CN101115057A

CN101115057A - 基于策略管理的防火墙系统和调度方法

Info

Publication number: CN101115057A
Application number: CNA2006100991334A
Authority: CN
Inventors: 缪伟; 周衍坚
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2006-07-27
Filing date: 2006-07-27
Publication date: 2008-01-30

Abstract

本发明公开了一种基于策略管理的防火墙系统和调度方法。系统包括：防火墙功能集模块，包括一个或多个防火墙模块，用于根据调度运行或停止安全防火墙功能；策略模块，包括中央处理单元，用于根据预置的系统策略，对防火墙模块执行调度。系统策略包括用户配置策略、基于资源的策略、基于防火墙的策略、基于优先级的策略、以及智能响应策略中的至少一种。智能响应策略包括时间策略、接口策略、端口策略、智能策略中的至少一种。本发明提供的策略安全防火墙系统可以有效的管理系统资源，并根据优先级动态分配给不同的功能模块，从而实现系统资源的最大效用。利用策略防火墙的系统架构，可以完成复杂的安全防火墙功能，实现智能防火墙。

Description

基于策略管理的防火墙系统和调度方法

技术领域

本发明涉及网络安全技术，尤其涉及一种防火墙技术。

背景技术

目前，在安全和防火墙领域，现有技术已经开发了一系列功能，如IP过滤、MAC过滤、DMZ(隔离区)、端口转发等，在这些功能的共同作用下，完成了整个安全防火墙体系。但是这些功能在运行时，时常会因为使用的资源相互冲突而限制功能的正常运行(如使用相同的端口，资源冲突而影响功能不能正常工作)，同时，由于功能模块间相互独立，缺乏有效的资源共享，不能很好的相互配合，无法完成复杂的防火墙工作(如IP过滤功能和MAC过滤功能相互配合，以完成防攻击功能)。

因此需要一种策略化的安全防火墙系统，一方面可以更好的使用系统资源，保证功能的正常运行，另一方面可以通过预先设定的策略以及使用中提供的算法，调度安全防火墙功能协调，智能运行。

发明内容

本发明的主要目的在于提供一种基于策略管理的防火墙系统和调度方法，用于克服由于现有技术的局限和缺陷而造成的安全防火墙系统功能相互独立，不能协调使用系统资源，从而在运行时可能相互冲突，并且功能间很难相互协作，不能通过组合的形式提供系统级防火墙功能等问题。

为了实现上述目的，根据本发明的第一方面，本发明提供了一种基于策略管理的防火墙系统。防火墙系统包括：防火墙功能集模块，包括一个或多个防火墙模块，用于根据调度运行或停止安全防火墙功能；以及策略模块，包括中央处理单元，用于根据预置的系统策略，对防火墙模块执行调度。

可选地，系统策略包括用户配置策略，策略模块包括配置接口，用于由用户进行策略设定。

可选地，系统策略包括基于资源的策略，策略模块包括资源监测接口，用于监测系统资源的使用状况。

可选地，系统策略包括基于防火墙的策略，策略模块包括防火墙检测接口，用于监测防火墙的工作状况。

可选地，系统策略包括基于优先级的策略，中央处理单元根据防火墙模块的优先级执行调度。

可选地，系统策略包括智能响应策略，中央处理单元响应于预置触发条件执行调度。

策略模块可以包括数据库接口，用于中央处理单元对存储有算法或策略的数据库进行存取。

策略模块可以包括计划任务模块，用于暂存由中央处理单元调度的防火墙任务的指令。策略模块还可以包括调度执行模块，用于被定时调用，扫描计划任务模块中的指令，执行对防火墙模块的调度。

为了实现上述目的，根据本发明的第二方面，本发明提供了一种基于策略管理的防火墙调度方法。防火墙调度方法包括以下步骤：设置一个或多个防火墙模块，用于根据调度运行或停止安全防火墙功能；以及根据预置的调度策略，对防火墙模块执行调度。

调度策略可以包括用户配置策略、基于资源的策略、基于防火墙的策略、以及基于优先级的策略中的至少一种。

优选地，调度策略包括智能响应策略，通过响应于预置触发条件来执行调度。

智能响应策略可以包括时间策略，根据预置的防火墙执行时间来判决是否执行调度。

智能响应策略可以包括接口策略，根据预置的防火墙执行所需接口条件来判决是否执行调度。

智能响应策略可以包括端口策略，根据预置的防火墙优先级来执行调度。

智能响应策略可以包括智能策略，根据预置在数据库中的智能算法来执行调度。

通过上述技术方案，本发明提出了一种基于策略调度的安全防火墙体系，在这个系统中，具体的安全防火墙功能只负责实现，而不负责调度，而策略模块是整个系统的中枢神经，调度、管理各个具体功能的正常工作，同时，策略模块调度的方式、算法能够存贮在安全防火墙算法库中。策略化的防火墙系统不再是分散的功能组合，而是系统级的智能防火墙。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明的基于策略管理的防火墙系统的框图；

