CN119201331A - 软件管控信息的处理方法及装置、存储介质及电子装置 - Google Patents

Abstract

本申请实施例提供了一种软件管控信息的处理方法及装置、存储介质及电子装置，该方法包括：接收为目标桌面虚机下发的目标软件管控信息，其中，所述目标软件管控信息为与待管控的目标受控软件对应的软件管控信息；根据所述目标软件管控信息生成目标管控策略规则，并将所述目标管控策略规则写入到目标策略文件；通过调用目标接口，将所述目标策略文件导入所述目标桌面虚机的目标操作系统内，以由所述目标操作系统根据所述目标策略文件确定是否允许执行所述目标操作系统接收到的操作指令，其中，所述目标接口为所述目标操作系统内提供的用于决策文件导入的接口。

Description

软件管控信息的处理方法及装置、存储介质及电子装置

技术领域

本申请实施例涉及通信领域，具体而言，涉及一种软件管控信息的处理方法及装置、存储介质及电子装置。

背景技术

云电脑是云计算技术背景下替代传统电脑的一种新模式。在该模式下，用户需要的运行资源，如中央处理器、内存、硬盘等全部在后端的服务器中虚拟出来。基于信创操作系统的云电脑，即在服务器的虚机中安装信创操作系统。云电脑模式下，同一个服务器上会有多个虚机，不同用户使用不同虚机可以随意下载、安装软件，对系统稳定性造成了影响。因此，相关技术中的软件管控信息的处理方法，存在对云电脑虚机中的软件的管控能力较差的问题。

发明内容

本申请实施例提供了一种软件管控信息的处理方法及装置、存储介质及电子装置，以至少解决相关技术中的软件管控信息的处理方法存在对云电脑虚机中的软件的管控能力较差的问题。

根据本申请的一个实施例，提供了一种软件管控信息的处理方法，包括：接收为目标桌面虚机下发的目标软件管控信息，其中，所述目标软件管控信息为与待管控的目标受控软件对应的软件管控信息；根据所述目标软件管控信息生成目标管控策略规则，并将所述目标管控策略规则写入到目标策略文件；通过调用目标接口，将所述目标策略文件导入所述目标桌面虚机的目标操作系统内，以由所述目标操作系统根据所述目标策略文件确定是否允许执行所述目标操作系统接收到的操作指令，其中，所述目标接口为所述目标操作系统内提供的用于决策文件导入的接口。

根据本申请的另一个实施例，提供了一种软件管控信息的处理装置，包括：接收单元，用于接收为目标桌面虚机下发的目标软件管控信息，其中，所述目标软件管控信息为与待管控的目标受控软件对应的软件管控信息；第一执行单元，用于根据所述目标软件管控信息生成目标管控策略规则，并将所述目标管控策略规则写入到目标策略文件；导入单元，用于通过调用目标接口，将所述目标策略文件导入所述目标桌面虚机的目标操作系统内，以由所述目标操作系统根据所述目标策略文件确定是否允许执行所述目标操作系统接收到的操作指令，其中，所述目标接口为所述目标操作系统内提供的用于决策文件导入的接口。

根据本申请的又一个实施例，还提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序，其中，所述计算机程序被设置为运行时执行上述实施例中的步骤。

根据本申请的又一个实施例，还提供了一种电子装置，包括存储器和处理器，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以执行上述实施例中的步骤。

在本申请的上述实施例中，通过根据接收到的软件管控信息自动生成软件管控策略文件，并在操作系统内根据软件管控策略文件对相关的操作指令进行管控，从而解决了相关技术中的软件管控信息的处理方法，存在对云电脑虚机中的软件的管控能力较差的问题，达到了提高对云电脑虚机中的软件的管控能力的效果。

附图说明

图1是本申请实施例的计算机终端硬件结构框图；

图2是根据本申请实施例的一种可选的软件管控信息的处理方法的流程图；

图3是根据本申请实施例的一种可选的软件管控信息的处理方法的示意图；

图4是根据本申请实施例的另一种可选的软件管控信息的处理方法的示意图；

图5是根据本申请实施例的另一种可选的软件管控信息的处理方法的流程图；

图6是根据本申请实施例的又一种可选的软件管控信息的处理方法的示意图；

图7是根据本申请实施例的又一种可选的软件管控信息的处理方法的流程图；

图8是根据本申请实施例的一种可选的软件管控信息的处理装置的结构框图。

具体实施方式

下文中将参考附图并结合实施例来详细说明本申请的实施例。

需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。

本申请实施例中所提供的方法实施例可以在移动终端和服务器或者类似的运算装置中执行。以运行在服务器上为例，图1是本申请实施例的服务器的硬件结构框图。如图1所示，该服务器可以包括一个或多个(图1中仅示出一个)处理器102(处理器102可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置)和用于存储数据的存储器104，其中，上述服务器还可以包括用于通信功能的传输设备106以及输入输出设备108。本领域普通技术人员可以理解，图1所示的结构仅为示意，其并不对上述服务器的结构造成限定。例如，服务器还可包括比图1中所示更多或者更少的组件，或者具有与图1所示不同的配置。

存储器104可用于存储计算机程序，例如，应用软件的软件程序以及模块，如本申请实施例中实现方案步骤的计算机程序，处理器102通过运行存储在存储器104内的计算机程序，从而执行各种功能应用以及数据处理，即实现上述的方法。存储器104可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器104可进一步包括相对于处理器102远程设置的存储器，这些远程存储器可以通过网络连接至移动终端。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

传输设备106用于经由一个网络接收或者发送数据。上述的网络具体实例可包括计算机终端的通信供应商提供的无线网络。在一个实例中，传输设备106包括一个网络适配器(Network Interface Controller，NIC)，其可通过服务器与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输设备106可以为射频(Radio Frequency，RF)模块，其用于通过无线方式与互联网进行通讯。

