專利名稱：防止可執(zhí)行對象的不合要求行為的方法和系統(tǒng)的制作方法
發(fā)明的領(lǐng)域本發(fā)明涉及計算機(jī)網(wǎng)絡(luò)的安全管理。特別地，本發(fā)明涉及在計算機(jī)網(wǎng)絡(luò)工作站中防止可執(zhí)行對象的不合要求的行為的方法和系統(tǒng)。
發(fā)明的背景互聯(lián)網(wǎng)技術(shù)自幾年前開始以來，無論在其容量還是所采用的技術(shù)方面都取得了很大程度的發(fā)展。在互聯(lián)網(wǎng)的早期，萬維網(wǎng)站點(diǎn)中僅含有文字，不久引入了圖形。隨著互聯(lián)網(wǎng)的發(fā)展，許多壓縮標(biāo)準(zhǔn)，如圖象，聲音和視頻文件得到了發(fā)展，程序使用這些標(biāo)準(zhǔn)進(jìn)行播放(稱為“播放器”)。起初，這些文件僅根據(jù)用戶的需要被下載到用戶的工作站中，僅可由適當(dāng)?shù)牟シ牌鱽硖崛。⒁勒沼脩糁付ǖ捻樞颉?br> 在萬維網(wǎng)的發(fā)展過程中，當(dāng)開始尋求一種能夠展示良好的、交互的和靈活的網(wǎng)頁的方法時，Sun Microsystems公司開發(fā)了Java--一種允許萬維網(wǎng)站點(diǎn)管理員編寫一個程序，一個無需通知萬維網(wǎng)站點(diǎn)管理員即可下載到用戶的工作站中并由他的工作站中的瀏覽器執(zhí)行的的命令列表-網(wǎng)絡(luò)可執(zhí)行命令。例如使用可執(zhí)行命令在網(wǎng)絡(luò)沖浪者的屏幕上提供圖象動畫和其它圖形。這種可執(zhí)行命令具有一些可接近用戶工作站資源的途徑，這樣導(dǎo)致一個很大的安全問題。盡管在Java語言中可以定義一些安全等級，但是很快在這種語言中發(fā)現(xiàn)一個大的安全漏洞。
自開發(fā)了Java，微軟開發(fā)出了ActiveX，既另一個網(wǎng)絡(luò)可執(zhí)行命令格式，也被下載到工作站中。ActiveX也有同樣的安全問題。
互聯(lián)網(wǎng)中充滿了“網(wǎng)絡(luò)可執(zhí)行命令”，可能被用戶或有意或無意地下載到機(jī)構(gòu)內(nèi)的工作站中。通常這些代碼包含無害的功能。盡管一般情況下是安全的，但它們可能不符合所要求的機(jī)構(gòu)安全策略。
一旦被執(zhí)行，代碼可能會阻塞網(wǎng)絡(luò)，導(dǎo)致本地數(shù)據(jù)庫、工作站和服務(wù)器的不可挽回的損失，或產(chǎn)生對工作站/服務(wù)器中的信息的未被授權(quán)的檢索。這許因素可以出現(xiàn)在Java的小程序、ActiveX組件、動態(tài)連接庫和其它的對象代碼中，并且這些應(yīng)用正在以空前的速度增長。這些小程序的大部分是在未經(jīng)請求和未被控制的情況下被下載到機(jī)構(gòu)中。企業(yè)沒有辦法知道這些程序的存在或執(zhí)行，并且沒有適當(dāng)?shù)南到y(tǒng)來進(jìn)行早期檢測，防止這些代碼的執(zhí)行。
這一安全問題由瀏覽器生產(chǎn)商部分地解決，允許用戶禁止可執(zhí)行代碼的使用。當(dāng)然，這還不是根本的解決辦法，因為所有的電子商務(wù)和廣告是都是基于可執(zhí)行代碼的使用。一旦這樣的可執(zhí)行代碼能夠接近企業(yè)的服務(wù)器、數(shù)據(jù)庫和其它的工作站時，安全問題就變得非常嚴(yán)重。
