АППАРАТНАЯ ВИРТУАЛИЗИРОВАННАЯ ИЗОЛЯЦИЯ ДЛЯ ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ

1. Способ, содержащий этапы, на которых:
исполняют приложение в хостовой операционной системе;
обнаруживают доступ к сетевому ресурсу посредством приложения;
определяют, представляет ли сетевой ресурс собой доверенный сетевой ресурс или недоверенный сетевой ресурс; и
в ответ на определение того, что сетевой ресурс представляет собой недоверенный сетевой ресурс:
активируют, посредством хостовой операционной системы, контейнер, который изолируется от хостовой операционной системы и выполнен с возможностью исполнять версию приложения, и
разрешают, посредством хостовой операционной системы, версии приложения, исполняющейся в контейнере, осуществлять доступ к недоверенному сетевому ресурсу.
2. Способ по п. 1, дополнительно содержащий этап, на котором разрешают версии приложения, исполняющейся в контейнере, осуществлять доступ к одному или более дополнительным недоверенным сетевым ресурсам, и предотвращают осуществление приложением, исполняющимся в контейнере, доступа к доверенным сетевым ресурсам.
3. Способ по п. 1 или 2, дополнительно содержащий этап, на котором обнаруживают доступ к файлу или приложению посредством хостовой операционной системы и, в ответ на определение того, что файл или приложение представляет собой недоверенный сетевой ресурс, разрешают открытие файла или приложения в контейнере.
4. Способ по любому из пп. 1-3, в котором контейнер включает в себя экземпляр хостовой операционной системы и ядро, которое является отдельным и изолированным от ядра хостовой операционной системы.
5. Способ по любому из пп. 1-4, дополнительно содержащий этап, на котором принимают по меньшей мере одну политику, которая включает в себя, по меньшей мере, нумерованный список доверенных сетевых ресурсов, при этом определение того, представляет ли сетевой ресурс собой доверенный сетевой ресурс или недоверенный сетевой ресурс, содержит этап, на котором сравнивают сетевой ресурс с нумерованным списком доверенных сетевых ресурсов, причем нумерованный список доверенных сетевых ресурсов идентифицируется на основе одного или более из типа файла сетевого ресурса, сетевого местоположения, ассоциированного с сетевым ресурсом и типа приложения, которое пытается осуществить доступ к сетевому ресурсу.
6. Способ по любому из пп. 1-5, в котором контейнер активируется для пользователя, который осуществил логический вход в хостовую операционную систему, при этом способ дополнительно содержит этап, на котором определяют, что другой пользователь осуществил логический вход в хостовую операционную систему, и активируют, для этого другого пользователя, другой контейнер, который изолируется от хостовой операционной системы и контейнера.
7. Способ по любому из пп. 1-6, дополнительно содержащий этап, на котором определяют, что доступ к сетевому ресурсу запрашивается по недоверенному сетевому интерфейсу, и в ответ на определение того, что доступ к сетевому ресурсу запрашивается по недоверенному сетевому интерфейсу, выполняют этапы, на которых:
ограничивают сетевую связь для приложения в хостовой операционной системе интерфейсом виртуальной частной сети (VPN);
разрешают версии приложения, исполняющейся в контейнере, выполнять сетевую связь по недоверенному сетевому интерфейсу; и
указывают сетевому стеку контейнера, что сетевая связь для контейнера изолируется относительно недоверенного сетевого интерфейса.
8. Способ по любому из пп. 1-7, дополнительно содержащий этап, на котором перехватывают, посредством хостовой операционной системы, ответ на запрос веб-прокси-сервера на предмет учетных данных пользователя и вставляют одни или более учетных данных пользователя в ответ на запрос веб-прокси-сервера без передачи одних или более учетных данных пользователя в контейнер.
9. Способ по любому из пп. 1-8, дополнительно содержащий этап, на котором сканируют один или более недоверенных сетевых ресурсов, к которым осуществляется доступ в контейнере, и используют антивирусное программное обеспечение в хостовой операционной системе для того, чтобы назначать один или более уровней риска одному или более недоверенным сетевым ресурсам и подвергать карантину, очищать или удалять один из одного или более недоверенных сетевых ресурсов, если уровень установленного процента риска указывает, что недоверенный сетевой ресурс является злоумышленным.
10. Способ по любому из пп.1-9, дополнительно содержащий этап, на котором отслеживают активность, ассоциированную с недоверенным сетевым ресурсом в контейнере, и обновляют локальную политику в хостовой операционной системе на основе отслеживаемой активности.
11. Способ по любому из пп. 1-10, в котором приложение представляет собой веб-приложение, и недоверенный сетевой ресурс представляет собой веб-страницу.
12. Способ по любому из пп. 1-11, в котором контейнер активируется для связи по сетевым ресурсам по первому интерфейсу сетевой связи, при этом способ дополнительно содержит этап, на котором активируют второй контейнер для связи по сетевым ресурсам через второй интерфейс сетевой связи.
13. Устройство, содержащее:
один или более процессоров; и
один или более машиночитаемых носителей, сохраняющих машиночитаемые инструкции, которые исполняются одним или более процессорами, чтобы выполнять операции, содержащие:
исполнение веб-приложения в хостовой операционной системе устройства;
обнаружение доступа к сетевому ресурсу посредством веб-приложения;
определение того, что сетевой ресурс представляет собой недоверенный ресурс, посредством сравнения сетевого ресурса с политикой, принимаемой из службы управления и мониторинга, которая расположена удаленно от устройства;
в ответ на определение того, что сетевой ресурс представляет собой недоверенный сетевой ресурс:
активацию, посредством хостовой операционной системы, контейнера, который изолируется от хостовой операционной системы и выполнен с возможностью исполнять версию веб-приложения;
разрешение, посредством хостовой операционной системы, версии веб-приложения, исполняющейся в контейнере, осуществлять доступ к недоверенному сетевому ресурсу;
разрешение версии веб-приложения, исполняющейся в контейнере, осуществлять доступ к одному или более дополнительным недоверенным сетевым ресурсам; и
предотвращение осуществления версией веб-приложения, исполняющейся в контейнере, доступа к доверенным сетевым ресурсам.
14. Устройство по п. 13, в котором операции дополнительно содержат обнаружение обновления хостовой операционной системы и, в ответ на обнаружение обновления хостовой операционной системы, удаление контейнера и создание нового контейнера, который отражает один или более обновленных двоичных кодов хостовой операционной системы.
15. Устройство по п. 13 или 14, в котором хостовая операционная система выполнена с возможностью определять, что сетевой ресурс и один или более дополнительных недоверенных сетевых ресурсов являются недоверенными, на основе одного или более из типа файла сетевого ресурса, сетевого местоположения, ассоциированного с сетевым ресурсом, типа приложения, которое пытается осуществлять доступ к сетевому ресурсу, антивирусного сканирования сетевого ресурса, либо на основе обращения к облачной службе, которая ведет список злоумышленных сетевых ресурсов.