專利名稱：運行文件的方法及系統(tǒng)的制作方法
技術領域：
本發(fā)明涉及企業(yè)版安全技術領域，具體涉及運行文件的方法及系統(tǒng)。
背景技術：
傳統(tǒng)的企業(yè)網(wǎng)絡環(huán)境中，企業(yè)終端電腦上堆積著各類不同的安全桌面產(chǎn)品，如反病毒軟件等，這些軟件產(chǎn)品通常來自不同廠商，無法統(tǒng)一管理，并且占用大量的系統(tǒng)資源，大大影響企業(yè)的工作效率。為解決該問題，企業(yè)版安全產(chǎn)品也就應運而生了。企業(yè)版安全產(chǎn)品通常由管理控制中心及安全產(chǎn)品客戶端兩部分(管理控制中心部署在網(wǎng)管等IT人員管理的服務器上，客戶端安裝在各個員工的PC機上)組成，其中，管理控制中心為企業(yè)集中管理內(nèi)網(wǎng)電腦搭建了一個全能平臺，在統(tǒng)一的平臺上滿足了廣大企業(yè)對于集中殺毒、體檢、打補丁等迫切需求?？梢?，在企業(yè)版安全產(chǎn)品中，管理控制中心相當于扮演了代理服務器的角色，為企業(yè)內(nèi)部的各個客戶端提供服務，這樣，相當于形成了一種企業(yè)網(wǎng)內(nèi)部的“私有云”，只有當代理服務器上不存在客戶端請求的數(shù)據(jù)時，才會從“公共云”下載，因此，可以節(jié)省帶寬資源。然而，這種“私有云”系統(tǒng)在功能上還有待完善和提高。發(fā)明內(nèi)容
鑒于上述問題，提出了本發(fā)明以便提供一種克服上述問題或者至少部分地解決上述問題的文件操作控制方法及系統(tǒng)，能夠使得企業(yè)版安全產(chǎn)品體現(xiàn)出針對不同企業(yè)的個性化特點，在安全控制方面體現(xiàn)出更強的靈活性。
依據(jù)本發(fā)明的一個方面，提供了一種文件操作控制方法，包括:
客戶端對目標文件的目標操作行為進行監(jiān)控；
當監(jiān)控到對目標文件執(zhí)行目標操作行為的操作請求時,將所述請求進行攔截,并由客戶端通過網(wǎng)絡向安全控制服務器的管理控制中心獲取所述目標文件的安全屬性信息；所述安全屬性信息包括私有屬性以及公有屬性，其中，所述私有屬性為管理控制中心的安全管理員為所述目標文件設置的安全類別信息，所述公有屬性為通過查詢預置的特征庫獲取到的所述目標文件的安全類別信息；
根據(jù)所述目標文件的安全屬性信息以及從所述管理控制中心獲取到的針對當前客戶端的安全策略，判斷是否允許運行對所述目標文件執(zhí)行所述目標操作行為；所述安全策略用于保存允許和/或不允許在當前客戶端執(zhí)行所述目標操作行為的文件的安全屬性信息集合；
根據(jù)判斷結果對所攔截到的請求進行處理。
可選地，還包括:
在管理控制中心根據(jù)客戶端所處的物理區(qū)域?qū)Π踩砸蟮牟煌?，對物理區(qū)域進行劃分，并分別為各個物理區(qū)域配置不同的安全策略；
客戶端向所述管理控制中心發(fā)送獲取安全策略的請求；
所述管理控制中心確定所述客戶端所處的物理區(qū)域，將為該物理區(qū)域配置的安全策略返回給該客戶端。
可選地，所述根據(jù)判斷結果對所攔截到的請求進行處理包括:
如果所述判斷結果為允許對所述目標文件執(zhí)行所述目標操作行為，則將所述攔截到的請求放行。
可選地，所述根據(jù)判斷結果對所攔截到的請求進行處理包括:
如果所述判斷結果為不允許對所述目標文件執(zhí)行所述目標操作行為，則將所述攔截到的請求丟棄。
可選地，還包括:
所述對所述請求進行攔截之后，加載顯示預置的界面，用以顯示正在進行安全性檢測。
依據(jù)本發(fā)明的另一個方面，提供了一種文件操作控制系統(tǒng)，包括客戶端以及管理控制中心，其中，所述客戶端包括:
監(jiān)控單元，用于對目標文件的目標操作行為進行監(jiān)控；
信息獲取單元，用于當監(jiān)控到對目標文件執(zhí)行目標操作行為的操作請求時，將所述請求進行攔截，并由客戶端通過網(wǎng)絡向安全控制服務器的管理控制中心獲取所述目標文件的安全屬性信息；所述安全屬性信息包括私有屬性以及公有屬性，其中，所述私有屬性為管理控制中心的安全管理員為所述目標文件設置的安全類別信息，所述公有屬性為通過查詢預置的特征庫獲取到的所述目標文件的安全類別信息；