可參考本申請人的另一個待決專利申請的說明IL120420，申請日1997年3月10日(和1998年2月23日的PCT/IL98/00083)，對一種方法進(jìn)行了描述和權(quán)利要求，有選擇地防止在計算機(jī)上下載和執(zhí)行不合要求的可執(zhí)行對象，包括如下步驟(a)提供一個或多個控制中心，每個中心連接一個或多個網(wǎng)關(guān)，每一網(wǎng)關(guān)服務(wù)于一個或多個用戶計算機(jī)；(b)提供上述的每個網(wǎng)關(guān)的相關(guān)方法，檢測到達(dá)這些網(wǎng)關(guān)的可執(zhí)行對象，分析每個所述可執(zhí)行對象的頭部，并確定可執(zhí)行對象需要利用的計算機(jī)資源；(c)提供上述的每個網(wǎng)關(guān)的相關(guān)方法，存儲表現(xiàn)資源和資源組合的終端用戶計算機(jī)安全策略，管理員允許或不允許一個可執(zhí)行對象在其目的地利用這些資源，其中從上述的一個或多個控制中心獲取安全策略和/或?qū)踩呗源鎯Φ揭粋€或多個控制中心中；(d)當(dāng)在網(wǎng)關(guān)中檢測到一個可執(zhí)行對象時1．分析該可執(zhí)行對象的頭部；2．確定該可執(zhí)行對象需要利用的計算機(jī)資源；3．可執(zhí)行對象需要利用的計算機(jī)資源和安全策略進(jìn)行比較，和；(ⅰ)如果可執(zhí)行對象需要利用的計算機(jī)資源包含在安全策略允許使用的資源列表中，允許可執(zhí)行對象通過網(wǎng)關(guān)并到達(dá)啟動其下載的計算機(jī)，；和(ⅱ)如果可執(zhí)行對象需要利用的計算機(jī)資源包含在安全策略禁止使用的資源列表中，阻止可執(zhí)行對象通過網(wǎng)關(guān)，由此防止其到達(dá)啟動其下載的計算機(jī)。
一個控制中心(CC)可以是一個中央控制單元，例如，一臺PC或其它計算機(jī)，連接到多個網(wǎng)關(guān)，更新包含諸如安全策略的相關(guān)數(shù)據(jù)的存儲方法。一旦控制中心被更新，例如，增加一個附加的限制到安全策略中，所有的網(wǎng)關(guān)都立即被更新。使用控制中心控制網(wǎng)關(guān)的安全因素的運(yùn)行，避免了當(dāng)每次改變策略時對每個網(wǎng)關(guān)進(jìn)行更新的需要(在以前的系統(tǒng)中是需要這樣的)。
一個LAN(局域網(wǎng))可以是(但不局限于)諸如一個位于一個辦公室或樓字的網(wǎng)絡(luò)。通過一個或多個網(wǎng)關(guān)，局域網(wǎng)通常連接到外面的通訊網(wǎng)絡(luò)，諸如萬維網(wǎng)，或連接到更多限制的局域網(wǎng)，如一個客戶或供應(yīng)商的局域網(wǎng)。機(jī)構(gòu)越大，使用的網(wǎng)關(guān)數(shù)目越大，以便能夠一個合適的通訊速度。
一般來說，一個局域網(wǎng)也可由多個小的局域網(wǎng)組成，地理位置上或近或遠(yuǎn)，但即使在同一個機(jī)構(gòu)中存在小的局域網(wǎng)，每個部門間的安全要求也可能彼此不同，需要保持高安全度，包括防止可執(zhí)行對象從一個部門轉(zhuǎn)移到另一個部門，即使在同一個機(jī)構(gòu)中。
