專利名稱：識(shí)別和封鎖可執(zhí)行對(duì)象的方法和系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及計(jì)算機(jī)網(wǎng)絡(luò)的安全管理。更具體說(shuō)，本發(fā)明涉及防止在計(jì)算機(jī)網(wǎng)絡(luò)的工作站中下載和執(zhí)行不希望的可執(zhí)行對(duì)象。
當(dāng)隨著萬(wàn)維網(wǎng)的自然發(fā)展歷程而尋找一種能顯示更優(yōu)美、交互和活動(dòng)的網(wǎng)頁(yè)的努力開(kāi)始后，Sun微系統(tǒng)公司開(kāi)發(fā)了Java，這是一種能夠讓網(wǎng)站主人寫出一個(gè)程序的語(yǔ)言，這個(gè)程序是一系列命令，即網(wǎng)絡(luò)可執(zhí)行程序，它將在用戶不知情的情況下下載到用戶工作站并在他的工作站中的瀏覽器上執(zhí)行。這種可執(zhí)行程序用來(lái)，例如，在網(wǎng)絡(luò)沖浪者的屏幕上提供活動(dòng)圖象和別的圖形。這樣的可執(zhí)行程序有多種方法接觸用戶工作站的資源，而這將導(dǎo)致嚴(yán)重的安全問(wèn)題。雖然在Java語(yǔ)言中定義了若干保密級(jí)別，但是很快在該語(yǔ)言中發(fā)現(xiàn)了巨大的安全漏洞。
在Java被開(kāi)發(fā)之后，Microsoft(微軟)開(kāi)發(fā)了ActiveX，它是另一種網(wǎng)絡(luò)可執(zhí)行程序的格式，它也是下載到工作站中去的。ActiveX同樣具有相同類型的安全問(wèn)題。
因特網(wǎng)上充滿了“網(wǎng)絡(luò)可執(zhí)行程序”，它們可以在用戶經(jīng)過(guò)考慮或不知情的情況下下載到各單位的工作站中去。這些代碼一般含有無(wú)害的功能。盡管它們是安全的，但不一定符合各個(gè)單位中所要求的安全策略。
這種代碼一旦執(zhí)行時(shí)，它們可能會(huì)阻塞網(wǎng)絡(luò)，導(dǎo)致對(duì)局部的數(shù)據(jù)庫(kù)、工作站和服務(wù)器的可觀的不可逆轉(zhuǎn)的損害，或者導(dǎo)致對(duì)服務(wù)器／工作站的未經(jīng)授權(quán)的信息檢索。這樣的單元可以存在于Java應(yīng)用軟件、ActiveX部件、DLL和其它目標(biāo)代碼中，它們的使用正以無(wú)可比擬的速度在增長(zhǎng)。這些小程序的大多數(shù)是在未經(jīng)請(qǐng)求和未加控制的情況下下載到單位內(nèi)的。企業(yè)沒(méi)有辦法知道它們的存在和執(zhí)行，并且現(xiàn)在還沒(méi)有現(xiàn)成的系統(tǒng)來(lái)早期檢測(cè)和防止這些代碼得到執(zhí)行。
這個(gè)安全問(wèn)題部分地由瀏覽器的制造商加以解決，它們可以讓用戶不能使用可執(zhí)行程序。當(dāng)然這不是一個(gè)合理的解決辦法，因?yàn)樗械碾娮由虅?wù)和廣告是以使用可執(zhí)行程序?yàn)榛A(chǔ)的。這個(gè)安全問(wèn)題在一旦這種可執(zhí)行程序能夠接觸企業(yè)的服務(wù)器、數(shù)據(jù)庫(kù)和其它工作站時(shí)將會(huì)變得嚴(yán)重得多。