判斷單元，用于根據(jù)所述目標文件的安全屬性信息以及從所述管理控制中心獲取到的針對當前客戶端的安全策略，判斷是否允許運行對所述目標文件執(zhí)行所述目標操作行為；所述安全策略用于保存允許和/或不允許在當前客戶端執(zhí)行所述目標操作行為的文件的安全屬性信息集合；
處理單元，用于根據(jù)判斷結果對所攔截到的請求進行處理。
可選地，所述管理控制中心包括:
配置單元，用于根據(jù)客戶端所處的物理區(qū)域?qū)Π踩砸蟮牟煌瑢ξ锢韰^(qū)域進行劃分，并分別為各個物理區(qū)域配置不同的安全策略；
所述客戶端還包括:
請求單元，用于客戶端向所述管理控制中心發(fā)送獲取安全策略的請求；
所述管理控制中心還包括:
確定單元，用于確定所述客戶端所處的物理區(qū)域，將為該物理區(qū)域配置的安全策略返回給該客戶端。
可選地，所述處理單元包括:
放行子單元，用于如果所述判斷結果為允許對所述目標文件執(zhí)行所述目標操作行為，則將所述攔截到的請求放行。
可選地，所述處理單元包括:
丟棄子單元，用于如果所述判斷結果為不允許對所述目標文件執(zhí)行所述目標操作行為，則將所述攔截到的請求丟棄。
可選地，所述客戶端還包括:
顯示單元，用于所述對所述請求進行攔截之后，加載顯示預置的界面，用以顯示正在進行安全性檢測。
根據(jù)本發(fā)明的文件操作控制方法及系統(tǒng)，可以根據(jù)目標文件的安全屬性信息以及管理控制中心為該客戶端配置的安全策略，判斷是否允許在當前客戶端上對該文件執(zhí)行目標操作行為。其中，安全屬性信息不僅可以包括根據(jù)企業(yè)級安全產(chǎn)品的特征庫確定出的文件的公有屬性，還可以包括企業(yè)內(nèi)部的管理員為文件配置的私有屬性，并且，在安全策略中，也是同時體現(xiàn)這兩方面的安全屬性信息，這樣，在判斷時，就可以基于這兩方面的信息進行綜合性的判斷，可以使得企業(yè)版安全產(chǎn)品體現(xiàn)出針對不同企業(yè)的個性化特點，在安全控制方面體現(xiàn)出更強的靈活性。
上述說明僅是本發(fā)明技術方案的概述，為了能夠更清楚了解本發(fā)明的技術手段，而可依照說明書的內(nèi)容予以實施，并且為了讓本發(fā)明的上述和其它目的、特征和優(yōu)點能夠更明顯易懂，以下特舉本發(fā)明的具體實施方式
。


通過閱讀下文優(yōu)選實施方式的詳細描述，各種其他的優(yōu)點和益處對于本領域普通技術人員將變得清楚明了。附圖僅用于示出優(yōu)選實施方式的目的，而并不認為是對本發(fā)明的限制。而且在整個附圖中，用相同的參考符號表示相同的部件。在附圖中:
圖1示出了根據(jù)本發(fā)明一個實施例的方法的流程圖；以及
圖2示出了根據(jù)本發(fā)明一個實施例的系統(tǒng)的示意圖。
具體實施方式
下面將參照附圖更詳細地描述本公開的示例性實施例。雖然附圖中顯示了本公開的示例性實施例，然而應當理解，可以以各種形式實現(xiàn)本公開而不應被這里闡述的實施例所限制。相反，提供這些實施例是為了能夠更透徹地理解本公開，并且能夠?qū)⒈竟_的范圍完整的傳達給本領域的技術人員。
參見圖1，本發(fā)明實施例首先提供了一種文件操作控制方法，該方法可以包括以下步驟:
SlOl:客戶端對目標文件的目標操作行為進行監(jiān)控；
所謂的目標操作行為可以包括運行目標文件、一個程序查看另一個程序的某文件(例如通訊錄等)或存放在硬盤中的照片，等等。為了便于描述，下文中均以運行文件為例進行介紹。
在本發(fā)明實施例中，并不是進行全盤掃描式的病毒查殺等操作，而是在用戶想要運行某文件(包括打開某文檔、打開某可執(zhí)行文件等等)時，針對該當前要運行的文件進行安全性檢測，以便確定是否允許當前用戶運行該文件。為此，可以預先在系統(tǒng)中注冊鉤子函數(shù)，對文件運行類的API (Application Programming Interface,應用程序編程接口)函數(shù)進行鉤掛(H00K)，這樣，當通過調(diào)用對應的API函數(shù)準備運行某文件時，就會將調(diào)用的地址轉向本發(fā)明實施例中的企業(yè)版安全產(chǎn)品的客戶端。
