在外部设备与主机设备间提供数据和设备安全的系统和方法

专利名称：在外部设备与主机设备间提供数据和设备安全的系统和方法
技术领域：
本发明总地涉及计算机安全，更具体地提供了在外部设备与主机设备 间提供数据和设备安全的系统和方法。
背景技术：
因特网是政府、大学、非营利组织、公司和个人所拥有的数百万单个 计算机网络的互连。虽然因特网是有价值信息和娱乐的极佳来源，但是因 特网也变成了诸如"病毒"、"间谍程序"、"广告程序"、"蠕虫"、 "特洛伊木马"和其他恶意代码之类的系统破坏代码和系统致命应用代码 的主要来源。
为了保护用户，程序员设计出用于防止恶意代码攻击个人计算机和网 络计算机两者的计算机安全系统和计算机网络安全系统。就绝大部分而 言，网络安全系统已经相对成功。从企业网内部连接到因特网的计算机通 常具有两道防线。第一道防线包括可以作为网络网关的一部分的网络安全 系统，其包括防火墙、防病毒、防间谍软件和内容过滤。第二道防线包括 单机上的单机安全软件，其通常不如网络安全系统一样安全并且更容易遭 受攻击。组合起来，第一和第二道防线一起提供极佳的安全保护。然而， 当设备连接到因特网而没有居间的网络安全系统时，设备失去其第一道防 线。因此，在企业网外部移动的移动设备(例如，笔记本、台式计算机、
诸如RIM的黑莓之类的PDA、蜂窝电话、任何连接到因特网的无线设 备，等等)更容易遭受攻击。
图1图示出现有技术的示例网络系统100。网络系统100包括各自耦 合到企业内联网115的台式计算机105和移动设备110。内联网115经由 网络安全系统120 (其可以是企业网关的一部分)耦合到不受信任的因特 网130。因此，台式计算机105和移动设备IIO经由网络安全系统120而访问因特网130。安全管理器125通常管理网络安全系统120以确保其包 括最新的安全保护并从而确保保护台式计算机105和移动设备110免受恶 意代码。分界线135将受信任的企业140和不受信任的公共因特网130隔 开。因为台式计算机105和移动设备UO经由网络安全系统120而连接到 因特网130，因此两者都具有抵御来自因特网130的恶意代码的两道防线 (即，网络安全系统120和驻留于设备本身上的安全软件)。当然，虽然 是受信任的，但是内联网115也可以是恶意代码的来源。
图2图示出当移动设备110己经移动到受信任的企业140之外并且重 新连接到不受信任的因特网130时的现有技术的示例网络系统200。或许 当用户在移动时携带移动设备110并且在咖啡馆、旅馆处或者经由任何不 受信任的有线或无线连接而连接到因特网时，这种情况可能会发生。因 此，如图所示，移动设备110不再受第一道防线(受网络安全系统120) 保护并且因而已经增大了其接收恶意代码的风险。另外，通过将移动设备 110的实体带回受信任的企业140并且从受信任的企业140内部进行重新 连接，移动设备110冒着将所接收的任何恶意代码传送到内联网115的风 险。
随着移动设备数目和攻击数目的增长，移动安全变得愈发重要。该问 题近来在2005年12月7日至8日纽约的信息安全会议中得到强调。但是 未给出完整的解决方案。
类似地，当主机设备连接到诸如USB闪存盘、iPod、外部硬盘等的外 部设备时，两方设备都容易接收到恶意代码或者传送私有数据。图11图 示出示例现有技术数据交换系统1100，其包括主机计算机(主机)1105 和外部设备1110。主机1105包括诸如USB端口之类的用于接纳外部设备 1110的外部设备(ED)端口 1115。主机1105还包括用于执行枚举和使能 外部设备1110与主机1105之间的通信的ED驱动程序1120。外部设备 1110包括诸如USB插头之类的用于与ED端口 1115通信的ED插头。主 机1105和外部设备1110两者都容易收到恶意代码或者传送私有数据。
因此，需要向主机和外部设备提供安全的系统和方法。

发明内容
根据一个实施例，本发明提供了一种安全设备，包括外部设备插头，用于与主机可通信地耦合；外部设备端口，用于与外部设备可通信地耦合；处理器；以及存储操作系统、用于控制与所述外部设备的通信的外部设备驱动程序、以及用于对所述外部设备与所述主机之间的数据传送请求实施安全策略的安全引擎的存储器。所述安全设备可与所述主机上的驱动程序一起操作。所述外部设备插头和所述外部设备端口中的至少一个可以遵循USB标准。所述外部设备插头和所述外部设备端口中的至少一个可以包括无线连接。所述安全引擎可以保护免受病毒、间谍软件和广告软件中的至少一种的传送。所述安全引擎可以保护免受私有数据的未经授权的传送。
根据一个实施例，本发明提供了一种安全数据交换系统，包括包括第一外部设备插头、以及用于对从主机接收到的数据传送请求实施安全策略的安全引擎的安全设备；包括第二外部设备插头的外部设备；以及包括用于与所述第一外部设备插头可通信地耦合的第一外部设备端口、用于与所述第二外部设备插头可通信地耦合的第二外部设备端口、以及用于在执行来自所述主机的数据传送请求之前将该数据传送请求传送到所述安全设备的重定向驱动程序的主机。所述外部设备可以包括USB驱动器。所述外部设备可以包括PDA或者蜂窝电话之一。所述主机包括笔记本、台式计算机、PDA或者蜂窝电话之一。所述主机可以在检测到所述安全设备连接到所述主机时启动所述重定向驱动程序。
根据一个实施例，本发明提供了一种方法，包括将安全设备可通信地耦合到主机；将外部设备可通信地耦合到所述安全设备；通过所述外部设备接收来自所述主机的数据传送请求；以及在允许执行所述数据传送请求之前，通过所述安全设备对所述数据传送请求实施安全策略。将安全设备可通信地耦合到主机的步骤可以包括使用有线或者无线连接。将外部设备可通信地耦合到主机的步骤可以包括使用有线或者无线连接。所述数据传送请求可以包括将数据从所述主机传送到所述外部设备的请求。所述数据传送请求可以包括将数据从所述外部设备传送到所述主机的请求。实施步骤可以包括针对病毒、间谍软件和广告软件中的至少一种来检阅正在传送的数据。实施步骤可以包括确定所述数据传送请求是否包括对私有数据的请求。实施步骤可以包括在允许传送私有数据之前请求进行额外的安全检査。
根据一个实施例，本发明提供了一种方法，包括将安全设备可通信地耦合到主机；将外部设备可通信地耦合到所述主机；通过所述主机接收数据传送请求；使用所述主机上的重定向驱动程序来将所述数据传送请求重定向到所述安全设备；以及在允许执行所述数据传送请求之前，通过所述安全设备对所述数据传送请求实施安全策略。将安全设备可通信地耦合到主机的步骤可以包括使用有线或者无线连接。将外部设备可通信地耦合到主机的步骤可以包括使用有线或者无线连接。所述数据传送请求可以包括将数据从所述主机传送到所述外部设备的请求。所述数据传送请求可以包括将数据从所述外部设备传送到所述主机的请求。实施步骤可以包括针对病毒、间谍软件和广告软件中的至少一种来检阅正在传送的数据。实施步骤可以包括确定所述数据传送请求是否包括对私有数据的请求。实施步骤可以包括在允许传送私有数据之前请求进行额外的安全检査。


