对于潜在地被破坏的电子设备的减轻

摘要

电子设备可以被报告为潜在地被破坏(例如，由用户或由电子设备本身)。可以使启动对电子设备的补救的指令排队。当到达队列末尾时，指令被传输到电子设备以启动对电子设备的补救。由电子设备接收指令。执行补救策略，该策略可包括：执行下列操作，如删除加密密钥，删除数据，禁用登录功能，禁用引导功能，禁用与电子设备相关联的功能，从电子设备传输数据，从电子设备传输消息，或生成指示电子设备的用户的信息。

权利要求

1.管理系统中的一种方法，包括：接收(302)电子设备(102)至少被潜在地破坏的指示；

使启动对所述电子设备(102)的补救的指令排队(304)；以及将启动对所述电子设备(102)的补救的所述指令传输(306)到所述电子设备(102)。

2.如权利要求1所述的方法，其特征在于，所述接收包括：允许用户登录到管理服务；

允许所述用户指示丢失的设备；

允许与所述用户相关联的一个或多个电子设备的列表被显示；

允许所述用户从所述列表中选择所述电子设备；

向所述用户指示关于所选电子设备的一个或多个细节；以及允许所述用户确认所选电子设备至少被潜在地破坏。

3.如权利要求1所述的方法，其特征在于，所述接收包括：确定所述电子设备被停用。

4.如权利要求1所述的方法，其特征在于，所述接收包括：从所述电子设备接收所述指示。

5.如权利要求1所述的方法，其特征在于，所述传输包括：从所述队列接收所述指令；

检索所述电子设备的联系人信息；

检索所述电子设备的补救策略；

与所述电子设备建立连接；以及通过所述连接启动对所述电子设备的所述补救策略。

6.如权利要求1所述的方法，其特征在于，还包括：接收所述电子设备没有丢失的指示；以及向所述电子设备传输启动对所述电子设备的恢复的第二指令。

7.如权利要求6所述的方法，其特征在于，所述接收包括：允许所述用户登录到所述管理服务；

允许所述用户在所述管理服务上选择设备恢复选项；

允许被指示为丢失的、与所述用户相关联的一个或多个电子设备的列表被显示；

允许所述用户从所述列表中选择所述电子设备；

向所述用户指示关于所述电子设备的一个或多个细节；以及允许所述用户确认所述电子设备被恢复。

8.电子设备中的一种方法，包括：接收(1302)制定补救策略的指令；

执行(1304)所述补救策略，包括下列各项中的至少一项：删除(1402)至少一个加密密钥，删除(1404)数据，

禁用(1406)登录功能，禁用(1408)引导功能，禁用(1410)与所述电子设备相关联的功能，从所述电子设备传输(1412)数据，从所述电子设备传输(1414)消息，生成(1416)指示所述电子设备的用户的信息，或在所述电子设备替代的通信设备上警告所述电子设备的所有者。

9.如权利要求8所述的方法，其特征在于，所述生成指示所述电子设备的用户的信息包括下列各项中的至少一项：捕捉所述用户的图像，

记录所述用户的音频，

标识移动电话，

记录所述用户与所述电子设备的交互，跟踪所述电子设备的位置，或读取射频标识(RFID)芯片。

10.如权利要求8所述的方法，其特征在于，所述接收制定补救策略的指令包括：通过网络从管理系统接收所述指令。

11.如权利要求8所述的方法，其特征在于，所述接收制定补救策略的指令包括：检测与对所述电子设备的盗用相关联的行为；以及作为所述检测的结果，生成所述指令。

12.如权利要求11所述的方法，其特征在于，所述检测包括：接收行为事件；

将所述行为事件与行为集相关联；

移除行为集中在预定时间窗口之外发生的任何行为事件；

确定与所述行为集相关联的一组行为事件是否已经发生；以及如果与所述行为集相关联的所述一组行为事件被确定为已经发生，则允许所述补救策略被执行。

13.一种管理系统(400)，包括：被配置作为对网络(206)的通信接口的网络接口(408)；

系统管理界面模块(406)，其被配置成提供用户界面以允许提供电子设备(102)至少被潜在地破坏的指示，以及生成设备补救指令；

被配置成使所述设备补救指令排队的指令队列模块(402)；以及消息服务模块(404)，其被配置成将启动对所述电子设备(102)的补救的所述设备补救指令传输到所述电子设备(102)。

14.如权利要求13所述的管理系统，其特征在于，所述系统管理界面模块被配置成允许用户登录到所述管理服务，允许所述用户指示丢失的设备，允许与所述用户相关联的一个或多个电子设备的列表被显示，允许所述用户从所述列表中选择所述电子设备，向所述用户指示关于所选电子设备的一个或多个细节，以及允许所述用户确认所选电子设备至少被潜在地破坏。

15.如权利要求13所述的管理系统，其特征在于，所述指示是从所述电子设备接收到的。

说明书

对于潜在地被破坏的电子设备的减轻

[0001] 背景

[0002] 某个公司或政府机构常常在媒体上宣告存储保密的雇员或客户数据的另一膝上型计算机或其他电子设备丢失或被盗窃。电子设备的丢失会给这样的数据以及诸如知识产权之类的其他形式的数据招致重大的风险。

[0003] 雇员常常带着他们的膝上型计算机上有价值的公司资产旅行。此外，公司人员还可能带着其中载有保密数据的膝上型计算机在多个地点之间旅行，出席会议，以及拜访客户。市场、财务、工程、公司主管人员，以及其他的关键雇员都不仅仅是常见的盗窃，而且也是商业间谋活动的潜在目标。公司信息的丢失可能具有现实的直接后果。例如，丢失保密的财务、投资或未来产品的数据可能对公司的股票以及将来的计划具有直接的影响。保密的客户数据的丢失的影响可能从困窘以及不方便到严重的法律问题以及诉讼所产生的财务威胁。

[0004] 许多企业以及政府实体实现了用于保护实体的雇员所使用的电子设备上的数据的技术。这样的技术往往专注于数据加密，由于各种限制，采用得相对来说不太广泛。例如，数据加密系统的建立和随着时间的维护是困难的或者昂贵的，并且可能存在当雇员忘记他们的专用密码或永久地离开该实体时加密的数据可能变为不能恢复的恐惧。当电子设备驻留在内部网络以及实体的安全域之外时，这些限制恶化，因为自动化的密钥托管系统可能依赖于密钥托管系统可直接访问电子设备。此外，甚至在有密钥托管策略的情况下，对数据解除锁定对于雇员也是麻烦的。

发明内容

[0005] 提供本发明内容是为了以精简的形式介绍将在以下具体实施方式中进一步描述的一些概念。本发明内容并不旨在标识出所要求保护的主题的关键特征或必要特征，也不旨在用于限定所要求保护的主题的范围。

[0006] 提供了用于允许在潜在地被破坏的电子设备中进行补救的方法、系统，以及计算机程序产品。在一种实现中，提供了管理系统中的方法。接收电子设备至少被潜在地破坏的指示。使启动对电子设备的补救的指令排队。将该指令传输到电子设备以启动对电子设备的补救。

[0007] 在一个示例方面，接收电子设备至少被潜在地破坏的指示可包括：允许用户登录到管理服务，允许用户指示丢失设备，允许与用户相关联的一个或多个电子设备的列表被显示，允许用户从列表中选择该电子设备，向用户指示关于所选电子设备的一个或多个细节，以及，允许用户确认所选电子设备至少被潜在地破坏。