S102:當監(jiān)控到對目標文件執(zhí)行目標操作行為的操作請求時，將所述請求進行攔截，并由客戶端通過網(wǎng)絡向安全控制服務器的管理控制中心獲取所述目標文件的安全屬性信息；所述安全屬性信息包括私有屬性以及公有屬性，其中，所述私有屬性為管理控制中心的安全管理員為所述目標文件設置的安全類別信息，所述公有屬性為通過查詢預置的特征庫獲取到的所述目標文件的安全類別信息；
監(jiān)控到運行某目標文件的請求之后，就可以將該請求進行攔截，也即暫時不會將該請求發(fā)送到原API函數(shù)所在的地址處，而是先進行安全相關的處理。在本發(fā)明實施例中，當客戶端攔截到運行目標文件的請求之后，就可以向企業(yè)版安全產(chǎn)品的管理控制中心獲取目標文件的安全屬性信息。具體在向管理控制中心獲取目標文件的安全屬性信息時，可以在客戶端對目標文件進行特征提取，包括目標文件的文件名、md5值等靜態(tài)特征，還可以包括目標文件的動態(tài)特征等等，然后發(fā)送到管理控制中心，在管理控制中心根據(jù)目標文件的特征來查詢目標文件的安全屬性信息，然后再返回給客戶端?；蛘?，在另一種實現(xiàn)方式下，也可以直接將目標文件發(fā)送到管理控制中心，然后在管理控制中心對目標文件進行特征提取，并查詢其安全屬性信息。其中，無論是在客戶端進行特征的提取，還是在管理控制中心進行文件特征的提取，具體的提取方法都可以是相同的。
當然，由于一個管理控制中心通常會對應多個客戶端，因此，如果所有客戶端中的待運行文件都上傳到管理控制中心進行特征提取，則一方面會造成對管理控制中心存儲空間的占用，另一方面，在多個請求并發(fā)的情況下，會造成排隊的現(xiàn)象，進而降低管理控制中心的響應速度，因此，在大多數(shù)的情況下，均可以采用在客戶端對文件進行特征提取，然后上傳到管理控制中心的方式。
在本發(fā)明實施例中，待運行文件的安全屬性信息可以由兩部分組成，其中一部分為文件的私有屬性，另一部分為文件的公有屬性。其中，所謂的私有屬性是由企業(yè)中的管理員為目標文件配置的安全類別信息，具體實現(xiàn)時，可以在管理控制中心的顯示界面中提供為各個文件配置私有屬性的操作入口，管理員可以根據(jù)企業(yè)內(nèi)部的具體需要，配置各個文件的安全類別信息。例如，私有屬性中的安全類別信息可以分別用數(shù)字70、10、40表示黑、白、灰，也即，70代表文件最危險，10代表文件最安全，40則不能確定為是否安全。由于同一個文件在不同的企業(yè)中應用時，其安全類別可能會有所不同，因此，考慮到這種企業(yè)間的差異，本發(fā)明實施例中使用了私有屬性的概念，由企業(yè)內(nèi)部的管理員根據(jù)實際需要來設定文件的安全類別。在設定了文件的私有屬性之后，可以在管理控制中心，保存一個文件與私有屬性之間的映射表，在該映射表中，文件的標識可以用文件文件名來表示，但是為了避免針對不同文件名、相同文件內(nèi)容的文件進行重復的設置及記錄，也可以用文件的md5值等內(nèi)容校驗信息來表示。這樣，當接收到客戶端查詢某目標文件的安全屬性信息的請求時，就可以通過查詢該映射表，獲取到當前目標文件的私有屬性。
需要說明的是，在實際應用中，目標文件的私有屬性可以是在首次接收到查詢某目標文件的安全屬性信息時，由管理員進行配置的，在配置之后，則可以將該目標文件的標識信息與私有屬性之間的對應關系添加到映射表中，供后續(xù)查詢同樣目標文件的其他客戶端使用。這樣，針對每次獲取私有屬性的請求，都可以執(zhí)行以下流程:首先查詢該映射表中，如果存在匹配的信息，則直接將對應的私有屬性返回給客戶端；如果不存在，則可以要求客戶端將該目標文件上傳至管理控制中心，然后由管理控制中心的管理員進行分析之后為其配置私有屬性，返回給客戶端，同時，將該目標文件的標識信息與私有屬性之間的對應關系添加到映射表中，以此類推。