在1997年3月10日提交的共同待審查的專利申請(qǐng)IL 120420中，敘述了一種方法(即有選擇地防止在計(jì)算機(jī)中下載和執(zhí)行不需要的可執(zhí)行對(duì)象)，該申請(qǐng)?jiān)诖艘靡怨﹨⒖?，該方法包括以下步驟(a)提供一個(gè)或多個(gè)控制中心，每個(gè)都連接到一個(gè)或多個(gè)網(wǎng)關(guān)，每個(gè)網(wǎng)關(guān)為一個(gè)或多個(gè)最終用戶計(jì)算機(jī)服務(wù)；(b)提供一種連接到每個(gè)上述網(wǎng)關(guān)、用于檢測(cè)到達(dá)上述網(wǎng)關(guān)的可執(zhí)行對(duì)象、分析每個(gè)上述可執(zhí)行對(duì)象的標(biāo)題、和確定該可執(zhí)行對(duì)象需要使用的計(jì)算機(jī)資源的裝置；(c)提供一種連接到每個(gè)上述網(wǎng)關(guān)的裝置，用于存儲(chǔ)表示資源或資源組合的每個(gè)終端用戶計(jì)算機(jī)安全策略，這表示管理者允許或不允許在它的目的地內(nèi)使用可執(zhí)行對(duì)象，其中該安全策略是從每個(gè)上述的一個(gè)或多個(gè)控制中心收到和／或存儲(chǔ)于其中的；(d)當(dāng)在網(wǎng)關(guān)檢測(cè)到一個(gè)可執(zhí)行對(duì)象時(shí)1．分析該可執(zhí)行對(duì)象的標(biāo)題；2．確定該可執(zhí)行對(duì)象需要使用的計(jì)算機(jī)資源；3．將該可執(zhí)行對(duì)象需要使用的計(jì)算機(jī)資源與安全策略相比較以及(ⅰ) 如果該可執(zhí)行對(duì)象需要使用的計(jì)算機(jī)資源被包括在安全策略允許使用的資源清單之內(nèi)，就允許可執(zhí)行對(duì)象通過(guò)該網(wǎng)關(guān)并到達(dá)已經(jīng)起動(dòng)其下載操作的計(jì)算機(jī)；以及(ⅱ)如果該可執(zhí)行對(duì)象需要使用的計(jì)算機(jī)資源被包括在安全策略禁止使用的資源清單之內(nèi)，就防止可執(zhí)行對(duì)象通過(guò)該網(wǎng)關(guān)，從而防止它到達(dá)已經(jīng)起動(dòng)了下載操作的計(jì)算機(jī)上。
控制中心(CC)可以是一個(gè)中央控制單元，例如PC機(jī)或其它計(jì)算機(jī)，它連接到多個(gè)網(wǎng)關(guān)，它還更新含有相關(guān)數(shù)據(jù)(例如安全策略)的內(nèi)存裝置。一旦CC通過(guò)例如對(duì)安全策略增加另外的限制來(lái)實(shí)行更新時(shí)，所有的網(wǎng)關(guān)也立即得到更新。使用CC來(lái)控制網(wǎng)關(guān)的安全單元的操作消除了每次在策略作出改變時(shí)要更新每一個(gè)網(wǎng)關(guān)的需求(這在現(xiàn)有技術(shù)的系統(tǒng)中是存在的)。
LAN(局域網(wǎng))可以是(但并不限于)例如位于一個(gè)辦公室或一座建筑中的計(jì)算機(jī)網(wǎng)絡(luò)。LAN一般是通過(guò)一個(gè)或多個(gè)網(wǎng)關(guān)連接到外部的通信網(wǎng)絡(luò)(諸如萬(wàn)維網(wǎng))或者更為局限的LAN(例如客戶或供應(yīng)者的LAN)。單位越大，則為了使通信保持在合理的速度上，所用的網(wǎng)關(guān)的數(shù)量也越多。
一般說(shuō)來(lái)，LAN也可以由多個(gè)較小的LAN組成，它們?cè)诘乩砩峡康煤芙蛳嗷ミh(yuǎn)離，但是，即使在同一個(gè)單位內(nèi)建立了小型的LAN，安全要求也可能隨不同的部門而有不同變化，而且有可能要保持較高的安全級(jí)別，包括即使在同一單位內(nèi)也要防止可執(zhí)行程序從一個(gè)部門轉(zhuǎn)移到另一部門。
