAC(網(wǎng)絡(luò)訪問保護(hù)/控制)等安全解決方案可用于通過驗(yàn)證客機(jī)與給 定順從策略的順從性來檢查客機(jī)的健康狀況。例如，該策略可以指定客機(jī)要使用最新安全 補(bǔ)丁來完全更新、運(yùn)行具有最新當(dāng)前簽名的反病毒或反惡意軟件軟件程序、具有正確地配 置的軟件防火墻等。然而，當(dāng)前解決方案只對客機(jī)執(zhí)行順從性檢查而忽略主機(jī)的健康狀況。 因此，即使在發(fā)現(xiàn)客機(jī)完全順從并且健康的情況下，當(dāng)前解決方案也不能解決將客機(jī)暴露 給可能駐留在主機(jī)上的惡意軟件的問題。圖2示出可以實(shí)現(xiàn)本發(fā)明的用于保護(hù)客機(jī)免于受感染主機(jī)的攻擊的安排的說明 性虛擬化環(huán)境200。虛擬客機(jī)205可在諸如PC等具有到諸如遠(yuǎn)程企業(yè)網(wǎng)絡(luò)223( “企業(yè)內(nèi) 網(wǎng)”)等網(wǎng)絡(luò)的連接215的主機(jī)210上操作。網(wǎng)絡(luò)連接215可以使用包括例如VPN(虛擬專用 網(wǎng))、基于SSL (安全套接字層)的VPN、通過IPkc (因特網(wǎng)協(xié)議安全)的VPN等各種遠(yuǎn)程連 網(wǎng)協(xié)議之一來實(shí)現(xiàn)?；蛘撸W(wǎng)絡(luò)連接215可以使用全局SCM(安全內(nèi)容管理)基礎(chǔ)結(jié)構(gòu)來實(shí) 現(xiàn)，例如在本申請的受讓人所擁有的2008年6月四日提交的題為“Globally Distributed Infrastructure for Secure Content Management (用于安全內(nèi)容管理的全局分布的基礎(chǔ) 結(jié)構(gòu))”的美國專利申請第12/164，078號(hào)中描述的，該申請通過引用而整體結(jié)合于此。在企業(yè)內(nèi)網(wǎng)223中，網(wǎng)絡(luò)連接215的遠(yuǎn)程端點(diǎn)處是策略實(shí)施點(diǎn)226，連同順從策略 服務(wù)器230，它們各自將在下文詳細(xì)描述。企業(yè)資源和數(shù)據(jù)(在圖2中由數(shù)據(jù)234統(tǒng)一標(biāo) 識(shí))可在企業(yè)內(nèi)網(wǎng)223中獲得，并且通常包括需要保護(hù)免受盜竊和惡意攻擊的一些私有、敏 感和/或機(jī)密信息。企業(yè)內(nèi)網(wǎng)223通常被安排成支持其他設(shè)備，如支持公司或企業(yè)的員工 的IT需求所需要的客戶機(jī)計(jì)算機(jī)、工作站、膝上型計(jì)算機(jī)、移動(dòng)設(shè)備等(未示出)。其他設(shè) 備可以在邏輯上與企業(yè)內(nèi)網(wǎng)223部署在一起或在一些情況下部署在企業(yè)內(nèi)網(wǎng)的遠(yuǎn)程。邊緣防火墻239位于企業(yè)內(nèi)網(wǎng)223中的周界處，它被配置成監(jiān)視企業(yè)內(nèi)網(wǎng)與諸如 因特網(wǎng)242等外部網(wǎng)絡(luò)之間的通信。諸如電子郵件和web服務(wù)器和數(shù)據(jù)庫等外部資源245 通?？赏ㄟ^因特網(wǎng)242來訪問。用戶可以通過將該用戶的桌面鏡像250從諸如所示的USB驅(qū)動(dòng)器等便攜式存儲(chǔ)介 質(zhì)253加載到主機(jī)210來創(chuàng)建虛擬化環(huán)境200。在一些情況下，便攜式存儲(chǔ)介質(zhì)253還可包 括虛擬化軟件116。在桌面鏡像250被傳送到子分區(qū)并且虛擬化軟件可運(yùn)作時(shí)，在主機(jī)210 上實(shí)例化客機(jī)205，并且客機(jī)205在主機(jī)上虛擬化用戶的計(jì)算機(jī)，包括桌面、應(yīng)用、數(shù)據(jù)、設(shè) 置以及偏好。注意，在客機(jī)205上虛擬化的對象(即，應(yīng)用、數(shù)據(jù)等)的具體混合可以隨實(shí) 現(xiàn)而變化，并且并非在每一實(shí)現(xiàn)中都需要虛擬化所有對象。主機(jī)210通常位于企業(yè)內(nèi)網(wǎng)223的遠(yuǎn)程并且可包括可公共訪問的PC，如自助服務(wù) 終端、圖書館等處的PC，或基于家庭的計(jì)算機(jī)，從安全保護(hù)觀點(diǎn)來看基于家庭的計(jì)算機(jī)通常 不像它們的企業(yè)內(nèi)網(wǎng)相對物那樣被嚴(yán)密地控制或監(jiān)視。結(jié)果，惡意軟件(如附圖標(biāo)記252 所示)可以感染主機(jī)，這有可能損害客機(jī)205。