公有屬性是指根據(jù)企業(yè)版安全產(chǎn)品的特征庫確定出的文件的安全類別信息。企業(yè)版安全產(chǎn)品的特征庫是面向所有的企業(yè)版用戶的，不存在不同企業(yè)之間的差異，因此，相對于各個企業(yè)內(nèi)部的管理員設置的私有屬性而言，根據(jù)這種特征庫獲取到的文件安全信息成為公有屬性。公有屬性同樣可以用數(shù)字70、10、40表示黑、白、灰。當管理控制中心接收到查詢某目標文件的安全屬性信息的請求時，就可以根據(jù)從目標文件中提取出的特征，查詢該特征庫，根據(jù)匹配的結果來確定目標文件的公有屬性。例如，特征庫中保存的是一個白名單以及一個黑名單，則如果發(fā)現(xiàn)目標文件的特征出現(xiàn)在白名單中，則證明該目標文件的公有屬性為“白”，可以由“10”來表示；如果發(fā)現(xiàn)目標文件的特征出現(xiàn)在黑名單中，則證明該目標文件的公有屬性為“黑”，可以由“70”來表示；如果發(fā)現(xiàn)目標文件的特征既沒有出現(xiàn)在白名單中，也沒有出現(xiàn)在黑名單中，則證明該目標文件的公有屬性為“灰”，可以由“40”來表示?？傊梢酝ㄟ^查詢預置的特征庫來獲取目標文件的公有屬性。
其中，該特征庫可以是保存在管理控制中心的本地，隨著管理控制中心你的安裝，下載到本地，并由遠程的企業(yè)版安全產(chǎn)品服務器對其進行定期或者不定期的更新；接收到查詢某目標文件的公有屬性的請求時，管理控制中心直接根據(jù)本地保存的特征庫進行查詢。或者，為了避免占用管理控制中心的存儲空間，該特征庫也可以直接保存在企業(yè)版安全產(chǎn)品的服務器中，當管理控制中心接收到查詢某目標文件的公有屬性的請求時，可以將查詢請求轉發(fā)給服務器，根據(jù)服務器端的返回結果來確定出目標文件的公有屬性。
總之，在管理控制中心接收到查詢某目標文件的安全屬性信息的請求之后，一方面可以返回該目標文件的私有屬性信息，另一方面可以返回該目標文件的公有屬性信息，這兩方面的信息共同組成當前目標文件的安全屬性信息。這樣所有的安全屬性信息在私有云中可以用 7070、7010、7040，4070、4010、4040，1070、1010、1040 等 9 個數(shù)字表示，數(shù)字的前兩位表示文件的私有屬性，后兩位表示文件的公有屬性。例如，接收到管理控制中心返回的目標文件的安全屬性信息是7010，則證明該目標文件被企業(yè)版安全產(chǎn)品的特征庫認為是安全的，但被當前企業(yè)中的管理員認為是不安全的，等等。
需要說明的是，在對一個運行文件的請求進行攔截之后，由于后續(xù)的安全性分析工作需要一段時間，因此，在這段期間內(nèi)可以加載顯示一個預置的界面，用以顯示正在進行安全性檢測等信息。
S103:根據(jù)所述目標文件的安全屬性信息以及從所述管理控制中心獲取到的針對當前客戶端的安全策略，判斷是否允許運行對所述目標文件執(zhí)行所述目標操作行為；所述安全策略用于保存允許和/或不允許在當前客戶端執(zhí)行所述目標操作行為的文件的安全屬性信息集合；
在本發(fā)明實施例中，客戶端還可以預先從管理控制中心獲取到針對該客戶端的安全策略，所謂的安全策略也就是允許該客戶端運行哪些文件，和/或不允許客戶端運行哪些文件。允許或不允許客戶端運行的文件可以由允許或不允許的安全屬性信息的集合來表示。例如，針對當前客戶端，允許運行的文件包括安全屬性信息為“1010”、“1040”以及“1070”，則就可以在其安全策略中保存以下信息:允許在該客戶端運行的文件為安全屬性信息為“1010”、“1040”或“1070”的文件?？蛻舳丝梢栽诒镜貙@種策略進行保存，如果查詢到某目標文件的安全屬性信息屬于上述其中一種，則證明允許在當前客戶端中運行，否貝1J，不允許。
其中，客戶端的安全策略可以是由管理控制中心通過HTTP等協(xié)議發(fā)送的，也即，可以由管理員在管理控制中心對客戶端的安全策略進行配置，然后下發(fā)給客戶端，以便客戶端按照該策略執(zhí)行。其中，企業(yè)網(wǎng)內(nèi)的客戶端有多個，而為各個客戶端配置的安全策略可以是相同的，也可以不同。在相同的情況下，可以在管理控制中心提供統(tǒng)一的配置入口，在完成統(tǒng)一配置之后，統(tǒng)一下發(fā)給各個客戶端；在不同的情況下，可以在管理控制中心分別為各個客戶端提供安全策略配置入口，分別對各個客戶端進行配置以及下發(fā)?；蛘?，也可以是統(tǒng)一配置入口與單獨配置入口單獨存在。
