專利名稱：：一種具有可動態(tài)配置的安全結(jié)構(gòu)的信息裝置的制作方法
技術(shù)領(lǐng)域：
：本實(shí)用新型大體而言涉及信息技術(shù)，更具體而言，涉及一種用于保護(hù)信息裝置的安全系統(tǒng)及相關(guān)方法。
背景技術(shù)：
：在當(dāng)今的個人信息及通信系統(tǒng)世界中，便攜式信息裝置迅速普及，尤其是建置于筆記本計算機(jī)或袖珍筆記本計算機(jī)平臺上的系統(tǒng)以及被稱為智能電話或個人數(shù)字助理(personaldigitalassistant,PDA)、超移動個人計算機(jī)(ultra-mobiIepersonalcomputer，UMPC)或移動互聯(lián)網(wǎng)裝置(mobileinternetdevice,MID)的多功能通信裝置，這些裝置利用例如由htel公司制造的Atom或MoorestownCPU等處理器或運(yùn)行例如SymbianOS,WindowsMobile等操作系統(tǒng)。向公眾提供開放式訪問的網(wǎng)絡(luò)(例如EDGE及3G)以及各種WiFi網(wǎng)絡(luò)(例如基于IEEE801型標(biāo)準(zhǔn)的網(wǎng)絡(luò))已變得非常普遍，且其普及程度還在持續(xù)增加。隨著通信系統(tǒng)及裝置的復(fù)雜度及通信帶寬的增加且數(shù)據(jù)傳輸率接近數(shù)十百萬字節(jié)/秒，用戶不經(jīng)意間獲得惡意程序及其它不受歡迎的內(nèi)容的風(fēng)險也在增加。另外，便攜式信息裝置及開放式網(wǎng)絡(luò)的普及度的增加為例如黑客、身份竊賊(identitythieves)、垃圾郵件發(fā)送者(spammer)等惡意行為者侵害使用這些技術(shù)的用戶創(chuàng)造了越來越多的機(jī)會。計算機(jī)系統(tǒng)所受威脅(例如病毒、蠕蟲、惡意軟件、間諜軟件、黑客攻擊)以及不受歡迎的內(nèi)容的數(shù)量及嚴(yán)重性持續(xù)增加。防火墻、反病毒軟件、反垃圾信息軟件及其它用于個人計算機(jī)的此類安全應(yīng)用程序已眾所周知。然而，對便攜式信息裝置應(yīng)用已知的方法卻存在特殊的挑戰(zhàn)。便攜式信息裝置系統(tǒng)及軟件的設(shè)計者的首要目標(biāo)是制成一種能從實(shí)際上世界任何城市的任一地點(diǎn)即時地訪問信息的裝置。在當(dāng)今競爭激烈、低利潤率的市場中，便攜式信息裝置必須使人們能夠買得起。此外，便攜式信息裝置必須提供極大的便攜性及可用性，此意味著總體裝置尺寸必須較小且工作時間必須足夠長(至少為M小時左右)。性能及可用性常常是與購買能力及便攜性相互矛盾的目標(biāo)，因?yàn)殡姵卦谘b置的總體尺寸、重量及成本中占一大部分。性能及可用性甚至還相互矛盾，因?yàn)樵龃筇幚砥鲿r鐘速度及增大存儲器相當(dāng)于增大能量需求。所有這些要求使得通過簡單地持續(xù)顯著增大處理器功率及數(shù)據(jù)存儲容量來提供更高的便攜式信息裝置安全性并同時保持性能、可用性、便攜性及成本屬性并不切實(shí)際。這些約束條件又對在便攜式信息裝置上運(yùn)行的應(yīng)用程序尤其是安全應(yīng)用程序的設(shè)計提出了限制，因?yàn)檫@些應(yīng)用程序可能需要大量的處理器資源及存儲容量。因此，需要提供尤其適合于滿足便攜式信息裝置的獨(dú)特需求的有效安全措施。
實(shí)用新型內(nèi)容本實(shí)用新型的各個方面大體涉及一種用于信息裝置的可動態(tài)配置的安全安排，其中根據(jù)風(fēng)險概要、計算能力信息、或同時根據(jù)二者，自動地動態(tài)配置運(yùn)行設(shè)定值。[0008]在一個方面中，一種信息裝置具有計算機(jī)電路，包括可操作地耦合至數(shù)據(jù)存儲器的處理器；用戶界面，包括顯示器及用戶輸入裝置；無線通信電路；以及電源，用于對所述計算機(jī)電路、用戶界面及無線通信電路供電。所述電源可包括具有有限容量的單板能源，例如電池。所述計算機(jī)電路包括安全安排，所述安全安排可包括可配置的安全模塊、風(fēng)險評估模塊及計算能力確定模塊。所述可配置的安全模塊根據(jù)運(yùn)行設(shè)定值的配置，在所述信息裝置中提供與安全有關(guān)的功能。所述風(fēng)險評估模塊重新評估所述信息裝置所承受的一組當(dāng)前安全風(fēng)險。所述計算能力確定模塊則重新評估所述信息裝置的計算能力可用性的當(dāng)前狀態(tài)。此外，安全配置模塊根據(jù)來自風(fēng)險評估模塊的所述一組當(dāng)前安全風(fēng)險以及根據(jù)來自所述計算能力確定模塊的計算能力可用性的當(dāng)前狀態(tài)，自動地動態(tài)配置安全模塊的運(yùn)行設(shè)定值。所述安全配置模塊包括配置確定模塊及配置設(shè)定模塊。所述配置確定模塊從一組與安全相關(guān)的功能中確定主要功能的子集，在響應(yīng)于來自風(fēng)險評估模塊的一組當(dāng)前安全風(fēng)險時將針對所述主要功能的子集來配置運(yùn)行設(shè)定值的配置。所述配置設(shè)定模塊響應(yīng)于來自計算能力確定模塊的計算能力可用性的當(dāng)前狀態(tài)來設(shè)定運(yùn)行設(shè)定值的配置，以在提供所述主要的與安全相關(guān)的功能的子集的同時，減小因所述可配置的安全模塊的運(yùn)行而在計算機(jī)電路上引起的計算負(fù)荷，從而有利于在為所述信息裝置提供對應(yīng)于由風(fēng)險評估模塊所確定的一組當(dāng)前安全風(fēng)險的安全保護(hù)的同時，實(shí)現(xiàn)所述信息裝置的可用性。在本實(shí)用新型的另一方面中，所述計算機(jī)電路包括安全安排，所述安全安排包括可配置的安全模塊、位置確定模塊、位置概要數(shù)據(jù)庫及安全配置模塊。所述可配置的安全模塊有利于在便攜式信息裝置中提供安全服務(wù)，而所述位置確定模塊則用以確定并提供對所述便攜式信息裝置的當(dāng)前位置的指示。所述位置概要數(shù)據(jù)庫包含位于多個地理位置的多個局部網(wǎng)絡(luò)的安全風(fēng)險概要信息。所述安全配置模塊根據(jù)所述位置概要數(shù)據(jù)庫中所包含的對應(yīng)于當(dāng)前位置的風(fēng)險概要信息，使用所述對當(dāng)前位置的指示來評估所述便攜式信息裝置所承受的當(dāng)前安全風(fēng)險。所述安全配置模塊動態(tài)地配置所述安全模塊，以利于由遠(yuǎn)離所述便攜式信息裝置定位的安全服務(wù)器或由安全模塊選擇性地提供所述安全服務(wù)中的某些安全服務(wù)。根據(jù)本實(shí)用新型的另一相關(guān)方面，提供一種用于自動地配置信息裝置上的安全安排的方法，其中所述安全安排是由計算硬件或由計算硬件與軟件的組合進(jìn)行構(gòu)建，所述方法包括由計算裝置自動地評估便攜式信息裝置所承受的當(dāng)前安全風(fēng)險水平。響應(yīng)于對所述當(dāng)前安全風(fēng)險水平的所述評估，計算裝置自動地從一組安全功能中評估將對所述安全安排進(jìn)行配置的主要安全功能的子集，以保護(hù)所述信息裝置。計算裝置自動地重新評估所述便攜式信息裝置的可用計算能力。該方法進(jìn)一步包括由計算裝置根據(jù)對所述當(dāng)前安全風(fēng)險水平的評估以及根據(jù)對所述計算能力進(jìn)行確定的結(jié)果，自動地動態(tài)配置安全安排以在便攜式信息裝置上運(yùn)行，從而在提供所述主要安全功能子集的同時減小因所述可配置的安全模塊的運(yùn)行而在信息裝置上引起的計算負(fù)荷，從而有利于在為信息裝置提供對應(yīng)于當(dāng)前安全風(fēng)險水平的安全保護(hù)的同時，實(shí)現(xiàn)信息裝置的可用性。本實(shí)用新型的另一方面涉及一種用于自動地配置便攜式信息裝置上的安全模塊的方法，其中所述安全安排是由計算硬件或由計算硬件與軟件的組合進(jìn)行構(gòu)建。所述便攜式信息裝置自動地確定其當(dāng)前位置，并自動地維護(hù)位置概要數(shù)據(jù)庫，所述位置概要數(shù)據(jù)庫包含位于多個地理位置的多個局部網(wǎng)絡(luò)的安全風(fēng)險概要信息。