需说明的是，在本申请实施例中，运行方法实施例的移动终端同样可以包括上述各功能部件。

在本实施例中提供了一种软件管控信息的处理方法，该方法可运行于上述结构的服务器上。图2是根据本申请实施例的一种可选的软件管控信息的处理方法的流程图，如图2所示，该流程包括如下步骤：

步骤S202，接收为目标桌面虚机下发的目标软件管控信息，其中，目标软件管控信息是与待管控的目标受控软件对应的软件管控信息。

本实施例中的软件管控信息的处理方法可以应用到基于目标操作系统的云电脑中的软件进行管控的场景。这里的目标操作系统可以是多用户网络操作系统，如Linux操作系统(基于Linux内核的操作系统)。云电脑是云计算技术背景下替代传统电脑的一种新模式。在该模式下，用户需要的运行资源，如中央处理器、内存、硬盘等全部在后端的服务器中虚拟出来。基于目标操作系统的云电脑，即在服务器的虚机中安装目标操作系统。

近年来，在日渐严峻的内外部环境下，国产化替代的呼声越来越高。与此同时，国家推出了信息技术创新与应用(简称“信创”)的新基建战略。经过几年的发展，在操作系统领域出现了统信、麒麟等较为成熟的基于Linux内核的国产化操作系统。信创操作系统得到快速发展的同时，也为基于Linux操作系统的云电脑提供了巨大的发展前景。

云电脑系统通常由客户端、服务端和桌面虚机三个部分组成。其中，客户端负责向服务端发起登陆请求，服务端对登陆账号进行验证，验证通过后为相应的登陆用户分配一台桌面虚机，并将这台虚机的连接参数返回给客户端，客户端可以通过返回的连接参数建立与相应的桌面虚机直接的链路，连接成功后就可以操作相应的桌面虚机。服务端通常运行有登陆管理模块、虚机管理模块等。登陆管理模块用户管理用户信息和登录验证；虚机管理模块负责对桌面虚机进行管理，包括桌面虚机的创建、删除、启动、停止等，此外还负责管理着虚机的运行状态。桌面虚机是运行在服务端的独立系统，客户端可以与之建立连接，并通过建立的链路对桌面虚机进行操作。通常桌面虚机上还可以部署一些预设的模块，通过这些模块可以对桌面进行管控。

然而，云电脑模式下，同一个服务器上会有多个虚机，不同用户使用不同虚机可以随意下载、安装软件，对系统稳定性造成了影响。目前，现有的用于Linux操作系统的软件管控方法，一般是通过手动搜索、查找要管控的程序或进程信息，以系统管理员身份手动去修改操作系统的内核安全模块(如apparmor(一种应用程序访问控制系统)、selinux(一种安全子系统)等)的策略文件。但安全模块策略文件的规则编写非常复杂，而且容易出错，需要比较深厚的相关技术背景。此外，通过修改操作系统启动项的方式很容易地规避掉软件管控。除此之外，用户也无法知悉哪些软件被列为了受控软件、哪些软件被允许使用、系统中是否已安装了受控软件，以及如何去卸载受控软件。以上因素导致基于Linux操作系统的云电脑在一些特定的应用场景(如家庭、教育、政企等)缺乏甚至失去软件管控能力。

为了至少部分解决上述问题，在本实施例中，可以在目标操作系统内安装软件管控应用，以根据接收到的软件管控信息自动生成策略文件，并将策略文件自动导入进行软件管控的相关预设模块(如，前述内核安全模块)中，以根据策略文件对云电脑上的相关操作进行管控。无需手动修改或编辑策略文件，避免了策略文件因修改或编辑中的误差，导致无法在相关云电脑中生效的情况发生。此外，进行软件管控的相关预设模块内置于操作系统内核中，不支持用户自定义配置，可以避免用户通过修改系统启动项或策略文件的方式规避软件管控。

在本实施例中，可以由软件管控应用接收为目标桌面虚机下发的目标软件管控信息。这里，目标软件管控信息可以是与待管控的目标受控软件对应的软件管控信息，可以是目标对象(如，运维人员)设置的管控信息，可以包括但不限于软件管控规则类型、受管控的软件信息、软件管控方式等。目标桌面虚机，即前述云电脑虚机。

步骤S204，根据目标软件管控信息生成目标管控策略规则，并将目标管控策略规则写入到目标策略文件。

根据接收到的目标软件管控信息，可以自动生成目标管控策略规则。为了使目标管控策略规则能够正常运行，需要将目标管控策略规则写入到目标策略文件。目标策略文件可以是/etc/app-guard/sec-policy文件。

步骤S206，通过调用目标接口，将目标策略文件导入目标桌面虚机的目标操作系统内，以由目标操作系统根据目标策略文件确定是否允许执行目标操作系统接收到的操作指令，其中，目标接口为目标操作系统内提供的用于决策文件导入的接口。

为了使目标策略文件能够生效，可以将目标策略文件导入目标桌面虚机的目标操作系统内，以由目标操作系统根据目标策略文件确定是否允许执行目标操作系统接收到的操作指令。导入的方式可以是通过调用目标操作系统内提供的用于决策文件(即，确定是否允许执行目标操作系统接收到的操作指令的文件)导入的接口，即目标接口(与前述/etc/app-guard/sec-policy文件对应，策略导入命令可以是APPGuardimport/etc/app-guard/sec-policy)。

可选地，根据目标策略文件确定是否允许执行目标操作系统接收到的操作指令，可以是由目标操作系统内的内核安全模块进行的。对应地，上述目标接口可以是内核安全模块提供的接口，将目标策略文件导入目标桌面虚机的目标操作系统内，可以是指将目标策略文件导入目标桌面虚机的目标操作系统内的内核安全模块中。