每個網(wǎng)關(guān)的相關(guān)方法可以具有多種不同的類型，用來檢測到達(dá)所述網(wǎng)關(guān)的可執(zhí)行對象，分析每個所述可執(zhí)行對象的頭部，并確定可執(zhí)行對象需要利用的計算機(jī)資源。通常，通過在通訊線路上將可執(zhí)行對象收聽到TCP/IP協(xié)議以及對象傳輸協(xié)議，如SMTP,HTTP,FTP中，可執(zhí)行對象在網(wǎng)關(guān)處被“捕捉”和分析。從通訊線路中捕獲并提取可執(zhí)行對象的頭部是技術(shù)熟練人員所熟知的步驟，可以通過常規(guī)的編程的方法來實現(xiàn)，因此為簡潔起見，這里不做詳述。
一旦對可執(zhí)行對象(EO)的頭部進(jìn)行了分析，可以很容易進(jìn)行EO需要使用的計算機(jī)資源與安全策略的比較，如將其與一個控制中心提供給網(wǎng)關(guān)的體現(xiàn)安全策略的查找表進(jìn)行比較。比較也可針對存儲在控制中心的數(shù)據(jù)來進(jìn)行，在這種情況下，網(wǎng)關(guān)中可以不需要指定的存儲方法和比較方法。然而，速度和性能的考慮通常決定了這一操作是在網(wǎng)關(guān)本身進(jìn)行的。
通過一個單端口，端口80，該端口是網(wǎng)絡(luò)沖浪常用的端口，先前的技術(shù)為分析所發(fā)生的通訊提供一種技術(shù)解決方法。但是，現(xiàn)在可以通過端口80以外的端口進(jìn)行網(wǎng)絡(luò)沖浪，而根據(jù)當(dāng)前可用的技術(shù)，用戶的HTTP服務(wù)器不能工作在多個端口上。所以，如果多于一個用戶同時使用一個網(wǎng)關(guān)，先前的技術(shù)系統(tǒng)是無效的，因為它們不適合于同時分析通過其它端口發(fā)生的通訊。
另一個嚴(yán)重的不足之處是當(dāng)根據(jù)先前的技術(shù)方法，需要一個非常強(qiáng)大的HTTP服務(wù)器來為多個用戶服務(wù)。
為了能夠?qū)Α帮w行(on the fly)”的可執(zhí)行對象進(jìn)行分析，而不妨礙無害可執(zhí)行對象的下載和操作，在本申請人另一個待決專利申請(121815，申請日1997年9月22日，和相應(yīng)的PCT申請PCT/IL98/00082，申請日1998年2月23日)提供了一種處理可執(zhí)行對象的方法，包括(a)提供能夠?qū)νㄓ嵕€路中在瀏覽器和一個網(wǎng)上的HTTP服務(wù)器之間傳輸?shù)臄?shù)據(jù)包進(jìn)行無干擾分析的方法，所述的通訊線路是通過一個網(wǎng)關(guān)建立的；(b)分析所述的瀏覽器和服務(wù)器之間的信號交換，來檢測一個由用戶發(fā)出的“GET”命令和一個由所述服務(wù)器響應(yīng)的HTTP代碼；(c)當(dāng)檢測到這樣的一個HTTP代碼時，利用下面的步驟來分析由所述的服務(wù)器傳輸?shù)剿鰹g覽器的數(shù)據(jù)包(1)提供排序方法，以非連續(xù)的順序?qū)邮艿降臄?shù)據(jù)包進(jìn)行排序，并以連續(xù)的順序?qū)⑵湎蚯皞魉偷筋^部檢測方法中；(2)檢測數(shù)據(jù)包，以便分析可執(zhí)行對象的頭部內(nèi)容，并識別需要使用的系統(tǒng)資源；(3)將代表可執(zhí)行對象需要利用的系統(tǒng)資源的數(shù)據(jù)傳輸所述的網(wǎng)關(guān)；和(4)提供所述網(wǎng)關(guān)相關(guān)的數(shù)據(jù)包抑制方法，這樣，如果根據(jù)管理員設(shè)定的安全策略，可執(zhí)行對象需要利用的系統(tǒng)資源是不被允許時，至少一個屬于可執(zhí)行對象的數(shù)據(jù)包被抑制、更改或破壞，以便防止被瀏覽器執(zhí)行。
