專利名稱：提供安全邊界的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及提供安全邊界，尤其是在數(shù)據(jù)中心中提供安全邊界。
背景技術(shù)：
數(shù)據(jù)中心管理員面對(duì)在維護(hù)可接受的電源、硬件和空間要求的同時(shí)還要滿足數(shù)據(jù)中心的數(shù)據(jù)要求的富有挑戰(zhàn)性的任務(wù)。通常，為了將支出最小化，管理員提高數(shù)據(jù)中心內(nèi)的服務(wù)器的應(yīng)用密度。應(yīng)用密度是一種對(duì)在單個(gè)物理計(jì)算機(jī)上執(zhí)行的應(yīng)用的數(shù)量的度量。通過增加在每臺(tái)物理計(jì)算機(jī)上運(yùn)行的應(yīng)用的數(shù)量，可將支持?jǐn)?shù)據(jù)中心操作所需的服務(wù)器的數(shù)
量最小化。為了提高數(shù)據(jù)中心內(nèi)的應(yīng)用密度，管理員還可以利用虛擬機(jī)(VM)。虛擬機(jī)可以通過使多個(gè)虛擬機(jī)共享一臺(tái)機(jī)器的物理資源來提高應(yīng)用密度。然而，出于各種理由，在相同的 VM內(nèi)執(zhí)行兩個(gè)不同的應(yīng)用并不總是可能的。例如，由于安全考慮可能不期望兩個(gè)不同的應(yīng)用在相同的VM內(nèi)執(zhí)行。作為另一個(gè)示例，在相同的VM上執(zhí)行的兩個(gè)不同的應(yīng)用在嘗試訪問相同資源時(shí)可能沖突。為了使兩個(gè)潛在沖突的應(yīng)用在相同的計(jì)算機(jī)上執(zhí)行，為每個(gè)應(yīng)用執(zhí)行一個(gè)單獨(dú)的 VM可能是有必要的。然而，由于與執(zhí)行每個(gè)虛擬機(jī)相關(guān)聯(lián)的許可成本，以此方式執(zhí)行多個(gè) VM可能是昂貴的。另外，當(dāng)在包括大量機(jī)器的環(huán)境中操作時(shí)，例如在云環(huán)境中操作，執(zhí)行多個(gè)VM的性能成本可能是顯著的。在數(shù)據(jù)中心內(nèi)，每個(gè)VM通常被監(jiān)控和管理。因此，操作數(shù)據(jù)中心的管理成本隨著VM的增加而提高，因?yàn)槊總€(gè)VM可能需要各種補(bǔ)丁或策略，以便以期望的方式來操作。此處所做出的本公開正是對(duì)于這些和其他考慮事項(xiàng)而提出的。

發(fā)明內(nèi)容
此處公開了提供安全邊界的概念和技術(shù)。通過實(shí)現(xiàn)此處呈現(xiàn)的概念和技術(shù)，可以按照提供應(yīng)用之間的安全邊界的方式在相同計(jì)算機(jī)上執(zhí)行多個(gè)應(yīng)用。以此方式，可在相同的物理或虛擬計(jì)算機(jī)上執(zhí)行以其他方式是不期望或不可能的兩個(gè)或多個(gè)應(yīng)用。因此，此次公開的技術(shù)可用于減少VM的數(shù)量、以及執(zhí)行不兼容或沖突應(yīng)用所需的相關(guān)聯(lián)的許可費(fèi)。根據(jù)此處所呈現(xiàn)的一個(gè)方面，安全監(jiān)視器在學(xué)習(xí)模式中執(zhí)行以監(jiān)控正在執(zhí)行的應(yīng)用所作出的應(yīng)用編程接口(API)調(diào)用，從而標(biāo)識(shí)該應(yīng)用所使用的資源。安全監(jiān)視器將每個(gè)所標(biāo)識(shí)的資源的可編輯虛擬訪問控制列表(ACL)添加到安全監(jiān)視器數(shù)據(jù)庫，該安全監(jiān)視器數(shù)據(jù)庫可用于控制對(duì)每個(gè)所標(biāo)識(shí)的系統(tǒng)資源的訪問，范圍從完全訪問到禁止訪問。一旦安全監(jiān)視器已經(jīng)標(biāo)識(shí)了 API調(diào)用所訪問的資源，該安全監(jiān)視器允許該API調(diào)用照常繼續(xù)。在操作實(shí)施模式中，安全監(jiān)視器監(jiān)控由正在執(zhí)行的應(yīng)用作出的API調(diào)用，以確定該應(yīng)用是否被授權(quán)訪問系統(tǒng)資源。具體而言，當(dāng)安全監(jiān)視器處于實(shí)施模式時(shí)，安全監(jiān)視器截取由應(yīng)用作出的API調(diào)用。安全監(jiān)視器隨后訪問安全監(jiān)視器數(shù)據(jù)庫以確定發(fā)出請(qǐng)求的應(yīng)用是否被授權(quán)訪問所請(qǐng)求的系統(tǒng)資源。如果安全監(jiān)視器確定該應(yīng)用被授權(quán)訪問所請(qǐng)求的系統(tǒng)資源，則允許該API調(diào)用照常繼續(xù)。如果安全監(jiān)視器確定該應(yīng)用未被授權(quán)訪問所請(qǐng)求的系統(tǒng)資源，則安全監(jiān)視器拒絕應(yīng)用對(duì)系統(tǒng)資源的訪問。系統(tǒng)管理員可以編輯ACL以允許被拒絕的應(yīng)用訪問所請(qǐng)求的系統(tǒng)資源。