CN103198253A - 运行文件的方法及*** - Google Patents

Abstract

本发明公开了文件操作控制方法及***，该方法包括：当监控到对目标文件执行目标操作行为的操作请求时，将所述请求进行拦截，并由客户端通过网络向安全控制服务器的管理控制中心获取所述目标文件的安全属性信息；所述安全属性信息包括私有属性以及公有属性，其中，所述私有属性为管理控制中心的安全管理员为所述目标文件设置的安全类别信息，根据所述目标文件的安全属性信息以及从所述管理控制中心获取到的针对当前客户端的安全策略，判断是否允许运行对所述目标文件执行所述目标操作行为；根据判断结果对所拦截到的请求进行处理。通过本发明，能够使得企业版安全产品体现出针对不同企业的个性化特点，在安全控制方面体现出更强的灵活性。

Description

运行文件的方法及***

技术领域

本发明涉及企业版安全技术领域，具体涉及运行文件的方法及***。

背景技术

传统的企业网络环境中，企业终端电脑上堆积着各类不同的安全桌面产品，如反病毒软件等，这些软件产品通常来自不同厂商，无法统一管理，并且占用大量的***资源，大大影响企业的工作效率。为解决该问题，企业版安全产品也就应运而生了。企业版安全产品通常由管理控制中心及安全产品客户端两部分（管理控制中心部署在网管等IT人员管理的服务器上，客户端安装在各个员工的PC机上）组成，其中，管理控制中心为企业集中管理内网电脑搭建了一个全能平台，在统一的平台上满足了广大企业对于集中杀毒、体检、打补丁等迫切需求。可见，在企业版安全产品中，管理控制中心相当于扮演了代理服务器的角色，为企业内部的各个客户端提供服务，这样，相当于形成了一种企业网内部的“私有云”，只有当代理服务器上不存在客户端请求的数据时，才会从“公共云”下载，因此，可以节省带宽资源。然而，这种“私有云”***在功能上还有待完善和提高。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的文件操作控制方法及***，能够使得企业版安全产品体现出针对不同企业的个性化特点，在安全控制方面体现出更强的灵活性。

依据本发明的一个方面，提供了一种文件操作控制方法，包括：

客户端对目标文件的目标操作行为进行监控；

当监控到对目标文件执行目标操作行为的操作请求时，将所述请求进行拦截，并由客户端通过网络向安全控制服务器的管理控制中心获取所述目标文件的安全属性信息；所述安全属性信息包括私有属性以及公有属性，其中，所述私有属性为管理控制中心的安全管理员为所述目标文件设置的安全类别信息，所述公有属性为通过查询预置的特征库获取到的所述目标文件的安全类别信息；

根据所述目标文件的安全属性信息以及从所述管理控制中心获取到的针对当前客户端的安全策略，判断是否允许运行对所述目标文件执行所述目标操作行为；所述安全策略用于保存允许和/或不允许在当前客户端执行所述目标操作行为的文件的安全属性信息集合；

根据判断结果对所拦截到的请求进行处理。

可选地，还包括：

在管理控制中心根据客户端所处的物理区域对安全性要求的不同，对物理区域进行划分，并分别为各个物理区域配置不同的安全策略；

客户端向所述管理控制中心发送获取安全策略的请求；

所述管理控制中心确定所述客户端所处的物理区域，将为该物理区域配置的安全策略返回给该客户端。

可选地，所述根据判断结果对所拦截到的请求进行处理包括：

如果所述判断结果为允许对所述目标文件执行所述目标操作行为，则将所述拦截到的请求放行。

可选地，所述根据判断结果对所拦截到的请求进行处理包括：

如果所述判断结果为不允许对所述目标文件执行所述目标操作行为，则将所述拦截到的请求丢弃。

可选地，还包括：

所述对所述请求进行拦截之后，加载显示预置的界面，用以显示正在进行安全性检测。

依据本发明的另一个方面，提供了一种文件操作控制***，包括客户端以及管理控制中心，其中，所述客户端包括：

监控单元，用于对目标文件的目标操作行为进行监控；

信息获取单元，用于当监控到对目标文件执行目标操作行为的操作请求时，将所述请求进行拦截，并由客户端通过网络向安全控制服务器的管理控制中心获取所述目标文件的安全属性信息；所述安全属性信息包括私有属性以及公有属性，其中，所述私有属性为管理控制中心的安全管理员为所述目标文件设置的安全类别信息，所述公有属性为通过查询预置的特征库获取到的所述目标文件的安全类别信息；