所述裝置根據(jù)所述位置概要數(shù)據(jù)庫中所包含的對應(yīng)于所述當(dāng)前位置的風(fēng)險概要信息，自動地重新評估其所承受的當(dāng)前安全風(fēng)險，并根據(jù)所述當(dāng)前安全風(fēng)險，自動地重新配置所述安全模塊，以使所述安全模塊便于由遠(yuǎn)離所述便攜式信息裝置定位的安全服務(wù)器或由所述安全模塊選擇性地提供安全服務(wù)。本實(shí)用新型的某些方面適用于解決便攜式信息裝置所特有的挑戰(zhàn)(例如上文所述的挑戰(zhàn))以及特別是小型手持式便攜裝置的設(shè)計者所面臨的其它挑戰(zhàn)。本實(shí)用新型的其它方面適用于一般的信息裝置，無論是所述裝置的便攜程度如何，也無論所述裝置是主要由電池供電還是由電力線供電。因此，本實(shí)用新型的各方面可適用于筆記本計算機(jī)及桌上型計算機(jī)，以及其它利用安全安排的產(chǎn)品或設(shè)備。為簡明起見，下文所述本實(shí)用新型實(shí)施例是在便攜式信息裝置上下文中進(jìn)行說明。然而，應(yīng)理解，通過選擇適合于不同類型產(chǎn)品的特征的組合，本實(shí)用新型的各個方面也可得到實(shí)現(xiàn)并適合應(yīng)用于其它類型的裝置、系統(tǒng)及設(shè)備。通過下文對較佳實(shí)施例的詳細(xì)說明，本實(shí)用新型的諸多優(yōu)點(diǎn)將變得一目了然。結(jié)合附圖閱讀下文對本實(shí)用新型不同實(shí)施例的詳細(xì)說明，可更透徹地理解本實(shí)用新型，附圖中圖IA為顯示便攜式信息裝置(portableinformationdevice；PID)的主要外部元件的方塊圖，根據(jù)本實(shí)用新型各方面的安全安排可應(yīng)用于所述便攜式信息裝置；圖IB為顯示圖IA所示便攜式信息裝置的主要內(nèi)部元件的方塊圖；圖IC顯示包含安全措施的系統(tǒng)架構(gòu)，所述安全措施用于保護(hù)客戶機(jī)裝置不受各種威脅；圖ID為由用戶在不受保護(hù)的網(wǎng)絡(luò)中使用的客戶機(jī)裝置的運(yùn)行安排的示意圖；圖IE為顯示常見風(fēng)險情景的圖式，其中客戶機(jī)裝置的用戶無法確信其數(shù)據(jù)受到完全保護(hù)；圖2A為根據(jù)本實(shí)用新型的一個方面，在便攜式信息裝置上運(yùn)行的本機(jī)安全模塊的圖式；圖2B為繪示根據(jù)本實(shí)用新型一個方面的安全模塊的圖式，所述安全模塊包括應(yīng)用層保護(hù)，其中可根據(jù)便攜式信息裝置的應(yīng)用程序來調(diào)整配置；圖2C及2D顯示根據(jù)本實(shí)用新型實(shí)施例的安全安排的一種可配置性類型，其中可根據(jù)與便攜式信息裝置的配置或運(yùn)行狀態(tài)有關(guān)的各種因素，動態(tài)地配置瘦客戶機(jī)配置及胖客戶機(jī)配置；圖2E顯示根據(jù)本實(shí)用新型一實(shí)施例的通信信道，所述通信信道有利于運(yùn)行瘦客戶機(jī)或混合安全安排，在混合安全安排中，由遠(yuǎn)程安全服務(wù)器執(zhí)行大多數(shù)與安全相關(guān)的功能；圖3A為顯示根據(jù)本實(shí)用新型一實(shí)施例的安全安排的方塊圖，其中可根據(jù)便攜式信息裝置的當(dāng)前位置，自動地配置存在于所述便攜式信息裝置上的可配置的安全模塊；圖:3B顯示根據(jù)本實(shí)用新型一實(shí)施例的與圖3A所示安全安排一起使用的位置概要數(shù)據(jù)庫的實(shí)例，所述數(shù)據(jù)庫包含不同地點(diǎn)、或地理位置的記錄，所述地點(diǎn)或地理位置是以安全或威脅等級按照其相對安全或危險的程度進(jìn)行標(biāo)識；圖4A為顯示根據(jù)一種實(shí)施例類型的安全安排的圖式，其中可根據(jù)便攜式信息裝置的當(dāng)前安全概要、便攜式信息裝置的當(dāng)前計算能力、或同時根據(jù)二者，自動地配置安全模塊；圖4B顯示根據(jù)一實(shí)施例，圖4A所示安全安排的風(fēng)險評估模塊的實(shí)例性安排；圖4C顯示根據(jù)一實(shí)施例，圖4A所示安全安排的計算能力確定模塊的實(shí)例性安排；圖4D及4E為顯示根據(jù)本實(shí)用新型的不同實(shí)施例，作為計算能力確定模塊一部分的裝置信息數(shù)據(jù)庫中所包含的數(shù)據(jù)集合實(shí)例的表格；圖4F為表格，其代表根據(jù)本實(shí)用新型一個方面的一組所確定便攜式信息裝置配置類型的實(shí)例；圖5為根據(jù)本實(shí)用新型一實(shí)施例的流程圖，其顯示用于確定所要執(zhí)行的安全威脅數(shù)據(jù)庫更新的類型的決策過程；以及圖6為根據(jù)本實(shí)用新型一實(shí)施例的流程圖，其顯示如何根據(jù)剩余電池壽命來選擇不同安全配置的簡單實(shí)例。盡管本實(shí)用新型容易具有各種修改及替代形式，在附圖中是以舉例方式顯示并在下文中詳細(xì)說明其具體細(xì)節(jié)。然而，應(yīng)理解，并非是將本實(shí)用新型限定為所述的具體實(shí)施例。相反，本實(shí)用新型意圖涵蓋屬于由隨附權(quán)利要求書所界定的本實(shí)用新型精神及范圍內(nèi)的所有修改形式、等效形式及替代形式。具體實(shí)施方式圖IA是顯示實(shí)例性便攜式信息裝置(portableinformationdevice；PID)10的方塊圖。便攜式信息裝置10可以是智能電話、PDA、UMPC、MID或任何其它小的輕質(zhì)計算及通信裝置。便攜式信息裝置10包括緊湊的外殼12以及用戶界面，其中外殼12小到足以使該裝置容易攜帶，所述用戶界面則包含顯示器14及用戶輸入裝置，例如鍵盤16。便攜式信息裝置10可具有將顯示器及用戶輸入裝置整合在一起的觸摸屏(touchscreen)顯示器。圖IB為進(jìn)一步顯示便攜式信息裝置10的其它功能元件的方塊圖。便攜式信息裝置10進(jìn)一步包括與數(shù)據(jù)存儲器進(jìn)行接口的計算機(jī)電路(例如處理器20)，其中所述數(shù)據(jù)存儲器具有RAM2及非易失性存儲器22b。處理器20還與耦合至天線沈的無線通信電路24進(jìn)行接口，無線通信電路M可為移動電話無線電(⑶MA、GSM、Iridium等)、Wi-Fi、藍(lán)牙(Bluetooth)或任何其它此種通信電路的形式。應(yīng)理解，處理器20與用戶界面裝置進(jìn)行接口，并與可構(gòu)成便攜式信息裝置10的一部分的任何其它外圍設(shè)備進(jìn)行接口。便攜式信息裝置10還包括具有單板能源(on-boardenergysource)30的電源觀，用于實(shí)現(xiàn)真正的便攜性及移動操作，其中單板能源30在圖IB中被例示為電池的形式。電源觀從能源30為便攜式信息裝置10的所有元件提供適當(dāng)?shù)碾娫矗ㄓ糜谔峁┩獠侩娫匆圆僮鞅銛y式信息裝置10及對能源30充電的電路。盡管當(dāng)今的實(shí)際裝置往往主要利用某些技術(shù)，例如基于CMOS的微控制器、DRAM、快閃非易失性存儲器、射頻通信裝置、能量存儲電池等等，然而應(yīng)理解，本實(shí)用新型絕不僅限于任何特定的一組技術(shù)。本實(shí)用新型的某些方面涉及解決小型個人計算及通信裝置所常常面臨的挑戰(zhàn)，無論其具體架構(gòu)或技術(shù)如何，在這些小型個人計算及通信裝置中，在性能及用戶體驗(yàn)與能量需求、便攜性及尺寸之間可存在固有的折衷。當(dāng)用作數(shù)據(jù)通信裝置時，便攜式裝置(例如便攜式信息裝置10)通常鏈接至主機(jī)網(wǎng)絡(luò)，主機(jī)網(wǎng)絡(luò)又通過例如因特網(wǎng)等廣域網(wǎng)提供連接性。主機(jī)網(wǎng)絡(luò)可由蜂窩式電話服務(wù)提供商運(yùn)營，如在智能電話型3G裝置的情形中一樣。