應(yīng)當(dāng)理解的是，此處公開的實(shí)施例可與虛擬化應(yīng)用、在硬件虛擬化環(huán)境中執(zhí)行的非虛擬化應(yīng)用、在非虛擬化環(huán)境中執(zhí)行的非虛擬化應(yīng)用、以及其它類型的應(yīng)用結(jié)合使用。還應(yīng)當(dāng)理解，上述主題也可被實(shí)現(xiàn)為計(jì)算機(jī)控制的裝置、計(jì)算機(jī)進(jìn)程、計(jì)算系統(tǒng)或諸如計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)等制品。通過閱讀下面的詳細(xì)描述并審閱相關(guān)聯(lián)的附圖，這些及各種其他特征將變得顯而易見。提供本發(fā)明內(nèi)容以便以簡(jiǎn)化的形式介紹將在以下具體實(shí)施方式
中進(jìn)一步描述的一些概念。本發(fā)明內(nèi)容并不旨在標(biāo)識(shí)所要求保護(hù)的主題的關(guān)鍵特征或必要特征，也不旨在將本概述用來限制所要求保護(hù)的主題的范圍。此外，所要求保護(hù)的主題不限于解決在本發(fā)明的任一部分中提及的任何或所有缺點(diǎn)的實(shí)現(xiàn)。


圖I是示出其中可實(shí)現(xiàn)此處所公開的主題的各方面的合適的計(jì)算環(huán)境的示例的計(jì)算機(jī)軟件體系結(jié)構(gòu)圖；圖2是示出在此處提供的學(xué)習(xí)模式中操作的用于根據(jù)此處所呈現(xiàn)的各種實(shí)施例提供安全邊界的安全監(jiān)視器的各方面的計(jì)算機(jī)軟件體系結(jié)構(gòu)圖；圖3是示出根據(jù)此處所呈現(xiàn)的各種實(shí)施例在運(yùn)行時(shí)的實(shí)施模式中操作的安全監(jiān)視器的各方面的計(jì)算機(jī)軟件體系結(jié)構(gòu)圖；圖4是示出用于在安全監(jiān)視器處于學(xué)習(xí)模式時(shí)監(jiān)控系統(tǒng)資源訪問的此處提供的一個(gè)說明性例程的各方面的流程圖；圖5是示出用于安全監(jiān)視器在實(shí)施模式中操作時(shí)監(jiān)控系統(tǒng)資源訪問的此處提供的一個(gè)說明性例程的各方面的流程圖；以及圖6是示出能夠?qū)崿F(xiàn)本文所呈現(xiàn)的實(shí)施例的各方面的計(jì)算系統(tǒng)的說明性計(jì)算機(jī)硬件和軟件體系結(jié)構(gòu)的計(jì)算機(jī)體系結(jié)構(gòu)圖。
具體實(shí)施例方式以下具體實(shí)施方式
涉及用于提供安全邊界的技術(shù)。如上面簡(jiǎn)要地討論并以下更詳細(xì)地描述的，執(zhí)行其中截取應(yīng)用API調(diào)用的操作學(xué)習(xí)模式。在安全監(jiān)視器數(shù)據(jù)庫中記錄標(biāo)識(shí)API調(diào)用的數(shù)據(jù)。在應(yīng)用的運(yùn)行時(shí)，安全監(jiān)視器在操作學(xué)習(xí)模式期間基于存儲(chǔ)在數(shù)據(jù)庫中的數(shù)據(jù)，允許應(yīng)用訪問資源。關(guān)于這些過程的其他細(xì)節(jié)將在以下參考圖1-6來提供。盡管在結(jié)合計(jì)算機(jī)系統(tǒng)上的操作系統(tǒng)和應(yīng)用程序的執(zhí)行而執(zhí)行的程序模塊的一般上下文中呈現(xiàn)了此處描述的主題，但是本領(lǐng)域技術(shù)人員將認(rèn)識(shí)到，其他實(shí)現(xiàn)可以結(jié)合其他類型的程序模塊來執(zhí)行。一般而言，程序模塊包括執(zhí)行特定任務(wù)或?qū)崿F(xiàn)特定抽象數(shù)據(jù)類型的例程、程序、組件、數(shù)據(jù)結(jié)構(gòu)和其它類型的結(jié)構(gòu)。此外，本領(lǐng)域技術(shù)人員將明白，可以利用其他計(jì)算機(jī)系統(tǒng)配置來實(shí)施此處描述的主題，這些計(jì)算機(jī)系統(tǒng)配置包括手持式設(shè)備、多處理器系統(tǒng)、基于微處理器的或可編程消費(fèi)電子產(chǎn)品、小型計(jì)算機(jī)、大型計(jì)算機(jī)等等。在下面的詳細(xì)描述中，將參考構(gòu)成本發(fā)明的一部分的附圖，并且在附圖中作為說明示出了各具體實(shí)施例或示例?，F(xiàn)在參考附圖(全部若干附圖中相同的標(biāo)號(hào)表示相同的元素)，將呈現(xiàn)用于提供安全邊界的計(jì)算系統(tǒng)、計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)和計(jì)算機(jī)實(shí)現(xiàn)的方法的各方面。圖I是示出其中可實(shí)現(xiàn)此處所描述的主題的各方面的合適的計(jì)算環(huán)境100的示例的計(jì)算機(jī)軟件體系結(jié)構(gòu)圖。具體而言，圖I示出用于實(shí)現(xiàn)硬件虛擬化計(jì)算環(huán)境的說明性軟件體系結(jié)構(gòu)。