在本实施例中，每个桌面虚机都可以有一个操作系统，如图3所示，在对应的操作系统内部，可以设置有软件管控模块，软件管控模块可以包括内核安全模块和软件管控应用。软件管控应用可以是系统服务级应用，可以接收管理端系统(即，管理端服务器)下发的软件管控信息，自动生成内核安全模块需要的管控策略文件并导入内核安全模块使策略生效，还可以自动收集虚机内已安装软件的特征信息并上报管理端系统，为运维人员提供更便捷的规则设置操作。内核安全模块可以是内置于操作系统内核的安全模块，可以用于监听操作系统的进程创建、调用操作和磁盘I/O(对设备与CPU连接的接口电路的操作)操作。当触发相关操作时，与软件管控应用导入的策略文件进行匹配，如果与策略文件中的软件特征、文件或目录信息相匹配，如果是黑名单软件，则拦截相应的操作并向软件管控应用发送通知消息，软件管控应用进而通过用户界面给予用户相关提示信息；如果是白名单则直接放行。用户界面可以提供显示管控软件列表、一键卸载黑名单软件、管控软件强制关闭提醒等功能。

上述管理端系统可以是与桌面虚机对应的服务器相互独立的服务器。如图3所示，在管理端系统中，可以软件特征统计模块、规则设置模块和规则下发模块。软件特征统计模块可以用于收集软件管控所需的软件特征信息，包括但不限于进程名称、可执行文件哈希值、安装路径(软件特征信息也可以包括但不限于软件名称、进程名称、安装路径、可执行文件哈希值)。特征信息来源主要有客户端应用上报、软件安装包中提取、资源管理器中查找。规则设置模块(即，设置软件管控信息的模块)可以用于运维人员设置软件管控规则类型、受管控的软件清单(可以由多个受管控的软件信息组成)、软件管控方式等软件管控信息。规则下发模块可以用于将运维人员设置的软件管控信息下发到云电脑虚机的软件管控应用模块。通过回收系统用户对于安装策略和模块功能的自定义设置权限，消除了高级用户使用云电脑过程中规避软件管控的风险，提高了云电脑软件管控应用场景下的安全稳定性。

例如，如图4所示，运维人员通过管理端系统软件管控设置页面设置管控方式、管控规则类型，填写管控规则基本信息并选择需要管控的软件清单，选择管控规则需要下发的桌面虚机列表(即，下发给具体的哪个用户桌面)。软件管控应用定时查询软件管控规则列表，根据修改时间戳判断规则列表是否发生了变化。若有修改，则解析软件管控规则列表，生成内核安全模块策略文件并写入指定路径。调用内核安全模块提供的策略导入命令导入策略文件内容使其生效。由内核安全模块监听操作系统的I/O操作和进程调用操作并对相关动作做出决策并在用户界面显示相关提醒。

通过上述步骤S202至步骤S206，接收为目标桌面虚机下发的目标软件管控信息，其中，目标软件管控信息为与待管控的目标受控软件对应的软件管控信息；根据目标软件管控信息生成目标管控策略规则，并将目标管控策略规则写入到目标策略文件；通过调用目标接口，将目标策略文件导入目标桌面虚机的目标操作系统内，以由目标操作系统根据目标策略文件确定是否允许执行目标操作系统接收到的操作指令，其中，目标接口为目标操作系统内提供的用于决策文件导入的接口，解决了相关技术中的软件管控信息的处理方法存在对云电脑虚机中的软件的管控能力较差的问题，提高了对云电脑虚机中的软件的管控能力。

在一个示例性实施例中，在接收为目标桌面虚机下发的目标软件管控信息之后，上述方法还包括：

S11，将接收到的目标软件管控信息写入到软件管控规则列表中，其中，软件管控规则列表用于记录为目标桌面虚机下发的一组受控软件中的每个受控软件的软件管控信息；

S12，在根据软件管控规则列表的修改时间戳确定软件管控规则列表发生更新的情况下，依次遍历软件管控规则列表，以根据一组受控软件中的至少部分受控软件的软件管控信息生成对应的管控策略规则，其中，至少部分受控软件包括目标受控软件。

对于接收到的目标软件管控信息，可以由软件管控应用将接收到的目标软件管控信息写入到软件管控规则列表中。这里，软件管控规则列表可以用于记录为目标桌面虚机下发的一组受控软件中的每个受控软件的软件管控信息。

考虑到目标软件管控信息中可以包含对一组受控软件的现有的管控方式进行修改的管控信息，对应地，软件管控规则列表中可以记录有同一软件的多种管控信息，在本实施例中，可以根据软件管控规则列表的修改时间戳确定软件管控规则列表是否发生更新，并在确定软件管控规则列表发生更新的情况下，可以依次遍历软件管控规则列表，以根据一组受控软件中的至少部分受控软件的软件管控信息生成对应的管控策略规则。这里的至少部分受控软件可以包括目标受控软件。

可选地，上述根据软件管控规则列表的修改时间戳确定软件管控规则列表是否发生更新，可以是通过定时查询软件管控规则列表进行的，也可以是在接收到目标软件管控信息后立即触发进行的。

通过本实施例，根据软件管控规则列表的修改时间戳确定软件管控规则列表是否发生更新，并在确定软件管控规则列表发生更新的情况下，执行相应的管控策略规则的生成，可以避免同一受控软件因在软件管控规则列表中记录有多个不同的管控信息，而导致无法快速确定最新的软件管控信息，进而导致相应的策略文件未及时生成的情况，可以提高软件管控的效率。

在一个示例性实施例中，在接收为目标对象的目标桌面虚机下发的目标软件管控信息之前，上述方法还包括：

S21，响应于软件管控生成指令，生成一组软件管控信息，其中，一组软件管控信息中的每个软件管控信息为一个受控软件的软件管控信息，一组软件管控信息包括目标软件管控信息；

S22，将一组软件管控信息下发至一组桌面虚机中的每个桌面虚机的软件管控应用，以由每个桌面虚机的软件管控应用根据一组软件管控信息生成与每个软件管控信息对应的策略文件，其中，一组桌面虚机包括目标桌面虚机。

前述目标软件管控信息可以是响应于软件管控生成指令生成的。在本实施例中，响应于软件管控生成指令，可以生成一组软件管控信息。这里，一组软件管控信息中的每个软件管控信息可以是一个受控软件的软件管控信息。一组软件管控信息可以包括目标软件管控信息。

