專利名稱：用于利用虛擬機(jī)包裹應(yīng)用來(lái)防止數(shù)據(jù)丟失的系統(tǒng)和方法
技術(shù)領(lǐng)域：
本公開(kāi)概括來(lái)說(shuō)涉及安全性的領(lǐng)域，更具體而言涉及在虛擬環(huán)境中防止數(shù)據(jù)丟失。
背景技術(shù)：
網(wǎng)絡(luò)安全性的領(lǐng)域在當(dāng)今的社會(huì)中已變得越來(lái)越重要了。尤其，有效地保護(hù)計(jì)算機(jī)、系統(tǒng)和存在于這樣的計(jì)算機(jī)和系統(tǒng)上的數(shù)據(jù)的能力對(duì)于組件制造商、系統(tǒng)設(shè)計(jì)者和網(wǎng)絡(luò)運(yùn)營(yíng)者成為了嚴(yán)重障礙。由于持續(xù)發(fā)展的安全性威脅，使得此障礙更加困難了。虛擬化是一種軟件技術(shù)，其允許一完整的操作系統(tǒng)在隔離的虛擬環(huán)境(通常稱為虛擬機(jī))上運(yùn)行，在該處平臺(tái)的物理特性和行為被再現(xiàn)。虛擬化還可支持在虛擬機(jī)內(nèi)執(zhí)行單個(gè)應(yīng)用。虛擬機(jī) 可代表配備有虛擬硬件(處理器、存儲(chǔ)器、盤、網(wǎng)絡(luò)接口等等)的隔離虛擬環(huán)境(位于主機(jī)操作系統(tǒng)(OS)上面或者僅僅在硬件上運(yùn)行)。通常，虛擬機(jī)由虛擬化產(chǎn)品來(lái)管理。虛擬機(jī)監(jiān)視器(VMM)通常是管理來(lái)自訪客OS的硬件請(qǐng)求(例如，模擬來(lái)自真實(shí)硬件的應(yīng)答)的虛擬化軟件層。超級(jí)監(jiān)督者(hypervisor)通常是允許多個(gè)操作系統(tǒng)同時(shí)在主機(jī)計(jì)算機(jī)上運(yùn)行的計(jì)算機(jī)軟件/硬件平臺(tái)虛擬化軟件。應(yīng)用代表了虛擬環(huán)境中的獨(dú)特挑戰(zhàn)，因?yàn)樗鼈兛珊苋菀妆徊倏v以便感染給定的計(jì)算機(jī)系統(tǒng)。安全性專業(yè)人員和網(wǎng)絡(luò)管理員應(yīng)當(dāng)考慮這些問(wèn)題以便保護(hù)計(jì)算機(jī)和系統(tǒng)抵御新興的安全性威脅。


為了提供對(duì)本公開(kāi)及其特征和優(yōu)點(diǎn)的更完整理解，參考以下結(jié)合附圖來(lái)理解的描述，附圖中相似的標(biāo)號(hào)表示相似的部件，其中圖I是根據(jù)一個(gè)實(shí)施例的用于利用虛擬機(jī)包裹應(yīng)用(virtual machinewrappedapplication)來(lái)防止數(shù)據(jù)丟失的系統(tǒng)的簡(jiǎn)化框圖；圖2是用于利用虛擬機(jī)包裹應(yīng)用來(lái)防止數(shù)據(jù)丟失的系統(tǒng)的示例性實(shí)施例的簡(jiǎn)化框圖；圖3是示出根據(jù)一個(gè)實(shí)施例的與該系統(tǒng)相關(guān)聯(lián)的一系列示例性步驟的簡(jiǎn)化流程圖；并且圖4是示出根據(jù)另一實(shí)施例的與該系統(tǒng)相關(guān)聯(lián)的一系列示例性步驟的簡(jiǎn)化流程圖。
具體實(shí)施例方式概沭一個(gè)示例性實(shí)現(xiàn)方式中的方法包括選擇至少一個(gè)標(biāo)準(zhǔn)以用于控制從虛擬機(jī)內(nèi)的數(shù)據(jù)傳送。至少一個(gè)應(yīng)用被包括在該虛擬機(jī)內(nèi)并且虛擬機(jī)包括策略模塊。所選標(biāo)準(zhǔn)對(duì)應(yīng)于與該策略模塊相關(guān)聯(lián)的至少一個(gè)策略。該方法還包括評(píng)估該策略的所選標(biāo)準(zhǔn)以許可對(duì)于從該虛擬機(jī)內(nèi)傳送數(shù)據(jù)的嘗試。在更具體的實(shí)施例中，該策略包括多個(gè)所選標(biāo)準(zhǔn)，其中包括許可傳送數(shù)據(jù)到第一其他應(yīng)用的第一所選標(biāo)準(zhǔn)和禁止傳送數(shù)據(jù)到第二其他應(yīng)用的第二所選標(biāo)準(zhǔn)。在其他更具體的實(shí)施例中，如果多個(gè)用戶之一的客戶端設(shè)備正從受保護(hù)的網(wǎng)絡(luò)環(huán)境內(nèi)請(qǐng)求訪問(wèn)該應(yīng)用，則所選標(biāo)準(zhǔn)許可傳送數(shù)據(jù)到該客戶端設(shè)備。在另一更具體的實(shí)施例中，該方法包括通過(guò)管理模塊更新該策略模塊以修改所選標(biāo)準(zhǔn)。示例件實(shí)施例圖I是用于利用虛擬機(jī)包裹應(yīng)用在虛擬環(huán)境中保護(hù)數(shù)據(jù)抵御意外和故意的泄漏的系統(tǒng)10的簡(jiǎn)化框圖。系統(tǒng)10可包括多個(gè)虛擬機(jī)12、14、24和26，以及操作系統(tǒng)30。系統(tǒng)10還可包括虛擬機(jī)監(jiān)視器16，該虛擬機(jī)監(jiān)視器16包括存儲(chǔ)器元件18、策略管理模塊20和處理器22。存儲(chǔ)器元件18可包含主鏡像38，該主鏡像38帶有與在系統(tǒng)10內(nèi)使用的軟件的最新近版本相對(duì)應(yīng)的存儲(chǔ)條目。虛擬機(jī)12、14、24和26中的每一個(gè)分別包括相關(guān)聯(lián)的防火墻策略模塊34a、34b、34c和34d。圖I中未示出的有采取存儲(chǔ)器管理單元(MMU)、對(duì)稱 多重處理(SMP)元件、物理存儲(chǔ)器、以太網(wǎng)、小型計(jì)算機(jī)系統(tǒng)接口(SCSI)/集成驅(qū)動(dòng)電子電路(IED)元件等等的形式的可適當(dāng)?shù)伛詈系讲僮飨到y(tǒng)30和虛擬機(jī)監(jiān)視器16(例如在其邏輯表示下提供)的另外硬件。在示例性實(shí)施例中，系統(tǒng)10把每個(gè)應(yīng)用或應(yīng)用的套件包裹在虛擬機(jī)內(nèi)以便保護(hù)與該應(yīng)用相關(guān)聯(lián)的數(shù)據(jù)抵御意外和故意的泄漏。為了例示系統(tǒng)10的技術(shù)，理解在給定網(wǎng)絡(luò)內(nèi)發(fā)生的活動(dòng)是重要的。以下基本信息可被視為一個(gè)基礎(chǔ)，基于該基礎(chǔ)可以適當(dāng)?shù)卣f(shuō)明本公開(kāi)。這種信息只是出于說(shuō)明目的而真誠(chéng)提供的，因此不應(yīng)以任何方式被解釋為限制本公開(kāi)的寬廣范圍及其可能應(yīng)用。