如本領(lǐng)域已知的，虛擬化允許主機(jī)計(jì)算機(jī)在單個(gè)計(jì)算機(jī)上并發(fā)地運(yùn)行多個(gè)操作系統(tǒng)。操作系統(tǒng)的每個(gè)正在執(zhí)行的實(shí)例通常被稱作為虛擬機(jī)。為了啟用虛擬機(jī)的執(zhí)行，可以執(zhí)行軟件系統(tǒng)管理程序102以提供用于配置、執(zhí)行并管理虛擬機(jī)的操作的功能。系統(tǒng)管理程序102是在其執(zhí)行的所基于的主機(jī)計(jì)算機(jī)的物理硬件106之上、并在一個(gè)或多個(gè)操作系統(tǒng)108A-108C之下運(yùn)行的軟件層。還可以用硬件來實(shí)現(xiàn)系統(tǒng)管理程序102。系統(tǒng)管理程序102提供被稱為分區(qū)的隔離執(zhí)行環(huán)境。在圖I所示的實(shí)例中，操作系統(tǒng)108A和應(yīng)用IlOA在第一分區(qū)中執(zhí)行，操作系統(tǒng)108B和應(yīng)用IlOB在第二分區(qū)中執(zhí)行， 并且操作系統(tǒng)108C和應(yīng)用IlOC在第三分區(qū)中執(zhí)行。系統(tǒng)管理程序102為每個(gè)分區(qū)提供其自身的虛擬硬件資源集104(例如，存儲(chǔ)器、設(shè)備、以及中央處理單元(“CPU”)周期)。系統(tǒng)管理程序102還按需控制并仲裁對(duì)底層硬件106的訪問。如將在以下更詳細(xì)地描述的，系統(tǒng)管理程序102可以通過為每個(gè)系統(tǒng)資源分配訪問控制列表(ACL)以及基于包括允許使用系統(tǒng)資源的應(yīng)用110的許可列表來分配使用每個(gè)系統(tǒng)資源的許可，實(shí)現(xiàn)此次公開的用于提供安全邊界的功能以在相同分區(qū)內(nèi)執(zhí)行的應(yīng)用 110之間提供安全邊界。在其他實(shí)施例中，此處所呈現(xiàn)的功能可在操作系統(tǒng)108內(nèi)實(shí)現(xiàn)，或者由安裝低級(jí)操作系統(tǒng)驅(qū)動(dòng)程序以啟用此處所公開的功能的應(yīng)用程序來實(shí)現(xiàn)。在此方面， 應(yīng)當(dāng)理解的是，圖I僅是說明性的，并且此處所呈現(xiàn)的實(shí)施例可在已經(jīng)通過很多不同方式實(shí)現(xiàn)的很多不同類型的虛擬化環(huán)境中使用。例如，此處公開的各實(shí)施例可與虛擬化應(yīng)用、在硬件虛擬化環(huán)境中執(zhí)行的非虛擬化應(yīng)用、在非虛擬化環(huán)境中執(zhí)行的非虛擬化應(yīng)用、以及其它類型的應(yīng)用結(jié)合使用。圖2是示出其中安全監(jiān)視器206在操作學(xué)習(xí)模式(“學(xué)習(xí)模式”)中執(zhí)行的軟件環(huán)境200的計(jì)算機(jī)軟件體系結(jié)構(gòu)圖。在圖2所示的軟件環(huán)境200中，一個(gè)或多個(gè)應(yīng)用202在諸如服務(wù)器計(jì)算機(jī)、標(biāo)準(zhǔn)臺(tái)式或膝上型計(jì)算機(jī)、或平板計(jì)算機(jī)的計(jì)算機(jī)上執(zhí)行。例如，應(yīng)用 202可包括人力資源(HR)應(yīng)用、記賬應(yīng)用、結(jié)構(gòu)化查詢語言(SQL)服務(wù)器等。在執(zhí)行期間，應(yīng)用202可以發(fā)出一個(gè)或多個(gè)應(yīng)用編程接口(API)調(diào)用，從而便于與其他程序通信并訪問系統(tǒng)資源。應(yīng)當(dāng)理解的是，如此處使用的，術(shù)語“系統(tǒng)資源”包括操作系統(tǒng)(OS)不以其他方式控制使用的訪問的全部資源或?qū)ο?。例如，系統(tǒng)資源可包括網(wǎng)絡(luò)端點(diǎn)、網(wǎng)絡(luò)端口、文件、窗口、用戶界面(UI)元素、寄存器、開放數(shù)據(jù)庫連通性(ODBC)連接串、 以及其它類型的資源。處于學(xué)習(xí)模式時(shí)，安全監(jiān)視器206截取由應(yīng)用202作出的API調(diào)用。這被示為圖2 中的框204。響應(yīng)于截取API調(diào)用，安全監(jiān)視器206將一個(gè)或多個(gè)可編輯的ACL與作為API 調(diào)用的目標(biāo)的系統(tǒng)資源相關(guān)聯(lián)。一個(gè)或多個(gè)可編輯ACL可用于控制對(duì)系統(tǒng)資源的訪問，范圍從完全訪問系統(tǒng)資源到禁止訪問。在一個(gè)實(shí)施例中，安全監(jiān)視器206將一個(gè)或多個(gè)ACL 存儲(chǔ)在安全監(jiān)視器數(shù)據(jù)庫208中。元數(shù)據(jù)可包括標(biāo)識(shí)應(yīng)用202所請(qǐng)求的系統(tǒng)資源的數(shù)據(jù)，以及對(duì)許可應(yīng)用202訪問該資源的指示。在ACL被存儲(chǔ)到安全監(jiān)視器數(shù)據(jù)庫208之后，允許所截取的API調(diào)用照常繼續(xù)。