在生成一组软件管控信息之后，可以将一组软件管控信息下发至一组桌面虚机中的每个桌面虚机的软件管控应用，以由每个桌面虚机的软件管控应用根据一组软件管控信息生成与每个软件管控信息对应的策略文件。这里的一组桌面虚机可以包括前述目标桌面虚机。

上述生成软件管控信息并将其下发至对应桌面虚机的软件管控应用的操作，可以是在前述管理端系统中进行的。上述软件管控生成指令可以是在运维人员在规则设置模块中设置相应管控信息后触发生成的。

通过本实施例，通过软件管控生成指令生成软件管控信息并下发至对应桌面虚机的软件管控应用中，可以有效提高软件管控策略文件的生成效率，降低整体操作的复杂性。

在一个示例性实施例中，根据目标软件管控信息生成目标管控策略规则，包括：

S31，根据目标软件管控信息，确定目标受控软件的管控规则类型以及目标受控软件的软件管控方式；

S32，根据目标受控软件的管控规则类型、目标受控软件的软件管控方式以及目标桌面虚机的使用对象的对象类型，生成目标管控策略规则，其中，目标管控策略规则用于指示目标受控软件的管控规则类型、目标受控软件的软件管控方式以及使用对象的对象类型。

根据目标软件管控信息，可以确定目标受控软件的管控规则类型以及目标受控软件的软件管控方式。在目标软件管控信息写入软件管控规则列表的情况下，可以通过解析软件管控规则列表来获取目标受控软件的管控规则类型以及目标受控软件的软件管控方式。

根据目标受控软件的管控规则类型、目标受控软件的软件管控方式以及目标桌面虚机的使用对象的对象类型，可以生成目标管控策略规则。对应地，目标管控策略规则可以用于指示目标受控软件的管控规则类型、目标受控软件的软件管控方式以及使用对象的对象类型。

可选地，上述目标桌面虚机的使用对象的对象类型可以记录在软件管控规则列表中，可以是由管理端系统中的软件特征统计模块收集并下发至软件管控应用中，由软件管控应用记录在软件管控规则列表中的。

通过本实施例，根据目标受控软件的管控规则类型、目标受控软件的软件管控方式以及目标桌面虚机的使用对象的对象类型，生成目标管控策略规则，丰富了家庭、教育、办公等云电脑的使用场景，扩大了该技术在云电脑领域的应用范围。

在一个示例性实施例中，根据目标受控软件的管控规则类型、目标受控软件的软件管控方式以及目标桌面虚机的使用对象的对象类型，生成目标管控策略规则，包括：

S41，生成包含与目标受控软件的管控规则类型对应的规则类型标识、与目标受控软件的软件管控方式对应的管控方式标识以及与使用对象的对象类型对应的对象类型标识的目标管控策略规则；

其中，目标受控软件的管控规则类型包括以下之一：目录规则，名称规则，哈希规则，目标受控软件的软件管控方式包括以下之一：黑名单，白名单，使用对象的对象类型包括以下之一：非家庭桌面虚机的使用对象，家庭桌面虚机的一种使用等级的使用对象。

在根据管控规则类型、软件管控方式以及使用对象的对象类型生成目标管控策略规则时，可以生成包含与目标受控软件的管控规则类型对应的规则类型标识、与目标受控软件的软件管控方式对应的管控方式标识以及与使用对象的对象类型对应的对象类型标识的目标管控策略规则。

与管控规则类型、软件管控方式和使用对象分别对应的标识可以是不同类型的标识。

上述目标受控软件的管控规则类型可以包括以下之一：目录规则，名称规则，哈希规则。目录规则可以以/a/b/c/*为标识，名称规则可以以软件名称为标识，哈希规则可以以软件可执行文件的hash值为标识。

上述目标受控软件的软件管控方式可以包括以下之一：黑名单，白名单。黑名单可以以deny(拒绝)为关键字(标识)，白名单可以以allow(允许)为关键字(标识)。黑名单表示该软件不可以在桌面虚机上使用，白名单标识该软件可以在桌面虚机上使用。

上述使用对象的对象类型可以包括以下之一：非家庭桌面虚机的使用对象，家庭桌面虚机的一种使用等级的使用对象。家庭桌面虚机的一种使用等级的使用对象可以包括家庭桌面虚机的普通对象，和家庭桌面虚机的其他对象(如青少年、老年用户等)。可以以不同的数字表示不同的使用对象。例如，0表示非家庭云电脑用户(即，非家庭桌面虚机的使用对象)；1表示家庭云电脑普通用户(即，家庭桌面虚机的普通对象)；2表示家庭云电脑其他用户(即，家庭桌面虚机的其他对象)。对应地，根据上述相关标识，可以生成一条/a/b/c/*|[appname]|[hash]:deny|allow:0|1|2语法的规则。

通过本实施例，在生成的管控策略规则中使用不同的标识区分不同的管控规则类型、软件管控方式和使用对象，可以提高目标管控策略规则直接确定相关信息的效率，进而提高软件管控的及时性。

在一个示例性实施例中，在通过调用目标接口，将目标策略文件导入目标桌面虚机的内核安全模块内之后，上述方法还包括：

S51，通过内核安全模块监听到目标桌面虚机的操作系统上与目标软件对应的目标操作指令，其中，目标操作指令为以下至少之一：进程创建指令，进程调用指令，磁盘输入输出I/O操作指令；

S52，将目标操作指令与目标策略文件进行匹配，得到与目标操作指令对应的匹配结果；

S53，在与目标操作指令对应的匹配结果用于指示存在与目标操作指令匹配的管控策略规则的情况下，按照与目标操作指令匹配的管控策略规则确定是否允许执行目标操作指令。

在本实施例中，可以通过内核安全模块监听对应操作系统上的操作指令，并将监听到的操作指令与策略文件进行匹配，以确定是否允许执行该操作指令。

在监听到目标桌面虚机的操作系统上与目标软件对应的目标操作指令的情况下，可以将目标操作指令与目标策略文件进行匹配，得到与目标操作指令对应的匹配结果。这里，目标操作指令可以是以下至少之一：进程创建指令，进程调用指令，磁盘输入输出I/O操作指令。