所述連接到每個(gè)上述網(wǎng)關(guān)、用于檢測(cè)到達(dá)上述網(wǎng)關(guān)的可執(zhí)行對(duì)象、分析每個(gè)上述可執(zhí)行對(duì)象的標(biāo)題、和確定可執(zhí)行對(duì)象需要使用的計(jì)算機(jī)資源的裝置可以是有許多不同類型的。一般說(shuō)來(lái)，可執(zhí)行對(duì)象是通過(guò)在通信線路上偵聽(tīng)TCP／IP協(xié)議、而且也偵聽(tīng)像SMTP、HTTP、FTP等目標(biāo)傳輸協(xié)議而在網(wǎng)關(guān)上被“捕捉”和分析的。和通信線路相連接和從可執(zhí)行對(duì)象中摘取標(biāo)題的內(nèi)容這樣的步驟是熟練技術(shù)人員都知道的，而且它們都可以用傳統(tǒng)的編程來(lái)實(shí)現(xiàn)，因此，為了簡(jiǎn)明起見(jiàn)，這里不再對(duì)它們作詳細(xì)說(shuō)明。
一旦可執(zhí)行對(duì)象(EO)經(jīng)過(guò)了分析，那么對(duì)EO需要使用的計(jì)算機(jī)資源和安全策略所作的比較就很容易完成，例如，把它們和由CC提供給網(wǎng)關(guān)的、代表其安全策略的查閱表相比較。比較可以針對(duì)存儲(chǔ)在CC中的數(shù)據(jù)來(lái)實(shí)施，在這種情況下，在網(wǎng)關(guān)中就可以不一定需要特定的存儲(chǔ)裝置和比較裝置。不過(guò)，在速度和性能方面的考慮通常將要求這些操作應(yīng)在網(wǎng)關(guān)本身內(nèi)實(shí)現(xiàn)。
現(xiàn)有技術(shù)的解決方案所提供的對(duì)通信的分析是通過(guò)單獨(dú)一個(gè)端口(即端口80)實(shí)現(xiàn)的，這個(gè)端口通常是用于網(wǎng)絡(luò)沖浪的端口。但是，現(xiàn)在已可通過(guò)除端口80以外的其它端口在網(wǎng)上沖浪，而按照當(dāng)前可以利用的技術(shù)，用戶的HTTP服務(wù)器不能工作在多個(gè)端口上。因此，如果有不止一個(gè)用戶同時(shí)使用一個(gè)網(wǎng)關(guān)，現(xiàn)有技術(shù)的系統(tǒng)將不能工作。因?yàn)樗鼈儾贿m宜于同時(shí)分析通過(guò)其它端口所發(fā)生的通信。
另外一個(gè)嚴(yán)重缺點(diǎn)是，當(dāng)按照現(xiàn)有技術(shù)的方法操作時(shí)，需要一個(gè)極其強(qiáng)大的HTTP服務(wù)器來(lái)為多個(gè)用戶服務(wù)。
迄今為止這種技術(shù)還未能提供一個(gè)有效的方法來(lái)處理EO，這種有效的方法和所用的端口無(wú)關(guān)，而且它也不需要去建立一個(gè)特別強(qiáng)大的服務(wù)器。因此很清楚，需要這樣的解決方法，特別是考慮到許多單位正在不斷增加對(duì)網(wǎng)絡(luò)的使用。
本發(fā)明的另一目的是提供這樣一種方法，它易于實(shí)現(xiàn)并且不需要明顯改變硬件。
本發(fā)明的再一個(gè)目的是提供一種方法，它允許“在飛行中”(onthe fly)分析可執(zhí)行程序，并且不會(huì)影響無(wú)害的可執(zhí)行程序的下載和操作。
本發(fā)明另外有一個(gè)目的是提供實(shí)現(xiàn)本發(fā)明的方法的設(shè)備。
本發(fā)明的其它優(yōu)點(diǎn)和目的將隨著說(shuō)明的深入而更加明顯。