图1是现有技术的网络系统在第一状态下的框图。图2是现有技术的网络系统在第二状态下的框图。图3是根据本发明一实施例的网络系统的框图。图4是图示出根据本发明一实施例的计算机系统细节的框图。图5是图示出根据本发明一实施例的移动安全系统细节的框图。图6是图示出根据微软Window实施例的移动安全系统细节的框图。图7是图示出根据本发明一实施例的智能策略更新系统细节的框图。图8是图示出与OSI层有关的网络安全措施细节的框图。图9是图示出用于将安全代码散发给移动安全系统的通信技术细节的框图。
图10A-10C是图示出根据本发明各实施例用于将移动设备连接到移动
8安全系统的各体系结构的框图。
图11是图示出现有技术的数据交换系统的框图。
图12是图示出根据本发明一实施例的安全数据交换系统的框图。图13是图示出根据本发明一实施例的安全设备细节的框图。图14是图示出根据本发明一实施例的安全系统细节的框图。图15是图示出根据本发明另一实施例的安全数据交换系统的框图。图16是图示出根据本发明一实施例的主机与外部设备间的安全数据交换方法的流程图。
具体实施例方式
以下描述是为了使得本领域任何技术人员能够作出和使用本发明而提供的，并且是在特定应用和其要求的环境下提供的。在不脱离本发明精神和范围的情况下，对实施例的各种修改对本领域技术人员而言是可能的，并且在此定义的一般原理可被应用于这些以及其他实施例和应用。因此，本发明并非旨在限于所示实施例，而是将符合与在此公开的原理、特征和教导相一致的最广范围。
本发明的一个实施例使用一部小型硬件，该部硬件连接到移动设备并且滤除攻击和恶意代码。该部硬件可被称作"移动安全系统"或者"个人安全装置"。利用该移动安全系统，移动设备可以受到其所关联于的公司/企业所提供的相同水平安全以及更高安全的保护。
图3图示出根据本发明一实施例的网络系统300。网络系统300包括台式计算机305、第一移动设备310a和第二移动设备310b。第一移动设备310a被图示为此时位于企业网340内并且经由移动安全系统345a耦合到企业的内联网315。台式计算机305和第二移动设备310b也位于企业网340内但是在该实施例中在没有诸如移动安全系统345b之类的居间移动安全系统345的情况下耦合到内联网315。内联网315经由网络安全系统320 (其可以是企业网关的一部分)而耦合到不受信任的因特网330。因此，第一移动设备310a、第二移动设备310b和台式计算机305经由网络安全系统320访问不受信任的因特网330。每个还可以受驻留于其上的个人安全系统(未示出)保护。第三移动设备310c当前位于企业网340外部并且经由移动安全系统345b耦合到不受信任的因特网330。第三移动设备310可能正由当前正在旅行的受信任企业340的雇员使用。安全管理器325管理移动安全系统345a、移动安全系统345b和网络安全系统320以确保它们包括最新的安全保护。本领域技术人员将认识到同一安全管理器无需管理各设备。另外，安全管理器可以是用户并且无需位于受信任企业340内。
分界线335将受信任企业340和不受信任的可以公共访问的因特网330隔开。移动设备310a、 310b和310c中的每一个可被总称为移动设备310，尽管它们无需相同。每个移动安全系统345a和345b可被总称为移动安全系统345，尽管它们无需相同。
如图所示，虽然移动设备310c已经移动到受信任企业340外部，但是移动设备310c经由移动安全系统345b连接到不受信任的因特网330并因而保留了两道防线(即，移动安全系统345b和驻留在设备本身上的安全软件)。在本实施例中，移动安全系统345有效地为移动设备310c充当了移动因特网网关。在一个实施例中，移动安全系统345可以是专用于网络安全的设备。在一个实施例中，每个移动安全系统345可以支持多个移动设备310，并且可以只支持登记过的移动设备310，例如那些属于企业340的移动设备310。
每个移动安全系统345 (例如，345a、 345b)可以是基于商用硬件(用因特尔的Xscale作为核心)、Linux OS和网络服务以及开源防火墙、IDS/IPS和防病毒保护的微型服务器。移动安全系统345可以基于硬件化的嵌入式Linux 2.6。
在该实施例中，因为系统管理器325能够远程地与移动安全系统345b通信，因此IT可以监视并且/或者更新在移动安全系统345b上实现的安全策略/数据/引擎。安全管理器325可以远程地或者直接地集中管理所有企业设备。另外，系统管理器325和移动安全系统345可以进行交互，以便将企业安全策略自动地转换为移动安全策略并相应地配置移动安全系统345。因为移动安全系统345可以根据企业340的相关安全策略而生成，因此当前正在旅行的移动设备310c可以具有与位于受信任企业340内的设备305/310相同水平的保护。
移动安全系统345可被设计为对现有软件安全的添加，或者可被设计为替换旅行移动设备上的所有安全硬件和软件。这些安全应用将优选工作在不同的OSI层上，以便提供最大的安全和恶意代码检测，如在图8所示示例系统中示出的。在更低的OSI层上工作并且仅进行TCP/IP分组分析(通过筛选防火墙或者路由器分组)将漏掉病毒和/或蠕虫行为。另外，许多现代病毒使用在比0SI第7层更高的层级(应用一HTTP、 FTP，等等)上实现的移动代码并因而在分组层或应用层处无法被解译。例如，对恶意Java脚本(其被包括在HTML页面中)仅在会话层或传输层处应用防病毒分析、试图使签名(signature)与分组相匹配并且不明白内容类型(Java脚本)将不会检测到Java脚本的恶意性。为了提供更好的保护，移动安全系统345可以充当公司级安全装置并且基于内容类型和适当OSI层(或者甚至"更高的"层，如果内容被封装在应用层中的话)加入不同安全应用。移动安全系统345可被配置为执行不同OSI层处的内容分析，例如，从分组层次到应用层次。将认识到在应用层次执行深度检测对于检测恶意内容行为和改善对病毒、蠕虫、间谍软件、特洛伊木马等的检测而言是至关重要的。以下软件包可被实现在移动安全系统345上
防火墙和VPN—包括状态防火墙和无状态防火墙、NAT、分组过滤
和操纵、DOS/DDOS、网络过滤器，使用户移动设备与因特网隔离并
且在设备上运行VPN程序，等等。 可选的web加速器和基于Squid的带宽/缓存管理。
IDS/IPS-基于Snort的入侵检测和预防系统。Snort是利用规则驱动
型语言的开源网络入侵预防和检测系统，其结合了签名检测、基于协
议的检测和基于异常的检测的益处。
基于ClamAV的防病毒和防间谍软件；可以因为额外的订阅费而提供额外的AV和AS引擎，例如，McAfee、 Kaspersky、 Pandamay。
恶意内容检测一执行用于检测具有签名前的恶意内容的内容分析的实时启发式技术。这将基于规则基础和更新的规则并且将会是内容依
ii赖型扫描。