监听的方式可以是通过钩子函数实现的，通过钩子函数监听操作系统的进程创建、调用操作和磁盘I/O操作，并与导入的策略文件进行匹配来决定是否对进程调用或磁盘I/O操作进行拦截。

在与目标操作指令对应的匹配结果用于指示存在与目标操作指令匹配的管控策略规则的情况下，可以按照与目标操作指令匹配的管控策略规则确定是否允许执行目标操作指令。

通过本实施例，由操作系统上的内核安全模块对操作系统上的操作指令进行监听，并与相关策略文件进行匹配，以确定是否允许执行该操作指令，可以提高软件管控的效率。

在一个示例性实施例中，将目标操作指令与目标策略文件进行匹配，得到与目标操作指令对应的匹配结果，包括：

S61，将与操作指令对应的上下文信息、目标桌面虚机的使用对象的对象类型与目标策略文件中的管控策略规则进行匹配，得到与目标操作指令对应的匹配结果。

为了提高匹配结果的准确性，在将目标操作指令与目标策略文件进行匹配时，可以将与操作指令对应的上下文信息、目标桌面虚机的使用对象的对象类型与目标策略文件中的管控策略规则进行匹配，得到与目标操作指令对应的匹配结果。这里的上下文信息可以是指I/O操作或者进程调用的消息/事件的上下文信息。

例如，如图5所示，内核安全模块监听操作系统的I/O操作和进程调用操作并对相关动作做出决策的过程可以包括以下步骤：

步骤S502，用户通过桌面快捷方式或资源管理器向操作系统发起文件访问或软件执行操作。

步骤S504，内核安全模块监听到I/O或进程调用的消息/事件，根据执行上下文信息、当前用户类型与策略缓存中的规则进行匹配。

步骤S506，内核安全模块根据上一步中的匹配结果做出允许/拒绝的决策。

如果操作允许则正常执行，如果不允许，则通知用户界面对用户给予相关提示。

通过本实施例，将与操作指令对应的上下文信息、目标桌面虚机的使用对象的对象类型与目标策略文件中的管控策略规则进行匹配，可以提高匹配结果的准确性。

在一个示例性实施例中，在在与目标操作指令对应的匹配结果用于指示存在与目标操作指令匹配的管控策略规则的情况下，按照与目标操作指令匹配的管控策略规则确定是否允许执行目标操作指令之后，上述方法还包括，上述方法还包括：

S71，在按照与目标操作指令匹配的管控策略规则确定允许执行目标操作指令的情况下，对目标操作指令执行放行操作；

S72，在按照与目标操作指令匹配的管控策略规则确定拦截目标操作指令的情况下，对目标操作指令执行拦截操作。

根据匹配结果，可以由内核安全模块做出允许/拒绝目标操作指令的决策。在本实施例中，在按照与目标操作指令匹配的管控策略规则确定允许执行目标操作指令的情况下，可以对目标操作指令执行放行操作，即，让目标操作系统正常执行目标操作指令。

在按照与目标操作指令匹配的管控策略规则确定拦截目标操作指令的情况下，可以对目标操作指令执行拦截操作。此外，还可以在目标桌面虚机的显示界面(如图3所示的云电脑虚机上的用户界面)上显示不允许执行目标操作指令的相关通知，以对用户给与相关提示。

通过本实施例，根据操作指令与策略文件的匹配结果确定对目标操作指令执行放行或拦截操作，可以提高软件管控的安全稳定性。

在一个示例性实施例中，在接收为目标桌面虚机下发的目标软件管控信息之后，上述方法还包括以下至少之一：

S81，通过目标桌面虚机的显示界面显示受控软件清单，其中，受控软件清单是与目标桌面虚机对应的受控软件的清单，与目标桌面虚机对应的受控软件包括目标受控软件；

S82，通过目标桌面虚机的显示界面显示未受控软件清单，其中，未受控软件清单是允许目标桌面虚机的操作系统使用的软件的清单；

S83，通过目标桌面虚机的显示界面显示已安装受控软件清单，其中，已安装受控软件清单是目标桌面虚机的操作系统中已安装的受控软件的清单。

为了增加用户的体验感受，目标桌面虚机的显示界面上可以至少显示以下之一的信息：受控软件清单，未受控软件清单和已安装受控软件清单。这里，显示的方式可以是通过弹窗的形式显示的。

上述受控软件清单可以是与目标桌面虚机对应的受控软件的清单。与目标桌面虚机对应的受控软件可以包括目标受控软件。未受控软件清单可以是允许目标桌面虚机的操作系统使用的软件的清单。已安装受控软件清单可以是目标桌面虚机的操作系统中已安装的受控软件的清单。

通过本实施例，根据目标桌面虚机的显示界面上显示的相关信息，可以便于用户快速知悉哪些软件被列为了受控软件，允许使用哪些软件，系统中是否已安装了受控软件以及如何去卸载受控软件等，从而提高了用户的体验感受。

在一个示例性实施例中，在接收为目标桌面虚机下发的目标软件管控信息之后，上述方法还包括：

S91，响应于对目标桌面虚机的显示界面中的软件卸载按钮执行的触发操作，对目标桌面虚机的操作系统中已安装的所有受控软件执行卸载操作。

由于受控软件在目标桌面虚机的操作系统中的使用会有较大的限制，甚至是无法使用。对于目标桌面虚机的操作系统已安装的受控软件，在通过目标桌面虚机的显示界面显示已安装受控软件清单的同时，可以提供一键卸载功能，即，一键卸载所选的所有已安装受控软件。如图6所示，在显示界面以弹窗的形式显示已安装受控软件清单的情况下，一键卸载功能可以是由该弹窗提供的。

