[发明专利]一种内核级的桌面访问控制方法

说明书

技术领域

本发明涉及属于计算机信息管理领域，具体地讲，涉及一种内核级的桌面访问控制方法，基于桌面交付环境下，对终端用户的桌面和应用程序进行管控的解决方案。

背景技术

信息化飞速发展的今天，企业IT平台基础架构也在不断进行变革，从传统的“分散的PC系统”逐步升级为“客户机/服务器”体系。瘦客户机和云终端是该体系下的终端设备，是无强大计算资源、无本地存储、无软驱、光驱等设备的简化计算机，它可以利用强大的服务器软、硬件资源进行本地计算，多个用户使用终端可以同时远程访问服务器分发的桌面环境进行办公。终端设备具有易管理、故障率低、绿色环保、安全性高等特点，在企业、政府机构广泛应用。

终端主要是通过远程桌面客户端，访问Windows服务器来使用服务器上的桌面应用，用户看到的和使用的都是服务器的资源，终端仅仅将用户的鼠标、键盘等外设的I/O信号传输到服务端，然后在服务端将屏幕图形变化数据反馈到终端进行显示。

目前，广泛使用的桌面交付协议包括VMWare的PCoIP（PCoverIP）、Citrix的ICA（Independent Computing Architecture）和微软的RDP（Remote Desktop Protocol），这些技术都提供了将服务器端的桌面交付给终端，让用户如同使用本地操作系统一样使用远程的服务端的功能。基于桌面交付协议，再加上模板池、桌面池、动态负载均衡、网络流量优化、设备重定向、多媒体交付等功能，就形成了桌面虚拟化架构。

基于桌面虚拟化架构，管理员可以根据企业不同部门的需求，定制不同的桌面（工作环境）。比如，财务部的用户需要使用财务软件，但无需使用市场分析软件，则管理员在后台可以为财务部设置财务部桌面模板，将财务软件放置在该模板下，将类似市场分析软件等无关软件从模板出去除，基于该模板将桌面交付到桌面池中。当财务部员工访问桌面时，得到的就是自己所需要的工作环境。

这种创新的企业IT架构提供了根据企业自身的IT管理制度及标准，从基础层面上规范了企业内部员工的业务操作，避免了不必要的安全风险，提升了企业业务的运营效率。但是基于桌面交付的管控还停留在操作系统的应用层上，用户还是可以用各种方式轻而易举地破解，比如，使用资源管理器或快捷方式直接执行服务器内安装的但没有交付到桌面的应用软件；比如，企业的业务系统很多都需要管理员权限去运行，而用户获得该权限即可对系统进行随心所欲的修改，从而导致管控无效。

这种现状就产生了如下需求：在桌面交付架构的环境下，开发基于操作系统内核层的应用管控模块来对用户行为进行管控，防止用户非法运行安装在服务器内但没有交付到桌面的应用程序。

发明内容

本发明要解决的技术问题是提供一种内核级的桌面访问控制方法，能够对企业用户的信息化办公环境进行统一管控，禁止非法程序运行。

本发明采用如下技术方案实现发明目的：

一种内核级的桌面访问控制方法，其特征在于，包括如下步骤：

（1.1）在桌面交付过程中，加载基于内核过滤驱动实现应用管控驱动；

（1.2）加载并启动策略应用服务；

（1.3）应用管控驱动对进程创建进行过滤；

（1.4）策略应用服务对用户会话和进程进行识别和匹配；

（1.5）应用管控驱动根据匹配结果确定放行或者阻断；

（1.6）返回步骤（1.3），继续进行过滤。

作为对本技术方案的进一步限定，所述步骤（1.1）包括如下步骤：

（1.1.1）配置IRP过滤函数，用于对创建进程的I/O请求进行过滤；

（1.1.2）设置驱动的运行参数，让该驱动实例无法强制卸载，保证运行状态；

（1.1.3）启动过滤驱动；

（1.1.4）注册与策略应用服务交互的消息处理函数；

（1.1.5）创建与策略应用服务的通信端口；

（1.1.6）等待策略应用服务的启动。

作为对本技术方案的进一步限定，所述步骤（1.2）包括如下步骤：

（1.2.1）从桌面交付管理端获取用户-应用访问控制列表，该列表保存了每个系统用户所允许使用的应用程序的特征库；

（1.2.2）创建与应用管控驱动的通信端口；

（1.2.3）启动策略应用服务；

（1.2.4）发送“启动”消息给应用管控驱动，使其生效。

作为对本技术方案的进一步限定，所述步骤（1.3）包括如下步骤：