Система для обеспечения общей безопасности мобильных устройств

Полезная модель относится к системам обеспечения общей безопасности мобильных устройств за счет динамической настройки модулей безопасности на мобильных устройствах. Данный результат может быть достигнут за счет использования системы, которая состоит из: модуля безопасности, связанного с модулем конфигурирования, при этом модуль безопасности предназначен для выполнения задач безопасности на мобильном устройстве и передачи информации, связанной с задачами безопасности, на другие мобильные устройства; упомянутого модуля конфигурирования, который предназначен для настройки модуля безопасности в зависимости от данных, полученных от связанных с модулем конфигурирования модуля подсчета рисков и модуля подсчета вычислительных ресурсов; упомянутого модуля подсчета рисков, который предназначен для определения рисков, связанных с безопасностью мобильного устройства; упомянутого модуля подсчета вычислительных ресурсов, который предназначен для определения используемых аппаратных ресурсов мобильного устройства.

Область техники

Полезная модель относится к системам обеспечения общей безопасности мобильных устройств за счет динамической настройки модулей безопасности.

Уровень техники

В настоящее время в мире используется все больше мобильных устройств, а новейшие технологии позволяют интегрировать в них все большее количество функций, которые раньше были доступны только пользователям настольных компьютеров. Распространение таких устройств как смартфоны, наладонники или карманные персональные компьютеры (PDA), ультрамобильные персональные компьютеры (UMPC), мобильные интернет-устройства (MID) стало поистине массовым. Подобные устройства используют энергоэффективные процессоры, такие как Intel Atom или основанные на архитектуре ARM, операционные системы последнего поколения Android, Symbian OS, Windows Mobile, а также подключение к таким сетям как 3G или WiMax или к сетям стандарта IEEE 801.

По мере роста количества устройств, а также сетей и широты их пропускания, которая приближается к скорости в несколько мегабайт в секунду в настоящее время, возникает серьезный риск передачи вредоносных и других нежелательных программ. Если раньше вредоносные программы были настоящим бичом лишь популярных настольных платформ, таких как Windows, что было обусловлено большим количеством уязвимостей, огромной популярностью у пользователей и возможностями сетевых соединений, то в нынешнее время в сфере мобильных технологий появились предпосылки для аналогичного роста вредоносных программ и угроз. В настоящий момент хакеры и спамеры также начинают широко использовать мобильные технологии и сети для передачи данных для проведения фишинговых атак, рассылки спама, кражи паролей и другой нежелательной активности.

Известные технологии вроде сетевых экранов, возможностей антивирусных программ или антиспам-решений хорошо зарекомендовали себя для настольных компьютеров и крупных серверов, однако решения обеспечения безопасности мобильных устройтв представляют иной случай. Во-первых, мобильные устройства должны предоставлять доступ к информации практически в любой точке земного шара, где имеется доступ к использованию возможностей мобильных сетей. Во-вторых, мобильные устройства имеют ограниченную емкость используемой батареи, что влечет ограничение на использование возможностей аппаратных ресурсов с целью экономии. В-третьих, производительность (а также и емкость батареи) нельзя наращивать бесконечно, так как мобильные устройства имеют весьма ограниченные размеры. Все приведенные сложности ставят поистине нетривиальную задачу обеспечения безопасности мобильных устройств.

Также стоит отметить, что многие антивирусные компании имеют ряд решения систем безопасности для мобильных устройств, например, такие как Dr.Web Антивирус для Symbian OS, Trend Micro Mobile Security, McAfee Mobile Security. Подобные решения реализуют классическую антивирусную проверку, основанную на сигнатурах, ряд других важных функций безопасности (например, антиспам) и полагаются на своевременное обновление антивирусных баз. Однако, в подобных решениях не используются технологии обмена данными между устройствами или с антивирусными компаниями, располагающими подобными системами защиты, что делает их весьма уязвимыми, учитывая растущее количество угроз в том числе и для мобильных устройств. Также подобные решения не решают проблемы, связанные с потреблением ресурсов на мобильном устройстве, которые являются весьма ограниченными (в первую очередь это касается заряда батареи, так как емкость последней не удается наращивать теми же темпами, что и производительность процессоров). Все это требует создания подходов, которые позволят гибко оценить уровень риска для мобильного устройства, учитывая ряд факторов, связанных с безопасностью, а также имеющиеся возможности мобильного устройства.

Одна из возможностей, которая обусловлена большим количеством мобильных устройств, может быть заключена в использовании так называемых "облачных" технологий (далее будем употреблять этот термин без кавычек). Под облачными технологиями обычно подразумевают технологии обработки данных, в которых компьютерные ресурсы предоставляются в виде некоторого распределенного сервиса (услуги). Такие заявки и патенты как US 20080134316, US 20080091763, EP 1912 413. описывают использование облачных сервисов для различных задач. Другое использование облачных технологий заключается в объединении вычислительных ресурсов нескольких устройств для решения общих задач, что отражено в таких заявках и патентах как US 7389358, US 20090228950, US 20090178131,WO 2008077150.

В настоящее время в практику вошло использование оценки общего риска для всех узлов сети, что отражено в патентах US 7257630 и US 7543056. Благодаря использованию подобной технологии, появляется возможность оценить возможный риск для всей сети (в том числе и беспроводной) с точки зрения наличия различных уязвимостей в найденных программах и протоколах передачи данных. Дальнейшим развитием этой идеи является построение внутренней безопасной сети (общего периметра), что описано в таких заявках как US 20090178132, US 20090178131, US 20060248205, с последующей блокировкой уязвимых мест (заявка US 20090178132).

Различные компании, занимающиеся созданием систем безопасности, также не остались в стороне от развития облачных технологий и предлагают сервисы вроде Kaspersky Security Network или Panda Cloud Antivirus. Однако подобные сервисы не способны работать с различными мобильными устройствами, для которых следует постоянно оценивать безопасность используемой сети и изменяющийся состав входящих в нее устройств для динамического изменения уровня безопасности как отдельного устройства, так и всех устройств в целом.

Анализ предшествующего уровня техники и возможностей, которые появляются при комбинировании их в одной системе, позволяют получить новый результат, а именно систему для обеспечения общей безопасности мобильных устройств. Результат работы данной системы достигается за счет динамической настройки модулей безопасности на мобильных устройствах.

Сущность полезной модели

Технический результат настоящей полезной модели заключается в обеспечении общей безопасности мобильных устройств за счет динамической настройки модулей безопасности на каждом из мобильных устройств.

В рамках одного из вариантов реализации технический результат может быть достигнут за счет использования системы, которая состоит из: модуля безопасности, связанного с модулем конфигурирования, при этом модуль безопасности предназначен для выполнения задач безопасности на мобильном устройстве и передачи информации, связанной с задачами безопасности, на другие мобильные устройства; упомянутого модуля конфигурирования, который предназначен для настройки модуля безопасности в зависимости от данных, полученных от связанных с модулем конфигурирования модуля подсчета рисков и модуля подсчета вычислительных ресурсов; упомянутого модуля подсчета рисков, который предназначен для определения рисков, связанных с безопасностью мобильного устройства; упомянутого модуля подсчета вычислительных ресурсов, который предназначен для определения используемых аппаратных ресурсов мобильного устройства.

В одном из частных вариантов реализации задачами безопасности являются: предотвращение попадания нежелательной информации на мобильное устройство; обнаружение и удаление нежелательной информации на мобильном устройств; предотвращение угроз.

В одном из частных вариантов реализации в состав модуля безопасности входят: сетевой экран; фильтр сообщений; антивирус; модуль восстановления; модуль предотвращения вторжений.

В одном из частных вариантов реализации в состав модуля безопасности входят: модуль соединения с сервером безопасности, предназначенный для передачи данных для исполнения задач безопасности. на удаленном компьютере; модуль групповой безопасности, предназначенный для определения уровня безопасности в составе группы; модуль координации групповых задач, предназначенный для выбора и определения задач безопасности для выполнения на мобильных устройствах.