[0008] 在另一示例方面，电子设备至少被潜在地破坏的指示是从该电子设备接收到的。

[0009] 在一个示例方面，将指令传输到该电子设备可包括：从队列中接收指令，检索电子设备的联系人信息，检索电子设备的补救策略，与电子设备建立连接，以及通过连接启动对所述电子设备的补救策略。

[0010] 在又一个示例方面，可以接收该电子设备没有丢失的指示。将启动对电子设备的恢复的第二指令传输到电子设备。

[0011] 在另一种实现中，提供了电子设备中的方法。接收制定补救策略的指令。执行补救策略，可包括：执行一个或多个操作，如删除加密密钥，删除数据，禁用登录功能，禁用引导功能，禁用与电子设备相关联的功能，从电子设备传输数据，从电子设备传输消息，或生成指示电子设备的用户的信息。此外，还可以在电子设备的替代的通信设备中向电子设备的所有者传输警告。警告可以向所有者请求对该电子设备被潜在地破坏的验证，并可以请求随后的补救相关的或非补救相关的动作的指令。

[0012] 在一个示例方面，生成指示电子设备的用户的信息可包括下列各项中的一项或多项：捕捉用户的图像，记录用户的音频，标识移动电话，记录用户与电子设备的交互，跟踪电子设备的位置，或读取射频标识(RFID)芯片。

[0013] 在又一个示例方面，接收制定补救策略的指令可包括检测与对电子设备的盗用相关联的行为，以及作为检测的结果生成指令。在一个示例方面，检测与对电子设备的盗用相关联的行为可包括：接收行为事件，将行为事件与行为集相关联，移除行为集中在预定时间窗口之外发生的任何行为事件，确定与行为集相关联的一组行为事件是否已经发生，以及，如果与所述行为集相关联的所述一组行为事件被确定为已经发生，则允许所述补救策略被执行。

[0014] 在另一种实现中，提供了管理系统。该管理系统包括网络接口、系统管理界面模块，以及指令队列模块。该网络接口被配置为对网络的通信接口。系统管理界面模块被配置成提供用户界面，以允许提供电子设备至少被潜在地破坏的指示，以及生成设备补救指令。指令队列模块被配置成使设备补救指令排队。消息服务模块被配置成将启动对电子设备的补救的设备补救指令传输到电子设备。

[0015] 在另一种实现中，提供了电子设备。该电子设备包括网络接口、设备补救模块，以及可疑活动检测器模块。该网络接口被配置为对网络的通信接口。设备补救模块被配置成接收制定补救策略的指令以及执行补救策略。可疑活动检测器模块被配置成检测与对电子设备的盗用相关联的行为，以及作为检测行为的结果生成指令。

[0016] 此处描述了用于允许对潜在地被破坏的电子设备进行补救以及用于如此处所描述的其他实施例的计算机程序产品。

[0017] 下面将参考各个附图，详细描述本发明的进一步特点和优点，以及本发明的各实施例的结构和操作。值得注意的是，本发明不仅限于此处所描述的特定实施例。这样的实施例只是出于例示的目的。基于此处所包含的原理，另外的实施例对那些相关领域技术人员是显而易见的。

[0018] 附图简述

[0019] 结合到本说明书并构成本说明书的一部分的附图示出了本发明，且与描述一起，进一步用于说明本发明的原理，并允许那些精通相关的技术人员实施和使用本发明。

[0020] 图1示出了根据本发明的示例实施例的数据通信系统的框图。

[0021] 图2示出了根据本发明的示例实施例的安全系统的框图。

[0022] 图3示出了根据本发明的示例实施例的提供用于执行对潜在地被破坏电子设备的补救的过程的流程图。

[0023] 图4示出了根据本发明的示例实施例的管理服务的框图。

[0024] 图5示出了根据本发明的示例实施例的用于接收电子设备丢失的指示的过程的流程图。

[0025] 图6示出了根据本发明的示例实施例的显示与受害用户相关联的电子设备的列表的用户界面的框图。

[0026] 图7示出了根据本发明的示例实施例的显示电子设备细节的用户界面的框图。

[0027] 图8示出了根据本发明的示例实施例的提供用于在电子设备上启动补救的过程的流程图。

[0028] 图9示出了根据本发明的示例实施例的提供用于从补救启动对电子设备的恢复的过程的流程图。

[0029] 图10示出了根据本发明的示例实施例的管理服务的框图。

[0030] 图11示出了根据本发明的示例实施例的提供用于启动对电子设备的恢复的过程的流程图。

[0031] 图12示出了根据本发明的示例实施例的电子设备的框图。

[0032] 图13示出了根据本发明的示例实施例的提供用于在潜在地被破坏的电子设备中执行补救的过程的流程图。

[0033] 图14示出了根据本发明的示例实施例的提供用于在潜在地被破坏的电子设备中执行补救的过程的流程图。

[0034] 图15示出了根据本发明的示例实施例的提供用于生成指示电子设备的用户的身份的信息的过程的流程图。

[0035] 图16示出了根据本发明的示例实施例的提供用于接收制定补救策略的指令的过程的流程图。

[0036] 图17示出了根据本发明的示例实施例的提供用于检测与对电子设备的盗用相关联的行为的过程的流程图。

[0037] 图18示出了根据本发明的示例实施例的可疑活动检测器模块的框图。

[0038] 图19示出了可以被用来实现本发明的各实施例的示例计算机的框图。

[0039] 通过下面的结合附图对本发明进行的详细说明，本发明的特点和优点将变得更加显而易见，在附图形中，类似的附图标记在整个说明书中标识对应的元素。在附图中，相同的附图标记一般指示相同的、功能上类似的和/或在结构上类似的元素。元素首先在其中出现的附图由对应的附图标记中最左边的数字来指示。

具体实施方式

[0040] I.引言

[0041] 本说明书公开了包括本发明的特征的一个或多个实施例。所公开的实施例只例示了本发明。本发明的范围不仅限于所公开的实施例。本发明由所附的权利要求进行定义。

[0042] 说明书中对“一个实施例”、“实施例”、“示例实施例”等等的引用表示所描述的实施例可包括特定特征、结构或特性，但是，每一个实施例可以不一定包括该特定特征、结构，或特征。此外，，这样的短语不一定是指同一个实施例。此外，当参考一个实施例描述特定特征、结构或特性时，假定在精通本技术的人员学识范围内，可以与其他实施例一起实施这样的特征、结构或特性，。

[0043] 诸如膝上型计算机或手持式计算机之类的电子设备常常丢失或被盗窃。例如，图1示出了被盗用的示例电子设备102。如图1所示，小偷104盗窃或以别的方式从受害用户
106盗用了电子设备102。虽然在图1的示例中，电子设备102被示为膝上型计算机，但是，电子设备102可以是能够存储和/或处理电子(例如，数字)形式的数据的各种电子设备中的任何一种，包括笔记本电脑、诸如个人数字助理(PDA)、蜂窝电话、智能电话(例如，RIM TM
Blackberry 设备、Palm Treo 设备等等)之类的移动设备等等。

[0044] 电子设备102可以由受害用户106或由向受害用户106提供电子设备102的实体(例如，企业、政府实体等等)所拥有。如果存储在电子设备102上的有价值的数据被盗用，则电子设备102的所有者会遭受重大的损失。这样的有价值的数据的示例包括信用卡、银行、或其他财务帐户信息、个人保密数据、包括电子邮件和/或文本消息的消息信息、公司的数据、知识产权(例如，关于发明的信息)等等。许多企业以及政府实体常常实现用于保护实体的雇员所使用的电子设备上的数据的技术。这样的技术往往专注于数据加密，由于各种限制，采用得相对来说不太广泛。