本發(fā)明主要是針對(duì)一種處理可執(zhí)行對(duì)象的方法，包括(a)提供分析裝置，它能夠?qū)υ跒g覽器和網(wǎng)上的HTTP服務(wù)器之間的通信線路上發(fā)送的數(shù)據(jù)分組進(jìn)行無(wú)干擾的分析，所說(shuō)的通信線路是通過(guò)網(wǎng)關(guān)而建立的；(b)分析在上述瀏覽器和上述服務(wù)器之間的聯(lián)絡(luò)信號(hào)，以檢測(cè)由用戶送出的“GET_”命令和由上述服務(wù)器作出響應(yīng)而送出的HTTP代碼。
(c)當(dāng)檢測(cè)到這樣的HTTP代碼時(shí)，分析由上述服務(wù)器發(fā)送給上述瀏覽器的數(shù)據(jù)分組，其過(guò)程為(1)提供排序裝置以便把收到的無(wú)順序的數(shù)據(jù)分組排序，然后把它們以順序的方式轉(zhuǎn)發(fā)給標(biāo)題檢查裝置；(2)檢查數(shù)據(jù)分組以便分析可執(zhí)行對(duì)象的標(biāo)題的內(nèi)容，并識(shí)別它所需要使用的系統(tǒng)資源；(3)將表示可執(zhí)行對(duì)象所需要使用的系統(tǒng)資源的數(shù)據(jù)發(fā)送給上述網(wǎng)關(guān)；以及(4)提供連接到上述網(wǎng)關(guān)的數(shù)據(jù)分組封鎖裝置，使得如果按照由管理者設(shè)置的安全策略不允許使用可執(zhí)行對(duì)象所需要使用的系統(tǒng)資源時(shí)，至少一個(gè)屬于可執(zhí)行對(duì)象的數(shù)據(jù)分組被封鎖、改變或損壞，從而防止它被瀏覽器所執(zhí)行。
按照本發(fā)明的優(yōu)選實(shí)施例，這個(gè)方法還包括識(shí)別通過(guò)網(wǎng)關(guān)進(jìn)行通信的用戶和上述用戶所連接的服務(wù)器，并且把所有的活動(dòng)和分析都與上述用戶相聯(lián)系。這個(gè)步驟在有不止一個(gè)用戶同時(shí)經(jīng)過(guò)網(wǎng)關(guān)而連接時(shí)是必要的。這樣，多個(gè)用戶連接到多個(gè)服務(wù)器。因此，就有必要在某個(gè)用戶向某一特定服務(wù)器請(qǐng)求特定的可執(zhí)行對(duì)象的情況下跟蹤該特定用戶，以便正確地處理從任何個(gè)別服務(wù)器發(fā)來(lái)的在網(wǎng)關(guān)收到的分組。
在本發(fā)明的另一個(gè)優(yōu)選實(shí)施例中，這個(gè)方法還包括在存儲(chǔ)裝置中存入表示被分析的可執(zhí)行對(duì)象的校驗(yàn)和，與其一起存放的還有表示任何這樣的可執(zhí)行對(duì)象是否符合安全策略的值，并且在分析它之前或分析它的同時(shí)，針對(duì)該存放的值檢查任何進(jìn)入的可執(zhí)行對(duì)象，以此來(lái)丟棄任何被判定為不符合安全策略的可執(zhí)行對(duì)象，而讓被判定為遵守安全策略的可執(zhí)行對(duì)象通過(guò)網(wǎng)關(guān)而到達(dá)用戶。對(duì)于熟練的人員來(lái)說(shuō)將會(huì)很明顯，即這個(gè)過(guò)程可以使對(duì)可執(zhí)行對(duì)象的分析變得流線化并得到加速，因?yàn)轵?yàn)證校驗(yàn)和是一種要比完整地分析EO的標(biāo)題的過(guò)程更為快捷和更為簡(jiǎn)單的過(guò)程。
優(yōu)選實(shí)施例的詳細(xì)說(shuō)明本發(fā)明的方法現(xiàn)在將參考它的優(yōu)選實(shí)施例而加以說(shuō)明。在

