專利名稱：基于資源屬性審核對數(shù)據(jù)的訪問的制作方法
技術領域：
本發(fā)明涉及操作系統(tǒng)的安全機制，尤其涉及審核策略。
背景技術：
審核對對象的訪問是操作系統(tǒng)的安全機制的有價值的部分。安全審核事件顯示出對象訪問的歷史(一般是誰以及在何時訪問了什么對象)，有助于診斷數(shù)據(jù)訪問。這對于諸如機構中的數(shù)據(jù)安全缺口的法庭調查這樣的情況有著實際含義。
為了改進系統(tǒng)性能并消除噪聲，由操作系統(tǒng)展示審核規(guī)則。這允許系統(tǒng)管理員指定根據(jù)其來觸發(fā)安全審核事件的標準。例如，管理員可以對特定對象類型(例如文件對象) 的對象訪問事件、特定主體(用戶/組)、訪問決策(許可或拒絕)或特定許可設置審核規(guī)則。
審核策略還允許管理員配置資源管理器范圍的審核策略。這種方案允許監(jiān)視對象相關的活動而無須跨系統(tǒng)中的每個個別對象而復制和同步審核策略。然而，該方法的缺陷在于，它生成了許多噪聲、洪泛(flood) 了系統(tǒng)日志并且降低了總體系統(tǒng)性能。由此，該方法僅被推薦用于，當訪問被拒這樣的差錯的源從用戶應用不是非?？梢姇r，對訪問被拒問題的診斷情況。

發(fā)明內容
提供本發(fā)明內容以便以簡化形式介紹將在以下的詳細描述中進一步描述的一些代表性概念。本發(fā)明內容不旨在標識出所要求保護的主題的關鍵特征或必要特征，也不旨在以限制所要求保護的主題的范圍的任何方式來使用。
簡言之，本文描述的主體的各方面針對這樣一種技術，根據(jù)該技術，相對于與一資源相關聯(lián)的一個或多個審核規(guī)則來評估該資源的元數(shù)據(jù)。審核規(guī)則可通過資源管理器與資源相關聯(lián)，例如，對于由此管理的所有這樣的資源、和/或對于該資源的資源專用的一個或多個審核規(guī)則。當訪問一資源時，相對于元數(shù)據(jù)(有可能連同環(huán)境屬性/狀態(tài)數(shù)據(jù))處理每一個審核規(guī)則以確定是否要為該規(guī)則生成審核事件。
在一種實現(xiàn)中，審核規(guī)則的是以一個或多個條件表達式的形式的。如果滿足，例如結果為真(TRUE)，則生成審核事件。
審核事件可以包括關于事件的各種數(shù)據(jù)，例如，訪問請求成功或失敗、用戶數(shù)據(jù)、 用戶聲明、資源數(shù)據(jù)、資源屬性、所請求的訪問類型、環(huán)境數(shù)據(jù)、失敗或成功理由、策略數(shù)據(jù)、 時戳和/或審核標識符。審核事件可以被維持在日志和/或數(shù)據(jù)庫中，并被查詢以獲得各種使用情況的審核信息。
結合附圖閱讀以下具體實施方式
，本發(fā)明的其他優(yōu)點會變得顯而易見。


作為示例而非限制，在附圖中示出了本發(fā)明，附圖中相同的附圖標記指示相同或相似的元素，附圖中 圖1是表示用于基于對象元數(shù)據(jù)來審核資源訪問的計算環(huán)境中的示例組件的框圖。
圖2是與審核事件和審核事件日志相關聯(lián)的各種信息的表示。
圖3是表示可由審核邏輯在接收到對象訪問請求時確定是否要觸發(fā)審核事件時采取的各步驟的流程圖。
圖4示出可以將本發(fā)明的各方面并入其中的計算環(huán)境的說明性示例。
具體實施例方式本文描述的技術的各方面一般針對基于對象的元數(shù)據(jù)來配置每對象的審核策略， 借此審核觸發(fā)受到對對象元數(shù)據(jù)的改變的影響。還描述了允許使用涉及對象(資源)屬性的條件表達式來定義審核規(guī)則，所述對象屬性諸如文件的敏感性、創(chuàng)建者、項目等。當處理規(guī)則時，相對于對象的屬性(以及可能基于環(huán)境屬性或諸如訪問請求從哪里始發(fā)這樣的其他狀態(tài)數(shù)據(jù))來評估條件表達式。如果表達式評估為真，則觸發(fā)審核事件；對象訪問也可被許可或拒絕。這允許基于對象的獨立于其在系統(tǒng)中的物理位置的特征來審核對象。