然而，永久改變互聯(lián)網(wǎng)系統(tǒng)的狀況需要針對連續(xù)增長的威脅提供新的解決措施，提高現(xiàn)有方法所提供的安全性。特別是，除了瀏覽互聯(lián)網(wǎng)所需要的性能外，新的互聯(lián)網(wǎng)瀏覽器要配備擴(kuò)展的性能，如要具有訪問本地文件和目錄的能力等。此外，其它的應(yīng)用程序，諸如，MS-Word，或Visual-C++，允許直接進(jìn)行瀏覽，而不需附加的瀏覽器。在這種情況下，就不再存在常規(guī)的互聯(lián)網(wǎng)應(yīng)用程序與其它程序間的分離。結(jié)果是，通過“安全的”應(yīng)用程序，可以允許不合要求的可執(zhí)行對象的訪問，就是說，通過諸如一個字處理器的應(yīng)用程序，由于不允許EO的訪問，這些應(yīng)用程序在先前被認(rèn)為是安全的。
目前該項技術(shù)還不能提供這一問題的解決辦法，而且很明顯這一問題又是急需解決的。
發(fā)明概述本發(fā)明的一個目的是提供一種方法，防止可執(zhí)行對象的不合要求的行為，克服如前面所述的先前技術(shù)系統(tǒng)的不足。
本發(fā)明的另一個目的是提供這樣的一種容易實現(xiàn)的不需要改變硬件的方法。
本發(fā)明的進(jìn)一步的目的是提供一種方法，防止展現(xiàn)給互聯(lián)網(wǎng)的應(yīng)用程序訪問所選擇的資源。
本發(fā)明的其它優(yōu)點(diǎn)和目的將在下面的描述中說明。
根據(jù)本發(fā)明，一種用于防止可執(zhí)行對象通過一個應(yīng)用程序進(jìn)行的不合要求的行為的方法包括如果一個應(yīng)用程序先前表現(xiàn)出互聯(lián)網(wǎng)行為并且不符合訪問一個保護(hù)資源的特定條件時，拒絕同一應(yīng)用程序，或其一個或多個它的線程對這一保護(hù)資源進(jìn)行訪問，如果有訪問需求時，應(yīng)用程序正在訪問一個保護(hù)資源，則拒絕該應(yīng)用程序，或它的一個或多個線程的互聯(lián)網(wǎng)行為。
依照本發(fā)明的一個優(yōu)選的實施方案，該方法包括將表示互聯(lián)網(wǎng)行為的事件記錄到一個存儲器中，保持一個所有被保護(hù)資源的記錄，并且當(dāng)先前展現(xiàn)互聯(lián)網(wǎng)行為的一個應(yīng)用程序試圖訪問這樣一個被保護(hù)資源時，拒絕訪問所述的保護(hù)資源，除非-自上一次互聯(lián)網(wǎng)行為起，至少經(jīng)過一個預(yù)定的時間周期；或-應(yīng)用程序的網(wǎng)絡(luò)行為之后，至少執(zhí)行了預(yù)定數(shù)目的操作；或-滿足另一個預(yù)置的條件。
能夠用于這一目的的預(yù)置條件有許多，本領(lǐng)域技術(shù)人員可以很容易了解適合于指定系統(tǒng)的條件，例如，條件可能包括控制在互聯(lián)網(wǎng)行為期間接收到的可下載對象的執(zhí)行，保證沒有未被執(zhí)行的可下載對象可以訪問保護(hù)資源。例如，根據(jù)本發(fā)明的一個優(yōu)選的實施方案，預(yù)置的條件包括可下載對象的分析，以保證這些對象是無害的。
根據(jù)本發(fā)明的一個優(yōu)選的實施方案，通過禁止創(chuàng)建網(wǎng)絡(luò)連接或指定的協(xié)議，諸如HTTP,FTP,SMTP等等，或通過禁止可執(zhí)行對象(EO)通過一個協(xié)議傳輸，來阻止互聯(lián)網(wǎng)行為。然而，如果有必要，要求不禁止對可靠網(wǎng)址的訪問。
