包括端口和来宾域的计算设备制造技术

第一来宾域和隔离的外围相关任务。外围相关任务与外围进行通信，并且防止第一来宾域与外围进行通信。

【技术实现步骤摘要】
【国外来华专利技术】包括端口和来宾域的计算设备
技术介绍
虚拟机是像物理机器一样执行指令的机器的软件实现。虚拟机与物理机器一样易受恶意攻击。即插即用可允许在没有用户干预的情况下将外围连接至机器，来配置外围。如果外围是恶意的，那么其可能感染虚拟机。【附图说明】关于以下附图描述本专利技术的一些实施例:图1是根据示例性实现的计算设备的框图；图2是根据示例性实现的计算设备的框图；图3是根据示例性实现的界面；图4是根据示例性实现的与连接至计算设备的外围进行通信的方法的流程图；图5是根据示例性实现的与连接至计算设备的外围进行通信的方法的流程图；以及图6是根据示例性实现的包括计算机可读介质的计算系统。【具体实施方式】计算设备可能易受恶意代码的攻击。计算设备可以是例如服务器、台式机、笔记本、移动电话、PDA或别的计算设备。恶意代码可以是例如恶意软件、病毒、固件攻击或其它。计算设备可执行可能受病毒或恶意软件攻击的操作系统。虚拟机还可以称为虚拟域，该虚拟域用于主管在该虚拟域中执行的操作系统。物理机器可以执行多个域。在域上执行的操作系统易受病毒和恶意软件的攻击，如果该操作系统直接在计算设备的物理硬件上执行，那么病毒和恶意软件可攻击该操作系统。这些域可被还称为虚拟机监视器的管理程序管理并彼此隔离，或者可与诸如特权域之类的域之一结合。计算设备上的每个域可执行外围相关的任务。外围相关任务可以是用于确定外围是否是恶意的的逻辑或指令。虚拟装置可以用于执行外围相关任务。虚拟装置可在域中运行。外围相关任务可扫描附接至计算设备的外围，以防止该外围攻击别的域。在一个示例中，计算设备包括第一来宾域和与该第一来宾域隔离的外围相关任务。端口可将计算设备连接至外围设备。特权域可使外围相关任务被执行，以识别外围设备。如果确定外围是恶意的，则外围相关任务防止第一来宾域与外围进行通信。在另一示例中，与连接至计算设备的外围进行通信的方法包括将外围相关任务与第一来宾域隔离。可生成用于执行外围相关任务的虚拟装置。虚拟装置可从外围接收外围的类型的指示。虚拟装置可验证外围的类型。可防止第一来宾域与外围进行通信，直到外围的类型被验证。参照附图，图1是根据示例性实现的计算设备100的框图。计算设备100可包括第一来宾域110。特权域105可与第一来宾域110分离。在一个示例中，特权域105可能未被允许执行外围相关任务130，而可生成虚拟装置或另一来宾域来执行外围相关任务130，以防止特权域105被恶意的外围攻击。特权域105可能不允许可能与诸如第二来宾域140或虚拟装置135之类的可能恶意的外围连接的其它域对特权域105做出改变。在另一示例中，如果特权域105不易受到来自恶意外围的攻击，则可以允许特权域105执行外围相关任务 130。硬件120可包括用于连接外围设备的端口 125。管理程序115可管理硬件120的资源。外围相关任务130可在除第一来宾域以外的域，例如特权域105、虚拟装置135或第二来宾域140中执行。外围相关任务130可以是用于识别外围设备的指令。如果确定外围是恶意的，则外围相关任务130可防止第一来宾域110访问外围。端口 125是在计算机与另一设备之间传递数据的接口。端口可以是例如有线端口，如通用串行总线(USB)端口、IEEE1394 端 口、雷电端 口 (thunderbolt port)、sata 端 口或别的有线连接。端口 125可以是无线端口，如蓝牙?端口、wifi端口、wwan端口或别的无线连接。其它设备可以是外围，例如打印机、鼠标、键盘、监视器、存储设备、网络设备或别的外围。管理程序115是代替操作系统用于最初直接与硬件120通信的层，以允许该硬件同时运行多个域内的多个来宾操作系统。在一些实现中，管理程序115启动如特权域之类的域，并且将输入/输出(I/O)控制器映射至特权域，来使特权域直接与硬件120而不是与管理程序通信。在一个实施例中，执行管理程序的计算机可以包含三个组件。第一组件是管理程序115，第二组件是特权域105，特权域105还可以称为“域O” (DomO)0特权域可以是在管理程序115上运行的具有直接硬件访问和来宾管理责任的特权来宾。第三组件是“域U”，其可以是无特权域来宾(DomU)。DomU可以是在管理程序上运行的对诸如存储器、硬盘、端口或任何其它硬件120之类的硬件没有直接访问的无特权来宾。第一来宾域可以是DomU的示例。外围相关任务130可以是由域执行的应用程序。如果外围连接至端口，则该外围可以发送该外围是什么类型的设备的指示。例如，外围可以指示其是可以引起外围相关任务130执行的存储设备。该执行可以位于除第一来宾域以外的任何域上，如另一来宾域，虚拟装置、特权域或管理程序。例如，外围相关任务可以通过尝试存储信息和从存储设备中检索信息来询问外围。任务还可以扫描恶意内容。当外围包括例如病毒、恶意软件或别的利用域中的安全漏洞的破坏性程序时，该外围可能是恶意的。特权域旨在是不易受病毒和恶意软件影响的，这可能是因为例如特权域包括受信任软件，并且可能不允许由别的域对该域进行写入。针对可能引起感染非特权域而不感染特权域的恶意代码的外围设备，特权域可执行外围相关任务130。一旦外围相关任务130证实了该外围是非恶意的，那么诸如第一来宾域110之类的非特权域就可以访问该外围设备。可以存在多个不同的、可赋予第一来宾域110的访问级别。图2是根据示例性实现的计算设备的框图。计算设备200可包括硬件220，硬件220可包括端口，诸如有线端口 225或无线端口 245。有线端口 225可以是例如通用串行端口、IEEE 1394端口、雷电端口、sata端口或别的有线连接。无线端口 245可是诸如蓝牙端口、wifi端口、wwan端口或别的无线连接之类的端口。诸如特权域205之类的、位于第一来宾域210外部并且与第一来宾域210隔离的域，作为所有外围设备的安全隔离区，在这里所有外围设备可在被暴露至用户操作环境之前根据需要首先被枚举、分析、认证和/或矫正。此外，一些类型的设备可完全与第一来宾域210阻隔。一旦管理程序将I/O控制器映射至特权域，特权域就成为第一个将存在于硬件220层的任何外围枚举给端口控制器的域。在该层可进行策略决定，但是特权域205可以是高度安全的环境。由于该高度安全的环境，所以外围可连接至虚拟装置235，虚拟装置235的唯一作用是实施与外围设备相有关的策略设置。该虚拟装置235可基于与多个可能的机制、设备类别认证、设备类别配置策略实施、设备类别白名单或黑名单、特定设备白名单、抽象用户交互、设备类别认证或别的策略设置有关的预配置策略设置，来决定如何或者甚至是否将该外围设备暴露至第一来宾域210。作为示例，对USB人机交互设备而言，特权域检测设备插入。该人机交互设备相对于第一来宾域210的随后暴露被延迟，直到该设备被分析。特权域将该设备视作不友好的，直到该设备可通过外围相关任务被认证为所指示的设备。对于诸如键盘或鼠标之类的人机交互设备而言，这可能通过经由显示子系统向用户呈现询问来实现。这可以通过安全图形用户界面来完成，使得该询问对于诸如第一来宾域210之类的任何来宾域是不可见的。该询问可以包括向用户呈现随机字符以及图形键盘，并且等待用户本文档来自技高网...