這在圖2的框210中示出。如將在以下更詳細(xì)地討論的，安全監(jiān)視器206在應(yīng)用202的運(yùn)行時(shí)利用安全監(jiān)視器數(shù)據(jù)庫208的內(nèi)容來允許或拒絕對(duì)系統(tǒng)資源的訪問。具體而言，安全監(jiān)視器206將許可已經(jīng)由上面描述的學(xué)習(xí)模式處理過的應(yīng)用202的訪問資源的API調(diào)用。未在上面描述的學(xué)習(xí)模式中被處理的應(yīng)用202的訪問資源的API調(diào)用將不被許可。在此方面，安全監(jiān)視器 206存儲(chǔ)在安全監(jiān)視器數(shù)據(jù)庫208中的數(shù)據(jù)被用作白名單。管理員可以在學(xué)習(xí)模式發(fā)生之后通過編輯白名單以添加或移除應(yīng)用(例如，應(yīng)用202)來允許或拒絕對(duì)系統(tǒng)資源的訪問。 因此，應(yīng)當(dāng)理解的是，存儲(chǔ)在以上描述的安全監(jiān)視器數(shù)據(jù)庫208中的數(shù)據(jù)的類型僅是說明性的，并且安全監(jiān)視器可以存儲(chǔ)其他類型的數(shù)據(jù)。圖3是安全監(jiān)視器206在操作實(shí)施模式(“實(shí)施模式”)中執(zhí)行的計(jì)算機(jī)軟件環(huán)境 300。環(huán)境300包括在相同的計(jì)算機(jī)上執(zhí)行的應(yīng)用302和應(yīng)用304。盡管應(yīng)用302和應(yīng)用 304在服務(wù)器上運(yùn)行，但這些應(yīng)用可以發(fā)出一個(gè)或多個(gè)API調(diào)用，從而便于與其他程序通信以及訪問系統(tǒng)資源。在圖3所示的示例中，安全監(jiān)視器206已在上面描述的學(xué)習(xí)模式中處理過應(yīng)用 302。然而，尚未在學(xué)習(xí)模式中執(zhí)行應(yīng)用304。因此，安全監(jiān)視器數(shù)據(jù)庫208包括標(biāo)識(shí)由應(yīng)用 302作出的API調(diào)用的數(shù)據(jù)。安全監(jiān)視器數(shù)據(jù)庫208不包括標(biāo)識(shí)由應(yīng)用304作出的API調(diào)用的數(shù)據(jù)。處于實(shí)施模式時(shí)，安全監(jiān)視器206截取由應(yīng)用302和應(yīng)用304作出的API調(diào)用。這在圖3中由框306來表示。響應(yīng)于截取API調(diào)用，安全監(jiān)視器206訪問安全監(jiān)視器數(shù)據(jù)庫 208的內(nèi)容以確定是否應(yīng)當(dāng)許可該API調(diào)用。例如，在一個(gè)實(shí)現(xiàn)中，安全監(jiān)視器206訪問在學(xué)習(xí)模式期間存儲(chǔ)的ACL和元數(shù)據(jù)，以確定是否應(yīng)當(dāng)許可由應(yīng)用302和應(yīng)用304作出的API調(diào)用。由于應(yīng)用302已在學(xué)習(xí)模式中被處理過，因此安全監(jiān)視器206確定應(yīng)用302被授權(quán)訪問所請(qǐng)求的系統(tǒng)資源。由于應(yīng)用302被授權(quán)訪問系統(tǒng)資源，因此允許所截取的由應(yīng)用 302作出的API調(diào)用照常繼續(xù)。這在圖3的框312和314中示出。由于應(yīng)用304尚未在學(xué)習(xí)模式中被執(zhí)行過，因此安全監(jiān)視器206還確定應(yīng)用304不被授權(quán)訪問系統(tǒng)資源。由于應(yīng)用304未被授權(quán)訪問系統(tǒng)資源，因此不許可所截取的由應(yīng)用304作出的API調(diào)用繼續(xù)。圖4是示出例程400的流程圖，例程400示出了操作學(xué)習(xí)模式的安全監(jiān)視器206的操作的各方面。應(yīng)該了解，這里參考圖4和其他附圖所描述的邏輯操作是(I)作為計(jì)算機(jī)實(shí)現(xiàn)的動(dòng)作或在計(jì)算系統(tǒng)上運(yùn)行的程序模塊的序列和/或(2)計(jì)算系統(tǒng)內(nèi)的互連機(jī)器邏輯電路或電路模塊來實(shí)現(xiàn)的。取決于計(jì)算系統(tǒng)的性能及其他要求，可以選擇不同的實(shí)現(xiàn)。因此， 此處描述的邏輯操作被不同地稱為狀態(tài)、操作、結(jié)構(gòu)設(shè)備、動(dòng)作或模塊。這些操作、結(jié)構(gòu)化設(shè)備、動(dòng)作和模塊可以用軟件、固件、專用數(shù)字邏輯，以及其任何組合來實(shí)現(xiàn)。還應(yīng)該理解，可以執(zhí)行比附圖中示出并在此處描述的操作更多或更少的操作。這些操作還可以按與此處所描述的不同的次序來執(zhí)行。例程400在操作402開始，其中管理員在學(xué)習(xí)模式中執(zhí)行安全監(jiān)視器206。一旦安全監(jiān)視器206開始執(zhí)行，例程400繼續(xù)至操作404，其中在計(jì)算機(jī)上運(yùn)行的應(yīng)用開始API調(diào)用。例程從操作404繼續(xù)至操作406。