包括局域網(wǎng)(LAN)、廣域網(wǎng)(WAN)、校園區(qū)域網(wǎng)(CAN)、內(nèi)聯(lián)網(wǎng)和外聯(lián)網(wǎng)等等的典型網(wǎng)絡(luò)環(huán)境被企業(yè)、學(xué)校和其他組織用于將多個(gè)個(gè)人計(jì)算機(jī)或客戶端設(shè)備連同允許客戶端設(shè)備訪問(wèn)與該組織的功能有關(guān)的共享數(shù)據(jù)和應(yīng)用的服務(wù)器鏈接在一起。此外，這些網(wǎng)絡(luò)經(jīng)常被配置為提供從網(wǎng)絡(luò)中的客戶端設(shè)備到因特網(wǎng)的因特網(wǎng)連接，以使能訪問(wèn)萬(wàn)維網(wǎng)以及可能的其他網(wǎng)絡(luò)。這些組織維護(hù)的數(shù)據(jù)通常包括各種類型和程度的機(jī)密數(shù)據(jù)，其中諸如工資記錄和法律文檔之類的數(shù)據(jù)經(jīng)常要求很高程度的保護(hù)，而諸如客戶銷售之類的數(shù)據(jù)可要求較低程度的保護(hù)。網(wǎng)絡(luò)管理員通常配置其網(wǎng)絡(luò)以允許特定的人(或者人的群組)訪問(wèn)特定的應(yīng)用，這取決于與這些應(yīng)用相關(guān)聯(lián)的機(jī)密數(shù)據(jù)的類型和程度。例如，在人力資源部門內(nèi)工作的人將可能擁有對(duì)與人力資源部門相關(guān)聯(lián)的數(shù)據(jù)和應(yīng)用的訪問(wèn)權(quán)限，而沒(méi)有對(duì)與法律部門相關(guān)聯(lián)的數(shù)據(jù)和應(yīng)用的訪問(wèn)權(quán)限。此類安全性通常是在操作系統(tǒng)級(jí)應(yīng)用的。單是操作系統(tǒng)級(jí)的安全性是有缺陷的，因?yàn)槠湟蕾囉趥€(gè)體適當(dāng)?shù)乜刂茢?shù)據(jù)和應(yīng)用以避免機(jī)密數(shù)據(jù)的意外和故意誤用。當(dāng)多個(gè)應(yīng)用在操作系統(tǒng)上運(yùn)行時(shí)，可利用操作系統(tǒng)剪貼板、文件系統(tǒng)等等(例如，利用拷貝和粘貼功能、保存、移動(dòng)、發(fā)送到、導(dǎo)入和導(dǎo)出型功能等等)在這些應(yīng)用之間共享數(shù)據(jù)。從而，訪問(wèn)法律部門數(shù)據(jù)的授權(quán)用戶可能錯(cuò)誤地(或者故意地)與另一用戶共享機(jī)密的法律文件或數(shù)據(jù)，而該另一用戶未被授權(quán)訪問(wèn)這樣的信息。這例如可通過(guò)在法律應(yīng)用和另一應(yīng)用之間使用拷貝和粘貼功能以把機(jī)密數(shù)據(jù)存儲(chǔ)在組織中的未授權(quán)用戶能夠訪問(wèn)的不受保護(hù)的存儲(chǔ)器空間中來(lái)實(shí)現(xiàn)。在另一示例中，用戶可從法律應(yīng)用向未授權(quán)用戶用電子郵件發(fā)送一消息，該消息包含被拷貝到該消息中或作為附件包括的機(jī)密數(shù)據(jù)。此外，臨時(shí)文件也可有泄漏機(jī)密數(shù)據(jù)的危險(xiǎn)，因?yàn)樗鼈兺ǔＴ诓僮飨到y(tǒng)內(nèi)是可用的。如果一應(yīng)用在所有臨時(shí)文件被刪除之前終止，則這些剩余的臨時(shí)文件可被精明的用戶或者被惡意的第三方軟件所訪問(wèn)。臨時(shí)文件可包含來(lái)自被授權(quán)用戶運(yùn)行的應(yīng)用的機(jī)密數(shù)據(jù)，或者下載的其他信息，例如用戶的銀行賬戶的詳情。這種臨時(shí)文件有暴露的危險(xiǎn)，因?yàn)樗鼈兘?jīng)常未被保護(hù)。當(dāng)授權(quán)用戶從未受保護(hù)或不那么安全的環(huán)境訪問(wèn)其組織的網(wǎng)絡(luò)時(shí)，也可發(fā)生數(shù)據(jù)泄漏問(wèn)題。例如，用戶經(jīng)常把其膝上型計(jì)算機(jī)帶回家或者以其他方式帶到公司環(huán)境之外并且遠(yuǎn)程地登錄到其組織的網(wǎng)絡(luò)。這種網(wǎng)絡(luò)通常具有防火墻，防火墻是被配置為控制發(fā)送到/發(fā)送自該網(wǎng)絡(luò)的計(jì)算機(jī)流量的一個(gè)或一組設(shè)備。 信。即使有了適當(dāng)?shù)姆阑饓ΡＷo(hù)，在例如授權(quán)用戶從不那么安全的(遠(yuǎn)程)位置訪問(wèn)網(wǎng)絡(luò)并且開(kāi)始取回機(jī)密數(shù)據(jù)的情況下，數(shù)據(jù)泄漏也可發(fā)生。機(jī)密數(shù)據(jù)可從受防火墻保護(hù)的網(wǎng)絡(luò)行經(jīng)諸如電話線、線纜調(diào)制解調(diào)器、光纜、衛(wèi)星、微波、路由器、網(wǎng)關(guān)、交換機(jī)等等之類的各種通信路徑和聯(lián)網(wǎng)設(shè)備去到用戶的計(jì)算機(jī)。此外，用戶的計(jì)算機(jī)在遠(yuǎn)程訪問(wèn)組織的網(wǎng)絡(luò)時(shí)可不再被防火墻保護(hù)，從而將用戶的計(jì)算機(jī)暴露于各種形式的惡意軟件，這可將機(jī)密數(shù)據(jù)置于危險(xiǎn)之中。如圖I概略示出的用于防止數(shù)據(jù)丟失的系統(tǒng)可解決這些問(wèn)題中的許多。根據(jù)一個(gè)示例性實(shí)現(xiàn)方式，提供了一種應(yīng)用以將網(wǎng)絡(luò)中使用的每個(gè)應(yīng)用或應(yīng)用套件封裝或包裹在虛擬機(jī)內(nèi)。去往和來(lái)自每個(gè)虛擬機(jī)的訪問(wèn)可受相關(guān)聯(lián)的防火墻(即安全性)策略或任何其他適當(dāng)?shù)陌踩员Ｗo(hù)措施的控制?？赡苡上嚓P(guān)聯(lián)的防火墻策略定義的機(jī)密數(shù)據(jù)可被包含在虛擬機(jī)包裹應(yīng)用內(nèi)，以使得拷貝和粘貼緩沖器和臨時(shí)文件將不能通過(guò)虛擬機(jī)下層的操作系統(tǒng)來(lái)訪問(wèn)。此外，虛擬機(jī)包裹在操作系統(tǒng)上面提供了額外的一層安全性，這可防止對(duì)存儲(chǔ)機(jī)密數(shù)據(jù)的存儲(chǔ)器的直接訪問(wèn)?？稍u(píng)估相關(guān)聯(lián)的防火墻策略來(lái)判定虛擬機(jī)包裹應(yīng)用是否被允許共享數(shù)據(jù)(例如，利用拷貝和粘貼緩沖器、保存、移動(dòng)、發(fā)送到和導(dǎo)入/導(dǎo)出型功能、電子郵件等等)。