根據(jù)本發(fā)明的一個優(yōu)選的實施方案，通過禁止使用特定的用于訪問保護(hù)資源的系統(tǒng)功能的線程，來阻止對保護(hù)資源的訪問。
本發(fā)明還包含一些裝置，防止可執(zhí)行對象通過應(yīng)用程序進(jìn)行的不合要求的行為，包括用于存儲多個應(yīng)用程序的網(wǎng)絡(luò)行為記錄的存儲器，還包括一些方法，如果一個應(yīng)用程序先前表現(xiàn)出互聯(lián)網(wǎng)行為并且不符合訪問一個保護(hù)資源的特定條件時，拒絕同一應(yīng)用程序或它的一個或多個線程對這一保護(hù)資源進(jìn)行訪問，如果有訪問需求時，應(yīng)用程序正在訪問一個保護(hù)資源，則拒絕該應(yīng)用程序或它的一個或多個線程的互聯(lián)網(wǎng)行為。
本發(fā)明進(jìn)一步包括一個系統(tǒng)，防止可執(zhí)行對象通過應(yīng)用程序進(jìn)行的不合要求的行為，包括一臺用于運(yùn)行一個或多個應(yīng)用程序的計算機(jī)，該計算機(jī)可以連接到互聯(lián)網(wǎng)，或內(nèi)聯(lián)網(wǎng)，或外聯(lián)網(wǎng)上，為該計算機(jī)提供了一個用于存儲多個應(yīng)用程序的互聯(lián)網(wǎng)行為的記錄的存儲器，還包括一些方法，如果一個應(yīng)用程序先前表現(xiàn)出互聯(lián)網(wǎng)行為并且不符合訪問一個保護(hù)資源的特定條件時，拒絕同一應(yīng)用程序或它的一個或多個線程對這一保護(hù)資源進(jìn)行訪問，如果有訪問需求時，應(yīng)用程序正在訪問一個保護(hù)資源，則拒絕該應(yīng)用程序或它的一個或多個線程，和互聯(lián)網(wǎng)行為。
在整個描述中，無論何時制定互聯(lián)網(wǎng)參考，顯然，加以必要的更改，本專利同樣使用于任何其它類型的網(wǎng)絡(luò)，例如內(nèi)聯(lián)網(wǎng)和外聯(lián)網(wǎng)，本領(lǐng)域的技術(shù)人員很容易了解，通過適當(dāng)?shù)男薷?，這里所述的關(guān)于互聯(lián)網(wǎng)的內(nèi)容同樣可用于其它類型的網(wǎng)絡(luò)。


在附圖中圖1A和1B概要說明兩種可選擇的狀況，其中一個展現(xiàn)給互聯(lián)網(wǎng)的應(yīng)用程序被拒絕訪問保護(hù)資源；圖2概要說明一種狀況，其中一個當(dāng)前正在訪問一個被保護(hù)的資源的應(yīng)用程序的互聯(lián)網(wǎng)行為被拒絕；和圖3進(jìn)一步說明根據(jù)本發(fā)明，保護(hù)資源的封鎖過程。
優(yōu)選實施方案的詳細(xì)描述圖1A說明一種狀況，其中一個應(yīng)用程序(表示為“應(yīng)用程序#1”)試圖通過它的一個線程(在圖中表示為“線程#1”)到達(dá)一個保護(hù)資源，SR。線程#1(或同一應(yīng)用程序的任意一個其它的線程)在先前展現(xiàn)出互聯(lián)網(wǎng)行為(互聯(lián)網(wǎng)行為是指一個應(yīng)用程序打開一個與互聯(lián)網(wǎng)的連接)。該行為連同事件的細(xì)節(jié)一起被記錄到存儲裝置(沒有在圖中顯示)中。在圖1A詳述的選擇中，同一程序的任何其它的線程被阻止訪問保護(hù)資源。
