对网络资源的基于健康状况的访问

摘要

此处所描述了一种保护系统，该保护系统基于一计算机系统的动态健康状态和特定资源的动态信誉的组合，动态地确定该计算机系统是否可以访问该资源。当一个用户试图访问一个资源时，该保护系统截取该请求。该保护系统确定用户正试图访问的资源的信誉，以及用户正在试图访问资源所利用的计算机系统的健康状况。基于所确定的资源的信誉和所确定的计算机系统的健康状况，保护系统确定是否允许所请求的对该资源的访问。

权利要求

1.一种计算机实现的用于保护计算机系统以免访问恶意网络资源的方法，所述方法包括：接收访问资源的请求（310），其中所述请求包括所述资源的标识；

确定所请求的资源的信誉（320），其中所述信誉指示访问所述资源将导致恶意内容被下载到计算机系统的可能性；

确定从中接收到了所述请求的所述计算机系统的健康状态（330）；基于所述资源信誉和被允许访问所请求的资源的所述计算机系统的健康状态，来访问标识一个或多个条件的访问策略（340）；以及应用所述访问策略（350），以基于所述访问策略来确定是否允许所述计算机系统访问所请求的资源，并由此保护所述计算机系统以免访问恶意网络资源，其中允许具有较高健康状态的计算机系统比具有较低健康状态的计算机系统访问较大范围的资源；

其中所述步骤是由至少一个处理器执行的。

2.如权利要求1所述的方法，其特征在于，接收请求包括使用安装在所述计算机系统上的网络过滤器来截取来自应用程序的所述请求。

3.如权利要求1所述的方法，其特征在于，接收所述请求包括接收来自多个应用程序的请求并保护所述计算机系统以免从所述多个应用程序访问恶意网络资源。

4.如权利要求1所述的方法，其特征在于，确定所请求的资源的所述信誉包括将所请求的资源的所述标识发送到基于web的信誉服务，以及从所述信誉服务接收表示所请求的资源的信誉分数的响应。

5.如权利要求1所述的方法，其特征在于，确定所述健康状态包括访问网络访问保护（NAP）服务器以确定所述计算机系统的所述健康状态。

6.如权利要求1所述的方法，其特征在于，如果所述计算机系统具有更高的健康状态，则所述访问策略提供更多的访问。

7.如权利要求1所述的方法，其特征在于，所述计算机系统的所述健康状态和所请求的资源的所述信誉随着时间而变化，并且所述方法基于在请求时所述计算机系统的健康状态和所述资源的所述信誉，动态地取代是否允许所述计算机系统访问所请求的资源。

8.一种用于基于请求对网络资源的访问的计算机的健康状况来阻止对所述网络资源的访问的计算机系统，所述系统包括：资源请求组件（110），配置成从用户程序或其他应用程序接收访问资源的请求，其中由所述资源请求组件接收到的请求标识要被访问的所述资源；

资源信誉组件（120），配置成对通过所述资源请求组件接收到的资源请求确定所述网络资源的信誉分数；

健康状态组件（130），配置成确定作出所述资源请求的所述计算机系统的健康分数；

策略组件（140），配置成接收和存储由管理员定义的确定是否允许或拒绝特定资源访问请求的策略；以及访问控制组件（150），配置成通过将所定义的策略应用于发出请求的计算机系统的所确定的健康分数和所述网络资源的所述信誉分数，来确定是否允许对所请求的资源的访问；其中允许具有较高健康分数的计算机系统比具有较低健康分数的计算机系统访问较大范围的资源。

9.如权利要求8所述的系统，其特征在于，所述资源请求组件使用内核-模式网络过滤器，通过操作系统所提供的用于将网络过滤器添加到网络堆栈中的应用程序编程接口API来截取网络请求。

10.如权利要求8所述的系统，其特征在于，所述系统在发出请求的计算机系统和所请求的资源之间的资源上操作，以截取资源请求，并确定是否允许所述发出请求的计算机系统访问所请求的资源。

11.如权利要求8所述的系统，其特征在于，所述资源信誉组件进一步配置成接收统一资源定位符URL并将所述URL发送到主存在所述因特网上的URL信誉服务，来确定所述资源的所述信誉。

