CN105550597A - 一种基于信息扫描的终端管理方法和装置 - Google Patents

Abstract

本发明实施例提供了一种基于信息扫描的终端管理方法和装置，所述方法包括：根据预置的识别规则，从终端多个信息对象中识别特征信息对象，并将识别结果上传至服务器，接收所述服务器按照所述识别结果对所述终端配置的终端管理策略，所述终端管理策略指示终端中与所述特征信息对象关联的至少一个安全设置项的设置状态，执行所述终端管理策略，以实现对所述终端的安全管理。相对于传统的人工手动设置的终端管理策略，依据本发明的方案配置的终端管理策略可以更加全面地、有效地防护终端的安全。

Description

一种基于信息扫描的终端管理方法和装置

技术领域

本发明涉及互联网技术领域，特别是涉及一种基于信息扫描的终端管理方法和一种基于信息扫描的终端管理装置。

背景技术

随着互联网的广泛普及，很多机构都建立了网络信息***。大多数的网络信息***包括至少一个服务器和多个终端。

当终端存储有私密文件或重要文件时，需要对所述终端进行安全管理，防止终端存储的私密文件或重要文件泄露，保证终端存储的私密文件或重要文件安全。

例如，针对某个部门，有些涉及公司机密的文件，或是某个终端保存有私人账户信息，银行卡账号密码等，基于对私密文件、私人账户信息和银行***密码等安全的考虑，因此需要对不同的终端或是不同部门的终端分别配置不同的安全管理策略。但实际操作中，安全管理策略通常由工作人员设置，步骤繁琐且耗时；并且，由于终端权限的设置种类繁多，大部分人不知道如何设置，无法实现安全防护的效果。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的基于信息扫描的终端管理方法和相应的基于信息扫描的终端管理装置。

依据本发明的一个方面，提供了一种基于信息扫描的终端管理方法，包括：

根据预置的识别规则，从终端多个信息对象中识别特征信息对象，并将识别结果上传至服务器；

接收所述服务器按照所述识别结果对所述终端配置的终端管理策略，所述终端管理策略指示终端中与所述特征信息对象关联的至少一个安全设置项的设置状态；

执行所述终端管理策略，以实现对所述终端的安全管理。

可选地，在所述根据预置的识别规则，从终端多个信息对象中识别特征信息对象之前，所述方法还包括：

从服务器下载所述识别规则，或，接收服务器下发的识别规则。

可选地，在所述根据预置的识别规则，从终端多个信息对象中识别特征信息对象之前，所述方法还包括：

获取所述终端对所述信息对象的历史操作记录，从所述历史操作记录中提取历史操作的各个信息对象。

可选地，所述获取终端对信息对象的历史操作记录包括：

访问操作***的目标注册表，从所述目标注册表中读取对信息对象的历史访问记录和历史搜索记录；

和/或，从共享文件管理程序的关联位置，读取对多个操作***共享信息对象的共享访问记录。

可选地，所述识别规则指示所述特征信息对象的属性信息中包括的关键字，所述根据预置的识别规则，从终端多个信息对象中识别特征信息对象，并将识别结果上传至服务器包括：

若所述信息对象的属性信息命中所述识别规则指示的至少一个关键字，则确定所述信息对象为特征信息对象，所述属性信息包括所述信息对象的信息名称、信息类型和信息内容中至少一种；

将识别的特征信息对象和/或特征信息对象的个数上传至所述服务器。

可选地，所述识别规则指示按序识别的信息路径；

所述根据预置的识别规则，从终端多个信息对象中识别特征信息对象为：

按照优先识别的信息路径和/或忽略识别的信息路径，依次对各个信息对象进行识别。

可选地，所述识别规则指示识别多个信息对象的识别操作的执行时长、待识别的信息对象大小和数目中至少一种。

可选地，所述接收所述服务器按照所述识别结果对象对所述终端配置的终端管理策略包括：

接收所述服务器根据识别的特征信息对象的数目对所述终端配置的终端管理策略。

可选地，所述执行所述终端管理策略，以实现对所述终端的管理包括：

根据所述终端管理策略指示的设置状态，对所述终端至少一个安全设置项进行设置。

可选地，所述识别规则还指示包括各关键字的信息对象所属特征分类，所述根据预置的识别规则，从终端多个信息对象中识别特征信息对象，并将识别结果上传至服务器包括：

根据所述特征信息对象所命中的关键字，确定所述特征信息对象所属特征分类；

所述接收所述服务器按照所述识别结果对所述终端配置的终端管理策略为，接收所述服务器按照识别的特征信息对象的特征类型，对所述终端配置的终端管理策略。

本发明还提供了一种基于信息扫描的终端管理装置，包括：

特征信息对象识别模块，用于根据预置的识别规则，从终端多个信息对象中识别特征信息对象，并将识别结果上传至服务器；

终端管理策略接收模块，用于接收所述服务器按照所述识别结果对所述终端配置的终端管理策略，所述终端管理策略指示终端中与所述特征信息对象关联的至少一个安全设置项的设置状态；