[0045] 随着因特网在无线世界变得越来越普及，更加灵活而功能强大的系统成为可能。可以从诸如web服务之类的基于因特网的服务远程管理电子设备，扩展了在电子设备被确定为丢失或被窃的情况下对该电子设备进行远程访问的能力。例如，利用蜂窝式数字网络和膝上型计算机的集成，这些电子设备甚至在“被关闭”的情况下也可以被远程访问。对于加密及其他失窃减轻的本机硬件支持可以实现比当前主要的纯粹的软件加密解决方案更加安全的解决方案。

[0046] 本发明的各实施例克服了用于保护电子设备的传统技术的缺陷。下一节将描述这样的实施例的示例。

[0047] II.示例实施例

[0048] 此处所描述的示例实施例只是为说明性用途而提供，而不是限制性的。此外，通过此处的原理，附加的结构和操作实施例，包括修改/更改，对于相关领域的技术人员将变得显而易见。

[0049] 本发明的各实施例涉及对存储在诸如图1所示出的电子设备102之类的电子设备上的数据的保护。在各实施例中，电子设备可以被用户报告为丢失和/或电子设备本身可以被配置成确定它已经被盗用。作为响应，可以指示电子设备执行一个或多个过程以减轻对电子设备的这样的破坏。

[0050] 例如，图2示出了根据示例实施例的设备数据安全系统200的框图。如图2所示，系统200包括电话服务供应商202、管理服务204，以及通信网络206。如图2所示，电子设备102、第一计算机208、第二计算机210、第一通信设备212，以及第二通信设备214通信地耦合到网络206。电子设备102和通信设备212与小偷104相关联。计算机210和通信设备214与管理用户216相关联。下面描述了系统200。

[0051] 第一和第二计算机208和210可以各自是任何类型的计算设备，包括台式计算机(例如，个人计算机)、移动计算机或计算设备(例如，Palm 设备、RIM Blackberry 设备、个人数字助理(PDA)、膝上型计算机、笔记本电脑等等)，或其他类型的计算机。第一和第二通信设备212和214可以各自是任何类型的通信设备或包括通信功能的设备，包括诸如蜂窝电话或智能电话之类的移动电话。网络206可包括有线和/或无线的一个或多个通信链路和/或通信网络，如PAN(个人区域网络)、LAN(局域网)、WAN(广域网)，或诸如因特网之类的网络组合，并可包括有线或无线的一个或多个电信网络，如GSM(全球移动通信系统)网络、3G网络，和/或其他网络。将电子设备102、第一计算机208，以及第二计算机210耦合到网络206的通信链路可以是有线和/或无线链路，如IEEE 802.11无线局域网(WLAN)无线链路、全球微波互联接入(Wi-MAX)链路、蜂窝网络链路、无线个人区域网络(PAN)链路TM(例如，Bluetooth 链路)、以太网链路、USB链路等等。

[0052] 电话服务供应商202是提供诸如电话和数据通信之类的电信服务的电话公司。例如，电话服务供应商202可以允许在管理服务204、电子设备102、第一通信设备212，以及第二通信设备214之间进行电话和/或数据通信。管理服务204是被配置成对于诸如电子设备102之类的电子设备实现数据安全性的服务。可以使用硬件、软件、固件或其任何组合来实现管理服务204。例如，管理服务204可以被实现为被配置成在一个或多个处理器中执行的计算机程序代码。或者，管理服务204可以被实现为硬件逻辑/电路。

[0053] 在各实施例中，可以以各种方式配置管理服务204和电子设备102，以当电子设备102潜在地被破坏时执行补救。用户或电子设备102本身可以确定电子设备102被潜在地破坏。结果，管理服务204可以指示电子设备102执行一个或多个过程以减轻对电子设备
102的潜在破坏。下面的子节进一步描述了用于减轻对电子设备102的潜在破坏的的示例实施例。

[0054] A.示例管理服务实施例

[0055] 管理服务204可以以各种方式在系统200中进行操作，以执行对已经丢失、被窃或以别的方式被小偷104拥有的诸如电子设备102之类的电子设备的补救。例如，图3示出了根据示例实施例的提供用于执行对潜在地被破坏的电子设备的补救的过程的流程图300。在一个实施例中，流程图300可以由管理服务204来执行。基于关于流程图300的讨论，其他结构和操作实施例对相关领域的技术人员是显而易见的。

[0056] 如图3所示，流程图300从步骤302开始。在步骤302中，接收电子设备至少被破坏的指示。例如，如图2所示，管理服务204可以接收第一通信信号218，该信号包含电子设备102至少被潜在地破坏(例如，不明原因、丢失、被认为被窃、已知被盗窃)的指示。第一通信信号218可以由电子设备102、第一计算机218，或由第二计算机210生成。例如，电子设备102可以被配置成预测它已经被破坏，结果，可以将该指示传输到管理服务204(通过第一通信信号218)。在另一示例中，当确定电子设备102丢失时，受害用户106可以与计算机208进行交互以将该指示提供到管理服务204(通过第一通信信号218)。可另选地，受害用户106可以通知管理用户216，电子设备102可能已经被破坏。管理用户216可以是系统管理员或管理一个实体的包括电子设备102的电子设备的其他信息技术(IT)代表。结果，管理用户216可以与计算机210进行交互以向管理服务204(通过第一通信信号218)提供指示。在再一个实例中，管理用户216可以确定电子设备102可能被破坏。例如，代替电子设备102已经从受害用户106丢失或被窃，电子设备102可能被分配给后来从公司离开(例如，离职、退休或被解雇)的雇员。如此，该公司可能希望在该雇员(无意或故意)盗用数据之前使电子设备102和/或保护存储在电子设备102上的数据停用。管理用户216可以与计算机210进行交互以向管理服务204提供电子设备102可能已经被停用或破坏的指示(通过第一通信信号218)。

[0057] 在步骤304中，使启动对电子设备的补救的指令排队。在一个实施例中，作为接收到指示电子设备102可能被破坏的第一通信信号218的结果，管理服务204可以生成启动对电子设备102的补救的指令，并可以将所生成的指令输入到由管理服务204维护的队列中。需要注意的是，步骤304是可选的。在一个实施例中，启动对电子设备的补救的指令可以由管理服务204在生成指令之后立即实现(例如，传输)而不排队。此外，在一个实施例中，当存在队列时，可以对队列中的指令区分优先级，以使得视为较高优先级的指令(例如，对于被确认被窃的电子设备相对丢失的电子设备)可以在队列中移动得相对快一些，而被视为优先级较低的指令在队列中移动得相对来说较慢。

[0058] 在步骤306中，将该指令传输到电子设备以启动对电子设备的补救。在一个实施例中，如图2所示，管理服务204可以生成从管理服务204传输的第二通信信号220。第二通信信号220包括启动对电子设备102的补救的指令。例如，在到达队列末尾之后和/或当管理服务204确定与电子设备102进行通信可能时，所生成的指令可以被允许在第二通信信号220中传输到电子设备102。例如，电子设备102可以通过小偷104与电子设备102交互，通过电子设备102自动地与网络206耦合，或通过管理服务204向电子设备102传输“唤醒”信号(例如，如果电子设备102处于睡眠模式、休眠模式，或关闭)来变为通信地与网络206耦合，这在传输第二通信信号220之前成功地启用与电子设备102的通信。在接收到第二通信信号220中的指令之后，电子设备102可以实现一个或多个补救策略。下面进一步描述了这样的补救策略的示例。