12.如权利要求8所述的系统，其特征在于，所述资源信誉组件进一步配置成指出所请求的网络资源的信誉是否是已知的，并且其中所述策略组件配置成对于没有已知的信誉的资源应用特定策略。

13.如权利要求8所述的系统，其特征在于，所述健康状态组件基于管理员定义的健康策略的结果的聚合来确定健康分数，所述结果包括从由下列各项组成的组中选择的一个或多个健康状况检查：操作系统补丁级别、病毒定义级别、驱动程序签名状态、应用程序安装状态、应用程序补丁状态，以及防火墙配置。

14.如权利要求8所述的系统，其特征在于，所述策略组件允许任何健康水平的计算机系统对高信誉资源的访问，并且允许高健康水平的计算机系统对低信誉资源的访问。

15.如权利要求8所述的系统，其特征在于，所述管理员包括为家庭中的一个或多个计算机系统定义策略的家庭用户。

说明书

对网络资源的基于健康状况的访问

背景技术

[0001] 防病毒、防间谍软件，及其他防恶意软件应用程序试图通过标识有害的应用程序或其他可执行代码并删除或至少中立化有害的代码来保护客户机计算机。当前的防恶意软件应用程序(例如，Microsoft Windows Defender、Microsoft Forefront Client Security、Microsoft OneCare、Microsoft Forefront Server for Exchange Server等等)使用基于签名的方法来检测病毒、蠕虫，以及间谍软件。一种常见的恶意软件预防类型依赖于检查用户(例如，在web浏览器中)请求的统一资源定位符(URL)或因特网协议(IP)地址，并阻止对被标记为恶意或潜在恶意的URL的访问。常常，当用户访问一个网站并允许“未知软件”的安装时(通常，用户认为他们正在安装好的软件)，客户机计算机被感染，如此，阻止对已知是恶意的站点的访问可以保护用户的计算机系统免受感染。

[0002] 机器健康状态是用来确定计算机系统的健康状况并基于计算机系统的健康状况来确定计算机系统可以执行的动作的一种技术。例如，许多公司的局域网(LAN)管理员都定义策略，在策略允许计算机系统访问企业网络之前，每一个计算机系统都必须符合该策略。例如，管理员可以定义一个策略，该策略指定在该策略允许计算机系统访问LAN之前，特定操作系统补丁或特定防病毒定义版本必须存在于该组织中的计算机系统上。

[0003] 当前的web过滤技术，无论是基于主机的(本地计算机)还是基于边缘的(网关设备/服务器)，都使用策略来控制对网络协议或目的地的访问。这些策略通常使用在策略创作时已知的机器或用户属性，如测试一组中的成员身份，测试目的地或源站点名称，或对于对某些网络资源的访问，施加一天中的时间限制。

[0004] 一个问题是，这些保护机制常常不必要地限制性过强。允许用户创建内容的网站除网站的几个恶意区域之外还可能具有网站的许多非恶意区域。另外，用户的职业可能需要访问有害的网站(例如，标识雇用该用户的公司的享有版权的材料的非法的分发)，并且用户可能采取其他预防措施来防止感染该用户的计算机系统的风险。例如，用户可能在受保护的或沙箱模式下运行浏览器以防止网站对计算机系统的其他元件产生影响。用户还可以运行严格的防病毒软件以降低感染的风险。在机器健康的情况下，很少使用膝上型计算机的用户可能将膝上型计算机带到演讲现场，并希望访问一个网站，但是，被阻止这样做，因为该用户最近没有利用补丁更新膝上型计算机。

[0005] 在其他时候，传统的保护机制限制性可能不足够强。例如，基于URL的阻止只是和已知的恶意URL的列表一样好。恶意软件作者时常改变主存恶意代码的域名，并且由此，基于URL的阻止可能不能在某一时段标识恶意网站，直到管理员将该网站添加到恶意网站列表中。

发明内容

[0006] 此处所描述了一种保护系统，该保护系统基于一计算机系统的健康状态和特定资源的信誉的组合，来确定该计算机系统是否可以访问该资源。当一个用户试图访问一个资源时，该保护系统截取该请求。保护系统确定用户正试图访问的资源的信誉。保护系统还确定用户正在试图访问资源所采用的计算机系统的健康状况。基于所确定的资源的信誉和所确定的计算机系统的健康状况，该保护系统确定是否允许所请求的对该资源的访问。由此，保护系统允许管理员基于计算机系统的健康状况保护计算机系统避开潜在恶意的资源。保护是动态的，因为计算机系统的健康状况和特定资源的信誉两者都可以随着时间而变化，并且，保护系统是基于发出请求时的信誉和健康状况来保护计算机系统的。

