專利名稱：基于安全沙盒提高計算機安全性能的方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種提高計算機安全性能的方法。
背景技術(shù)：
安全沙盒是一種“環(huán)境”，來源不可信、具備破壞行為或意圖不明的程序可以在其中被執(zhí)行，然而，沙盒中的所有改動并不會對操作系統(tǒng)造成任何影響。目前沙盒技術(shù)運行于多種不同軟件中。如GOOGLE瀏覽器chrome率先采用沙盒技術(shù)限制網(wǎng)絡(luò)應用程序越過虛擬邊界訪問電腦內(nèi)存，防止因單個網(wǎng)絡(luò)應用程序而導致瀏覽器或正運行的其他軟件崩潰?！坝白酉到y(tǒng)”也是沙盒技術(shù)的一種應用。影子系統(tǒng)采用操作系統(tǒng)虛擬化技術(shù)生成當前操作系統(tǒng)的影像，具有與真實系統(tǒng)完全一樣的功能。進入影子系統(tǒng)后，所有操作都是虛擬的，因此所有的病毒和流氓軟件都無法感染真正的操作系統(tǒng)。當系統(tǒng)出現(xiàn)問題，或者上網(wǎng)產(chǎn)生垃圾文件，只需輕松的重啟電腦，使系統(tǒng)恢復原先狀態(tài)。然而，將整個系統(tǒng)放入沙盒之中雖然可以大大提升安全性，但一定程度上會影響軟件的執(zhí)行效率，因為所有操作并非都存在風險。這樣直接導致影響軟件的用戶體驗。并且當系統(tǒng)遇到問題時只能通過重啟系統(tǒng)來解決。同樣，將沙盒技術(shù)運用于每個單獨軟件中，軟件開發(fā)人員不僅要關(guān)心具體軟件的設(shè)計開發(fā)，也要關(guān)心如何運用沙盒技術(shù)來保證軟件的安全性，增加了軟件開發(fā)的成本。

發(fā)明內(nèi)容
本發(fā)明要解決的技術(shù)問題是提供一種基于安全沙盒提高計算機安全性能的方法， 其可以保護計算機系統(tǒng)干凈、安全。為了解決以上技術(shù)問題，本發(fā)明提供了一種基于安全沙盒提高計算機安全性能的方法，包括以下步驟用戶在安全黑盒內(nèi)添加、安裝應用軟件；安全黑盒運行在系統(tǒng)核心態(tài)，運行時截獲運行在黑盒內(nèi)的軟件行為；對未授權(quán)的非安全行為，阻止其執(zhí)行或由用戶裁決是否允許此操作；例如阻止未授權(quán)的跨進程的內(nèi)存讀寫、訪問網(wǎng)絡(luò)等，并發(fā)出警告信息，由用戶最后決定是否允許此行為。如果軟件發(fā)出I/O請求，安全黑盒得到此請求后，將請求加入到請求隊列中；安全黑盒內(nèi)部的I/O請求分析器從隊列中取請求，進行分析判斷；如果此請求訪問安全黑盒內(nèi)部資源，則將請求投入到執(zhí)行隊列中；如果請求以只讀方式訪問外部系統(tǒng)資源，則允許該請求并投入到執(zhí)行隊列中；如果請求修改外部系統(tǒng)資源，則安全黑盒為此外部資源在安全黑盒內(nèi)部生成一份資源映像，成功后修改此請求，將此I/O請求重定向到請求安全黑盒內(nèi)部資源，投入到I/O 執(zhí)行隊列中等待運行。本發(fā)明的有益效果在于安全黑盒可以保護客戶系統(tǒng)干凈安全。安全黑盒的使用在用戶層面可以保護用戶系統(tǒng)的干凈，不受軟件安裝或運行時產(chǎn)生的垃圾文件的影響，同時也保護系統(tǒng)免受病毒或惡意軟件的侵害，保證系統(tǒng)的安全。