CN103581189B - 应用策略的匹配方法及系统 - Google Patents

Abstract

本发明提供了一种应用策略的匹配方法及系统，其中的方法包括：建立辅助表和权限表，并对辅助表中的与应用相对应的动作标识和权限表中的与应用相对应的权限进行初始化，其中，权限表包括应用及与应用相对应的权限，辅助表包括应用及与应用相对应的动作标识；根据动作标识，将应用策略依次逐条转换到权限表中，并更改辅助表中的与权限表的应用相对应的动作标识，其中，当动作标识不是初始值时，则不对应用策略进行转换；在匹配应用策略时，根据权限表中的应用及与应用相对应的权限，完成应用与应用策略的匹配。通过本发明能够减少应用策略的转换次数，避免匹配出现错误，提高匹配性能和存储性能。

Description

应用策略的匹配方法及系统

技术领域

本发明涉及网络安全技术领域，更为具体地，涉及一种应用策略的匹配方法及系统。

背景技术

随着计算机技术的飞速发展，信息网络已经成为社会发展的重要保证。然而网络在给人们提供便利的同时，其安全性也成为一个越来越不容忽视的问题。安全网关作为各种技术的有机融合，其过滤范围涵盖协议级过滤及十分复杂的应用级过滤。因而，在网络安全中，安全网关具有重要且独特的保护作用。

防火墙作为安全网关的一个重要组成部分，可以很方便的监视网络的安全性并产生报警。由于面向应用的防火墙能够对网络行为进行更细粒度的控制，因此，当前安全网关正从传统的包过滤防火墙转向面向应用的下一代防火墙，以便有利于更好的保障网络的安全。

防火墙最重要的就是访问策略，对于面向应用的下一代防火墙而言，基于应用的访问策略也就成为衡量防火墙性能的标准之一。

需要说明的是，策略分为匹配项和匹配动作，并且策略具有先后顺序。在APP策略中，匹配项是一组应用，匹配动作是pass/deny。由于在应用匹配中，存在应用组的概念，而应用组可以配置在匹配项中。当有一个应用需要匹配策略的时候，常规的做法需要从上往下逐条进行匹配，因此，如果在应用匹配中有应用组存在时，将会使应用的匹配存在较大的复杂度。

以传统的应用策略的匹配为例，假设在应用匹配中存在应用组ALL MAIL，其中，应用组ALL MAIL包含：126mail、163mail、gmail、neusoft.mail。

将应用策略定义为如表1所示：

匹配项	匹配动作
		Gmail	deny
126mail	deny
		163mail	deny
ALL MAIL	pass

表1

在进行匹配时，假设当前来的一个应用是126mail，首先126mail自己是一个应用组，组里面就一个126mail，另外126mail还属于应用组ALL MAIL。在进行逐条匹配时，首先需要将126mail这个应用与表1所定义的应用策略逐个进行匹配，需要匹配4次。

另外，由于此次应用匹配中还存在应用组ALL MAIL，而应用组ALLMAIL中也有126mail这个应用，因此，在匹配过程中，如果遇到应用组ALLMAIL时，不进行126mail属于应用组ALL MAIL的转换，则无法实现匹配的命中，匹配动作就会出现错误。

因此，还需要把126mail转换成ALL MAIL再去与表1所定义的应用策略再次进行匹配，因此又需要进行4次匹配。

通过上述可以看出，传统的应用策略的匹配，需要将应用转换成各个应用组进行匹配，也就是说，在应用匹配中，应用策略中有几个应用组，就需要转换多少次并重新进行每条策略的匹配，其最坏匹配次数=应用所属组*策略数。如此将会导致策略匹配规模的膨胀和性能的线性下降。如上述例子，由于应用组ALL MAIL的规则存在，导致一个应用过来需要匹配8次，而最坏的情况就是应用没有匹配到匹配项。

为了降低匹配次数，在保持应用策略的同时，可以将一个应用组对应的规则进行分解，以上述应用组ALL MAIL为例，将应用组ALL MAIL的匹配项和其对应的匹配动作这条策略拆分成四条策略，如表2所示：

匹配项	匹配动作
		126mail	pass
163mail	pass
		gmail	pass
neusoft.mail	pass

表2

虽然这种方式能够降低少数的匹配次数，在特定情况下能够加快匹配性能，但此种方式需要以空间上的牺牲作为换取代价，同样使得应用匹配的性能不佳。

发明内容

鉴于上述问题，本发明的目的是提供一种应用策略的匹配方法及系统，以实现应用策略匹配时的匹配性能和存储性能的提升。

根据本发明的一个方面，提供一种应用策略的匹配方法，包括：

建立辅助表和权限表，并对辅助表中的与应用相对应的动作标识和权限表中的与应用相对应的权限进行初始化，其中，权限表包括应用及与应用相对应的权限，辅助表包括应用及与应用相对应的动作标识；