為了處理主機(jī)210上的惡意軟件威脅，如圖3所示，主健康代理305被配置成在主 機(jī)上運(yùn)行，并檢查主機(jī)與順從策略308的順從性。在一些實(shí)現(xiàn)中，當(dāng)客機(jī)首次在子分區(qū)上啟 動(dòng)時(shí)，順從策略308可以本地存儲(chǔ)在客機(jī)205上，或在其他實(shí)現(xiàn)中，順從策略308可以從順 從策略服務(wù)器230(圖幻中檢索。順從策略308通常將指定主機(jī)210的最小可接受健康條 件。這樣的條件可以隨實(shí)現(xiàn)變化，或由安全管理員來配置。例如，順從策略308可以指定主 機(jī)210應(yīng)打上最新安全更新補(bǔ)丁并且受反病毒產(chǎn)品或服務(wù)的保護(hù)。盡管在該示例中說明性 地使用了單個(gè)策略，但在一些應(yīng)用中，可以利用多個(gè)順從策略。主健康代理305和本地存儲(chǔ)的順從策略可被存儲(chǔ)在便攜式存儲(chǔ)介質(zhì)253(圖2) 上，并且在啟動(dòng)期間分別被傳送到主機(jī)和客機(jī)。在一些實(shí)現(xiàn)中，主健康代理305可被實(shí)現(xiàn)成 NAP客戶端的一部分或可在主機(jī)210上運(yùn)行或另外包括類似NAP功能的其他組件或代理的 一部分。主健康代理305可以檢查指示主機(jī)的健康狀況的各種因素，包括例如安全補(bǔ)丁 狀態(tài)(其中術(shù)語“狀態(tài)”指的是最后的補(bǔ)丁是什么以及它是在何時(shí)安裝的)、反病毒和/或 反惡意軟件軟件的存在、病毒或惡意軟件簽名的更新狀態(tài)、指示主機(jī)被證明能運(yùn)行客機(jī)的 特定證書/文件/注冊表鍵的存在(例如，主機(jī)是企業(yè)或企業(yè)內(nèi)網(wǎng)的IT資產(chǎn))、適當(dāng)?shù)嘏渲?的軟件防火墻的存在，等等。注意，在此列出的因素旨在是說明性的，并且還可以利用其他 因素，如滿足具體實(shí)現(xiàn)的需求可能需要的那些因素。主健康代理305還被配置成與作為客機(jī)205的組件的對應(yīng)的客健康代理312進(jìn)行 通信。具體而言，在主健康代理305執(zhí)行檢查之后，主健康代理305可以生成指示主機(jī)的健 康狀況的順從性聲明320。順從性聲明320可由主健康代理305例如響應(yīng)于來自客健康代 理312的請求而發(fā)送到客健康代理?；蛘撸鹘】荡?05可以在發(fā)生其他觸發(fā)或條件時(shí) 或者在預(yù)定時(shí)間自己主動(dòng)地發(fā)送順從性聲明320。主健康代理305可被配置成將順從性聲明320發(fā)送到順從策略服務(wù)器230 (或策 略實(shí)施點(diǎn)226)而非客健康代理312。在這種情況下，順從策略服務(wù)器230可以檢查順從性 聲明320。如果發(fā)現(xiàn)主機(jī)210順從適用策略，則順從策略服務(wù)器230可以向主健康代理305 發(fā)行經(jīng)簽署的健康證書322。在主健康代理305從客健康代理312接收到請求時(shí)，它可以將 經(jīng)簽署的健康證書322發(fā)送到該客健康代理?？徒】荡?12可以在本地使用順從性聲明320 (或經(jīng)簽署的健康證書32 來確 定是否存在客機(jī)205可在其中操作的安全虛擬化環(huán)境。另外，在訪問外部網(wǎng)絡(luò)或企業(yè)內(nèi)網(wǎng) 223(圖幻時(shí)，客機(jī)205可以將順從性聲明320(或經(jīng)簽署的健康證書32 轉(zhuǎn)發(fā)到策略實(shí)施 點(diǎn)226。這些使用中的每一個(gè)在下文圖4和5中的流程圖中示出的使用場景中被進(jìn)一步示 出。