在本实施例中，响应于对目标桌面虚机的显示界面中的软件卸载按钮执行的触发操作，可以对目标桌面虚机的操作系统中已安装的所有受控软件执行卸载操作。

通过本实施例，通过一键卸载的功能，可以提高受控软件卸载的效率，同时由于无需用户逐个对受控软件进行卸载，可以提高用户的体验感受。

下面结合可选示例对本申请实施例中的软件管控信息的处理方法进行解释说明。在本可选示例中，目标操作系统为Linux操作系统，目标桌面虚机为云电脑虚机。

本可选示例中提供了一种基于Linux操作系统的云电脑软件管控方法、系统及应用技术方案，运维人员在管理端设置软件管控信息，管理端系统将软件管控信息下发到云电脑虚机中，云电脑虚机的操作系统内核中的软件管控应用根据软件管控信息自动生成策略文件并导入内核安全模块中，内核安全模块通过钩子函数监听操作系统的进程创建、调用操作和磁盘I/O操作，并与导入的策略文件进行匹配来决定是否对进程调用或磁盘I/O操作进行拦截。内核安全模块不支持用户自定义配置，可以避免用户通过修改系统启动项或策略文件的方式规避软件管控。同时，结合软件管控应用和用户界面，可以降低整体操作的复杂性，丰富了云电脑的使用场景，并提升用户体验效果。

如图7所示，本可选示例中的软件管控信息的处理方法的流程可以包括以下步骤：

步骤S702，运维人员在管理端系统设置软件管控信息。

软件管控信息包括软件管控方式(黑名单或白名单)、软件规则类型、受控软件清单以及与受控软件对应的云电脑虚机。

步骤S704，软件管控应用接收软件管控信息。

步骤S706，判断软件管控规则列表是否更新。

软件管控应用定时查询软件管控规则列表，根据修改时间戳判断软件管控规则列表是否发生了变化。是则执行步骤S708，否则回到步骤S702。

步骤S708，由软件管控应用根据软件管控信息生成策略规则并写入策略文件。

步骤S710，由软件管控应用将策略文件导入内核安全模块使其生效。

内核安全模块可以监听操作系统的I/O操作和进程调用操作并对相关动作做出决策。

步骤S712，用户界面显示受管控软件清单、提醒是否安装了受管控应用，并对已安装的管控软件提供一键卸载功能。

通过本可选示例，通过回收系统用户对于安装策略和模块功能的自定义设置权限，提高了基于Linux操作系统云电脑软件管控应用场景下的安全稳定性。通过结合软件管控应用和用户界面，降低了整体操作的复杂性，丰富了云电脑的使用场景，扩大了该技术在云电脑领域的应用范围，提升了用户体验效果。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本申请所必须的。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM(Read-Only Memory，只读存储器)/RAM(Random Access Memory，随机存取存储器)、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本申请各个实施例的方法。

根据本申请实施例的另一个方面，还提供了一种用于实施上述软件管控信息的处理方法的软件管控信息的处理装置，该软件管控信息的处理装置可以应用于智能设备上。图8是根据本申请实施例的一种可选的软件管控信息的处理装置的结构框图，如图8所示，该装置可以包括：

接收单元802，用于接收为目标桌面虚机下发的目标软件管控信息，其中，目标软件管控信息为与待管控的目标受控软件对应的软件管控信息；

第一执行单元804，与接收单元802相连，用于根据目标软件管控信息生成目标管控策略规则，并将目标管控策略规则写入到目标策略文件；

导入单元806，与第一执行单元804相连，用于通过调用目标接口，将目标策略文件导入目标桌面虚机的目标操作系统内，以由目标操作系统根据目标策略文件确定是否允许执行目标操作系统接收到的操作指令，其中，目标接口为目标操作系统内提供的用于决策文件导入的接口。

需要说明的是，该实施例中的接收单元802可以用于执行上述步骤S202，该实施例中的第一执行单元804可以用于执行上述步骤S204，该实施例中的导入单元806可以用于执行上述步骤S206。

通过上述模块，接收为目标桌面虚机下发的目标软件管控信息，其中，目标软件管控信息为与待管控的目标受控软件对应的软件管控信息；根据目标软件管控信息生成目标管控策略规则，并将目标管控策略规则写入到目标策略文件；通过调用目标接口，将目标策略文件导入目标桌面虚机的目标操作系统内，以由目标操作系统根据目标策略文件确定是否允许执行目标操作系统接收到的操作指令，其中，目标接口为目标操作系统内提供的用于决策文件导入的接口，相关技术中的软件管控信息的处理方法，存在对云电脑虚机中的软件的管控能力较差的问题，提高了对云电脑虚机中的软件的管控能力。

在一个示例性实施例中，上述装置还包括：

写入单元，用于在接收为目标桌面虚机下发的目标软件管控信息之后，将接收到的目标软件管控信息写入到软件管控规则列表中，其中，软件管控规则列表用于记录为目标桌面虚机下发的一组受控软件中的每个受控软件的软件管控信息；

遍历单元，用于在根据软件管控规则列表的修改时间戳确定软件管控规则列表发生更新的情况下，依次遍历软件管控规则列表，以根据一组受控软件中的至少部分受控软件的软件管控信息生成对应的管控策略规则，其中，至少部分受控软件包括目标受控软件。

在一个示例性实施例中，上述装置还包括：

生成单元，用于在接收为目标对象的目标桌面虚机下发的目标软件管控信息之前，响应于软件管控生成指令，生成一组软件管控信息，其中，一组软件管控信息中的每个软件管控信息为一个受控软件的软件管控信息，一组软件管控信息包括目标软件管控信息；

下发单元，用于将一组软件管控信息下发至一组桌面虚机中的每个桌面虚机的软件管控应用，以由每个桌面虚机的软件管控应用根据一组软件管控信息生成与每个软件管控信息对应的策略文件，其中，一组桌面虚机包括目标桌面虚机。