在操作406，安全監(jiān)視器206截取由一個(gè)或多個(gè)應(yīng)用開始的API調(diào)用。響應(yīng)于截取 API調(diào)用，例程400繼續(xù)至操作408，安全監(jiān)視器206將作出該API調(diào)用的應(yīng)用添加到與所請(qǐng)求的資源相關(guān)聯(lián)的ACL。還可以許可管理員通過修改ACL來指定應(yīng)用可以訪問資源。例程400從操作408繼續(xù)至操作410。在操作410，將一個(gè)或多個(gè)ACL存儲(chǔ)在安全監(jiān)視器數(shù)據(jù)庫208中。一旦安全監(jiān)視器 206已經(jīng)更新了安全監(jiān)視器數(shù)據(jù)庫208，例程400繼續(xù)至操作412，在那允許所截取的API調(diào)用照常繼續(xù)。例程400從操作412繼續(xù)至操作414，在那里結(jié)束。圖5是示出例程500的流程圖，例程500示出了在實(shí)施模式中操作的安全監(jiān)視器 206的操作的各方面。例程500始于操作502，其中一個(gè)或多個(gè)應(yīng)用以上面描述的方式開始 API調(diào)用。作為其響應(yīng)，在操作504，安全監(jiān)視器206截取由應(yīng)用作出的API調(diào)用。在操作506，安全監(jiān)視器206訪問安全監(jiān)視器數(shù)據(jù)庫208。安全監(jiān)視器206隨后使用存儲(chǔ)在安全監(jiān)視器數(shù)據(jù)庫208中的數(shù)據(jù)來確定開始API調(diào)用的應(yīng)用是否被授權(quán)訪問所請(qǐng)求的系統(tǒng)資源。這在操作508處發(fā)生。如果安全監(jiān)視器206確定一個(gè)應(yīng)用被授權(quán)訪問所請(qǐng)求的系統(tǒng)資源，則例程繼續(xù)至操作510，其中服務(wù)器允許該API調(diào)用照常繼續(xù)。在操作512，許可應(yīng)用302訪問所請(qǐng)求的資源。例程500從操作512繼續(xù)至操作514，在那里結(jié)束。如果在操作508，安全監(jiān)視器206確定應(yīng)用304未被授權(quán)訪問所請(qǐng)求的系統(tǒng)資源， 則例程繼續(xù)至操作520，其中服務(wù)器阻止由應(yīng)用304作出的API調(diào)用執(zhí)行。例程500從操作 520繼續(xù)至操作522，在那里結(jié)束。應(yīng)當(dāng)理解的是，安全監(jiān)視器206可存儲(chǔ)與失敗的API調(diào)用有關(guān)的信息?？梢越?jīng)由合適的用戶界面向管理員提供該信息。管理員可以使用該數(shù)據(jù)來確定是否應(yīng)該允許作出失敗的API調(diào)用的應(yīng)用訪問特定的系統(tǒng)資源。在此方面，管理員可以修改存儲(chǔ)在安全監(jiān)視器數(shù)據(jù)庫208中的數(shù)據(jù)(例如，一個(gè)ACL)以許可在未來執(zhí)行期間由該應(yīng)用作出的API調(diào)用的執(zhí)行。圖6示出能夠執(zhí)行此處所描述的用于提供安全邊界的軟件組件的計(jì)算機(jī)600的說明性計(jì)算機(jī)體系結(jié)構(gòu)。如圖6所示的計(jì)算機(jī)體系結(jié)構(gòu)顯示了常規(guī)臺(tái)式、膝上型或服務(wù)器計(jì)算機(jī)，并且可以用來執(zhí)行此處所呈現(xiàn)的軟件組件的任何方面。圖6所示的計(jì)算機(jī)體系結(jié)構(gòu)包括中央處理單元602 (“CPU”)、包括隨機(jī)存取存儲(chǔ)器 614 ( “RAM”)和只讀存儲(chǔ)器(“ROM”) 616的系統(tǒng)存儲(chǔ)器608、以及將存儲(chǔ)器耦合至CPU 602 的系統(tǒng)總線604?；据斎?輸出系統(tǒng)被存儲(chǔ)在ROM 616中，該系統(tǒng)包含幫助諸如在啟動(dòng)期間在計(jì)算機(jī)600中的元件之間傳遞信息的基本例程。計(jì)算機(jī)600還包括用于存儲(chǔ)操作系統(tǒng) 618、應(yīng)用程序和其他程序模塊的大容量存儲(chǔ)設(shè)備610，這將在本文中更為詳盡地描述。大容量存儲(chǔ)設(shè)備610通過連接至總線604的大容量存儲(chǔ)控制器(未示出)連接到 CPU 602。大容量存儲(chǔ)設(shè)備610及其相關(guān)聯(lián)的計(jì)算機(jī)可讀介質(zhì)為計(jì)算機(jī)600提供非易失性存儲(chǔ)。雖然對(duì)這里包含的計(jì)算機(jī)可讀介質(zhì)的描述提及了諸如硬盤或CD-ROM驅(qū)動(dòng)器之類的大容量存儲(chǔ)設(shè)備，但是本領(lǐng)域的技術(shù)人員應(yīng)該明白，計(jì)算機(jī)可讀介質(zhì)可以是可由計(jì)算機(jī)600 訪問的任何可用計(jì)算機(jī)存儲(chǔ)介質(zhì)。