.URL分类过滤一基于商业引擎，例如Surfcontrol、 SmartFilters或者 Websense。可以提供大约70类URL，例如赌博、成人内容、新闻、 web邮件，等等。移动设备345可以基于URL类别来应用不同的安全 策略，例如，针对赌博或者成人内容web站点等应用更高的限制和启 发式技术。
图4是图示出示例计算机系统400的细节的框图，各个台式计算机 305、移动设备310、网络安全系统320、网络安全系统345和安全管理器 325可以是其实例。计算机系统400包括诸如英特尔Pentium⑧微处理器或 者摩托罗拉Power PC⑧微处理器之类的耦合到通信通道410的处理器 405。计算机系统400还包括各自耦合到通信通道410的诸如键盘或者鼠 标之类的输入设备415、诸如阴极射线管显示器之类的输出设备420、通 信设备425、诸如磁盘之类的数据存储设备430和诸如随机存取存储器 (RAM)之类的存储器435。通信接口 425可以直接地或者经由移动安全 系统345而耦合到诸如因特网之类的网络。本领域技术人员将认识到，虽 然数据存储设备430和存储器435被图示为不同的单元，但是数据存储设 备430和存储器435可以是同一单元的多个部分、分布式单元、虚拟存储 器，等等
力fT 7 "V^ O
数据存储设备430和/或存储器435可以存储诸如微软Windows XP、 IBM OS/2操作系统、MAC OS、 UNIX OS、 LINUX OS之类的操作系统 440和/或其他程序445。将会认识到，优选实施例也可被实现在与所述那 些平台和操作系统不同的平台和操作系统上。 一个实施例可以是使用 JAVA、 C和/或0++语言或者可能使用面对对象编程方法的其他编程语言
来编写的。
本领域技术人员将认识到计算机系统400还可以包括额外的组件，例 如用于跨硬件通道、因特网或者内联网等传送信息的网络连接、额外存储 器、额外处理器、LAN、输入/输出线路。本领域技术人员还将认识到可以 以其它方式接收程序和数据并将其存储在系统中。例如，诸如磁盘驱动 器、硬盘驱动器、磁光读取器、CPU等的计算机可读存储介质(CRSM)
12读取器450可被耦合到通信总线410，用于读取诸如磁盘、硬盘、磁光 盘、RAM等的计算机可读存储介质(CRSM) 455。因此，计算机系统 400可以经由CRSM读取器450接收程序和/或数据。另外，将认识到这里 的术语"存储器"旨在覆盖所有的数据存储介质，无论是永久的还是临时 的。
图5是图示出根据本发明一实施例的移动安全系统345的细节的框 图。移动安全系统345包括适配器/端口/驱动器505、存储器515、存储移 动安全系统的安全版本的操作系统和其他应用的预引导闪存/ROM存储模 块520、网络连接模块525、安全引擎530、安全策略535、安全数据 540、远程管理模块550、分发模块555和备份模块560。虽然这些模块被 图示为位于移动安全系统345内，但是本领域技术人员将认识到这些模块 中的许多模块可以位于别处，例如，安全管理器325上或者与移动安全系 统345通信的第三方系统上。移动安全系统345可以位于口袋大小的、手 持大小的或者钥匙链大小的外壳中，或者可能更小。另外，移动安全系统 345可被结合在移动设备310中。
适配器/端口/驱动器505包括用于USB、以太网、WiFi、 WiMAX、 GSM、 CDMA、蓝牙、PCMCIA和/或移动安全系统345上的其他连接数 据端口的连接机制(包括软件，例如驱动程序)。在一个实施例中，适配 器/端口/驱动器505可能能够连接到多个设备310，以便向多个设备310提 供网络安全。
存储器510和处理器515执行移动安全系统345上的操作系统和应 用。在该示例中，预引导闪存520存储操作系统和应用。在引导时，操作 系统和应用被从预引导闪存520载入存储器510以供执行。因为操作系统 和应用存储在用户无法在运行时访问的预引导闪存520中，预引导闪存 520中的操作系统和应用是不可破坏的。如果存储器510中的操作系统和 应用的副本例如被恶意代码破坏，那么操作系统和应用例如在重启时可被 从预引导闪存520重新载入存储器510中。虽然被描述为存储在预引导闪 存520中，但是OS和应用也可被安全地存储在诸如ROM、 PROM、 EEPROM等之类的其他只读存储设备中。移动安全系统345上的存储器(包括存储器510和预引导闪存520)
可被划分为如下区域 (i)只读存储器 在运行时期间不可存取
<formula>formula see original document page 14</formula>
(2) OS、内核和(3)运行时环境 (4)用于应用数据、日志
安全应用的副本 文件等的额外存储装置
每当"硬"重启时，移动安全系统345的引导加载器(驻留在区域1 处)将内核和安全应用(全新未改变副本)从区域1复制到区域2。这使 得纯净版本的OS和应用每次被载入区域2。这样，如果特定移动安全系 统345攻击被形成，那么该攻击将无法感染系统，这是因为在运行时期间 阻止OS和应用访问存储区域1。另外，到达了存储器510的任何攻击将 仅能够运行一次并且在硬启动时将消失。可提供在感染检测时自动重启移 动安全系统345的触发机制。
网络连接模块525使能经由包括WiFi、 WiMAX、 CDMA、 GSM、 GPRS、以太网、调制解调器等在内的网络通信硬件/软件到因特网330或 者内联网315的网络连接。例如，如果移动设备310希望经由WiFi连接 而连接到因特网330，那么适配器/端口/驱动器505可被连接到移动设备 310的PCI端口、 USB端口或者PCMCIA端口，并且移动安全系统345的 网络连接模块525可以包括用于连接到无线接入点的WiFi网络接口卡。 使用网络连接模块525，移动安全系统345可以作为移动设备310的安全 网关与网络通信。其他连接体系结构在图10A-10C中描述。
安全引擎530基于安全策略535并基于安全数据540来执行安全程 序，安全策略535和安全数据540两者都可由IT管理器形成。安全引擎 530可以包括防火墙、VPN、 IPS/IDS、防病毒、防间谍软件、恶意内容过 滤、多层安全监视器、Java和字节码监视器等。每个安全引擎530可以具有专用的安全策略535和安全数据540来指示引擎530可以允许或者不可 以允许哪个过程、内容、URL、系统呼叫等。安全引擎530、安全策略 535和安全数据540可以与网络安全系统320上的引擎、策略和数据相 同、可以是网络安全系统320上的引擎、策略和数据的子集、并且/或者根 据网络安全系统320上的引擎、策略和数据形成。