這些流程圖參考圖2和3中示出并在所附文本中描述的元素。圖4示出主健康代理305在客機(jī)205在主機(jī)210上的引導(dǎo)或初始化過程中的某一 點(diǎn)處檢查該主機(jī)的健康狀況的第一說明性使用場景400的流程圖。例如，該檢查可以在用 戶嘗試將桌面鏡像250作為客機(jī)來在可位于諸如圖書館、自助服務(wù)終端或網(wǎng)吧等公共場所 的未知主機(jī)上啟動(dòng)的任何時(shí)間發(fā)生。在客機(jī)205開始引導(dǎo)過程(如附圖標(biāo)記410所示)時(shí)， 場景400開始，此時(shí)，客健康代理312啟動(dòng)015)?？徒】荡?12對主健康代理305作出檢查主機(jī)210的健康狀況的請求(420)，以 便可以查明主機(jī)對策略308的順從性。如上所述，所檢查的具體因素以及策略308所施加的要求可以隨實(shí)現(xiàn)變化。主健康代理305響應(yīng)于該請求來執(zhí)行健康檢查(425)并將順從性 聲明320提供給客健康代理312 (430)?；蛘?，如上所述，主健康代理305可以將順從性聲明 320提供給順從策略服務(wù)器230并在確定主機(jī)順從適用策略的情況下接收回經(jīng)簽署的健康 證書322?？徒】荡?12對照順從策略308來比較從主健康代理305接收到的順從性聲明 320 (435)。如果確定主機(jī)210是順從的(或如果經(jīng)簽署的健康證書322指示順從性)(在 判定框410處)，則允許客機(jī)205繼續(xù)其引導(dǎo)過程直至其結(jié)束045)。這使得能夠創(chuàng)建虛擬 化環(huán)境200，以便可以在客機(jī)205上提供用戶的桌面、應(yīng)用、設(shè)置、偏好、數(shù)據(jù)等中的一個(gè)或 多個(gè)(460)。如果主機(jī)上不存在客健康代理或順從性聲明320對照策略308的比較指示主機(jī) 210不遵從該策略，則可以經(jīng)由在客機(jī)205上運(yùn)行的用戶界面來顯示出錯(cuò)消息050)。該 出錯(cuò)消息可以給出主機(jī)210的不順從性的細(xì)節(jié)的通知，使得用戶可以嘗試補(bǔ)救主機(jī)上的問 題。例如，如果主機(jī)210遺漏了關(guān)鍵安全補(bǔ)丁，則用戶可以下載該補(bǔ)丁并安裝它來使該主機(jī) 順從策略308。一旦做了如此補(bǔ)救，客機(jī)205就可以繼續(xù)引導(dǎo)過程055)以便為用戶創(chuàng)建虛 擬化環(huán)境(460)。圖5示出主健康代理305周期性地檢查主機(jī)210的健康狀況的第二說明性使用場 景500的流程圖。在該示例中，在客機(jī)205嘗試訪問諸如企業(yè)內(nèi)網(wǎng)223等外部網(wǎng)絡(luò)時(shí)執(zhí)行
該檢查。在策略實(shí)施點(diǎn)2 通過網(wǎng)絡(luò)連接215看到該嘗試時(shí)，它將在允許完成到企業(yè)內(nèi)網(wǎng) 223的連接之前請求產(chǎn)生順從性聲明(510)。作為響應(yīng)，客健康代理312向主健康代理305 請求順從性聲明320(51 并且主健康代理執(zhí)行主機(jī)210的健康檢查以生成順從性聲明 (520)?；蛘?，如上所述，主健康代理305可以將順從性聲明320提供給順從策略服務(wù)器230 并在確定主機(jī)順從適用策略的情況下接收回經(jīng)簽署的健康證書322。客健康代理312將順從性聲明320轉(zhuǎn)發(fā)給策略實(shí)施點(diǎn)2 (525)。策略實(shí)施點(diǎn)2 對照適用順從策略來比較該聲明(530)。通常，適用策略將由順從策略服務(wù)器230來提供。 另外，如上述在本地存儲(chǔ)的策略308的情況下，在給定實(shí)現(xiàn)中，一個(gè)或多個(gè)策略可適用于主 機(jī)210。如果來自主健康代理305的順從性聲明指示主機(jī)210順從適用策略(或如果經(jīng)簽 署的健康證書322指示順從性)(在判定框535處)，則策略實(shí)施點(diǎn)226向客機(jī)205授予對 企業(yè)內(nèi)網(wǎng)223的訪問(540)。