【技术保护点】
一种计算设备，包括：第一来宾域；外围相关任务，与所述第一来宾域隔离；端口，用于连接外围设备；以及特权域，用于使所述外围相关任务被执行来识别所述外围设备，其中如果确定所述外围是恶意的，则所述外围相关任务防止所述第一来宾域与所述外围进行通信。

【技术特征摘要】
【国外来华专利技术】1.一种计算设备，包括: 第一来宾域； 外围相关任务，与所述第一来宾域隔离； 端口，用于连接外围设备；以及 特权域，用于使所述外围相关任务被执行来识别所述外围设备，其中如果确定所述外围是恶意的，则所述外围相关任务防止所述第一来宾域与所述外围进行通信。2.根据权利要求1所述的设备，其中所述特权域生成用于执行所述外围相关任务的虚拟装置。3.根据权利要求1所述的设备，其中所述端口是有线端口或无线端口。4.根据权利要求1所述的设备，进一步包括位于所述第一来宾域中的、用于接收所述外围设备的内容的文本列表的逻辑。5.根据权利要求1所述的设备，进一步包括用于确定自动运行文件是否位于所述外围设备上的逻辑，其中所述外围相关任务防止所述第一来宾域访问所述自动运行文件。6.根据权利要求1所述的设备，进一步包括所述外围设备的黑名单，所述黑名单用于防止所述第一来宾域访问所述外围设备。7.根据权利要求1所述的设备，进一步包括扫描器，所述扫描器用于在允许所述第一来宾域访问所述外围设备之前扫描所述外围设备的内容中的恶意代码。8.根据权利要求1所述的设备，进一步包括界面，所述界面用于选择所述第一来宾域与所述外围设备通信所具有的访问级别`。9.一种与连接至计算设备的外围进行通信的方法，包括: 将外围相关任务与第一来宾域隔离； 生成用于执行所述外围相关任务的虚拟装置； 通过所述虚拟装置从...

【专利技术属性】
技术研发人员：杰夫·让索纳，瓦利·阿利，詹姆斯·M·曼，
申请(专利权)人：惠普发展公司，有限责任合伙企业，
类型：
国别省市：