圖1B所示的另一種狀況中，僅有展現(xiàn)互聯(lián)網(wǎng)行為的特定的線程和它的任意子線程被阻止訪問保護(hù)資源，而允許所有其它的線程訪問。在圖1B的一個指定的例子中，一個線程#1和它的線程(線程#2和線程#3)中沒有一個可以訪問保護(hù)資源。
根據(jù)本發(fā)明，無論什么時候一個應(yīng)用程序展現(xiàn)互聯(lián)網(wǎng)行為，該事件都被記錄到一個存儲器中(該存儲器可以位于工作站或服務(wù)器中)。一個所有保護(hù)資源記錄也可以保存在一個查找表中。當(dāng)先前展現(xiàn)互聯(lián)網(wǎng)行為的同一應(yīng)用程序試圖訪問這樣一個保護(hù)資源時，對資源的訪問被拒絕，除非1)自上一次互聯(lián)網(wǎng)行為起，至少經(jīng)過一個預(yù)定的時間周期；或2)應(yīng)用程序的網(wǎng)絡(luò)行為之后，至少執(zhí)行了預(yù)定數(shù)目的操作；或3)滿足另一個預(yù)置的條件。
許多預(yù)置的條件可以使用以允許對另外的被禁止的保護(hù)資源的訪問。例如，可以控制在這種連接期間接收到的可下載對象的執(zhí)行，保證沒有未被執(zhí)行的可下載對象可以訪問保護(hù)資源，或者可以對可下載對象進(jìn)行徹底分析，以保證這些對象是無害的。例如，許多瀏覽器為Java小程序提供了自身的沙箱(sand box)，或者通過數(shù)字符號來確?？蓤?zhí)行對象是無害的，或者對可執(zhí)行對象進(jìn)行離線或靜態(tài)分析。當(dāng)然，熟練人員能夠針對該目的提出不同的合適條件。
現(xiàn)在轉(zhuǎn)向圖2，該圖顯示了一個不同的狀況，其中應(yīng)用程序(應(yīng)用程序#1)的一個線程已經(jīng)訪問了一個保護(hù)資源SR，并且正在進(jìn)行網(wǎng)絡(luò)行為。在這種情況下，網(wǎng)絡(luò)行為將被拒絕。這里，同樣有一個保存保護(hù)資源的查找表，以使得無論任何時候一個應(yīng)用程序試圖進(jìn)行互聯(lián)網(wǎng)行為時，都會針對該查找表對保存已被訪問的資源記錄的存儲器進(jìn)行檢測。如果當(dāng)前正在被訪問的資源是一個被保護(hù)的資源，那么互聯(lián)網(wǎng)行為被拒絕。
當(dāng)一個應(yīng)用程序接收到一個互聯(lián)網(wǎng)可執(zhí)行對象(如一個Java或ActiveX對象)時，通常將其存儲到一個臨時的或緩存目錄中，并且僅當(dāng)執(zhí)行對象從互聯(lián)網(wǎng)上完整下載時，應(yīng)用程序中的一個線程訪問并執(zhí)行該對象。圖3概要說明了這些步驟步驟1(S1)-一個線程下載一個互聯(lián)網(wǎng)可執(zhí)行對象；步驟2(S2)-一個線程從臨時或緩存目錄中讀取該互聯(lián)網(wǎng)可執(zhí)行對象；步驟3(S3)-一個線程試圖訪問一個保護(hù)資源并被拒絕訪問。任一個線程可以執(zhí)行任意一個或多個步驟。即使一個步驟，S1或S3，沒有執(zhí)行，步驟3也將被執(zhí)行。
當(dāng)然，上述的操作可以在工作站中以不同的方式實現(xiàn)，使用許多不同的程序和計算機(jī)例程，都屬于定時操作器的技術(shù)范圍，因此為了簡潔起見，這里不作詳述。例如，在本申請人的另一個待決PCT專利申請中，描述了一個涉及到處理數(shù)據(jù)和阻止訪問資源的運(yùn)行實例，其申請?zhí)枮镻CT/IL98/00084，申請日1998年2月23日(基于以色列專利申請，申請?zhí)?22314，申請日1997年11月27日)，可全面參考其中的描述。