其它類型的常見主機(jī)網(wǎng)絡(luò)可包括通過因特網(wǎng)服務(wù)提供商(InternetServiceProvider；ISP)連接至因特網(wǎng)的局域網(wǎng)(localareanetwork；LAN)上的IEEE802.Ilffi-Fi熱點(diǎn)(hotspot)。便攜式裝置也可與其它裝置連接形成網(wǎng)狀網(wǎng)絡(luò)(meshnetwork)。無論主機(jī)網(wǎng)絡(luò)的布置類型如何，其中使便攜式信息裝置利用任何來自另一計算裝置的任何服務(wù)(例如因特網(wǎng)連接性)的任何布局均是客戶機(jī)-服務(wù)器布置，其中便攜式信息裝置是客戶機(jī)，提供服務(wù)的計算裝置則為服務(wù)器。圖IC顯示包含安全措施的系統(tǒng)架構(gòu)，所述安全措施用于保護(hù)客戶機(jī)裝置150不受各種威脅。服務(wù)器100控制從外部網(wǎng)絡(luò)110(例如因特網(wǎng))流至網(wǎng)絡(luò)140的流量。客戶機(jī)裝置150代表各種便攜式信息裝置中的任一種?？蛻魴C(jī)裝置150運(yùn)行各種應(yīng)用程序160。服務(wù)器100運(yùn)行各種應(yīng)用程序130，以支持或有利于客戶機(jī)應(yīng)用程序160的運(yùn)行。應(yīng)用程序130的一個實(shí)例是網(wǎng)絡(luò)服務(wù)器應(yīng)用程序。除用于支持或有利于實(shí)現(xiàn)客戶機(jī)應(yīng)用程序的主要功能的服務(wù)器應(yīng)用程序外，所述服務(wù)器還具有安全應(yīng)用程序。管理控制臺120提供管理員存取，以控制服務(wù)器應(yīng)用程序160以及更改不同的應(yīng)用程序設(shè)定值。管理控制臺120具有其自身的圖形用戶界面(graphicaluserinterface；⑶I)，以使服務(wù)器管理員能夠?qū)崟r地調(diào)整服務(wù)器應(yīng)用程序160。通過提供控制臺120，管理員可同時控制在服務(wù)器上運(yùn)行的安全應(yīng)用程序與其它各種應(yīng)用程序。圖ID為由用戶在不受保護(hù)的網(wǎng)絡(luò)210中使用的客戶機(jī)裝置200的運(yùn)行安排的示意圖?？蛻魴C(jī)裝置200運(yùn)行各種客戶機(jī)應(yīng)用程序M0。當(dāng)客戶機(jī)裝置200的用戶試圖在咖啡館、賓館、機(jī)場或其它公共場所訪問因特網(wǎng)、抑或試圖在此種場所中加載軟件更新時，可存在此種安排。傳統(tǒng)上，需要為客戶機(jī)裝置200提供其自身的安全應(yīng)用程序230。利用管理控制臺220，客戶機(jī)裝置200的用戶可根據(jù)用戶所理解的需要來調(diào)整安全應(yīng)用程序230的設(shè)定值，以設(shè)定保護(hù)等級。例如，當(dāng)用戶通過公共網(wǎng)絡(luò)連接到因特網(wǎng)時，用戶可認(rèn)為增強(qiáng)作為安全應(yīng)用程序230—部分的反病毒掃描程序的積極主動性將比較恰當(dāng)。此種安排是在客戶機(jī)裝置230本機(jī)上運(yùn)行以為客戶機(jī)應(yīng)用程序240提供保護(hù)的胖客戶機(jī)安全應(yīng)用程序的實(shí)例。此種安排所面臨的一個挑戰(zhàn)是運(yùn)行客戶機(jī)應(yīng)用程序240所需的不充足的系統(tǒng)資源可限制胖客戶機(jī)安全應(yīng)用程序230。同樣地，運(yùn)行安全應(yīng)用程序230所需的計算資源的耗用可限制客戶機(jī)應(yīng)用程序M0。甚至在計算資源充足時，因集中處理安全應(yīng)用程序230與客戶機(jī)應(yīng)用程序240二者而造成的電池耗用也可顯著降低便攜式信息裝置在兩次充電之間的移動性及可用性。出于這些及其它原因，傳統(tǒng)的胖客戶機(jī)安全安排不能完全替代全局安全安排，例如上文參照圖IC所述的安全安排。圖IE為顯示其中客戶機(jī)裝置的用戶無法確信其數(shù)據(jù)受到完全保護(hù)的情景的圖式。用戶可能確信家庭網(wǎng)絡(luò)及工作網(wǎng)絡(luò)會受益于安全服務(wù)器(例如主機(jī)網(wǎng)絡(luò)中的防火墻)，但在其它地點(diǎn)，用戶的裝置則可受到黑客攻擊或未知程序的破壞，從而可能攻破用戶裝置上的任何不堅固的防火墻或其它安全措施，因此用戶無法同樣地確信其數(shù)據(jù)受到完全保護(hù)。圖2A為根據(jù)本實(shí)用新型的一個方面，在便攜式信息裝置上運(yùn)行的本機(jī)安全模塊300的圖式。本文所用術(shù)語“模塊”意指現(xiàn)實(shí)世界裝置或元件，其是使用硬件構(gòu)建，例如使用現(xiàn)場可編程門陣列(field-programmablegatearray；FPGA)的應(yīng)用專用集成電路(applicationspecificintegratedcircuit;ASIC)構(gòu)建而成，或者被構(gòu)建為硬件與軟件的組合，例如使用微處理器系統(tǒng)與一組用于構(gòu)建安全模塊功能的指令構(gòu)建而成。模塊也可被構(gòu)建為這兩者的組合，其中某些功能由硬件實(shí)現(xiàn)，其它功能則由硬件與軟件相結(jié)合實(shí)現(xiàn)。在某些實(shí)施方案中，模塊的至少一部分(在某些情形中可為整個模塊)可用于執(zhí)行應(yīng)用程序的便攜式信息裝置處理器(例如便攜式信息裝置10的處理器20)上執(zhí)行。相應(yīng)地，安全模塊300可實(shí)現(xiàn)為各種配置，而不應(yīng)限于本文所例示的任何具體實(shí)施方案。安全模塊300執(zhí)行一種或多種與安全相關(guān)的功能的任意組合，例如阻止不受歡迎的內(nèi)容302、檢測/擦洗(scrub)不受歡迎的內(nèi)容304、以及抵消威脅306。這些與安全相關(guān)的功能在下文中僅以舉例方式大體地予以說明，而非欲作為適用于安全模塊300的本實(shí)用新型精神內(nèi)的必需的或窮盡性的安全功能列表。可存在各種其它與安全相關(guān)的功能，以增補(bǔ)或取代本文所例示的任何功能。阻止不受歡迎的內(nèi)容302包括在不受歡迎的內(nèi)容(例如病毒、蠕蟲、及其它惡意軟件、廣告軟件、間諜軟件、垃圾郵件等等)以及不希望有的數(shù)據(jù)流量(例如黑客攻擊)可被置于本機(jī)裝置上之前，阻擋任何這些威脅或程序。通常，該功能涉及在防火墻中阻擋或轉(zhuǎn)移內(nèi)容或數(shù)據(jù)流量。檢測/擦洗不受歡迎的內(nèi)容304將適用于可能已滲透過所述阻止功能并且現(xiàn)在以某種形式駐留于本機(jī)裝置上的內(nèi)容。此功能的典型實(shí)例將包括根據(jù)病毒定義數(shù)據(jù)庫掃描病毒，并對那些程序指令或相關(guān)數(shù)據(jù)進(jìn)行移除或檢疫隔離。抵消威脅306則適用于所檢測的不受歡迎的內(nèi)容或所檢測的正在進(jìn)行的攻擊或威脅，并包括采取措施來終止任何涉嫌的程序或過程、停止網(wǎng)絡(luò)流量并將系統(tǒng)恢復(fù)到前一已知的安全狀態(tài)。安全模塊300包括各種元件，例如防火墻308、消息過濾器310、反惡意軟件/廣告軟件阻擋/移除工具312、以及系統(tǒng)備份/恢復(fù)實(shí)用程序314。這些元件可以不同組合形式工作，以實(shí)現(xiàn)安全模塊300的不同功能。在一實(shí)施例中，安全模塊300有利于實(shí)現(xiàn)其功能的可配置性。例如，一種可配置性類型是能夠選擇性地接通或斷開個別元件或功能。另一可配置性類型是能夠動態(tài)地調(diào)整個別功能或元件的運(yùn)行。例如，在一實(shí)施例中，可根據(jù)系統(tǒng)操作員的需要來調(diào)整防火墻308的運(yùn)行設(shè)定值，以將保護(hù)水平設(shè)定成更具有或更不具有積極主動性。在另一實(shí)例中，反惡意軟件/廣告軟件元件312是可調(diào)整的。反惡意軟件/廣告軟件元件312具有已知威脅定義數(shù)據(jù)庫，用于掃描數(shù)據(jù)存儲器中是否存在任何已知的威脅。