如果主機(jī)上不存在客健康代理或順從性聲明320對照順從策略服務(wù)器230所提 供的策略的比較指示主機(jī)210不遵從該策略，則策略實(shí)施點(diǎn)2 拒絕網(wǎng)絡(luò)訪問(545)，并且 可以經(jīng)由在客機(jī)205上運(yùn)行的用戶界面來顯示出錯(cuò)消息(550)。該出錯(cuò)消息可以給出主機(jī) 210的不順從性的細(xì)節(jié)的通知，使得用戶可以嘗試補(bǔ)救主機(jī)上的順從性問題。例如，如果主 機(jī)210遺漏了在主機(jī)上運(yùn)行的反病毒產(chǎn)品的惡意軟件簽名的最新更新，則用戶可以下載該 簽名更新并安裝它來使該主機(jī)順從適用策略。如果如此補(bǔ)救，則順從實(shí)施點(diǎn)2 向客機(jī)205 授予網(wǎng)絡(luò)訪問( ，以使得該客機(jī)處的用戶可以對數(shù)據(jù)存儲(chǔ)234進(jìn)行讀寫和/或訪問基于 因特網(wǎng)的資源對5。在其他情況下，主健康代理305也可被用來檢查主機(jī)210健康狀況。例如，如果懷 疑虛擬化環(huán)境的完整性被損害，則客健康代理可以向主健康代理請求健康聲明以驗(yàn)證和/或確認(rèn)繼續(xù)順從適用策略。在一個(gè)說明性示例中，可以接收在ESAS安全模型下的安全評估 來觸發(fā)這樣的懷疑。圖6示出其中提供信道605以使得能夠在被稱為端點(diǎn)610^.,的多個(gè)安全網(wǎng)關(guān)之 間共享安全評估的說明性ESAS安排600。用于企業(yè)網(wǎng)絡(luò)安全的基于ESAS的安全模型在本 申請的受讓人所擁有的2007年3月14日提交的題為“Enterprise Security Assessment faring(企業(yè)安全評估共享)，，的美國專利申請第11/724，061號(hào)中描述，并且該申請通過 被引用而整體結(jié)合于此，它提供了對安全事故的增強(qiáng)檢測并啟用單個(gè)企業(yè)范圍視圖來使安 全管理員能夠定義并實(shí)施清楚、簡單以及統(tǒng)一的企業(yè)范圍響應(yīng)策略來對安全事故進(jìn)行自動(dòng) 響應(yīng)。ESAS依賴于語義抽象，稱為使得能夠在企業(yè)安全環(huán)境中的各端點(diǎn)之間共享安全相 關(guān)信息的安全評估。在該示例中，企業(yè)安全環(huán)境可包括企業(yè)內(nèi)網(wǎng)223(圖2)以及它支持的 用戶和機(jī)器(包括客機(jī)205和主機(jī)210)，或涵蓋使用例如全局SCM基礎(chǔ)結(jié)構(gòu)的分布式安排。安全評估被定義為端點(diǎn)將較寬泛的上下文含義向所收集的關(guān)于該環(huán)境中諸如計(jì) 算機(jī)、用戶、服務(wù)、網(wǎng)站、數(shù)據(jù)或企業(yè)整體等感興趣對象的信息(即，某些上下文中的數(shù)據(jù)) 的試驗(yàn)性指派。安全評估利用對于端點(diǎn)的簡明詞匯來聲明環(huán)境中的對象落入諸如“已受損” 或“正被攻擊”等某一評估類別以及所檢測到的事故的嚴(yán)重性(例如，低、中、高、關(guān)鍵)。安全評估是試驗(yàn)性的，因?yàn)樗馐苣撤N不確定性并且在有限時(shí)間段內(nèi)有效。安全 評估的試驗(yàn)性特性反映在其兩個(gè)分量中保真度字段，其表達(dá)端點(diǎn)對其上下文含義指派的 置信度水平，以及生存時(shí)間(“TTL”)字段，其反映端點(diǎn)對安全評估預(yù)期有效的時(shí)間段的估 計(jì)。由此，例如，安全評估可由端點(diǎn)用來根據(jù)該端點(diǎn)對一個(gè)或多個(gè)安全事故的現(xiàn)有理解來聲 明某一機(jī)器已受損，嚴(yán)重性等級為關(guān)鍵、保真度為中且具有30分鐘的TTL。在任何給定企業(yè)網(wǎng)絡(luò)環(huán)境中，可以利用各種類型的安全評估。這些可包括例如評 估類別和對象類型的各種組合。ESAS通常提供多個(gè)優(yōu)點(diǎn)。通過采用具有簡明詞匯的安全評估，顯著地降低了企業(yè) 中的總體數(shù)據(jù)復(fù)雜性并且在各端點(diǎn)之間只共享有意義的信息。