上述的優(yōu)選實施方案中的所有的描述都是用來對本專利進(jìn)行說明，但不局限于本專利，除了權(quán)利要求中所指定的內(nèi)容。在本發(fā)明中可以進(jìn)行許多修改。例如，許多應(yīng)用程序可能會涉及到保護(hù)過程，其行為可以用許多不同的方法存儲和分析，而不會超出本專利的范圍。
權(quán)利要求
1．一種用于防止可執(zhí)行對象通過一個應(yīng)用程序進(jìn)行的不合要求的行為的方法，該方法包括如果一個應(yīng)用程序先前表現(xiàn)出互聯(lián)網(wǎng)行為并且不符合訪問一個保護(hù)資源的特定條件時，拒絕同一應(yīng)用程序或它的一個或多個線程對這一保護(hù)資源進(jìn)行訪問，如果在有訪問需求時，應(yīng)用程序正在訪問一個保護(hù)資源，則拒絕該應(yīng)用程序或它的一個或多個線程的互聯(lián)網(wǎng)行為。
2．依照權(quán)利要求1的方法，包括將表示互聯(lián)網(wǎng)行為的事件記錄到一個存儲器中，保持所有保護(hù)資源的記錄，和當(dāng)先前展現(xiàn)互聯(lián)網(wǎng)行為的一個應(yīng)用程序試圖訪問這樣一個被保護(hù)的應(yīng)用程序時，拒絕訪問所述保護(hù)資源，除非a)自上一次互聯(lián)網(wǎng)行為起，至少經(jīng)過一個預(yù)定的時間周期；或b)在應(yīng)用程序的網(wǎng)絡(luò)行為之后，至少執(zhí)行了預(yù)定數(shù)目的操作；或c)滿足另一個預(yù)置的條件。
3．依照權(quán)利要求2的方法，其中預(yù)置條件包括控制互聯(lián)網(wǎng)行為期間接收的可下載對象的執(zhí)行，保證沒有未執(zhí)行的可下載對象可以存取受保護(hù)的資源。
4．依照權(quán)利要求2的方法，其中預(yù)置的條件包括對可下載對象的分析，以保證這些對象是無害的。
5．依照權(quán)利要求1至4的方法，其中通過禁止創(chuàng)建網(wǎng)絡(luò)連接來阻止互聯(lián)網(wǎng)行為。
6．依照權(quán)利要求1至4的方法，其中通過禁止特定的協(xié)議來阻止網(wǎng)絡(luò)行為。
7．依照權(quán)利要求6的方法，其中指定的協(xié)議包括HTTP,FTP,SMTP，或類似的通訊協(xié)議。
8．依照權(quán)利要求1至4的方法，其中通過在通訊協(xié)議中禁止EO的傳輸來阻止互聯(lián)網(wǎng)行為。
9．依照權(quán)利要求5至8的方法，其中對可靠的網(wǎng)址的訪問是不被禁止的。
10．依照權(quán)利要求1至4的方法，其中通過禁止使用特定的用于訪問保護(hù)資源的系統(tǒng)功能的線程，來阻止訪問保護(hù)資源。
11．依照權(quán)利要求1至10的方法，其中一個被拒絕訪問一個保護(hù)資源的的線程的所有子線程也被拒絕訪問該保護(hù)資源。
12．依照權(quán)利要求1至10的方法，其中一個被拒絕互聯(lián)網(wǎng)行為的線程的所有子線程也被拒絕互聯(lián)網(wǎng)行為。
13．一種防止可執(zhí)行對象通過一個應(yīng)用程序進(jìn)行的不合要求行為的裝置，包括用于存儲多個應(yīng)用程序的網(wǎng)絡(luò)行為記錄的存儲器，還包括如果應(yīng)用程序先前展現(xiàn)互聯(lián)網(wǎng)行為并且不符合存取所述保護(hù)資源的條件拒絕同一應(yīng)用程序訪問一個保護(hù)資源的裝置。