终端管理策略执行模块，用于执行所述终端管理策略，以实现对所述终端的安全管理。

可选地，所述装置还包括：

识别规则接收模块，用于在所述根据预置的识别规则，从终端多个信息对象中识别特征信息对象之前，从服务器下载所述识别规则，或，接收服务器下发的识别规则。

可选地，所述装置还包括：

信息对象提取模块，用于在所述根据预置的识别规则，从终端多个信息对象中识别特征信息对象之前，获取所述终端对所述信息对象的历史操作记录，从所述历史操作记录中提取历史操作的各个信息对象。

可选地，所述信息对象提取模块包括：

历史记录读取子模块，用于访问操作***的目标注册表，从所述目标注册表中读取对信息对象的历史访问记录和历史搜索记录；

和/或，共享访问记录读取子模块，用于从共享文件管理程序的关联位置，读取对多个操作***共享信息对象的共享访问记录。

可选地，所述识别规则指示所述特征信息对象的属性信息中包括的关键字，所述特征信息对象识别模块包括：

特征信息对象确定子模块，用于若所述信息对象的属性信息命中所述识别规则指示的至少一个关键字，则确定所述信息对象为特征信息对象，所述属性信息包括所述信息对象的信息名称、信息类型和信息内容中至少一种；

识别结果发送子模块，用于将识别的特征信息对象和/或特征信息对象的个数上传至所述服务器。

可选地，所述识别规则指示按序识别的信息路径；

所述特征信息对象识别模块，具体用于按照优先识别的信息路径和/或忽略识别的信息路径，依次对各个信息对象进行识别。

可选地，所述识别规则指示识别多个信息对象的识别操作的执行时长、待识别的信息对象大小和数目中至少一种。

可选地，所述终端管理策略接收模块，具体用于接收所述服务器根据识别的特征信息对象的数目对所述终端配置的终端管理策略。

可选地，所述终端管理策略执行模块，具体用于根据所述终端管理策略指示的设置状态，对所述终端至少一个安全设置项进行设置。

可选地，所述识别规则还指示包括各关键字的信息对象所属特征分类，所述特征信息对象识别模块，具体用于根据所述特征信息对象所命中的关键字，确定所述特征信息对象所属特征分类；

所述终端管理策略接收模块，具体用于接收所述服务器按照识别的特征信息对象的特征类型，对所述终端配置的终端管理策略。

通过本发明实施例，根据预置的识别规则，自动检测终端多个信息对象，从终端多个信息对象中识别特征信息对象，并将识别结果上传至服务器，服务器根据上传的识别结果配置终端管理策略，终端按照服务器配置的终端管理策略自行调整与所述特征信息对象关联的至少一个安全设置项的设置状态。相对于传统的人工手动设置的终端管理策略，依据本发明的方案配置的终端管理策略可以更加全面地、有效地防护终端的安全。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了根据本发明实施例1的一种基于信息扫描的终端管理方法的步骤流程图；

图2示出了根据本发明实施例2的一种基于信息扫描的终端管理方法的步骤流程图；

图3示出了根据本发明实施例1的一种基于信息扫描的终端管理装置的结构框图；

图4示出了根据本发明实施例2的一种基于信息扫描的终端管理装置的结构框图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

参照图1，示出了根据本发明实施例1的一种基于信息扫描的终端管理方法的步骤流程图，具体可以包括如下步骤：

步骤101，根据预置的识别规则，从终端多个信息对象中识别特征信息对象，并将识别结果上传至服务器。

本发明实施例中，所述信息对象可以为存储于所述终端的文件、所述终端浏览的网站、所述终端的外接设备或其他可检测对象中至少一种，文件可以是各种类型的文档、多个操作***之间共享文件等。

特征信息对象可以为具备特殊属性的信息对象，例如危险性比较高，或是涉及保密内容，或是其他需要引起对终端进行安全防护的情况等等，基于终端存在的特征信息对象，需要配置对应的安全防护策略，以维护终端或是信息对象的安全。

识别规则可以用于从终端多个信息对象中识别特征信息对象。例如，识别规则可以指示特征信息对象的文件名称或所包含的关键字，可以为包括文件名称或关键字的的正则表达式等，所述识别结果可以为识别出的特征信息对象和/或识别出的特征信息对象的数目。

在终端管理时，接收服务器发送的识别规则，根据接收的识别规则，从终端多个信息对象中识别特征信息对象后，进一步可以对识别出的特征信息对象进行统计，例如可以统计特征信息对象的数目和统计特征信息对象数目占信息对象总数的比例，可以基于预先划分的特征信息对象数目占信息对象总数的比例与终端价值等级的关系，确定终端的价值等级，还可以统计其他信息，本发明在此不做限制。以将检测结果及统计结果展示在终端页面，以供用户查看。依据预置的识别规则，可以实现对全网所有终端多个信息对象的识别，使终端安全管理的范围更加全面。

在具体实现中，可以提供本发明对应的客户端，在客户端设置用于识别规则的编辑页面，提供识别规则的设定或是添加入口。

当信息对象为文档时，特征信息对象可以为黑文件或是有特殊信息的文件，可以根据实际需求制定识别规则，例如，可以根据文件名，具体的可以通过查找终端内具有所述文件名的文件，确定特征信息对象；可以根据文件内容，具体的可以通过查找终端内具有所述文件内容的文件，确定特征信息对象，所述文件内容可以包括多种，如关键字、作者、语句等其他内容；可以根据文件路径，具体的可以通过查找指定文件路径下的文件，确定特征信息对象。