使用安全評估還消除了對在 中央存儲(chǔ)位置收集大量原始數(shù)據(jù)的需求，并由此使得能夠在非常經(jīng)濟(jì)的基礎(chǔ)上構(gòu)建高度可 縮放的企業(yè)安全解決方案。另外，可容易地用按需可擴(kuò)展性來部署新端點(diǎn)。安全評估可以 在該新端點(diǎn)和現(xiàn)有端點(diǎn)之間共享而無需重新配置現(xiàn)有端點(diǎn)中的響應(yīng)策略中的任一個(gè)。新端 點(diǎn)使用現(xiàn)有端點(diǎn)已經(jīng)理解的語義抽象來擔(dān)當(dāng)新的安全評估源即可。利用安全評估還使得能 夠使用非常緊湊且清楚的方法來建立企業(yè)范圍安全策略，而無需理解每一個(gè)端點(diǎn)可在企業(yè) 中生成的所有可能的安全事件并然后試圖描述對于每一個(gè)事件的響應(yīng)動(dòng)作。在ESAS安全模型下，企業(yè)網(wǎng)絡(luò)用戶服從管控IT資產(chǎn)在企業(yè)環(huán)境中的利用的安全 策略。具體而言，安全策略通常至少部分地由端點(diǎn)610來實(shí)施。安全策略通常對哪些用戶 可以訪問信息、什么類型的信息可被訪問以及何時(shí)可被訪問、準(zhǔn)許和不準(zhǔn)許的行為、審計(jì)企 業(yè)中的實(shí)踐等等進(jìn)行管控。端點(diǎn)610可包括例如對企業(yè)內(nèi)的安全相關(guān)數(shù)據(jù)的不同部分進(jìn)行監(jiān)視、評估并采取 動(dòng)作的安全產(chǎn)品。例如，如圖6所示，企業(yè)內(nèi)網(wǎng)223可以利用安全產(chǎn)品的組合，包括邊緣防 火墻產(chǎn)品GlO1、一個(gè)或多個(gè)專用行業(yè)安全網(wǎng)關(guān)產(chǎn)品6102以及主安全產(chǎn)品610n。盡管在該 特定說明性示例中沒有使用，但取決于特定實(shí)現(xiàn)的需求，也可使用其他類型的安全產(chǎn)品，包括例如業(yè)務(wù)安全網(wǎng)關(guān)、信息泄漏保護(hù)網(wǎng)關(guān)、包括web應(yīng)用保護(hù)產(chǎn)品的網(wǎng)絡(luò)侵入檢測系統(tǒng) (“NIDS”)產(chǎn)品、UTM(統(tǒng)一威脅管理)產(chǎn)品、SEM/SIM(安全事件管理/安全事故管理)產(chǎn)品、 NAP產(chǎn)品、以及可用的健康監(jiān)視和配置管理產(chǎn)品(例如，微軟Windows Software Update Services (軟件更新服務(wù)))。邊緣防火墻是被安排成保護(hù)企業(yè)內(nèi)網(wǎng)223免遭基于因特網(wǎng)的威脅同時(shí)向用戶 提供對應(yīng)用和數(shù)據(jù)的遠(yuǎn)程訪問的安全產(chǎn)品。邊緣防火墻可具體化為例如，微軟hternet Security and Acceleration (因特網(wǎng)安全和加速，“ISA”)服務(wù)器。行業(yè)安全產(chǎn)品保護(hù) 各種行業(yè)應(yīng)用，包括例如企業(yè)內(nèi)網(wǎng)223中使用的電子郵件應(yīng)用，如微軟Exchange ，以提供 反病毒和反垃圾郵件保護(hù)。主機(jī)安全產(chǎn)品的商用示例是微軟公司的Threat Management Gateway ( “TMG”，威脅管理網(wǎng)關(guān))產(chǎn)品，其為企業(yè)的臺(tái)式計(jì)算機(jī)、膝上型計(jì)算機(jī)和服務(wù)器操 作系統(tǒng)提供統(tǒng)一的惡意軟件保護(hù)。在大多數(shù)典型的ESAS實(shí)現(xiàn)中，還可以使用被稱為ESAS中央服務(wù)器616的專用端 點(diǎn)。ESAS中央服務(wù)器616耦合到安全評估信道605，并通過訂閱所有安全評估、記錄安全評 估、并且還記錄由端點(diǎn)610響應(yīng)于環(huán)境中的安全事故而采取的本地動(dòng)作來作為集中式審核 點(diǎn)來執(zhí)行。該ESAS中央服務(wù)器616向管理員提供企業(yè)整體以及每一端點(diǎn)610的歷史和當(dāng) 前狀態(tài)的綜合視圖。