14．一種防止可執(zhí)行對象通過一個應(yīng)用程序進(jìn)行的不合要求行為的裝置，包括用于存儲多個應(yīng)用程序的網(wǎng)絡(luò)行為記錄的存儲器，還包括如果有訪問需求時，所述應(yīng)用程序正在訪問一個保護(hù)資源，則拒絕該應(yīng)用程序或它的一個或多個線程的互聯(lián)網(wǎng)行為的裝置。
15．一種防止可執(zhí)行對象通過一個應(yīng)用程序進(jìn)行的不合要求行為的系統(tǒng)，包括一臺用于運(yùn)行一個或多個應(yīng)用程序的計算機(jī)，該計算機(jī)可以連接到互聯(lián)網(wǎng)，或內(nèi)聯(lián)網(wǎng)，或外聯(lián)網(wǎng)上，為該計算機(jī)提供了一個用于存儲多個應(yīng)用程序的互聯(lián)網(wǎng)行為的記錄的存儲器，還包括如果應(yīng)用程序先前展現(xiàn)互聯(lián)網(wǎng)行為并且不符合存取所述保護(hù)資源的條件則拒絕同一應(yīng)用程序訪問一個保護(hù)資源的裝置。
16．一種防止可執(zhí)行對象通過一個應(yīng)用程序進(jìn)行的不合要求行為的系統(tǒng)，包括一臺用于運(yùn)行一個或多個應(yīng)用程序的計算機(jī)，該計算機(jī)可以連接到互聯(lián)網(wǎng)，或內(nèi)聯(lián)網(wǎng)，或外聯(lián)網(wǎng)上，為該計算機(jī)提供了一個用于存儲多個應(yīng)用程序的互聯(lián)網(wǎng)行為的記錄的存儲器，還包括如果在互聯(lián)網(wǎng)行為時，所述應(yīng)用程序正在訪問一個保護(hù)資源，則拒絕該應(yīng)用程序或它的一個或多個線程的互聯(lián)網(wǎng)行為的裝置。
17．如同上述的描述和說明，一種防止可執(zhí)行對象通過一個應(yīng)用程序進(jìn)行的不合要求行為的方法。
全文摘要
一種用于防止可執(zhí)行對象通過一個應(yīng)用程序進(jìn)行的不合要求的行為的方法,該方法包括:如果一個應(yīng)用程序先前表現(xiàn)出互聯(lián)網(wǎng)行為并且不符合訪問一個保護(hù)資源的特定條件時,拒絕同一應(yīng)用程序,或其一個或多個線程對這一保護(hù)資源進(jìn)行訪問,如果有訪問需求時,應(yīng)用程序正在訪問一個保護(hù)資源,則拒絕該應(yīng)用程序或它的一個或多個線程的互聯(lián)網(wǎng)行為。表示網(wǎng)絡(luò)行為的事件被記錄到一個存儲器中。保持一個所有被保護(hù)資源的記錄,并且當(dāng)先前展現(xiàn)互聯(lián)網(wǎng)行為的一個應(yīng)用程序試圖訪問這樣一個保護(hù)資源時,拒絕訪問所述的保護(hù)資源,除非自上一次互聯(lián)網(wǎng)行為起,經(jīng)過一個預(yù)定的時間周期,或者在展現(xiàn)互聯(lián)網(wǎng)行為后,應(yīng)用程序已經(jīng)完成了預(yù)定數(shù)目的操作,或者滿足了另一個預(yù)置的條件。
文檔編號G06F21/22GK1323484SQ99812238
公開日2001年11月21日 申請日期1999年10月13日 優(yōu)先權(quán)日1998年10月15日
發(fā)明者D·埃爾格雷斯, F·本阿德雷特 申請人:電腦相關(guān)想象公司