[0007] 提供本发明内容是为了以精简的形式介绍将在以下详细描述中进一步描述的一些概念。本发明内容并不旨在标识出所要求保护的主题的关键特征或必要特征，也不旨在用于限定所要求保护的主题的范围。

附图说明

[0008] 图1是示出了一个实施例中的保护系统的组件的框图。

[0009] 图2是示出了一个实施例中的在其中使用了保护系统的环境的框图。

[0010] 图3是示出了一个实施例中的系统处理接收到的对资源的访问请求的过程的流程图。

[0011] 图4是示出了在一个实施例中访问控制组件允许或拒绝访问资源的请求的过程的流程图。

具体实施方式

[0012] 此处描述了一种保护系统，该保护系统基于一计算机系统的健康状态和特定资源的信誉的组合，来确定该计算机系统是否可以访问该资源。该系统将允许健康的机器比不健康的机器访问较大范围的资源(例如，声誉不太好的)。例如，健康的机器可以是安装了防病毒软件并且更新了所有最新的病毒定义的机器。这样的机器从网站内容遇险的可能性比没有安装防病毒软件的机器小得多。该系统可以只允许不健康的机器访问已知声誉很好的资源。

[0013] 当一个用户试图访问一个资源时，该保护系统截取该请求。例如，用户可以使用web浏览器通过指定URL来请求特定的网页。保护系统确定用户正试图访问的资源的信誉。例如，如果资源是网站，那么，该系统可以将URL发送到受信任的URL信誉服务，并接收表示该资源的信誉分数的响应。保护系统确定用户正在试图访问资源所采用的计算机系统的健康状况。例如，保护系统可以检查系统的网络访问保护(NAP)状态(有时被称为网络访问控制(NAC))或运行一种或多种健康状况检查来确定计算机系统的健康分数。基于所确定的资源的信誉和所确定的计算机系统的健康状况，该保护系统确定是否允许对该资源的访问。由此，保护系统允许管理员基于计算机系统的健康状况保护计算机系统避开受潜在恶意的资源。保护是动态的，因为计算机系统的健康状况和特定资源的信誉两者都可以随着时间而变化，并且，保护系统是基于发出请求时的信誉和健康状况来保护计算机系统的。

[0014] 健康状况

[0015] 如此处所指出的，保护系统确定计算机系统的健康状况，以使得保护系统可以基于健康状况来应用不同的限制级别。有许多种因素和过程可供保护系统用来确定计算机系统的健康状况或定义健康状况检查。此处更详细地描述了某些示例，本领域的技术人员将认识到用于确定可以与保护系统一起使用的健康状况的其他示例。健康状况检查可包括计算机系统的确定计算机系统的防御恶意内容的水平的任何测量。

[0016] 如此处所描述的健康分数可以是指较大范围的健康指示。例如，健康分数的一种简单实现包括系统是健康或不健康的布尔结果。比较复杂的健康分数可以具有健康的水平，如低健康状况、中等健康状况，以及高等健康状况。可另选地，健康分数可包括用数字表示范围，如0-100，其中，该范围的一端表示系统未通过由管理员所定义的所有健康策略，而该范围的另一端表示系统通过了所有健康策略。在每一种情况下，保护系统都允许管理员对于每一个健康分数的所定义的增量独立地定义对于资源的访问的级别。保护系统考虑健康分数、此处进一步描述的资源信誉分数，以及任何已定义的策略来确定一个特定计算机系统可以访问哪些资源。