作為示例而非限制，計(jì)算機(jī)可讀介質(zhì)可以包括以用于存儲(chǔ)諸如計(jì)算機(jī)可讀指令、 數(shù)據(jù)結(jié)構(gòu)、程序模塊之類的信息或其他數(shù)據(jù)的任何方法或技術(shù)實(shí)現(xiàn)的易失性和非易失性、可移動(dòng)和不可移動(dòng)介質(zhì)。例如，計(jì)算機(jī)可讀介質(zhì)包括但不限于，RAM、ROM、EPROM、EEPR0M、閃存或其他固態(tài)存儲(chǔ)器技術(shù)、⑶-ROM、數(shù)字多功能盤(“DVD”)、HD-DVD、藍(lán)光(BLU-RAY)或其他光學(xué)存儲(chǔ)、磁帶盒、磁帶、磁盤存儲(chǔ)或其他磁性存儲(chǔ)設(shè)備、或能用于存儲(chǔ)所需信息且可以由計(jì)算機(jī)600訪問的任何其他介質(zhì)。根據(jù)各實(shí)施例，計(jì)算機(jī)600可以使用通過諸如網(wǎng)絡(luò)620之類的網(wǎng)絡(luò)到遠(yuǎn)程計(jì)算機(jī)的邏輯連接來在聯(lián)網(wǎng)環(huán)境中操作。計(jì)算機(jī)600可通過連接至總線604的網(wǎng)絡(luò)接口單元606 來連接到網(wǎng)絡(luò)620。應(yīng)當(dāng)理解，網(wǎng)絡(luò)接口單元606還可以被用來連接到其他類型的網(wǎng)絡(luò)和遠(yuǎn)程計(jì)算機(jī)系統(tǒng)。計(jì)算機(jī)600還可包括用于接收和處理來自多個(gè)其他設(shè)備的輸入的輸入/輸出控制器612，這些設(shè)備包括鍵盤、鼠標(biāo)或者電子指示筆(未在圖6中示出)。類似地，輸入 /輸出控制器可以提供至顯示屏、打印機(jī)或其他類型的輸出設(shè)備(也未在圖6中示出)的輸出。如前簡(jiǎn)述的那樣，多個(gè)程序模塊和數(shù)據(jù)文件可以存儲(chǔ)在計(jì)算機(jī)600的海量存儲(chǔ)設(shè)備610和RAM 614內(nèi)，包括適于控制聯(lián)網(wǎng)的臺(tái)式、膝上型或服務(wù)器計(jì)算機(jī)的操作的操作系統(tǒng) 618。大容量存儲(chǔ)設(shè)備610和RAM 614還可存儲(chǔ)一個(gè)或多個(gè)程序模塊。具體而言，大容量存儲(chǔ)設(shè)備610和RAM 614可存儲(chǔ)系統(tǒng)管理程序102，應(yīng)用202、302和304，安全監(jiān)視器206，以及安全監(jiān)視器數(shù)據(jù)庫208，其每一個(gè)都在上文參考圖1-5詳細(xì)描述。大容量存儲(chǔ)設(shè)備610和 RAM 614還可存儲(chǔ)其它類型的程序模塊和數(shù)據(jù)。應(yīng)當(dāng)理解，本文所描述的軟件組件在被加載到CPU 602中并被執(zhí)行時(shí)可以將CPU 602和總體計(jì)算機(jī)600從通用計(jì)算系統(tǒng)變換成為方便本文所提出的功能而定制的專用計(jì)算系統(tǒng)。CPU 602可以用任意數(shù)量的晶體管或其他分立的電路元件(它們可以分別地或共同地呈現(xiàn)任意數(shù)量的狀態(tài))構(gòu)建。更具體地，CPU602可以響應(yīng)于包含在本文所公開的軟件模塊中的可執(zhí)行指令來作為有限狀態(tài)機(jī)進(jìn)行操作。這些計(jì)算機(jī)可執(zhí)行指令可以通過指定CPU 602如何在各狀態(tài)之間轉(zhuǎn)換來變換CPU 602，由此變換了構(gòu)成CPU 602的晶體管或其它分立硬件兀件。對(duì)本文所提出的軟件模塊的編碼也可變換本文所提出的計(jì)算機(jī)可讀介質(zhì)的物理結(jié)構(gòu)。在本說明書的不同的實(shí)現(xiàn)中，物理結(jié)構(gòu)的具體變換可取決于各種因素。這些因素的示例包括但不限于用于實(shí)現(xiàn)計(jì)算機(jī)可讀介質(zhì)的技術(shù)、計(jì)算機(jī)可讀介質(zhì)被表征為主還是次級(jí)存儲(chǔ)等等。例如，如果計(jì)算機(jī)可讀介質(zhì)被實(shí)現(xiàn)為基于半導(dǎo)體的存儲(chǔ)器，則本文所公開的軟件可以通過變換半導(dǎo)體存儲(chǔ)器的物理狀態(tài)而在計(jì)算機(jī)可讀介質(zhì)上編碼。例如，軟件可以變換構(gòu)成半導(dǎo)體存儲(chǔ)器的晶體管、電容器或其它分立電路元件的狀態(tài)。軟件還可變換這些組件的物理狀態(tài)以在其上存儲(chǔ)數(shù)據(jù)。作為另一示例，本文所公開的計(jì)算機(jī)可讀介質(zhì)可以使用磁或光技術(shù)來實(shí)現(xiàn)。在這些實(shí)現(xiàn)中，本文所提出的軟件可以在磁或光介質(zhì)中編碼了軟件時(shí)變換所述磁或光介質(zhì)的物理狀態(tài)。這些變換可以包括改變給定磁性介質(zhì)內(nèi)的特定位置的磁性。