例如，第一虛擬機(jī)包裹應(yīng)用可被允許與第二虛擬機(jī)包裹應(yīng)用共享機(jī)密數(shù)據(jù)，但不被允許與第三虛擬機(jī)包裹應(yīng)用和可能不具有虛擬機(jī)包裹的第四應(yīng)用共享機(jī)密數(shù)據(jù)。從而，系統(tǒng)10可在每個(gè)應(yīng)用或應(yīng)用套件周圍提供聚焦的、特定的安全性，以控制由用戶和其他虛擬機(jī)進(jìn)行的訪問(wèn)。這種系統(tǒng)可允許在主操作系統(tǒng)上運(yùn)行或在諸如末端用戶的客戶端設(shè)備之類的特定設(shè)備的操作系統(tǒng)上運(yùn)行的任何應(yīng)用被包裹在虛擬機(jī)內(nèi)。另外，系統(tǒng)10可自動(dòng)生成并維護(hù)或者網(wǎng)絡(luò)管理員可配置并維護(hù)表示軟件的特定版本(例如最新近版本)的主鏡像38，從而使得每個(gè)虛擬機(jī)包裹應(yīng)用可根據(jù)需要被更新。一般地，虛擬機(jī)可被實(shí)現(xiàn)為運(yùn)行完整的操作系統(tǒng)及其相關(guān)聯(lián)的應(yīng)用(系統(tǒng)虛擬機(jī))，或者運(yùn)行單個(gè)應(yīng)用或應(yīng)用套件(進(jìn)程虛擬機(jī))。虛擬機(jī)可實(shí)現(xiàn)為類型1，即在主機(jī)操作系統(tǒng)下面、直接在硬件上運(yùn)行，或者實(shí)現(xiàn)為類型2，即在主機(jī)操作系統(tǒng)上面運(yùn)行。系統(tǒng)虛擬機(jī)和進(jìn)程虛擬機(jī)都可具有某種類型的虛擬化軟件，該虛擬化軟件管理虛擬機(jī)和任何訪客操作系統(tǒng)。如本說(shuō)明書中這里所使用的，術(shù)語(yǔ)“虛擬機(jī)監(jiān)視器”意欲包括超級(jí)監(jiān)督者，或者其他能夠操作以管理一個(gè)或多個(gè)虛擬機(jī)并且允許期望的策略管理的其他軟件或?qū)ο?，如下所詳述。注意，在?jì)算中，與僅包含數(shù)據(jù)的文件不同，可執(zhí)行(文件)可使得計(jì)算機(jī)根據(jù)編碼的指令來(lái)執(zhí)行所指示的任務(wù)。包含對(duì)于解釋器或虛擬機(jī)的指令的文件可被認(rèn)為是“可執(zhí)行文件”或“二進(jìn)制文件”，與程序源代碼形成對(duì)比。(如本說(shuō)明書中這里所使用的)更一般的術(shù)語(yǔ)“對(duì)象”意欲包括被試圖調(diào)用、發(fā)起或以其他方式執(zhí)行的任何這種可執(zhí)行文件、二進(jìn)制文件、內(nèi)核模塊等等。轉(zhuǎn)到圖I的基礎(chǔ)設(shè)施，虛擬機(jī)監(jiān)視器16可被實(shí)現(xiàn)為管理多個(gè)應(yīng)用，這多個(gè)應(yīng)用各自由虛擬機(jī)12、14、24和26單獨(dú)包裹。在一種示例性實(shí)現(xiàn)方式中，虛擬機(jī)監(jiān)視器16可被認(rèn)為是在主操作系統(tǒng)30上面運(yùn)行的虛擬化軟件，并且多個(gè)虛擬機(jī)12、14、24和26也在現(xiàn)有操作系統(tǒng)30上面運(yùn)行。然而，基于特定的環(huán)境或者根據(jù)特定的用戶需求，虛擬機(jī)監(jiān)視器16可被實(shí)現(xiàn)為超級(jí)監(jiān)督者以僅僅在硬件上運(yùn)行，并且每個(gè)虛擬機(jī)12、14、24和26運(yùn)行其自己的操作系統(tǒng)。虛擬機(jī)監(jiān)視器16可以是服務(wù)器、防火墻的一部分或者更一般地說(shuō)是計(jì)算機(jī)的一部分。此外，以下內(nèi)容是在本公開(kāi)的寬廣教導(dǎo)內(nèi)的包括策略管理模塊20和主鏡像38的虛擬機(jī)監(jiān)視器16可位于網(wǎng)絡(luò)的中央庫(kù)(例如IT總部)中，供網(wǎng)絡(luò)管理員直接訪問(wèn)以配置和維護(hù)系統(tǒng)。在圖I中所示的一個(gè)示例性實(shí)施例中，有包裹在虛擬機(jī)12中的人力資源應(yīng)用28、包裹在虛擬機(jī)14中的客戶銷售應(yīng)用32、包括在虛擬機(jī)24中的具有多個(gè)應(yīng)用的應(yīng)用套件40以及包裹在虛擬機(jī)26中的Adobe 應(yīng)用44。應(yīng)用套件40例如可包括諸如]Vlicrosoft Word> Excel .和PowerPoint 之類的捆綁的軟件應(yīng)用。
在此示例性實(shí)施例中，諸如網(wǎng)絡(luò)管理員之類的具有適當(dāng)權(quán)力的用戶被提供以用于管理虛擬機(jī)12、14、24和26和相關(guān)聯(lián)的防火墻策略模塊34a、34b、34c和34d的完整設(shè)置的接口。此管理可包括虛擬機(jī)監(jiān)視器和虛擬機(jī)的配置、虛擬機(jī)的創(chuàng)建、刪除、修改、關(guān)閉、更新和啟動(dòng)，等等。該接口可允許網(wǎng)絡(luò)管理員最初配置和維護(hù)包括與網(wǎng)絡(luò)內(nèi)的應(yīng)用的特定版本相對(duì)應(yīng)的條目的主鏡像38?；蛘?，系統(tǒng)10可自動(dòng)生成和更新主鏡像38。通過(guò)策略管理模塊20，網(wǎng)絡(luò)管理員可為要通過(guò)各個(gè)防火墻策略模塊34a、34b、34c和34d應(yīng)用到每個(gè)虛擬機(jī)
12、14、24和26的策略選擇期望的特定標(biāo)準(zhǔn)?？梢罁?jù)例如以下因素來(lái)調(diào)整這些策略以為數(shù)據(jù)符合特定的期望安全性通過(guò)虛擬機(jī)包裹應(yīng)用可訪問(wèn)的數(shù)據(jù)的機(jī)密性、試圖訪問(wèn)數(shù)據(jù)的特定用戶、特定的職位、特定的部門類型、特定的信息時(shí)間戳、數(shù)據(jù)訪問(wèn)請(qǐng)求發(fā)源的特定位置、數(shù)據(jù)訪問(wèn)請(qǐng)求發(fā)源的特定日和特定的當(dāng)日時(shí)間、特別配置的許可，等等。一旦虛擬機(jī)12、14,24和26被配置以相關(guān)聯(lián)的防火墻策略模塊34a、34b、34c和34d，這些虛擬機(jī)就可被部署到授權(quán)用戶可以訪問(wèn)的目標(biāo)計(jì)算機(jī)，例如末端用戶的客戶端設(shè)備、服務(wù)器或者任何其他被配置為容宿虛擬機(jī)包裹應(yīng)用的設(shè)備。策略管理模塊20還被配置為允許網(wǎng)絡(luò)管理員根據(jù)需要維護(hù)虛擬機(jī)12、14、24和26以及更新或改變防火墻策略模塊34a、34b、34c和34d上的安全性策略。