当信息对象为网站时，特征信息对象为可能给终端或终端上的网页浏览程序带来安全威胁的网站，可以预置各种关键词或黑名单进行识别。例如，可以预置网站名称或网站网址或其他信息，从历史访问记录中，查找具有所述网站名称或网站网址的网站。

当信息对象为终端的外接设备时，例如U盘、键盘等。特征信息对象可以为对终端具有安全威胁的外接设备或是需要特殊保护的外接设备，可以根据外接设备的各种接入信息进行识别，例如可以根据设备名称进行识别，根据外接设备的属性(例如名称，容量等)进行识别等。

步骤102，接收所述服务器按照所述识别结果对所述终端配置的终端管理策略，所述终端管理策略指示终端中与所述特征信息对象关联的至少一个安全设置项的设置状态。

本发明实施例中，终端管理策略可以为对终端特征信息对象进行安全管理的安全管理策略。服务器可以根据接收的识别结果配置安全管理策略。

所述安全设置项可以包括以下至少一种：实现身份鉴别的安全设置项、实现安全审计的安全设置项、实现访问控制的安全设置项、实现资源控制的安全设置项和实现入侵防范的安全设置项。

进一步，实现身份鉴别的安全设置项可以包括实现登陆失败限制的安全设置项、实现本地身份盗用的安全设置项、实现密码维护要求的安全设置项以及其他安全设置项中的一种或多种。其中，实现登陆失败限制的安全设置项可以包括账户锁定阈值、账户锁定时间和重设账户锁定计数器的时间等安全设置项；实现本地身份盗用的安全设置项可以包括唤醒计算机时需要密码(接通电池)、唤醒计算机时需要密码(接通电源)、启动屏幕保护程序和密码保护屏幕保护程序等安全设置项；实现密码维护要求的安全设置项可以包括密码长度、密码最短使用期限、密码最长使用期限和强制密码历史等安全设置项。针对实现身份鉴别的安全设置项中包含的至少一个设置项，可以设置账户锁定次数、账户锁定时间、密码最少字符数、期限天数、强制密码历史个数、云盘类型、容量级别(例如GB、TB等)、处理方式以及其他设置参数中的一种或多种，生成所述安全设置项的设置状态。例如可以设置密码长度为8字符、密码最短使用期限为1天、密码最长使用期限为90天、强制密码历史为10个以及处理方式为自动处理方式。

实现安全审计的安全设置项可以包括实现账户管理审核、实现登陆注销审核、实现其他操作权限以及其他设置项中的一种或多种。进一步，实现账户管理审核的安全设置项可以包括审核计算机账户管理、审核用户账户管理、审核账户锁定和审核其他账户管理事件等安全设置项；实现登陆注销审核的安全设置项可以包括审核登陆事件、审核凭据验证、审核其他账户登陆事件、审核注销、审核其他登陆/注销事件和审核特殊登陆等安全设置项；实现其他操作权限的安全设置项可以包括审核身份验证服务和审核安全组管理等设置项。

相应地，针对实现安全审计的安全设置项中包含的至少一个设置项，可以设置审核结果(例如成功、失败、成功和失败)、审核形式(例如有审核、审核)、云盘类型、容量级别(例如GB、TB等)、处理方式以及其他设置参数中的一种或多种，生成所述安全设置项的设置状态。

实现访问控制的安全设置项可以包括实现网络安全访问控制的安全设置项、实现账户访问控制的安全设置项和实现账户权限控制的安全设置项等。其中，实现网络安全访问控制的安全设置项可以包括不允许SAM(SecurityAccountManager，安全帐号管理器)账户的匿名枚举、不允许SAM账户和共享的匿名枚举、可匿名访问的命名管道、可匿名访问的共享、用于未验证的RPC(RemoteProcedureCallProtocol，远程过程调用协议)客户端的限制、RPC重点映射程序客户端验证和禁止远程桌面等安全设置项；实现账户访问控制的安全设置项可以包括来宾账户状态和使用空密码的本地账户只允许进行控制台登陆等安全设置项；实现账户权限控制的安全设置项可以包括拒绝网络访问此计算机和允许通过远程桌面服务登录等安全设置项。

相应地，针对实现访问控制的安全设置项中包含的至少一个设置项，可以设置安全设置项指示的操作权限的使用状态(例如启动、禁用)、账户权限参数(例如只允许客户、只允许管理员)、云盘类型、容量级别(例如GB、TB等)、处理方式以及其他设置参数中的一种或多种，生成所述安全设置项的设置状态。

实现资源控制的安全设置项可以包括实现服务资源控制的安全设置项、实现功能组件控制的安全设置项和实现设备资源控制的安全设置项等。进一步，实现服务资源控制的安全设置项可以包括BluetoothSupportService(蓝牙支持服务)、TerminalServices(远程桌面服务)和FTPPublishingService(文件传送协议发布服务)等安全设置项；实现功能组件控制的安全设置项可以包括InternetInformationService(互联网信息服务)Telnet(远程登录)服务器等安全设置项；实现设备资源控制的安全设置项可以包括允许远程访问即插即用接口设置项等安全设置项。