В одном из частных вариантов реализации группой считается набор мобильных устройств, объединенных в смешанную сеть и имеющих возможность безопасной передачи данных между собой.

В одном из частных вариантов реализации модуль подсчета рисков содержит: модуль отслеживания поведения пользователя, предназначенный для определения соответствия поведения пользователя рискам, связанных с безопасностью мобильного устройства; модуль отслеживания событий безопасности, предназначенный для записи всех событий, связанных с безопасностью мобильного устройства; модуль анализа приложений, предназначенный для анализа приложений, установленных на мобильном устройстве; модуль местонахождения, предназначенный для определения местонахождения мобильного устройства; базу данных локаций, предназначенную для определения соответствия уровня безопасности определенной географической локации

В одном из частных вариантов реализации модуль подсчета вычислительных ресурсов использует следующие данные об аппаратных ресурсах мобильного устройства: данные о заряде батареи мобильного устройства; данные о частоте использования процессора мобильного устройства; данные о типе мобильного устройства; данные о свободной памяти мобильного устройства; данные о сетевых подключениях мобильного устройства.

Краткое описание чертежей

Дополнительные цели, признаки и преимущества настоящей - полезной модели будут очевидными из прочтения последующего описания осуществления полезной модели со ссылкой на прилагаемые чертежи, на которых:

На фиг.1А изображено мобильное устройство, на котором может быть установлена система, реализующая настоящую полезную модель.

На фиг.1Б изображена архитектура системы, которая призвана обеспечивать безопасность мобильных устройств.

На фиг.1В изображена схема работы мобильного устройства в случае, когда мобильное устройство оказывается за пределами защищенной сети.

На фиг.1Г изображены варианты использования мобильного устройства в различных сетях.

На фиг.2А приведена схема, отражающая основные функции модуля безопасности.

На фиг.2Б изображена схема работы модуля безопасности на различных уровнях сетевой модели в зависимости от того, какие приложения установлены на мобильном устройстве.

Фиг.2В и 2Г отображают две возможных конфигурации систем информационной защиты для мобильных устройств.

На фиг.2Д изображена схема работы тонкого клиента на мобильном устройстве с использованием отдельного зашифрованного соединения для связи с сервером безопасности.

Фиг.3А иллюстрирует систему безопасности мобильного устройства в соответствии с одним из вариантов реализации настоящей полезной модели.

На фиг.3Б приведена схема базы данных локаций.

На фиг.4 изображена система обеспечения безопасности мобильного устройства.

На фиг.5А изображен модуль подсчета рисков.

На фиг.5Б приведен алгоритм определения модели поведения пользователя.

На фиг.6 приведен пример реализации модуля подсчета вычислительных ресурсов.

На фиг.7А показан алгоритм обновления описания угроз в зависимости от производительности мобильного устройства.

На фиг.7Б приведена схема отключения различных компонент данного модуля в зависимости от заряда батареи.

На фиг.8А приведена схема работы группы мобильных устройств.

На фиг.8Б приведена база данных устройств, которую содержит мобильное устройство.

Фиг.8 В иллюстрирует различные группы мобильных устройств в различных локациях.

Фиг.8Г показывает схему добавления нового устройства в группу.

Фиг.8Д показывает алгоритм выборки задач безопасности одним из устройств группы.

Фиг.9А иллюстрирует пример базы данных задач.

Фиг.9Б показывает рассмотрение критериев выборки задачи устройством группы.

На фиг.9 В описан алгоритм проверки критериев доверия.

На фиг.10А показано обновление баз данных компонент модуля безопасности.

Фиг.10Б показывает вариант работы группы при обнаружении новой угрозы.

Фиг.10 В иллюстрирует проверку исполняемого файла перед его запуском на одном из устройств группы.

Фиг.10Г иллюстрирует случай, связанный с обнаружением нового хранилища данных одним из устройств группы.

Фиг.10Д показывает изменение уровня доверенности устройства в - том случае, если была обнаружена новая уязвимость, связанная с приложениями, операционной системой или аппаратной частью одного из устройств.

Описание вариантов осуществления полезной модели

Объекты и признаки настоящей полезной модели, способы для достижения этих объектов и признаков станут очевидными посредством отсылки к примерным вариантам осуществления. Однако настоящая полезная модель не ограничивается примерными вариантами осуществления, раскрытыми ниже, она может воплощаться в различных видах. Сущность, приведенная в описании, является ничем иным, как конкретными деталями, обеспеченными для помощи специалисту в области техники в исчерпывающем понимании полезной модели, и настоящая полезная модель определяется только в объеме приложенной формулы.

На фиг.1А изображено мобильное устройство, на котором может быть установлена система, реализующая настоящую полезную модель. Мобильное устройство 100 может быть смартфоном, наладонником или карманным персональным компьютером (PDA), ультрамобильным персональным компьютером (UMPC), мобильным Интернет-устройством (MID), либо другим устройством схожего класса. В настоящее время подобные устройства, как правило, сочетают компактные размеры и широкий сенсорный экран для удобства ввода/вывода информации. Мобильное устройство имеет собственный процессор 110 и память 120, которые используются для различных вычислительных задач. Как процессор 110, так и память 120 потребляют ресурсы батареи (аккумулятора) 150, который также используется при работе модуля местонахождения 130 и устройства связи 140. Модуль местонахождения 130 может быть представлен GPS-приемником в одном из вариантов реализации, в то время как устройство - связи 140 может использовать один или несколько типов связи, включая стандарты мобильной связи (GSM, CDMA, Indium и другие), так и другие стандарты беспроводной связи вроде Wi-Fi или Bluetooth. При работе в различных сетях мобильное устройство 100 может передавать данные на другие подобные устройства, образуя, таким образом, некую смешанную сеть. В подобной сети некоторые устройства могут быть связаны между собой с помощью одного стандарта связи (например, Bluetooth), в то время как часть из них может быть связана с другими устройствами через сеть стандарта Wi-Fi.

На фиг.1Б изображена архитектура системы, которая призвана обеспечивать безопасность мобильных устройств 100. Сервер безопасности 170 контролирует и проверяет трафик между внутренней сетью 165 и внешней сетью 185 (обычно под внешней сетью подразумевается Интернет). Трафик генерируется пользователями за счет использования своих мобильных устройств, таких как мобильное устройство 100, на котором могут быть установлены различные приложения 160 - например, интернет-пейджер или почтовый клиент. На сервере также могут быть установлены серверные приложения 180, которые обеспечивают корректную работу по предоставлению данных для приложений на мобильном устройстве. Примером подобного приложения можно назвать, например, выделенный веб-сервер для обработки http-запросов от пользователей. Помимо приложений, которые обеспечивают передачу и обработку данных, на сервер можно установить и иные серверные приложения 180, которые призваны обеспечивать безопасность - например, сетевой экран. Для управления большим количеством приложений на сервере предусмотрена консоль управления 175 (как правило, с использованием графического интерфейса), с помощью которой можно настраивать серверные приложения 180. Как правило, подобной консолью 175 пользуются администраторы, однако часть настроек может задаваться автоматически при срабатывании определенных факторов, таких как появление уязвимостеи в установленных приложениях 160 или при угрозе вирусного заражения. Система, приведенная на фиг.1Б является общепринятой и хорошо подходит для локальных и достаточно небольших сетей, однако только в том случае, когда мобильное устройство 100 находится в пределах охвата подобной защищенной сети.

На фиг.1 В изображена схема работы мобильного устройства 100 в том случае, когда оно оказывается за пределами защищенной сети, приведенной на фиг.1Б и возникает необходимость в использовании собственного модуля 190 безопасности, которое можно настраивать с помощью консоли управления 195. Подобный вариант часто называют "толстым" клиентом, который может содержать в себе основные функции обеспечения компьютерной безопасности, такие как сетевой экран, фильтр сообщений, файловый и веб-антивирус. Однако подобный вариант исполнения имеет ряд недостатков, связанных в первую очередь с некоторой громоздкостью подобного решения, поскольку является активным потребителем системных ресурсов и, соответственно, заряда батареи, и усложненным набором функций, что затрудняет управление модулем 190 безопасности в случае нехватки навыков.