這些變換還可以包括改變給定光學(xué)介質(zhì)內(nèi)的特定位置的物理特征或特性，以改變這些位置的光學(xué)特性。在沒有偏離本說明書的范圍和精神的情況下，物理介質(zhì)的其他轉(zhuǎn)換也是可能的，前面提供的示例只是為了便于此討論。鑒于以上內(nèi)容，應(yīng)當(dāng)理解，在計(jì)算機(jī)600中發(fā)生許多類型的物理變換來存儲(chǔ)并執(zhí)行本文所提出的軟件組件。還應(yīng)當(dāng)理解，計(jì)算機(jī)600可包括其它類型的計(jì)算設(shè)備，包括手持式計(jì)算機(jī)、嵌入式計(jì)算機(jī)系統(tǒng)、個(gè)人數(shù)字助理、以及本領(lǐng)域技術(shù)人員已知的其它類型的計(jì)算設(shè)備。還可構(gòu)想計(jì)算機(jī)600可以不包括圖6所示的全部組件，可以包括未在圖6中明確示出的其它組件，或者可利用完全不同于圖6所示的體系結(jié)構(gòu)?；谏衔模瑧?yīng)當(dāng)理解的是，此處提供了用于提供安全邊界的技術(shù)。盡管用對(duì)計(jì)算機(jī)結(jié)構(gòu)特征、方法和變換動(dòng)作、特定計(jì)算機(jī)器和計(jì)算機(jī)可讀介質(zhì)專用的語言描述了本文所提出的主題，但可以理解，所附權(quán)利要求書中定義的本發(fā)明不必限于本文所述的具體特征、動(dòng)作或介質(zhì)。相反，這些具體特征、動(dòng)作和介質(zhì)是作為實(shí)現(xiàn)權(quán)利要求的示例形式來公開的。上述主題僅作為說明提供，并且不應(yīng)被解釋為限制?？蓪?duì)此處所述的主題作出各種修改和改變，而不必遵循所示和所述的示例實(shí)施例和應(yīng)用，且不背離以下所附權(quán)利要求書中所述的本發(fā)明的真正精神和范圍。
權(quán)利要求
1.一種計(jì)算機(jī)實(shí)現(xiàn)的用于提供安全邊界的方法，所述計(jì)算機(jī)實(shí)現(xiàn)的方法包括執(zhí)行計(jì)算機(jī)實(shí)現(xiàn)的操作，用于執(zhí)行安全監(jiān)視器；經(jīng)由所述安全監(jiān)視器截取由應(yīng)用發(fā)出的用于訪問一個(gè)或多個(gè)系統(tǒng)資源的一個(gè)或多個(gè)應(yīng)用編程接口(API)調(diào)用；將數(shù)據(jù)存儲(chǔ)在與訪問所述系統(tǒng)資源相關(guān)聯(lián)的安全監(jiān)視器數(shù)據(jù)庫中；以及經(jīng)由所述安全監(jiān)視器在所述應(yīng)用的運(yùn)行時(shí)確定發(fā)出所述一個(gè)或多個(gè)API調(diào)用的所述應(yīng)用是否被授權(quán)訪問所述系統(tǒng)資源。
2.如權(quán)利要求I所述的計(jì)算機(jī)實(shí)現(xiàn)的方法，其特征在于，還包括當(dāng)與所述應(yīng)用相關(guān)聯(lián)的數(shù)據(jù)位于所述安全監(jiān)視器數(shù)據(jù)庫中時(shí)，允許所述應(yīng)用訪問所述系統(tǒng)資源；以及當(dāng)與所述應(yīng)用相關(guān)聯(lián)的數(shù)據(jù)不在所述安全監(jiān)視器數(shù)據(jù)庫中時(shí)，阻止所述應(yīng)用訪問所述系統(tǒng)資源。
3.如權(quán)利要求2所述的計(jì)算機(jī)實(shí)現(xiàn)的方法，其特征在于，還包括向管理員提供與被阻止訪問所述系統(tǒng)資源的所述應(yīng)用有關(guān)的數(shù)據(jù)。
4.如權(quán)利要求I所述的計(jì)算機(jī)實(shí)現(xiàn)的方法，其特征在于，還包括將一個(gè)或多個(gè)訪問控制列表(ACL)與被所述應(yīng)用所請(qǐng)求使用的所述系統(tǒng)資源相關(guān)聯(lián);以及將所述一個(gè)或多個(gè)ACL存儲(chǔ)在所述安全監(jiān)視器數(shù)據(jù)庫中。
5.如權(quán)利要求4所述的計(jì)算機(jī)實(shí)現(xiàn)的方法，其特征在于，其中將一個(gè)或多個(gè)ACL與被所述應(yīng)用所請(qǐng)求使用的所述系統(tǒng)資源相關(guān)聯(lián)、以及使用所述一個(gè)或多個(gè)ACL來加載所述安全監(jiān)視器數(shù)據(jù)庫在所述安全監(jiān)視器在學(xué)習(xí)模式中操作時(shí)發(fā)生。
6.如權(quán)利要求I所述的計(jì)算機(jī)實(shí)現(xiàn)的方法，其特征在于，所述應(yīng)用是虛擬應(yīng)用。
7.如權(quán)利要求6所述的計(jì)算機(jī)實(shí)現(xiàn)的方法，其特征在于，所述虛擬應(yīng)用在單個(gè)物理機(jī)器上運(yùn)行，其他虛擬應(yīng)用在所述物理機(jī)器上運(yùn)行。
8.如權(quán)利要求7所述的計(jì)算機(jī)實(shí)現(xiàn)的方法，其特征在于，其中在一個(gè)分區(qū)內(nèi)執(zhí)行所述虛擬應(yīng)用和其他虛擬應(yīng)用。