图2是根据本发明的基于策略管理的防火墙调度方法的流程图；

图3是根据本发明实施例的安全防火墙的组成部分结构图；

图4是根据本发明实施例的策略模块的模块结构图；

图5是根据本发明实施例的安全防火墙的策略化管理流程图；以及

图6是根据本发明实施例的安全防火墙的智能化防攻击流程图。

具体实施方式

下面将参考附图详细说明本发明。

参照图1，根据本发明的基于策略管理的防火墙系统10包括：防火墙功能集模块20，包括一个或多个防火墙模块30，用于根据调度运行或停止安全防火墙功能；以及策略模块50，包括中央处理单元60，用于根据预置的系统策略，对防火墙模块30执行调度。

系统策略可以包括用户配置策略、基于资源的策略、基于防火墙的策略、基于优先级的策略、以及智能响应策略中的至少一种。

策略模块50可以包括数据库接口，用于中央处理单元60对存储有算法或策略的数据库进行存取。

策略模块50可以包括计划任务模块，用于暂存由中央处理单元60调度的防火墙任务的指令；以及调度执行模块，用于被定时调用，扫描计划任务模块中的指令，执行对防火墙模块30的调度。

参照图2，根据本发明的基于策略管理的防火墙调度方法包括以下步骤：设置一个或多个防火墙模块，用于根据调度运行或停止安全防火墙功能；以及根据预置的调度策略，对防火墙模块执行调度。

优选地，调度策略包括智能响应策略，通过响应于预置触发条件来执行调度。智能响应策略可以包括时间策略、接口策略、端口策略、智能策略中的至少一种。

本发明所提供的策略管理的安全防火墙系统，主要涉及以下几个方面的技术问题：

1)系统架构

整个策略防火墙系统架构如图3所示，在设备平台上，有策略模块和安全防火墙功能集两大块，安全防火墙的具体功能只负责功能实现，是“打工者”，该功能什么时候运行，以什么方式运行，由策略模块统一指挥，策略模块是“老板”。工作时，策略模块根据系统的资源情况，根据管理人员的配置，根据防火墙的工作情况，向安全防火墙功能模块发出控制指令，调度控制安全防火墙功能模块，以完成一系列的具体功能。

2)策略模块的结构

为了实现策略模块的调度管理功能，本发明设计了基于计划任务方式的策略模块结构，如图4。输入/输出接口是和管理人员交互的接口，用于配置命令，显示结果；中央处理单元是策略模块的中枢神经，一方面解析命令，记录到计划任务中，另一方面，有解析算法(数据库中的算法或固化的程序算法)自主的生成任务，下达到计划任务中，同时，还有智能响应功能，如日志模块报告网关受到攻击，中央处理单元去算法库查询算法，以下达指令，完成智能响应功能。计划任务是策略模块的临时记忆体(“RAM”)，记载安全防火墙当前所涉及的任务；命令执行模块是任务处理部分，该部分被定时调用，扫描计划任务的任务指令，并根据系统条件，将需要执行或变换的任务发送到具体的功能模块中，以完成调度。

3)智能算法

策略模块的算法既包含简单的程序算法，如时间算法，接口算法，端口算法(固化在程序中)，又包含复杂的智能算法(保存在数据库中，可动态改变)。

时间算法：当用户配置任务，并设定了任务执行的时间时，策略模块的处理方法，如图4。该任务首先被记载到计划任务中，执行模块扫描到该任务时，先从SNTP(简单网络时间协议)时间模块获得当前的标准时间，然后分析该任务是否到达开始执行时间，或到达停止执行时间，如果是，才调度响应的功能模块，要求运行及停止该任务。

接口算法：当用户配置任务，设定了任务执行所需要的接口条件，策略模块的处理方法，如图4。该任务首先被记载到计划任务中，执行模块扫描到该任务时，分析该任务所对应的接口是否发生变化，如果是，则通知该接口相关的功能，采取处理措施，如接口开始工作，调度运行该具体功能；当该接口停止工作，调度停止该具体功能；当该接口消失，调度删除该具体功能。