[0017] 应用程序可以实现保护系统调用的健康状况检查来确定计算机系统的当前健康状态。例如，诸如Windows Security Center之类的产品、防病毒产品、补丁管理产品，及其他安全产品，或这些产品的组合可以提供对系统的健康状况检查。系统也可以在不同的时间执行健康检查，如通过访问客户端健康NAP代理，通过调用NAP或其他基于健康的服务器带内，或通过依赖于证明以前确定的健康状态的健康证书带外。除(例如，如由NAP所提供的)机器健康状况之外，保护系统还可以在作出资源访问决定时考虑用户的健康状况。例如，在Microsoft Forefront Client的安全状态评估中，一些检查是逐个机器的，而某些检查是逐个用户的。除非基于机器的和基于用户的健康检查两者都通过，对于逐个用户的检查，如IE区域设置或Office宏设置，未知的资源可以针对一个用户来被阻止。

[0018] 资源信誉

[0019] 如此处所指出的，保护系统确定一个特定资源(例如，URL)的信誉分数，以使得健康状况较低的计算机系统对信誉较低的资源的访问可以被阻止或限制。保护系统可以使用多种方法来确定资源的信誉，此处对此进行了更详细的描述。本领域技术人员将认识到，保护系统可以与除此处所描述的这些方法之外的其他资源信誉方法一起使用。

[0020] 如同健康分数，此处所描述的资源信誉分数可以是指较大范围的信誉指示。例如，信誉分数的一种简单实现包括资源是恶意的还是安全的布尔结果。更为复杂的信誉分数可以具有信誉的水平，如低信誉、中等信誉，以及高等信誉。可替代地，信誉分数可包括用数字表示的范围，如0-100，其中，该范围的一端表示已知差的信誉，该范围的另一端表示已知的高信誉。在每一种情况下，保护系统都允许管理员对于每一个信誉分数所定义的增量独立地定义对于资源的访问的级别。保护系统考虑此处进一步描述的健康分数、资源信誉分数，以及任何已定义的策略来确定一个特定计算机系统可以访问哪些资源。

[0021] 在某些实施例中，保护系统定义对应于其信誉尚没有被评估或不可用的未知资源的资源信誉分数。例如，新网站可能要花费一些时间被发现，资源信誉服务对其评估也要花费一些时间。在这段时间内，保护系统知道资源是未知的仍是有用的。保护系统允许管理员定义确定计算机系统是否可以访问其信誉信息不可用的资源的策略。当未知状态不是布尔值而是梯度级别时(例如，从0到100)，管理员可以通过策略潜在地自定义未知状态。例如，一个组织的管理员可能感觉到对于未知站点，大于50的分数是危险的，而另一个组织的管理员可能感觉到大于75的分数是危险的。由此，谨慎的管理员可以拒绝对未知资源的访问，或为请求访问未知资源的计算机系统指定特定最小的健康状态。例如，如果一个客户端系统启用了防病毒实时保护，并且签名和补丁都是最新的，则管理员可以定义指定该客户端系统可以浏览未知URL的策略。以前的系统通常基于在传统的边缘-防火墙规则中所使用的静态准则来阻止未知的URL或允许访问。

[0022] 在某些实施例中，保护系统从资源信誉服务接收到的信誉信息包括描述由资源所提供的内容的类型的一种或多种类别。例如，一个网站可能属于诸如体育、新闻、色情等等之类的类别。保护系统允许管理员定义客户端系统可以访问的类别，并将客户机系统取得的阈值健康状态与对特定类别的资源的访问相关联。在某些实施例中，取决于从信誉服务返回的数据细微程度，给各类别指定了置信水平，如从0到100。这对于动态地评级的内容允许基于“可能的”类别匹配的策略。例如，一个策略可以指定如果色情内容的置信度大于80，则阻止URL。

[0023] 系统组件

[0024] 图1是示出了一个实施例中的保护系统的组件的框图。保护系统100包括资源请求组件110、资源信誉组件120、健康状态组件130、策略组件140，以及访问控制组件150。此处更详细地描述了这些组件中的每一个。

[0025] 资源请求组件110从用户程序或其他应用程序(例如，操作系统服务)接收访问资源的请求。在某些实施例中，保护系统100使用内核-模式网络过滤器来截取网络请求，并执行此处所描述的用于保护计算机系统的步骤。许多操作系统提供用于将网络过滤器添加到网络堆栈中的应用程序编程接口(API)。例如，Microsoft Windows提供了用于添加可以执行此处所描述的步骤的几种类型的网络驱动程序接口规范(NDIS)过滤器的API。可替代地或作为补充，保护系统100可以在发出请求的计算机系统和被请求的资源之间的资源中操作，如在网络路由器上。通过在低于任何特定应用程序的级别与计算机系统接口，保护系统100可以对计算机系统提供保护，而不管用户用来访问网络的应用程序(例如，web浏览器、即时消息应用程序、电子邮件客户端等等)。由资源请求组件110接收到的请求标识要被访问的资源，如通过IP地址、域名、URL，或类似的标识。