9.如權(quán)利要求I所述的計(jì)算機(jī)實(shí)現(xiàn)的方法，其特征在于，其中所述系統(tǒng)資源包括以下至少之一通信端口、寄存器、開放數(shù)據(jù)庫互連連接串、或端點(diǎn)。
10.一種其上存儲(chǔ)有計(jì)算機(jī)可讀指令的計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，所述指令在由計(jì)算機(jī)執(zhí)行時(shí)使得所述計(jì)算機(jī)經(jīng)由安全監(jiān)視器截取由一個(gè)應(yīng)用發(fā)出的用于訪問一個(gè)或多個(gè)系統(tǒng)資源的一個(gè)或多個(gè)應(yīng)用程序接口(API)調(diào)用；將與API調(diào)用有關(guān)的數(shù)據(jù)存儲(chǔ)在安全監(jiān)視器數(shù)據(jù)庫中；以及基于存儲(chǔ)在所述安全監(jiān)視器數(shù)據(jù)庫中的所述數(shù)據(jù)，隔離一個(gè)或多個(gè)其他應(yīng)用，使其不能訪問所述系統(tǒng)資源。
11.如權(quán)利要求10所述的計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其特征在于，其上還存儲(chǔ)有在由所述計(jì)算機(jī)執(zhí)行時(shí)使所述計(jì)算機(jī)執(zhí)行以下動(dòng)作的計(jì)算機(jī)可執(zhí)行指令在虛擬層內(nèi)提供安全監(jiān)視器；以及將一個(gè)或多個(gè)訪問控制列表(ACL)與所述系統(tǒng)資源相關(guān)聯(lián)。
12.如權(quán)利要求11所述的計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其特征在于，其上還存儲(chǔ)有在由所述計(jì)算機(jī)執(zhí)行時(shí)使所述計(jì)算機(jī)執(zhí)行以下動(dòng)作的計(jì)算機(jī)可執(zhí)行指令當(dāng)在所述安全監(jiān)視器數(shù)據(jù)庫中發(fā)現(xiàn)與所述應(yīng)用相關(guān)聯(lián)的數(shù)據(jù)時(shí)，允許所述應(yīng)用訪問所述系統(tǒng)資源；以及當(dāng)未在所述安全監(jiān)視器數(shù)據(jù)庫中發(fā)現(xiàn)與所述應(yīng)用相關(guān)聯(lián)的數(shù)據(jù)時(shí)，阻止所述應(yīng)用訪問所述系統(tǒng)資源。
13.如權(quán)利要求12所述的計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其特征在于，還包括向管理員提供與被阻止訪問所述系統(tǒng)資源的所述應(yīng)用有關(guān)的數(shù)據(jù)。
14.如權(quán)利要求13所述的計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其特征在于，所述管理員可允許被阻止訪問所述系統(tǒng)資源的所述應(yīng)用對(duì)所述系統(tǒng)資源的訪問。
15.如權(quán)利要求10所述的計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其特征在于，所述應(yīng)用是虛擬應(yīng)用。
全文摘要
本發(fā)明涉及提供安全邊界。為了使?jié)撛跊_突的應(yīng)用在相同的計(jì)算機(jī)上執(zhí)行，在應(yīng)用嘗試訪問計(jì)算機(jī)系統(tǒng)的資源時(shí)截取應(yīng)用編程接口(API)調(diào)用。在操作學(xué)習(xí)模式期間，安全監(jiān)視器將標(biāo)識(shí)允許哪些應(yīng)用訪問計(jì)算機(jī)系統(tǒng)資源的數(shù)據(jù)存儲(chǔ)在安全監(jiān)視器數(shù)據(jù)庫中。在應(yīng)用的運(yùn)行時(shí)，安全監(jiān)視器在實(shí)施模式中操作，并且利用安全監(jiān)視器數(shù)據(jù)庫的內(nèi)容來確定是否許可應(yīng)用訪問系統(tǒng)資源。如果與應(yīng)用相關(guān)聯(lián)的數(shù)據(jù)位于安全監(jiān)視器數(shù)據(jù)庫中，則允許該應(yīng)用訪問計(jì)算機(jī)系統(tǒng)資源。如果與應(yīng)用相關(guān)聯(lián)的數(shù)據(jù)不位于安全監(jiān)視器數(shù)據(jù)庫中，則不允許該應(yīng)用訪問計(jì)算機(jī)系統(tǒng)資源。
文檔編號(hào)G06F21/00GK102592077SQ20111043083
公開日2012年7月18日 申請(qǐng)日期2011年12月20日 優(yōu)先權(quán)日2010年12月21日
發(fā)明者A·M·安德森, K·H·雷厄森, L·P·德索扎 申請(qǐng)人:微軟公司