判断单元，用于根据所述目标文件的安全属性信息以及从所述管理控制中心获取到的针对当前客户端的安全策略，判断是否允许运行对所述目标文件执行所述目标操作行为；所述安全策略用于保存允许和/或不允许在当前客户端执行所述目标操作行为的文件的安全属性信息集合；

处理单元，用于根据判断结果对所拦截到的请求进行处理。

可选地，所述管理控制中心包括：

配置单元，用于根据客户端所处的物理区域对安全性要求的不同，对物理区域进行划分，并分别为各个物理区域配置不同的安全策略；

所述客户端还包括：

请求单元，用于客户端向所述管理控制中心发送获取安全策略的请求；

所述管理控制中心还包括：

确定单元，用于确定所述客户端所处的物理区域，将为该物理区域配置的安全策略返回给该客户端。

可选地，所述处理单元包括：

放行子单元，用于如果所述判断结果为允许对所述目标文件执行所述目标操作行为，则将所述拦截到的请求放行。

可选地，所述处理单元包括：

丢弃子单元，用于如果所述判断结果为不允许对所述目标文件执行所述目标操作行为，则将所述拦截到的请求丢弃。

可选地，所述客户端还包括：

显示单元，用于所述对所述请求进行拦截之后，加载显示预置的界面，用以显示正在进行安全性检测。

根据本发明的文件操作控制方法及***，可以根据目标文件的安全属性信息以及管理控制中心为该客户端配置的安全策略，判断是否允许在当前客户端上对该文件执行目标操作行为。其中，安全属性信息不仅可以包括根据企业级安全产品的特征库确定出的文件的公有属性，还可以包括企业内部的管理员为文件配置的私有属性，并且，在安全策略中，也是同时体现这两方面的安全属性信息，这样，在判断时，就可以基于这两方面的信息进行综合性的判断，可以使得企业版安全产品体现出针对不同企业的个性化特点，在安全控制方面体现出更强的灵活性。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了根据本发明一个实施例的方法的流程图；以及

图2示出了根据本发明一个实施例的***的示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

参见图1，本发明实施例首先提供了一种文件操作控制方法，该方法可以包括以下步骤：

S101：客户端对目标文件的目标操作行为进行监控；

所谓的目标操作行为可以包括运行目标文件、一个程序查看另一个程序的某文件（例如通讯录等）或存放在硬盘中的照片，等等。为了便于描述，下文中均以运行文件为例进行介绍。

在本发明实施例中，并不是进行全盘扫描式的病毒查杀等操作，而是在用户想要运行某文件（包括打开某文档、打开某可执行文件等等）时，针对该当前要运行的文件进行安全性检测，以便确定是否允许当前用户运行该文件。为此，可以预先在***中注册钩子函数，对文件运行类的API（ApplicationProgramming Interface，应用程序编程接口）函数进行钩挂（HOOK），这样，当通过调用对应的API函数准备运行某文件时，就会将调用的地址转向本发明实施例中的企业版安全产品的客户端。

S102：当监控到对目标文件执行目标操作行为的操作请求时，将所述请求进行拦截，并由客户端通过网络向安全控制服务器的管理控制中心获取所述目标文件的安全属性信息；所述安全属性信息包括私有属性以及公有属性，其中，所述私有属性为管理控制中心的安全管理员为所述目标文件设置的安全类别信息，所述公有属性为通过查询预置的特征库获取到的所述目标文件的安全类别信息；

监控到运行某目标文件的请求之后，就可以将该请求进行拦截，也即暂时不会将该请求发送到原API函数所在的地址处，而是先进行安全相关的处理。在本发明实施例中，当客户端拦截到运行目标文件的请求之后，就可以向企业版安全产品的管理控制中心获取目标文件的安全属性信息。具体在向管理控制中心获取目标文件的安全属性信息时，可以在客户端对目标文件进行特征提取，包括目标文件的文件名、md5值等静态特征，还可以包括目标文件的动态特征等等，然后发送到管理控制中心，在管理控制中心根据目标文件的特征来查询目标文件的安全属性信息，然后再返回给客户端。或者，在另一种实现方式下，也可以直接将目标文件发送到管理控制中心，然后在管理控制中心对目标文件进行特征提取，并查询其安全属性信息。其中，无论是在客户端进行特征的提取，还是在管理控制中心进行文件特征的提取，具体的提取方法都可以是相同的。