圖1中表示了典型的情況，在該圖中，瀏覽器BR(運(yùn)行在最終用戶的計(jì)算機(jī)上)通過(guò)網(wǎng)關(guān)GW而連接到網(wǎng)絡(luò)上。在圖1中為了簡(jiǎn)單起見(jiàn)，只顯示了一個(gè)瀏覽器，而實(shí)際上網(wǎng)關(guān)GW當(dāng)然是設(shè)計(jì)來(lái)為多個(gè)瀏覽器服務(wù)的。與此相似，顯示的網(wǎng)關(guān)GW也是只連接到網(wǎng)(表示為“WEB”)上的一個(gè)HTTP服務(wù)器，當(dāng)然它可以連接到網(wǎng)上的多個(gè)服務(wù)器，而且其連接不是點(diǎn)到點(diǎn)的連接。
按照本發(fā)明的優(yōu)選實(shí)施例，還提供了分析裝置L，它在一端連接到通信線路，而另一端則連接到網(wǎng)關(guān)。分析裝置L是個(gè)被動(dòng)裝置，它只能“偵聽(tīng)”在瀏覽器BR和服務(wù)器WEB之間的在線路上發(fā)生的交談。另外L還能夠向網(wǎng)關(guān)GW發(fā)出一個(gè)信號(hào)。
瀏覽器和HTTP服務(wù)器之間的數(shù)據(jù)通信是以小型分組進(jìn)行的，它們的綜合構(gòu)成了一個(gè)整體，這可以是也可以不是可執(zhí)行對(duì)象。分組并不一定要按順序發(fā)送，這一事實(shí)使它更加難于分析它們。從WEB到BR的分組發(fā)送是瀏覽器和HTTP服務(wù)器之間所實(shí)施的信號(hào)交換的結(jié)果?？蓤?zhí)行對(duì)象的下載是用戶送出一個(gè)含有“GET_”命令的消息的結(jié)果，這個(gè)命令在信號(hào)交換中由HTTP服務(wù)器回送，作為響應(yīng)，該HTPP服務(wù)器在所請(qǐng)求的EO前送出一個(gè)HTTP代碼。
這樣，根據(jù)本發(fā)明，在識(shí)別所發(fā)送的數(shù)據(jù)是否為潛在有害的可執(zhí)行對(duì)象的過(guò)程中的第一步是分析由HTTP服務(wù)器(WEB)發(fā)送的開(kāi)頭4個(gè)字節(jié)，并確定它們是否含有采用HTTP代碼形式、對(duì)由用戶送出的“GET_”命令的回答。如果有，那么，發(fā)送出的字串的剩余部分也必須進(jìn)行分析以確定它是否含有Java應(yīng)用程序或其它不需要的EO。對(duì)分組進(jìn)行處理的方法將在下面進(jìn)一步說(shuō)明。
如果像上面討論的那樣，分析裝置L確定了涉及到可執(zhí)行對(duì)象，那么必須對(duì)EO的標(biāo)題作分析以檢查它和由用戶所規(guī)定的安全策略的一致性。這里必須再次強(qiáng)調(diào)，分析裝置L只是“偵聽(tīng)”而并不干擾字串的發(fā)送。
分析裝置包括不同的功能元件。在第一部分，收到的分組被存儲(chǔ)并按順序排列，以便讓它的標(biāo)題能得到分析。在圖2中具有原理性的表示，其中可以看出分析裝置L包括排序裝置OM，它在分組被發(fā)送時(shí)接收它們，把它們排序并把它們以正確的次序傳送。例如在圖中的例子中可以看到，已經(jīng)發(fā)送了6個(gè)分組，其次序?yàn)?、1、3、8、5、10。分組1、2、3被排成順序并送往檢查器CH，但是由于分組4還沒(méi)有發(fā)送所以剩余的分組(5、8、10)仍保存在OM中，一直到它們能被釋放為止。分組5只有在分組4到達(dá)以后才能釋放。而分組8則僅在分組6和7到達(dá)后才能釋放，以此類推。這里應(yīng)該再次強(qiáng)調(diào)，這種在OM中發(fā)生的延遲并不影響在瀏覽器BR和HTTP服務(wù)器WEB之間所發(fā)生的事務(wù)處理，所有的分組都會(huì)以它們未經(jīng)排序的次序正常發(fā)送。但是，本發(fā)明利用這樣一個(gè)事實(shí)，即使分組仍在繼續(xù)發(fā)送，但如果有一個(gè)分組丟失或損壞，那么EO就不能工作。