與系統(tǒng)10相關(guān)聯(lián)的第一級(jí)安全性可涉及認(rèn)證。認(rèn)證判定用戶是否被授權(quán)訪問(wèn)網(wǎng)絡(luò)并且判定在網(wǎng)絡(luò)內(nèi)用戶被允許訪問(wèn)哪些特定應(yīng)用或數(shù)據(jù)。雖然認(rèn)證通常是在操作系統(tǒng)級(jí)應(yīng)用的，但認(rèn)證過(guò)程的至少一部分也可通過(guò)防火墻策略模塊34a、34b、34c和34d來(lái)應(yīng)用。一旦授權(quán)用戶被準(zhǔn)予訪問(wèn)虛擬機(jī)12、14、24或26內(nèi)的應(yīng)用，相關(guān)聯(lián)的防火墻策略模塊34a、34b、34c或34d就可限制該用戶在該應(yīng)用內(nèi)能夠做什么。在一個(gè)示例性實(shí)施例中，可以向用于人力資源虛擬機(jī)12的防火墻策略模塊34a應(yīng)用策略，防止授權(quán)用戶把諸如員工薪酬數(shù)據(jù)之類的機(jī)密數(shù)據(jù)從人力資源虛擬機(jī)12傳送(例如拷貝、粘貼、移動(dòng)、發(fā)送、導(dǎo)出、用電子郵件發(fā)送等等)到另一應(yīng)用或用戶，例如應(yīng)用套件虛擬機(jī)24?；蛘?，如果用戶具有更高批準(zhǔn)級(jí)別的授權(quán)，則策略可被調(diào)整以允許帶有數(shù)據(jù)跟蹤的數(shù)據(jù)傳送。在此情形中，當(dāng)用戶被允許從人力資源應(yīng)用虛擬機(jī)12傳送機(jī)密數(shù)據(jù)到另一應(yīng)用或用戶時(shí)，所傳送的機(jī)密數(shù)據(jù)可被記錄在存儲(chǔ)器元件中存儲(chǔ)的數(shù)據(jù)日志中。如本說(shuō)明書中這里所使用的，術(shù)語(yǔ)“傳送”意欲涵蓋與拷貝、剪切、粘貼、保存、移動(dòng)、發(fā)送、導(dǎo)入、導(dǎo)出、用電子郵件發(fā)送或以其他方式操作數(shù)據(jù)相關(guān)聯(lián)的任何操作。在防火墻策略模塊34a、34b、34c和34d內(nèi)可使用的另一種形式的策略包括與用戶從其請(qǐng)求訪問(wèn)特定應(yīng)用的環(huán)境有關(guān)的策略。例如，如果用戶在其物理上位于網(wǎng)絡(luò)的安全環(huán)境內(nèi)時(shí)從客戶端設(shè)備(例如膝上型計(jì)算機(jī)等等)請(qǐng)求訪問(wèn)人力資源虛擬機(jī)12，則防火墻策略模塊34a可執(zhí)行檢查以判定用戶是否在安全環(huán)境內(nèi)并且相應(yīng)地允許訪問(wèn)。然而，如果用戶在辦公室外，例如在通勤列車上，并且因此在網(wǎng)絡(luò)的安全環(huán)境之外，那么因?yàn)槿肆Y源虛擬機(jī)12內(nèi)的信息的機(jī)密性，防火墻策略模塊34a的策略可被配置為禁止用戶訪問(wèn)虛擬機(jī)12內(nèi)的人力資源應(yīng)用。從而，當(dāng)用戶在不那么安全的環(huán)境中時(shí)，協(xié)議可防止用戶可能泄漏數(shù)據(jù)。本公開(kāi)的范圍意圖涵蓋特定的組織為了控制從其網(wǎng)絡(luò)內(nèi)的其一個(gè)或多個(gè)應(yīng)用的數(shù)據(jù)泄漏而所想要的任何類型或組合的防火墻策略。這種策略包括但不限于限制特定應(yīng)用之間的數(shù)據(jù)移動(dòng)的策略、依據(jù)用戶的環(huán)境限制應(yīng)用訪問(wèn)的策略、依據(jù)請(qǐng)求訪問(wèn)的當(dāng)日時(shí)間或特定日限制應(yīng)用訪問(wèn)的策略、以及限制從特定應(yīng)用到特定個(gè)體或個(gè)體群組的數(shù)據(jù)移動(dòng)的策略。
轉(zhuǎn)到圖2，圖2是示出根據(jù)本公開(kāi)的利用虛擬機(jī)包裹應(yīng)用的數(shù)據(jù)丟失防止系統(tǒng)50的一種實(shí)現(xiàn)方式的簡(jiǎn)化框圖。在此示例性實(shí)現(xiàn)方式中，諸如公司或其他企業(yè)實(shí)體之類的組織的網(wǎng)絡(luò)設(shè)有機(jī)器60，機(jī)器60邏輯地連接到可以是組織的網(wǎng)絡(luò)基礎(chǔ)設(shè)施的一部分的郵件服務(wù)器56、中央知識(shí)產(chǎn)權(quán)存儲(chǔ)庫(kù)54以及中央人力資源系統(tǒng)52。應(yīng)當(dāng)注意，術(shù)語(yǔ)“機(jī)器”可與術(shù)語(yǔ)“計(jì)算機(jī)”互換。機(jī)器60包括共同操作環(huán)境72 (例如操作系統(tǒng))中的應(yīng)用。這些應(yīng)用包括郵件客戶端64，該郵件客戶端64連接到郵件服務(wù)器56，用于發(fā)送和接收不與在虛擬環(huán)境內(nèi)保護(hù)的數(shù)據(jù)或應(yīng)用相關(guān)聯(lián)或鏈接的電子郵件通信。機(jī)器60還包括虛擬機(jī)66，用于訪問(wèn)中央知識(shí)產(chǎn)權(quán)存儲(chǔ)庫(kù)54。虛擬機(jī)66包括防火墻策略模塊68和郵件客戶端70，用于從虛擬機(jī)66發(fā)送和接收電子郵件。安全郵件代理58把虛擬機(jī)66中的郵件客戶端70連接到網(wǎng)絡(luò)上的郵件服務(wù)器56。機(jī)器60還可配置有USB驅(qū)動(dòng)器62。在圖2中所示的實(shí)現(xiàn)方式中，機(jī)器60可由作為組織的研究負(fù)責(zé)人的用戶操作。系統(tǒng)50可要求認(rèn)證用戶被授權(quán)使用機(jī)器60來(lái)訪問(wèn)網(wǎng)絡(luò)內(nèi)的各種資源。這種認(rèn)證可由操作系統(tǒng)執(zhí)行，其中唯一的用戶ID和口令被確證。一旦用戶被適當(dāng)?shù)卣J(rèn)證，他/她就可被允許訪問(wèn)組織內(nèi)的某些資源。例如，作為研究負(fù)責(zé)人，用戶可被允許訪問(wèn)中央知識(shí)產(chǎn)權(quán)存儲(chǔ)庫(kù)54，但不被允許中央人力資源系統(tǒng)52，如圖2中將機(jī)器60連接到中央人力資源系統(tǒng)52的虛線所例示的。在替換實(shí)施例中，用戶可被允許僅針對(duì)特定的機(jī)密數(shù)據(jù)訪問(wèn)中央人力資源系統(tǒng)52，所述特定的機(jī)密數(shù)據(jù)例如是與向該用戶負(fù)責(zé)的研究部門中的員工相對(duì)應(yīng)的數(shù)據(jù)。允許或阻止對(duì)特定資源或應(yīng)用的訪問(wèn)可通過(guò)操作系統(tǒng)使用上述認(rèn)證機(jī)制來(lái)實(shí)現(xiàn)。