当然，由于一个管理控制中心通常会对应多个客户端，因此，如果所有客户端中的待运行文件都上传到管理控制中心进行特征提取，则一方面会造成对管理控制中心存储空间的占用，另一方面，在多个请求并发的情况下，会造成排队的现象，进而降低管理控制中心的响应速度，因此，在大多数的情况下，均可以采用在客户端对文件进行特征提取，然后上传到管理控制中心的方式。

在本发明实施例中，待运行文件的安全属性信息可以由两部分组成，其中一部分为文件的私有属性，另一部分为文件的公有属性。其中，所谓的私有属性是由企业中的管理员为目标文件配置的安全类别信息，具体实现时，可以在管理控制中心的显示界面中提供为各个文件配置私有属性的操作入口，管理员可以根据企业内部的具体需要，配置各个文件的安全类别信息。例如，私有属性中的安全类别信息可以分别用数字70、10、40表示黑、白、灰，也即，70代表文件最危险，10代表文件最安全，40则不能确定为是否安全。由于同一个文件在不同的企业中应用时，其安全类别可能会有所不同，因此，考虑到这种企业间的差异，本发明实施例中使用了私有属性的概念，由企业内部的管理员根据实际需要来设定文件的安全类别。在设定了文件的私有属性之后，可以在管理控制中心，保存一个文件与私有属性之间的映射表，在该映射表中，文件的标识可以用文件文件名来表示，但是为了避免针对不同文件名、相同文件内容的文件进行重复的设置及记录，也可以用文件的md5值等内容校验信息来表示。这样，当接收到客户端查询某目标文件的安全属性信息的请求时，就可以通过查询该映射表，获取到当前目标文件的私有属性。

需要说明的是，在实际应用中，目标文件的私有属性可以是在首次接收到查询某目标文件的安全属性信息时，由管理员进行配置的，在配置之后，则可以将该目标文件的标识信息与私有属性之间的对应关系添加到映射表中，供后续查询同样目标文件的其他客户端使用。这样，针对每次获取私有属性的请求，都可以执行以下流程：首先查询该映射表中，如果存在匹配的信息，则直接将对应的私有属性返回给客户端；如果不存在，则可以要求客户端将该目标文件上传至管理控制中心，然后由管理控制中心的管理员进行分析之后为其配置私有属性，返回给客户端，同时，将该目标文件的标识信息与私有属性之间的对应关系添加到映射表中，以此类推。

公有属性是指根据企业版安全产品的特征库确定出的文件的安全类别信息。企业版安全产品的特征库是面向所有的企业版用户的，不存在不同企业之间的差异，因此，相对于各个企业内部的管理员设置的私有属性而言，根据这种特征库获取到的文件安全信息成为公有属性。公有属性同样可以用数字70、10、40表示黑、白、灰。当管理控制中心接收到查询某目标文件的安全属性信息的请求时，就可以根据从目标文件中提取出的特征，查询该特征库，根据匹配的结果来确定目标文件的公有属性。例如，特征库中保存的是一个白名单以及一个黑名单，则如果发现目标文件的特征出现在白名单中，则证明该目标文件的公有属性为“白”，可以由“10”来表示；如果发现目标文件的特征出现在黑名单中，则证明该目标文件的公有属性为“黑”，可以由“70”来表示；如果发现目标文件的特征既没有出现在白名单中，也没有出现在黑名单中，则证明该目标文件的公有属性为“灰”，可以由“40”来表示。总之，可以通过查询预置的特征库来获取目标文件的公有属性。

其中，该特征库可以是保存在管理控制中心的本地，随着管理控制中心你的安装，下载到本地，并由远程的企业版安全产品服务器对其进行定期或者不定期的更新；接收到查询某目标文件的公有属性的请求时，管理控制中心直接根据本地保存的特征库进行查询。或者，为了避免占用管理控制中心的存储空间，该特征库也可以直接保存在企业版安全产品的服务器中，当管理控制中心接收到查询某目标文件的公有属性的请求时，可以将查询请求转发给服务器，根据服务器端的返回结果来确定出目标文件的公有属性。