[0059] 可以以各种方式来配置管理服务204以执行其功能。例如，图4示出了根据示例实施例的管理服务400的框图。管理服务400是图2所示出的管理服务204的示例。如图4所示，管理服务400包括指令队列模块402、消息服务模块404、系统管理界面模块406、网络接口408，以及管理界面模块410。下面参考图5描述了系统管理界面400的这些元件。
图5示出了根据本发明的示例实施例的提供用于接收电子设备丢失的指示的过程的流程图500。在一个实施例中，可以由管理服务400来执行流程图500的部分或全部。基于关于流程图500的讨论，其他结构和操作实施例对相关领域的技术人员是显而易见的。

[0060] 如图5所示，流程图500从步骤502开始。在步骤502中，用户被允许登录到管理服务界面。参考图2，受害用户106(使用计算机208)、管理用户216(使用计算机210)，或其他用户可以被允许登录到管理服务204以报告电子设备102被潜在地破坏。参考图4，系统管理界面模块406可以提供由管理服务400管理的计算机(包括受害用户106所使用的计算机208)的管理界面，以将电子设备102报告为潜在地被破坏。例如，系统管理界面406可以提供网页、web服务或其他类型的可被计算机208上的浏览器或其他应用程序访问的界面(例如，图形用户界面(GUI))，允许受害用户106将电子设备102报告为至少潜在地被破坏。

[0061] 类似地，管理界面模块410可以为由管理服务400管理的IT管理员提供系统管理界面，包括允许计算机210被管理用户216用来将电子设备102报告为潜在地被破坏。例如，管理界面模块410可以提供网页、web服务或其他类型的可被计算机210上的浏览器或其他应用程序访问的界面(例如，图形用户界面(GUI))，允许管理用户216将电子设备102报告为至少潜在地被破坏。

[0062] 如图4所示，网络接口408通过通信链路424将管理服务400，包括消息服务模块404、系统管理界面模块406，以及管理界面模块410与网络206通信地耦合。网络接口408可以是有线或无线的任何类型的网络接口(例如，网络接口卡(NIC))，诸如IEEE 802.11无线局域网(WLAN)无线接口、全球微波互联接入(Wi-MAX)接口、以太网接口、通用串行总线(USB)接口等等。网络接口408可以允许在计算机208和系统管理界面模块406之间以及在计算机210和管理界面模块410之间启用通信会话。

[0063] 例如，使用计算机208，受害用户106可以被允许登录到由系统管理界面模块406所提供的管理服务界面。另外和/或可另选地，使用计算机210，管理用户216可以被允许登录到由管理界面模块410所提供的管理服务界面。基于受害用户106(或其他用户)或管理用户216是否登录，在计算机208和系统管理界面模块406之间，或在计算机210和管理界面模块410之间建立通信会话412。

[0064] 回头参考图5，在步骤504中，用户被允许指示潜在地被破坏的设备。例如，在一个实施例中，系统管理界面模块406或管理界面模块410(基于是受害用户106还是管理用户216登录)允许用户选择一个选项以报告电子设备至少被潜在地破坏。例如，系统管理界面模块406或管理界面模块410可以分别生成在计算机208或计算机210上显示的允许用户选择指示电子设备被潜在地破坏的选项的用户界面，如图形用户界面。

[0065] 在步骤506中，提供与用户相关联的一个或多个电子设备的列表。例如，在一个实施例中，系统管理界面模块406或管理界面模块410(基于是受害用户106还是管理用户216登录)可以生成与受害用户106相关联的一个或多个电子设备的列表。例如，可以在计算机208或计算机210中、允许用户查看一个或多个电子设备的列表的诸如图形用户界面之类的用户界面中显示列表。所列出的电子设备可包括代表雇用或以别的方式与受害用户106相关联的实体分配给受害用户106的电子设备。例如，图6示出了根据示例实施例的显示与受害用户106相关联的电子设备的列表604的GUI 602的框图。虽然在图6中示出了前n个电子设备被包括在列表604中，但是，任意数量的一个或多个电子设备可以被包括在列表604中。

[0066] 在步骤508中，允许用户从列表中选择电子设备。例如，在一个实施例中，系统管理界面模块406或管理界面模块410(基于是受害用户106还是管理用户216登录)可以允许用户(例如，受害用户106或管理用户216)从列表中选择电子设备，所选电子设备是被认为潜在地被破坏的电子设备。例如，参考图6，用户可以被允许单击、双击，或以别的方式选择被示为包括在列表604中的前n个电子设备中的一个。

[0067] 在步骤510中，向用户指示关于所选电子设备的一个或多个细节。例如，在一个实施例中，系统管理界面模块406或管理界面模块410(基于是受害用户106还是管理用户216登录)可以指示关于所选电子设备的一个或多个细节，以允许用户验证正确的电子设备已经被指示。例如，图7示出了显示与步骤508中选定的电子设备相关联的电子设备细节702的GUI 602的框图。可以被包括在电子设备细节702中的所选电子设备的示例细节包括型号、模型类型、电子设备的图像等等。

[0068] 在步骤512中，允许用户确认电子设备被潜在地破坏。例如，在一个实施例中，系统管理界面模块406或管理界面模块410(基于是受害用户106还是管理用户216登录)可以允许用户(例如，受害用户106或管理用户216)确认或不确认所选电子设备是被认为潜在地被破坏的电子设备。用户可以例如基于对图7的GUI 602所示出的电子设备细节702的检查来确认所选电子设备。参考图7，用户可以被允许单击、双击或以别的方式与细节702或由GUI 602显示的其他图形元件进行交互，以确认所选电子设备被潜在地破坏。

[0069] 如图4所示，系统管理界面模块406或管理界面模块410(基于是受害用户106还是管理用户216登录)生成设备补救指令414，该指令414包括对所选电子设备(例如，电子设备102)执行补救的指令。指令队列模块402接收设备补救指令414，并被配置成在要从管理服务402传输到电子设备的指令队列中输入设备补救指令414(例如，根据图3的步骤304)。

[0070] 当设备补救指令414到达由指令队列模块402所维护的队列末尾时，指令队列模块402作为当前设备补救指令416输出指令414。消息服务模块404接收当前设备补救指令416，并被配置成指示所指示的电子设备执行补救。例如，如图4所示，消息服务模块404生成补救消息418。补救消息418被配置为启动对所指示的电子设备的补救的指令，并可包括对于电子设备的一个或多个补救策略。例如，补救消息418可包括当由电子设备102接收到时允许进行补救的代码(例如，针对电子设备102的安全、专用代码)。如图4所示，补救消息418在网络接口408被接收，并通过网络206由网络接口408通过通信链路424，直接或间接地，在通信会话420中传输到电子设备102(例如，根据图3的步骤306)。例如，在一个实施例中，可以将补救消息418直接传输到电子设备102。在另一实施例中，补救消息418可以被传输到诸如电话服务供应商202之类的中介(例如，文本消息的形式)，该中介可以将补救消息418传输到电子设备102。

[0071] 可以以各种方式来配置消息服务模块404以启动对电子设备102的补救。例如，图8示出了根据示例实施例的提供用于在电子设备中启动补救的过程的流程图800。在一个实施例中，流程图800的至少一部分可以由消息服务模块404来执行。基于关于流程图800的讨论，其他结构和操作实施例对相关领域的技术人员是显而易见的。

[0072] 如图8所示，流程图800从步骤802开始。在步骤802中，从队列接收指令。例如，如图4所示，消息服务模块404接收设备补救指令416，该指令416是用于对电子设备102进行补救的指令。