相应地，针对实现资源控制的安全设置项中包含的至少一个设置项，可以设置安全设置项指示的操作权限的使用状态(例如启动、禁用)、功能组件的安装状态(例如允许安装、不允许安装)、云盘类型、容量级别(例如GB、TB等)、处理方式以及其他设置参数中的一种或多种，生成所述安全设置项的设置状态。

实现入侵防范的安全设置项可以包括实现网络配置入侵防范的安全设置项和实现应用安全配置入侵防范的安全设置项等。进一步，实现网络配置入侵防范的安全设置项可以包括关闭手写个性化数据共享等安全设置项；实现应用安全配置入侵防范的安全设置项可以包括关闭外壳协议保护模式、关闭资源管理器的数据执行保护和关闭自动播放等安全设置项。

相应地，针对实现入侵防范的安全设置项中包含的至少一个设置项，可以设置安全设置项指示的操作权限的使用状态(例如启动、禁用)、云盘类型、容量级别(例如GB、TB等)、处理方式以及其他设置参数中的一种或多种，生成所述安全设置项的设置状态。

在具体实现中，可以在服务器客户端设置制定终端管理策略编辑页面，通过在编辑页面中选择或填入与所述特征信息对象关联的至少一个安全设置项的设置状态，生成相应的终端管理策略。

步骤103，执行所述终端管理策略，以实现对所述终端的管理。

所述终端管理策略指示与所述特征信息对象关联的操作权限。

本发明实施例中，在接收服务器配置的终端管理策略后，执行相应的终端管理策略，实现对所述终端的管理，在执行时，可以针对终端中某些不匹配的设置项，对其进行修复。

在具体实现中，在终端管理结束后，可以对管理结果进行统计，例如，可以统计检测出的不匹配的安全设置项、统计的不匹配的安全设置项的数目和统计的不匹配的安全设置项数目占终端安全设置项总数目的比例，可以基于预先划分的不匹配的安全设置项数目占终端安全设置项总数目的比例与终端防护等级的对应关系，确定终端当前的防护等级，并可以展示在终端页面上以供查看。

依据本发明实施例，根据预置的识别规则，自动检测终端多个信息对象，从终端多个信息对象中识别特征信息对象，并将识别结果上传至服务器，服务器根据上传的识别结果配置终端管理策略，终端按照服务器配置的终端管理策略自行调整与所述特征信息对象关联的至少一个安全设置项的设置状态。相对于传统的人工手动设置的终端管理策略，依据本发明的方案配置的终端管理策略可以更加全面地、有效地防护终端的安全。

参照图2，示出了根据本发明实施例2的一种基于信息扫描的终端管理方法的步骤流程图，具体可以包括如下步骤：

步骤201，从服务器下载所述识别规则，或，接收服务器下发的识别规则。

本发明实施例中，可以在服务器安装一客户端，在服务器配置识别规则；也可以将预先配置的识别规则存储至服务器。

执行终端安全管理策略时，可以向服务器发送下载识别规则的指示，服务器接收到指示后将识别规则反馈至终端；或者，可以在服务器预先设置下发识别规则的时间，以实现服务器按设定时间下发识别规则。

步骤202，根据预置的识别规则，从终端多个信息对象中识别特征信息对象，并将识别结果上传至服务器。

在具体实现中，识别规则可以指示所述特征信息对象的属性信息中包括的关键字，可以指示按序识别的信息路径、可以指示识别多个信息对象的识别操作的执行时长、待识别的信息对象大小和数目中至少一种、可以指示包括各关键字的信息对象所属特征分类和其他信息。

当识别规则指示所述特征信息对象的属性信息中包括的关键字时，若所述信息对象的属性信息命中所述识别规则指示的至少一个关键字，则确定所述信息对象为特征信息对象。

具体地，所述识别规则指示的关键字可以为单个字词或数字或符号，也可以为多个字词或数字或符号的组合，按照识别规则对终端文件进行关键字检测时，首先打开文件，将文件内容读取到终端内存，利用正则匹配规则，检索该文件中时是否存在关键字，可以将命中的特征文件或统计的特征文件的数目上报至服务器，所述服务器可以为私有云服务器、公有云服务器或另一个终端。

信息对象的属性信息包括所述信息对象的信息名称、信息类型和信息内容中至少一种，还可以是其他任意适用的类型，例如信息大小，本发明对此并做限制。

当属性信息包括信息对象的信息名称时，识别规则指示的关键字可以为信息对象的信息名称，可以根据识别规则指示的信息对象的信息名称，将终端内符合所述信息名称的文件确定为特征文件，并将确定的特征文件上传至服务器。例如，识别规则指示文件名黑名单，包括“文件名1：readme.txt”和“文件名2：md5.exe”两个文件名，并指示包括上述任意一条文件名或同时包括两个文件名的文件，即可确认为特征文件。

当属性信息包括信息对象的信息类型时，识别规则指示的关键字可以为信息对象的信息类型，可以根据识别规则指示的文件类型，将终端内符合所述文件类型的文件确定为特征文件，并将确定的特征文件上传至服务器。文件类型可以为OfficeWord、OfficeExcel、WPS文本、WPS表格、txt文档、rtf文档、CSV文档、PDF文档或其它格式。