應當理解，此處的任何示例都是非限制性的。實際上，為說明起見，本文一般描述了對形式為文件的對象/資源的訪問，但是文件僅僅是對象/資源的一種類型；其他對象 /資源可包括任何數(shù)據(jù)集以及物理實體和/或虛擬實體，其中數(shù)據(jù)集諸如文件的諸部分、數(shù)據(jù)庫行和/或列等，物理實體諸如計算機和外圍設備，虛擬實體諸如應用角色。如此，本發(fā)明不限于此處所描述的任何特定實施例、方面、概念、結構、功能或示例。相反，本文描述的任何一個實施例、方面、概念、結構、功能或示例都是非限制性的，可以以一般而言在計算和資源審核時提供好處和優(yōu)點的各種方式來使用本發(fā)明。
圖1示出其中資源102目前與資源元數(shù)據(jù)104相關聯(lián)的示例計算環(huán)境。例如，如果資源102是文件，諸如由在目錄服務106 (例如Active Directory )定義的用戶所訪問的文件，則除了常規(guī)的文件屬性以外，資源元數(shù)據(jù)104可包括由分類過程確定的當前信息， 諸如文件是否包含敏感數(shù)據(jù)。分類過程可以例如通過作為資源訪問過程的一部分按需更新分類元數(shù)據(jù)，來執(zhí)行實時的資源標記。一種這樣的分類過程在第12/427，755號美國專利申請中進一步描述，該過程可包括處理數(shù)據(jù)項的內容，該專利申請通過引用被結合于此。該技術在微軟公司的Windows ^rver 2008 R2中實現(xiàn)為文件分類基礎結構(FCI)，并且可以用作文件服務器資源管理器(FSRM)服務器角色的一部分，所述文件分類基礎結構用于定義分類屬性并將其分配給文件，并且指定動作以應用于文件服務器上的文件。
資源元數(shù)據(jù)104以某一方式與資源102相關聯(lián)，所述方式例如通過根據(jù)某些規(guī)則將資源元數(shù)據(jù)自動分配給文檔的聲明性分類規(guī)則、通過指向在諸如系統(tǒng)范圍對象數(shù)據(jù)庫的中央位置中的分類屬性的高速緩存的參考指針、和/或通過將資源標簽存儲在文件資源的替代數(shù)據(jù)流中，如在通過引用被結合于此的第12/605,451號、題為“用于文件分類的替代數(shù)據(jù)流高速緩存(Alternate DataStream Cache for File Classification) ”的美國專利申請中描述的。注意到，資源元數(shù)據(jù)的一些或全部可以從分類規(guī)則中推斷出來，并且不必要被存儲。此外，任何被存儲的資源元數(shù)據(jù)104可以以任何方式被維持，包括與資源102物理上一起被保持，或者物理上與資源102分開(例如在一些數(shù)據(jù)庫和/或其他文件)、或者兩
4者的某一組合。圖1中用資源元數(shù)據(jù)104和資源102之間的虛線一般地表示了非存儲和/ 或存儲的這一方面，且如果被存儲則獨立于任一特定的物理關聯(lián)。
通常，資源元數(shù)據(jù)104由審核/授權引擎110的策略評估機制108來評估，以便基于連同訪問請求112 —起被提交給操作系統(tǒng)的用戶聲明114/訪問令牌116來許可或拒絕訪問請求112。除了常規(guī)訪問控制列表(ACL)評估對訪問令牌116以確定是許可還是拒絕訪問以外，可以相對于策略來評估資源元數(shù)據(jù)104的一些或全部，如通過引用結合于此的第12/622,441號美國專利申請中進一步描述的。
由此，資源元數(shù)據(jù)104包含可以與用戶聲明114聯(lián)合用來應用策略的信息。然而， 如果被高速緩存，資源元數(shù)據(jù)104可以是不適用的或者以其他方式無效。例如，存在許多經高速緩存的資源標簽不適用的方式，包括如果文件被修改或移動(從而使屬性不適用)；由此，這包括內容改變，和/或如果文件被重命名或移動到文件系統(tǒng)內的另一位置(這可能導致基于新位置的分類改變)。經高速緩存的資源元數(shù)據(jù)變?yōu)闊o效的另一種方式是如果在先前分類中使用的分類規(guī)則(在上述第12/427，755號美國專利申請中描述的)已經被修改， 和/或如果確定分類的模塊的內部狀態(tài)或配置被修改。例如，即使分類規(guī)則未改變，組合兩個或更多分類規(guī)則的順序和/或方式也可能改變，任何這樣的狀態(tài)改變可能導致不同的文件屬性分類結果，并因此導致無效的經高速緩存的資源標簽。