在一實(shí)施例中，可根據(jù)系統(tǒng)或用戶需要，限制或以額外威脅定義擴(kuò)充該威脅定義數(shù)據(jù)庫。在相關(guān)實(shí)施例中，可自動地(即不需要用戶干預(yù))地調(diào)整安全模塊300的各種其它運(yùn)行設(shè)定值。本實(shí)用新型的各方面認(rèn)識到，可調(diào)整各種不同安全功能或元件的不同運(yùn)行設(shè)定值，而非僅限于本文所述的實(shí)例。圖2B繪示根據(jù)本實(shí)用新型一實(shí)施例的包括應(yīng)用層保護(hù)的安全模塊，其中可根據(jù)便攜式信息裝置的應(yīng)用程序來調(diào)整配置。應(yīng)用層過濾器320及防火墻322從不同OSI模型層獲得關(guān)于本機(jī)系統(tǒng)的運(yùn)行的信息。引擎3M在入侵描述數(shù)據(jù)庫3的輔助下運(yùn)行，以隔離已知的威脅或攻擊，并分析所輸入的流量。在入侵描述數(shù)據(jù)庫326的一個實(shí)施例中，以XML格式表示對威脅的描述。每一威脅描述3可包括各種信息條目，例如應(yīng)用程序的類型、其版本、與該應(yīng)用程序相關(guān)聯(lián)的注冊表項、易受攻擊的端口等等。對于每一威脅描述，利用所述各種信息條目來建立專門的規(guī)則，以用于監(jiān)測及過濾所輸入的網(wǎng)絡(luò)流量。由于是針對具體威脅的，因而這些規(guī)則可加以調(diào)整，以應(yīng)對某些類型的攻擊或用于專門的應(yīng)用。引擎3M與兩個信息信道進(jìn)行通信耦合應(yīng)用程序狀態(tài)信息3及連接狀態(tài)信息330，這兩個信息信道又分別與應(yīng)用層過濾器320及防火墻322相耦合。每當(dāng)建立一網(wǎng)絡(luò)連接時，或每當(dāng)應(yīng)用程序335開始使用特定端口時，引擎3M便根據(jù)數(shù)據(jù)庫3的內(nèi)容判斷是否具有存在任何已知威脅的任何較大可能性。以此種方式識別出的任何威脅均將構(gòu)成可用已知威脅的一相對較小、但更高度相關(guān)的子集。因此，可實(shí)際地分析并跟蹤該小的子集。在運(yùn)行中，防火墻322僅攔截總數(shù)據(jù)流量的一小部分，因?yàn)檫B接狀態(tài)信息330主要地包括了通信協(xié)議及相關(guān)信息，例如因特網(wǎng)控制消息協(xié)議(InternetControlMessageProtocol；ICMP)命令。一大部分潛在威脅仍舊需要更透徹的分析以及關(guān)于這些威脅及其對其目標(biāo)計算機(jī)系統(tǒng)的影響的更詳細(xì)信息。因此，僅通過分析TCP/IP協(xié)議所獲得的信息不足以提供健壯的保護(hù)等級。在應(yīng)用層上，專門過濾器320使得可將威脅分析集中于每一應(yīng)用程序335所已知的具體的一組漏洞上。應(yīng)用層過濾器320攔截TCP/IP服務(wù)332與通信協(xié)議層334之間的流量。所攔截的流量由引擎3M針對每一應(yīng)用程序分別進(jìn)行分析。在一實(shí)施例中，安全系統(tǒng)識別現(xiàn)用的應(yīng)用程序(例如MSOutlookMobile)。在相關(guān)實(shí)施例中，系統(tǒng)根據(jù)正使用的端口以及正使用的數(shù)據(jù)通信協(xié)議的類型來確定現(xiàn)用應(yīng)用程序的類型(例如網(wǎng)絡(luò)瀏覽器、游戲等)。由此，系統(tǒng)獲知具體現(xiàn)用應(yīng)用程序或所用應(yīng)用程序的類型。利用此種信息，系統(tǒng)選擇為當(dāng)前應(yīng)用程序或活動所定制的恰當(dāng)保護(hù)方案。由此，系統(tǒng)將安全資源僅集中于與當(dāng)前運(yùn)行的具體應(yīng)用程序的暴露相關(guān)聯(lián)的相對較小的一組規(guī)則以及威脅描述326。圖2C及2D顯示根據(jù)本實(shí)用新型實(shí)施例的安全安排的一種可配置性類型?？筛鶕?jù)與便攜式信息裝置10的配置或運(yùn)行狀態(tài)有關(guān)的各種因素，動態(tài)地配置分別顯示于圖2C及2D中的瘦客戶機(jī)配置及胖客戶機(jī)配置，此將在下文中予以更詳細(xì)說明。這些實(shí)施例所提供的可動態(tài)配置性使得能夠保持足夠的安全等級，同時使用戶裝置具有更佳的計算性能、或更佳的移動性或同時具有二者。因此，無論用戶可在何處連接至網(wǎng)絡(luò)，用戶均可保持確信將存在適宜的安全配置。如果用戶裝置位于已知安全的特定局域網(wǎng)中，則選擇其中依靠存在于局域網(wǎng)服務(wù)器上的安全應(yīng)用程序的圖2C所示配置。在此種情形中，用戶裝置將采用瘦客戶機(jī)安全配置，以減輕完全作用于服務(wù)器上的與安全相關(guān)的計算負(fù)荷。在此種瘦客戶機(jī)配置中，用戶裝置具有更多可用于運(yùn)行普通應(yīng)用程序(非安全應(yīng)用程序)的計算資源，從而獲得更佳的性能及能量經(jīng)濟(jì)性。相反，如果已確定出用戶裝置通過尚不知具有足夠安全性的局域網(wǎng)連接至因特網(wǎng)，則選擇圖2D的配置。圖2D所示的安排具有以胖客戶機(jī)配置在用戶裝置本機(jī)上運(yùn)行的安全應(yīng)用程序。盡管用戶裝置用于非安全應(yīng)用程序的計算性能將降低，然而圖2D所示的胖客戶機(jī)安全安排將在不存在受保護(hù)網(wǎng)絡(luò)的情況下提供足夠的安全性。在相關(guān)實(shí)施例中，可配置成混合的瘦客戶機(jī)/胖客戶機(jī)安全安排，其中將某些安全功能卸載至服務(wù)器，同時在用戶的便攜式信息裝置本機(jī)上執(zhí)行其它安全功能。例如，在一個此種混合配置中，便攜式信息裝置10運(yùn)行一功能減低的防火墻，該防火墻控制輸出數(shù)據(jù)的網(wǎng)絡(luò)流量并阻擋所有未經(jīng)授權(quán)的輸入流量，但不承擔(dān)掃描經(jīng)授權(quán)的輸入流量中有無潛在有害的數(shù)據(jù)有效負(fù)荷(payload)的任務(wù)。在該混合配置實(shí)例中，安全服務(wù)器承擔(dān)掃描數(shù)據(jù)通信中有無潛在威脅并對這些威脅作出反應(yīng)的需要進(jìn)行密集計算的其余防火墻功能。圖2E顯示根據(jù)本實(shí)用新型一實(shí)施例的通信信道，所述通信信道有利于運(yùn)行瘦客戶機(jī)或混合安全安排，在混合安全安排中，由遠(yuǎn)程安全服務(wù)器執(zhí)行大多數(shù)與安全相關(guān)的功能。此種安排可用于其中客戶機(jī)裝置350的用戶遠(yuǎn)離安全服務(wù)器352定位、但希望利用其資源的情形中。同樣地，此種安排可用于其中客戶機(jī)裝置350的用戶請求或要求使用遠(yuǎn)程安全系統(tǒng)的情形中，在此種情形中，受保護(hù)網(wǎng)絡(luò)352將執(zhí)行各種有利于客戶機(jī)裝置350的安全功能。在本實(shí)用新型的此方面中，與安全服務(wù)器352的安全連接包括虛擬專用網(wǎng)絡(luò)(virtualprivatenetwork；VPN)連接；354以及額外的加密連接；356，其中VPN連接邪4嵌入于該額外的加密連接356中。在一種類型的實(shí)施例中，根據(jù)已知的客戶機(jī)標(biāo)識符(例如用戶的個人數(shù)據(jù)或獨(dú)有的硬件參數(shù))實(shí)現(xiàn)加密。用戶可預(yù)先創(chuàng)建據(jù)以進(jìn)行加密的各種參數(shù)，即在用戶希望使用安全連接之前創(chuàng)建。在客戶機(jī)裝置350與安全服務(wù)器352之間的安全連接建立后，客戶機(jī)裝置350的用戶可安全地訪問安全服務(wù)器352的資源或者其外部連接358。外部連接358可以是因特網(wǎng)連接、或者與某個其它通常不安全的網(wǎng)絡(luò)之間的連接，在安全服務(wù)器352上運(yùn)行的保護(hù)軟件會使所述連接變得安全。