[0026] 资源信誉组件120确定通过资源请求组件110接收到的资源请求所请求的资源的信誉分数。例如，资源请求组件110可以接收URL，而资源信誉组件120可以将该URL发送到主存在因特网上的资源信誉服务来确定该资源的信誉。信誉服务提供表示所请求的资源的信誉的响应，或者，在某些情况下，表示所请求的资源的信誉不为信誉服务所知的响应。

[0027] 健康状态组件130确定作出资源请求的计算机系统的健康分数。健康分数可包括管理员所定义的健康策略的结果或结果的聚合。健康策略可包括管理员定义为表示计算机系统健康状况的各种类型的信息，如操作系统补丁级别、病毒定义级别、驱动程序是否是已签名的，安装在计算机系统上的应用程序，对于每一个应用程序补丁是否是最新的，等等。系统的健康状态可以基于用户动作(例如，安装应用程序)、外部因素(例如，防病毒软件供应商发布了新的病毒定义)，和/或基于由管理员所定义的策略的变化，而随着时间变化。由此，保护系统100基于计算机系统的当前健康状态来确定是否允许或拒绝特定访问请求。

[0028] 策略组件140接收并存储由管理员所定义的策略，保护系统100使用这些策略来确定是否允许或拒绝特定访问请求。例如，管理员可以定义这样的策略：允许任何健康状况水平的计算机系统对高信誉资源的访问，中等健康状况水平的计算机系统对中等信誉资源的访问，以及高健康状况水平的计算机系统对低信誉资源的访问。管理员也可以为对于其信誉信息不可用的资源定义策略。由管理员所定义的策略也可以包括修改确定系统的健康状况的计算机系统的质量。策略还可以包括启用自动补救和/或审核特征，如此处进一步描述的。

[0029] 虽然此处所描述的管理员通常是在大型公司环境中行动的，但是，管理员也可以是家庭用户，如家庭中为孩子的计算机系统定义一种或多种策略的父母。因此，管理员不是根据使用计算机系统所在的组织的大小或类型来定义的，而是根据担任管理角色的用户对于保护系统100可以执行的动作来定义的。

[0030] 访问控制组件150通过将所定义的策略应用到对发出请求的计算机系统的已确定的健康分数和计算机系统请求访问的资源的信誉分数，来确定是否允许对所请求的资源的访问。如果访问控制组件150允许对该资源的访问，那么，组件150，就像保护系统100并未截取该请求一样，通过网络堆栈发送已接收到的请求。然后，该资源可以接收该请求，并提供适当的响应(例如，基于与该请求相关联的协议)。

[0031] 在某些实施例中，如果访问控制组件150拒绝对资源的访问，则组件150提供表示不能访问资源的对该请求的响应(例如，通过资源请求组件110)。例如，如果请求是从web浏览器接收到的超文本传输协议(HTTP)请求，则访问控制组件150可以向web浏览器提供404(资源未被发现)或其他适当的HTTP错误代码，以通知用户，系统拒绝了该请求(并防止应用程序等待到超时和/或反复地重试)。

[0032] 在其上面实现了系统的计算设备可包括中央处理单元、存储器、输入设备(例如，键盘和指示设备)、输出设备(例如，显示设备)，以及存储设备(例如，磁盘驱动器或其他非易失性存储介质)。存储器和存储设备是可以编码有实现或启用系统的计算机可执行指令(例如，软件)的计算机可读的存储介质。另外，数据结构和消息结构可以被存储或通过诸如通信链路上的信号之类的数据传输介质传输。可以使用各种通信链路，如因特网、局域网、广域网、点对点拨号连接、蜂窝电话网络等等。

[0033] 系统的各实施例可以在各种操作环境中实现，操作环境包括个人计算机、服务器计算机、手持式或膝上型设备、多处理器系统、基于微处理器的系统、可编程消费电子产品、数码相机、网络PC、小型计算机、大型计算机、包括上述系统或设备中的任一个的分布式计算机环境等。计算机系统可以是蜂窝电话、个人数字助理、智能电话、个人计算机、可编程消费电子产品、数码相机等等。