当属性信息包括信息对象的信息内容时，识别规则指示的关键字可以为信息内容的MD5值(Message-DigestAlgorithm5，第五套信息摘要算法)，可以将信息内容的MD5值符合所述MD5规则的文件确定为特征文件。命中MD5值的信息对象为特征信息对象，可以是危险文件或是具备某种特殊属性的文件。

优选地，识别规则还可以指示按序识别的信息路径时，可以按照优先识别的信息路径和/或忽略识别的信息路径，依次对各个信息对象进行识别。

具体地，可以按照指示的优先识别的信息路径，查找该路径下的特征文件；可以忽略指示的忽略识别的信息路径，查找其他路径下的特征文件。例如，识别规则指示优先识别的路径为：“C:\testdate”，则依据识别规则，查找该路径“C:\testdate”下的文件进行识别，在检测到特征文件后，可以将检测的特征文件和特征文件所在路径一并展示在桌面上，可以通过点击“确认”按钮，将价值文件上传至服务器。

优选地，识别规则还可以指示识别多个信息对象的识别操作的执行时长、待识别的信息对象大小和数目中至少一种时，可以依据识别规则依次对各个信息对象进行识别，将符合识别规则的特征信息对象或特征信息对象的数目发送至服务器。例如，识别规则指示待识别的信息对象大小小于200M，则在终端内只对小于200M的文件进行识别。

优选地，识别规则还可以指示各关键字的信息对象所属特征分类时，可以根据所述特征信息对象所命中的关键字，确定所述特征信息对象所属特征分类。

具体地，依据所述关键字识别出特征信息对象后，可以依据识别规则指示的关键字与信息对象所属特征分类的关系，确定所述特征信息对象所属特征分类，可以将命中的特征文件或统计的特征文件的数目上报至服务器。例如，识别规则指示的关键字为身份证号，并预先设定包括所述身份证号的特征文件属于机密文件，当在终端内识别出具有所述身份证号内容的文件后，确定识别出的特征文件属于机密文件，并将机密文件这一特征分类上传至服务器。

步骤203，接收所述服务器按照所述识别结果对所述终端配置的终端管理策略，所述终端管理策略指示与所述特征信息对象关联的操作权限。

在具体实现中，服务器内可以预先记录识别结果与终端管理策略的对应关系，例如特征信息对象与终端管理策略的对应关系、特征信息对象的数目与终端管理策略的对应关系或特征信息对象所属特征分类与终端管理策略的对应关系。

服务器接收到终端发送的识别结果后，可以根据记录的对应关系，确定所述识别结果对应的终端管理策略，并将确定的终端管理策略反馈至终端。

具体地，终端可以接收所述服务器根据识别的特征信息对象对所述终端配置的终端管理策略；可以接收所述服务器根据识别的特征信息对象的数目对所述终端配置的终端管理策略；可以接收所述服务器按照识别的特征信息对象的特征类型，对所述终端配置的终端管理策略。

步骤204，根据所述终端管理策略指示的设置状态，对所述终端至少一个安全设置项进行设置。

本发明实施例中，所述终端管理策略可以指示终端中与所述特征信息对象关联的至少一个安全设置项的设置状态，可以依据终端管理策略指示的安全设置项的设置状态，对所述终端至少一个安全设置项进行设置，以实现对所述终端的管理。

在具体实现中，根据所述终端管理策略指示的终端中与所述特征信息对象关联的安全设置项的设置状态，对所述终端至少一个安全设置项进行设置的步骤可以包括：

步骤S1，检测所述终端当前设置的与所述特征信息对象关联的至少一个安全设置项的设置状态。

具体地，执行所述终端管理策略时，检测所述终端内当前设置的、与所述特征信息对象关联的至少一个安全设置项的设置状态。

步骤S2，若当前设置的至少一个安全设置项的设置状态与所述终端管理策略不一致，则按照所述终端管理策略进行修复。

具体地，针对终端内检查出的特征信息对象，若当前设置的至少一个安全设置项的设置状态与所述终端管理策略不一致，则可以对其进行修复，更改成终端管理策略指示的设置状态，以满足终端管理策略的要求。

例如，检测所述终端当前设置的与所述特征信息对象关联的密码最短使用期限的设置状态，检测出的密码最短使用期限为5天，因为终端管理策略指示的密码最短使用期限为1天，终端当前的设置状态与终端管理策略不一致，所以对终端的密码使用期限进行修复，将终端的密码最短使用期限更改为1天，以满足终端管理策略的要求。具体操作中，可以在终端页面上显示修改密码最短使用期限的提示信息，并接收通过页面输入的修改后的密码最短使用期限1天。

进一步，可以对管理结果进行统计，例如，可以对符合终端管理策略的设置状态添加检测通过标识，可以待不符合终端管理策略的设置状态修复完成后，对其添加修复完毕标识；可以统计不匹配安全设置项的数目和统计不匹配设置项数目占终端安全设置项总数目的比例，以及基于预先划分的不匹配设置项数目占终端设置项总数目的比例与终端防护等级的对应关系，确定终端的防护等级，可以展示在终端页面以供查看。