當不再需要此安全黑盒時可以直接刪除，解決無法完全卸載流某些氓軟件的煩惱。與影子系統(tǒng)相比，不需要每次遇到問題需要重啟系統(tǒng)，只需刪除黑盒即可解決問題，保證系統(tǒng)的干凈和安全，又方便用戶的使用。從技術(shù)層面上，安全黑盒又可以使軟件開發(fā)人員無需在關(guān)心沙盒等安全技術(shù)在軟件中的運用，從而致力于軟件實際功能的開發(fā)。用戶可任意安裝和刪除安全黑盒和安全黑盒內(nèi)軟件。安全黑盒的增刪不影響外部系統(tǒng)的使用，且不會在外部系統(tǒng)留下“痕跡”。


下面結(jié)合附圖和具體實施方式
對本發(fā)明作進一步詳細說明。圖1是本發(fā)明實施例所述方法的示意圖。
具體實施例方式本發(fā)明采用封閉軟件運行環(huán)境、監(jiān)控軟件運行狀態(tài)的方法。具體通過截取軟件運行的行為，包括跨進程內(nèi)存訪問、底層I/O請求操作、訪問網(wǎng)絡(luò)等，當截獲軟件行為時，如果軟件請求跨進程訪問內(nèi)存或訪問網(wǎng)絡(luò)，則交由用戶裁決是否運行軟件。如果軟件發(fā)出I/O 請求，安全黑盒得到此請求后，將請求加入到請求隊列中；如果安全黑盒對截取的I/O請求進行分析重定向到安全黑盒內(nèi)部，來達到封閉軟件運行環(huán)境的目的。當請求訪問外部系統(tǒng)設(shè)備文件，并且此請求權(quán)限不夠時，安全黑盒嘗試為此需要的外部設(shè)備文件在安全黑盒內(nèi)部生成一個設(shè)備映像文件，并調(diào)整此I/O請求操作，使其訪問新生成的內(nèi)部設(shè)備文件。同時監(jiān)控軟件運行時行為狀態(tài)，對未授權(quán)的非安全行為，阻止其執(zhí)行或由有用裁決是否允許此操作。例如阻止未授權(quán)的跨進程的內(nèi)存讀寫、訪問網(wǎng)絡(luò)等，并發(fā)出警告信息，由用戶最后決定是否允許此行為。采用本發(fā)明的方法，使軟件運行被封閉在安全黑盒內(nèi)部，軟件安裝運行時生成或下載的文件等被封鎖在安全黑盒內(nèi)部，因此安全隱患也被隔離在安全黑盒內(nèi)，同時阻止了軟件運行時期的一些不安全行為。不僅保證了軟件不會污染外部系統(tǒng)，保持外部系統(tǒng)的干凈，同時也保護了用戶和系統(tǒng)的安全，阻止病毒感染外部系統(tǒng)文件。以讀寫資源文件為例， 安全系統(tǒng)內(nèi)運行的軟件允許讀寫安全系統(tǒng)內(nèi)部的資源文件，對于外部系統(tǒng)的資源，安全系統(tǒng)只允許軟件進行讀取，不允許修改這些資源。當軟件確實需要修改外部資源文件時，安全系統(tǒng)為需要修改的外部資源在安全系統(tǒng)內(nèi)部生成一份映像資源，同時調(diào)整此I/O操作，讓其訪問修改新生成的映像資源文件。以此保證安全系統(tǒng)內(nèi)運行的軟件不會修改破壞外部系統(tǒng)文件，保持系統(tǒng)干凈。因此，使用本發(fā)明的安全黑盒有效的保護客戶系統(tǒng)的干凈和安全。如圖1所示，本發(fā)明基于安全沙盒的應用安全黑盒執(zhí)行的流程如下客戶安裝安全黑盒后啟動運行安全黑盒，可以為安全黑盒添加和刪除軟件。有兩種添加方式一種是添加外部系統(tǒng)已安裝的軟件，即托管方式添加，外部軟件的運行由安全黑盒托管完成并監(jiān)控；另一種是安裝方式添加，即直接將一個軟件安裝進安