В ряде случаев не всегда очевидно, какой вариант защиты из предложенных на фиг.1Б и 1 В предпочтительнее. На фиг.1Г изображены варианты использования мобильного устройства 100 в различных сетях. Например, при использовании мобильного устройства 100 дома или на работе, пользователь может работать под защитой сервера безопасности 170, но при нахождении в общественном месте (например, аэропорт или кафе), пользователю остается надеется только на собственные силы в виде установленных приложений безопасности, так как он может подвергнуться как атаке хакеров, так и другим вариантам угроз вроде попадания вредоносных программ на мобильное устройство 100 через уязвимости в приложениях 160. Для защиты от этих угроз может служить уже упоминавшийся модуль 190 безопасности, который может быть представлен. такими приложениями (или выполнять их функции) как сетевой экран, фильтр спама, файловый и веб-антивирус. Рассмотрим более подробно возможные типы угроз и средства противодействия.

На фиг.2А приведена схема, отражающая основные функции модуля 190 безопасности, которая является наиболее широкораспространенной схемой в настоящий момент для современных мобильных устройств. Под модулем может подразумеваться специализированная интегральная микросхема (ASIC), матрица логических элементов с эксплуатационным программированием (FPGA), так и любое другое сочетание программных и аппаратных частей (firmware). Основные функции модуля 190 безопасности могут быть реализованы в виде отдельных независимых компонент, но также могут быть реализованы с использованием общей аппаратной части.

Модуль 190 безопасности может выполнять функции, связанные с предотвращением попадания нежелательной информации 202, обнаружением/удалением нежелательной информации 204, предотвращением угроз 206. Под предотвращением попадания нежелательной информации 202 подразумевается блокировка таких угроз как различные вредоносные программы (вирусы, черви, троянские программы), шпионские программы, бесплатные программы с рекламой и баннерами (spyware, bannerware), a также предотвращение возможных хакерских атак и попыток взлома, получение нежелательного графика и других подобных угроз. Обнаружение/удаление нежелательной информации 204 означает поиск тех нежелательных программ и угроз, которые уже находятся на мобильном устройстве 100. Подобное может произойти в том случае, когда, например, новый вирус еще не был известен антивирусным компаниям и они не добавили его описание в свои базы или же в том случае, когда не сработали другие части модуля 190 безопасности, такие как, например, сетевой экран. Предотвращение угроз 206 относится к обнаружению уже работающих вредоносных программ (обычно это означает, что из исполняемого файла вредоносной программы был запущен процесс в операционной системе), их последующей блокировки и остановки, а также восстановлению системы путем устранения последствий работы подобных вредоносных программ.

Для реализации вышеперечисленных функций модуль безопасности 190 может содержать такие компоненты как сетевой экран 212, фильтр сообщений 214, антивирус 216, модуль 218 восстановления, модуль 220 предотвращения вторжений (как правило, подобный модуль реализует HIPS-политики). Следует отметить, что предложенный список является примерным и может быть дополнен иными средствами, которые реализуют вышеприведенные функции. Все перечисленные компоненты могут быть настроены, в том числе и автоматически, для обеспечения различных уровней защиты мобильного устройства 100. Хочется отметить, что на фиг.2А были опущены также базы данных для различных компонент, таких как антивирус 216, которые нуждаются в постоянных обновлениях, поэтому следует понимать, что эффективность работы модуля 190 безопасности напрямую зависит от частоты и своевременности обновлений.

На фиг.2Б изображена схема работы модуля 190 безопасности на различных уровнях сетевой модели OSI в зависимости от того, какие приложения установлены на мобильном устройстве 100. На самом устройстве установлены различные приложения 160, которые используют различные методы обмена информации на уровне представления данных 222. Как правило, подобный уровень отвечает высоким уровням модели OSI (т.е. охватывает прикладной и представительский уровни), в то время как непосредственная передача данных происходит на транспортном уровне (например, протоколы UDP и TCP), что отображено на фиг.2Б в виде уровня передачи данных 230. Непосредственная передача информации в виде битов или сигналов происходит уже на самом низком уровне, на котором работает сетевой адаптер 224, который может быть полностью или частично представлен в виде устройства связи 140.

Модуль 190 безопасности может использовать фильтр уровня приложений 226 и сетевой экран 212 на различных уровнях модели OSI. - Фильтр уровня приложений 226 позволяет перехватывать информацию между уровнем представления данных 222 и уровнем передачи данных 230, в то время как сетевой экран 212 перехватывает данные на более низком уровне между уровнем передачи данных 230 и сетевым адаптером 224. Фильтр уровня приложений 226 позволяет отследить какое приложение (например, это может быть почтовый агент вроде MS Outlook Mobile или веб-браузер Opera Mini) использует определенный порт и с помощью каких протоколов передает данные. Таким образом, в дальнейшем можно сократить потребление ресурсов за счет наблюдения только за теми приложениями, которые проявляют сетевую активность и чьи уязвимости может использовать определенный тип угроз. Сетевой экран 212 перехватывает лишь небольшую часть всего графика, так как на этом уровне можно разобрать, например, команды протокола ICMP, в то время как современные угрозы и вредоносные программы работают на более высоком уровне. Однако подобная информация может быть также важной, так как у многих угроз и атак имеется собственная сигнатура, т.е. некоторый шаблон в виде определенных команд, которые можно разобрать и обнаружить с помощью сетевого экрана 212.

Как уже упоминалось, фильтр уровня приложений 226 и сетевой экран 212 позволяют получить информацию о состоянии приложений 228 и состоянии соединений 232. Подобная информация может включать информацию о том, какой порт использует то или иное приложение, установленное на мобильном устройстве 100. В свою очередь данную информацию использует обработчик 234 (его также называют "движком"), который сопоставляет информацию о состоянии приложений 228 и состоянии соединений 232 с информацией, хранящейся в базе данных с описанием угроз 236. В том случае, если хранящееся в базе данных описание или сигнатура угрозы совпадает с полученной информацией, происходит обнаружение соответствующей угрозы. Описание угрозы может включать информацию о вредоносной программе, используемых уязвимостях в - известных приложениях (с указанием их версии), номер используемого порта, веток реестра и другую подобную информацию. Таким образом, подобное описание представляет фактически правило для обнаружения определенных типов атак (или вредоносных программ, использующих такие атаки) с дополнительным указанием тех приложений, которые имеют уязвимости (если таковые имеются). Как следствие, определенному пользователю не требуется загружать всю базу данных с описанием угроз 236, но только свою актуальную часть 238, которая подходит под текущую оперативную систему и установленные приложения 160 на мобильном устройстве 100. Из-за постоянного роста угроз и количества вредоносных программ, подобное разделение базы данных позволяет сэкономить график.

Фиг.2В и 2Г отображают две возможных конфигурации систем информационной защиты для мобильных устройств. Можно видеть, что в варианте, приведенном на фиг.2 В, мобильное устройство может быть полностью освобождено от проверок, которые выполняет система зашиты, установленная на сервере (так называемый "тонкий" клиент). Другой вариант, на фиг.2Г, предусматривает установку системы безопасности (в данном случае это может быть модуль безопасности 190) на мобильное устройство, что создает дополнительную нагрузку и, как результат, - уменьшает время автономной работы. Стоит отметить, что использование многих ресурсоемких технологий, работающих вместе (примером может служить использование флэш-анимации в браузере) сокращает время работы от аккумулятора многих современных мобильных устройств с часов до десятков минут. Приведенные фигуры наглядно показывают необходимость более гибкого подхода к проблеме использования ограниченных ресурсов мобильных устройств. Решением подобной задачи может служить использование модуля 190 безопасности в виде нескольких компонент, часть из которых активна при определенных настройках. Например, при использовании внешнего сервера для фильтрации данных можно отключить сетевой экран на мобильном устройстве, полностью полагаясь на сетевой. экран, установленный на внешнем сервере.