因此，在相對于用戶聲明評估資源元數(shù)據(jù)104以前，檢驗元數(shù)據(jù)的有效性和最新狀態(tài)以確定是否需要重新分類。如果是，則執(zhí)行重新分類，如在上述美國專利申請中描述的。注意到可以檢驗經高速緩存的屬性集中的部分或全部的有效性，和/或可以重新分類資源的部分或全部以更新經高速緩存的屬性集。
如本文描述的，除了允許或拒絕訪問請求112之外，審核/授權引擎110的審核事件生成邏輯118確定是否要生成一審核事件用于記錄在審核事件日志124中。這可以基于資源元數(shù)據(jù)104和/或環(huán)境屬性/狀態(tài)數(shù)據(jù)126。環(huán)境屬性的例子包括諸如日時、日期、請求源(例如瑞士以外)等標準。
可以理解，基于對象元數(shù)據(jù)進行審核的能力具有許多實際使用。例如，安全管理員通常需要確保對企業(yè)服務器中的敏感數(shù)據(jù)的訪問安全，所述企業(yè)服務器諸如文件服務器、 數(shù)據(jù)庫、協(xié)作服務器(例如SharePoint )等。作為安全的一部分，管理員審核對跨多個服務器的敏感數(shù)據(jù)的訪問嘗試，并且報告誰訪問了這些系統(tǒng)中的敏感數(shù)據(jù)。基于資源元數(shù)據(jù)的審核促進了諸如這樣的動作審核對特定用戶或安全組所創(chuàng)建/擁有的文件的訪問、審核對特定文件類型/擴展(例如數(shù)據(jù)庫文件、電子數(shù)據(jù)表)的訪問、審核對在特定日期范圍內創(chuàng)建的文件的訪問、審核對帶有敏感內容或被標記為機密的文件的訪問、審核對屬于特定項目或機構的一部分的文件的訪問，等等。
如圖1和2所示，事件日志IM可以相對于其訪問請求觸發(fā)了審核事件的機器而言被維持在本地，或者為了額外的安全，可以被保持在遠程，例如保持在審核數(shù)據(jù)庫20中。 事件日志可以從本地存儲被復制到遠程存儲，例如相對頻繁以避免篡改。
事件日志124中的每個審核事件222包括保持和審核事件222有關的信息的數(shù)據(jù)結構(例如，字符串、數(shù)據(jù)庫列數(shù)據(jù)、文件等)注意到，審核事件222可以根據(jù)成功訪問嘗試、失敗訪問嘗試或不考慮成功或失敗的任何嘗試而生成，該信息可以被保持作為審核事件的一部分。為審核事件222保持的一些或其他信息在圖2中示出，并且可以包括相對于誰或什么觸發(fā)了審核事件、結果、時間等的數(shù)據(jù)，諸如用戶、用戶聲明、資源、特性、訪問請求、環(huán)境數(shù)據(jù)、失敗或成功理由、策略、時戳、審核ID等。下面描述了這種數(shù)據(jù)的各種示例使用。
在一種實現(xiàn)中，審核規(guī)則130(圖1)被創(chuàng)建并被提供給審核/授權引擎110。如下所述，管理員等可能確定了零個或多個審核規(guī)則，每一個審核規(guī)則可以與資源管理器相關聯(lián)(例如應用于全部文件)或者與特定的資源/對象相關聯(lián)(例如審核該特定文件)。審核規(guī)則的形式可以是一個或多個條件表達式，其中對象元數(shù)據(jù)104對應于表達式中的一個或多個變量。由條件表達式對對象元數(shù)據(jù)的評估允許基于諸如文件的敏感性、自創(chuàng)建的天數(shù)等對象特性來動態(tài)地觸發(fā)審核事件。
以下提出了對文件的審核規(guī)則的條件表達式的一些例子 “如果(iResource. sensitivity = = ΒΓAND(iResource. project = = ‘foo'ORi Resource, project = = ’ bar’))，則審核成功讀取所有人” —如果文件敏感性被標記為HBI(高商業(yè)影響)且屬于項目foo或bar，則評估為真(TRUE)。該規(guī)則在條件返回真時設置針對任一成功讀取訪問的審核觸發(fā)器。
“如果(iResource. salesRegion = =' Asia' ANDiResource. customer = =’ XYZCorp’)，則審核讀取所有人” —如果文件屬于適當?shù)匿N售區(qū)域或消費者則評估為真。該規(guī)則在條件返回真時設置針對任一讀取請求的審核觸發(fā)器。