全里合
卞.■/、、、πττ O刪除安全黑盒內(nèi)已設(shè)置的軟件對應有兩種不同方式一種是取消托管，另一種是卸載安裝進安全黑盒內(nèi)的軟件。注意刪除安全黑盒時對兩種方式有不同的影響，對于前者， 刪除后不會影響此軟件在外部系統(tǒng)的使用；而后者會隨安全系統(tǒng)一并被刪除。
4
配置完安全黑盒后，運行軟件。安全黑盒監(jiān)控軟件運行，截獲軟件的一些行為操作，如I/O操作和一些預定義的不安全操作，例如跨進程內(nèi)存讀寫和訪問網(wǎng)絡(luò)等。對于I/O 操作，安全黑盒內(nèi)部維護一個I/O請求隊列和I/O執(zhí)行隊列。軟件運行時發(fā)出I/O請求，安全黑盒得到此請求后將請求加入到請求隊列中。安全黑盒內(nèi)部的I/O請求分析器從隊列中取請求，進行分析判斷。如果此請求訪問安全黑盒內(nèi)部資源，則將請求投入到執(zhí)行隊列中； 如果請求以只讀方式訪問外部系統(tǒng)資源，則允許該請求并投入到執(zhí)行隊列中；如果請求修改外部系統(tǒng)資源，則安全黑盒嘗試為此外部資源在安全黑盒內(nèi)部生成一份資源映像，成功后修改此請求，將此I/O請求重定向到請求安全黑盒內(nèi)部資源，投入到I/O執(zhí)行隊列中等待運行。對于不安全的跨進程內(nèi)存讀寫操作，如果此操作未被授權(quán)，安全黑盒給出安全提示，由用戶裁決此操作是否繼續(xù)。對于軟件訪問網(wǎng)絡(luò)，安全黑盒允許軟件從外網(wǎng)讀數(shù)據(jù)，當發(fā)生軟件向外網(wǎng)發(fā)送敏感數(shù)據(jù)時，安全黑盒給出安全提示。所述的安全黑盒以一個運行在外部操作系統(tǒng)核心態(tài)的應用軟件方式啟動運行。黑盒將軟件的運行直接交由外部操作系統(tǒng)完成，黑盒系統(tǒng)負責監(jiān)控。安全黑盒啟動運行后，截獲軟件行為操作，包括I/O資源請求操作和不安全行為操作，對上述行為進行進一步分析和處理。本發(fā)明通過采用封閉軟件運行環(huán)境和監(jiān)控軟件運行行為的方法，確保安裝軟件或運行軟件時不會“污染”外部系統(tǒng)，當不再需要某個軟件或整個安全黑盒時可直接刪除。安全黑盒保證卸載系統(tǒng)內(nèi)軟件或整個安全黑盒是完全的且不會影響外部系統(tǒng)，卸載后不會在外部系統(tǒng)留下任何信息。解決無法完全卸載流氓軟件、清除病毒及惡意軟件等問題。并安全黑盒可保護用戶和系統(tǒng)不受病毒和惡意軟件的侵害。本發(fā)明并不限于上文討論的實施方式。以上對具體實施方式
的描述旨在于為了描述和說明本發(fā)明涉及的技術(shù)方案?；诒景l(fā)明啟示的顯而易見的變換或替代也應當被認為落入本發(fā)明的保護范圍。以上的具體實施方式
用來揭示本發(fā)明的最佳實施方法，以使得本領(lǐng)域的普通技術(shù)人員能夠應用本發(fā)明的多種實施方式以及多種替代方式來達到本發(fā)明的目的。
權(quán)利要求