利用安全評估使得管理員能夠緊湊且高效地配置對跨整個(gè)企業(yè)檢測到 的事故的響應(yīng)策略。安全評估用作用于定義企業(yè)范圍安全響應(yīng)策略的自然錨或起始點(diǎn)。由 此啟用流水線化的且一致的管理界面來為跨整個(gè)企業(yè)的每一種類型的安全評估定義所需 響應(yīng)。端點(diǎn)610還可具有將安全評估發(fā)布到在環(huán)境中操作的安全評估信道上以及訂閱 由其他端點(diǎn)發(fā)布的可用安全評估的子集的功能。存在于環(huán)境中的活動(dòng)的安全評估(即，具 有指示評估仍然有效的TTL的安全評估)用于提供安全上下文，該安全上下文給予這樣的 端點(diǎn)610查看其自己的本地可用信息的新的方式。即，該安全上下文允許端點(diǎn)610將從各種不同源接收到的并且跨對象類型的安全 評估的證據(jù)進(jìn)行組合或相關(guān)以顯著提高其對潛在安全事故的檢測的質(zhì)量。端點(diǎn)610隨后根 據(jù)一組響應(yīng)策略來作出關(guān)于對于每一種類型的安全評估(無論是從另一端點(diǎn)接收到的還 是由該端點(diǎn)本身內(nèi)部生成的)什么本地動(dòng)作或響應(yīng)是適當(dāng)?shù)臎Q定。事故檢測是高效且經(jīng)濟(jì) 的，因?yàn)榘踩舷挛氖沟媚軌蛞园踩u估的形式來對企業(yè)范圍信息進(jìn)行分布式處理，而沒 有在整個(gè)企業(yè)中共享大量原始數(shù)據(jù)(其中大多數(shù)都由于缺乏任何上下文而是完全無關(guān)的) 的負(fù)擔(dān)。端點(diǎn)610還被安排成在提示本地動(dòng)作的安全評估到期時(shí)(即，在該安全評估超過 TTL字段中所指定的生存時(shí)間時(shí))回退該本地動(dòng)作。在該說明性示例中，客機(jī)205還被配置成通過安全評估信道605接收到的標(biāo)識(shí)涉 及主機(jī)210的安全事故的安全評估的訂戶。因此，安全評估信道605可以例如通過VPN/SSL 連接或使用全局SCM訪問來虛擬地并且在邏輯上擴(kuò)展到客機(jī)。圖7示出使用安全評估來觸發(fā)對主機(jī)與適用策略的順從性的檢查的說明性場景 700。場景700可以分四個(gè)階段來描述。如附圖標(biāo)記710所指示的，邊緣防火墻610i首先 標(biāo)識(shí)主機(jī)210可能已受損，例如這是因?yàn)樵撝鳈C(jī)創(chuàng)建了太多的到因特網(wǎng)M2的連接而使得 對于該行為的最有可能的解釋是安全性損害的存在。其次，如附圖標(biāo)記720所示，邊緣防火墻GlO1通過安全評估信道605將具有高嚴(yán)重性和高保真度的、指示懷疑主機(jī)“已受損”的安全評估發(fā)送到訂閱端點(diǎn)610。第三，由于客 機(jī)205是涉及其主機(jī)的安全評估的訂戶，所以它將通過安全評估信道605接收到安全評估 720。安全評估720引起對主機(jī)上的根分區(qū)包含出于惡意目的而作出連接的惡意軟件的懷 疑。如果確認(rèn)了這樣的懷疑，則虛擬化環(huán)境是不健康的并且客機(jī)205可能處于危險(xiǎn)中。因 此，接收到的安全評估720可被用來觸發(fā)向客健康代理312請求主健康代理305執(zhí)行主機(jī) 210的健康檢查。主健康代理305將響應(yīng)于該請求來執(zhí)行該檢查并將指示結(jié)果的順從性聲 明320提供給客健康代理312。如果順從性聲明320指示一問題，則可以通知用戶以便可以 實(shí)現(xiàn)補(bǔ)救。另外，在一些實(shí)現(xiàn)中，接收安全評估720的訂閱端點(diǎn)eiOu.j* ESAS中央服務(wù)器 616可被用來通過應(yīng)用它們自己的相關(guān)規(guī)則和本地可用的數(shù)據(jù)來應(yīng)用專用的安全專家經(jīng)驗(yàn) 來觸發(fā)動(dòng)作?？蓪蜋C(jī)205執(zhí)行端點(diǎn)610的動(dòng)作以檢查該客機(jī)是否受在主機(jī)上檢測到的安 全事故的損害，補(bǔ)救任何損害，和/或?qū)⒃摽蜋C(jī)從企業(yè)內(nèi)網(wǎng)或其他IT對象隔離，直至驗(yàn)證了 它是健康的為止。