如果(; resource, sensitivity = =, High，AND resource, project = =，foobar')則審核讀取/刪除 —如果文件敏感性被標記為高(High)且文件屬于項目foobar則評估為真。該規(guī)則在條件返回真時設置針對任一成功讀取/刪除訪問的審核觸發(fā)器。
每個審核規(guī)則可以連同現(xiàn)有審核規(guī)則框架所支持的用戶、許可、成功/失敗標準一起使用。審核規(guī)則可以在特定對象上設置。審核規(guī)則也可以在資源管理器范圍內在多個對象上設置。例如，諸如NTFS這樣的文件系統(tǒng)可以是資源管理器，由此資源管理器范圍可以對應于該文件系統(tǒng)的文件；SharePoint 是多個資源的資源管理器的另一個例子。
在一種實現(xiàn)中，資源(對象)元數(shù)據(jù)按照慣例被表示為名字值對，例如“敏感性= 高”、“自創(chuàng)建起的天數(shù)=20”等。元數(shù)據(jù)104可以是相對靜態(tài)的(例如創(chuàng)建者、題目、文件擴展)，或者可以是相對動態(tài)的(例如，文件的敏感性、自創(chuàng)建的天數(shù)等)。元數(shù)據(jù)104需要根據(jù)要求準確地確保安全；對于給定的情況，可以使用任意的和強制的訪問控制模型。例如， 可以使用強制模型來確保諸如文件敏感性等特定屬性的安全，而可由對象擁有者來修改較不敏感的屬性。
圖3示出可以在審核規(guī)則處理中采取的一般步驟，審核對象處理一般應用于資源管理器范圍的審核規(guī)則，也應用于對象范圍內的審核規(guī)則。注意到對于資源管理器范圍內的審核規(guī)則，針對跨資源管理器所控制的對象集(例如，文件系統(tǒng)類型的資源管理器的全部文件對象)的對象訪問而處理“全局”審核規(guī)則。如下所述，如果資源管理器范圍審核規(guī)則應用，則相對于對其請求訪問的對象的元數(shù)據(jù)而評估條件表達式。如果對象本身具有所指定的審核規(guī)則，則可以評估那些每對象的審核規(guī)則，例如遵循任一全局審核規(guī)則處理。
在步驟301和302，當(由主體)請求對可保證安全的資源(在圖3中稱為對象)的訪問時，給定用戶上下文(用戶聲明)和對象的安全描述符(例如ACL和/或其他策略)， 操作系統(tǒng)安全機制評估對該對象的訪問。訪問因此被許可或拒絕。
步驟304表示進一步的審核評估過程，該過程進行檢查，來看該對象是否是為了審核事件而配置，即，是否為該對象定義了一個或多個審核規(guī)則。如果是，在步驟306，則連同對象上下文一起，把訪問請求評估的結果(訪問被許可/拒絕)、用戶上下文、許可/拒絕的許可傳送至審核邏輯118(圖1)。對象上下文包含與對象(諸如在安全描述符中)和對象元數(shù)據(jù)相關聯(lián)的審核規(guī)則。
在步驟308和310，審核邏輯評估審核規(guī)則以確定是否需要觸發(fā)一事件。通過評估諸如主體、許可、成功/失敗等某些標準來檢查審核規(guī)則的適用性。例如，指定只有訪問被拒絕(訪問失敗)可能導致觸發(fā)審核事件的審核規(guī)則會在步驟310過濾出成功訪問。
如果審核規(guī)則在步驟310被視為不適用，則在步驟312相對于對象元數(shù)據(jù)來評估該審核規(guī)則內的一個或多個條件表達式。如果對于該對象滿足條件表達式，即，結果為真 (步驟314)，則在步驟316生成一審核事件(并按需記錄)。
步驟318對于相對于對象訪問待處理的任何其他規(guī)則而重復。
當在對象范圍內使用時，本文描述的審核方案提出了一種受到對象元數(shù)據(jù)內改變的影響的一種靈活的、動態(tài)的審核策略。這允許管理員基于對象屬性來建立用于生成審核的標準，所述對象屬性諸如文件的敏感性、與之相關聯(lián)的創(chuàng)建者或項目、等等。當對象特性改變時，審核規(guī)則的結果也可以改變。這允許在以下情況下的動態(tài)審核當文件在一不同的項目下被改變時、文件用敏感數(shù)據(jù)修改、當文件尺寸超出一特定限制時、等等。