在具體實現(xiàn)時，考慮到在企業(yè)內(nèi)部往往存在以下情況:并不是所有的客戶端對安全性的要求都是相同的，但也不是每個客戶端對安全的要求都不同，而是可以按照對安全性要求的不同，將客戶端分為幾類。例如，有些客戶端位于企業(yè)的核心區(qū)，這些客戶端對安全性的要求會比較高，而有些客戶端位于企業(yè)的辦公區(qū)，則這些客戶端對安全性的要求會略低，還有些客戶端位于企業(yè)的客戶區(qū)，則這些客戶端對安全性的要求會更低，等等。因此，可以在管理控制中心根據(jù)客戶端所處的物理區(qū)域?qū)Π踩砸蟮牟煌瑢ξ锢韰^(qū)域進行劃分，并分別為各個物理區(qū)域配置不同的安全策略，例如，可以如表I所示:
表I
策略名稱~I允許運行的文件I禁止運行的文件 核心區(qū)域~1010，1040, 10704010，4040, 4070, 7010, 7040, 7070 辦公區(qū)域~1010，1040, 1070, 40104040, 4070, 7010, 7040, 7070 客戶區(qū)域~1010，1040, 1070, 4010, 40404070, 7010, 7040, 7070 公共區(qū)域~1010，1040, 4010, 4040, 7010, 7040 1070, 4070, 7070
也即，如果某客戶端處于企業(yè)的核心區(qū)域，則允許在其終端上運行的文件的安全屬性信息包括1010，1040，1070，不允許在其終端上運行的文件的安全屬性信息包括4010, 4040, 4070, 7010, 7040, 7070 ;如果某客戶端處于企業(yè)的辦公區(qū)域，則允許在其終端上運行的文件的安全屬性信息包括1010，1040，1070，4010，不允許在其終端上運行的文件的安全屬性信息包括4040，4070, 7010, 7040, 7070，以此類推。可以看出，對安全要求越高的區(qū)域允許運行的文件類型越少。例如，核心區(qū)域的策略中只允許私有屬性為“白”的文件運行，而公共區(qū)域只禁止公有屬性為“黑”的文件運行。當然，具體的區(qū)域劃分方式以及區(qū)域?qū)木唧w策略，都可以根據(jù)具體的需求進行具體的定制。
在對企業(yè)的物理區(qū)域進行劃分并分別為各個物理區(qū)域配置了不同的安全策略之后，可以是由客戶端向管理控制中心發(fā)起獲取安全策略的請求，然后管理控制中心可以根據(jù)客戶端的IP地址等信息確定出該客戶端所在的物理區(qū)域，然后將為該物理區(qū)域配置的安全策略返回給該客戶端。這樣，客戶端就可以根據(jù)該安全策略來對文件的運行進行安全控制了。在實際應用中，管理控制中心還可以定期或者不定期地對各個客戶端的安全策略進行更新。
S104:根據(jù)判斷結果對所攔截到的請求進行處理。
如果判斷結果顯示允許當前目標文件的運行，則可以將該攔截到的請求進行放行，這樣，運行文件的請求會順利到達原API函數(shù)的調(diào)用地址，進行文件的打開及后續(xù)的編輯等操作。而如果判斷結果顯示為不允許當前目標文件運行，則可以將攔截到的請求丟棄，也即，運行文件的請求不會到到原API函數(shù)的調(diào)用地址，該文件也就無法在該客戶端運行，避免該客戶端收到惡意文件的影響。
總之，在本發(fā)明實施例中，可以根據(jù)目標文件的安全屬性信息以及管理控制中心為該客戶端配置的安全策略，判斷是否允許在當前客戶端上對該文件執(zhí)行目標操作行為。其中，安全屬性信息不僅可以包括根據(jù)企業(yè)級安全產(chǎn)品的特征庫確定出的文件的公有屬性，還可以包括企業(yè)內(nèi)部的管理員為文件配置的私有屬性，并且，在安全策略中，也是同時體現(xiàn)這兩方面的安全屬性信息，這樣，在判斷時，就可以基于這兩方面的信息進行綜合性的判斷，可以使得企業(yè)版安全產(chǎn)品體現(xiàn)出針對不同企業(yè)的個性化特點，在安全控制方面體現(xiàn)出更強的靈活性。