然而，配置系統(tǒng)以在特定的虛擬機(jī)包裹應(yīng)用的相關(guān)聯(lián)的防火墻策略模塊內(nèi)執(zhí)行對(duì)訪問(wèn)該虛擬機(jī)包裹應(yīng)用的認(rèn)證，是在本公開(kāi)的寬廣教導(dǎo)內(nèi)的。具體而言，可以向防火墻策略模塊應(yīng)用具有所選標(biāo)準(zhǔn)的策略，該所選標(biāo)準(zhǔn)被評(píng)估以判定用戶是否被允許訪問(wèn)特定的虛擬機(jī)包裹應(yīng)用。如果被授權(quán)，則用戶可通過(guò)虛擬機(jī)66訪問(wèn)中央知識(shí)產(chǎn)權(quán)存儲(chǔ)庫(kù)54。與虛擬機(jī)66相關(guān)聯(lián)的防火墻策略模塊68可被配置有具有所選標(biāo)準(zhǔn)的策略以控制從中央知識(shí)產(chǎn)權(quán)存儲(chǔ)庫(kù)54的數(shù)據(jù)傳送。例如，所選標(biāo)準(zhǔn)可允許用戶訪問(wèn)中央知識(shí)產(chǎn)權(quán)存儲(chǔ)庫(kù)54內(nèi)的機(jī)密數(shù)據(jù)，但不允許數(shù)據(jù)被拷貝和粘貼、移動(dòng)、導(dǎo)出、以電子郵件發(fā)送或以其他方式傳送到另一應(yīng)用。在用戶被給予對(duì)中央人力資源系統(tǒng)52的有限訪問(wèn)權(quán)限的上述替換實(shí)施例中，與防火墻策略模塊68相關(guān)聯(lián)的策略中的所選標(biāo)準(zhǔn)可以只允許與特定員工有關(guān)的機(jī)密數(shù)據(jù)被該用戶訪問(wèn)。所選標(biāo)準(zhǔn)可允許或不允許用戶將可訪問(wèn)的數(shù)據(jù)傳送到其他應(yīng)用。如這里前文所述，所選標(biāo)準(zhǔn)可被配置為允許到某些應(yīng)用的數(shù)據(jù)傳送并且禁止到其他應(yīng)用的數(shù)據(jù)傳送，這是在本公開(kāi)的寬廣教導(dǎo)內(nèi)的。在圖2中所示的特定的示例性實(shí)現(xiàn)方式中，用戶被允許從虛擬機(jī)66內(nèi)訪問(wèn)電子郵件。在此情形中，從虛擬機(jī)66發(fā)送的任何電子郵件在被發(fā)送到郵件服務(wù)器56之前被傳送到安全郵件代理58。在安全郵件代理58中，電子郵件被就該特定應(yīng)用所保護(hù)的任何機(jī)密數(shù)據(jù)加以審查。從而，防火墻策略模塊68的所選標(biāo)準(zhǔn)可被應(yīng)用到該電子郵件的內(nèi)容、附件和路由。保持一日志以用于記錄與被允許從安全郵件代理58發(fā)送的數(shù)據(jù)相對(duì)應(yīng)的條目，從而允許組織跟蹤在組織中的應(yīng)用和用戶之間共享的特定數(shù)據(jù)，這也是在本公開(kāi)的寬廣教導(dǎo)內(nèi)的。最后，USB驅(qū)動(dòng)器62是機(jī)器60的共同操作環(huán)境72可訪問(wèn)的，其中防火墻策略模塊68可包括具有防止虛擬機(jī)66與USB端口通信的所選標(biāo)準(zhǔn)的策略。這防止了用戶把受保護(hù)的 數(shù)據(jù)拷貝到USB驅(qū)動(dòng)器62上的閃存盤，而且其還保護(hù)了虛擬機(jī)包裹應(yīng)用以免與通過(guò)USB驅(qū)動(dòng)器62引入到機(jī)器60的任何軟件應(yīng)用通信。利用相關(guān)聯(lián)的防火墻策略模塊對(duì)個(gè)體應(yīng)用的這種虛擬化對(duì)于保護(hù)數(shù)據(jù)抵御通過(guò)USB驅(qū)動(dòng)器62引入到機(jī)器60的受感染軟件尤其有用。虛擬機(jī)66的用戶因此可被限制到虛擬機(jī)包裹應(yīng)用內(nèi)的特定任務(wù)以便降低弄亂或危害機(jī)密數(shù)據(jù)的能力。轉(zhuǎn)到圖3，圖3是示出與數(shù)據(jù)丟失防止系統(tǒng)的一種實(shí)現(xiàn)方式相關(guān)聯(lián)的數(shù)個(gè)示例性步驟的簡(jiǎn)化流程圖100。該流程可開(kāi)始于步驟110，在該步驟中接收對(duì)訪問(wèn)受限數(shù)據(jù)的請(qǐng)求。在步驟120，應(yīng)答關(guān)于是否允許對(duì)訪問(wèn)受限數(shù)據(jù)的請(qǐng)求的查詢。如果不授權(quán)對(duì)訪問(wèn)受限數(shù)據(jù)的請(qǐng)求，則流程移動(dòng)到步驟122，在該步驟中拒絕請(qǐng)求。如果授權(quán)對(duì)訪問(wèn)受限數(shù)據(jù)的請(qǐng)求，則流程移動(dòng)到步驟124，在該步驟中進(jìn)行關(guān)于中央庫(kù)是否可用于主鏡像檢查的查詢。如果中央庫(kù)不可用，則流程移動(dòng)到步驟126，在該步驟中訪問(wèn)將依據(jù)策略的標(biāo)準(zhǔn)，其中標(biāo)準(zhǔn)是網(wǎng)絡(luò)管理員預(yù)先選擇的。例如，如果數(shù)據(jù)是高度機(jī)密的，則所選標(biāo)準(zhǔn)可要求虛擬機(jī)被禁止操作，直到中央庫(kù)可用于主鏡像檢查為止。然而，如果數(shù)據(jù)具有較低程度的機(jī)密性，那么即使中央庫(kù)沒(méi)有檢查主鏡像，所選標(biāo)準(zhǔn)也可允許虛擬機(jī)訪問(wèn)。如果在步驟124中中央庫(kù)可用于主鏡像檢查，則流程移動(dòng)到步驟130，在該步驟中進(jìn)行關(guān)于客戶端是否具有經(jīng)認(rèn)可的(即新近版本的)虛擬機(jī)的查詢。此檢查是通過(guò)搜索主鏡像38以判定包括但不限于應(yīng)用、虛擬機(jī)和防火墻策略模塊在內(nèi)的軟件是否是新近的來(lái)執(zhí)行的。如果客戶端沒(méi)有經(jīng)認(rèn)可的虛擬機(jī)，則流程轉(zhuǎn)到步驟140，在該步驟中虛擬機(jī)被下載或更新以包含正確的軟件并且流程轉(zhuǎn)回到步驟130中的查詢。如果在步驟130中查詢到客戶端有經(jīng)認(rèn)可的虛擬機(jī)，則流程轉(zhuǎn)到步驟150以允許訪問(wèn)虛擬機(jī)。在步驟124處中央庫(kù)不可用于主鏡像檢查、但所選標(biāo)準(zhǔn)卻允許訪問(wèn)受限數(shù)據(jù)的情形中，那么下次中央庫(kù)在對(duì)訪問(wèn)受限數(shù)據(jù)的請(qǐng)求期間可用于主鏡像檢查時(shí)，虛擬機(jī)包裹應(yīng)用如果不是新近的則將在步驟140被更新。