1.一種基于安全沙盒提高計算機安全性能的方法，其特征在于包括以下步驟 用戶在安全黑盒內(nèi)添加、安裝應用軟件；安全黑盒運行在系統(tǒng)核心態(tài)，運行時截獲運行在黑盒內(nèi)的軟件行為； 對未授權(quán)的非安全行為，阻止其執(zhí)行或由用戶裁決是否允許此操作； 如果軟件發(fā)出I/O請求，安全黑盒得到此請求后，將請求加入到請求隊列中； 安全黑盒內(nèi)部的I/O請求分析器從隊列中取請求，進行分析判斷； 如果此請求訪問安全黑盒內(nèi)部資源，則將請求投入到執(zhí)行隊列中； 如果請求以只讀方式訪問外部系統(tǒng)資源，則允許該請求并投入到執(zhí)行隊列中； 如果請求修改外部系統(tǒng)資源，則安全黑盒為此外部資源在安全黑盒內(nèi)部生成一份資源映像，成功后修改此請求，將此I/O請求重定向到請求安全黑盒內(nèi)部資源，投入到I/O執(zhí)行隊列中等待運行。
2.如權(quán)利要求1所述的基于安全沙盒提高計算機安全性能的方法，其特征在于黑盒獲得進程的外部系統(tǒng)的I/O設(shè)備請求，安全黑盒分析請求后，判斷此請求操作是否有權(quán)限， 若沒有足夠權(quán)限，安全黑盒對外部系統(tǒng)設(shè)備在黑盒內(nèi)做設(shè)備內(nèi)部映像，調(diào)整請求為內(nèi)部I/O 請求，將調(diào)整后的請求投入繼續(xù)執(zhí)行。
3.如權(quán)利要求2所述的基于安全沙盒提高計算機安全性能的方法，其特征在于監(jiān)控軟件運行行為，如果軟件請求跨進程訪問內(nèi)存或訪問網(wǎng)絡(luò)，則阻止此行為或交由用戶裁決是否繼續(xù)此行為。
4.如權(quán)利要求3所述的基于安全沙盒提高計算機安全性能的方法，其特征在于，安全黑盒運行在操作系統(tǒng)核心態(tài)，訪問操作系統(tǒng)內(nèi)核數(shù)據(jù)結(jié)構(gòu)及內(nèi)核函數(shù)；在windows平臺下， 安全黑盒以驅(qū)動程序的方式運行；Linux平臺下，安全黑盒以模塊的方式啟動運行。
全文摘要
本發(fā)明公開了一種基于安全沙盒提高計算機安全性能的方法，用于保護用戶系統(tǒng)干凈、安全，包括以下步驟用戶將軟件安裝在安全黑盒內(nèi)，安全黑盒運行在系統(tǒng)核心態(tài)，監(jiān)控和截獲運行在黑盒內(nèi)的應用軟件行為，如果軟件發(fā)出I/O請求，安全黑盒得到此請求后，將請求加入到請求隊列中；安全黑盒內(nèi)部的I/O請求分析器從隊列中取請求，進行分析判斷；如果此請求訪問安全黑盒內(nèi)部資源，則將請求投入到執(zhí)行隊列中；如果請求以只讀方式訪問外部系統(tǒng)資源，則允許該請求并投入到執(zhí)行隊列中；如果請求修改外部系統(tǒng)資源，則安全黑盒為此外部資源在安全黑盒內(nèi)部生成一份資源映像，將此I/O請求重定向到請求安全黑盒內(nèi)部資源，并投入到I/O執(zhí)行隊列中。本發(fā)明保護客戶系統(tǒng)干凈安全。
文檔編號G06F21/00GK102542187SQ20101060224
公開日2012年7月4日 申請日期2010年12月23日 優(yōu)先權(quán)日2010年12月23日
發(fā)明者杜江杰, 沈佳佳, 王峰 申請人:盛趣信息技術(shù)(上海)有限公司