总之，在管理控制中心接收到查询某目标文件的安全属性信息的请求之后，一方面可以返回该目标文件的私有属性信息，另一方面可以返回该目标文件的公有属性信息，这两方面的信息共同组成当前目标文件的安全属性信息。这样所有的安全属性信息在私有云中可以用7070、7010、7040，4070、4010、4040，1070、1010、1040等9个数字表示，数字的前两位表示文件的私有属性，后两位表示文件的公有属性。例如，接收到管理控制中心返回的目标文件的安全属性信息是7010，则证明该目标文件被企业版安全产品的特征库认为是安全的，但被当前企业中的管理员认为是不安全的，等等。

需要说明的是，在对一个运行文件的请求进行拦截之后，由于后续的安全性分析工作需要一段时间，因此，在这段期间内可以加载显示一个预置的界面，用以显示正在进行安全性检测等信息。

S103：根据所述目标文件的安全属性信息以及从所述管理控制中心获取到的针对当前客户端的安全策略，判断是否允许运行对所述目标文件执行所述目标操作行为；所述安全策略用于保存允许和/或不允许在当前客户端执行所述目标操作行为的文件的安全属性信息集合；

在本发明实施例中,客户端还可以预先从管理控制中心获取到针对该客户端的安全策略,所谓的安全策略也就是允许该客户端运行哪些文件,和/或不允许客户端运行哪些文件。允许或不允许客户端运行的文件可以由允许或不允许的安全属性信息的集合来表示。例如，针对当前客户端，允许运行的文件包括安全属性信息为“1010”、“1040”以及“1070”，则就可以在其安全策略中保存以下信息：允许在该客户端运行的文件为安全属性信息为“1010”、“1040”或“1070”的文件。客户端可以在本地对这种策略进行保存，如果查询到某目标文件的安全属性信息属于上述其中一种，则证明允许在当前客户端中运行，否则，不允许。

其中，客户端的安全策略可以是由管理控制中心通过HTTP等协议发送的，也即，可以由管理员在管理控制中心对客户端的安全策略进行配置，然后下发给客户端，以便客户端按照该策略执行。其中，企业网内的客户端有多个，而为各个客户端配置的安全策略可以是相同的，也可以不同。在相同的情况下，可以在管理控制中心提供统一的配置入口，在完成统一配置之后，统一下发给各个客户端；在不同的情况下，可以在管理控制中心分别为各个客户端提供安全策略配置入口，分别对各个客户端进行配置以及下发。或者，也可以是统一配置入口与单独配置入口单独存在。

在具体实现时，考虑到在企业内部往往存在以下情况：并不是所有的客户端对安全性的要求都是相同的，但也不是每个客户端对安全的要求都不同，而是可以按照对安全性要求的不同，将客户端分为几类。例如，有些客户端位于企业的核心区，这些客户端对安全性的要求会比较高，而有些客户端位于企业的办公区，则这些客户端对安全性的要求会略低，还有些客户端位于企业的客户区，则这些客户端对安全性的要求会更低，等等。因此，可以在管理控制中心根据客户端所处的物理区域对安全性要求的不同，对物理区域进行划分，并分别为各个物理区域配置不同的安全策略，例如，可以如表1所示：

表1

策略名称	允许运行的文件	禁止运行的文件
			核心区域	1010,1040,1070	4010,4040,4070,7010,7040,7070
办公区域	1010,1040,1070,4010	4040,4070,7010,7040,7070
			客户区域	1010,1040,1070,4010,4040	4070,7010,7040,7070
公共区域	1010,1040,4010,4040,7010,7040	1070,4070,7070

也即，如果某客户端处于企业的核心区域，则允许在其终端上运行的文件的安全属性信息包括1010,1040,1070，不允许在其终端上运行的文件的安全属性信息包括4010,4040,4070,7010,7040,7070；如果某客户端处于企业的办公区域，则允许在其终端上运行的文件的安全属性信息包括1010,1040,1070,4010，不允许在其终端上运行的文件的安全属性信息包括4040,4070,7010,7040,7070，以此类推。可以看出，对安全要求越高的区域允许运行的文件类型越少。例如，核心区域的策略中只允许私有属性为“白”的文件运行，而公共区域只禁止公有属性为“黑”的文件运行。当然，具体的区域划分方式以及区域对应的具体策略，都可以根据具体的需求进行具体的定制。