На фиг.2Д изображена схема работы тонкого клиента (или другой подобной конфигурации) на мобильном устройстве 100 (пример которого приведен на фиг.2В) с использованием отдельного зашифрованного соединения для связи с сервером безопасности 170 (как правило, это сервер компании, предоставляющей услуги по компьютерной безопасности). Подобная схема хорошо подходит в тех случаях, когда пользователь, использующий схему тонкого клиента, не хочет подвергать себя риску в неизвестном и, возможно, небезопасном с точки зрения компьютерных угроз месте. С этой целью используется зашифрованный канал 245 (в одном из вариантов реализации это может быть VPN-соединение), который дополнительно шифруется 240, что обеспечивает надежную передачу данных между мобильным устройством 100 и сервером безопасности 170. Дополнительное шифрование 240 может быть основано как на параметрах аппаратной части мобильного устройства 100, так и в зависимости от личных настроек пользователя, равно как и в зависимости от переменных окружения (например, время установления соединения). Таким образом, используя сервер безопасности 170, пользователь может с уверенностью получить доступ к нужным ресурсам, используя исходящее соединение 255.

Рассматривая приведенные варианты реализации системы безопасности для мобильных устройств, можно сделать вывод о том, что требуется предоставить гибкий подход для решения задач безопасности на мобильном устройстве. С целью применения различных настроек для модуля 190 безопасности потребуется использовать различную системную информацию (список установленных приложений, тип мобильного устройства, его характеристики), информацию о текущем состоянии мобильного устройства 100 (заряд батареи, количество свободной памяти, наличие активных или используемых приложений, местонахождение, тип используемого сетевого подключения), журналы о последних событиях - (стандартные журналы, предоставляемые операционной системой, так и специфические данные, касающиеся зависимости параметров мобильного устройства 100 от различных факторов, вроде последних предотвращенных угроз, неопределенных соединений), статус текущей ситуации по информационной безопасности как во всем мире (например, это могут быть данные о специфических типах атак, на которые пока не найдено универсальных решений), так и в различных регионах, настройки пользователя, касающиеся безопасности и производительности.

Возможным решением проблемы безопасности на мобильном устройстве будет передача вышеперечисленной информации или хотя бы ее части серверу безопасности 170, которая анализирует полученные данные и передает настройки для модуля безопасности 190.

Фиг.3А иллюстрирует систему безопасности мобильного устройства в соответствии с одним из вариантов реализации настоящей полезной модели. Модуль 190 безопасности включает две основные части в виде тонкого 308 и толстого 310 клиентов. Толстый клиент 310 является аналогом модуля безопасности, приведенного на фиг.2А, и содержит те же самые модули, каждый из которых настраивается отдельно. Тонкий клиент 308 осуществляет передачу информации, связанной с безопасностью, и в первую очередь для планирования и выполнения задач безопасности на других устройствах.

Тонкий клиент 308 содержит модуль 302 соединения с сервером безопасности, модуль 304 групповой безопасности, модуль 306 координации групповых задач. Как упоминалось в самом начале, мобильные устройства могут формировать смешанные сети. Однако не все мобильные устройства могут иметь установленные модули 190 безопасности, и, следовательно, считаться надежными. Таким образом, у устройств в смешанной сети, которые имеют установленные модуль 190 безопасности хотя бы в виде тонкого клиента, имеется возможность объединения в группу. Группой, в рамках настоящей полезной модели, считается набор мобильных устройств, объединенных в смешанную сеть и имеющих возможность безопасной передачи данных между собой. Один из вариантов передачи данных предусматривает совместное выполнение задач безопасности, что будет описано ниже. Модуль 302 соединения с сервером безопасности отвечает за обмен данными с одним или несколькими серверами безопасности 170. Сам модуль 302 содержит постоянно обновляемый список подобных серверов для возможности выбора ближайшего или наиболее доступного из них. Модуль 304 групповой безопасности ответственен за использование мобильного устройства в рамках общей группы, которая способна решать задачи отдельных членов группы, используя для этого общие ресурсы всей группы. Для решения таких задач требуется их координация и выбор оптимальных путей решения, что зависит от конфигураций мобильных устройств, входящих в группу. Для координации подобных задач на каждом мобильном устройстве установлен модуль 306 координации групповых задач. В рамках одного из вариантов реализации модуль 304 групповой безопасности и модуль 306 координации групповых задач могут быть использованы для создания специальной сети, в которую будут входить устройства, имеющие аналогичные модули 304 и 306, формируя, таким образом, группу.

Алгоритмы работы данных модулей более подробно будут рассмотрены ниже.

Мобильное устройство 100 содержит модуль 314 конфигурирования, который задает настройки для всех компонент, входящих в модуль 190 безопасности. Для принятия решений по заданию определенных настроек в качестве входных данных модуль 314 конфигурирования использует набор критериев 316. С этой целью может использоваться модуль 130 местонахождения, который позволяет определять местонахождение мобильного устройства 100. В одном из вариантов реализации модуль местонахождения 130 может использовать GPS-приемник для определения точного местонахождения мобильного устройства 100 в пространстве. Другой вариант реализации подразумевает использование анализа топологии. используемой сети (например, сотовой). Следует отметить, что для определения местонахождения могут быть использованы и другие известные методы определения положения в пространстве.

Помимо указанных выше модулей, мобильное устройство 100 располагает базой 312 данных локаций, которая описывает соответствие уровня безопасности определенной географической локации. На фиг.3Б приведена примерная схема подобной базы данных. В качестве примера некоторые места могут быть указаны как безопасные глобально - это означает, что данные локации находятся в пределах покрытия сетей, обеспеченными серверами безопасности 170. Подобный список может пополняться постоянно самой антивирусной компанией, которая поддерживает подобные сервера. Другие безопасные места могут быть конкретными для каждого мобильного устройства (и соответственно, его пользователя). Помимо безопасных мест также могут быть определены и потенциально небезопасные и незащищенные с точки зрения информационной безопасности локации. Такое определение можно сделать на основании используемых настроек подключения к настоящей сети, возможностей аутентификации, географического местонахождения (например, используя последние данные антивирусных компаний по количеству угроз на различные регионы). Используемые в этом примере описания типов локаций и способы определения уровня безопасности могут быть другими для каждой конкретной реализации.

На фиг.4 изображена система обеспечения безопасности мобильного устройства для одного из вариантов реализации. В составе этой системы используется модуль 190 безопасности, который был подробно представлен на фиг.3А. Также в системе присутствуют модуль 402 подсчета рисков, модуль 404 подсчета вычислительных ресурсов и модуль 406 использования настроек пользователя. Модуль 314 конфигурирования использует все перечисленные модули для получения набора критериев 316, которые в свою очередь будут использованы для задания настроек различных компонент модуля безопасности 190. Для определения настроек можно использовать большое количество входных параметров, однако в рамках настоящего описания стоит остановиться на ключевых.

Для определения уровня защиты мобильного устройства 100 используются два взаимосвязанных параметра - это производительность и уровень защиты (безопасность). Для того, чтобы у пользователя всегда была возможность выбора приоритета между этими двумя понятиями, в мобильном устройстве 100 используется модуль 406 использования настроек пользователя, который в одном из вариантов реализации может быть представлен в виде простой шкалы, которая дает возможность определять предпочтение пользователя в сторону производительности или безопасности.

Уровень защиты организован в виде иерархии функциональных возможностей модуля 190 безопасности. Модуль 402 подсчета рисков напрямую взаимодействует с модулем 314 конфигурирования, обеспечивая необходимые данные для формирования набора критериев 316. Таким образом, действует простое правило, которое ставит в прямую зависимость количество используемых компонент модуля 190 безопасности и их настроек от уровня защиты, который формируется с помощью модуля 402 подсчета рисков. Однако, мобильные устройства весьма ограничены в используемых ими ресурсах - в первую очередь, вычислительной мощности и заряда батареи. Чтобы компенсировать рост потребления перечисленных ресурсов модулем 190 безопасности, дополнительно используется модуль 404 подсчета вычислительных ресурсов, который ослабляет набор критериев 316, динамически отслеживая потребление ресурсов мобильного устройства 100. Последним модулем, который влияет на набор критериев 316 является указанный выше модуль 406 использования настроек пользователя, который вносит последние изменения в набор критериев 316. В дальнейшем модуль 402 подсчета рисков и модуль 404 подсчета вычислительных ресурсов будут рассмотрены подробнее.