根據(jù)本公開(kāi)中的教導(dǎo)，如上所詳述的，依據(jù)與虛擬機(jī)相關(guān)聯(lián)的特定防火墻策略模塊的策略中的所選標(biāo)準(zhǔn)可在虛擬機(jī)內(nèi)限制用戶傳送數(shù)據(jù)的能力?？稍诟鞣N位置(例如中央庫(kù)或IT總部)提供用于配置和維護(hù)虛擬機(jī)包裹應(yīng)用和相關(guān)聯(lián)的防火墻策略模塊的軟件。在其他實(shí)施例中，可從web服務(wù)器接收或下載此軟件(例如，在為單獨(dú)的網(wǎng)絡(luò)、設(shè)備、虛擬機(jī)、服務(wù)器等等購(gòu)買個(gè)體末端用戶許可證的情境中)，以便提供這個(gè)利用虛擬機(jī)包裹應(yīng)用來(lái)防止數(shù)據(jù)丟失的系統(tǒng)。一旦最初已配置了虛擬機(jī)包裹應(yīng)用和相關(guān)聯(lián)的防火墻策略模塊，則也可在各種位置(例如在防火墻策略模塊34a、34b、34c和34d內(nèi))提供用于控制從網(wǎng)絡(luò)中的虛擬機(jī)包裹應(yīng)用內(nèi)的數(shù)據(jù)傳送的軟件。在一種示例性實(shí)現(xiàn)方式中，此軟件存在于試圖要保護(hù)以抵御安全性攻擊(或者要保護(hù)以抵御對(duì)數(shù)據(jù)的不想要的或未經(jīng)授權(quán)的操縱)的計(jì)算機(jī)中。在更詳細(xì)的配置中，此軟件具體存在于虛擬機(jī)的安全性層中并且提供了虛擬機(jī)與下層的操作系統(tǒng)之間以及虛擬機(jī)與系統(tǒng)內(nèi)的其他虛擬機(jī)之間的接口，這些其他虛擬機(jī)也可包括圖I所示的組件(或以其他方式與這些組件相接口)。在其他示例中，數(shù)據(jù)丟失防止軟件可涉及專有元件(例如作為網(wǎng)絡(luò)安全性認(rèn)證方案的一部分)，該專有元件可在這些標(biāo)識(shí)出的元件中(或在其附近)提供，或者在任何其他設(shè)備、服務(wù)器、網(wǎng)絡(luò)用具、控制臺(tái)、防火墻、交換機(jī)、信息技術(shù)(IT)設(shè)備等等中提供，或者作為補(bǔ)充方案(例如結(jié)合防火墻)提供，或者配設(shè)在網(wǎng)絡(luò)中的某個(gè)地方。如本說(shuō)明書中這里
使用的，術(shù)語(yǔ)“計(jì)算機(jī)”意欲涵蓋可操作來(lái)在安全性環(huán)境中影響或處理電子信息的這些可能的元件(VMM、超級(jí)監(jiān)督者、Xen設(shè)備、虛擬機(jī)或其他設(shè)備、網(wǎng)絡(luò)用具、路由器、交換機(jī)、網(wǎng)關(guān)、處理器、服務(wù)器、負(fù)載均衡器、防火墻或任何其他適當(dāng)?shù)脑O(shè)備、機(jī)器、組件、元件或?qū)ο?。此夕卜，此計(jì)算機(jī)可包括促進(jìn)其操作的任何適當(dāng)?shù)挠布?、軟件、組件、模塊、接口或?qū)ο?。這可包括允許對(duì)數(shù)據(jù)的有效保護(hù)的適當(dāng)算法和通信協(xié)議。此外，可按任何適當(dāng)?shù)姆绞絹?lái)整合數(shù)據(jù)丟失防止系統(tǒng)。根據(jù)類似的設(shè)計(jì)替換，圖I和2的任何圖示的模塊和組件可按各種可能的配置組合，所有這些配置都顯然在本說(shuō)明書的寬廣范圍內(nèi)。在某些示例性實(shí)現(xiàn)方式中，這里概述的數(shù)據(jù)丟失防止系統(tǒng)可以通過(guò)編碼在一個(gè)或多個(gè)有形介質(zhì)中的邏輯(例如，在專用集成電路(ASIC)中提供的嵌入式邏輯、數(shù)字信號(hào)處理器(DSP)指令、要被處理器或其他類似的機(jī)器執(zhí)行的軟件(可能包括目標(biāo)代碼和源代碼)等等)來(lái)實(shí)現(xiàn)。在這些實(shí)例之中的一些中，存儲(chǔ)器元件(如圖I所示的)可存儲(chǔ)用于這里描述的操作的數(shù)據(jù)。這包括該存儲(chǔ)器元件能夠存儲(chǔ)可被執(zhí)行來(lái)實(shí)現(xiàn)本說(shuō)明書中描述的活動(dòng)的軟件、邏輯、代碼或處理器指令。處理器可執(zhí)行與實(shí)現(xiàn)這里在本說(shuō)明書中詳述的操作的數(shù)據(jù)相關(guān)聯(lián)的任何類型的指令。在一個(gè)示例中，處理器(如圖I所示)可以將一個(gè)元素或物品(例如，數(shù)據(jù))從一個(gè)狀態(tài)或事物變換到另一狀態(tài)或事物。在另一示例中，可以利用固定邏輯或可編程邏輯(例如，由處理器執(zhí)行的軟件/計(jì)算機(jī)指令)來(lái)實(shí)現(xiàn)這里概述的活動(dòng)，并且這里標(biāo)識(shí)的元件可以是某種類型的可編程處理器、可編程數(shù)字邏輯(例如，現(xiàn)場(chǎng)可編程門陣列(FPGA)、可擦除可編程只讀存儲(chǔ)器(EPROM)、電可擦除可編程ROM (EEPROM))或包括數(shù)字邏輯、軟件、代碼、電子指令或其任何適當(dāng)組合的ASIC。任何這些元件(例如計(jì)算機(jī)、服務(wù)器、網(wǎng)絡(luò)用具、防火墻、虛擬機(jī)監(jiān)視器、任何其他類型的虛擬元件等等)都可包括用于存儲(chǔ)在實(shí)現(xiàn)這里概述的數(shù)據(jù)丟失防止系統(tǒng)操作時(shí)使用的信息的存儲(chǔ)器元件。此外，這些設(shè)備中的每一個(gè)可包括能夠執(zhí)行軟件或算法以執(zhí)行如本說(shuō)明書中所述的數(shù)據(jù)丟失防止活動(dòng)的處理器。這些設(shè)備還可基于特定的需求在適當(dāng)時(shí)在任何適當(dāng)?shù)拇鎯?chǔ)器元件(隨機(jī)訪問(wèn)存儲(chǔ)器(RAM)、ROM、EPROM、EEPROM、ASIC等等)、軟件、硬件或者任何其他適當(dāng)?shù)慕M件、設(shè)備、元件或?qū)ο笾斜４嫘畔?。這里論述的任何存儲(chǔ)器項(xiàng)目(例如，數(shù)據(jù)日志、主鏡像等等)都應(yīng)當(dāng)被解釋為涵蓋在寬泛術(shù)語(yǔ)“存儲(chǔ)器元件”內(nèi)。類似地，本說(shuō)明書中描述的任何可能的處理元件、模塊和機(jī)器都應(yīng)當(dāng)被解釋為涵蓋在寬泛術(shù)語(yǔ)“處理器”內(nèi)。計(jì)算機(jī)、網(wǎng)絡(luò)用具、虛擬元件等等中的每一個(gè)也可包括用于在安全環(huán)境中接收、傳送和/或以其他方式傳輸數(shù)據(jù)或信息的適當(dāng)接口。圖4是示出與其中應(yīng)用是瀏覽器的數(shù)據(jù)丟失防止系統(tǒng)的另一實(shí)現(xiàn)方式相關(guān)聯(lián)的數(shù)個(gè)示例性步驟的簡(jiǎn)化流程圖200。