在相關(guān)實(shí)施例中，加密連接356監(jiān)測VPN連接邪4的完整性，并在該監(jiān)測作業(yè)檢測到所述連接出于任何原因而意外終止時，采取措施恢復(fù)所述連接。本實(shí)用新型的另一方面涉及構(gòu)建關(guān)于何時及如何為便攜式信息裝置自動地配置安全安排的決策標(biāo)準(zhǔn)?？衫缤ㄟ^在便攜式信息裝置10上運(yùn)行的配置過程，在本機(jī)上設(shè)定配置?；蛘?，可例如由遠(yuǎn)程安全服務(wù)器遠(yuǎn)程地設(shè)定配置。在一個其中在本機(jī)上設(shè)定配置的實(shí)施例中，在便攜式信息裝置10的本機(jī)上運(yùn)行的安全配置模塊的任務(wù)是確定何時配置或重新配置安全模塊、以及建立何種運(yùn)行設(shè)定值。安全配置模塊可接收、監(jiān)測或以其它方式獲得關(guān)于下列的信息系統(tǒng)配置、便攜式信息裝置10的運(yùn)行狀態(tài)、便攜式信息裝置10的相關(guān)歷史、全局安全局勢信息、用戶偏好、或它們的組合。該信息繼而又將用于自動配置安全模塊。系統(tǒng)配置數(shù)據(jù)可包括裝置類型、處理器速度、存儲器大小、處理器總線速度、電池容量、所安裝應(yīng)用程序的列表、以及頻繁使用的應(yīng)用程序的列表。在其中遠(yuǎn)程地進(jìn)行安全模塊配置的實(shí)施例中，便攜式信息裝置10建立與遠(yuǎn)程安全服務(wù)器的連接，并將系統(tǒng)配置、運(yùn)行狀態(tài)、相關(guān)歷史、全局安全局勢信息、用戶偏好數(shù)據(jù)等傳輸至服務(wù)器。服務(wù)器接收并分析所傳輸?shù)臄?shù)據(jù)，并向便攜式信息裝置10發(fā)回用于調(diào)整安全模塊的配置設(shè)定值的命令。運(yùn)行狀態(tài)數(shù)據(jù)可包括下列各項例如便攜式信息裝置10的實(shí)體位置、網(wǎng)絡(luò)流量速度、網(wǎng)絡(luò)流量總量、剩余電池容量、所分配存儲量、當(dāng)前運(yùn)行的應(yīng)用程序的列表、或處理器空閑時間。便攜式信息裝置10的相關(guān)歷史包括下列各項例如所檢測攻擊的最近歷史、來自未知來源的高于正常頻率的因特網(wǎng)包探索器(Ping)或連接企圖等等。這些項可與位置信息相關(guān)。全局安全局勢信息可包括例如所存在的威脅的當(dāng)前總體狀態(tài)。例如，特定蠕蟲的流行、由拒絕服務(wù)攻擊(denial-of-serviceattack)造成的服務(wù)器故障的圖案等等將趨于提高總體威脅水平。例如，此種類型的信息由安全公司持續(xù)監(jiān)測，并可在安全更新過程中提供給便攜式信息裝置10。用戶偏好可包括下列各項例如由用戶提供的風(fēng)險容忍度輸入、或性能要求。圖3A為顯示根據(jù)本實(shí)用新型一實(shí)施例的安全安排的方塊圖，其中可根據(jù)便攜式信息裝置10的當(dāng)前位置，自動地配置存在于便攜式信息裝置10上的可配置的安全模塊400。安全模塊400包括胖客戶機(jī)安全部分402及瘦客戶機(jī)安全部分404。胖客戶機(jī)安全部分402與上文所述安全模塊300的相似之處在于，其可包括各種安全功能及元件，其中每一安全功能及元件均可單獨(dú)配置或調(diào)整。瘦客戶機(jī)安全部分404包括有利于實(shí)現(xiàn)與遠(yuǎn)程安全服務(wù)器的連接的措施406，此包括配置有不同安全服務(wù)器的網(wǎng)絡(luò)地址的模塊，所述模塊構(gòu)建用于連接至或利用遠(yuǎn)程安全服務(wù)器中任何一者的邏輯。一種類型的實(shí)施例利用加密的隧道連接，例如上文參照圖2E所述的連接。瘦客戶機(jī)安全部分404還包括任務(wù)協(xié)調(diào)措施408，其有利于實(shí)現(xiàn)胖客戶機(jī)安全部分402與遠(yuǎn)程安全服務(wù)器之間的信息交換。任務(wù)協(xié)調(diào)部分408的角色還包括在采用混合安全安排以使胖客戶機(jī)安全部分402的某些部分通過瘦客戶機(jī)安全部分404與遠(yuǎn)程安全服務(wù)器搭配運(yùn)行時確保正確的總體運(yùn)行。圖3A的安全安排進(jìn)一步包括安全配置模塊410，安全配置模塊410與安全模塊400進(jìn)行接口并根據(jù)各種輸入以及根據(jù)決策標(biāo)準(zhǔn)412來建立或調(diào)整安全模塊的配置及運(yùn)行設(shè)定值。一種類型的輸入是便攜式信息裝置10的當(dāng)前位置，其由位置確定模塊414提供。位置確定模塊414實(shí)時地確定或簡單地估計便攜式信息裝置10位于何處、或者便攜式信息裝置10可能正在使用哪一局部網(wǎng)絡(luò)連接至因特網(wǎng)。在一個此種實(shí)施例中，位置確定模塊414包括全球定位系統(tǒng)(glcAalpositioningsystem;GPS)接收器，以確定實(shí)體位置。在相關(guān)實(shí)施例中，位置確定模塊414利用網(wǎng)絡(luò)拓?fù)浞治銎鞣治鰯?shù)據(jù)包，以推斷便攜式信息裝置10可賴以進(jìn)行通信的局部網(wǎng)絡(luò)的位置或網(wǎng)絡(luò)身份。這兩種方法所提供的位置信息的性質(zhì)是不同的，因此這兩種方法可相互結(jié)合使用，以產(chǎn)生對所用位置或網(wǎng)絡(luò)的更佳估計。在另一相關(guān)實(shí)施例中，位置確定模塊414包括用戶界面元件，以允許裝置的用戶輸入其位置。用戶界面輸入可與GPS定位或網(wǎng)絡(luò)拓?fù)浯_定結(jié)合使用，以微調(diào)所述位置或網(wǎng)絡(luò)身份。例如，可向用戶提供兩個或三個可能的選項，以據(jù)以選擇所用網(wǎng)絡(luò)，這些選項是根據(jù)通過其它位置確定方法所推斷出的信息自動地產(chǎn)生。可在本實(shí)用新型各方面的精神及范圍內(nèi)以不同方式確定客戶機(jī)裝置的位置。諸多種其它用于確定聯(lián)網(wǎng)裝置的地理位置的技術(shù)已廣為人知，并可利用任何適宜的技術(shù)。安全配置模塊410利用位置標(biāo)識來確定當(dāng)前位置的安全風(fēng)險概要。根據(jù)安全風(fēng)險概要，配置模塊410利用決策標(biāo)準(zhǔn)412設(shè)定適合于安全模塊400的配置。安全配置模塊評估位置概要數(shù)據(jù)庫416，以從位于不同地理位置的局部網(wǎng)絡(luò)的列表中查找當(dāng)前位置。圖;3B顯示位置概要數(shù)據(jù)庫416的實(shí)例，所述數(shù)據(jù)庫包含不同地點(diǎn)或地理位置的記錄，所述地點(diǎn)或地理位置是以安全或威脅等級按照其相對安全或危險的程度進(jìn)行標(biāo)識。例如，在用戶關(guān)心的情況下，已知在服務(wù)器上具有良好網(wǎng)絡(luò)安全性的某些地點(diǎn)(例如在圖IA的安排中)可被表示為具有“安全”狀態(tài)。在一實(shí)施例中，數(shù)據(jù)庫包含全世界各地點(diǎn)的記錄。該數(shù)據(jù)庫的用戶副本可維護(hù)于便攜式信息裝置410上，其中每當(dāng)客戶機(jī)裝置與維護(hù)該數(shù)據(jù)庫的主(最新)版本的安全系統(tǒng)服務(wù)器進(jìn)行通信時均可得到自動更新?；蛘撸踩渲媚K410可訪問遠(yuǎn)程安全服務(wù)器，以詢問位置概要數(shù)據(jù)庫416。存儲于數(shù)據(jù)庫中的地點(diǎn)可如圖3B的實(shí)施例所示進(jìn)行分類被確認(rèn)是安全的；被用戶指定是安全的；可能是安全的；以及可能是不安全的。在另一實(shí)施例中，可利用用于確定便攜式信息裝置10的位置的不同技術(shù)的組合來確認(rèn)“安全”狀態(tài)并反制位置欺騙(spoofing)等企圖?？衫酶鞣N其它安全等級分類或標(biāo)記。在相關(guān)實(shí)施例中，系統(tǒng)支持對安全狀態(tài)可依賴的條件進(jìn)行定義。因此，用戶可根據(jù)其觀察以及根據(jù)數(shù)據(jù)庫中所包含的信息來自行進(jìn)行安全評估。