为了提供由防病毒和防间谍软件所提供的更高安全水平，每个移动安 全系统345上的安全引擎350可以实现内容分析和风险评估算法。例如工 作在0SI第7层及以上(封装在第7层内的移动代码)工作，这些算法可 由专用的高风险内容过滤(HRCF)执行，HRCF可由规则引擎和规则更 新来控制。HRCF将基于强大的检测库，该检测库可以执行深度内容分析 以验证真实内容类型。这是因为许多攻击隐藏在错误的mime类型中并且/ 或者可以使用复杂的计策将文本文件类型提供给危险的活动脚本或者 ActiveX内容类型。HRCF可以与URL分类安全引擎530集成，用于基于 URL类别的自动规则调整。在一个实施例中，当风险水平增大(使用所述 机制)时，移动安全系统345可以自动地调整并增加过滤以从流量中去除 更多活动内容。例如，如果更大的风险被确定，那么每条移动代码(例如 Java脚本、VB脚本，等等)可被剥离。
要与公司策略服务器旧有系统相集成的三个方面包括规则、LDAP和 活动目录、以及日志记录和报告，如下面讨论的。在一个实施例中，在安 全管理器325上运行的策略导入代理将访问Checkpoint防火墙-I和思科 PIX防火墙的规则库并将它们导入本地副本。规则分析模块将处理重要规 则并且将为移动安全系统345提供立即可用(out-of-the-box)的规则和策 略。该提议策略将给所有移动安全系统345提供符合企业340的防火墙策 略的最适合规则。代理将周期性地运行以反映任何变化并为移动安全系统 345策略535生成更新。LDAP和活动目录可被与目录服务集成，以维护 响应于企业的目录定义的移动安全系统345安全策略535。例如，LDAP 用户群组"G"的公司策略可以自动传播到"G"群组中的所有移动安全 系统345。可以根据日志记录和报告策略将移动安全系统345的本地日志 和审计线索发送到存储在安全管理器325处的中央日志。使用web接口，IT可能能够生成与所有移动设备310用户、它们的因特网体验有关的报告 和审计视图，并且试图将受感染的设备带回企业340。 IT能够将事件和日 志记录经由SYSLOG和SNMP陷阱转发到旧有管理系统。
安全引擎530可以执行加权风险分析。例如，安全引擎530可以分析 HTTP、 FTP、 SMTP、 POP3、 IM、 P2P等，包括从因特网330到达的任何 流量。安全引擎530可以基于每个对象的类型、复杂度、能力丰富度、对 象源等为其分配权重和等级。安全引擎530可以使用已知危险源或者己知 安全源的列表、基于源来分配权重。安全引擎530可以基于源的类别(例 如，赌博源、成人内容源、新闻源、知名公司源、银行业源，等等)给对 象分配权重。安全引擎530可以计算权重，并且基于结果来判定是允许还 是不允许对内容的访问、要允许的脚本、要发生的系统修改，等等。系统 引擎530可以"学习"用户内容(通过在预定时间段内分析用户所访问的 一般内容)并且相应地可以创建个人内容简档。个人内容简档可用于校正 在运行时分析期间分配给内容的权重以提高精确度并针对特定用户特性来 修改经加权的风险分析。
在一些实施例中，安全引擎530、安全策略535和安全数据540可以 使得能够绕过移动安全系统345。由安全管理器325设置的安全策略535 可以包括一特殊属性，该属性在位于受信任企业340外部时强迫网络连接 通过移动安全系统325。因此，如果该属性被设置为"开启"，那么当移 动设备310在没有移动安全系统345的情况下试图连接到因特网330并且 不是从受信任企业340内部连接到因特网330时，包括LAN连接、USB 网络、调制解调器、蓝牙、WiFi等在内的所有数据传送连接可被关闭。移 动设备310可被完全隔离并且无法连接到包括因特网330在内的任何网 络。
在一个实施例中，为了使得能够这样，当首次使用例如USB线缆(兼 为了电力和USB连接创建)将移动安全系统345连接到移动设备310时， USB即插即用设备驱动程序将被发送到移动设备310中。所安装的驱动程 序可以是"Linux.inf"，其允许用于移动安全系统345的USB网络连接。 该连接使得移动安全系统345能够经由USB端口并且使用移动设备310网络连接加上额外代码("连接客户端")来访问因特网330。在Windows 示例中，连接客户端可被安装在图6所示的每个网络连接的所有网络接口 卡以上的移动设备310的NDIS处。实现方式将是作为NDIS中间件 (IM)驱动程序或者NDIS挂接过滤驱动程序。两种实现方式都可以处于 内核层次，使得最终用户无法将其停止或去除。当启动移动设备310时， 连接客户端可以试图在受信任企业340内本地地连接到安全管理器325或 者网络安全系统320。如果节点未被找到(经由VPN找到被看作未在本地 LAN中找到)，那么连接客户端将认为其工作在受信任企业340之外并且 预期找到例如经由USB网络或者其他连接机制相连的移动安全系统345。 如果移动安全系统345未被找到，那么连接客户端可以避免到任何网络连 接的任何通信。通过策略定义，该行为可以修改为允许经由安装在移动设 备310中的VPN到企业340的通信。类似地，在移动安全系统345发生故 障的情况下，除了到企业340的VPN连接之外的所有流量可被禁用。
将认识到NDIS是在内核层次拦截流量的一种可能实现方式。例如， 在另一实施例中，系统可以挂接(hook) Winsock或者应用未来Windows 版本中可能存在的其他方式。
在移动安全系统345支持多个移动设备310的实施例中，安全引擎 530、安全策略535和安全数据540对于每个移动设备310而言可能是不同 的(例如，基于例如用户偏好或者IT决定)。或者可以为所有相连的设备 310应用相同的引擎530、策略535和数据540。
远程管理模块550使能与安全管理器325 (和/或其他安全管理器)的 通信，并且使能对安全引擎530、安全策略535、安全数据540的包括签 名和其他应用在内的本地更新。在一个实施例中，仅可以通过安全管理器 325来修改安全策略535和数据540。移动安全系统345的远程管理模块 550可以经由安全连接从例如安全管理器325上的更新颁发设备(UAD) 接收更新。UAD可以在位于因特网330上的客户IT中心处的更新服务器 上工作，以便将更新转发给可能不属于负责管理更新的企业540的移动安 全系统345。 UAD可以在移动安全系统345上工作。安全引擎530的更新 可以修改防病毒引擎的DLL等。OS和安全应用的更新仅可以在经由经加
17密并且经认证的连接连接到安全管理器325时从企业540内部实现。
安全管理器325可以修改URL的黑名单和白名单，用于对旅行用户 的远程支持。在错误肯定的情况下，安全管理器325可以通过绕过前摄启 发式安全但是仍然通过防火墙、防病毒、IPS/IDS等进行监视，来允许对 某些URL的访问。额外的远程设备管理特征可以使得安全管理器325能 够对移动安全系统345执行远程诊断、访问本地日志、改变配置参数，等 等。安全管理器325可以向用于支持的帮助台指派任务。
远程管理模块550可以与向导(例如，向导745)通信，向导745可 以如图7所示位于安全管理器325上，或者位于其他系统上。下面参考图 7来描述向导745的细节以及远程管理模块550与向导745之间的通信方 案的细节。