Приведем пример работы системы. При запуске нового исполняемого - файла на мобильном устройстве 100, модуль 402 подсчета рисков задает набор критериев 316 таким образом, что модуль 314 конфигурирования должен будет активировать модуль 220 предотвращения вторжений. Но ввиду его большой ресурсоемкости и небольшого заряда батареи, модуль 404 подсчета вычислительных ресурсов ослабит набор критериев 316, исключив активацию модуля 220 предотвращения вторжений, вместо этого включив журнал записи изменений модуля 218 восстановлений на тот случай, если придется восстанавливать систему после запуска неизвестного исполняемого файла. В последнюю очередь, модуль 314 конфигурирования обратится к модулю 406 использования настроек пользователя, который может рекомендовать использование модуля 190 безопасности с упором на безопасность, что усилит набор критериев 316 до такого уровня, что модуль 220 предотвращения вторжений все-таки будет использован для анализа неизвестного исполняемого файла. В том случае если упор был задан на производительность, то набор критериев 316 может быть ослаблен вплоть до того, что неизвестный файл может быть проверен только стандартными методами антивируса 216 - например, с помощью сигнатурной проверки.

На фиг.5А изображен модуль подсчета рисков в одном из вариантов реализации. В рамках модуля 402 подсчета рисков находятся база 312 данных локаций, модуль 130 местонахождения, модуль 302 соединения с сервером безопасности (который также входит в состав тонкого клиента 308), модуль 502 анализа приложений, модуль 504 отслеживания событий безопасности, модуль 506 отслеживания поведения пользователя. Как уже упоминалось ранее, база 312 данных локаций используется модулем 130 местонахождения для оценки рисков, связанных с использованием тех сетей, которые находятся в пределах географического местонахождения устройства. Работа модуля 302 соединения с сервером безопасности подробно рассмотрена на фиг.2Д. Рассмотрим более подробно оставшиеся три модуля.

Модуль 502 анализа приложений предназначен для анализа приложений, установленных на мобильном устройстве 100. Один из вариантов его работы заключается в анализе системного реестра на предмет вхождения записей, которые характерны для тех или иных приложений. На основании определенных данных формируется список установленных приложений, для которых в дальнейшем будут определены известные уязвимости. Модуль 502 анализа приложений способен проводить анализ как при первом включении модуля 402 подсчета рисков, так и периодически, а также после установки каждого нового приложения.

Модуль 504 отслеживания событий безопасности представляет журнал всех событий, связанных с безопасностью мобильного устройства 100. К числу таких событий можно отнести повышенную сетевую активность, нетипичное для большинства приложений использование определенных ресурсов, записи об использовании системных файлов или зашифрованных каталогов и т.д.

Модуль 506 отслеживания поведения пользователя предназначен для записи и анализа действий пользователя. Конечно, не каждое действие пользователя будет записано, но наиболее важные будут отражены, как, например: открытие нового сайта в браузере, частота использования почтового клиента, скачивание файлов из сети, запуск нового приложения.

Большинство пользователей проявляет модель поведения, которая оказывается схожей с моделью поведения других пользователей. Например, можно выделить группу пользователей, которые часто обмениваются сообщениями, используя интернет-пейджер, слушают музыку и посещают определенные сайты в Интернете (например, развлекательной тематики, что увеличивает риск нахождения на таких сайтах вредоносных программ или ссылок на них). На фиг.5Б приведен алгоритм определения модели поведения пользователя. На этапе 510 происходит запись поведения пользователя и его действий, связанных с использованием возможностей мобильного устройства 100. По мере накопления данных на этапе 520. происходит сравнение поведения пользователя с известными шаблонами. Например, шаблон может указывать на вышеописанную группу. Поэтому на этапе 530 происходит сравнение поведения пользователя с известными шаблонами. В том случае, если поведение укладывается в известный шаблон с большой долей вероятности, то на этапе 540 происходит применение политики безопасности для соответствующего шаблона. Например, для уже упомянутой выше группы это может означать тщательный контроль таких приложений, как веб-браузер и интернет-пейджер, так как их активное использование может повлечь за собой проникновение различных угроз и вредоносных программ. В том случае, если поведение пользователя не укладывается в уже существующие шаблоны, происходит дальнейшая запись его действий на этапе 550. Затем на этапе 560 происходит отсылка нового шаблона на сервер безопасности 170 или остальным мобильным устройствам, входящих в группу. На этапе 570 происходит анализ полученного шаблона для выработки новой политики безопасности, которая удовлетворяла бы нуждам пользователей с подобным шаблоном. Как правило, выработка нового шаблона требуется при использовании новых типов приложений.

Ниже приведена таблица, в которой отображены примеры шаблонов и соответствующих действий пользователя. Каждый шаблон имеет свой уникальный идентификатор и описание главной характеристики риска, а также связанные с этим действия пользователя. Как можно видеть, все действия могут быть описаны для наглядности в виде простых продукционных правил, которые будут понятны в том числе и неспециалистам.

Рассмотрим шаблон с идентификатором 10042. В этом случае риск может быть связан с тем, что пользователь часто загружает программы и, как следствие, может также загрузить и вредоносную программу. Критерием срабатывания будет загрузка больше 3 файлов за последние 10 минут. Стоит обратить внимание также на то, что эти правила могут редактировать и сами пользователи в том случае, если они хотят получить наиболее подходящее им соотношение уровня защиты и производительности. Некоторые шаблоны также содержат правила, которые проверяются с некоторой периодичностью. Это может быть связано с зарядом батареи, который следует проверять каждые 5-10 минут, отмечая также скорость расхода заряда батареи 150. Далее строятся прогнозы по использованию заряда батареи, и происходит переоценка набора критериев 316. Таким образом, достигается динамический контроль за использованием ресурсов и уровнем безопасности.

На фиг.6 приведен пример реализации модуля подсчета вычислительных ресурсов. Модуль подсчета вычислительных ресурсов содержит индикатор 602 типа устройства с базой 604 данных характеристик. устройств, а также монитор 606 процессора, монитор 608 емкости батареи, монитор 610 памяти, монитор 612 сетевых подключений и графика.

Индикатор 602 типа устройства связан с базой 604 данных характеристик устройств, которая содержит данные по основных характеристикам созданных на данный момент мобильных устройств. Ввиду того, что мобильные устройства достаточно тяжело подвергнуть апгрейду (т.е. сменить комплектующие на более мощные), подобная база получается достаточно компактной и может хранится на сервере безопасности 170, так и на мобильном устройстве 100. Индикатор 602 типа устройства получает данные о типе мобильного устройства 100 и запрашивает его характеристики в базе 604 данных характеристик устройств. Найденные характеристики затем передаются на индикатор 602 типа устройства для использования модулем 404 подсчета вычислительных ресурсов и модулем 314 конфигурирования для формирования набора критериев 316. Ниже приведена таблица 2, которая описывает возможные варианты представления данных в базе 604 данных характеристик устройств. Туда входит информация о размерах монитора (как следствие, можно также сразу сделать оценку об уровне его энергопотребления в целях дальнейшего построения прогноза заряда батареи при работе пользователя), мощность процессора, объем дискового пространства и памяти, емкость батареи и сетевые возможности. Следует понимать, что возможности базы 604 данных характеристик устройств не ограничиваются рамками приведенного примера и могут включать другие данные.