端點(diǎn)610所采取的動(dòng)作可另選地應(yīng)用于主機(jī)210，而在一些實(shí)現(xiàn)中，客機(jī) 205和主機(jī)210都可以是這些動(dòng)作的主體。通常，所采取的特定動(dòng)作和它們應(yīng)用到的IT對 象將由在企業(yè)內(nèi)網(wǎng)或企業(yè)環(huán)境中配置和實(shí)現(xiàn)的響應(yīng)策略來管控。如圖7中的附圖標(biāo)記740籠統(tǒng)地示出的，端點(diǎn)610響應(yīng)于接收到的安全評估所采 取的動(dòng)作說明性地包括主安全端點(diǎn)610N執(zhí)行按需反病毒掃描。另外，如圖所示，行業(yè)安全端 點(diǎn)6102可以臨時(shí)地掛起即時(shí)消息收發(fā)(“IM”)或電子郵件通信。ESAS中央服務(wù)器616引 發(fā)對安全分析員(例如，管理員)的警告并且還記錄安全評估和所調(diào)用的所有動(dòng)作。要強(qiáng) 調(diào)的是，這些動(dòng)作旨在是說明性的并且其他端點(diǎn)所采取的其他動(dòng)作可被用來滿足給定實(shí)現(xiàn) 或使用場景的需求。盡管用結(jié)構(gòu)特征和/或方法動(dòng)作專用的語言描述了本主題，但可以理解，所附權(quán) 利要求書中定義的主題不必限于上述具體特征或動(dòng)作。相反，上文所描述的具體特征和動(dòng) 作是作為實(shí)現(xiàn)權(quán)利要求的示例形式來公開的。
權(quán)利要求
1.一種用于操作在主機(jī)(210)上操作的子分區(qū)(110)中創(chuàng)建的客機(jī)Q05)的方法，所 述方法包括以下步驟在所述主機(jī)Ο ο)的子分區(qū)(110)上啟動(dòng)所述客機(jī)O05)的引導(dǎo)過程；與所述主機(jī)O10)上的根分區(qū)(106)進(jìn)行通信以確定所述主機(jī)(210)對順從策略 (308)的順從性；如果確定所述主機(jī)(210)順從所述順從策略(308)，則完成所述客機(jī)(2冊)在所述子分 區(qū)(110)中的引導(dǎo)過程以創(chuàng)建虛擬化環(huán)境(100)；以及如果確定所述主機(jī)(210)不順從所述順從策略(308)，則終止所述客機(jī)(2冊)在所述子 分區(qū)(110)中的引導(dǎo)過程。
2.如權(quán)利要求1所述的方法，其特征在于，還包括使用能在所述客機(jī)上操作的客健康 代理來與所述根分區(qū)進(jìn)行通信的步驟。
3.如權(quán)利要求2所述的方法，其特征在于，還包括使用能在所述主機(jī)的根分區(qū)上操作 的主健康代理來與所述客健康代理進(jìn)行通信的步驟。
4.如權(quán)利要求3所述的方法，其特征在于，所述主健康代理被配置成檢查指示所述主 機(jī)的健康狀況的一個(gè)或多個(gè)因素。
5.如權(quán)利要求4所述的方法，其特征在于，所述一個(gè)或多個(gè)因素包括以下中的至少一 個(gè)安全補(bǔ)丁狀態(tài)、反病毒軟件的存在、反惡意軟件的存在、病毒簽名狀態(tài)、惡意軟件簽名狀 態(tài)、指示所述主機(jī)已被證明能運(yùn)行所述客機(jī)的證書或文件注冊表鍵的存在、防火墻的存在 或所述防火墻的配置狀態(tài)。
6.如權(quán)利要求3所述的方法，其特征在于，還包括接收存儲(chǔ)在計(jì)算機(jī)可讀介質(zhì)上的指 令的步驟，所述指令在由部署所述主機(jī)上的一個(gè)或多個(gè)處理器執(zhí)行時(shí)實(shí)現(xiàn)所述主健康代理 或所述客健康代理。
7.如權(quán)利要求6所述的方法，其特征在于，所述計(jì)算機(jī)可讀介質(zhì)是還包括在所述虛擬 化環(huán)境中使用的桌面鏡像的存儲(chǔ)介質(zhì)。
8.如權(quán)利要求7所述的方法，其特征在于，所述桌面鏡像包括所述順從策略、數(shù)據(jù)、用 戶設(shè)置、用戶偏好或應(yīng)用中的一個(gè)或多個(gè)。