在此特定示例中，在線機(jī)構(gòu)要求試圖訪問(wèn)該在線機(jī)構(gòu)的用戶使用由虛擬機(jī)包裹的瀏覽器。流程可開(kāi)始于步驟210，在該步驟中用戶聯(lián)絡(luò)在線機(jī)構(gòu)，例如在線銀行。在步驟220，進(jìn)行關(guān)于該用戶是否在使用虛擬機(jī)瀏覽器的查詢。如果正在使用虛擬機(jī)瀏覽器，則流程轉(zhuǎn)到步驟240。然而，如果判定用戶沒(méi)有在使用虛擬機(jī)瀏覽器，則流程轉(zhuǎn)到步驟230，在該步驟中虛擬機(jī)瀏覽器被下載到用戶，然后流程轉(zhuǎn)到240。在步驟240中，進(jìn)行查詢以判定虛擬機(jī)瀏覽器是否是新近的。如果其是新近的，則流程轉(zhuǎn)到步驟260。然而，如果虛擬機(jī)瀏覽器不是新近的，則流程轉(zhuǎn)到步驟250，在該步驟中虛擬機(jī)瀏覽器被更新或下載以最新近的組件。然后流程轉(zhuǎn)到步驟260。在步驟260中，執(zhí)行自完好性檢查并且如果用戶沒(méi)有通過(guò)，則該會(huì)話結(jié)束。然而，如果在步驟260中用戶通過(guò)了自完好性檢查，那么流程轉(zhuǎn)到步驟270，并且用戶被允許通過(guò)經(jīng)更新的虛擬機(jī)包裹瀏覽器連接到該在線銀行。注意，對(duì)于這里提供的示例，可以按兩個(gè)、三個(gè)、四個(gè)或更多個(gè)網(wǎng)絡(luò)元件來(lái)描述交互。然而，僅僅是為了清晰和示例的目的才這樣做的。在某些情況下，通過(guò)僅提及有限數(shù)目 的組件或網(wǎng)絡(luò)元件來(lái)描述給定的一組流程的一個(gè)或多個(gè)功能，可能會(huì)容易。應(yīng)當(dāng)明白，圖I和2的系統(tǒng)(及其教導(dǎo))很容易縮放。系統(tǒng)10可容適很大數(shù)目的組件，以及更復(fù)雜或精致的布置和配置。從而，所提供的示例不應(yīng)當(dāng)限制系統(tǒng)10的范圍或禁止可能將系統(tǒng)10的寬泛教導(dǎo)應(yīng)用到許多其他體系結(jié)構(gòu)。也重要的是要注意，參考前述附圖描述的步驟只例示了可被系統(tǒng)10執(zhí)行或在系統(tǒng)10內(nèi)執(zhí)行的可能場(chǎng)景中的一些。這些步驟中的一些在適當(dāng)時(shí)可被刪除或去除，或者這些步驟可以被相當(dāng)大幅地修改或改變，而不脫離本公開(kāi)的范圍。此外，這些操作的定時(shí)可以被相當(dāng)大幅地更改，而仍實(shí)現(xiàn)本公開(kāi)中教導(dǎo)的結(jié)果。前述的操作流程是為了示例和論述的目的而提供的。系統(tǒng)10提供了很大的靈活性，因?yàn)榭梢蕴峁┤魏芜m當(dāng)?shù)牟贾?、時(shí)間順序、配置和定時(shí)機(jī)制，而不脫離所論述的構(gòu)思的教導(dǎo)。
權(quán)利要求
1.一種方法，包括 選擇至少一個(gè)標(biāo)準(zhǔn)以用于控制從虛擬機(jī)內(nèi)的數(shù)據(jù)傳送，其中至少一個(gè)應(yīng)用被包括在所述虛擬機(jī)內(nèi)，并且所述虛擬機(jī)包括策略模塊，并且所選標(biāo)準(zhǔn)對(duì)應(yīng)于與所述策略模塊相關(guān)聯(lián)的至少一個(gè)策略；以及 評(píng)估所述策略的所選標(biāo)準(zhǔn)以許可對(duì)于從所述虛擬機(jī)內(nèi)傳送所述數(shù)據(jù)的嘗試。
2.如權(quán)利要求I所述的方法，還包括 通過(guò)管理模塊更新所述策略模塊以修改所述所選標(biāo)準(zhǔn)。
3.如權(quán)利要求I所述的方法，還包括 維護(hù)與所述應(yīng)用的新近版本相對(duì)應(yīng)的主鏡像； 將所述應(yīng)用與所述主鏡像相比較以判定所述應(yīng)用是否是新近的；以及 如果判定不是新近的則更新所述應(yīng)用。
4.如權(quán)利要求I所述的方法，其中，所述應(yīng)用是應(yīng)用套件的一部分。
5.如權(quán)利要求I所述的方法，其中，所述策略包括多個(gè)所選標(biāo)準(zhǔn)，其中有許可對(duì)于傳送所述數(shù)據(jù)到第一其他應(yīng)用的嘗試的第一所選標(biāo)準(zhǔn)和禁止對(duì)于傳送所述數(shù)據(jù)到第二其他應(yīng)用的嘗試的第二所選標(biāo)準(zhǔn)。
6.如權(quán)利要求I所述的方法，其中，如果多個(gè)用戶之一的客戶端設(shè)備正從受保護(hù)的網(wǎng)絡(luò)環(huán)境內(nèi)請(qǐng)求訪問(wèn)所述應(yīng)用，則所述所選標(biāo)準(zhǔn)許可傳送所述數(shù)據(jù)到所述客戶端設(shè)備，并且如果所述客戶端設(shè)備正從未受保護(hù)的網(wǎng)絡(luò)環(huán)境請(qǐng)求訪問(wèn)所述應(yīng)用，則所述所選標(biāo)準(zhǔn)禁止傳送所述數(shù)據(jù)到所述客戶端設(shè)備。
7.如權(quán)利要求I所述的方法，還包括 創(chuàng)建日志以用于記錄與從所述虛擬機(jī)傳送的數(shù)據(jù)相對(duì)應(yīng)的條目。
8.如權(quán)利要求I所述的方法，還包括 如果所述策略的所選標(biāo)準(zhǔn)禁止傳送所述數(shù)據(jù)，則創(chuàng)建受保護(hù)緩沖器以用于在所述虛擬機(jī)內(nèi)操縱所述數(shù)據(jù)，其中所述受保護(hù)緩沖器不能被所述虛擬機(jī)外的應(yīng)用訪問(wèn)。
9.如權(quán)利要求I所述的方法，還包括 訪問(wèn)所述虛擬機(jī)內(nèi)的郵件客戶端； 從所述虛擬機(jī)內(nèi)的郵件客戶端發(fā)送電子郵件消息到安全郵件代理； 評(píng)估所述電子郵件消息的預(yù)期接收者是否被授權(quán)接收來(lái)自所述虛擬機(jī)內(nèi)的所述應(yīng)用的數(shù)據(jù)；以及 如果所述預(yù)期接收者未被授權(quán)接收該數(shù)據(jù)，則從所述電子郵件消息中提取與所述應(yīng)用相關(guān)聯(lián)的任何數(shù)據(jù)。
10.一種編碼在一個(gè)或多個(gè)有形介質(zhì)中的邏輯，該邏輯包括供執(zhí)行的代碼并且在被處理器執(zhí)行時(shí)可操作來(lái)執(zhí)行包括以下操作在內(nèi)的操作 選擇至少一個(gè)標(biāo)準(zhǔn)以用于控制從虛擬機(jī)內(nèi)的數(shù)據(jù)傳送，其中至少一個(gè)應(yīng)用被包括在所述虛擬機(jī)內(nèi)，并且所述虛擬機(jī)包括策略模塊，并且所選標(biāo)準(zhǔn)對(duì)應(yīng)于與所述策略模塊相關(guān)聯(lián)的至少一個(gè)策略；以及 評(píng)估所述策略的所選標(biāo)準(zhǔn)以許可對(duì)于從所述虛擬機(jī)內(nèi)傳送所述數(shù)據(jù)的嘗試。
