[发明专利]虚拟化环境中应用和设备控制的方法和技术

说明书

一种在安全虚拟机上运行的数据泄漏防护(DLP)管理器，其管理多个客户虚拟机的DLP策略。所述DLP管理器识别与文件打开或事件创建相关联的来源。所述来源为至少一个由客户虚拟机(GVM)使用的应用或设备。当根据来源控制策略所述来源为未经批准来源时，所述DLP管理器执行与所述GVM相关联的第一响应规则。当所述文件违背DLP策略时，所述DLP管理器执行第二响应规则。

技术领域

本发明的实施例一般涉及虚拟机系统，具体而言，其涉及虚拟化环境中的数据泄漏防护。

背景技术

在计算机科学中，虚拟机(VM)是软件的一部分，当软件在适当的硬件上运行时，会产生一种允许实际的物理计算机系统虚拟化的环境。每个VM可充当一个独立平台，运行其自身的操作系统(OS)和软件应用(进程)。通常，虚拟机监控器(VMM)管理计算机资源的分配和虚拟化，并执行背景切换(视情况需要)，从而在各个VM之间循环。

一个主机(例如，计算机或服务器)通常能同时运行多个VM，其中，每个VM可由一个远程客户端使用。所述主机将一定数量的主机资源分配给各个VM。各个VM随后能够使用所分配的资源执行各种应用，其中就包括被称为客户操作系统的操作系统。所述VMM将主机的基础硬件虚拟化或对硬件设备进行仿真，使得VM的使用对客户操作系统或使用VM的远程客户端而言是透明的。

虚拟机环境中的数据丢失防护(DLP)系统要求在各虚拟机上都安装代理，以防止因使用应用、可移动设备(即，U盘、CD/DVD盘)和网络共享而丢失敏感数据。然而，要确保使已创建的各个VM均具有最新的DLP代理，不仅具有挑战性，而且是对系统资源的低效使用。

发明内容

本发明的实施例提供一种运行在安全虚拟机上的DLP管理器，其管理多个客户虚拟机的DLP策略。DLP管理器能识别与文件打开或事件创建相关联的来源。所述来源至少为客户虚拟机(GVM)所使用的一个应用或设备。当根据来源控制策略，所述来源为未经批准来源时，DLP管理器执行与GVM相关联的第一响应规则。当文件违背DLP策略时，DLP管理器执行第二响应规则。DLP管理器能识别客户虚拟机的触发事件，并将DLP组件安装在客户虚拟机中。在一个实施例中，DLP管理器在客户虚拟机中安装一个DLP组件之后，才会启用客户虚拟机中的任何其他应用或设备。DLP组件与在安全虚拟机中运行的DLP管理器通信。DLP管理器还能从DLP组件接收文件系统事件，并在所述文件系统事件违背DLP策略的情况下，执行与客户虚拟机相关联的一个或多个响应规则。

在一种方法的一个实施例中，由计算系统执行的专用安全虚拟机(SVM)监控由计算系统执行的客户虚拟机(GVM)存取文件的文件打开或事件创建。所述专用SVM识别与文件打开或事件创建相关联的来源，其中所述来源至少为一个GVM所使用的应用或设备。当根据来源控制策略，与文件打开或事件创建相关联的所述来源为未经批准来源时，专用SVM执行与GVM相关联的第一响应规则。当文件违背数据泄漏防护(DLP)策略时，专用SVM执行与GVM相关联的第二响应规则。

在一个进一步的实施例中，专用SVM判断是否存在用以限制对已识别来源访问的来源控制策略，以便确定DLP策略是否要求监控所述来源。专用SVM监控与文件相关联的文件系统事件，以确定所述文件是否违背DLP策略。

在一个进一步的实施例中，专用SVM通过以下操作进行监控：识别与文件打开或事件创建相关联的文件关闭或保存事件；分析与文件关闭事件相关联的数据，以确定数据是否违背DLP策略；在数据违背DLP策略的情况下，执行与DLP策略相关联的第二响应规则。

在一个进一步的实施例中，在数据违背DLP策略时，专用SVM报告DLP策略的违背情况。

在一个进一步的实施例中，专用SVM确定DLP策略是否要求监控源应用；在应用试图打开文件时存储文件的副本；如应用在数据违背DLP策略情况下试图保存文件，，则恢复关闭事件中的文件副本。