分发模块555使得能够通过移动安全系统345向N个其他移动安全系 统345分发更新，例如，包括规则更新在内的安全策略535的更新、包括 签名更新在内的安全数据540的更新、安全引擎530的更新、应用/OS的 更新，等等。标识更新所要转发到的N个其他移动安全系统345的路由表 可被提供给分发模块555，以便使能系统345到系统345的通信。更新可 以根据由安全管理器325设置的策略来实现。当转发更新时，分发模块 555充当UAD。
每个移动安全系统345可以周期性地、在预定时间、在登录时等获得 其具有安全信息更新的路由表。路由器可被保持在服务器上，例如安全管
理器325或者另一移动安全系统345。在一个实施例中，移动安全系统 345可以联系服务器来检索路由表。或者，服务器可以将路由表推送到移 动安全系统345。
分发模块555可以使能如图9所示的快速更新。目前，所有可用的商 业防病毒产品更新设备的速度不比病毒传播更快。为了确保新的病毒攻击 不会传播得例如比签名更新更快，每个移动安全系统345可以是活动的 UAD。在一个实施例中，如图9所示，每个移动安全系统345负责将签名 更新转发给四个其他设备345。如本领域技术人员将认识到的，所有设备 345需要向相同数目的其他设备345进行转发。多个设备345可以负责向同一设备345进行转发。在必要时，被激活的离线设备345可以针对路由 表更新来轮询服务器，例如安全管理器325。许多其他更新技术也是可能 的。
备份模块560可以不断地将移动设备310的引导扇区和系统文件的镜 像和变化备份到闪存520中，或者备份到另一永久性存储设备中。这样， 在发生包括移动设备310的系统或者引导扇区的丢失在内的严重故障的情 况下，移动安全系统345在重新引导期间可被识别为CD-ROM并且可以 启动备份模块(或者另一程序)来恢复移动设备310上的引导扇区和系统 文件，从而恢复移动设备310而无需IT支持。在网络安全系统345支持多 个移动设备310的实施例中，如果每个移动设备310是不同的，那么备份 模块560可以包含针对每个移动设备310的不同引导扇区和系统文件。
图7是图示出根据本发明一实施例的智能策略更新系统700的细节的 框图。系统700包括耦合到网络安全系统320并耦合到移动安全系统345 的安全管理器325。网络安全系统320包括安全引擎705，安全引擎705 包括防病毒引擎715、 IPS/IDS引擎720、防火墙引擎725，以及其他安全 引擎。网络安全系统320还包括安全策略和数据710，安全策略和数据 710包括防病毒策略和数据730、 IPS/IDS策略和数据735、防火墙策略和 数据740，以及其他策略和数据。类似地，移动安全系统345包括防病毒 引擎755、 IPS/IDS引擎760、防火墙引擎765，以及其他引擎。移动安全 系统345还包括安全策略和数据535/540，安全策略和数据535/540包括防 病毒安全策略和数据770、 IPS/IDS安全策略和数据775、防火墙安全策略 和数据780，以及其他安全策略和数据。
安全管理器325包括向导745，用于使能对移动安全系统345上的安 全引擎530、安全策略535和安全数据540的基本自动的初始设置以及可 能的动态设置。在一个实施例中，向导745可以将网络安全系统320的所 有安全引擎705以及策略和数据710自动加载作为移动安全系统345上的 安全引擎530以及策略和数据535/540。在另一实施例中，向导745可以 包括除己知不相关的那些(例如，与结算所使用的记帐软件有关的那些、 与仅在web服务器上运行的web软件有关的那些，等等)之外的所有安全引擎705以及策略和数据710。在另一实施例中，引擎530将需要由IT管 理器加载，并且将不由向导745自动加载。
在一个实施例中，向导(wizard) 745可以确定移动安全系统345是否 需要特定的安全引擎530，例如，防病毒引擎755、 IPS/IDS引擎760、防 火墙引擎765等。如果确定需要，那么向导745将把引擎530加载到移动 安全系统345上。向导745然后将确定哪些策略和数据集(例如，用于防 病毒引擎755的一些、用于IPS/IDS引擎760的一些，等等)对移动安全 系统345而言是重要的。向导745然后将确定网络安全系统320上的哪些 防病毒策略和数据730与移动安全系统345上的防病毒策略和数据770相 关、网络安全系统320上的哪些IPS/IDS策略和数据735与移动安全系统 345上的IPS/IDS策略和数据775相关、网络安全系统320上的哪些防火墙 策略和数据740与移动安全系统345上的防火墙策略和数据780相关，以 及网络安全系统320上的哪些其他防病毒策略和数据730与移动安全系统 345上的策略和数据相关。如上所述，向导745可以确定移动安全系统 345上是需要所有安全引擎705还是需要仅一子集。向导745可以确定是 应当转发给定引擎类型的所有策略和数据710还是应当转发仅一子集。向 导745可以基于由IT管理器形成的规则、基于设置过程期间的逐项选择等 来确定应当将哪些相关策略和数据710转发给移动安全系统345。作为向 导745的替代，IT管理器可以在没有向导745的情况下设置移动安全系统 345上的引擎530以及策略和数据535/540。
安全管理器325还可以包括更新颁发设备750。更新颁发设备750可 以获取安全系统更新(例如，签名更新)并且可以将这些更新发送给网络 安全系统320并发送给移动安全系统345。本领域技术人员将认识到对网 络安全系统320的更新和对移动安全系统345的更新无需相同。另外，更 新颁发设备750可以从安全管理器、安全引擎开发者、防病毒专家等获取 更新。更新颁发设备750可以将更新转发给所有的网络安全系统320和所 有的移动安全系统345，并且可以将路由表转发给所有的移动安全系统 345并且将更新仅转发给初始集合的移动安全系统345。初始集合的移动 安全系统345可以以类似于图9所示过程的P2P方式将更新转发给在路由
20表中标识出的移动安全系统345。如上所示，用来转发更新的每个移动安 全系统345本身充当更新颁发设备750。
其他应用可被包括在移动安全系统345上。例如，针对来自现有客户 的经常收入的附加应用可以包括一般的电子邮件、防垃圾邮件、直接且安 全的电子邮件递送、信息保险库、安全的skype和其他即时消息传送服 务，等等。
电子邮件安全和防垃圾邮件一在移动安全系统345 (包括上面的 web安全引擎)上的邮件中继和本地垃圾邮件隔离区(基于SendMail 或者类似过程)可以实现包括具有实时索引(经由在线web垃圾邮件 来源)的防垃圾邮件的完整邮件安全套件(SMTP和POP3)。用户可 以经由web接口来访问隔离区，以便检阅垃圾邮件消息、释放消息、 修改和定制垃圾邮件规则等。