因此，當(dāng)網(wǎng)關(guān)一旦確實(shí)從檢查器收到一個(gè)信號(hào)，表明EO的標(biāo)題中含有按照它的安全策略應(yīng)該被禁止的命令，那么網(wǎng)關(guān)所關(guān)心的只是封鎖或損壞一個(gè)分組就已足夠。這樣，按照本發(fā)明，數(shù)據(jù)的發(fā)送是不受干擾的，分組的分析是在無(wú)干擾的方式下進(jìn)行的，而且發(fā)送只是受到是否希望防止EO在最終用戶的計(jì)算機(jī)上運(yùn)行的影響。本發(fā)明的方法的另一個(gè)優(yōu)點(diǎn)是，需要作分。析的只是在其前面帶有對(duì)“GET_”命令的回答的數(shù)據(jù)，而且任何需要分析的字串只要達(dá)到能夠確定它并不含有不需要的EO的那一點(diǎn)就可以了。
如上所述，按照本發(fā)明的優(yōu)選實(shí)施例，如果可執(zhí)行對(duì)象需要使用的計(jì)算機(jī)資源包含在安會(huì)策略允許使用的資源清單之內(nèi)，那么系統(tǒng)就不必采取任何步驟來(lái)防止可執(zhí)行對(duì)象經(jīng)過(guò)網(wǎng)關(guān)而到達(dá)啟動(dòng)其下載的計(jì)算機(jī)。但是，如果可執(zhí)行對(duì)象需要使用的計(jì)算機(jī)資源包含在被安全策略禁止使用的資源清單之內(nèi)，那么將采取措施來(lái)防止可執(zhí)行對(duì)象通過(guò)網(wǎng)關(guān)。這樣的措施可以包括，例如，刪除EO的一個(gè)分組，或者竄改它的一部分，從而使它不能工作，等等。
本發(fā)明并不局限于任何特定的EO。不過(guò)，按照本發(fā)明的優(yōu)選實(shí)施例，尤其希望進(jìn)行分析的EO包括Java應(yīng)用程序、ActiveX、OCX、Win32可執(zhí)行程序、DLL，以及其它類似可執(zhí)行對(duì)象。但是，對(duì)于熟悉的人員而言，很明顯，EO是在不斷發(fā)展的，本發(fā)明的意圖決不限制在使用于特定的EO，并且EO的實(shí)際性質(zhì)并不是關(guān)鍵性的重要問(wèn)題。
優(yōu)選實(shí)施例的所有上述說(shuō)明都是作為實(shí)例而提供的，它并不用來(lái)以任何方式限制本發(fā)明，本發(fā)明只由權(quán)利要求所限定。本發(fā)明可以實(shí)現(xiàn)許多修改。例如，可以監(jiān)控多種不同的可執(zhí)行對(duì)象，可以應(yīng)用不同的排序裝置和分析裝置，同樣也可以有不同的標(biāo)題分析方法，所有這些都不超出本發(fā)明的范圍。
權(quán)利要求
1．處理可執(zhí)行對(duì)象的一種方法，包括(a)提供分析裝置，它能夠?qū)υ跒g覽器和網(wǎng)上的HTTP服務(wù)器之間的通信線路上發(fā)送的數(shù)據(jù)分組進(jìn)行無(wú)干擾的分析，所說(shuō)的通信線路是通過(guò)網(wǎng)關(guān)而建立的；(b)分析在上述瀏覽器和上述服務(wù)器之間的聯(lián)絡(luò)信號(hào)，以檢測(cè)由用戶送出的“GET_”命令和由上述服務(wù)器作出響應(yīng)而送出的HTTP代碼；(c)當(dāng)檢測(cè)到這樣的HTTP代碼時(shí)，分析由上述服務(wù)器發(fā)送給上述瀏覽器的數(shù)據(jù)分組，其過(guò)程為(1)提供排序裝置以便把收到的無(wú)順序的數(shù)據(jù)分組排序，然后把它們以順序的方式轉(zhuǎn)發(fā)給標(biāo)題檢查裝置；(2)檢查數(shù)據(