在一个示例性实施例中，第一执行单元包括：

确定模块，用于根据目标软件管控信息，确定目标受控软件的管控规则类型以及目标受控软件的软件管控方式；

生成模块，用于根据目标受控软件的管控规则类型、目标受控软件的软件管控方式以及目标桌面虚机的使用对象的对象类型，生成目标管控策略规则，其中，目标管控策略规则用于指示目标受控软件的管控规则类型、目标受控软件的软件管控方式以及使用对象的对象类型。

在一个示例性实施例中，生成模块包括：

生成子模块，用于生成包含与目标受控软件的管控规则类型对应的规则类型标识、与目标受控软件的软件管控方式对应的管控方式标识以及与使用对象的对象类型对应的对象类型标识的目标管控策略规则；

其中，目标受控软件的管控规则类型包括以下之一：目录规则，名称规则，哈希规则，目标受控软件的软件管控方式包括以下之一：黑名单，白名单，使用对象的对象类型包括以下之一：非家庭桌面虚机的使用对象，家庭桌面虚机的一种使用等级的使用对象。

在一个示例性实施例中，上述装置还包括：

监听单元，用于在通过调用目标接口，将目标策略文件导入目标桌面虚机的内核安全模块内之后，通过内核安全模块监听到目标桌面虚机的操作系统上与目标软件对应的目标操作指令，其中，目标操作指令为以下至少之一：进程创建指令，进程调用指令，磁盘输入输出I/O操作指令；

匹配单元，用于将目标操作指令与目标策略文件进行匹配，得到与目标操作指令对应的匹配结果；

确定单元，用于在与目标操作指令对应的匹配结果用于指示存在与目标操作指令匹配的管控策略规则的情况下，按照与目标操作指令匹配的管控策略规则确定是否允许执行目标操作指令。

在一个示例性实施例中，匹配单元包括：

匹配模块，用于将与操作指令对应的上下文信息、目标桌面虚机的使用对象的对象类型与目标策略文件中的管控策略规则进行匹配，得到与目标操作指令对应的匹配结果。

在一个示例性实施例中，上述装置还包括：

第二执行单元，用于在在与目标操作指令对应的匹配结果用于指示存在与目标操作指令匹配的管控策略规则的情况下，按照与目标操作指令匹配的管控策略规则确定是否允许执行目标操作指令之后，在按照与目标操作指令匹配的管控策略规则确定允许执行目标操作指令的情况下，对目标操作指令执行放行操作；

第三执行单元，用于在按照与目标操作指令匹配的管控策略规则确定拦截目标操作指令的情况下，对目标操作指令执行拦截操作。

在一个示例性实施例中，上述装置还包括以下至少之一：

第一显示单元，用于在接收为目标桌面虚机下发的目标软件管控信息之后，通过目标桌面虚机的显示界面显示受控软件清单，其中，受控软件清单是与目标桌面虚机对应的受控软件的清单，与目标桌面虚机对应的受控软件包括目标受控软件；

第二显示单元，用于通过目标桌面虚机的显示界面显示未受控软件清单，其中，未受控软件清单是允许目标桌面虚机的操作系统使用的软件的清单；

第三显示单元，用于通过目标桌面虚机的显示界面显示已安装受控软件清单，其中，已安装受控软件清单是目标桌面虚机的操作系统中已安装的受控软件的清单。

在一个示例性实施例中，上述装置还包括：

第四执行单元，用于在接收为目标桌面虚机下发的目标软件管控信息之后，响应于对目标桌面虚机的显示界面中的软件卸载按钮执行的触发操作，对目标桌面虚机的操作系统中已安装的所有受控软件执行卸载操作。

此处需要说明的是，上述模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在如图1所示的硬件环境中，可以通过软件实现，也可以通过硬件实现，其中，硬件环境包括网络环境。

根据本申请实施例的又一个方面，还提供了一种计算机可读存储介质，该计算机可读存储介质中存储有计算机程序，其中，该计算机程序被设置为运行时执行上述任一项方法实施例中的步骤。

在一个示例性实施例中，上述计算机可读存储介质可以包括但不限于：U盘、只读存储器(Read-Only Memory，简称为ROM)、随机存取存储器(Random Access Memory，简称为RAM)、移动硬盘、磁碟或者光盘等各种可以存储计算机程序的介质。

根据本申请实施例的又一方面，还提供了一种电子设备，包括存储器和处理器，该存储器中存储有计算机程序，该处理器被设置为运行计算机程序以执行上述任一项方法实施例中的步骤。

在一个示例性实施例中，上述电子设备还可以包括传输设备以及输入输出设备，其中，该传输设备和上述处理器连接，该输入输出设备和上述处理器连接。

本实施例中的具体示例可以参考上述实施例及示例性实施方式中所描述的示例，本实施例在此不再赘述。

显然，本领域的技术人员应该明白，上述的本申请实施例的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本申请实施例不限制于任何特定的硬件和软件结合。

以上所述仅为本申请的优选实施例而已，并不用于限制本申请实施例，对于本领域的技术人员来说，本申请实施例可以有各种更改和变化。凡在本申请实施例的原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请实施例的保护范围之内。

Claims (13)

1.一种软件管控信息的处理方法，其特征在于，包括：

接收为目标桌面虚机下发的目标软件管控信息，其中，所述目标软件管控信息为与待管控的目标受控软件对应的软件管控信息；

根据所述目标软件管控信息生成目标管控策略规则，并将所述目标管控策略规则写入到目标策略文件；

通过调用目标接口，将所述目标策略文件导入所述目标桌面虚机的目标操作系统内，以由所述目标操作系统根据所述目标策略文件确定是否允许执行所述目标操作系统接收到的操作指令，其中，所述目标接口为所述目标操作系统内提供的用于决策文件导入的接口。

2.根据权利要求1所述的方法，其特征在于，在所述接收为目标桌面虚机下发的目标软件管控信息之后，所述方法还包括：

将接收到的所述目标软件管控信息写入到软件管控规则列表中，其中，所述软件管控规则列表用于记录为所述目标桌面虚机下发的一组受控软件中的每个受控软件的软件管控信息；

在根据所述软件管控规则列表的修改时间戳确定所述软件管控规则列表发生更新的情况下，依次遍历所述软件管控规则列表，以根据所述一组受控软件中的至少部分受控软件的软件管控信息生成对应的管控策略规则，其中，所述至少部分受控软件包括所述目标受控软件。