基于邮件中继的直接且安全的电子邮件递送将使得移动安全系统 345能够将用户电子邮件直接从一个移动安全系统345发送到另一个 移动安全系统345而不使用沿途的邮件服务器。这使得公司用户能够 发送如下电子邮件，该电子邮件无需在因特网中传送从而不会在沿途 的不同未知邮件服务器上留下痕迹和副本。这种方法与在两个移动安 全系统之间使用安全管道的能力相组合对公司是有价值的。在没有这 种方法的情况下，用户可以通过在曾用于递送消息的中间邮件服务器 中追踪到拷贝来跟踪电子邮件交换，而无需访问企业的邮件服务器。
信息保险库(information vault) —移动安全系统345上用于加密并 存储最终用户信息的应用可以经由在每个移动安全系统345上实现的 web接口和web服务器(例如，BOA、 Apache，等等)仅对授权用户 可用。
安全的Skype和其他IM—在移动安全系统345上实现即时消息传送 客户端可以保证保证即时消息传送系统或者P2P应用无法访问移动设 备310上的数据。添加AC/97芯片组以在移动安全系统325上提供声 音接口可以使得用户能够直接对移动安全系统325说话和直接从移动 安全系统325接收呼叫。虽然未示出，但是小型电池可与移动安全系统345包括在一起。该电 池可以在运行时期间通过USB连接来充电，或者在任何时候使用电源适配 器来充电。电池可以例如在用户断开来自移动安全系统345的USB线缆时 保证正确关闭。其将被将启动应用和系统关闭的系统用信号通知。这将保 证文件系统的正确状态并用闪存存储打开文件缓冲器。
要求多层防御和检测能力。这可以通过特殊代码来完成，该特殊代码 不断地监视不同层次处由不同系统(防病毒、IDS/IPS、防火墙、防间谍软 件、URL类别，等等)进行的扫描结果，以构造难题并识别攻击，即使该 攻击未被各个单独子系统辨认出。通过这样做，移动安全系统345将维持 在企业540内提供的安全水平，并且在某些情况下甚至提高在企业540内 提供的安全水平。
移动安全系统345的一个可用益处是其在最终用户正在旅行或者从家 里工作时对最终用户实施企业540的策略的能力。因为移动安全系统345 使用与当从企业540内部连接时类似的安全引擎和策略并且因为最终用户 没有它无法访问因特网330 (除了经由VPN连接而连接到企业540中之 外)，因此IT可能能够在企业540的边界之外实施其安全策略。OS可以 处于IT的全面监督之下，而移动安全系统345的OA充当在其控制之下的 最终用户OS。这解决了由谁来控制来控制什么以及安全性和生产率如何 面对最小妥协的问题。
单机版本的移动安全系统345可以提供相同的功能，并且可以经由 web浏览器来提供本地管理接口。对家庭用户和缺乏IT部门的小型办公室 有吸引力的是，移动安全系统345使得最终用户能够启动浏览器、连接到 移动安全系统345、设置不同的策略(更新策略、安全规则等，包括修改 URL白名单和URL黑名单)，等等。还有机会通过订阅给最终用户提供 移动安全系统345的远程管理服务。
图IOA、 10B和10C图示出根据本发明各实施例的将移动安全系统 345连接到移动设备310的三种示例体系结构。在图10A中，移动设备 310经由USB连接1015和1020而耦合到移动安全系统345并经由NIC卡 1005而耦合到因特网330。移动设备310经由其NIC卡1005从因特网330接收因特网流量。移动设备310上的内核级重定向器1010 (例如，经由 NDIS、 Winsock等等)将因特网流量经由USB连接1015和1020自动重定 向到移动安全系统345，移动安全系统345对因特网流量进行扫描、清理 并将清理后的因特网流量经由USB连接1015和1020返回到移动设备 310。在图IOB中，移动设备310经由USB连接1025和1030而耦合到移 动安全系统345。移动安全系统345包括用于接收来自因特网330的因特 网流量的NIC卡1035。移动安全系统345对因特网流量进行扫描、清理并 且将因特网流量经由USB连接1025和1030转发给移动设备310。在图 10C中，移动设备310经由NIC卡1040和1045而耦合到移动安全系统 345。移动安全系统345经由其NIC卡1045接收来自因特网330的因特网 流量。移动安全系统345对因特网流量进行扫描、清理并且将因特网流量 经由NIC卡1040和1045无线地转发给移动设备310。其他连接体系结构 也是可能的。
图12是图示出根据本发明一实施例的安全数据交换系统1200的框 图。安全数据交换系统1200包括经由安全设备1210而耦合到外部设备 1110的主机计算机(主机)1205。主机1205可以包括笔记本、台式计算 机、PDA、移动电话，或者其他基于处理器的设备。外部设备1110可以 是具有存储器的任何外部设备，例如USB驱动器、外部硬盘驱动器、 PDA、音乐播放器、蜂窝电话，等等。安全设备1210经由ED端口 1225
(USB、串行、并行、火线、以太网、WiFi、 WiMAX、 GSM、蓝牙、 PCMCIA禾卩/或其他连接)和ED插头1230 (USB、串行、并行、火线、以 太网、WiFi、 WiMAX、 GSM、 CDMA、蓝牙、PCMCIA和/或其他连接) 而可通信地耦合到主机1205。外部设备1110经由ED端口 1235 (USB、 串行、并行、火线、以太网、WiFi、 WiMAX、 GSM、 CDMA、蓝牙、 PCMCIA和/或其他连接)和ED插头1120 (USB、串行、并行、火线、以 太网、WiFi、 WiMAX、 GSM、 CDMA、蓝牙、PCMCIA和/或其他连接) 而可通信地耦合到安全设备1210。 ED端口 1225和ED插头1230组合的 连接器类型可以不同于ED端口 1235和ED插头1120组合的连接器类 型。在一个实施例中，所有的端口 1225/1235和插头1230/1120都是USB。虽然插头1120/1230被图示为公的并且端口 1225/1235被示出为母 的，但是本领域技术人员将认识到反过来也是可能的(插头1120/1230可 以是母的并且端口 1225/1235可以是公的)。
主机1205包括用于执行枚举并且使能与安全设备1210的通信的ED 驱动程序1220。类似地，安全设备1210包括用于执行枚举并且使能与外 部设备1110的通信的ED驱动程序1245。
在一个实施例中，安全设备1210包括能够实施如下安全策略的可编 程硬件装置用来保护免受诸如病毒、间谍软件、广告软件、特洛伊木马 等的恶意代码并且用来保护免于传送私有数据的安全策略。在一个实施例 中，安全设备1210被配置为保护外部设备1110或者主机1205中的仅一 个。参考图13和14提供了安全设备1210的额外细节。
