]其中，所述审计管理模块:对安全区内的事件进行审计并记录日志，用户设定安全日志是否上传；若用户选择不上传，则安全区设定一定的日志保留范围，滚动覆盖旧日志。
[0046]其中，所述访问管理模块:基于策略管理模块的安全策略和信任管理模块的信任链实现应用运行间通信及内容访问的动态访问控制。
[0047]其中，所述策略管理模块:对安全区的安全策略进行设置、管理，包括安全区与普通区的切换策略、安全等级设定。
[0048]其中，所述隔离区管理模块:实现安全区的整体管理，技术上实现安全区与普通区的隔离，并提供安全区应用的运行环境。
[0049]其中，所述加密管理模块:实现安全区内的内容(应用、文件、数据)的加密、解密功會K。
[0050]其中，所述应用管理模块:实现安全区的管理功能，包括应用安装、卸载。
[0051]其中，所述信任管理模块:实现安全区内的第三方应用、系统应用及环境的信任管理。
[0052]其中，所述安全验证指生物特征识别。
[0053]其中，所述移动终端还具有生物特征识别模块，该生物特征识别模块设于安全区的前端。
[0054]其中，当用户试图进入安全区时首先进入到生物特征识别模块，通过验证后方可进入安全区。
[0055]上述任一种具有安全区的移动终端，其中，所述生物特征识别包括人脸识别、虹膜识别、指纹识别、DNA识别和/或静脉识别。
[0056]上述任一种具有安全区的移动终端，其中，所述生物特征识别包括生物特征初始化和生物特征识别认证两部分。
[0057]其中，所述生物特征初始化主要包括如下步骤:
511、用户第一次进入时或成功登陆后，启动生物特征初始化操作；
512、采集用户的生物特征信息；
513、基于步骤S12提取用户生物特征信息，并建立用户生物特征模型；
514、将步骤S13的用户生物特征及模板数据存储。
[0058]其中，所述生物特征识别认证主要包括如下步骤:
521、用户欲访问安全区时，启动生物特征识别认证；
522、即时采集用户的生物特征信息；
523、基于步骤S22提取用户生物特征信息，并建立用户生物特征模型；
524、将步骤S23的用户生物特征信息及模板与初始化时保存的生物特征信息进行比对；
525、经过步骤S24的比对，如果识别通过，则提示用户认证成功并进入安全区；如果识别失败，则提示用户识别失败，用户可以选择继续尝试识别或退回到普通用户区域。
[0059]一种如前述的任一种具有安全区的移动终端的应用方法，其中，在安全区内建立信任链，并基于信任链实现应用和数据的运行访问管理。
[0060]其中，纵向看，自下至上，从底层、内核层、框架层、应用层四个层次依次建立自下而上的信任关系。
[0061]其中，横向看，同处于安全区的应用之间依据其在信任链中的位置、层级及安全策略设定进行相互访问；处于安全区外部的应用因没有信任链而无法访问安全区内的应用和数据。
[0062]其中，所述具有安全区的移动终端的应用方法的具体步骤包括:启动阶段，首先安全区通过与系统内核进行协同校验，安全校验通过后加载最底层的安全程序；接下来启动处于内核层的安全区程序，启动前底层程序对内核层程序进行安全校验，通过后方可启动；接下来逐层进行启动前的安全校验，最终保障整个安全区系统的安全性。
[0063]一种安全区系统，其包括:
具有安全区的移动终端，包括前述的任一种具有安全区的移动终端；
云安全管理平台，在移动终端的安全区、移动终端的系统内核及云安全管理平台之间进行相互协同互锁，以此确保安全区运行在一个安全可信的环境，且安全区自身是安全的。
[0064]其中，基于移动终端的安全区、移动终端的系统内核、云安全管理平台的相互校验，建立安全根来作为安全区系统的安全信任的基础(该安全根作为安全信任的基础，可以是硬件的一个参数或数字证书等)。
[0065]—种如前述的任一种安全区系统的应用方法，其基于安全根自下而上建立信任链，进而实现整个安全区系统的运行安全。
[0066]所述的安全区系统的应用方法，其具体步骤包括:启动阶段，首先安全区通过与系统内核及云安全管理平台进行协同校验，安全校验通过后加载最底层的安全程序；接下来启动处于内核层的安全区程序，启动前底层程序对内核层程序进行安全校验，通过后方可启动；接下来逐层进行启动前的安全校验，最终保障整个安全区系统的安全性。
[0067]本方案则基于生物特征识别和安全区相结合的方式来保护应用和数据。首先，将待保护的应用和数据放入到安全区中，在安全区中将提供加密等基础防护服务。其次，用户进入安全区的方式为某一种或几种相结合的生物特征识别。用户通过生物特征识别后，才能进入安全区，进而访问受保护的应用和数据。