與本發(fā)明實施例提供的一種文件操作控制方法相對應，本發(fā)明實施例還提供了一種文件操作控制系統(tǒng)，包括客戶端以及管理控制中心，其中，參見圖2，所述客戶端可以包括:
監(jiān)控單元201，用于對目標文件的目標操作行為進行監(jiān)控；
信息獲取單元202，用于當監(jiān)控到對目標文件執(zhí)行目標操作行為的操作請求時，將所述請求進行攔截，并由客戶端通過網(wǎng)絡向安全控制服務器的管理控制中心獲取所述目標文件的安全屬性信息；所述安全屬性信息包括私有屬性以及公有屬性，其中，所述私有屬性為管理控制中心的安全管理員為所述目標文件設置的安全類別信息，所述公有屬性為通過查詢預置的特征庫獲取到的所述目標文件的安全類別信息；
判斷單元203，用于根據(jù)所述目標文件的安全屬性信息以及從所述管理控制中心獲取到的針對當前客戶端的安全策略，判斷是否允許運行對所述目標文件執(zhí)行所述目標操作行為；所述安全策略用于保存允許和/或不允許在當前客戶端執(zhí)行所述目標操作行為的文件的安全屬性信息集合；
處理單元204，用于根據(jù)判斷結果對所攔截到的請求進行處理。
具體實現(xiàn)時，所述管理控制中心可以包括:
配置單元，用于根據(jù)客戶端所處的物理區(qū)域?qū)Π踩砸蟮牟煌瑢ξ锢韰^(qū)域進行劃分，并分別為各個物理區(qū)域配置不同的安全策略；
所述客戶端還包括:
請求單元，用于客戶端向所述管理控制中心發(fā)送獲取安全策略的請求；
所述管理控制中心還包括:
確定單元，用于確定所述客戶端所處的物理區(qū)域，將為該物理區(qū)域配置的安全策略返回給該客戶端。
具體的，所述處理單元204可以包括:
放行子單元，用于如果所述判斷結果為允許對所述目標文件執(zhí)行所述目標操作行為，則將所述攔截到的請求放行。
或者，所述處理單元204也可以包括:
丟棄子單元，用于如果所述判斷結果為不允許對所述目標文件執(zhí)行所述目標操作行為，則將所述攔截到的請求丟棄。
另外，所述客戶端還可以包括:
顯示單元，用于所述對所述請求進行攔截之后，加載顯示預置的界面，用以顯示正在進行安全性檢測。
在此提供的算法和顯示不與任何特定計算機、虛擬系統(tǒng)或者其它設備固有相關。各種通用系統(tǒng)也可以與基于在此的示教一起使用。根據(jù)上面的描述，構造這類系統(tǒng)所要求的結構是顯而易見的。此外，本發(fā)明也不針對任何特定編程語言。應當明白，可以利用各種編程語言實現(xiàn)在此描述的本發(fā)明的內(nèi)容，并且上面對特定語言所做的描述是為了披露本發(fā)明的最佳實施方式。
在此處所提供的說明書中，說明了大量具體細節(jié)。然而，能夠理解，本發(fā)明的實施例可以在沒有這些具體細節(jié)的情況下實踐。在一些實例中，并未詳細示出公知的方法、結構和技術，以便不模糊對本說明書的理解。
類似地，應當理解，為了精簡本公開并幫助理解各個發(fā)明方面中的一個或多個，在上面對本發(fā)明的示例性實施例的描述中，本發(fā)明的各個特征有時被一起分組到單個實施例、圖、或者對其的描述中。然而，并不應將該公開的方法解釋成反映如下意圖:即所要求保護的本發(fā)明要求比在每個權利要求中所明確記載的特征更多的特征。更確切地說，如下面的權利要求書所反映的那樣，發(fā)明方面在于少于前面公開的單個實施例的所有特征。因此，遵循具體實施方式
的權利要求書由此明確地并入該具體實施方式
，其中每個權利要求本身都作為本發(fā)明的單獨實施例。
本領域那些技術人員可以理解，可以對實施例中的設備中的模塊進行自適應性地改變并且把它們設置在與該實施例不同的一個或多個設備中?？梢园褜嵤├械哪K或單元或組件組合成一個模塊或單元或組件，以及此外可以把它們分成多個子模塊或子單元或子組件。除了這樣的特征和/或過程或者單元中的至少一些是相互排斥之外，可以采用任何組合對本說明書(包括伴隨的權利要求、摘要和附圖)中公開的所有特征以及如此公開的任何方法或者設備的所有過程或單元進行組合。除非另外明確陳述，本說明書(包括伴隨的權利要求、摘要和附圖)中公開的每個特征可以由提供相同、等同或相似目的的替代特征來代替。