當在資源管理器范圍內使用時，本文描述的審核方案允許基于獨立于物理位置的對象特性來邏輯地確定對象的范圍。例如，對于獨立于被分類為“敏感”的文件被存儲在系統(tǒng)中的位置的訪問，自動地審核該文件。這允許管理員配置審核系統(tǒng)以回答諸如誰以及在何時訪問了系統(tǒng)中的什么敏感數(shù)據(jù)等問題。本文描述的技術還減少了資源管理器范圍的審核策略所需的存儲要求，因為在該方案下僅審核相關的對象。這節(jié)省了管理員搜索可能非常大量的對象訪問事件以便過濾特定類型事件的時間和力氣。
可以容易理解，一旦收集了審核事件數(shù)據(jù)，就可以各種方式來使用(例如針對查詢)，包括法庭分析，例如誰曾訪問過和泄漏的信息相對應的文件。也可以(例如在任何實際泄漏前)，實現(xiàn)對缺口的監(jiān)視(更為積極地法庭分析)。
也可標識模式供進一步調查，例如早期檢測潛在的問題。例如，如果同一人(或自動化過程)沒有任何明顯理由這樣做，他或她就保持嘗試但是未能訪問某些敏感文檔?？梢陨珊驮撊说目赡懿徽_行為模式有關的模式檢測警告。
審核數(shù)據(jù)的另一種使用是按需獲得各種列表(例如通過查詢數(shù)據(jù)庫220)，例如誰在最近三十天內訪問了文件。文件可以根據(jù)商業(yè)組、人、模式等來分組。例如，可以使用導致可識別模式等的審核來開發(fā)策略，例如，只有金融組曾訪問了該組文件，因此訪問可以通過訪問策略限制為僅到金融組的訪問。
審核數(shù)據(jù)的另一種使用是測試可以在實際應用新策略之前應用的新(包括修訂的)候選策略的結果。例如，每當開發(fā)新策略時，就可能有無法預料的結果(例如，銷售人員突然不能訪問他們的敏感消費者文件，因為新策略忘記給銷售人員組以訪問)。為了將這一新策略測試為用于實現(xiàn)的候選，該新策略可以首先實現(xiàn)為審核策略。所收集的審核事件數(shù)據(jù)將顯示出誰被拒絕且為何被拒絕，由此，這一策略中的任何顯著問題都可以在被實際實現(xiàn)為系統(tǒng)中的訪問策略之前被快速標識和修復。
因此描述了基于對象的元數(shù)據(jù)來配置和使用每對象的審核策略的能力，由此審核觸發(fā)器受到對對象元數(shù)據(jù)的改變所影響。還描述了基于資源(對象)元數(shù)據(jù)來配置和使用資源管理器范圍的審核策略，其允許獨立于對象在系統(tǒng)內的物理位置而動態(tài)地審核對象。 審核規(guī)則可以使用涉及資源元數(shù)據(jù)變量的條件表達式來創(chuàng)建。
審核邏輯/機制支持基于資源元數(shù)據(jù)(例如對象屬性)的審核規(guī)則。審核規(guī)則可以被構造成條件表達式，其對象屬性對應于變量，且當審核規(guī)則的條件表達式評估為真時觸發(fā)審核事件。策略可以在對象范圍上和/或在資源管理器范圍上被設置。當連同實時資源標記一起使用時，審核事件可以基于內容改變等來觸發(fā)。
示例性操作環(huán)境 圖4示出了其上可實現(xiàn)圖1-3的示例的合適的計算和聯(lián)網環(huán)境400的一個示例。 計算系統(tǒng)環(huán)境400只是合適計算環(huán)境的一個示例，而非意在暗示對本發(fā)明使用范圍或功能有任何限制。也不應該將計算環(huán)境400解釋為對示例性操作環(huán)境400中示出的任一組件或其組合有任何依賴性或要求。
本發(fā)明可用各種其他通用或專用計算系統(tǒng)環(huán)境或配置來操作。適用于本發(fā)明的公知計算系統(tǒng)、環(huán)境、和/或配置的示例包括但不限于個人計算機、服務器計算機、手持式或膝上型設備、平板設備、多處理器系統(tǒng)、基于微處理器的系統(tǒng)、機頂盒、可編程消費電子產品、網絡PC、微型計算機、大型計算機、包括任何以上系統(tǒng)或設備的分布式計算環(huán)境等等。
本發(fā)明可在諸如程序模塊等由計算機執(zhí)行的計算機可執(zhí)行指令的通用上下文中描述。一般而言，程序模塊包括執(zhí)行特定任務或實現(xiàn)特定抽象數(shù)據(jù)類型的例程、程序、對象、 組件、數(shù)據(jù)結構等等。本發(fā)明也可以在其中任務由通過通信網絡鏈接的遠程處理設備執(zhí)行的分布式計算環(huán)境中實現(xiàn)。在分布式計算環(huán)境中，程序模塊可以位于包括存儲器存儲設備在內的本地和/或遠程計算機存儲介質中。