根据动作标识，将应用策略依次逐条转换到权限表中，并更改辅助表中的与权限表的应用相对应的动作标识，其中，当动作标识不是初始值时，则不对应用策略进行转换；以及，

在匹配应用策略时，根据权限表中的应用及与应用相对应的权限，完成应用与应用策略的匹配。

其中，在将应用策略依次逐条转换到权限表中的过程中，根据应用策略中的应用出现的顺序依次对应用策略进行转换。

其中，在将应用策略依次逐条转换到权限表中的过程中，通过辅助表对应用策略的转换优先级进行约束。

其中，在将应用策略依次逐条转换到权限表的过程中，当动作标识为初始值时，视为在应用策略中，与动作标识相对应的应用未被转换。

另一方面，本发明提供一种应用策略的匹配系统，包括：

初始化单元，用于建立辅助表和权限表，并对辅助表中的与应用相对应的动作标识和权限表中的与应用相对应的权限进行初始化，其中，所述权限表包括应用及与所述应用相对应的权限，所述辅助表包括应用及与所述应用相对应的动作标识；

应用策略转换单元，用于根据动作标识，将应用策略依次逐条转换到权限表中，并更改辅助表中的与权限表的应用相对应的动作标识，其中，当动作标识不是初始值时，则不对应用策略进行转换；

应用策略匹配单元，用于在匹配应用策略时，根据权限表中的应用及与应用相对应的权限，完成应用与应用策略的匹配。

利用上述根据本发明的应用策略的匹配方法及系统，在进行应用策略匹配时，通过根据辅助表的动作标识，将应用策略转换为权限表，其中只有在辅助表的动作标识为初始值时，才对应用策略进行转换，从而减少应用策略的转换次数，达到提升匹配性能和存储性能的目的。

为了实现上述以及相关目的，本发明的一个或多个方面包括后面将详细说明并在权利要求中特别指出的特征。下面的说明以及附图详细说明了本发明的某些示例性方面。然而，这些方面指示的仅仅是可使用本发明的原理的各种方式中的一些方式。此外，本发明旨在包括所有这些方面以及它们的等同物。

附图说明

通过参考以下结合附图的说明及权利要求书的内容，并且随着对本发明的更全面理解，本发明的其它目的及结果将更加明白及易于理解。在附图中：

图1为根据本发明实施例的应用策略的匹配方法流程示意图；

图2为根据本发明实施例的应用策略的匹配系统逻辑结构框图。

在所有附图中相同的标号指示相似或相应的特征或功能。

具体实施方式

以下将结合附图对本发明的具体实施例进行详细描述。

针对前述现有的应用策略的匹配方式存在匹配性能和存储性能不佳的问题，本发明通过根据辅助表的动作标识，将应用策略转换为权限表，其中只有在辅助表的动作标识为初始值时，才对应用策略进行转换。通过此种方法能够减少应用策略的转换次数，避免匹配出现错误。在进行应用策略匹配时，只需通过应用找到应用相对应的权限，即可得到最终的匹配结果，进而简化应用策略的匹配过程。

为了说明本发明提供的应用策略的匹配方法，图1示出了根据本发明实施例的应用策略的匹配方法流程。

如图1所示，本发明提供的应用策略的匹配方法包括：

S110：建立辅助表和权限表，并对辅助表中的与应用相对应的动作标识和权限表中的与应用相对应的权限进行初始化，其中，权限表包括应用及与应用相对应的权限，辅助表包括应用及与应用相对应的动作标识。

具体地，在还没有开始对应用策略进行转换之前，首先对辅助表和权限表进行初始化，其中，在对辅助表中的与应用相对应的动作标识和权限表中的与应用相对应的权限进行初始化的过程中，通过0/1或者是/否初始化辅助表的动作标识和权限表的权限。

在本发明的一个示例中，将辅助表的动作标识和权限表的权限全初始化为0，其中0在权限表中表示该权限所对应的应用将被阻止，也就是说所有与该应用有关的活动都会被拦截。

S120：根据动作标识，将应用策略依次逐条转换到权限表中，并更改辅助表中与权限表的应用相对应的动作标识，其中，当动作标识不是初始值时，则不对应用策略进行转换。

从应用策略的维度来看，应用策略是有先后匹配顺序的，因此匹配的过程需要从上到下依次执行。但从另一个维度考虑，实质上应用策略匹配到最后，得出的结论就是当前来匹配的应用是否允许阻断或者放行，并且一个应用只有能一种结果，要么放行，要么阻断。从最终结果的维度来看，将应用策略平铺开，就是一个权限表。因此只要将具有匹配顺序的应用策略转换为权限表，就能够很轻易的得到匹配结果。