[0073] 在步骤804中，检索电子设备的联系人信息。例如，在一个实施例中，消息服务模块404可以从管理服务400中的存储器(在图4中未示出)检索电子设备102的联系人信息(例如，IP地址、电话号码、电子邮件地址等等)。

[0074] 在步骤806中，检索电子设备的补救策略。例如，在一个实施例中，消息服务模块404可以从管理服务400中的存储器(在图4中未示出)检索电子设备102的补救策略。
补救策略可以指示要由电子设备102执行的一个或多个补救过程。

[0075] 在步骤808中，建立与电子设备的连接。例如，如图4所示，并如上所述，可以在管理服务400和电子设备102之间建立通信会话420。

[0076] 在步骤810中，通过连接，启动对的电子设备的补救策略。例如，如图4所示，可以将补救消息418从管理服务400直接传输到电子设备102。补救消息418包括在步骤806中检索到的补救策略。下面进一步更详细地描述示例补救策略/过程。

[0077] 值得注意的是，在某些情况下，可以随后确定电子设备102没有被破坏。例如，当电子设备102被正确地或错误地认为已经被窃或丢失时，可能会找到电子设备102。在这样的情况下，如果启动了对电子设备102的补救，则可能希望从补救恢复。例如，管理服务204可以被配置成向电子设备102传输恢复指令。

[0078] 管理服务204可以以各种方式操作，以在诸如电子设备102之类的电子设备上启动恢复。例如，图9示出了根据示例实施例的提供用于从补救启动对电子设备的恢复的过程的流程图900。在一个实施例中，流程图900可以由管理服务204来执行。基于关于流程图900的讨论，其他结构和操作实施例对相关领域的技术人员是显而易见的。

[0079] 如图9所示，流程图900从步骤902开始。在步骤902中，接收电子设备不潜在地被破坏的指示。例如，图2所示出的管理服务204可以接收包含电子设备102不被认为被潜在地破坏的指示的通信信号。通信信号可以由电子设备102、第一计算机218，或由第二计算机210生成。例如，在确定进一步的情况之后，电子设备102可以被配置成将其早先它已经被潜在地破坏的预测修改为它没有被破坏的预测。例如，受害用户106可能已经登录到电子设备102(例如，利用密码)，和/或可能由电子设备102接收到或侦测到指示它可能没有被破坏的其他证据。结果，电子设备102可以将电子设备102没有被破坏的指示传输到管理服务204(通过通信信号)。在另一示例中，当定位到电子设备102或以别的方式确定电子设备102没有被破坏时，受害用户106可以与计算机208进行交互，或管理用户216可以与计算机210进行交互，以向管理服务204提供电子设备102没有被破坏的指示。

[0080] 在步骤904中，将启动对电子设备的恢复的第二指令传输到电子设备。例如，在一个实施例中，管理服务204可以传输包括在电子设备102启动从补救恢复的指令的通信信号。例如，指令可包括重新启用针对电子设备102的代码。例如，在到达指令队列末尾之后和/或当管理服务204确定可以与电子设备102进行通信时，所生成的指令可以被允许在通信信号中从电子设备102传输。在接收到指令之后，电子设备102可以实现从预先实现的补救策略中恢复。

[0081] 在一个实施例中，可以配置图4的管理服务400以启动对电子设备102的恢复。例如，图10示出了根据示例实施例的管理服务400的框图。例如，管理服务400可以根据图11启动对电子设备的恢复，图11示出了根据示例实施例的提供对于启动对电子设备的恢复的过程的流程图1100。如图11所示，流程图1100从步骤1102开始。

[0082] 在步骤1102中，允许用户登录到管理服务。按如上文参考流程图500的步骤502(图5)所描述的类似的方式、受害用户106(使用计算机208)、管理用户216(使用计算机210)，或其他用户可以被允许登录到管理服务204以报告电子设备102不再被视为被潜在地破坏。如图10所示，可以基于是受害用户106(或其他用户)还是管理用户216登录，在计算机208和系统管理界面模块406之间，或在计算机210和管理界面模块410之间，建立通信会话1002。

[0083] 在步骤1104中，允许用户在管理服务中选择设备恢复选项。例如，按与如上文参考步骤504(图5)所描述的类似的方式，系统管理界面模块406或管理界面模块410(基于是受害用户106还是管理用户216登录)允许用户选择一个选项以报告电子设备已经在物理上被恢复或以别的方式确定不再被潜在地破坏。

[0084] 在步骤1106中，提供被指示为丢失的与用户相关联的一个或多个电子设备的列表。步骤1106是可选的。按如上文参考步骤506(图5)所描述的类似的方式，系统管理界面模块406或管理界面模块410(基于是受害用户106还是管理用户216登录)可以生成被报告为丢失或以别的方式潜在地被破坏的、与受害用户106相关联的一个或多个电子设备的列表。如果与受害用户106相关联的一个设备被指示为潜在地被破坏，则可以跳过步骤1106、1108，以及1110。

[0085] 在步骤1108中，允许用户从列表中选择电子设备。步骤1108是可选的。按如上文参考步骤508(图5)所描述的类似的方式，系统管理界面模块406或管理界面模块410(基于是受害用户106还是管理用户216登录)可以允许用户(例如，受害用户106或管理用户216)从列表中选择电子设备，所选电子设备是不再被潜在地破坏的电子设备。

[0086] 在步骤1110中，向用户指示关于所选电子设备的一个或多个细节。步骤1110是可选的。按如上文参考步骤510(图5)所描述的类似的方式，系统管理界面模块406或管理界面模块410(基于是受害用户106还是管理用户216登录)可以指示关于所选电子设备的一个或多个细节以允许用户验证正确的电子设备已经被指示。

[0087] 在步骤1112中，允许用户确认电子设备被恢复。按如上文参考步骤512(图5)所描述的类似的方式，系统管理界面模块406或管理界面模块410(基于是受害用户106还是管理用户216登录)可以允许用户(例如，受害用户106或管理用户216)确认或不确认所选电子设备为不再被视为被破坏的电子设备。

[0088] 如图10所示，系统管理界面模块406或管理界面模块410(基于是受害用户106还是管理用户216登录)生成设备恢复指令1006，该指令1006包括在所选电子设备(例如，电子设备102)上执行恢复的指令。指令队列模块402接收设备恢复指令1006，并被配置成在要从管理服务402传输到电子设备的指令队列中输入设备恢复指令1006。

[0089] 当设备恢复指令1006到达由指令队列模块402所维护的队列的末尾时，指令队列模块402生成当前设备恢复指令1008。消息服务模块404接收当前设备恢复指令1008，该指令1008被配置成指示所指示的电子设备执行恢复。如图10所示，消息服务模块404生成恢复消息1010。恢复消息1010被配置为启动对所指示的电子设备的恢复的指令，并可包括对于电子设备的一个或多个恢复策略。如图10所示，恢复消息1010在网络接口408被接收，并通过网络206由网络接口408通过通信链路424直接或间接地在通信会话1004中传输到电子设备102(例如，根据图9的步骤904)。在一个实施例中，可以将恢复消息1010直接传输到电子设备102。在另一实施例中，恢复消息1010可以被传输到诸如电话服务供应商202之类的中介(例如，文本消息的形式)，该中介可以将恢复消息1010传输到电子设备102。