[0034] 可以在由一台或多台计算机或其他设备执行的诸如程序模块之类的计算机可执行的指令的一般上下文中来描述本系统。一般而言，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。通常，程序模块的功能可以按需在各个实施例中进行组合或分布。

[0035] 图2是示出了一个实施例中的在其中使用了保护系统的环境的框图。此图描绘了基于主机的启用NAP的web过滤，其中，没有边缘网关设备。一个或多个客户机计算机系统210与三套被托管的服务器进行通信：URL信誉服务220(被示为Microsoft信誉服务阵列和MRS数据库)、用于策略和遥测的机器/用户管理服务器230(被示为根竖井、服务竖井)，以及被托管的NAP服务器240(被示为NAP HRA、NAP CA、NAP NPS)。计算机系统中的每一个都通过网络250，诸如因特网、LAN、WAN、无线网络等等中的一个或多个，来进行通信。

[0036] NAP服务器240提供健康状况声明(在某些情况下，被加密地签名，以防止窜改)，NAP服务器240将其发送到客户端机器上的NAP代理。保护系统的实施策略可以引用由NAP代理高速缓存的该健康状况声明，并可以与包含URL信誉类别、用户组成员身份，或一天中的时刻限制的策略组合起来使用，以确定客户机计算机系统210中的一个是否可以访问所请求的资源。对于不支持NAP代理或被免除NAP检查的客户机器，可以安装NAP免除证书，保护系统可以在评估资源策略时使用该证书，正如启用了NAP的客户机上一样。

[0037] 可以由第三方提供用于各种用途的URL信誉服务220(例如，网络钓鱼过滤器、web访问控制等等)。例如，Microsoft Live OneCare包括通过因特网可访问的URL信誉服务220，客户机计算机系统210可以向其发送信誉请求。类似地，NAP服务器240可以由健康提供方托管，该健康提供方确保客户机计算机系统210的健康，并提供健康声明作为对健康的验证。保护系统可以被配置成提供其自己的独立URL信誉服务和健康服务器，或者，可以使用第三方服务，如被描述以执行此处所描述的过程的那些服务。

[0038] 图3是示出了一个实施例中的系统处理接收到的访问资源的请求的过程的流程图。在框310中，系统接收访问资源的请求，其中，该请求包括该资源的标识。当一个用户试图访问一个资源时，该保护系统截取该请求。例如，用户可以使用web浏览器通过指定URL来请求特定的网页。在框320中继续，该系统确定所请求的资源的信誉。例如，如果资源是网站，那么，该系统可以将该URL发送到受信任的URL信誉服务，并接收表示该资源的信誉分数的响应。信誉表示访问该资源将导致恶意内容被下载到计算机系统或以别的方式对计算机系统造成负面影响的可能性。

[0039] 在框330中继续，系统确定从其接收请求的计算机系统的健康状况。例如，保护系统可以检查系统的网络访问保护(NAP)状态，或运行一种或多种健康状况检查，来确定计算机系统的健康分数。在框340中继续，系统访问基于资源的信誉和被允许访问所请求的资源的计算机系统的健康状况来标识一个或多个条件的访问策略。

[0040] 在框350中继续，系统应用访问策略以基于该访问策略来确定是否允许该计算机系统访问所请求的资源。将参考图4进一步描述此步骤。计算机系统的健康状况和特定资源的信誉可以随着时间而变化，并且，保护系统允许管理员基于发出请求时计算机系统健康状况和该资源的信誉，来动态地确定该计算机系统是否可以访问该资源。在框350之后，这些步骤结束。

[0041] 图4是示出了在一个实施例中访问控制组件允许或拒绝访问资源的请求的过程的流程图。在所示出的实施例中，保护系统接收表示高、中或低信誉的信誉分数，以及表示高、中或低健康状况的健康状态。如此处所描述的，保护系统所使用的信誉和/或健康状态可能比所示出的那些细微一些或粗糙一些。