图13是图示出根据本发明一实施例的安全设备1210的细节的框图。 安全设备1210包括诸如英特尔Pentium⑧微处理器或者摩托罗拉Power PC⑧微处理器之类的耦合到通信通道1315的处理器405。安全设备1210 还包括各自耦合到通信通道1315的ED插头1230、 ED端口 1235、通信接 口 1310、诸如EEPROM之类的存储装置1320，以及诸如随机存取存储器 (RAM)或者只读存储器(ROM)之类的存储器1325。通信接口 1310可 以耦合到诸如因特网之类的网络。本领域技术人员将认识到，虽然存储装 置1320和存储器1325被图示为不同的单元，但是存储装置1320和存储器 1325可以是同一单元的多个部分、分布式单元、虚拟存储器，等等。这里 的术语"存储器"旨在覆盖所有的数据存储介质，无论是永久的还是临时 的。本领域技术人员将认识到安全设备1210可以包括额外的组件，例如 用于跨硬件通道、因特网或者内联网等传送信息的网络连接、额外存储 器、额外处理器、LAN、输入/输出线路。
如图所示，存储器1325可以存储诸如微软Windows XP、 IBM OS/2 操作系统、MAC OS、 UNIXOS、 LINUX OS等的操作系统1330。将会认 识到，优选实施例也可被实现在与所述那些平台和操作系统不同的平台和 操作系统上。 一个实施例可以是使用JAVA、 C和/或0++语言或者可能使 用面对对象编程方法的其他编程语言来编写的。存储器1325还存储ED驱
24动程序1245和安全系统1335。 ED驱动程序1245可以包括标准外部设备 1110的标准驱动程序和私有外部设备1110的私有驱动程序。ED驱动程序 1245可以经由ED插头而被传送到存储器1325上。安全系统1335包括用 于对主机1205与外部设备1110之间的数据传送动作实施安全策略的代 码。
图14是图示出根据本发明一实施例的安全系统1335的细节的框图。 安全系统1335包括安全管理器1405、安全引擎1410、安全策略1415，以 及安全数据1420。
在一个实施例中，安全管理器1405包括用于执行枚举的代码，即以 便识别外部设备1110或者外部设备1110的类型并且识别能够在安全设备 1210与外部设备1110之间建立通信的相对应的ED驱动程序1245。安全 管理器1405还包括基于安全策略1415和安全数据1420来控制各个安全引 擎1410的执行的代码，以便评估数据传送请求或者其他设备请求。另 外，安全管理器1405包括用于与主机1205通信的代码，主机1205将是数 据传送和/或其他请求的源。
在一个实施例中，安全引擎1410包括基于安全策略1415和安全数据 1420来保护主机1205与外部设备1110之间的数据传送的代码。安全引擎 1410可以包括防火墙、防病毒、防间谍软件、恶意内容过滤、多层安全监 视器、Java和字节码监视器等。安全引擎1410还可以包括用于实施数据 隐私策略1415的数据隐私模块。每个安全引擎1410可以具有专用的安全 策略1415和安全数据1420，来指示所请求传送的数据可以包含哪个过 程、URL、系统呼叫、内容、ID等，或者指示所请求传送的数据是否被看 作不可传送(或者因没有诸如密码和ID之类的额外安全措施而不能传 送)。
为了提供更高的安全水平，安全引擎1410可以实现内容分析和风险 评估算法。安全引擎1410可以基于每个传送对象的类型、复杂度、能力 丰富度、源等为其分配权重和等级。安全引擎1410可以使用已知危险源 或者己知安全源的列表、基于源来分配权重。安全引擎1410可以基于源 的类别(例如，赌博源、成人内容源、新闻源、知名公司源、银行业源，等等)给对象分配权重。安全引擎1410可以计算权重，并且基于结果来 确定是允许还是不允许对内容的访问、要允许的脚本、要发生的系统修 改，等等。安全引擎1410可以"学习"用户内容(通过在预定时间段内 分析用户所访问的一般内容)并且相应地可以创建个人内容简档。个人内 容简档可用于校正在运行时分析期间分配给内容的权重以提高精确度并针 对特定用户特性来修改经加权的风险分析。
因此，当接收到来自主机1205的数据传送和/或其他请求时，安全管 理器1405将基于安全策略1415启动适当的安全引擎1410。例如，安全策 略1415可被配置为不允许特定的ActiveX控件被从主机1205加载到外部 设备lllO上。安全策略1415可被配置为不允许从主机1205上的私有文件 夹到外部设备1110的数据传送。安全管理器1405将启动适当的安全引擎 1410以确保这些示例安全策略1415得到满足。另外，安全引擎1410可以 使用安全数据1420，安全数据1420可以包括恶意ActiveX控件的定义文 件、私有文件夹的位置，等等。
虽然未示出，但是安全系统1335可以包括额外组件，例如上面参考 图5讨论的具有OS和应用的预引导闪存520、远程管理模块550、分发模 块555以及备份模块560。其他组件也是可能的。
图15是图示出根据本发明另一实施例的安全数据交换系统1500的框 图。安全数据交换系统1500包括经由安全设备1505上的ED插头1515和 主机1520上的第一 ED端口 1525而可通信地耦合到主机1520的安全设备 1505。安全数据交换系统1500还包括经由外部设备1110上的ED插头 1120和主机1520上的第二ED端口 1535而可通信地耦合到主机1520的外 部设备1110。
因为外部设备1110不是被直接耦合到安全设备1505，因此安全设备 1505不是在物理上拦截外部设备1110与主机1520之间的数据传送请求。 因此，在该实施例中，主机1520包括重定向驱动程序1530，该重定向驱 动程序1530被配置为重定向外部设备1110与主机1520之间的数据传送请 求，而不管数据传送方向。在一个实施例中，安全设备1505可被配置为 保护外部设备1110或主机1520中的仅一个。另外，在一个实施例中，安全设备1505不包含任何ED驱动程序，例如ED驱动程序1245。
在一个实施例中，如果安全设备1505未被耦合到主机1520，那么主 机1520使用ED驱动程序1540来与外部设备1110通信。在一个实施例 中，主机1520被配置为在安全设备1505被耦合到主机1520之前不与外部 设备1110通信。在一个实施例中，主机1520仅当采取了额外的安全措施 (例如接收到密码和ID)时才使用ED驱动程序1540与外部设备1110通 信，或者在安全设备1505被耦合到主机1520之前使用ED驱动程序1540 与外部设备1110通信。
在一个实施例中，主机1520在安全设备1505连接到ED端口 1525时 可以执行对安全设备1505的枚举。当识别出安全设备1505或者安全设备 1505的类型时，主机1520可以启动重定向驱动1530，以便将所有数据传 输请求或者来自所有其他ED端口 1535的其他外部设备1110请求转发给 安全设备1505。在一个实施例中，重定向驱动程序1530仅接受来自安全 设备1505的传送请求，安全设备1505作为代理而提供外部设备1110的请 求。在一个实施例中，重定向驱动程序1530仅在安全设备1505己经进行 其检査并且给予其授权之后执行从外部设备1110接收到的数据传送请 求。其他协议也是可能的。