[0090] 可以使用硬件、软件、固件或其任何组合来实现管理服务400、指令队列模块402、消息服务模块404、系统管理界面模块406，以及管理模块410。例如，管理服务400、指令队列模块402、消息服务模块404、系统管理界面模块406，和/或管理模块410可以实现为被配置成在一个或多个处理器中执行的计算机程序代码。可另选地，管理服务400、指令队列模块402、消息服务模块404、系统管理界面模块406，和/或管理模块410可以实现为硬件逻辑/电路。

[0091] B.示例电子设备补救实施例

[0092] 当确定为潜在地被破坏时，可以以各种方式来配置电子设备102以执行补救。例如，图12示出了根据本发明的示例实施例的电子设备1200的框图。电子设备1200是电子设备102的示例。如图12所示，电子设备1200包括设备补救模块1202、可疑活动检测器模块1204，以及网络接口1206。在一个实施例中，电子设备1200可以如图13所示出的那样操作。图13示出了根据本发明的示例实施例的提供用于在潜在地被破坏的电子设备中执行补救的过程的流程图1300。下面描述了电子设备1200和流程图1300。基于关于电子设备1200和流程图1300的讨论，进一步的结构和操作实施例对相关领域的技术人员是显而易见的。

[0093] 如图10所示，流程图1300从步骤1302开始。在步骤1302中，接收制定补救策略的指令。参考图2，在一个实施例中，电子设备102可以从管理服务204接收第二通信信号220，该通信信号220包括启动对电子设备102的补救的指令。参考图12，电子设备1200可以在与管理服务400的通信会话420期间接收补救指令(例如，补救消息418)。如上文所描述的，可以可另选地从电话服务供应商202那里接收指令，或者，可以在电子设备内部生成指令。

[0094] 如图12所示，网络接口1206通过通信链路1208通信地将电子设备1200与网络206耦合。网络接口1206可以是有线或无线的任何类型的网络接口(例如，网络接口卡(NIC))，诸如IEEE 802.11无线局域网(WLAN)无线接口，全球微波互联接入(Wi-MAX)接口、以太网接口、通用串行总线(USB)接口之类的有线或无线接口等等。

[0095] 在一个实施例中，网络接口1206参与通信会话420，并输出补救消息418。由设备补救模块1202接收补救消息418，该补救消息418指示设备补救模块1202实现补救策略1214。在另一实施例中，可疑活动检测器模块1204被配置成检测指示电子设备1200可能已经被破坏的一个或多个可疑活动。在可疑活动检测器模块1204检测到足够量的可疑活动的情况下，可疑活动模块1204可以生成补救指令1212。由设备补救模块1202接收补救指令1212，该补救指令1212指示设备补救模块1202实现补救策略1214。可另选地，代替生成补救指令1212，可疑活动检测器模块1204可以生成可疑活动指示器信号1210，该信号
1210可以在通信信号1216中被传输到管理服务204(例如，图4的管理服务400)。作为接收可疑活动指示器信号1210的结果，管理服务204可以执行各种功能。例如，如上文所描述的，管理服务204可以生成补救消息418并在通信会话420中向电子设备1200提供该消息。管理系统400可以被配置成在计算机210或通信设备214上联络管理用户216(例如，通过电子邮件、文本消息、电话)以警告IT部门，或联络受害用户106以将关于电子设备1200被潜在地破坏的信息通知给受害用户106(例如，在受害用户106的通信设备上)。
然后，受害用户106可以指示电子设备1200是否丢失。取决于用户的职业和/或位置，这样的用于联络用户的策略可以不同。一个公司可以具有针对不同的雇员角色定制的多个策略。

[0096] 在步骤1304中，执行补救策略。如图12所示，作为接收到补救消息418或补救指令1212的结果，设备补救模块1202实现诸如补救策略1214之类的一个或多个补救策略。补救策略1214包括一个或多个在电子设备102被破坏的情况下执行的补救过程。补救策略1214可以被维护在设备补救模块1202中，或者可以与补救消息418一起从管理系统400接收。

[0097] 在补救策略1214中可以包括由设备补救模块1202执行的各种补救策略。例如，图14示出了根据示例实施例的提供用于在潜在地被破坏的电子设备上执行一个或多个补救策略的过程的流程图1400。在一个实施例中，流程图1400的部分或全部可以由设备补救模块1202在接收到补救指令时执行。可以在各实施例中执行流程图1400所示出的步骤中的任何一个或多个。基于关于流程图1400的讨论，其他结构和操作实施例对相关领域的技术人员是显而易见的。

[0098] 如图14所示，流程图1400从步骤1402开始。在步骤1402中，删除至少一个加密密钥。例如，在一个实施例中，设备补救模块1202可以被配置成删除本地加密密钥以保护专用的被加密的数据的本地副本以免被访问。

[0099] 在步骤1404中，删除数据。例如，设备补救模块1202可以被配置成删除被指示为专用和/或机密的数据(例如，存储在特定目录中的，等等)，包括银行或其他财务帐户信息、个人保密数据、包括电子邮件和/或文本消息的消息信息、公司的数据、知识产权(例如，关于发明的信息)等等。可以删除本地高速缓存(例如，可能包含数据的未加密的版本的浏览器高速缓存)。

[0100] 在步骤1406中，禁用登录功能。例如，设备补救模块1202可以被配置成锁定本地登录尝试，以使得电子设备102无法被小偷104使用。

[0101] 在步骤1408中，禁用引导功能。例如，设备补救模块1202可以重新配置电子设备102，以使得从OS(操作系统)引导被允许，但是从外部存储器(例如，从CDROM、USB等等)引导被禁用。此外，设备补救模块1202还可以重新配置电子设备102，以使得OS可以在功能减少的模式下引导。

[0102] 在步骤1410中，禁用与电子设备相关联的功能。例如，设备补救模块1202可以被配置成禁用电子设备1200上的一个或多个应用程序，禁止电子设备1200上的管理员权限提升，禁止运行LOB(业务线)应用程序，和/或禁止一个或多个OS功能(例如，禁用格式、禁止保密数据被从电子设备1200复制等等)。

[0103] 在步骤1412中，从电子设备传输数据。例如，设备补救模块1202可以被配置成将诸如还没有被同步和/或备份的保密数据之类的保密数据从电子设备1200复制到服务。可以通过网络206将数据复制到远程位置(例如，使用安全信道，复制到因特网web服务)。

[0104] 在步骤1414中，从电子设备传输消息。例如，设备补救模块1202可以被配置成生成从电子设备1200传输的消息以验证电子设备1200的丢失/失窃(如果可疑活动检测器模块1204存在以检测可疑活动)、提供状态(例如，在电子设备1200上执行的补救的进展的状态)等等。消息可以具有电子邮件、文本消息、通信会话的形式。

[0105] 在步骤1416中，生成指示电子设备的用户的信息。例如，设备补救模块1202可以被配置成记录表示电子设备1200的用户的信息，并将记录的信息从电子设备1200传输到远程位置(例如，web服务)。可以在远程位置处分析记录的信息，以试图标识小偷104和/或电子设备1200本地的环境，以便可以定位电子设备1200。设备补救模块1202可以被配置成以各种方式执行步骤1416。例如，图15示出了根据示例实施例的提供用于生成指示电子设备的用户的信息的过程的流程图1500。在一个实施例中，流程图1500的部分或全部可以由设备补救模块1202来执行。基于关于流程图1500的讨论，其他结构和操作实施例对相关领域的技术人员是显而易见的。