此外，本領域的技術人員能夠理解，盡管在此所述的一些實施例包括其它實施例中所包括的某些特征而不是其它特征，但是不同實施例的特征的組合意味著處于本發(fā)明的范圍之內(nèi)并且形成不同的實施例。例如，在下面的權利要求書中，所要求保護的實施例的任意之一都可以以任意的組合方式來使用。
本發(fā)明的各個部件實施例可以以硬件實現(xiàn)，或者以在一個或者多個處理器上運行的軟件模塊實現(xiàn)，或者以它們的組合實現(xiàn)。本領域的技術人員應當理解，可以在實踐中使用微處理器或者數(shù)字信號處理器(DSP )來實現(xiàn)根據(jù)本發(fā)明實施例的文件操作控制設備中的一些或者全部部件的一些或者全部功能。本發(fā)明還可以實現(xiàn)為用于執(zhí)行這里所描述的方法的一部分或者全部的設備或者裝置程序(例如，計算機程序和計算機程序產(chǎn)品)。這樣的實現(xiàn)本發(fā)明的程序可以存儲在計算機可讀介質(zhì)上，或者可以具有一個或者多個信號的形式。這樣的信號可以從因特網(wǎng)網(wǎng)站上下載得到，或者在載體信號上提供，或者以任何其他形式提供。
應該注意的是上述實施例對本發(fā)明進行說明而不是對本發(fā)明進行限制，并且本領域技術人員在不脫離所附權利要求的范圍的情況下可設計出替換實施例。在權利要求中，不應將位于括號之間的任何參考符號構造成對權利要求的限制。單詞“包含”不排除存在未列在權利要求中的元件或步驟。位于元件之前的單詞“一”或“一個”不排除存在多個這樣的元件。本發(fā)明可以借助于包括有若干不同元件的硬件以及借助于適當編程的計算機來實現(xiàn)。在列舉了若干裝置的單元權利要求中，這些裝置中的若干個可以是通過同一個硬件項來具體體現(xiàn)。單詞第一、第二、以及第三等的使用不表示任何順序。可將這些單詞解釋為名稱。
本申請可以應用于計算機系統(tǒng)/服務器，其可與眾多其它通用或?qū)Ｓ糜嬎阆到y(tǒng)環(huán)境或配置一起操作。適于與計算機系統(tǒng)/服務器一起使用的眾所周知的計算系統(tǒng)、環(huán)境和/或配置的例子包括但不限于:個人計算機系統(tǒng)、服務器計算機系統(tǒng)、瘦客戶機、厚客戶機、手持或膝上設備、基于微處理器的系統(tǒng)、機頂盒、可編程消費電子產(chǎn)品、網(wǎng)絡個人電腦、小型計算機系統(tǒng)、大型計算機系統(tǒng)和包括上述任何系統(tǒng)的分布式云計算技術環(huán)境，等等。
計算機系統(tǒng)/服務器可以在由計算機系統(tǒng)執(zhí)行的計算機系統(tǒng)可執(zhí)行指令(諸如程序模塊)的一般語境下描述。通常，程序模塊可以包括例程、程序、目標程序、組件、邏輯、數(shù)據(jù)結構等等，它們執(zhí)行特定的任務或者實現(xiàn)特定的抽象數(shù)據(jù)類型。計算機系統(tǒng)/服務器可以在分布式云計算環(huán)境中實施，分布式云計算環(huán)境中，任務是由通過通信網(wǎng)絡鏈接的遠程處理設備執(zhí)行的。在分布式云計算環(huán)境中，程序模塊可以位于包括存儲設備的本地或遠程計算系統(tǒng)存儲介質(zhì)上。
權利要求
1.一種文件操作控制方法，包括: 客戶端對目標文件的目標操作行為進行監(jiān)控； 當監(jiān)控到對目標文件執(zhí)行目標操作行為的操作請求時，將所述請求進行攔截，并由客戶端通過網(wǎng)絡向安全控制服務器的管理控制中心獲取所述目標文件的安全屬性信息；所述安全屬性信息包括私有屬性以及公有屬性，其中，所述私有屬性為管理控制中心的安全管理員為所述目標文件設置的安全類別信息，所述公有屬性為通過查詢預置的特征庫獲取到的所述目標文件的安全類別信息； 根據(jù)所述目標文件的安全屬性信息以及從所述管理控制中心獲取到的針對當前客戶端的安全策略，判斷是否允許運行對所述目標文件執(zhí)行所述目標操作行為；所述安全策略用于保存允許和/或不允許在當前客戶端執(zhí)行所述目標操作行為的文件的安全屬性信息集合; 根據(jù)判斷結果對所攔截到的請求進行處理。