在对企业的物理区域进行划分并分别为各个物理区域配置了不同的安全策略之后，可以是由客户端向管理控制中心发起获取安全策略的请求，然后管理控制中心可以根据客户端的IP地址等信息确定出该客户端所在的物理区域，然后将为该物理区域配置的安全策略返回给该客户端。这样，客户端就可以根据该安全策略来对文件的运行进行安全控制了。在实际应用中，管理控制中心还可以定期或者不定期地对各个客户端的安全策略进行更新。

S104：根据判断结果对所拦截到的请求进行处理。

如果判断结果显示允许当前目标文件的运行，则可以将该拦截到的请求进行放行，这样，运行文件的请求会顺利到达原API函数的调用地址，进行文件的打开及后续的编辑等操作。而如果判断结果显示为不允许当前目标文件运行，则可以将拦截到的请求丢弃，也即，运行文件的请求不会到到原API函数的调用地址，该文件也就无法在该客户端运行，避免该客户端收到恶意文件的影响。

总之，在本发明实施例中，可以根据目标文件的安全属性信息以及管理控制中心为该客户端配置的安全策略，判断是否允许在当前客户端上对该文件执行目标操作行为。其中，安全属性信息不仅可以包括根据企业级安全产品的特征库确定出的文件的公有属性，还可以包括企业内部的管理员为文件配置的私有属性，并且，在安全策略中，也是同时体现这两方面的安全属性信息，这样，在判断时，就可以基于这两方面的信息进行综合性的判断，可以使得企业版安全产品体现出针对不同企业的个性化特点，在安全控制方面体现出更强的灵活性。

与本发明实施例提供的一种文件操作控制方法相对应，本发明实施例还提供了一种文件操作控制***，包括客户端以及管理控制中心，其中，参见图2，所述客户端可以包括：

监控单元201，用于对目标文件的目标操作行为进行监控；

信息获取单元202，用于当监控到对目标文件执行目标操作行为的操作请求时，将所述请求进行拦截，并由客户端通过网络向安全控制服务器的管理控制中心获取所述目标文件的安全属性信息；所述安全属性信息包括私有属性以及公有属性，其中，所述私有属性为管理控制中心的安全管理员为所述目标文件设置的安全类别信息，所述公有属性为通过查询预置的特征库获取到的所述目标文件的安全类别信息；

判断单元203，用于根据所述目标文件的安全属性信息以及从所述管理控制中心获取到的针对当前客户端的安全策略，判断是否允许运行对所述目标文件执行所述目标操作行为；所述安全策略用于保存允许和/或不允许在当前客户端执行所述目标操作行为的文件的安全属性信息集合；

处理单元204，用于根据判断结果对所拦截到的请求进行处理。

具体实现时，所述管理控制中心可以包括：

配置单元，用于根据客户端所处的物理区域对安全性要求的不同，对物理区域进行划分，并分别为各个物理区域配置不同的安全策略；

所述客户端还包括：

请求单元，用于客户端向所述管理控制中心发送获取安全策略的请求；

所述管理控制中心还包括：

确定单元，用于确定所述客户端所处的物理区域，将为该物理区域配置的安全策略返回给该客户端。

具体的，所述处理单元204可以包括：

放行子单元，用于如果所述判断结果为允许对所述目标文件执行所述目标操作行为，则将所述拦截到的请求放行。

或者，所述处理单元204也可以包括：

丢弃子单元，用于如果所述判断结果为不允许对所述目标文件执行所述目标操作行为，则将所述拦截到的请求丢弃。

另外，所述客户端还可以包括：

显示单元，用于所述对所述请求进行拦截之后，加载显示预置的界面，用以显示正在进行安全性检测。

在此提供的算法和显示不与任何特定计算机、虚拟***或者其它设备固有相关。各种通用***也可以与基于在此的示教一起使用。根据上面的描述，构造这类***所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书（包括伴随的权利要求、摘要和附图）中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书（包括伴随的权利要求、摘要和附图）中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器（DSP）来实现根据本发明实施例的文件操作控制设备中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序（例如，计算机程序和计算机程序产品）。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

本申请可以应用于计算机***/服务器，其可与众多其它通用或专用计算***环境或配置一起操作。适于与计算机***/服务器一起使用的众所周知的计算***、环境和/或配置的例子包括但不限于：个人计算机***、服务器计算机***、瘦客户机、厚客户机、手持或膝上设备、基于微处理器的***、机顶盒、可编程消费电子产品、网络个人电脑、小型计算机***﹑大型计算机***和包括上述任何***的分布式云计算技术环境，等等。