[0106] 可以执行图14中所示出的那些动作的附加的和/或替换的动作。例如，在一个实施例中，可以在与电子设备1200的所有者(例如，受害用户106)相关联的通信设备上(除电子设备1200以外的，如蜂窝电话等等)上将警告从电子设备1200传输到电子设备1200的所有者。警告可以向所有者请求对电子设备1200被潜在地破坏的验证，并可以请求随后的补救相关的或非补救相关的动作的指令。更进一步电子设备1200可以通过从电子设备1200的扬声器输出警报信号和/或声音音频(例如，“帮忙，此设备被盗”等等)引起其他人的注意，来“叫出来请求帮助”。

[0107] 如图15所示，流程图1500从步骤1502开始。在步骤1502中，捕捉用户的图像。例如，设备补救模块1202可以被配置成使用网络摄像头或与电子设备1200相关联的其他图像捕捉设备来捕捉一个或多个图像，包括图像流/视频流。捕捉到的图像可包括可以被用来定位电子设备1200的小偷104和/或本地环境的图像。

[0108] 在步骤1504中，记录用户的音频。例如，设备补救模块1202可以被配置成使用与电子设备1200集成的麦克风来捕捉音频。捕捉到的音频可包括可以被用来定位电子设备1200的小偷104和/或本地环境的声音。

[0109] 在步骤1506中，标识移动电话。例如，设备补救模块1202可以被配置成确定附近的蜂窝电话(如图2所示出的小偷104的通信设备212)的标识号码，其可以被映射到所有者，并可以被用来定位电子设备1200。

[0110] 在步骤1508中，记录用户与电子设备的交互。例如，设备补救模块1202可以被配置成记录击键、鼠标指针动作和/或与电子设备1200的其它交互，它们可以被用来定位电子设备1200。

[0111] 在步骤1510中，跟踪电子设备的位置。例如，设备补救模块1202可以访问与电子设备1200的集成全球定位系统(GPS)接收器，以跟踪电子设备1200的位置，其可以被用来定位电子设备1200。

[0112] 在步骤1512中，读取RFID(射频标识)标记。例如，电子设备1200可以包括被配置成读取附近的RFID芯片的RFID读取器。例如，RFID芯片可以被嵌入在与小偷104相关联的护照中、驾驶执照中、电子设备或其他物品中。RFID读取器可以从RFID芯片中读取可以被用来标识小偷104的标识号码和/或其他信息。

[0113] 如上文所描述的，根据步骤1302，设备补救模块1202可以从诸如管理系统400(图4)之类的远程实体接收补救指令。在另一实施例中，设备补救模块1202可以从可疑活动检测器模块1204接收补救指令。例如，图16示出了根据示例实施例的提供用于接收制定补救策略的指令的过程的流程图1600。在一个实施例中，流程图1600的部分或全部可以由可疑活动检测器模块1204来执行。基于关于流程图1600的讨论，其他结构和操作实施例对相关领域的技术人员是显而易见的。

[0114] 如图16所示，流程图1600从步骤1602开始。在步骤1602中，检测与对电子设备的盗用相关联的行为。在一个实施例中，可疑活动检测器模块1204可以被配置成检测与对电子设备1200的盗用相关联的一个或多个行为。

[0115] 在步骤1604中，生成制定补救策略的指令。可疑活动检测器模块1204可以生成补救指令1212，它是对于电子设备1200制定诸如补救策略1214之类的补救策略的指令。可另选地，可疑活动检测器模块1204可以生成可疑活动指示器信号1210，其被传输到管理服务400。作为接收到可疑活动指示器信号1210的结果，管理服务400可以生成补救消息
418，其是对于电子设备1200制定诸如补救策略1214之类的补救策略的指令。

[0116] 可以由可疑活动检测器模块1204以各种方式来实现步骤1602。例如，图17示出了根据示例实施例的提供用于检测与对电子设备的盗用相关联的行为的过程的流程图1700。在一个实施例中，流程图1700的部分或全部可以由可疑活动检测器模块1204来执行。例如，图18示出了根据示例实施例的可疑活动检测器模块1800的框图。可疑活动检测器模块1800是可疑活动检测器模块1204的示例。如图18所示，可疑活动检测器模块1800包括行为事件相关器模块1802、行为事件过滤器模块1804，以及比较器模块1806。基于关于流程图1700的讨论，其他结构和操作实施例对相关领域的技术人员是显而易见的。

[0117] 如图17所示，流程图1700从步骤1702开始。在步骤1702中，接收行为事件。例如，如图18所示，行为事件相关器模块1802接收行为事件1808。行为事件1808是可以被接收到的指示对应的事件的发生的多个预定的事件中的一个。行为事件1808的示例包括与电子设备1200的交互，如打开电子设备1200(例如，使用电池，电路板等等)，访问存储在电子设备1200中的特定数据(例如，银行或其他财务帐户信息、个人保密数据、包括电子邮件和/或文本消息的消息信息，公司的数据、知识产权相关的信息，密钥-存储等等)，将这样的数据复制到存储设备上(例如，USB存储设备)，一个或多个失败的登录尝试，登录凭证期满，从除常规引导盘以外的设备引导电子设备1200的尝试，电子设备102被未使用的时间量，检测到电子设备1200的位置在正常的操作区域之外(例如，检测到的位置不匹配在日历中会议约定中所指示的位置)和/或在由实体(例如，受害用户106的雇主)指定的分配区域之外的位置，检测到通过管理策略对电子设备1200施加的约束正在被违犯，和/或可以指示电子设备1200丢失或小偷104正在篡改电子设备1200的其它事件。

[0118] 在步骤1704中，使行为事件与行为集关联。如图18所示，行为事件相关器模块1802接收一个或多个行为集1810。行为集1810中的每一个行为集都包括涉及该行为集的一个或多个行为事件。例如，第一行为集可以是“丢失的设备”行为集。丢失的设备行为集可以指示可以指示电子设备1200丢失的一个或多个行为。例如，丢失的设备行为集可以指示电子设备102没有被使用的阈值时间量的第一行为事件。第二行为集可以是“被窃的设备”行为集。被窃的设备行为集可以指示可以指示电子设备1200被窃的一个或多个行为。
例如，被窃的设备行为集可以指示阈值数量的失败登录尝试的第一行为事件以及访问电子设备1200上的保密数据的第二行为事件等等。行为集1810可以具有任何合适的形式，包括诸如表、数据数组之类的数据结构形式等等，并可以存储在电子设备1200的存储器中。

[0119] 行为事件相关器模块1802被配置成使行为事件1808与行为集1810中的一个或多个相关联。行为事件1808与行为集1810中的包括匹配行为事件1808的行为事件的任何行为集关联，并且，相关联的行为集被作为相关联的行为集1812输出。

[0120] 在步骤1706中，移除行为集中在预定时间窗口之外发生的任何行为事件。步骤1706是可选的，并被用来从考虑中移除在时间上相对久远地发生的行为事件，以便不再将它们视为相关。例如，在一个实施例中，行为事件过滤器模块1804接收相关联的行为集
1812，并移除在预定时间窗口之外发生的与相关联的行为集1812中的行为集相关联的行为事件。如图18所示，行为事件过滤器模块1804生成经过滤的相关联的行为集1814。

[0121] 在步骤1708中，确定与行为集相关联的多个行为事件是否已经发生。例如，在一个实施例中，比较器模块1806接收经过滤的相关联的行为集1814，并确定每一个接收到的行为集中所包括的行为事件是否已经发生。例如，对于示例被窃的设备行为集，如果阈值数量的失败的登录尝试、访问电子设备1200上的保密数据等行为事件，以及任何其他相关联的行为事件与被窃的设备行为集关联(步骤1704)，并且预定时间窗口没有过期(步骤1706)，则比较器模块1806确定与被窃的设备行为集相关联的行为事件已经发生。如图18所示，如果对应于一个或多个行为集的行为事件被确定为已经发生，则比较器模块1806可以生成补救指令1212(或可疑活动指示器信号)。如果行为事件对于行为集中的至少一个没有发生，则比较器模块1806不生成补救指令1212。