Монитор 606 процессора постоянно отслеживает загруженность процессора 110 мобильного устройства 100. Стоит отметить, что монитор процессора способен также регистрировать использование таких технологий энергосбережения как Speedstep® feature компании Intel Corporation и Cool П Quiet feature компании AMD Inc. Аналогично работают и монитор 608 емкости батареи, и монитор 610 памяти. Монитор 612 сетевых подключений и графика работает непосредственно с устройством связи 140, что позволяет отслеживать все типы подключений, помогая выявить те случаи, когда вредоносные программы скачивают другой вредоносный код из сети или занимаются рассылкой спама. Подобные данные в первую очередь может использовать сетевой экран 212. Монитор 612 сетевых подключений и графика следит за доступом к различным сетям, что используется модулем 130 местонахождения для дальнейшего формирования набора критериев 316 модулем 314 конфигурирования.

Таким образом, модуль 404 подсчета вычислительных ресурсов имеет данные о самых важных характеристиках устройства: его функциональных возможностях и доступных ресурсах, оставшемся заряде батареи, а также о возможных подключениях к доступным сетям. Подобные данные об аппаратной части учитываются при начальной конфигурации модуля 190 безопасности. В таблице 3 приведены возможные варианты оценки производительности устройств. Подобная оценка, будучи выражена в виде одного числа, основана в первую очередь на мощности процессора 110 и емкости памяти 120 и может быть подсчитана для каждого из устройства из. базы 604 данных характеристик устройств.

Имея подобные оценки, можно определить тип первоначальной конфигурации модуля 190 безопасности. Более высокая оценка производительности говорит о более мощном процессоре и емкой памяти, что позволяет использовать больше возможностей модуля 190 безопасности. В таблице 4 приведены варианты установки модуля 190 безопасности на мобильное устройство 100 исходя из его оценки. Таким образом, оперируя только одним значением производительности, можно подобрать такой набор компонент модуля 190 безопасности, который лучшим образом подходит под конфигурацию мобильного устройства 100.

Таблица 4.

Рассмотрев работу модуля 402 подсчета рисков и модуля 404 подсчета вычислительных ресурсов, можно сформировать список тех факторов, которые влияют на формирование набора критериев 316. В порядке уменьшения значимости можно привести следующий набор:

заряд батареи;

предпочтения пользователя (задаются через модуль 406 использования настроек пользователя);

локация (местонахождение);

установленные приложения;

возможные подключения и трафик;

общий уровень угроз.

Стоит отметить, что набор установленных приложений тесно связан с производительностью устройства с точки зрения возможностей обновления баз данных компонент модуля 190 безопасности. На фиг.7А показан алгоритм обновления описания угроз в зависимости от производительности мобильного устройства 100. На этапе 702 происходит обнаружение установленных приложений (например, после установки модуля 190 безопасности на мобильное устройство 100), после чего на этапе 703 происходит выбор типа загрузки описаний угроз. При малой производительности будет выбран вариант 706, когда происходит загрузка описаний только для установленных приложений. В случае более мощного устройства может быть выбран вариант 708, когда загружаются описания угроз для всех приложений такого типа. Например, если у пользователя установлены веб-браузеры Opera и Internet Explorer, дополнительно будут загружены описания и тех угроз, что работают с другими веб-браузерами. Это позволяет улучшить безопасность в том случае, если новые типы угроз, которые раньше работали только с определенным типом веб-браузера, получают возможность использования и других типов. В случае мощного устройства будет выбран вариант 710 полной загрузки баз для всех известных приложений, что позволит быть уверенным в том, что при установке нового приложения, описания угроз уже будут загружены и не потребуется новый анализ. Подобная схема, изображенная на фиг.7А, особенно актуальна в нынешнее время, когда объемы обновлений баз данных могут составлять десятки мегабайт в неделю, и приводить к использованию существенного объема памяти и передаваемого графика.

Как уже говорилось ранее, заряд батареи является самым значимым фактором при формировании набора критериев 316, что в свою очередь напрямую влияет на компоненты модуля безопасности 190. На фиг.7Б. приведена схема отключения различных компонент данного модуля в зависимости от заряда батареи. Как правило, подобная схема начинает работать, когда заряд батареи падает до низких уровней, примерно от 30% или ниже. При постепенной разрядке батареи на этапе 712 в первую очередь отключается возможность использования модуля использования настроек пользователя 406. В одном из вариантов реализации под этим подразумевается выгрузка графического интерфейса пользователя из памяти 120. Это делается для того, чтобы уменьшить нагрузку, которую создает модуль 314 конфигурирования, а действия пользователя через модуль использования настроек пользователя 406 сразу приводят к переоценке набора критериев 316 и последующей смене режима работы модуля 190 безопасности и его компонент.

Следующим шагом является проверка активного соединения с сервером безопасности 170 на этапе 714. В том случае, если активного соединения нет, то на этапе 716 отключается возможность создавать подобные соединения. Если же есть активное соединение с сервером безопасности 170, то это означает, что пользователь заинтересован в использовании возможностей данного сервера для улучшения собственного уровня безопасности и такое соединение разрывать нельзя. Таким образом, на этапе 718 проверяется работа функции местонахождения и если модуль 130 местонахождения неактивен, то отключается база 312 данных локаций на этапе 720. Если же пользователь активно передвигается и устройство связи 140 регистрирует появление новых сетей, то в таком случае, отключения базы 312 данных локаций не происходит, но минимизируются возможности сетевого экрана 212 и антивируса 216 на этапе 722. При окончательной разрядке батареи происходит отключение возможности создания защищенных соединений (и разрывается текущее соединение с сервером безопасности 170) и отключается база данных локаций 312 на этапе 724. Подобное уменьшение рамок функциональности, с одной стороны, увеличивает уровень риска, но с другой, позволяет сэкономить заряд батареи - в достаточной мере. В зависимости от типа поведения пользователя и его настроек, заданных через модуль 406 использования настроек пользователя, границы отключения функциональности могут быть смещены и в самом крайнем случае никакая функциональность не будет отключена вплоть до полного исчерпания заряда батареи 150.

До этого момента речь шла об использовании отдельного мобильного устройства 100 и решения всех задач безопасности с использованием его ограниченных ресурсов. Конечно, при возможности использования сервера безопасности 170 есть возможность использования только тонкого клиента 308 и модуля 302 соединения с сервером безопасности, но часто возникают ситуации когда сервер безопасности 170 бывает недоступен или плохое качество связи не позволяет наладить соединение. В таких случаях имеет смысл использовать возможности группы мобильных устройств, которые находятся в пределах досягаемости и которые используют аналогичные модули безопасности 190. На фиг.8А приведена схема работы группы мобильных устройств. Мобильные устройства могут использовать как широковещательные протоколы, так и соединения в рамках одноранговой сети (peer-to-peer) для организации работы, что может быть реализовано с помощью модуля 304 групповой безопасности и модуля 306 координации групповых задач, которые будут более подробно рассмотрены ниже. Как уже говорилось ранее, мобильные устройства 802-810 (аналогичные мобильному устройству 100) могут формировать смешанную сеть. В подобной сети некоторые устройства могут быть связаны между собой с помощью одного стандарта связи (например, Bluetooth), в то время как часть из них может быть связана с другими устройствами через сеть стандарта Wi-Fi. В дальнейшем под устройством будет подразумеваться любое мобильное устройство аналогичное мобильному устройству 100.

На фиг.8Б приведена база 812 данных устройств, которую содержит мобильное устройство 100. Перед соединением с остальными устройствами в общую сеть, следует учесть уровень доверия к этим устройствам. На - примере, который приведен на фиг.8Б, доверенными устройствами считаются ноутбук жены, мой смартфон и домашний сервер. Подобный уровень доверия мог быть проставлен в том случае, если эти устройства содержат некоторую систему безопасности, аналогичную модулю 190 безопасности, и сама система находится в актуальном состоянии (например, для антивирусного приложения это означает, что загружены последняя версия обновлений и проведены необходимые проверки). Вероятно, доверенные устройства, такие как смартфон Николая или Интернет-устройство Филиппа, могут иметь модуль 190 безопасности, но только в виде тонкого клиента 308 или неполную часть толстого клиента 310. Устройства, связанные с риском или небезопасные, могут вообще не иметь никакого модуля 190 безопасности и на них могут находится разнообразные вредоносные программы, что представляет угрозу для остальных устройств. Формирование подобной базы данных может происходить как автоматически, так и в ручном режиме. Таблица 5 содержит примеры записей в базе данных устройств 812, которая содержит уникальный идентификатор устройства, связанный с ним профиль риска, его вычислительная производительность (мощность) и уровень доверия.