在另一相關(guān)實(shí)施例中，客戶機(jī)裝置用以在與運(yùn)行根據(jù)本實(shí)用新型實(shí)施例的安全應(yīng)用程序的最近安全服務(wù)器進(jìn)行連接之后，刷新其位置數(shù)據(jù)庫。圖4A為顯示根據(jù)一種實(shí)施例類型的安全安排的圖式，其中可根據(jù)便攜式信息裝置10的當(dāng)前安全概要、便攜式信息裝置10的當(dāng)前計算能力、或同時根據(jù)二者，自動地配置安全模塊。所述安排包括上文參照圖3A所述的可配置的安全模塊400，可配置的安全模塊400可被配置成瘦客戶機(jī)模式、胖客戶機(jī)模式或混合模式，并可選擇性地啟用或禁用各種安全功能或元件、或者動態(tài)地調(diào)整各種運(yùn)行設(shè)定值。安全模塊400的配置或調(diào)整是由安全配置模塊450執(zhí)行，安全配置模塊450可與安全模塊400—起存在于便攜式信息裝置10本機(jī)上，或者可遠(yuǎn)離便攜式信息裝置10并通過網(wǎng)絡(luò)訪問安全模塊。安全配置模塊450包括配置確定模塊460及配置設(shè)定模塊465。配置確定模塊460包括決策標(biāo)準(zhǔn)，用于讀取及處理來自風(fēng)險評估模塊470、計算能力確定模塊480、及用戶輸入模塊490中至少一者的輸入，以判斷適合對安全模塊400設(shè)定哪些配置或運(yùn)行設(shè)定值。配置設(shè)定模塊465繼而在安全模塊400中設(shè)定所確定的配置或運(yùn)行設(shè)定值。在一實(shí)施例中，配置確定模塊460及安全配置模塊450的配置設(shè)定模塊465配置安全模塊400的運(yùn)行設(shè)定值，目的是減輕因可配置的安全模塊400的運(yùn)行而在計算機(jī)電路上引起的計算負(fù)荷、同時維持安全等級以針對由安全配置模塊根據(jù)來自風(fēng)險評估模塊470的輸入所確定的安全風(fēng)險進(jìn)行保護(hù)。在一個此種方法中，配置確定模塊460維護(hù)在安全模塊400中可得到的與安全相關(guān)的功能的體系。該與安全相關(guān)的功能體系是按照由風(fēng)險評估模塊470所確定的一組當(dāng)前安全風(fēng)險進(jìn)行排序。因此，在該實(shí)施例中，該體系安排是動態(tài)的；盡管在更基本的實(shí)施例中，也可利用與安全相關(guān)的功能的靜態(tài)的體系安排。該體系是按照針對一組當(dāng)前安全風(fēng)險進(jìn)行保護(hù)所需的重要性進(jìn)行排序。例如，在運(yùn)行網(wǎng)絡(luò)瀏覽器程序但不運(yùn)行電子郵件客戶端程序的便攜式信息裝置10中，為保持防止受到可能的安全威脅，防火墻及反惡意軟件/廣告軟件功能比例如消息過濾功能更為重要。在相關(guān)實(shí)施例中，功能的重要性是按更細(xì)的粒度劃分等級，其中可改變每一級別的與安全相關(guān)的功能的運(yùn)行設(shè)定值。例如，可對反惡意軟件/廣告軟件功能進(jìn)行調(diào)整，以針對與當(dāng)前正在便攜式信息裝置10中執(zhí)行的應(yīng)用程序相關(guān)聯(lián)的特定威脅進(jìn)行保護(hù)，而不是針對所有已知的威脅提供更廣范圍的保護(hù)。在一實(shí)施例中，配置確定模塊460根據(jù)來自風(fēng)險評估模塊470的一組當(dāng)前安全風(fēng)險推導(dǎo)出或選擇與安全相關(guān)的功能的體系次序，并根據(jù)由計算能力模塊480所確定的當(dāng)前計算能力，從該體系中進(jìn)一步選擇主要功能的子集。由此，可用的計算能力越大，一般可提供越多的安全功能；然而，在計算能力降低的條件下，安全被限制至僅某些重要特征。相應(yīng)地，根據(jù)環(huán)境而智能地動態(tài)限制安全性，使得配置設(shè)定模塊465為安全模塊400設(shè)定運(yùn)行設(shè)定值，從而在提供主要的與安全相關(guān)的功能的子集的同時，減小因安全模塊400的運(yùn)行而在計算機(jī)電路上引起的計算負(fù)荷，從而有利于在為便攜式信息裝置10提供對應(yīng)于一組當(dāng)前安全風(fēng)險的安全保護(hù)的同時，實(shí)現(xiàn)便攜式信息裝置10的可用性。在相關(guān)實(shí)例中，當(dāng)計算能力逐漸減小時-當(dāng)便攜式信息裝置10的電池因使用而耗盡時即為此種情形，配置設(shè)定模塊465按從次要的功能到主要的功能的次序，逐漸地禁用與安全相關(guān)的功能，以保持用于便攜式信息裝置10的非安全功能的計算能力。在不同實(shí)施例中，風(fēng)險評估模塊470獲得用以確定當(dāng)前風(fēng)險概要的信息。圖4B顯示一實(shí)例，其中風(fēng)險評估模塊470與數(shù)個不同的風(fēng)險相關(guān)信息來源進(jìn)行接口。在所示實(shí)例中，風(fēng)險評估模塊470與位置確定模塊414及位置數(shù)據(jù)庫416(二者均已在上文加以說明)進(jìn)行通信，以獲得關(guān)于當(dāng)前位置的信息并確定與當(dāng)前位置相關(guān)聯(lián)的對應(yīng)安全等級。在該實(shí)例中，風(fēng)險評估模塊470還與安全服務(wù)器連接模塊500進(jìn)行接口，以使風(fēng)險評估模塊470通過網(wǎng)絡(luò)獲得與安全相關(guān)的信息。此種信息的實(shí)例包括關(guān)于一般威脅等級的信息以及當(dāng)與位置確定模塊414結(jié)合使用時，關(guān)于當(dāng)前位置所特有的威脅等級的信息。風(fēng)險評估模塊470評估及重新評估便攜式信息裝置10所承受的一組當(dāng)前安全風(fēng)險。在一種安排中，風(fēng)險評估模塊470周期性地執(zhí)行重新評估，例如以某個預(yù)定的時間間隔執(zhí)行重新評估。在另一種安排中，則響應(yīng)于與風(fēng)險評估相關(guān)的某些事件的出現(xiàn)，例如在打開新的應(yīng)用程序?qū)嵗龝r，執(zhí)行重新評估。在相關(guān)實(shí)施例中，既周期性地執(zhí)行、也響應(yīng)于事件執(zhí)行重新評估。在此種類型的實(shí)施例中，周期性地重新評估某些不會趨于頻繁變化的風(fēng)險跡象，例如當(dāng)前威脅等級跡象；而其它安全風(fēng)險跡象，例如網(wǎng)絡(luò)流量總量，則趨于因運(yùn)行模式或在便攜式信息裝置10上運(yùn)行的應(yīng)用程序的變化而急劇變化。在一實(shí)施例中，應(yīng)用程序分析模塊510檢查便攜式信息裝置10的操作系統(tǒng)的注冊，以確定在該裝置上安裝有哪些應(yīng)用程序。根據(jù)此種信息，風(fēng)險評估模塊470與應(yīng)用程序分析模塊510相結(jié)合便可確定便攜式信息裝置10的具體漏洞。例如網(wǎng)絡(luò)瀏覽器等應(yīng)用程序?qū)⒕哂胁煌诶珉娮余]件應(yīng)用程序或電子表格的漏洞概要。在相關(guān)實(shí)施例中，應(yīng)用程序分析模塊510檢查當(dāng)前現(xiàn)用的應(yīng)用程序，該子集小于所有所安裝的應(yīng)用程序。因此，在一實(shí)施例中，根據(jù)當(dāng)前所用的應(yīng)用程序而定，風(fēng)險概要跡象可隨時間變化。安全歷史模塊520提供關(guān)于可反映當(dāng)前威脅等級的與安全相關(guān)的最新事件的信息。例如，如果防火墻已檢測到未知裝置試圖訪問便攜式信息裝置10的頻率高于正常頻率，則此可為入侵風(fēng)險增大的跡象。也可將事件歷史與位置信息相關(guān)聯(lián)，以使不同位置可具有不同的相關(guān)歷史。因此，如果用戶將便攜式信息裝置10攜帶到新的位置，將會檢查該位置的相關(guān)歷史。再次參見圖4A，計算能力確定模塊480提供關(guān)于便攜式信息裝置10的系統(tǒng)性能的信息，以供安全配置模塊450使用。此種信息使安全配置模塊450能夠選擇適合于可配置的安全模塊400的配置，從而不會因安全系統(tǒng)的運(yùn)行而過度地加重系統(tǒng)性能的負(fù)擔(dān)。