因此，根据应用策略中的应用出现的顺序依次对应用策略进行转换，并通过辅助表对应用策略的转换优先级进行约束。具体地，在对应用策略进行权限表的转换时，只要辅助表中与应用相对应的动作标识仍然为初始值，则说明在此次转换前，该条应用策略还未曾出现过。也就是说，在将应用策略依次逐条转换到权限表的过程中，当动作标识为初始值时，视为在应用策略中，与动作标识相对应的应用未被转换。

如果辅助表中与应用相对应的动作标识已经发生改变，则说明在此次转换前，该条应用策略已经出现过并且已经被转换。当遇到动作标识发生改变的情形时，则忽略对该条应用策略的转换即可。

在将一条应用策略转换到权限表中之后，立即更改辅助表中与该应用相对应的动作标识，该动作标识的改变即表示该应用策略已经被转换，依据转换优先级的约束，当再次出现同样的应用策略时，该条应用策略也将不会被转换。

S130：在匹配应用策略时，根据权限表中的应用及与应用相对应的权限，完成应用与应用策略的匹配。

当完成所有应用策略的转换时，即当把所有的应用策略都转换到权限表中之后，即可进行应用策略的匹配。在匹配时，只需通过应用找出与该应用对应的权限即可。

通过图1的流程示意图可以看出，本发明能够减少应用策略的转换次数，并且一条应用策略只会转换一次，避免应用策略的重复转换，进而避免匹配出现错误，提高匹配性能。

下述以示例的方式对本发明所提供的应用策略的匹配方法作更为细致详细地说明。

假设有一组应用，其应用策略定义如表3所示：

匹配项	匹配动作
		Gmail	deny
126mail	deny
		ALL MAIL	pass
163mail	deny

表3

其中，ALL MAIL为应用组，其包含126mail、163mail、gmail、neusoft.mail。在将该组应用策略转换为权限表时，首先定义一个应用总数大小的bit图，每一个bit的0/1代表对应应用的deny/pass，所以整个权限表的存储大小是以计算机开销最小的bit为单位的，确保了存储空间的最省。

在应用策略和权限的转换过程中，需要有辅助表来帮助实现规则匹配优先级的约束。因此，建两张位图表，一张用于记录平铺后的权限表，一张用于辅助转化的临时位图表（即辅助表），其中用0/1作为辅助表中与应用相对应的动作标识。

具体地，建立一个4bit的权限位图（即权限表）和4bit的辅助位图（即辅助表），然后进行初始化，其中将权限表中的与应用相对应的权限都初始为0，将辅助表中的与应用相对应的动作标识全部初始为0，其中，权限表的权限与辅助表的动作标识的下标分别为对应的应用。在辅助表中，动作标识用于判断对应应用是否被设置为最终结果。

由于应用策略的匹配是有优先顺序的，换句话理解，也就是说先转换应用策略，那么与其相对应的应用结果就是最终结果，后续的应用策略的转换将不再生效。在应用策略转换到权限表时，只需判断辅助位图中的动作标识是否为1，如果为1，则证明对应位的权限表中的应用已经被前面的应用策略所转换，所以，此次配置将不再生效；如果为0，则将对应应用的权限填充置权限位图。

其中具体流程如下所述：

辅助表初始化为全0，权限位图也为全0；

当读入第一条应用策略Gmail deny时，对应Gmail的辅助表为0，所以将Gmail的权限表赋值为0，然后将对应辅助位图赋值为1；

126mail deny同上；

当读入ALL MAIL pass该条策略时，由于ALL MAIL是应用组，因此将应用组ALLMAIL翻译为上述各个应用，并去对比辅助位图；

在翻译时，发现126mail和gmail的辅助位图为1，因此忽略对应应用权限位图的转换；而163mail和neusoft.mail的辅助表为0，因此转换对应应用权限位图，并设置对应应用辅助位图；

当读入163mail deny时，首先匹配辅助位图，发现该位图为1，则忽略该条应用策略的转换。最后遍历完该组应用策略，得出权限表如表4所示：

应用	权限
		Gmail	deny
126mail	deny
		163mail	pass

neusoft.mail

pass

表4

与上述方法相对应，本发明还提供一种应用策略的匹配系统。图2示出了根据本发明实施例的应用策略的匹配系统逻辑结构。

如图2所示，本发明提供的应用策略的匹配系统200包括初始化单元210、应用策略转换单元220和应用策略匹配单元230。

其中，初始化单元210用于建立辅助表和权限表，并将辅助表中的与应用相对应的动作标识和权限表中的与应用相对应的权限进行初始化，其中，权限表包括应用及与应用相对应的权限，所述辅助表包括应用及与应用相对应的动作标识；应用策略转换单元220用于根据动作标识，将应用策略依次逐条转换到权限表中，并更改辅助表中的与权限表的应用相对应的动作标识，其中，当动作标识不是初始值时，则不对应用策略进行转换；用于应用策略匹配单元230用于在匹配应用策略时，根据权限表中的应用及与应用相对应的权限，完成应用与应用策略的匹配。