參考圖4，用于實現(xiàn)本發(fā)明的各方面的示例性系統(tǒng)可包括計算機410形式的通用計算設備。計算機410的組件可以包括但不限于處理單元420、系統(tǒng)存儲器430和將包括系統(tǒng)存儲器在內的各種系統(tǒng)組件耦合至處理單元420的系統(tǒng)總線421。系統(tǒng)總線421可以是若干類型的總線結構中的任何一種，包括使用各種總線體系結構中的任何一種的存儲器總線或存儲器控制器、外圍總線，以及局部總線。作為示例而非限制，這樣的體系結構包括工業(yè)標準體系結構(ISA)總線、微通道體系結構(MCA)總線、增強型ISA(EISA)總線、視頻電子標準協(xié)會(VESA)局部總線，以及也稱為附加板(Mezzanine)總線的外圍組件互連(PCI) 總線。
計算機410通常包括各種計算機可讀介質。計算機可讀介質可以是能由計算機 410訪問的任何可用介質，并包含易失性和非易失性介質以及可移動、不可移動介質。作為示例而非限制，計算機可讀介質可以包括計算機存儲介質和通信介質。計算機存儲介質包括以存儲諸如計算機可讀的指令、數(shù)據(jù)結構、程序模塊或其他數(shù)據(jù)之類的信息的任何方法或技術實現(xiàn)的易失性和非易失性、可移動和不可移動介質。計算機存儲介質包括，但不僅限于，RAM、ROM、EEPR0M、閃存或其他存儲器技術、CD-ROM、數(shù)字多功能盤(DVD)或其他光盤存儲、磁帶盒、磁帶、磁盤存儲或其他磁存儲設備，或可以用來存儲所需信息并可以被計算
8機410訪問的任何其他介質。通信介質通常以諸如載波或其他傳輸機制等已調制數(shù)據(jù)信號來體現(xiàn)計算機可讀指令、數(shù)據(jù)結構、程序模塊或其他數(shù)據(jù)，并包括任一信息傳送介質。術語 “已調制數(shù)據(jù)信號”指的是其一個或多個特征以在信號中編碼信息的方式被設定或更改的信號。作為示例而非限制，通信介質包括有線介質，如有線網絡或直接線連接，以及諸如聲學、射頻(RF)、紅外線及其他無線介質之類的無線介質。上面各項中的任何項的組合也包括在計算機可讀介質的范圍內。
系統(tǒng)存儲器430包括易失性和/或非易失性存儲器形式的計算機存儲介質，如只讀存儲器(ROM) 431和隨機存取存儲器(RAM) 432?；据斎?輸出系統(tǒng)433 ￠10 包括如在啟動時幫助在計算機410內的元件之間傳輸信息的基本例程，它通常儲存在ROM 431中。 RAM 432通常包含可以立即被處理單元420訪問的和/或目前正在由處理單元420進行操作的數(shù)據(jù)和/或程序模塊。作為示例而非限制，圖4示出了操作系統(tǒng)434、應用程序435、其他程序模塊436和程序數(shù)據(jù)437。
計算機410也可以包括其他可移動的/不可移動的，易失性/非易失性的計算機存儲介質。僅作為示例，圖4示出了從不可移動、非易失性磁介質中讀取或向其寫入的硬盤驅動器441，從可移動、非易失性磁盤452中讀取或向其寫入的磁盤驅動器451，以及從諸如 CD ROM或其他光學介質等可移動、非易失性光盤456中讀取或向其寫入的光盤驅動器455。 可以在示例性操作環(huán)境中使用的其他可移動/不可移動、易失性/非易失性計算機存儲介質包括但不限于，磁帶盒、閃存卡、數(shù)字多功能盤、數(shù)字錄像帶、固態(tài)RAM、固態(tài)ROM等等。硬盤驅動器441通常由不可移動存儲器接口，諸如接口 440連接至系統(tǒng)總線421，磁盤驅動器 451和光盤驅動器455通常由可移動存儲器接口，諸如接口 450連接至系統(tǒng)總線421。