jù)分組以便分析可執(zhí)行對(duì)象的標(biāo)題的內(nèi)容，并識(shí)別它所需要使用的系統(tǒng)資源；(3)將表示可執(zhí)行對(duì)象所需要使用的系統(tǒng)資源的數(shù)據(jù)發(fā)送給上述網(wǎng)關(guān)；以及(4)提供連接到上述網(wǎng)關(guān)的數(shù)據(jù)分組封鎖裝置，使得如果按照由管理者設(shè)置的安全策略不允許使用可執(zhí)行對(duì)象所需要使用的系統(tǒng)資源時(shí)，至少一個(gè)屬于可執(zhí)行對(duì)象的數(shù)據(jù)分組被封鎖、改變或損壞，從而防止它被瀏覽器所執(zhí)行。
2．按照權(quán)利要求1的方法，其特征在于還包括識(shí)別通過(guò)網(wǎng)關(guān)進(jìn)行通信的用戶和上述用戶所連接的服務(wù)器，并且把所有的活動(dòng)和分析都和上述用戶相聯(lián)系。
3．按照權(quán)利要求1和2的方法，其特征在于還包括在存儲(chǔ)裝置中存入表示被分析的可執(zhí)行對(duì)象的校驗(yàn)和，與其一起存放的還有表示任何這樣的可執(zhí)行對(duì)象是否符合安全策略的值，并且在分析它之前針對(duì)該存放的值去檢查任何進(jìn)入的可執(zhí)行對(duì)象，以此來(lái)丟棄任何被判定為不符合安全策略的可執(zhí)行對(duì)象，而讓被判定為遵守安全策略的可執(zhí)行對(duì)象通過(guò)網(wǎng)關(guān)而到達(dá)用戶。
4．一種用于實(shí)質(zhì)上如上說(shuō)明和示例的處理可執(zhí)行對(duì)象的方法。
全文摘要
處理可執(zhí)行對(duì)象的一種方法,包括:(a)提供分析裝置,它能夠?qū)υ跒g覽器和網(wǎng)上的HTTP服務(wù)器之間的通信線路上發(fā)送的數(shù)據(jù)分組進(jìn)行無(wú)干擾的分析,所說(shuō)的通信線路是通過(guò)網(wǎng)關(guān)而建立的;(b)分析在上述瀏覽器和上述服務(wù)器之間的聯(lián)絡(luò)信號(hào),以檢測(cè)由用戶送出的“GET”命令和由上述服務(wù)器作出響應(yīng)而送出的HTTP代碼,(c)當(dāng)檢測(cè)到這樣的HTTP代碼時(shí),分析由上述服務(wù)器發(fā)送給上述瀏覽器的數(shù)據(jù)分組,其過(guò)程為:(c.1)提供排序裝置以便把收到的無(wú)順序的數(shù)據(jù)分組排序,然后把它們以順序的方式轉(zhuǎn)發(fā)給標(biāo)題檢查裝置;(c.2)檢查數(shù)據(jù)分組以便分析可執(zhí)行對(duì)象的標(biāo)題的內(nèi)容并識(shí)別它所需要使用的系統(tǒng)資源;(c.3)將表示可執(zhí)行對(duì)象所需要使用的系統(tǒng)資源的數(shù)據(jù)發(fā)送給上述網(wǎng)關(guān);(c.4)提供連接到上述網(wǎng)關(guān)的數(shù)據(jù)分組封鎖裝置,使得如果按照管理者設(shè)置的安全策略不允許使用可執(zhí)行對(duì)象所需要使用的系統(tǒng)資源時(shí),至少一個(gè)屬于可執(zhí)行對(duì)象的數(shù)據(jù)分組被封鎖、改變或損壞,從而防止它被瀏覽器所執(zhí)行。
文檔編號(hào)H04L29/08GK1279856SQ98811413
公開(kāi)日2001年1月10日 申請(qǐng)日期1998年2月23日 優(yōu)先權(quán)日1997年9月22日
發(fā)明者D·埃爾格雷斯, A·喬斯佩 申請(qǐng)人:保安-7(軟件)有限公司