一種計算機防護的裝置及方法
【技術領域】
[0001]本發(fā)明涉及計算機技術領域，特別涉及一種計算機防護的裝置及方法。
【背景技術】
[0002]隨著計算機技術的不斷發(fā)展，計算機在生活及生產(chǎn)中扮演著越來越重要的角色，廣泛應用于醫(yī)院、事業(yè)單位以及企業(yè)等部門。計算機中存儲著用戶的各種數(shù)據(jù)，特別是在服務器中存儲著大量的數(shù)據(jù)，這些數(shù)據(jù)可能是用戶個人隱私、企業(yè)商業(yè)機密或政府部門機密文件，如果這些數(shù)據(jù)被非法用戶獲取，將導致個人隱私泄露，企業(yè)商業(yè)機密被競爭對手獲取，國家重要決策被公開，從而給個人用戶帶來困擾，給企業(yè)造成巨大的經(jīng)濟損失，對國家安全及社會穩(wěn)定造成影響。為了保護這些重要數(shù)據(jù)，需要對計算機進行防護，避免非法用戶通過對計算機破壞而非法獲取數(shù)據(jù)。
[0003]目前，對計算機進行防護的方法主要是通過在計算機上安裝防病毒或防惡意攻擊的軟件，防止病毒或惡意軟件對計算機進行攻擊，從而防止用戶數(shù)據(jù)被竊取。
[0004]針對于現(xiàn)有技術通過防病毒或防惡意攻擊的軟件對計算機進行防護的方法，僅在操作系統(tǒng)層面對計算機進行防護，無法對操作系統(tǒng)底層存在的安全隱患進行防護，因而計算機的安全性較低。

【發(fā)明內(nèi)容】

[0005]本發(fā)明提供一種計算機防護的裝置及方法，能夠提高計算機的安全性。
[0006]本發(fā)明實施例提供了一種計算機防護的裝置，包括:策略管理單元、硬件度量單元、軟件度量單元及執(zhí)行單元；
[0007]所述策略管理單元，用于接收外部發(fā)送的策略配置消息，根據(jù)所述策略配置消息，配置待度量硬件設備及待度量內(nèi)核文件；
[0008]所述硬件度量單元，用于在計算機上電后對所述策略管理單元配置的待度量硬件設備進行度量，獲取第一度量值；
[0009]所述軟件度量單元，用于對所述策略管理單元配置的待度量內(nèi)核文件進行度量，獲取第二度量值；
[0010]所述執(zhí)行單元，用于判斷所述硬件度量單元獲取的第一度量值是否與所述待度量硬件設備的標準度量值相同，如果是，允許所述待度量硬件設備啟動，如果否，接收外部發(fā)送的第一啟動特權碼或向外部發(fā)送第一警示消息后，允許所述待度量硬件設備啟動，并判斷所述軟件度量單元獲取的第二度量值是否與所述待度量內(nèi)核文件的標準度量值相同，如果是，允許引導操作系統(tǒng)啟動，如果否，接收外部發(fā)送的第二啟動特權碼或向外部發(fā)送第二警示消息后，允許引導操作系統(tǒng)啟動。
[0011]優(yōu)選地，所述策略管理單元，進一步用于對所述待度量硬件設備及待度量內(nèi)核文件的啟動模式進行設置，其中所述啟動模式包括特權啟動模式及警示啟動模式；
[0012]所述執(zhí)行單元，用于在判斷所述第一度量值與所述待度量硬件設備的標準度量值不同后，進一步判斷所述待度量硬件設備的啟動模式是否為特權啟動模式，如果是，接收外部發(fā)送的第一啟動特權碼后，允許所述待度量硬件設備啟動，否則，向外部發(fā)送警示所述待度量硬件設備出現(xiàn)異常的第一警示消息后，允許所述待度量設備啟動，并在判斷所述第二度量值與所述待度量內(nèi)核文件的標準度量值不同后，進一步判斷所述待度量內(nèi)核文件的啟動模式是否為特權啟動模式，如果是，接收外部發(fā)送的第二啟動特權碼后，允許引導操作系統(tǒng)啟動，否則，向外部發(fā)送警示所述待度量內(nèi)核文件出現(xiàn)異常的第二警示消息后，允許引導操作系統(tǒng)啟動。
[0013]優(yōu)選地，所述策略管理單元，進一步用于接收外部發(fā)送的策略更新消息，根據(jù)所述策略更新消息，對所述待度量硬件設備及待度量內(nèi)核文件進行相應的增加或刪除，并對所述待度量硬件設備及待度量內(nèi)核文件的啟動模式進行修改。
[0014]優(yōu)選地，該裝置進一步包括:訪問控制單元；