Идентификатор выставляется каждому новому устройству в первый раз при попытке коммутации с мобильным устройством 100. Уровень риска может меняться со временем, так как это может быть связано с обновлением баз данных модуля 190 безопасности, так и с типом его установки (тонкий. клиент 308 или толстый клиент 310). Текущую вычислительную мощность можно получить от индикатора 602 типа устройства, а уровень доверия напрямую связан с текущим профилем риска.

Фиг.8В иллюстрирует различные группы мобильных устройств в различных локациях (местонахождениях), которые условно показаны как "дом", "общественное место", "работа" (в дальнейшем будем использовать без кавычек). В течение дня пользователь с мобильным устройством 100 может побывать, например, в трех таких местах. Дома или на работе для решения задач безопасности можно использовать сервер безопасности 170, не используя для этого ресурсы других вычислительных устройств. Однако в тех местах, где доступ к серверу безопасности 170 затруднен, использование ресурсов других устройств может быть очень полезным. В качестве примера можно привести тот случай, когда у пользователя достаточно мощный ноутбук, который используется как прокси-сервер для выхода в Интернет со своего другого устройства - смартфона. Для выполнения подобных задач требуется выполнение трех условий: (а) наличие хотя бы одного устройства, которое способно выполнять задачи безопасности; (б) достаточная производительность такого устройства для выполнения нужных задач; (в) отсутствие возможности или ресурсов выполнения таковых задач на мобильном устройстве 100.

Перед тем как перейти к рассмотрению схемы выполнения задач безопасности на других устройствах, сначала будет приведена схема добавления нового устройства в группу на фиг.8Г. На этапе 820 происходит обнаружение нового устройства или сети. В качестве следующего шага на этапе 822 происходит изоляция группы от нового устройства или сети перед тем, как на этапе 824 происходит их проверка. В качестве самой простой проверки может служить запрос о типе устройства и версии используемого модуля 190 безопасности (если таковой имеется). После этого на этапе 826 происходит определение, являются ли безопасными новое устройство или сеть. В случае положительного ответа новое устройство или сеть будут - добавлены в группу как доверенные на этапе 828. В ином случае, на этапе 830 происходит увеличение уровня защиты группы и дальнейшее включение нового устройства или сети как небезопасных на этапе 832.

После того, как были определены устройства в группе, происходит алгоритм выборки задач безопасности одним из устройств группы, как это показано на фиг.8Д. На этапе 840 определяется хватает ли ресурсов устройству для выполнения задачи и в случае положительного ответа мобильное устройство самостоятельно выполняет задачу на этапе 842. При отсутствии достаточных ресурсов на этапе 844 происходит поиск активных устройств в группе. Если никаких устройств найдено не будет, то пользователь будет оповещен об этом на этапе 846. При наличии активных устройств на этапе 848 задача будет помещена в базу данных задач, которая подробно рассмотрена на фиг.9А. База данных задач содержит все задачи, которые требуется выполнить устройствам в группе. Например, если в группе находятся три устройства и для первого и третьего устройства требуется выполнить одну и две задачи соответственно, то в базе данных задач будет находиться три задачи. На этапе 850 происходит обновление базы данных задач на устройствах группы. Подобная синхронизация требуется, чтобы каждое устройство в группе имело актуальный список задач. Обновление базы данных наступает при появлении новой задачи, выполнении задачи или при других изменениях базы данных задач. На этапе 852 происходит ожидание выборки задачи одним из устройств группы. Более подробное рассмотрение критериев возможности такой выборки будет дано на фиг.9Б. Если одно из устройств выбрало задачу из базы данных задач, то на этапе 854 проверяется начало ли устройство ее выполнение. Соответственно, на этапе 856 алгоритм закончится в тот момент, когда устройство закончит выполнение задачи. В том случае, если ни одно из устройств не выбрало задачу для выполнения, то на этапе 858 проверяется лимит ожидания для задачи. Подобный шаг нужен для того, чтобы низкоприоритетные, но при этом ресурсоемкие задачи не оказывались в. итоге невыполненными. При превышении лимита ожидания, на этапе 860 повышается приоритет задачи и алгоритм возвращается к этапу 852.

Фиг.9А иллюстрирует пример реализации базы 902 данных задач. Подобная база данных задач установлена на каждом мобильном устройстве в группе, которое располагает модулем 190 безопасности. Все задачи имеют различный уровень приоритета, который определяет очередность их выполнения. Каждая задача также имеет собственный таймер, который определяет сколько эта задача находится в базе данных. При описании алгоритма на фиг.8Д было показано, что при превышении лимита ожидания, у задачи повышается приоритет. Например, при появлении нового устройства и определении уровня безопасности при обмене данных с этим устройством, первоочередной задачей (и соответственно, с наибольшим приоритетом) станет задача проверки этого устройства. Задача проверки файлов может быть отнесена к низкоприоритетным, так как не является срочной и может быть выполнена позднее. Помимо этого каждое устройство имеет собственную производительность и уровень доступности. Производительность устройства можно оценить, используя его собственный индикатор 602 типа устройства. Уровень доступности показывает, насколько доступными являются ресурсы устройства. Сам уровень доступности можно выразить в процентах, которые являются усредненной величиной свободных ресурсов устройства, данные о которых можно получить от монитора 606 процессора (процессор является самым важным ресурсом), монитора 608 емкости батареи, монитора 610 памяти и монитора 612 сетевых подключений и графика. Тогда реальную производительность устройства в текущий момент времени можно выразить через формулу:

[Реальная производительность]=[Производительность устройства]*[Уровень доступности]

Пример соотнесения нагрузки к требуемой производительности показан в таблице 6.

Значения требуемой производительности соответствуют значениям производительности, приведенным в таблице 3. Также приведен уровень доступности ресурсов устройства, требуемых для выполнения задачи с соответствующей нагрузкой. Это означает, что для задач с низкой нагрузкой требуются не самые мощные устройства, но не выполняющие лишних задач.

Рассмотрим более подробно процесс выборки задачи устройством группы, что проиллюстрировано на фиг.9Б. На этапе 910 проверяется, готово ли устройство выполнять задачи группы. Алгоритм заканчивается на этапе 912 в том случае, если устройство не может выполнять таковые задачи. Это может быть обусловлено отказом пользователя на использование его устройства для решения задач группы или недостаточной производительностью. Если устройство готово выполнять задачи, то на этапе 914 начинается выборка задач из базы данных задач 902. На этапе 916 выборка начинается с задач с наиболее высоким приоритетом, затем, на этапе 918, проверяется требуемая нагрузка выбранной задачи и если на этапе 920 хватает производительности устройства для ее выполнения, то задача удаляется из базы данных задач на этапе 922 (база данных задач также обновляется на всех остальных устройствах) и начинается ее выполнение на этапе 924. Если производительности устройства не хватает для данной задачи, то на этапе 926 проверяется, остались ли еще задачи с более низким приоритетом и процесс выборки возвращается на этап 916. Если задач более не осталось, то устройство переходит в режим ожидания обновления базы данных задач на этапе 928.