端口算法：端口算法也是策略模块的基本算法，首先，策略模块先根据功能模块的具体特点，将这些功能模块划分成几类，并设置不同的优先级，一般是本地管理类，语音电话类，具有最高优先级，端口转发类，具有次要优先级，端口过滤类，具有最低优先级。当不用优先级的功能模块使用相同端口时，要求低优先级的任务让出端口，并给予提示，以保证高优先级模块能够正常运行，当相同优先级的功能模块相互冲突时，采用先来优先的原则。

智能算法：这一类算法由管理人员或生产工具记录在算法数据库中，根据不同的触发条件，由策略模块调出，并解析成任务命令，下达执行，以完成一系列复合功能。如抵御DOS攻击的算法，如动态配置语音数据带宽的算法等。

基于策略调度的安全防火墙，根据不同的调度算法，管理系统资源，调度功能模块，从而实现安全防火墙的最大效果。以下分别以时间/接口算法调度方式，端口算法方式，智能算法方式，分别描述策略防火墙系统的工作方式。

一、时间/接口调度方式

以策略模块控制IPFILTER(IP地址过滤)模块为例，描述策略模块的时间策略，接口策略的工作流程，如图5所示：

(1)管理人员配置防火墙内的IPFILTER模块，配置命令，在早上8点到下午5点之间，在WAN接口上过滤某IP地址的报文。

(2)该配置命令在策略模块上注册，策略模块将该命令加入到计划列表中，同时，策略模块定时执行，扫描计划任务中的命令。

(3)策略模块在计划任务中取得IPFILTER模块注册的任务，分析该任务的当前状态，根据给任务的运行条件(时间条件，接口条件)，判断该任务是否需要运行，还是不处理。

(4)如果该IPFILTER任务需要处理，则将指令发送给IPFILTER模块，IPFILTER模块根据该指令，运行IP过滤任务。

(5)如果在该IP过滤任务在工作过程中，该IP过滤相关的WAN接口关闭了，或者WAN接口被删除了，策略模块则及时发送指令给IPFILTER模块，要求将该IP过滤任务停止，或者删除。

(6)当时间到达该IP过滤任务的停止时间时，策略模块向该IPFILTER模块发送停止任务指令，IPFILTER模块停止该IP过滤任务的运行。

二、端口算法控制模式

以策略模块控制PORT-FORWARD(端口映射)为例，描述端口策略的工作流程。

(1)本防火墙首先设置了端口使用的几个优先等级。A：网关管理类，语音类，主要是用于网关上的FTP(21)，HTTP(80)，TELNET(25)，VOIP等管理工具，这类具有网络的最高优先级；B：端口转发类，PORT-FORWARD，PORT-TRIGGER，UPNP等，他们使用端口的优先级次于A类；C：其它，如DMZ等。

(2)管理人员通过PORT-FORWARD模块，配置过滤任务，将WAN接口上的某端口范围上的数据报文转发到LAN侧某IP终端上。

(3)PORT-FORWARD模块将该端口范围注册到策略模块。

(4)策略模块首先检查该端口范围是否其它模块使用，如果有A类的功能模块使用该端口范围的部分端口，则策略模块通知PORT-FORWARD模块，告知某些端口已被占用，同时配置IPTABLES命令，保留这些端口，避免PORT-FORWARD模块将这些端口上的报文转发到LAN侧终端上。如果是C类的功能模块使用的端口和该端口范围重叠，则策略模块通知C类功能模块，同时确保PORT-FORWARD模块能够正常使用这些端口范围。

三、智能算法工作模块

本防火墙实现了智能化的防攻击办法，通过管理人员或生产工具输入既定算法，灵活的防止各种网络攻击，以下以安全防火墙如何预防SYN-FLOOD攻击为例(如图6所示)，描述智能防攻击的过程。

(1)生产工具或管理人员首先设定监控模块，配置SYN-FLOOD攻击模型，(单位时间内，在网关上检测出从单一IP出来的SYN报文，超过多少次可以称为SYN-FLOOD攻击)；