本发明实施例中，优选地，在所述根据预置的识别规则，从终端多个信息对象中识别特征信息对象之前，所述方法还可以包括：

获取所述终端对所述信息对象的历史操作记录，从所述历史操作记录中提取历史操作的各个信息对象。

在具体实现中，浏览网页或网站、共享数据、使用U盘、检查账户、打开文件或其他操作时，终端可以对所述信息对象的操作进行记录，生成历史浏览记录、数据共享记录、U盘使用记录、文件访问打开记录等历史操作记录，并存储以供查看。

进一步，所述获取终端对信息对象的历史操作记录可以包括：

访问操作***的目标注册表，从所述目标注册表中读取对信息对象的历史访问记录和历史搜索记录；

和/或，从共享文件管理程序的关联位置，读取对多个操作***共享信息对象的共享访问记录。

操作***的目标注册表可以存储终端对信息对象的历史访问记录和历史搜索记录。具体地，预获取对信息对象的历史访问记录或历史搜索记录时，可以从操作***的目标注册表中读取所需数据。

共享文件管理程序将多个操作***共享信息对象的共享访问记录存储至关联位置，例如关联数据库、文件夹等。具体地，预读取对多个操作***共享信息对象的共享访问记录时，可以从共享文件管理程序的关联数据库或文件夹中读取所需数据。

依据本发明实施例，根据预置的识别规则，自动检测终端多个信息对象，从终端多个信息对象中识别特征信息对象，并将识别结果上传至服务器，服务器根据上传的识别结果配置终端管理策略，终端按照服务器配置的终端管理策略自行调整与所述特征信息对象关联的至少一个安全设置项的设置状态。相对于传统的人工手动设置的终端管理策略，依据本发明的方案配置的终端管理策略可以更加全面地、有效地防护终端的安全。

参照图3，示出了根据本发明实施例1的一种基于信息扫描的终端管理装置的结构框图，具体可以包括如下模块：

特征信息对象识别模块301，用于根据预置的识别规则，从终端多个信息对象中识别特征信息对象，并将识别结果上传至服务器。

终端管理策略接收模块302，用于接收所述服务器按照所述识别结果对所述终端配置的终端管理策略，所述终端管理策略指示终端中与所述特征信息对象关联的至少一个安全设置项的设置状态。

终端管理策略执行模块303，用于执行所述终端管理策略，以实现对所述终端的安全管理。

依据本发明实施例，根据预置的识别规则，自动检测终端多个信息对象，从终端多个信息对象中识别特征信息对象，并将识别结果上传至服务器，服务器根据上传的识别结果配置终端管理策略，终端按照服务器配置的终端管理策略自行调整与所述特征信息对象关联的至少一个安全设置项的设置状态。相对于传统的人工手动设置的终端管理策略，依据本发明的方案配置的终端管理策略可以更加全面地、有效地防护终端的安全。

参照图4，示出了根据本发明实施例2的一种基于信息扫描的终端管理装置的结构框图，具体可以包括如下模块：

识别规则接收模块401，用于从服务器下载所述识别规则，或，接收服务器下发的识别规则。

特征信息对象识别模块402，用于根据预置的识别规则，从终端多个信息对象中识别特征信息对象，并将识别结果上传至服务器。

终端管理策略接收模块403，用于接收所述服务器按照所述识别结果对所述终端配置的终端管理策略，所述终端管理策略指示终端中与所述特征信息对象关联的至少一个安全设置项的设置状态。

终端管理策略执行模块404，用于根据所述终端管理策略指示的设置状态，对所述终端至少一个安全设置项进行设置。

本发明实施例中，优选地，所述装置还可以包括：

信息对象提取模块，用于在所述根据预置的识别规则，从终端多个信息对象中识别特征信息对象之前，获取所述终端对所述信息对象的历史操作记录，从所述历史操作记录中提取历史操作的各个信息对象。

进一步，所述信息对象提取模块可以包括：

历史记录读取子模块，用于访问操作***的目标注册表，从所述目标注册表中读取对信息对象的历史访问记录和历史搜索记录；

和/或，共享访问记录读取子模块，用于从共享文件管理程序的关联位置，读取对多个操作***共享信息对象的共享访问记录。

本发明实施例中，优选地，所述识别规则指示所述特征信息对象的属性信息中包括的关键字，所述特征信息对象识别模块402可以包括：

特征信息对象确定子模块，用于若所述信息对象的属性信息命中所述识别规则指示的至少一个关键字，则确定所述信息对象为特征信息对象，所述属性信息包括所述信息对象的信息名称、信息类型和信息内容中至少一种；

识别结果发送子模块，用于将识别的特征信息对象和/或特征信息对象的个数上传至所述服务器。

本发明实施例中，优选地，所述识别规则可以指示按序识别的信息路径；

所述特征信息对象识别模块402，具体可以用于按照优先识别的信息路径和/或忽略识别的信息路径，依次对各个信息对象进行识别。

本发明实施例中，优选地，所述识别规则可以指示识别多个信息对象的识别操作的执行时长、待识别的信息对象大小和数目中至少一种。

本发明实施例中，优选地，所述终端管理策略接收模块403，具体可以用于接收所述服务器根据识别的特征信息对象的数目对所述终端配置的终端管理策略。

本发明实施例中，优选地，所述识别规则还指示包括各关键字的信息对象所属特征分类，所述特征信息对象识别模块402，具体可以用于根据所述特征信息对象所命中的关键字，确定所述特征信息对象所属特征分类；