图16是图示出根据本发明一实施例的主机与外部设备之间的安全数 据交换方法1600的流程图。方法1600在步骤1605开始，安全设备1505 在步骤1605中被连接到主机1520的第一 ED端口 1525。外部设备lllO在 步骤1610中被连接到主机1520的第二 ED端口 1535。主机1520在步骤 1615中执行枚举技术，来识别安全设备1505和外部设备1110并安装适当 的驱动程序1530/1540以便使能与安全设备1505和外部设备1110的通 信。重定向驱动程序1530在步骤1620中接收从主机1520到外部设备 1110或者从外部设备1110到主机1520数据传送请求。重定向驱动程序 1530在步骤1625中将数据传送请求转发给安全设备1505，安全设备1505 在步骤1630中对数据传送请求实施其安全策略(防病毒、防间谍软件、 防广告软件、数据隐私，等等)。安全设备1505在步骤1635中确定数据 传送请求是否通过安全策略。如果通过，那么安全设备1505在步骤1640中授权数据传送请求并且主机1520在步骤1645中执行数据传送请求。如 果未通过，那么安全设备1505在步骤1650中拒绝数据传送请求。方法 1600然后结束。
将会认识到，在一个实施例中，安全设备1210/1505可被实现为主机 1205/1520的一部分，例如被实现在主机1205和1520的外壳中并且/或者 实现为由主机1205/1520执行的安全过程。
上面对本发明优选实施例的描述仅是通过示例方式，并且考虑到上面 的教导，对上述实施例和方法的其他变更和修改是可能的。虽然网络站点 被描述为单独并且不同的站点，但是本领域技术人员将认识到这些站点可 以是完整站点的一部分、可以各自包括多个站点的多个部分，或者可以包 括单个和多个站点的组合。在此提出的各种实施例可以利用硬件、软件或 者其任何所需组合来实现。而且，能够实现在此提出的各种功能的任何类 型的逻辑可被利用。组件可以利用经编程的通用数字计算机、利用专用集 成电路、或者利用互连的传统组件和电路的网络来实现。连接可以是有线 的、无线地、调制解调器，等等。在此描述的实施例并非旨在是穷尽无遗 或是限制性的。本发明仅受所附权利要求限制。
权利要求
1.一种安全设备，包括外部设备插头，用于与主机可通信地耦合；外部设备端口，用于与外部设备可通信地耦合；处理器；以及存储以下各项的存储器操作系统，外部设备驱动程序，用于控制与所述外部设备的通信；以及安全引擎，用于对所述外部设备与所述主机之间的数据传送请求实施安全策略。
2. 如权利要求1所述的安全设备，其中，所述安全设备可与所述主 机上的驱动程序一起操作。
3. 如权利要求1所述的安全设备，其中，所述外部设备插头和所述 外部设备端口中的至少一个遵循USB标准。
4. 如权利要求1所述的安全设备，其中，所述外部设备插头和所述 外部设备端口中的至少一个包括无线连接。
5. 如权利要求1所述的安全设备，其中，所述安全引擎保护免受病 毒、间谍软件和广告软件中的至少一种的传送。
6. 根据权利要求1所述的安全设备，其中，所述安全引擎保护免受 私有数据的未经授权的传送。
7. —种安全数据交换系统，包括 安全设备，包括第一外部设备插头；以及安全引擎，用于对从主机接收到的数据传送请求实施安全策略； 外部设备，包括第二外部设备插头；以及 主机，包括第一外部设备端口，用于与所述第一外部设备插头可通信地耦第二外部设备端口，用于与所述第二外部设备插头可通信地耦 合；以及重定向驱动程序，用于在执行来自所述主机的数据传送请求之前 将该数据传送请求传送到所述安全设备。
8. 如权利要求7所述的安全数据交换系统，其中，所述外部设备包 括USB驱动器。
9. 如权利要求7所述的安全数据交换系统，其中，所述外部设备包 括PDA或者蜂窝电话之一 。
10. 如权利要求7所述的安全数据交换系统，其中，所述主机包括笔 记本、台式计算机、PDA或者蜂窝电话之一。
11. 如权利要求7所述的安全数据交换系统，其中，所述主机当检测 到所述安全设备连接到所述主机时启动所述重定向驱动程序。
12. —种方法，包括 将安全设备可通信地耦合到主机； 将外部设备可通信地耦合到所述安全设备； 通过所述外部设备接收来自所述主机的数据传送请求；以及 在允许执行所述数据传送请求之前，通过所述安全设备对所述数据传送请求实施安全策略。
13. 如权利要求12所述的方法，其中，将安全设备可通信地耦合到 主机的步骤包括使用有线或者无线连接。
14. 如权利要求12所述的方法，其中，将外部设备可通信地耦合到 主机的步骤包括使用有线或者无线连接。
15. 如权利要求12所述的方法，其中，所述数据传送请求包括将数 据从所述主机传送到所述外部设备的请求。
16. 如权利要求12所述的方法，其中，所述数据传送请求包括将数 据从所述外部设备传送到所述主机的请求。
17. 如权利要求12所述的方法，其中，实施步骤包括针对病毒、间 谍软件和广告软件中的至少一种来检阅正在传送的数据。
18. 如权利要求12所述的方法，其中，实施步骤包括确定所述数据传送请求是否包括对私有数据的请求。
19. 如权利要求18所述的方法，其中，实施步骤包括在允许传送所 述私有数据之前请求进行额外的安全检査。
20. —种方法，包括将安全设备可通信地耦合到主机； 将外部设备可通信地耦合到所述主机； 通过所述主机接收数据传送请求；使用所述主机上的重定向驱动程序来将所述数据传送请求重定向到所 述安全设备；以及在允许执行所述数据传送请求之前，通过所述安全设备对所述数据传 送请求实施安全策略。
21. 如权利要求20所述的方法，其中，将安全设备可通信地耦合到 主机的步骤包括使用有线或者无线连接。
22. 如权利要求20所述的方法，其中，将外部设备可通信地耦合到 主机的步骤包括使用有线或者无线连接。
23. 如权利要求20所述的方法，其中，所述数据传送请求包括将数 据从所述主机传送到所述外部设备的请求。
24. 如权利要求20所述的方法，其中，所述数据传送请求包括将数 据从所述外部设备传送到所述主机的请求。
25. 如权利要求20所述的方法，其中，实施步骤包括针对病毒、间 谍软件和广告软件中的至少一种来检阅正在传送的数据。
26. 如权利要求20所述的方法，其中，实施步骤包括确定所述数据 传送请求是否包括对私有数据的请求。
27. 如权利要求26所述的方法，其中，实施步骤包括在允许传送所 述私有数据之前请求进行额外的安全检査。
全文摘要
一种安全数据交换系统，包括包括第一外部设备插头、以及用于对从主机接收到的数据传送请求实施安全策略的安全引擎的安全设备；包括第二外部设备插头的外部设备；以及包括用于与所述第一外部设备插头可通信地耦合的第一外部设备端口、用于与所述第二外部设备插头可通信地耦合的第二外部设备端口、以及用于在执行数据传送请求之前将该数据传送请求传送到所述安全设备的重定向驱动程序的主机，所述驱动程序例如是重定向驱动程序。
文档编号G06F15/16GK101675423SQ200880014921
公开日2010年3月17日 申请日期2008年3月5日 优先权日2007年3月5日
发明者什洛莫·图布尔 申请人:约吉安全系统公司