其中，初始化单元210在对辅助表中的与应用相对应的动作标识和权限表中的与应用相对应的权限进行初始化的过程中，通过0/1或者是/否初始化动作标识或者权限；应用策略转换单元220在将应用策略依次逐条转换到权限表中的过程中，根据应用策略中的应用出现的顺序依次对应用策略进行转换，其中，当动作标识为初始值时，视为在应用策略中，与动作标识相对应的应用未被转换。

通过上述可以看出，本发明提供的应用策略的匹配方法及系统，能够减少应用策略的转换次数，避免匹配出现错误，提高匹配性能；在将应用策略转换为权限表时，整个权限表的存储大小以位为单位，能够确保存储空间的最省，进而提高存储性能；在进行匹配时，只需通过应用找到应用相对应的权限，即可得到最终的匹配结果，从而简化匹配流程。

如上参照附图以示例的方式描述了根据本发明的应用策略的匹配方法及系统。但是，本领域技术人员应当理解，对于上述本发明所提出的应用策略的匹配方法及系统，还可以在不脱离本发明内容的基础上做出各种改进。因此，本发明的保护范围应当由所附的权利要求书的内容确定。

Claims (9)

1.一种应用策略的匹配方法，包括：

建立辅助表和权限表，并对辅助表中的与应用相对应的动作标识和权限表中的与应用相对应的权限进行初始化，其中，所述权限表包括应用及与所述应用相对应的权限，所述辅助表包括应用及与所述应用相对应的动作标识，所述辅助表和权限表均以位图表的形式呈现；

根据所述动作标识，将应用策略依次逐条转换到所述权限表中，并更改所述辅助表中的与所述权限表的应用相对应的动作标识，其中，当所述动作标识不是初始值时，则不对所述应用策略进行转换；以及，

在匹配应用策略时，根据所述权限表中的应用及与所述应用相对应的权限，完成应用与所述应用策略的匹配。

2.如权利要求1所述的应用策略的匹配方法，其中，在将应用策略依次逐条转换到所述权限表中的过程中，

根据所述应用策略中的应用出现的顺序依次对所述应用策略进行转换。

3.如权利要求1所述的应用策略的匹配方法，其中，在将应用策略依次逐条转换到所述权限表中的过程中，通过所述辅助表对所述应用策略的转换优先级进行约束。

4.如权利要求1所述的应用策略的匹配方法，其中，在对辅助表中的与应用相对应的动作标识和权限表中的与应用相对应的权限进行初始化的过程中，

通过0/1或者是/否初始化所述动作标识或者所述权限。

5.如权利要求1所述的应用策略的匹配方法，其中，在将所述应用策略依次逐条转换到所述权限表的过程中，

当所述动作标识为初始值时，视为在所述应用策略中，与所述动作标识相对应的应用未被转换。

6.一种应用策略的匹配系统，包括：

初始化单元，用于建立辅助表和权限表，并对辅助表中的与应用相对应的动作标识和权限表中的与应用相对应的权限进行初始化，其中，所述权限表包括应用及与所述应用相对应的权限，所述辅助表包括应用及与所述应用相对应的动作标识，所述辅助表和权限表均以位图表的形式呈现；

应用策略转换单元，用于根据所述动作标识，将应用策略依次逐条转换到所述权限表中，并更改所述辅助表中的与所述权限表的应用相对应的动作标识，其中，当所述动作标识不是初始值时，则不对所述应用策略进行转换；

应用策略匹配单元，用于在匹配应用策略时，根据所述权限表中的应用及与所述应用相对应的权限，完成应用与所述应用策略的匹配。

7.如权利要求6所述的应用策略的匹配系统，其中，所述应用策略转换单元在将应用策略依次逐条转换到所述权限表中的过程中，根据所述应用策略中的应用出现的顺序依次对所述应用策略进行转换。

8.如权利要求6所述的应用策略的匹配系统，其中，所述初始化单元在对辅助表中的与应用相对应的动作标识和权限表中的与应用相对应的权限进行初始化的过程中，

通过0/1或者是/否初始化所述动作标识或者所述权限。

9.如权利要求6所述的应用策略的匹配系统，其中，所述应用策略转换单元在将所述应用策略依次逐条转换到所述权限表的过程中，

当所述动作标识为初始值时，视为在所述应用策略中，与所述动作标识相对应的应用未被转换。