在一種類型的實(shí)施例中，安全配置模塊450將計算能力確定模塊480所提供的計算能力信息與風(fēng)險概要信息一起考慮，以在便攜式信息裝置10的性能需求與安全需求之間實(shí)現(xiàn)恰當(dāng)?shù)钠胶狻Ｓ嬎隳芰Υ_定模塊480評估及重新評估便攜式信息裝置10的計算能力可用性的當(dāng)前狀態(tài)。在一種安排中，計算能力確定模塊480周期性地執(zhí)行重新評估，例如以某個預(yù)定的時間間隔執(zhí)行重新評估。在另一種安排中，則響應(yīng)于與計算能力相關(guān)的某些事件的出現(xiàn)，例如在打開新的應(yīng)用程序?qū)嵗龝r，執(zhí)行重新評估。在相關(guān)實(shí)施例中，既周期性地執(zhí)行、也響應(yīng)于事件執(zhí)行重新評估。在此種類型的實(shí)施例中，周期性地重新評估某些不會趨于驟然變化的計算能力跡象，例如電池容量；而其它計算能力跡象，例如可用存儲量，則趨于因運(yùn)行模式及在便攜式信息裝置10上運(yùn)行的應(yīng)用程序的變化而急劇變化。圖4C顯示在一個實(shí)例性實(shí)施例中，計算能力確定模塊480所接收的輸入類型的幾個實(shí)例。輸入540是裝置類型指示符，其為便攜式信息裝置10。計算能力確定模塊480也可訪問裝置信息數(shù)據(jù)庫M5，裝置信息數(shù)據(jù)庫545可駐存于便攜式信息裝置10本機(jī)上或遠(yuǎn)離便攜式信息裝置10，并包含各種裝置類型的分類的性能量度。由于裝置類型在許多情形中可以是靜態(tài)的信息條目，因而可在將安全安排安裝于便攜式信息裝置10上的過程中確定該信息。圖4D為顯示裝置信息數(shù)據(jù)庫M5中所包含的實(shí)例性的一組數(shù)據(jù)的表格。顯示器大小、處理器類型、數(shù)據(jù)存儲器類型及大小、電池容量以及通信措施有利于估計每一裝置的性能特性，包括電池的耗用速率。裝置信息數(shù)據(jù)庫中的數(shù)據(jù)的另一實(shí)例是由Microsoft公司的用于WindowsXP的Systeminfo實(shí)用程序所產(chǎn)生的信息。圖4E為裝置信息數(shù)據(jù)庫545中所包含的一組數(shù)據(jù)的另一實(shí)施例，其中為每一類型的裝置賦予一預(yù)定的性能得分或級別。根據(jù)該性能級別，可確定特定的配置類型，如在圖4F中所示。根據(jù)不同實(shí)施例，圖4F所示的配置類型可在安全安排的安裝過程中建立、在該安裝的更新過程中建立、或動態(tài)地建立?？蓜討B(tài)配置的實(shí)施例可適合于其中可具有可升級性或擴(kuò)充性的情形，例如在具有擴(kuò)充存儲卡插槽(例如MicroSD)的裝置中，或者用于可由用戶安裝更高容量電池的裝置中。再次參見圖4C，處理器監(jiān)測器550提供關(guān)于便攜式信息裝置10的處理器上的負(fù)荷的指示，并向安全配置模塊450提供相應(yīng)的輸入。在一實(shí)施例中，處理器監(jiān)測器550測量處理器處于空閑狀態(tài)的時間比率。例如，某些處理器在其空閑狀態(tài)中利用降低時鐘速度的模式，例如源自Intel公司的SpeedStep特征或者源自AMD公司的C00l‘nQuiet特征。在本實(shí)用新型的實(shí)施例中，可監(jiān)測這些模式的運(yùn)行并利用其作為處理器負(fù)荷的量度。處理器負(fù)荷是便攜式信息裝置10正經(jīng)受的使用強(qiáng)度的一種指示類型。該信息有助于確定便攜式信息裝置10除處理其它會引起處理器負(fù)荷的應(yīng)用程序外還處理安全模塊400的運(yùn)行的能力。以類似的方式，存儲器監(jiān)測器560監(jiān)測存儲器分配并向安全配置模塊450提供相應(yīng)的輸入，其中存儲器分配是系統(tǒng)負(fù)荷和用于運(yùn)行安全模塊400的容量的另一量度。在處理器及便攜式信息裝置10的存儲資源的負(fù)荷相對較高的情形中，配置模塊可暫時對安全模塊400配置降低的功能(如果在考慮到當(dāng)前風(fēng)險概要及用戶所規(guī)定公差的情況下，這樣做不會與安全需求沖突的話)。網(wǎng)絡(luò)流量總量監(jiān)測器570向安全配置模塊450提供輸入，以指示進(jìn)出便攜式信息裝置10的網(wǎng)絡(luò)流量的當(dāng)前狀態(tài)。所輸入及輸出的網(wǎng)絡(luò)流量可提供關(guān)于便攜式信息裝置10的當(dāng)前應(yīng)用的性質(zhì)的信息。作為直接量度，網(wǎng)絡(luò)流量總量指示安全模塊400的某些類型的配置可能需要的可用通信帶寬。作為間接量度，網(wǎng)絡(luò)流量總量及數(shù)據(jù)流的主要方向、以及輸入數(shù)據(jù)總量與輸出數(shù)據(jù)總量之比可指示用戶的使用強(qiáng)度以及對應(yīng)的裝置性能需求。在一實(shí)施例中，作為判斷是將安全模塊400配置成以瘦客戶機(jī)模式還是以胖客戶機(jī)模式運(yùn)行的一部分，安全配置模塊450考慮來自網(wǎng)絡(luò)流量總量監(jiān)測器570的輸入，其中瘦客戶機(jī)模式所需14的通信帶寬大于胖客戶機(jī)模式。電池容量指示580向安全配置模塊450提供電池狀態(tài)信息。電池狀態(tài)可指示關(guān)于計算能力限度的信息，因?yàn)榧词固幚砥?、存儲器及通信帶寬可足以支持健壯的安全配置，安全模塊在那種配置中的計算負(fù)荷也將需要更大功率。在便攜式信息裝置10存在有限的能量儲備的情形可要求將安全模塊400配置成降低負(fù)荷的運(yùn)行模式。再次參見圖4A，安全配置模塊450可進(jìn)一步從用戶輸入模塊490接收輸入，以使便攜式信息裝置10的用戶能夠提供其偏好以供在配置安全模塊400時考慮。在一實(shí)施例中，用戶輸入模塊490通過用戶界面提供可由用戶操作的滑動塊(slider)或其它直觀的控制手段，以便用戶可用來選擇是偏重于安全性還是偏重于性能。例如，在用戶需要在既定時刻非常緊急地瀏覽網(wǎng)絡(luò)、或者需要平穩(wěn)地運(yùn)行具有眾多圖片的應(yīng)用程序時，用戶可將控制滑動塊設(shè)定為偏重于性能。在相關(guān)實(shí)施例中，用戶輸入模塊490提供用戶控制，以利于除可被關(guān)閉以提高性能的安全元件之后還選擇性地關(guān)閉其它后臺程序。在用戶想要訪問個人信息或金融信息的另一情形中，用戶可將控制滑動塊設(shè)定成指示偏重于安全性。本實(shí)用新型的各方面設(shè)想，安全配置模塊可被編程有任何適宜的決策邏輯，以根據(jù)其所接收到的各種輸入來確定安全模塊400的配置設(shè)定值。而且，可根據(jù)裝置類型選擇或按公式推導(dǎo)出決策邏輯。例如，與具有更強(qiáng)功能處理器及更大存儲器的筆記本型裝置相比，具有較少計算資源和較小通信帶寬的智能電話裝置所具有的決策概要可支持偏重于保持性能的更積極的響應(yīng)能力。也可將不同類型的裝置配置成以不同的方式對類似的情形作出反應(yīng)。例如，在其中安全配置模塊450的輸入表明要減小因安全模塊400引起的計算負(fù)荷的情形中，裝置A可優(yōu)先從胖客戶機(jī)配置變至瘦客戶機(jī)配置，以作為對該情形的最初響應(yīng)；而裝置B可在安全模塊400保持處于胖客戶機(jī)模式的同時優(yōu)先降低安全模塊400的功能。在一種類型的實(shí)施例中，對安全配置模塊450進(jìn)行編程，以根據(jù)代表安全風(fēng)險概要以及計算能力的多變量輸入和用戶輸入設(shè)定值來計算性能-風(fēng)險向量，從而在提供適當(dāng)?shù)燃壍陌踩L(fēng)險防護(hù)的同時，平衡保持便攜式信息裝置10的性能的需要。所述多變量輸入中的每一變量可被賦予不同的權(quán)重，以使對應(yīng)的輸入在公式中具有更大的重要性。在一個實(shí)例性實(shí)施例中，某些變量按下列次序(從最大權(quán)重到最小權(quán)重)進(jìn)行加權(quán)電池耗盡；用戶偏好；位置；現(xiàn)有應(yīng)用程序；網(wǎng)絡(luò)流量；以及當(dāng)前的總體安全威脅。