所述终端管理策略接收模块403，具体可以用于接收所述服务器按照识别的特征信息对象的特征类型，对所述终端配置的终端管理策略。

依据本发明实施例，根据预置的识别规则，自动检测终端多个信息对象，从终端多个信息对象中识别特征信息对象，并将识别结果上传至服务器，服务器根据上传的识别结果配置终端管理策略，终端按照服务器配置的终端管理策略自行调整终端中与所述特征信息对象关联的至少一个安全设置项的设置状态。相对于传统的人工手动设置的终端管理策略，依据本发明的方案配置的终端管理策略可以更加全面地、有效地防护终端的安全。

对于装置实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

在此提供的算法和显示不与任何特定计算机、虚拟***或者其它设备固有相关。各种通用***也可以与基于在此的示教一起使用。根据上面的描述，构造这类***所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的基于信息扫描的终端管理设备中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

本发明公开了A1、一种基于信息扫描的终端管理方法，其中，包括：

根据预置的识别规则，从终端多个信息对象中识别特征信息对象，并将识别结果上传至服务器；

接收所述服务器按照所述识别结果对所述终端配置的终端管理策略，所述终端管理策略指示终端中与所述特征信息对象关联的至少一个安全设置项的设置状态；

执行所述终端管理策略，以实现对所述终端的安全管理。

A2、根据A1所述的方法，其中，在所述根据预置的识别规则，从终端多个信息对象中识别特征信息对象之前，所述方法还包括：

从服务器下载所述识别规则，或，接收服务器下发的识别规则。

A3、根据A1所述的方法，其中，在所述根据预置的识别规则，从终端多个信息对象中识别特征信息对象之前，所述方法还包括：

获取所述终端对所述信息对象的历史操作记录，从所述历史操作记录中提取历史操作的各个信息对象。

A4、根据A3所述的方法，其中，所述获取终端对信息对象的历史操作记录包括：

访问操作***的目标注册表，从所述目标注册表中读取对信息对象的历史访问记录和历史搜索记录；

和/或，从共享文件管理程序的关联位置，读取对多个操作***共享信息对象的共享访问记录。

A5、根据A1所述的方法，其中，所述识别规则指示所述特征信息对象的属性信息中包括的关键字，所述根据预置的识别规则，从终端多个信息对象中识别特征信息对象，并将识别结果上传至服务器包括：

若所述信息对象的属性信息命中所述识别规则指示的至少一个关键字，则确定所述信息对象为特征信息对象，所述属性信息包括所述信息对象的信息名称、信息类型和信息内容中至少一种；

将识别的特征信息对象和/或特征信息对象的个数上传至所述服务器。

A6、根据A1所述的方法，其中，所述识别规则指示按序识别的信息路径；

所述根据预置的识别规则，从终端多个信息对象中识别特征信息对象为：

按照优先识别的信息路径和/或忽略识别的信息路径，依次对各个信息对象进行识别。

A7、根据A1所述的方法，其中，所述识别规则指示识别多个信息对象的识别操作的执行时长、待识别的信息对象大小和数目中至少一种。

A8、根据A1所述的方法，其中，所述接收所述服务器按照所述识别结果对象对所述终端配置的终端管理策略包括：

接收所述服务器根据识别的特征信息对象的数目对所述终端配置的终端管理策略。

A9、根据A1所述的方法，其中，所述执行所述终端管理策略，以实现对所述终端的管理包括：

根据所述终端管理策略指示的设置状态，对所述终端至少一个安全设置项进行设置。

A10、根据A1所述的方法，其中，所述识别规则还指示包括各关键字的信息对象所属特征分类，所述根据预置的识别规则，从终端多个信息对象中识别特征信息对象，并将识别结果上传至服务器包括：

根据所述特征信息对象所命中的关键字，确定所述特征信息对象所属特征分类；

所述接收所述服务器按照所述识别结果对所述终端配置的终端管理策略为，接收所述服务器按照识别的特征信息对象的特征类型，对所述终端配置的终端管理策略。

本发明还公开了B11、一种基于信息扫描的终端管理装置，其中，包括：

特征信息对象识别模块，用于根据预置的识别规则，从终端多个信息对象中识别特征信息对象，并将识别结果上传至服务器；

终端管理策略接收模块，用于接收所述服务器按照所述识别结果对所述终端配置的终端管理策略，所述终端管理策略指示终端中与所述特征信息对象关联的至少一个安全设置项的设置状态；

终端管理策略执行模块，用于执行所述终端管理策略，以实现对所述终端的安全管理。

B12、根据B11所述的装置，其中，所述装置还包括：

识别规则接收模块，用于在所述根据预置的识别规则，从终端多个信息对象中识别特征信息对象之前，从服务器下载所述识别规则，或，接收服务器下发的识别规则。

B13、根据B11所述的装置，其中，所述装置还包括：

信息对象提取模块，用于在所述根据预置的识别规则，从终端多个信息对象中识别特征信息对象之前，获取所述终端对所述信息对象的历史操作记录，从所述历史操作记录中提取历史操作的各个信息对象。