计算机***/服务器可以在由计算机***执行的计算机***可执行指令（诸如程序模块）的一般语境下描述。通常，程序模块可以包括例程、程序、目标程序、组件、逻辑、数据结构等等，它们执行特定的任务或者实现特定的抽象数据类型。计算机***/服务器可以在分布式云计算环境中实施，分布式云计算环境中，任务是由通过通信网络链接的远程处理设备执行的。在分布式云计算环境中，程序模块可以位于包括存储设备的本地或远程计算***存储介质上。

Claims (10)

1.一种文件操作控制方法，包括：

客户端对目标文件的目标操作行为进行监控；

当监控到对目标文件执行目标操作行为的操作请求时，将所述请求进行拦截，并由客户端通过网络向安全控制服务器的管理控制中心获取所述目标文件的安全属性信息；所述安全属性信息包括私有属性以及公有属性，其中，所述私有属性为管理控制中心的安全管理员为所述目标文件设置的安全类别信息，所述公有属性为通过查询预置的特征库获取到的所述目标文件的安全类别信息；

根据所述目标文件的安全属性信息以及从所述管理控制中心获取到的针对当前客户端的安全策略，判断是否允许运行对所述目标文件执行所述目标操作行为；所述安全策略用于保存允许和/或不允许在当前客户端执行所述目标操作行为的文件的安全属性信息集合；

根据判断结果对所拦截到的请求进行处理。

2.如权利要求1所述的方法，还包括：

在管理控制中心根据客户端所处的物理区域对安全性要求的不同，对物理区域进行划分，并分别为各个物理区域配置不同的安全策略；

客户端向所述管理控制中心发送获取安全策略的请求；

所述管理控制中心确定所述客户端所处的物理区域，将为该物理区域配置的安全策略返回给该客户端。

3.如权利要求1所述的方法，所述根据判断结果对所拦截到的请求进行处理包括：

如果所述判断结果为允许对所述目标文件执行所述目标操作行为，则将所述拦截到的请求放行。

4.如权利要求1所述的方法，所述根据判断结果对所拦截到的请求进行处理包括：

如果所述判断结果为不允许对所述目标文件执行所述目标操作行为，则将所述拦截到的请求丢弃。

5.如权利要求1所述的方法，还包括：

所述对所述请求进行拦截之后，加载显示预置的界面，用以显示正在进行安全性检测。

6.一种文件操作控制***，包括客户端以及管理控制中心，其中，所述客户端包括：

监控单元，用于对目标文件的目标操作行为进行监控；

信息获取单元，用于当监控到对目标文件执行目标操作行为的操作请求时，将所述请求进行拦截，并由客户端通过网络向安全控制服务器的管理控制中心获取所述目标文件的安全属性信息；所述安全属性信息包括私有属性以及公有属性，其中，所述私有属性为管理控制中心的安全管理员为所述目标文件设置的安全类别信息，所述公有属性为通过查询预置的特征库获取到的所述目标文件的安全类别信息；

判断单元，用于根据所述目标文件的安全属性信息以及从所述管理控制中心获取到的针对当前客户端的安全策略，判断是否允许运行对所述目标文件执行所述目标操作行为；所述安全策略用于保存允许和/或不允许在当前客户端执行所述目标操作行为的文件的安全属性信息集合；

处理单元，用于根据判断结果对所拦截到的请求进行处理。

7.如权利要求6所述的***，所述管理控制中心包括：

配置单元，用于根据客户端所处的物理区域对安全性要求的不同，对物理区域进行划分，并分别为各个物理区域配置不同的安全策略；

所述客户端还包括：

请求单元，用于客户端向所述管理控制中心发送获取安全策略的请求；

所述管理控制中心还包括：

确定单元，用于确定所述客户端所处的物理区域，将为该物理区域配置的安全策略返回给该客户端。

8.如权利要求6所述的***，所述处理单元包括：

放行子单元，用于如果所述判断结果为允许对所述目标文件执行所述目标操作行为，则将所述拦截到的请求放行。

9.如权利要求6所述的***，所述处理单元包括：

丢弃子单元，用于如果所述判断结果为不允许对所述目标文件执行所述目标操作行为，则将所述拦截到的请求丢弃。

10.如权利要求6所述的***，所述客户端还包括：

显示单元，用于所述对所述请求进行拦截之后，加载显示预置的界面，用以显示正在进行安全性检测。

Images