[0015]所述訪問控制單元，用于根據(jù)預先設置的白名單，判斷向所述策略管理單元發(fā)送策略配置消息及策略更新消息的信息發(fā)送端是否在所述白名單內(nèi)，如果是，允許所述策略管理單元接收所述信息發(fā)送端發(fā)送的所述策略配置消息或策略更新消息，否則，阻止所述策略管理單元接收所述策略配置消息或策略更新消息。
[0016]優(yōu)選地，所述硬件度量單元，用于在所述策略管理單元配置待度量硬件設備后，及所述策略管理單元對所述待度量硬件設備進行增加或刪除后，對所述待度量硬件設備進行度量，形成所述待度量硬件設備的標準度量值，將所述待度量硬件設備的標準度量值存儲在TPM芯片中；
[0017]所述軟件度量單元，用于在所述策略管理單元配置待度量內(nèi)核文件后，及所述策略管理單元對所述待度量內(nèi)核文件進行增加或刪除后，對所述待度量內(nèi)核文件進行度量，形成所述待度量內(nèi)核文件的標準度量值，將所述待度量內(nèi)核文件的標準度量值存儲在所述TPM芯片中；
[0018]所述執(zhí)行單元，用于從所述TPM芯片中讀取所述待度量硬件設備的標準度量值及所述待度量內(nèi)核文件的標準度量值，分別判斷所述第一度量值與所述待度量硬件設備的標準度量值及所述第二度量值與所述待度量內(nèi)核文件的標準度量值是否相同。
[0019]本發(fā)明實施例還提供了一種計算機防護的方法，包括:
[0020]接收外部發(fā)送的策略配置消息，根據(jù)所述策略配置消息，配置待度量硬件設備及待度量內(nèi)核文件；
[0021]計算機上電后對所述待度量硬件設備進行度量，獲得第一度量值；
[0022]判斷所述第一度量值是否與所述待度量硬件設備的標準度量值相同，如果是，允許所述待度量硬件設備啟動，如果否，接收外部發(fā)送的第一啟動特權碼或向外部發(fā)送第一警示消息后，允許所述待度量硬件設備啟動；
[0023]對所述待度量內(nèi)核文件進行度量，獲取第二度量值；
[0024]判斷所述第二度量值是否與所述待度量內(nèi)核文件的標準度量值相同，如果是，允許引導操作系統(tǒng)啟動，如果否，接收外部發(fā)送的第二啟動特權碼或向外部發(fā)送第二警示消息后，允許引導操作系統(tǒng)啟動。
[0025]優(yōu)選地，該方法進一步包括:對所述待度量硬件設備及待度量內(nèi)核文件的啟動模式進行設置，其中所述啟動模式包括特權啟動模式及警示啟動模式；
[0026]所述接收外部發(fā)送的第一啟動特權碼或向外部發(fā)送第一警示消息后，允許所述待度量硬件設備啟動包括:判斷所述待度量硬件設備的啟動模式是否為特權啟動模式，如果是，接收外部發(fā)送的第一啟動特權碼后，允許所述待度量硬件設備啟動，否則，向外部發(fā)送警示所述待度量硬件設備出現(xiàn)異常的第一警示消息后，允許所述待度量設備啟動；
[0027]所述接收外部發(fā)送的第二啟動特權碼或向外部發(fā)送第二警示消息后，允許引導操作系統(tǒng)啟動包括:判斷所述待度量內(nèi)核文件的啟動模式是否為特權啟動模式，如果是，接收外部發(fā)送的第二啟動特權碼后，允許引導操作系統(tǒng)啟動，否則，向外部發(fā)送警示所述待度量內(nèi)核文件出現(xiàn)異常的第二警示消息后，允許引導操作系統(tǒng)啟動。
[0028]優(yōu)選地，該方法進一步包括:接收外部發(fā)送的策略更新消息，根據(jù)所述策略更新消息，對所述待度量硬件設備及待度量內(nèi)核文件進行相應的增加或刪除，并對所述待度量硬件設備及待度量內(nèi)核文件的啟動模式進行修改。
[0029]優(yōu)選地，在所述接收外部發(fā)送的策略配置消息之前進一步包括:根據(jù)預先設置的白名單，判斷所述策略配置消息的發(fā)送端是否在所述白名單內(nèi)，如果是，允許接收所述策略配置消息，否則，阻止對所述策略配置消息的接收。
[0030]優(yōu)選地，在所述接收外部發(fā)送的的策略更新消息之前進一步包括:根據(jù)所述白名單，判斷所述策略更新消息的發(fā)送端是否在所述白名單內(nèi)，如果是，允許接收所述策略更新消息，否則，阻止對所述策略更新消息的接收。
[0031]優(yōu)選地，在所述配置待度量硬件設備及待度量內(nèi)核文件之后進一步包括:分別對所述待度量硬件設備及待度量內(nèi)核文件進行度量，形成所述待度量硬件設備的標準度量值及待度量內(nèi)核文