2.如權利要求1所述的方法，還包括: 在管理控制中心根據(jù)客戶端所處的物理區(qū)域?qū)Π踩砸蟮牟煌瑢ξ锢韰^(qū)域進行劃分，并分別為各個物理區(qū)域配置不同的安全策略； 客戶端向所述管理控制中心發(fā)送獲取安全策略的請求； 所述管理控制中心確定所述客戶端所處的物理區(qū)域，將為該物理區(qū)域配置的安全策略返回給該客戶端。
3.如權利要求1所述的方法，所述根據(jù)判斷結果對所攔截到的請求進行處理包括: 如果所述判斷結果為允許對所述目標文件執(zhí)行所述目標操作行為，則將所述攔截到的請求放行。
4.如權利要求1所述的方法，所述根據(jù)判斷結果對所攔截到的請求進行處理包括: 如果所述判斷結果為不允許對所述目標文件執(zhí)行所述目標操作行為，則將所述攔截到的請求丟棄。
5.如權利要求1所述的方法，還包括: 所述對所述請求進行攔截之后，加載顯示預置的界面，用以顯示正在進行安全性檢測。
6.一種文件操作控制系統(tǒng)，包括客戶端以及管理控制中心，其中，所述客戶端包括: 監(jiān)控單元，用于對目標文件的目標操作行為進行監(jiān)控； 信息獲取單元，用于當監(jiān)控到對目標文件執(zhí)行目標操作行為的操作請求時，將所述請求進行攔截，并由客戶端通過網(wǎng)絡向安全控制服務器的管理控制中心獲取所述目標文件的安全屬性信息；所述安全屬性信息包括私有屬性以及公有屬性，其中，所述私有屬性為管理控制中心的安全管理員為所述目標文件設置的安全類別信息，所述公有屬性為通過查詢預置的特征庫獲取到的所述目標文件的安全類 別信息； 判斷單元，用于根據(jù)所述目標文件的安全屬性信息以及從所述管理控制中心獲取到的針對當前客戶端的安全策略，判斷是否允許運行對所述目標文件執(zhí)行所述目標操作行為；所述安全策略用于保存允許和/或不允許在當前客戶端執(zhí)行所述目標操作行為的文件的安全屬性信息集合； 處理單元，用于根據(jù)判斷結果對所攔截到的請求進行處理。
7.如權利要求6所述的系統(tǒng)，所述管理控制中心包括:配置單元，用于根據(jù)客戶端所處的物理區(qū)域?qū)Π踩砸蟮牟煌?，對物理區(qū)域進行劃分，并分別為各個物理區(qū)域配置不同的安全策略； 所述客戶端還包括: 請求單元，用于客戶端向所述管理控制中心發(fā)送獲取安全策略的請求； 所述管理控制中心還包括: 確定單元，用于確定所述客戶端所處的物理區(qū)域，將為該物理區(qū)域配置的安全策略返回給該客戶端。
8.如權利要求6所述的系統(tǒng)，所述處理單元包括: 放行子單元，用于如果所述判斷結果為允許對所述目標文件執(zhí)行所述目標操作行為，則將所述攔截到的請求放行。
9.如權利要求6所述的系統(tǒng)，所述處理單元包括: 丟棄子單元，用于如果所述判斷結果為不允許對所述目標文件執(zhí)行所述目標操作行為，則將所述攔截到的請求丟棄。
10.如權利要求6所述的系統(tǒng)，所述客戶端還包括: 顯示單元，用于所述對所述請求進行攔截之后，加載顯示預置的界面，用以顯示正在進行安全性檢 測。
全文摘要
本發(fā)明公開了文件操作控制方法及系統(tǒng)，該方法包括當監(jiān)控到對目標文件執(zhí)行目標操作行為的操作請求時，將所述請求進行攔截，并由客戶端通過網(wǎng)絡向安全控制服務器的管理控制中心獲取所述目標文件的安全屬性信息；所述安全屬性信息包括私有屬性以及公有屬性，其中，所述私有屬性為管理控制中心的安全管理員為所述目標文件設置的安全類別信息，根據(jù)所述目標文件的安全屬性信息以及從所述管理控制中心獲取到的針對當前客戶端的安全策略，判斷是否允許運行對所述目標文件執(zhí)行所述目標操作行為；根據(jù)判斷結果對所攔截到的請求進行處理。通過本發(fā)明，能夠使得企業(yè)版安全產(chǎn)品體現(xiàn)出針對不同企業(yè)的個性化特點，在安全控制方面體現(xiàn)出更強的靈活性。
文檔編號G06F21/55GK103198253SQ201310109078
公開日2013年7月10日 申請日期2013年3月29日 優(yōu)先權日2013年3月29日
發(fā)明者溫銘, 李宇, 胡勁, 張家柱 申請人:北京奇虎科技有限公司, 奇智軟件(北京)有限公司