以上描述并在圖4中示出的驅動器及其相關聯(lián)的計算機存儲介質為計算機410提供了對計算機可讀指令、數(shù)據(jù)結構、程序模塊和其他數(shù)據(jù)的存儲。例如，在圖4中，硬盤驅動器441被示為存儲操作系統(tǒng)444、應用程序445、其他程序模塊446和程序數(shù)據(jù)447。注意， 這些組件可以與操作系統(tǒng)434、應用程序435、其他程序模塊436和程序數(shù)據(jù)437相同，也可以與它們不同。操作系統(tǒng)444、應用程序445、其他程序模塊446和程序數(shù)據(jù)447在這里被標注了不同的附圖標記是為了說明至少它們是不同的副本。用戶可通過諸如平板或電子數(shù)字化儀464、話筒463、鍵盤462和定點設備461 (通常指的是鼠標、跟蹤球或觸摸墊)等輸入設備向計算機410輸入命令和信息。圖4中未示出的其他輸入設備可以包括操縱桿、游戲手柄、圓盤式衛(wèi)星天線、掃描儀等。這些和其他輸入設備通常由耦合至系統(tǒng)總線的用戶輸入接口 460連接至處理單元420，但也可以由其他接口和總線結構，諸如并行端口、游戲端口或通用串行總線(USB)，來連接。監(jiān)視器491或其他類型的顯示設備也可以通過諸如視頻接口 490之類的接口，連接到系統(tǒng)總線421。監(jiān)視器491也可以與觸摸屏面板等集成。注意，監(jiān)視器和/或觸摸屏面板可以在物理上耦合至其中包括計算設備410的外殼，諸如在平板型個人計算機中。此外，諸如計算設備410等計算機還可以包括其他外圍輸出設備，諸如揚聲器495和打印機496，它們可以通過輸出外圍接口 494等連接。
計算機410可以使用到諸如遠程計算機480之類的一個或多個遠程計算機的邏輯連接，在聯(lián)網環(huán)境中操作。遠程計算機480可以是個人計算機、服務器、路由器、網絡PC、 對等設備或其他常見網絡節(jié)點，并且通常包括許多或所有以上關于計算機410所描述的元件，盡管在圖4中僅示出了存儲器存儲設備481。圖4中所示的邏輯連接包括一個或多個局域網(LAN)471和一個或多個廣域網(WAN)473，但也可以包括其他網絡。這樣的聯(lián)網環(huán)境在辦公室、企業(yè)范圍的計算機網絡、內部網和因特網中是普遍現(xiàn)象。
當用于LAN網絡環(huán)境中時，計算機410通過網絡接口或適配器470連接到LAN 471。當在WAN聯(lián)網環(huán)境中使用時，計算機410通常包括調制解調器472或用于通過諸如因特網等WAN 473建立通信的其他裝置?？蔀閮戎没蚩蔀橥庵玫恼{制解調器472可以經由用戶輸入接口 460或其他合適的機制連接至系統(tǒng)總線421。諸如包括接口和天線的無線聯(lián)網組件可通過諸如接入點或對等計算機等合適的設備耦合到WAN或LAN。在聯(lián)網環(huán)境中，參考計算機410所描述的程序模塊，或其某些部分，可以存儲在遠程存儲器存儲設備中。作為示例而非限制，圖4示出遠程應用程序485駐留在存儲器設備481上。可以理解，所示的網絡連接是示例性的，也可以使用在計算機之間建立通信鏈路的其他手段。
輔助子系統(tǒng)499(例如，用于內容的輔助顯示)可經由用戶接口 460連接，從而即使計算機系統(tǒng)的主要部分處于低功率狀態(tài)中，也允許諸如程序內容、系統(tǒng)狀態(tài)和事件通知等數(shù)據(jù)被提供給用戶。輔助子系統(tǒng)499可連接至調制解調器472和/或網絡接口 470，從而在主處理單元420處于低功率狀態(tài)中時，也允許在這些系統(tǒng)之間進行通信。
結論 盡管本發(fā)明易于作出各種修改和替換構造，但其某些說明性實施例在附圖中示出并在上面被詳細地描述。然而應當了解，這不旨在將本發(fā)明限于所公開的具體形式，而是相反地，旨在覆蓋落入本發(fā)明的精神和范圍之內的所有修改、替換構造和等效方案。
權利要求
1.在一計算環(huán)境中，一種在至少一個處理器上執(zhí)行的方法，包括確定(304)資源是否具有至少一個相關聯(lián)的審核規(guī)則，所述審核規(guī)則包括任何每資源審核規(guī)則或任何資源管理器審核規(guī)則或兩者在內，并且如果是，則處理(308)每個規(guī)則，所述處理每個規(guī)則包括相對于與所述資源相關聯(lián)的元數(shù)據(jù)來評估(312)每個適用的規(guī)則以確定是否要生成審核事件， 并且如果是，則生成(316)和所述審核規(guī)則相對應的審核事件。