(2)生产工具或管理人员在算法库中加载防Syn-Flood算法，防Syn-Flood算法内容如下：

A.从检测模块获得攻击的IP地址；

B.通知Qos模块，降低该IP地址传输的带宽；

C.通知监控模块，再次检查网络状态；

D.如果影响减小到合理范围内，则退出；

E.否则，通知IPFilter模块，将该IP地址的报文过滤掉。

F.如果影响减小到合理范围内，则退出；

G.否则，通过MACFilter模块，制定更加严格的过滤规则。

(3)当网关上的监控模块发现SYN-FLOOD攻击时，通知策略模块，策略模块在算法库中查找防SYN-FLOOD攻击算法，调出防Syn-Flood算法；

(4)策略模块解析防SYN-FLOOD攻击算法，开始执行算法。

(5)策略模块将该过程记载到日志模块，并通知管理人员。

综上所述，本发明提供了了基于策略调度的安全防火墙系统，(策略+安全防火墙功能集的系统)，一方面，策略模块统一管理系统资源，如端口，接口，连接通道等，根据模块的优先级，按照预定的策略分配给具体功能模块，即避免了资源冲突，又发挥了资源的最大效用；另一方面，策略模块根据用户预定的不同策略(时间策略，接口策略，防攻击策略)，调度具体的功能模块，可以是调度一个功能模块完成一个简单功能(如策略+端口触发功能)，也可以是反复调用几个功能模块，以完成一个复合功能(如策略+IP过滤+监控+MAC过滤+监控等)，利用本发明所设计的策略化调度防火墙系统，就可以利用原有的硬件条件，实现更强大的防火墙体系，并具有智能化的功能。

按照本发明提供的策略安全防火墙系统，可以有效的管理系统资源，并根据优先级动态分配给不同的功能模块，从而实现系统资源的最大效用。此外，利用策略防火墙的系统架构，可以完成复杂的安全防火墙功能，并且，可以让防火墙具有一定的智慧(内置算法)，实现智能防火墙。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种基于策略管理的防火墙系统，其特征在于，包括：防火墙功能集模块，包括一个或多个防火墙模块，用于根据调度运行或停止安全防火墙功能；以及

策略模块，包括中央处理单元，用于根据预置的系统策略，对所述防火墙模块执行调度。

2.根据权利要求1所述的防火墙系统，其特征在于，所述系统策略包括用户配置策略，所述策略模块包括配置接口，用于由用户进行策略设定。

3.根据权利要求1所述的防火墙系统，其特征在于，所述系统策略包括基于资源的策略，所述策略模块包括资源监测接口，用于监测系统资源的使用状况。

4.根据权利要求1所述的防火墙系统，其特征在于，所述系统策略包括基于防火墙的策略，所述策略模块包括防火墙检测接口，用于监测防火墙的工作状况。

5.根据权利要求1所述的防火墙系统，其特征在于，所述系统策略包括基于优先级的策略，所述中央处理单元根据所述防火墙模块的优先级执行调度。

6.根据权利要求1所述的防火墙系统，其特征在于，所述系统策略包括智能响应策略，所述中央处理单元响应于预置触发条件执行调度。

7.根据权利要求1至6中任一项所述的防火墙系统，其特征在于，所述策略模块包括数据库接口，用于所述中央处理单元对存储有算法或策略的所述数据库进行存取。

8.根据权利要求1至6中任一项所述的防火墙系统，其特征在于，所述策略模块包括计划任务模块，用于暂存由所述中央处理单元调度的防火墙任务的指令。

9.根据权利要求8所述的防火墙系统，其特征在于，所述策略模块包括调度执行模块，用于被定时调用，扫描所述计划任务模块中的所述指令，执行对所述防火墙模块的调度。

10.一种基于策略管理的防火墙调度方法，其特征在于，包括以下步骤：

设置一个或多个防火墙模块，用于根据调度运行或停止安全防火墙功能；以及

根据预置的调度策略，对所述防火墙模块执行调度。

11.根据权利要求10所述的防火墙调度方法，其特征在于，所述调度策略包括用户配置策略、基于资源的策略、基于防火墙的策略、以及基于优先级的策略中的至少一种。

12.根据权利要求10或11所述的防火墙调度方法，其特征在于，所述调度策略包括智能响应策略，通过响应于预置触发条件来执行调度。

13.根据权利要求12所述的防火墙调度方法，其特征在于，所述智能响应策略包括时间策略，根据预置的防火墙执行时间来判决是否执行调度。

14.根据权利要求12所述的防火墙调度方法，其特征在于，所述智能响应策略包括接口策略，根据预置的防火墙执行所需接口条件来判决是否执行调度。

15.根据权利要求12所述的防火墙调度方法，其特征在于，所述智能响应策略包括端口策略，根据预置的防火墙优先级来执行调度。

16.根据权利要求12所述的防火墙调度方法，其特征在于，所述智能响应策略包括智能策略，根据预置在数据库中的智能算法来执行调度。