Стоит отметить, что не все устройства в группе могут выполнять задачи безопасности, что связано в первую очередь с базой данных устройств 812 и уровнем доверия для каждого устройства. В качестве примера для фиг.8Б можно сказать, что задачу выполнения проверки личных папок на мобильном устройстве 100 можно доверить только доверенным устройствам, т.е. ноутбуку жены, смартфону самого владельца мобильного устройства 100 и домашнему серверу. На фиг.9 В описан алгоритм проверки критериев доверия. На этапе 930 задается уровень доверия для каждой задачи. Это происходит автоматически в зависимости от типа выполняемой задачи: если задачи включает фильтрацию графика или проверку данных на другом устройстве, то для такой задачи потребуется высокий уровень доверия (т.е. устройство должно будет быть доверенным), в то время как задача проверки нового устройства в группе может быть выполнена устройством и не входящим в список доверенных. На этапе 932 задача помещается в базу 902 данных задач, которая затем обновляется на всех устройствах в группе на этапе 934. Затем происходит ожидание выборки задачи одним из устройств в группе на этапе 936 и если устройство удовлетворяет критериями доверия (такая проверка предусмотрена на этапе 938), то в дальнейшем проверяется факт начала выполнения задачи на этапе 940, что приводит к окончанию алгоритма на этапе 942, который завершается с окончанием выполнения задачи. В других случаях устройство может не подойти по критерию доверия и тогда задача не будет исполняться на этом устройстве или же у нее будет превышен лимит ожидания на этапе 944, что приведет к повышению ее приоритета на этапе 946. Работу подобного алгоритма можно описать с - помощью простого примера. Если пользователю потребуется провести ряд важных операций в Интернет (например, зайти на сайт банка), то в таком случае он будет ожидать того момента, когда фильтрацию графика сможет осуществить доверенное устройство, свободное от других задач.

Далее, на фиг.10А-10Д будут приведены примеры использования группы для решения различных задач безопасности. Например, с помощью группы можно более гибко настроить обновление баз данных компонент модуля безопасности 190, что показано на фиг.10А. На этапе 1002 проверяется доступность сервера обновлений. Часто бывает, что новые вредоносные программы для эффективной работы блокируют возможность скачивания обновления баз данных компонент модуля 190 безопасности, что приводит к устареванию его баз данных и снижению эффективности защиты. Еще одним вариантом недоступности сервера обновлений может быть DoS-атака. Таким образом, если проверка доступности сервера обновлений на этапе 1004 является успешной, то обновления скачиваются в штатном режиме на этапе 1006. Если же сервер обновлений недоступен, то на этапе 1008 проверяется доступность последних версий обновления на устройствах группы. В том случае, если обнаружилось, что на них имеются более поздние версии баз, то на этапе 1010 произойдет загрузка доступных обновлений. В дальнейшем на этапе 1012 проверяется время последнего обновления баз, что может повлечь повышение уровня проактивной защиты, т.е. увеличение уровня работы таких модулей как модуль 220 предотвращения вторжений, антивирус 216 или сетевой экран 212.

фиг.10Б показывает вариант работы группы при обнаружении новой угрозы. Если одно из мобильных устройств обнаружило новую угрозу на этапе 1020, то на этапе 1022 оно формирует описание (возможный адрес ссылки, по которому эта угроза находится, хеш файла вредоносной программы и др.) и отправляет его остальным устройствам группы на этапе 1024. Таким образом, если один из пользователей попал на фишинговый сайт и адрес сайга был заблокирован, то ссылка на этот сайг автоматически будет.передана на остальные устройства, что позволяет избежать потери данных даже устройствам с тонким клиентом.

Фиг.10В иллюстрирует проверку исполняемого файла перед его запуском на одном из устройств группы. На этапе 1030 определяется запуск процесса из неизвестного файла и на этапе 1032 делается проверка по достаточности ресурсов для проверки неизвестного процесса. Если ресурсов устройства хватает, то на этапе 1034 устройство изолируется до окончания проверки. В случае, если ресурсов не хватает, то проверка пройдет на этапе 1036 на другом устройстве с достаточным уровнем производительности. В качестве примера можно привести следующий вариант развития событий:

пользователь скачал неизвестный файл, и проверка по сигнатурам не дала результатов, после чего при недостатке ресурсов задача по проверке этого файла будет помещена в базу данных задач 902.

Фиг.10Г иллюстрирует схожий случай, связанный с обнаружением нового хранилища данных одним из устройств группы. Самым простым примером может служить использование новой карты памяти на мобильном устройстве. На этапе 1042 происходит проверка достаточности ресурсов для проверки хранилища данных. Если ресурсов хватает, то устройство будет изолировано от группы до окончания проверки на этапе 1044. В ином случае, на этапе 1046 проверка будет произведена другим устройством, например, используя проверку всех файлов в хранилище данных по сигнатурам.

Фиг.10Д показывает изменение уровня доверенности устройства в том случае, если была обнаружена новая уязвимость, связанная с приложениями, операционной системой или аппаратной частью одного из устройств. На этапе 1050 происходит обнаружение новой уязвимости на одном из устройств группы, после чего на этапе 1052 это устройство будет обозначено устройством более высокого риска (например, из доверенных будет переведено в связанные с риском). На других устройствах также будет повышен уровень безопасности на этапе 1054. После выполнения загрузки обновления для закрытия уязвимости на этапе 1056, уровень безопасности на. устройствах будет понижен на этапе 1058 и устройство будет назначено устройством с более низким риском на этапе 1060 (например, опять станет доверенным).

В заключение следует отметить, что приведенные в описании сведения являются только примерами, которые не ограничивают объем настоящей полезной модели, определенной формулой. Специалисту в данной области становится понятным, что могут существовать и другие варианты осуществления настоящей полезной модели, согласующиеся с сущностью и объемом настоящей полезной модели.

1. Система безопасности мобильных устройств, которая включает:

модуль безопасности, связанный с модулем конфигурирования, при этом модуль безопасности предназначен для выполнения задач безопасности на мобильном устройстве и передачи информации, связанной с задачами безопасности, на другие мобильные устройства;

упомянутый модуль конфигурирования предназначен для настройки модуля безопасности в зависимости от данных, полученных от связанных с модулем конфигурирования модуля подсчета рисков и модуля подсчета вычислительных ресурсов;

упомянутый модуль подсчета рисков предназначен для определения рисков, связанных с безопасностью мобильного устройства;

упомянутый модуль подсчета вычислительных ресурсов предназначен для определения используемых аппаратных ресурсов мобильного устройства.

2. Система по п.1, в которой задачами безопасности являются:

а) предотвращение попадания нежелательной информации на мобильное устройство;

б) обнаружение и удаление нежелательной информации на мобильном устройстве;

в) предотвращение угроз.

3. Система по п.1, в которой в состав модуля безопасности входят:

а) сетевой экран;

б) фильтр сообщений;

в) антивирус;

г) модуль восстановления;

д) модуль предотвращения вторжений.

4. Система по п.1, в которой в состав модуля безопасности входят:

а) модуль соединения с сервером безопасности, предназначенный для передачи данных для исполнения задач безопасности на удаленном компьютере;

б) модуль групповой безопасности, предназначенный для определения уровня безопасности в составе группы;

в) модуль координации групповых задач, предназначенный для выбора и определения задач безопасности для выполнения на мобильных устройствах.

5. Система по п.3, в которой группой считается набор мобильных устройств, объединенных в смешанную сеть и имеющих возможность безопасной передачи данных между собой.

6. Система по п.1, в которой модуль подсчета рисков содержит:

а) модуль отслеживания поведения пользователя, предназначенный для определения соответствия поведения пользователя рискам, связанным с безопасностью мобильного устройства;

б) модуль отслеживания событий безопасности, предназначенный для записи всех событий, связанных с безопасностью мобильного устройства;

в) модуль анализа приложений, предназначенный для анализа приложений, установленных на мобильном устройстве;

г) модуль местонахождения, предназначенный для определения местонахождения мобильного устройства;

д) базу данных локаций, предназначенную для определения соответствия уровня безопасности определенной географической локации.

7. Система по п.1, в которой модуль подсчета вычислительных ресурсов использует следующие данные об аппаратных ресурсах мобильного устройства:

а) данные о заряде батареи мобильного устройства;

б) данные о частоте использования процессора мобильного устройства;

в) данные о типе мобильного устройства;

г) данные о свободной памяти мобильного устройства;

д) данные о сетевых подключениях мобильного устройства.