9.如權(quán)利要求1所述的方法，其特征在于，還包括以下步驟i)配置所述客機(jī)以耦合到 通信信道，用于安全評估的發(fā)布和訂閱模型通過該通信信道來操作，每一安全評估被安排 成提供與聯(lián)網(wǎng)環(huán)境中的對象有關(guān)的安全事故的上下文意義，所述通信信道在多個(gè)安全端點(diǎn) 之間共享，并且所述安全評估使用所述多個(gè)端點(diǎn)通常理解的分類法， )通過所述通信信道 接收描述所述主機(jī)上的、由安全端點(diǎn)檢測到的可能安全事故的安全評估，以及iii)響應(yīng)于 所接收到的安全評估，觸發(fā)對所述主機(jī)上的組件執(zhí)行所述主機(jī)的健康檢查的請求。
10.如權(quán)利要求1所述的方法，其特征在于，還包括在確定所述主機(jī)不順從時(shí)顯示出錯(cuò) 消息的步驟，所述出錯(cuò)消息指示所述主機(jī)不順從所述順從策略并且提供可以執(zhí)行對不順從 性的補(bǔ)救的通知。
11.一種用于管理來自在主機(jī)Ο ο)上的子分區(qū)(110)上運(yùn)行的客機(jī)(205)的網(wǎng)絡(luò)訪 問的方法，所述方法包括以下步驟從所述客機(jī)(20 接收對連接到網(wǎng)絡(luò)(223)的請求；從所述客機(jī)(20 請求指示所述主機(jī)的健康狀態(tài)的順從性聲明(320)；對照指定所述主機(jī)O10)的最小健康條件的一個(gè)或多個(gè)順從策略來比較所述順從性 聲明(320)；如果所述順從性聲明(320)指示所述主機(jī)(210)順從所述一個(gè)或多個(gè)順從策略，則向 所述客機(jī)(20 授予對所述網(wǎng)絡(luò)023)的訪問；以及如果所述順從性聲明(320)指示所述主機(jī)O10)不順從所述一個(gè)或多個(gè)順從策略，則 拒絕連接到所述網(wǎng)絡(luò)023)的請求。
12.如權(quán)利要求11所述的方法，其特征在于，還包括從順從策略服務(wù)器接收所述一個(gè) 或多個(gè)順從策略的步驟。
13.如權(quán)利要求11所述的方法，其特征在于，還包括在補(bǔ)救了所述主機(jī)對所述一個(gè)或 多個(gè)順從策略的不順從性的情況下向所述客機(jī)授予對所述網(wǎng)絡(luò)的訪問的步驟。
14.如權(quán)利要求13所述的方法，其特征在于，所述遠(yuǎn)程連接是由VPN、使用SSL的VPN、 通過IPkc的VPN、或全局SCM服務(wù)之一來實(shí)現(xiàn)的。
15.如權(quán)利要求11所述的方法，其特征在于，所述順從性聲明是由在所述主機(jī)的根分 區(qū)上運(yùn)行的組件生成的，所述組件被安排成檢查所述主機(jī)的健康狀態(tài)并且將所述順從性聲 明返回所述客機(jī)，或被安排成檢查所述主機(jī)的健康狀態(tài)并將所述順從性聲明返回給順從策 略服務(wù)器并且在確定所述主機(jī)順從所述一個(gè)或多個(gè)順從策略的情況下從所述順從策略服 務(wù)器接收經(jīng)簽署的健康聲明。
全文摘要
在一虛擬化環(huán)境(100)中，監(jiān)視客機(jī)(205)可在其上操作的主機(jī)(210)以確定它是否因順從適用策略(如更新到當(dāng)前最新安全補(bǔ)丁、運(yùn)行反病毒程序、已被證明能運(yùn)行客機(jī)，等等)并且不受可能破壞或損害客機(jī)(205)的安全性的惡意軟件(即，“malware”)(252)的影響而健康。如果發(fā)現(xiàn)主機(jī)(210)是不順從(non-compliant)的，則防止客機(jī)(205)在該主機(jī)(210)上引導(dǎo)或連接到網(wǎng)絡(luò)(223)，以確保整個(gè)虛擬化環(huán)境(100)是順從的并且保護(hù)客機(jī)(205)(包括它的數(shù)據(jù)和應(yīng)用等)免受可經(jīng)由在不健康主機(jī)(210)上運(yùn)行的惡意代碼來針對它發(fā)起的攻擊或?qū)⒖蜋C(jī)從網(wǎng)絡(luò)(223)隔離，直至非順從性得到補(bǔ)救為止。
文檔編號(hào)G06F21/20GK102132287SQ200980134101
公開日2011年7月20日 申請日期2009年7月31日 優(yōu)先權(quán)日2008年8月28日
發(fā)明者J·尼斯塔德特, N·奈斯, N·本-由查那 申請人:微軟公司