[0068]本方案通过安全区和生物特征识别技术相结合，既可以实现对应用的主动隔离防护，又使进入安全区的登陆与天然明显的个人生物属性相关联，避免了设置的密码、图形被泄露、遗忘等问题。
【附图说明】
[0069]图1是本发明一个实施例的具有安全区的移动终端的系统架构示意图；
图2是本发明一个实施例的安全区系统的整体架构示意图；
图3是本发明一个实施例的具有安全区的移动终端系统架构示意图；
图4是本发明一个实施例的具有安全区的移动终端中的生物特征识别模块示意图。
【具体实施方式】
[0070]下面结合具体实施例对本发明作进一步的详细描述。但不应将此理解为对本发明上述主题的范围仅限于以下的实施例，凡基于本
【发明内容】
所实现的技术均属于本发明的范围。
[0071]本发明提供一种基于隔离区的移动终端安全防护方法，其主要是在移动终端上隔离出一个单独的区域作为安全区，再将需要保护的应用/数据放于该安全区中，而使用者需要经过安全验证后方能够访问该安全区中的应用和/或数据。如此，可以实现一机两用，既保证了普通区域中的应用的正常使用，也对安全区中的应用提供了更高的安全防护，解决了一些特定应用和数据的可信、可管、可控以及数据防泄露的问题。显著提高了移动终端的安全性。
[0072]在移动终端上隔离出安全区域可根据具体实施需要不同采取不同的方式在不同的层次上进行实现。既可以在移动终端上物理地划分出一个单独的区域作为安全区，也可以在移动终端上通过软件的方式逻辑上划分出一个安全区。同时，安全区既可以工作在移动终端的最底层的硬件层，也可以工作在最上层的应用层。
[0073]如图1所示，在移动终端的硬件层隔离出一个物理的区域作为安全区的最底层，并且安全区深入到Linux内核层，与内核形成相互校验并确保系统级的环境安全。而安全区的上层则与Android运行环境及系统框架进行交互，以对应用运行环境进行控制和保护。如此，本实施例的移动终端，其安全区通过自底层内核至Android系统框架的交互与互动，并通过将安全区模块以松耦合的方式注入移动终端系统，实现系统级的移动终端安全区环境。
[0074]我们可以将需要保护的应用程序放入安全区内，在安全区实时保护，以防止信息泄露等事件的发生。
[0075]在具体应用时，可以通过下列方式实现安全区的进一步防护。
[0076]首先，可以对安全区中的内容进行加密(例如通过图1中加密管理模块)，加密算法可采用标准加密算法，例如AES (128，196，256)。加密内容优选为包括应用、数据以及应用间的消息。
[0077]其次，可以基于安全区为移动终端提供一个安全的应用运行环境。例如，可以如图2所示基于安全云平台，对应用运行实时监测和安全管理，对应用进程间的通信提供安全保护，防止对安全区的非法注入。也可以如图1所示通过底层安全监测模块构建一个安全运行环境，通过图1中的设备管理模块、接入管理模块、秘钥管理模块、审计管理模块、策略管理模块及信任管理模块对应用运行实时监测和安全管理，对应用进程间的通信提供安全保护，防止对安全区的非法注入。
[0078]同时，还可以通过图1中的访问管理模块和隔离区管理模块实现安全区外部的第三方应用无法访问安全区，实现访问隔离。
[0079]最后，安全区还可以通过图1中的应用管理模块实现支持应用的安装、运行、升级、卸载的全生命周期安全管理。
[0080]为了进一步提高对安全区的安全防护，本发明基于隔离区的移动终端安全防护方法的一个实施例中，通过生物特征识别进行所述安全验证。只有通过生物特征识别验证之后，才能实现对安全区的访问。所述生物特征识别可以是人脸识别、虹膜识别、指纹识别、DNA识别和静脉识别中的任一种或任几种或全部。
[0081]以人脸识别为例，包括人脸初始化和人脸识别。用户第一次使用此功能时将用户的人脸信息捕捉并记录到移动终端中，建立用户的人脸基础信息，实现人脸初始化操作。当用户后续试图进入时，则启动人脸识别功能，将获取并提出的人脸特征与建模的人脸特征值进行比对，比对成功后，则启动安全区功能；比对识别后，如果提示用户失败，用户可以选择继续识别或退出此功能回到用户普通区。
[0082]具体的，人脸识别可以细分为人脸捕捉、人脸特征识别、人脸建模、特征比对、特征模板保存、认证管理等。
[0083]其中，人脸信息初始化主要流程为:
1、用户第一次进入或成功登