3.根据权利要求1所述的方法，其特征在于，在所述接收为目标对象的目标桌面虚机下发的目标软件管控信息之前，所述方法还包括：

响应于软件管控生成指令，生成一组软件管控信息，其中，所述一组软件管控信息中的每个软件管控信息为一个受控软件的软件管控信息，所述一组软件管控信息包括所述目标软件管控信息；

将所述一组软件管控信息下发至一组桌面虚机中的每个桌面虚机的软件管控应用，以由所述每个桌面虚机的软件管控应用根据所述一组软件管控信息生成与所述每个软件管控信息对应的策略文件，其中，所述一组桌面虚机包括所述目标桌面虚机。

4.根据权利要求1所述的方法，其特征在于，所述根据所述目标软件管控信息生成目标管控策略规则，包括：

根据所述目标软件管控信息，确定所述目标受控软件的管控规则类型以及所述目标受控软件的软件管控方式；

根据所述目标受控软件的管控规则类型、所述目标受控软件的软件管控方式以及所述目标桌面虚机的使用对象的对象类型，生成所述目标管控策略规则，其中，所述目标管控策略规则用于指示所述目标受控软件的管控规则类型、所述目标受控软件的软件管控方式以及所述使用对象的对象类型。

5.根据权利要求4所述的方法，其特征在于，所述根据所述目标受控软件的管控规则类型、所述目标受控软件的软件管控方式以及所述目标桌面虚机的使用对象的对象类型，生成所述目标管控策略规则，包括：

生成包含与所述目标受控软件的管控规则类型对应的规则类型标识、与所述目标受控软件的软件管控方式对应的管控方式标识以及与所述使用对象的对象类型对应的对象类型标识的所述目标管控策略规则；

其中，所述目标受控软件的管控规则类型包括以下之一：目录规则，名称规则，哈希规则，所述目标受控软件的软件管控方式包括以下之一：黑名单，白名单，所述使用对象的对象类型包括以下之一：非家庭桌面虚机的使用对象，家庭桌面虚机的一种使用等级的使用对象。

6.根据权利要求1至5中任一项所述的方法，其特征在于，在所述通过调用目标接口，将所述目标策略文件导入所述目标桌面虚机的内核安全模块内之后，所述方法还包括：

通过所述内核安全模块监听到所述目标桌面虚机的操作系统上与目标软件对应的目标操作指令，其中，所述目标操作指令为以下至少之一：进程创建指令，进程调用指令，磁盘输入输出I/O操作指令；

将所述目标操作指令与所述目标策略文件进行匹配，得到与所述目标操作指令对应的匹配结果；

在与所述目标操作指令对应的匹配结果用于指示存在与所述目标操作指令匹配的管控策略规则的情况下，按照与所述目标操作指令匹配的管控策略规则确定是否允许执行所述目标操作指令。

7.根据权利要求6所述的方法，其特征在于，所述将所述目标操作指令与所述目标策略文件进行匹配，得到与所述目标操作指令对应的匹配结果，包括：

将与所述操作指令对应的上下文信息、所述目标桌面虚机的使用对象的对象类型与所述目标策略文件中的管控策略规则进行匹配，得到与所述目标操作指令对应的匹配结果。

8.根据权利要求6所述的方法，其特征在于，在所述在与所述目标操作指令对应的匹配结果用于指示存在与所述目标操作指令匹配的管控策略规则的情况下，按照与所述目标操作指令匹配的管控策略规则确定是否允许执行所述目标操作指令之后，所述方法还包括：

在按照与所述目标操作指令匹配的管控策略规则确定允许执行所述目标操作指令的情况下，对所述目标操作指令执行放行操作；

在按照与所述目标操作指令匹配的管控策略规则确定拦截所述目标操作指令的情况下，对所述目标操作指令执行拦截操作。

9.根据权利要求1至5中任一项所述的方法，其特征在于，在所述接收为目标桌面虚机下发的目标软件管控信息之后，所述方法还包括以下至少之一：

通过所述目标桌面虚机的显示界面显示受控软件清单，其中，所述受控软件清单是与所述目标桌面虚机对应的受控软件的清单，与所述目标桌面虚机对应的受控软件包括所述目标受控软件；

通过所述目标桌面虚机的显示界面显示未受控软件清单，其中，所述未受控软件清单是允许所述目标桌面虚机的操作系统使用的软件的清单；

通过所述目标桌面虚机的显示界面显示已安装受控软件清单，其中，所述已安装受控软件清单是所述目标桌面虚机的操作系统中已安装的受控软件的清单。

10.根据权利要求1至5中任一项所述的方法，其特征在于，在所述接收为目标桌面虚机下发的目标软件管控信息之后，所述方法还包括：

响应于对所述目标桌面虚机的显示界面中的软件卸载按钮执行的触发操作，对所述目标桌面虚机的操作系统中已安装的所有受控软件执行卸载操作。

11.一种软件管控信息的处理装置，其特征在于，包括：

接收单元，用于接收为目标桌面虚机下发的目标软件管控信息，其中，所述目标软件管控信息为与待管控的目标受控软件对应的软件管控信息；

第一执行单元，用于根据所述目标软件管控信息生成目标管控策略规则，并将所述目标管控策略规则写入到目标策略文件；

导入单元，用于通过调用目标接口，将所述目标策略文件导入所述目标桌面虚机的目标操作系统内，以由所述目标操作系统根据所述目标策略文件确定是否允许执行所述目标操作系统接收到的操作指令，其中，所述目标接口为所述目标操作系统内提供的用于决策文件导入的接口。

12.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机程序，其中，所述计算机程序被处理器执行时实现所述权利要求1至10任一项中所述的方法。

13.一种电子装置，包括存储器、处理器以及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现所述权利要求1至10任一项中所述的方法。