在關(guān)于安全配置模塊450如何利用來自風(fēng)險評估模塊470與計算能力確定模塊480的輸入的另一實(shí)例中，圖5顯示根據(jù)本實(shí)用新型一實(shí)施例用于確定所要執(zhí)行的安全威脅數(shù)據(jù)庫更新的類型的決策過程。在600中，應(yīng)用程序分析模塊510檢測存在于便攜式信息裝置10上的所安裝應(yīng)用程序。在610中，根據(jù)該列表，應(yīng)用程序分析模塊510從三個更新選項中進(jìn)行選擇選項620將僅以所安裝應(yīng)用程序的已更新威脅描述來配置威脅數(shù)據(jù)庫。選項630將數(shù)據(jù)庫配置成包括與所安裝應(yīng)用程序相關(guān)聯(lián)的威脅加上與具有類似特性的應(yīng)用程序相關(guān)聯(lián)的其它威脅的描述。例如，在MozillaFirefox為所安裝應(yīng)用程序的情形中，選項630將以與一般網(wǎng)絡(luò)瀏覽器程序相關(guān)聯(lián)的威脅來更新威脅描述。選項640將獲得具有所有已知威脅定義的完整配置，如在不包括用于降低其總體功能的措施的傳統(tǒng)安全安排中一樣。在一實(shí)施例中，根據(jù)由計算能力確定模塊480所確定的計算能力、根據(jù)處理器及存儲器能力、以及視需要根據(jù)當(dāng)前的負(fù)荷狀況，從這三個選項中進(jìn)行選擇。在相關(guān)實(shí)施例中，當(dāng)前電池壽命可以是決定執(zhí)行何種類型的更新的因素。圖6為流程圖，其顯示如何根據(jù)剩余電池壽命來選擇不同安全配置的簡單實(shí)例。當(dāng)剩余電池壽命隨著便攜式信息裝置10的使用而從高降到低時，依序沿循所示過程。一般而言，首先禁用不重要的安全功能，并最后禁用主要的安全功能。在圖6的實(shí)例中，在700中首先禁用在便攜式信息裝置10上運(yùn)行的安全系統(tǒng)的管理控制臺。因管理控制臺只是用戶界面，其自身并不執(zhí)行安全功能，因此其對系統(tǒng)資源構(gòu)成負(fù)荷，此種負(fù)荷是純粹的開銷。在710中，所述系統(tǒng)判斷是否存在與遠(yuǎn)程安全服務(wù)器的任何現(xiàn)用通信。如果存在現(xiàn)用通信，則表明安全模塊正在以在某種程度上依賴于安全服務(wù)器的配置進(jìn)行運(yùn)行。在此種情形中，則跳過在720中對有利于連接到服務(wù)器的加密通信信道的禁用。相反，如果安全模塊未在與安全服務(wù)器進(jìn)行通信，則可在720中禁用加密模塊。在730中，系統(tǒng)檢查位置確定功能是否可運(yùn)行。如果可運(yùn)行(即未被禁用)，則使位置數(shù)據(jù)庫的相關(guān)管理功能保持可運(yùn)行，以支持基于位置的可配置性功能。如果位置確定功能未被使用，則在740中禁用位置數(shù)據(jù)庫及任何其它相關(guān)功能。在750中，當(dāng)電池進(jìn)一步耗盡時，防火墻及反病毒功能逐漸降至最低。在上文中參照圖5描述了逐漸降至最低的一個實(shí)例，其中減小威脅描述數(shù)據(jù)庫，以使耗費(fèi)在解決可能性較低的安全風(fēng)險上的系統(tǒng)資源減少。通過僅著重于與當(dāng)前應(yīng)用程序類型最為相關(guān)的那些風(fēng)險、或者僅著重于安裝在便攜式信息裝置10上的那些特定應(yīng)用程序，可更有效地利用耗費(fèi)在安全性上的系統(tǒng)資源。當(dāng)電池繼續(xù)進(jìn)一步耗盡時，在760中禁用位置確定及反應(yīng)功能以及通信功能，以保持系統(tǒng)資源僅用于最重要的防火墻及反惡意軟件功能。在某些時候，需要判斷是將各安全功能全部禁用以保持系統(tǒng)資源僅用于正在運(yùn)行的應(yīng)用程序、還是不能接受使應(yīng)用程序毫無安全性地在便攜式信息裝置10上運(yùn)行。相應(yīng)地，在一實(shí)施例中，當(dāng)電池達(dá)到臨界的低電量(比如10%)時，裝置將提醒用戶授權(quán)進(jìn)行不安全的操作。在相關(guān)實(shí)施例中，在不同的安全系統(tǒng)禁用階段中給出用戶通知，從而使用戶能夠調(diào)整便攜式信息裝置10的資源管理的行為。本實(shí)用新型的各個方面設(shè)想，存在實(shí)際上無限數(shù)量的適宜方法，這些方法可在配置確定模塊460的決策標(biāo)準(zhǔn)中構(gòu)建成根據(jù)不同的輸入來配置安全模塊400。而且，可實(shí)現(xiàn)安全模塊400的配置類型的許多變型。因此，不應(yīng)在上文權(quán)利要求書中所述及的限制之外將本實(shí)用新型限制至本文所述的任何具體例示性實(shí)例。以上各實(shí)施例旨在作為例示性而非限制性說明。其它實(shí)施例也處于權(quán)利要求書的范圍內(nèi)。此外，盡管已參照具體實(shí)施例闡述了本實(shí)用新型的各個方面，所屬領(lǐng)域的技術(shù)人員將認(rèn)識到，可在不背離由權(quán)利要求書所界定的本實(shí)用新型精神及范圍的條件下作出形式及細(xì)節(jié)上的變化。所屬領(lǐng)域的一般技術(shù)人員將認(rèn)識到，本實(shí)用新型所包含的特征可少于上述任一個別實(shí)施例中所示的特征。本文所述實(shí)施例并非要作為對本實(shí)用新型不同特征的組合形式的窮盡性展示。因此，本實(shí)用新型的實(shí)施例并不是各特征的互斥性組合；而是，如所屬領(lǐng)域的一般技術(shù)人員所理解，本實(shí)用新型可包含選自不同的個別實(shí)施例的不同個別特征的組I=IO上文以引用方式對任何文獻(xiàn)的并入均被限制為與本文所明確公開的內(nèi)容相違背的標(biāo)的物均不并入本文中。上文以引用方式對任何文獻(xiàn)的并入進(jìn)一步被限制為使這些文獻(xiàn)中所包含的權(quán)利要求不并入本文中。上文以引用方式對任何文獻(xiàn)的并入還被限制為使這些文獻(xiàn)中所提供的任何定義不以引用方式并入本文中，除非在本文中明確包含這種定義。權(quán)利要求1.一種具有可動態(tài)配置的安全結(jié)構(gòu)的信息裝置，其特征在于，所述裝置包括計算機(jī)電路，包括可操作地耦合至數(shù)據(jù)存儲器的處理器；用戶界面，包括顯示器及用戶輸入裝置；通信電路；以及電源，用于對所述計算機(jī)電路、用戶界面、及通信電路供電；其中所述計算機(jī)電路包括安全結(jié)構(gòu)，所述安全結(jié)構(gòu)包括可配置的安全模塊、風(fēng)險評估模塊、計算能力確定模塊以及安全配置模塊，所述安全配置模塊進(jìn)一步包括配置確定模塊以及配置設(shè)定模塊。2.如權(quán)利要求1所述的信息裝置，其特征在于，所述位置確定模塊包括以下中的至少一者全球定位系統(tǒng)接收器；以及網(wǎng)絡(luò)拓?fù)浞治銎鳌?.一種具有可動態(tài)配置的安全結(jié)構(gòu)的便攜式信息裝置，其特征在于，所述裝置包括計算機(jī)電路，包括可操作地耦合至數(shù)據(jù)存儲器的處理器；用戶界面，包括顯示器及用戶輸入裝置；無線通信電路；以及電源，用于對所述計算機(jī)電路、用戶界面、及無線通信電路供電；所述電源包括單板能源；其中所述計算機(jī)電路包括安全結(jié)構(gòu)，所述安全結(jié)構(gòu)包括可配置的安全模塊、位置確定模塊以及安全配置模塊。4.如權(quán)利要求3所述的便攜式信息裝置，其特征在于，所述位置確定模塊包括下列中的至少一者全球定位系統(tǒng)接收器；以及網(wǎng)絡(luò)拓?fù)浞治銎?。專利摘要本?shí)用新型提供一種信息裝置，包括可動態(tài)配置的安全模塊，其中根據(jù)風(fēng)險概要或計算能力信息、或同時根據(jù)二者來自動地動態(tài)配置運(yùn)行設(shè)定值。文檔編號H04L9/00GK201821502SQ20092014980公開日2011年5月4日申請日期2009年4月14日優(yōu)先權(quán)日2008年12月2日發(fā)明者A·V·季霍米羅夫,D·A·波利亞科夫,N·V·卡先科申請人:卡巴斯基實(shí)驗(yàn)室