2.如權利要求1所述的方法，其特征在于，所述至少一個審核規(guī)則包括具有和元數(shù)據(jù)內包括的信息相對應的至少一個變量的條件表達式，并且其中相對于所述元數(shù)據(jù)評估所述規(guī)則包括評估所述條件表達式。
3.如權利要求1所述的方法，其特征在于，生成所述審核事件，并且所述方法還包括 使用所述審核事件來執(zhí)行法庭分析、資源監(jiān)視，或模式檢測，或者使用所述審核事件來測試候選訪問策略。
4.在一種計算環(huán)境中的一種包括安全機制(110)和事件日志(124)的系統(tǒng)，所述安全機制(110)包括審核邏輯(118)，所述審核邏輯(118)相對于審核策略來處理與資源(102) 相關聯(lián)的元數(shù)據(jù)(104)，所述審核處理包括包含條件表達式的至少一個審核規(guī)則(130)，所述元數(shù)據(jù)包括與所述條件表達式中的至少一個變量相對應的信息，所述審核邏輯被配置成在滿足所述條件表達式時生成審核事件，所述事件日志(124)記錄所述審核事件。
5.如權利要求4所述的系統(tǒng)，其特征在于，所述安全機制包括審核和授權引擎，所述審核和授權引擎還包括基于用戶聲明來許可或拒絕對所述資源的訪問的訪問策略機制。
6.如權利要求4所述的系統(tǒng)，其特征在于，所述審核策略包括獨立于所述資源的物理位置而提供資源審核的至少一個資源管理器審核策略。
7.如權利要求4所述的系統(tǒng)，其特征在于，所述審核事件包括和訪問請求成功或失敗、 用戶數(shù)據(jù)、用戶聲明、資源數(shù)據(jù)、資源特性、所請求的訪問類型、環(huán)境數(shù)據(jù)、失敗或成功理由、 策略數(shù)據(jù)、時標或審核標識符或者以上各項的任意組合相對應的數(shù)據(jù)。
8.一個或多個具有計算機可執(zhí)行指令的計算機可讀介質，所述計算機可執(zhí)行指令在被執(zhí)行時執(zhí)行以下步驟，包括(a)確定(310)—個或多個待處理審核規(guī)則的集合的審核規(guī)則是否合適用于相對于資源元數(shù)據(jù)進行評估，如果不，則前進至步驟(d)；(b)相對于資源元數(shù)據(jù)評估所述審核規(guī)則中的一個或多個條件表達式以確定是否要生成審核事件，如果不，則前進至步驟(d)；(c)生成(316)所述審核事件；(d)從所述待處理集合中移除所述審核規(guī)則；以及(e)對于待處理集中的每個其他審核規(guī)則返回(318)至步驟(a)，直至沒有審核規(guī)則剩
9.如權利要求8所述的一個或多個計算機可讀介質，其特征在于，所述待處理審核規(guī)則包括至少一個資源管理器審核策略或至少一個資源專用的審核規(guī)則，或者既包括至少一個資源管理器審核策略又包括至少一個資源專用的審核規(guī)則。
10.如權利要求8所述的一個或多個計算機可讀介質，其特征在于，確定審核規(guī)則是否合適用于相對于資源元數(shù)據(jù)進行評估包括基于主體、許可或訪問成功/失敗數(shù)據(jù)、或者以上各項的任意組合來確定適用性。
全文摘要
本發(fā)明涉及基于資源屬性審核對數(shù)據(jù)的訪問。描述了在操作系統(tǒng)安全系統(tǒng)中實現(xiàn)的一種技術，通過該技術，一資源的元數(shù)據(jù)(例如包括數(shù)據(jù)屬性)相對于與該資源(例如對象)相關聯(lián)的一個或多個審核規(guī)則來被評估。審核規(guī)則可以與和資源管理器相對應的所有這樣的資源相關聯(lián)，以及/或者由資源專用的審核規(guī)則。當訪問資源時，相對于元數(shù)據(jù)處理每個審核規(guī)則以確定是否為該規(guī)則生成審核事件。審核規(guī)則可以是以一個或多個條件表達式的形式。審核事件可以被保持和查詢以便獲得針對各種使用情況的審核信息。
文檔編號G06F21/00GK102201043SQ201110080609
公開日2011年9月28日 申請日期2011年3月23日 優(yōu)先權日2010年3月24日
發(fā)明者R·P·佩魯馬爾, N·本-茲維, A·沙繆爾蓀, J·B·漢姆比林, R·卡拉赫, Z·李, M·H·沃爾尼克, C·勞 申請人:微軟公司