[0042] 在框410中，组件由系统基于请求所确定的健康和信誉分数。例如，系统可以基于参考图3所描述的过程来确定健康和信誉分数。在判断框420继续，如果所请求的资源的信誉是高(例如，高于预定阈值)，那么，组件在框425继续，并允许计算机系统访问所请求的资源，否则，组件在框430继续。例如，被请求的资源可以是如此高信誉(例如，http://www.microsoft.com/)，以至于管理员所定义的策略允许访问该资源，而不管计算机系统的当前健康状况如何。

[0043] 在判断框430继续，如果发出请求的计算机系统的健康状况是高，那么，组件在框425继续，并允许计算机系统访问所请求的资源，否则，组件在框440继续。例如，管理员所定义的健康策略可以是限制性足够强(例如，安装了所有补丁、浏览器处于保护模式下、JavaScript被关闭、病毒定义最新等等)，以至于管理员确信高健康状况机器将是安全的，不管所请求的资源的信誉如何。在判断框430继续，如果发出请求的计算机系统的健康状况是中等，那么，组件在框450继续，否则，组件在框460继续，并拒绝计算机系统对所请求的资源的访问。

[0044] 在判断框450继续，如果被请求的资源的信誉是中等，那么，组件在框425继续，并允许计算机系统访问所请求的资源，否则，组件在框460继续，并拒绝计算机系统对所请求的资源的访问。在框460中继续，组件拒绝计算机系统对请求的资源的访问。在框460之后，这些步骤结束。

[0045] 在某些实施例中，保护系统提供对资源的访问的自动化补救和/或审核。例如，当拒绝用户访问一个网站时，保护系统可以向用户显示指向用户信息的用户界面：如果用户更新他的防病毒软件或应用推荐的操作系统补丁，则用户就可以访问该资源。系统可以在不询问用户的情况下自动地应用这样的修补。另外，当保护系统拒绝用户访问一个资源时，系统可以创建一个审核跟踪(例如，日志)，管理员可以查看该审核跟踪以判断，例如，策略是否可能允许某些未知站点或者系统是否正在拒绝对合法的站点的访问。这通过报告允许范围广泛的安全策略可见性，通过基于NAP健康状况检查阻止web访问来符合安全性，以及通过NAP自动补救特征实现安全补救。系统可以在尝试NAP自动补救动作之后将拒绝访问作为最后的手段，来替代由于失败的NAP健康状况检查而首先阻止web访问。例如，自动补救可包括锁定防火墙配置、安装安全补丁、安装防病毒签名更新，以及在对资源的访问被拒绝之前自动地启用安全特征。

[0046] 在某些实施例中，保护系统与传统的过滤技术组合而并非代替地使用。例如，该系统可以与用户组成员身份、URL信誉类别，或一天中的时刻限制组合地使用健康状况检查，以确定是否允许对特定资源的访问。保护系统可以基于每一个组中的用户的预期的精明程度或其他准则，向某些组(例如，管理员或超级用户)的用户提供比向其他组的用户(例如，来宾)提供限制性较弱的访问。

[0047] 在某些实施例中，保护系统是作为在线托管服务来提供的，该服务在在一个组织中没有实质性的服务器基础结构的情况下保护客户机器。例如，一个组织可以购买在线服务，通过该在线服务，管理员能够定义访问策略，客户机向该在线服务发送访问请求，并接收允许/拒绝响应，无需在该组织内使用传统的防火墙、代理服务器或其他基础结构。这可以减轻管理员的相当大的负担并节省该组织的硬件成本。

[0048] 在某些实施例中，保护系统允许第三方通过添加额外的健康状况检查或定义系统能够监视的新型的资源请求(例如，根据网络协议)来扩展该系统。例如，诸如Apple iTunes之类的应用程序可以向该系统提供一个插件，当应用程序安装了所有当前补丁时，通知该系统。保护系统可以在确定托管该应用程序的客户机系统的健康分数时使用此信息作为一个因素。

[0049] 从前面的描述中可以看出，可以理解，此处描述的系统的特定实施例只是为了说明，但是，在不偏离本发明的精神和范围的情况下，可以进行各种修改。例如，虽然网站被描述为一种类型的资源，但是，保护系统可以与许多类型的资源一起使用，包括网络共享、FTP站点、RSS摘要、视频播放列表等等。相应地，本发明不受限制，只受所附的权利要求书的限制。