B14、根据B13所述的装置，其中，所述信息对象提取模块包括：

历史记录读取子模块，用于访问操作***的目标注册表，从所述目标注册表中读取对信息对象的历史访问记录和历史搜索记录；

和/或，共享访问记录读取子模块，用于从共享文件管理程序的关联位置，读取对多个操作***共享信息对象的共享访问记录。

B15、根据B11所述的装置，其中，所述识别规则指示所述特征信息对象的属性信息中包括的关键字，所述特征信息对象识别模块包括：

特征信息对象确定子模块，用于若所述信息对象的属性信息命中所述识别规则指示的至少一个关键字，则确定所述信息对象为特征信息对象，所述属性信息包括所述信息对象的信息名称、信息类型和信息内容中至少一种；

识别结果发送子模块，用于将识别的特征信息对象和/或特征信息对象的个数上传至所述服务器。

B16、根据B11所述的装置，其中，所述识别规则指示按序识别的信息路径；

所述特征信息对象识别模块，具体用于按照优先识别的信息路径和/或忽略识别的信息路径，依次对各个信息对象进行识别。

B17、根据B11所述的装置，其中，所述识别规则指示识别多个信息对象的识别操作的执行时长、待识别的信息对象大小和数目中至少一种。

B18、根据B11所述的装置，其中：

所述终端管理策略接收模块，具体用于接收所述服务器根据识别的特征信息对象的数目对所述终端配置的终端管理策略。

B19、根据B11所述的装置，其中：

所述终端管理策略执行模块，具体用于根据所述终端管理策略指示的设置状态，对所述终端至少一个安全设置项进行设置。

B20、根据B11所述的装置，其中，所述识别规则还指示包括各关键字的信息对象所属特征分类，所述特征信息对象识别模块，具体用于根据所述特征信息对象所命中的关键字，确定所述特征信息对象所属特征分类；

所述终端管理策略接收模块，具体用于接收所述服务器按照识别的特征信息对象的特征类型，对所述终端配置的终端管理策略。

Claims (10)

1.一种基于信息扫描的终端管理方法，其中，包括：

根据预置的识别规则，从终端多个信息对象中识别特征信息对象，并将识别结果上传至服务器；

接收所述服务器按照所述识别结果对所述终端配置的终端管理策略，所述终端管理策略指示终端中与所述特征信息对象关联的至少一个安全设置项的设置状态；

执行所述终端管理策略，以实现对所述终端的安全管理。

2.根据权利要求1所述的方法，其中，在所述根据预置的识别规则，从终端多个信息对象中识别特征信息对象之前，所述方法还包括：

从服务器下载所述识别规则，或，接收服务器下发的识别规则。

3.根据权利要求1所述的方法，其中，在所述根据预置的识别规则，从终端多个信息对象中识别特征信息对象之前，所述方法还包括：

获取所述终端对所述信息对象的历史操作记录，从所述历史操作记录中提取历史操作的各个信息对象。

4.根据权利要求3所述的方法，其中，所述获取终端对信息对象的历史操作记录包括：

访问操作***的目标注册表，从所述目标注册表中读取对信息对象的历史访问记录和历史搜索记录；

和/或，从共享文件管理程序的关联位置，读取对多个操作***共享信息对象的共享访问记录。

5.根据权利要求1所述的方法，其中，所述识别规则指示所述特征信息对象的属性信息中包括的关键字，所述根据预置的识别规则，从终端多个信息对象中识别特征信息对象，并将识别结果上传至服务器包括：

若所述信息对象的属性信息命中所述识别规则指示的至少一个关键字，则确定所述信息对象为特征信息对象，所述属性信息包括所述信息对象的信息名称、信息类型和信息内容中至少一种；

将识别的特征信息对象和/或特征信息对象的个数上传至所述服务器。

6.根据权利要求1所述的方法，其中，所述识别规则指示按序识别的信息路径；

所述根据预置的识别规则，从终端多个信息对象中识别特征信息对象为：

按照优先识别的信息路径和/或忽略识别的信息路径，依次对各个信息对象进行识别。

7.根据权利要求1所述的方法，其中，所述识别规则指示识别多个信息对象的识别操作的执行时长、待识别的信息对象大小和数目中至少一种。

8.根据权利要求1所述的方法，其中，所述接收所述服务器按照所述识别结果对象对所述终端配置的终端管理策略包括：

接收所述服务器根据识别的特征信息对象的数目对所述终端配置的终端管理策略。

9.根据权利要求1所述的方法，其中，所述执行所述终端管理策略，以实现对所述终端的管理包括：

根据所述终端管理策略指示的设置状态，对所述终端至少一个安全设置项进行设置。

10.一种基于信息扫描的终端管理装置，其中，包括：

特征信息对象识别模块，用于根据预置的识别规则，从终端多个信息对象中识别特征信息对象，并将识别结果上传至服务器；

终端管理策略接收模块，用于接收所述服务器按照所述识别结果对所述终端配置的终端管理策略，所述终端管理策略指示终端中与所述特征信息对象关联的至少一个安全设置项的设置状态；

终端管理策略执行模块，用于执行所述终端管理策略，以实现对所述终端的安全管理。