11.如權(quán)利要求10所述的邏輯，所述處理器可操作來(lái)執(zhí)行還包括以下操作在內(nèi)的操作通過(guò)管理模塊更新所述策略模塊以修改所述所選標(biāo)準(zhǔn)。
12.如權(quán)利要求10所述的邏輯，所述處理器可操作來(lái)執(zhí)行還包括以下操作在內(nèi)的操作 維護(hù)與所述應(yīng)用的新近版本相對(duì)應(yīng)的主鏡像； 將所述應(yīng)用與所述主鏡像相比較以判定所述應(yīng)用是否是新近的；以及 如果判定不是新近的則更新所述應(yīng)用。
13.如權(quán)利要求10所述的邏輯，其中，所述策略包括多個(gè)所選標(biāo)準(zhǔn)，其中有許可對(duì)于傳送所述數(shù)據(jù)到第一其他應(yīng)用的嘗試的第一所選標(biāo)準(zhǔn)和禁止對(duì)于傳送所述數(shù)據(jù)到第二其他應(yīng)用的嘗試的第二所選標(biāo)準(zhǔn)。
14.如權(quán)利要求10所述的邏輯，其中，如果多個(gè)用戶之一的客戶端設(shè)備正從受保護(hù)的網(wǎng)絡(luò)環(huán)境內(nèi)請(qǐng)求訪問(wèn)所述應(yīng)用，則所述所選標(biāo)準(zhǔn)許可傳送所述數(shù)據(jù)到所述客戶端設(shè)備，并且如果所述客戶端設(shè)備正從未受保護(hù)的網(wǎng)絡(luò)環(huán)境請(qǐng)求訪問(wèn)所述應(yīng)用，則所述所選標(biāo)準(zhǔn)禁止傳送所述數(shù)據(jù)到所述客戶端設(shè)備。
15.如權(quán)利要求10所述的邏輯，所述處理器可操作來(lái)執(zhí)行還包括以下操作在內(nèi)的操作 如果所述策略的所選標(biāo)準(zhǔn)禁止傳送所述數(shù)據(jù)，則創(chuàng)建受保護(hù)緩沖器以用于在所述虛擬機(jī)內(nèi)操縱所述數(shù)據(jù)，其中所述受保護(hù)緩沖器不能被所述虛擬機(jī)外的應(yīng)用訪問(wèn)。
16.一種裝置,包括 在系統(tǒng)中可操作的至少一個(gè)應(yīng)用；以及 可操作來(lái)執(zhí)行與所述應(yīng)用相關(guān)聯(lián)的指令的處理器，所述指令包括 選擇至少一個(gè)標(biāo)準(zhǔn)以用于控制從虛擬機(jī)內(nèi)的數(shù)據(jù)傳送，其中所述一個(gè)應(yīng)用被包括在所述虛擬機(jī)內(nèi)，并且所述虛擬機(jī)包括策略模塊，并且所選標(biāo)準(zhǔn)對(duì)應(yīng)于與所述策略模塊相關(guān)聯(lián)的至少一個(gè)策略；以及 評(píng)估所述策略的所選標(biāo)準(zhǔn)以許可對(duì)于從所述虛擬機(jī)內(nèi)傳送所述數(shù)據(jù)的嘗試。
17.如權(quán)利要求16所述的裝置，其中，所述策略包括多個(gè)所選標(biāo)準(zhǔn)，其中有許可對(duì)于傳送所述數(shù)據(jù)到第一其他應(yīng)用的嘗試的第一所選標(biāo)準(zhǔn)和禁止對(duì)于傳送所述數(shù)據(jù)到第二其他應(yīng)用的嘗試的第二所選標(biāo)準(zhǔn)。
18.如權(quán)利要求16所述的裝置，其中，如果多個(gè)用戶之一的客戶端設(shè)備正從受保護(hù)的網(wǎng)絡(luò)環(huán)境內(nèi)請(qǐng)求訪問(wèn)所述應(yīng)用，則所述所選標(biāo)準(zhǔn)許可傳送所述數(shù)據(jù)到所述客戶端設(shè)備，并且如果所述客戶端設(shè)備正從未受保護(hù)的網(wǎng)絡(luò)環(huán)境請(qǐng)求訪問(wèn)所述應(yīng)用，則所述所選標(biāo)準(zhǔn)禁止傳送所述數(shù)據(jù)到所述客戶端設(shè)備。
19.如權(quán)利要求16所述的裝置，其中，所述處理器可操作來(lái)執(zhí)行還包括以下指令在內(nèi)的指令 如果所述策略的所選標(biāo)準(zhǔn)禁止傳送所述數(shù)據(jù)，則創(chuàng)建受保護(hù)緩沖器以用于在所述虛擬機(jī)內(nèi)操縱所述數(shù)據(jù)，其中所述受保護(hù)緩沖器不能被所述虛擬機(jī)外的應(yīng)用訪問(wèn)。
20.如權(quán)利要求16所述的裝置，其中，所述處理器可操作來(lái)執(zhí)行還包括以下指令在內(nèi)的指令 訪問(wèn)所述虛擬機(jī)內(nèi)的郵件客戶端； 從所述虛擬機(jī)內(nèi)的郵件客戶端發(fā)送電子郵件消息到安全郵件代理；評(píng)估所述電子郵件消息的預(yù)期接收者是否被授權(quán)接收來(lái)自所述虛擬機(jī)內(nèi)的所述應(yīng)用的數(shù)據(jù)；以及 如果所述預(yù)期接收者未被授權(quán)接收該數(shù)據(jù)，則從所述電子郵件消息中提取與所述應(yīng)用相關(guān)聯(lián)的任何數(shù)據(jù)。
全文摘要
一個(gè)示例性實(shí)現(xiàn)方式中的方法包括選擇至少一個(gè)標(biāo)準(zhǔn)以用于控制從虛擬機(jī)內(nèi)的數(shù)據(jù)傳送。至少一個(gè)應(yīng)用被包括在該虛擬機(jī)內(nèi)，該虛擬機(jī)包括策略模塊。所選標(biāo)準(zhǔn)對(duì)應(yīng)于與該策略模塊相關(guān)聯(lián)的至少一個(gè)策略。該方法還包括評(píng)估該策略的所選標(biāo)準(zhǔn)以許可對(duì)于從該虛擬機(jī)內(nèi)傳送數(shù)據(jù)的嘗試。在更具體的實(shí)施例中，該策略可包括多個(gè)所選標(biāo)準(zhǔn)，其中有許可傳送數(shù)據(jù)到第一應(yīng)用的第一所選標(biāo)準(zhǔn)和禁止傳送數(shù)據(jù)到第二應(yīng)用的第二所選標(biāo)準(zhǔn)。在另一具體實(shí)施例中，該方法可包括通過(guò)管理模塊更新該策略模塊以修改所選標(biāo)準(zhǔn)。
文檔編號(hào)G06F21/24GK102741853SQ201080051085
公開(kāi)日2012年10月17日 申請(qǐng)日期2010年11月4日 優(yōu)先權(quán)日2009年11月10日
發(fā)明者李·科德?tīng)枴谏に柌继? 索納麗·阿伽沃爾 申請(qǐng)人:麥克菲公司