[0122] 在步骤1710中，如果与行为集相关联的多个行为事件被确定为已经发生，则补救策略被允许执行。如上文所描述的，补救指令1212(或可疑活动指示器信号)指示电子设备1200已经被潜在地破坏，并允许设备补救模块1202执行对电子设备1200的补救。

[0123] 需要注意的是，如上文所描述的，可以由电子设备(例如，电子设备1200)接收包括从补救执行恢复的指令的恢复指令(例如，图10的恢复指令1006)。设备补救模块1202可以接收恢复指令(通过网络接口1206)，并可以实现恢复策略。例如，恢复策略可以被配置成撤消已执行的补救过程，包括恢复加密密钥、还原数据、重新启用登录功能、重新启用引导功能，重新启用一个或多个功能，取回从电子设备1200传输的数据，和/或传输恢复消息(例如，向管理用户216、受害用户106，和/或管理服务400)。

[0124] 可以用硬件、软件、固件，或其任何组合来实现设备补救模块1202、可疑活动检测器模块1204、行为事件相关器模块1802、行为事件过滤器模块1804，以及比较器模块1806。例如，设备补救模块1202、可疑活动检测器模块1204、行为事件相关器模块1802、行为事件过滤器模块1804，和/或比较器模块1806可以被实现为被配置成在一个或多个处理器中执行的计算机程序代码。可另选地，设备补救模块1202、可疑活动检测器模块1204、行为事件相关器模块1802、行为事件过滤器模块1804，和/或比较器模块1806可以被实现为硬件逻辑/电路。

[0125] III.其他示例实施例

[0126] 图19描绘了其中可以实现本发明的各实施例的计算机1900的示例性实现。例如，可以类似于计算机1900实现图2所示出的电子设备102和1200、计算机208，以及计算机210，并可包括计算机1900的一个或多个特征和/或替换的特征。此外，还可以在类似于计算机1900的一个或多个计算机中实现管理系统204和400。计算机1900可以是例如常规个人计算机、移动计算机或工作站形式的通用计算设备，或者，计算机1900可以是特殊用途的计算设备。此处所提供的对计算机1900的描述只是为了说明，并不是限制性的。如相关领域的技术人员所知道的，本发明的各实施例可以在其他类型的计算机系统中实现。

[0127] 如图19所示，计算机1900包括处理单元1902、系统存储器1904，以及将包括系统存储器1904的各种系统组件耦合到处理单元1902的总线1906。系统总线1906表示若干类型的总线结构中的任何一种总线结构的一个或多个，包括存储器总线或存储器控制器、外围总线、加速图形端口，以及使用各种总线体系结构中的任何一种的处理器或局部总线。系统存储器1904包括只读存储器(ROM)1908和随机存取存储器(RAM)1910。基本输入/输出系统1912(BIOS)存储在ROM 1908中。

[0128] 计算机1900还具有下列驱动器中的一个或多个：用于读写硬盘的硬盘驱动器1914，用于读写可移动磁盘1918的磁盘驱动器1916，以及用于读写诸如CD ROM、DVD ROM之类的可移动光盘1922，或其他光学介质的光盘驱动器1920。硬盘驱动器1914、磁盘驱动器
1916，以及光驱动器1920分别通过硬盘驱动器接口1924、磁盘驱动器接口1926，以及光学驱动器接口1928连接到系统总线1906。驱动器以及它们相关联的计算机可读介质为计算机提供了对计算机可读指令、数据结构、程序模块，及其他数据的非易失存储器。虽然描述了硬盘、可移动磁盘和可移动光盘，但是，也可以使用诸如闪存卡、数字视频盘、随机存取存储器(RAM)、只读存储器(ROM)等等之类的其他类型的计算机可读介质来存储数据。

[0129] 数个程序模块可被存储在硬盘、磁盘、光盘、ROM，或RAM上。这些程序包括操作系统1930、一个或多个应用程序1932、其他程序模块1934，以及程序数据1936。应用程序1932或程序模块1934可包括，例如，用于实现管理服务204、管理服务400、指令队列模块402、消息服务模块404、系统管理界面模块406、管理模块410、设备补救模块1202、可疑活动检测器模块1204、行为事件相关器模块1802、行为事件过滤器模块1804、比较器模块1806、流程图300、500、800、900、1100、1300、1400、1500、1600，和/或1700(包括流程图300、500、800、900、1100、1300、1400、1500、1600、和/或1700的步骤)，和/或如上文所描述的任何进一步的实施例的计算机程序逻辑。

[0130] 用户可以通过诸如键盘1938和定点设备1940之类的输入设备向计算机1900中输入命令和信息。其他输入设备(未示出)可以包括话筒、操纵杆、游戏手柄、圆盘式卫星天线、扫描仪等等。这些及其他输入设备常常通过耦合到总线1902的串行端口接口1942连接到处理单元1906，但是，也可以通过其他接口，诸如并行端口、游戏端口、通用串行总线(USB)端口，来进行连接。

[0131] 监视器1944或其他类型的显示设备也可以经由诸如视频适配器1946之类的接口来连接到系统总线1906。除了监视器之外，计算机1900还可包括其他外围输出设备(未示出)，如扬声器和打印机。

[0132] 计算机1900通过网络接口或适配器1950、调制解调器1952、或用于通过网络建立通信的其他装置连接到网络1948(例如，因特网)。调制解调器1952(可以是内置的或外置的)，通过串行端口接口1942连接到系统总线1906。

[0133] 如此处所使用的，术语“计算机程序介质”和“计算机可读介质”被用来泛指诸如与硬盘驱动器1914相关联的硬盘、可移动磁盘1918、可移动光盘1922，以及诸如闪存卡、数字视频盘、随机存取存储器(RAM)、只读存储器(ROM)等等之类的其他介质。

[0134] 如上文所指示的，计算机程序和模块(包括应用程序1932及其他程序模块1934)可以存储在硬盘、磁盘、光盘、ROM或RAM上。这样的计算机程序也可以通过网络接口1950或串行端口接口1942来接收。这样的计算机程序，当由应用程序执行或加载时，使得计算机1900能实现此处所讨论的本发明的特征。相应地，这样的计算机程序表示计算机1900的控制器。

[0135] 本发明还涉及包括存储在任何计算机可使用介质上的软件的计算机程序产品。这样的软件，当在一个或多个数据处理设备中执行时，使数据处理设备如此处所描述的那样操作。本发明的各实施例使用现在已知的或将来已知的任何计算机可使用或计算机可读介质。计算机可读介质的示例包括，但不仅限于，诸如RAM、硬盘驱动器、软盘、CD ROM、DVD ROM、zip磁盘、磁带、磁存储设备、光存储设备、MEM(存储器)、基于纳米技术的存储设备等等之类的存储设备。

[0136] IV.结论

[0137] 尽管上文描述了本发明的各实施例，但是，应该理解，它们只是作为示例来呈现的，而不作为限制。那些精通有关技术的人员将理解，在不偏离如所附权利要求书所定义的本发明的精神和范围的情况下，可以在形式和细节方面进行各种修改。因此，本发明的范围不应该受到上述示例性实施例的任一个的限制，而只应根据下面的权利要求和它们的等效内容进行定义。