CN103825876A - 一种复杂网络环境下的防火墙策略审计系统 - Google Patents

Abstract

本发明公开了一种复杂网络环境下的防火墙策略审计系统。该系统的方法包括：在复杂网络下的网络拓扑自动发现和配置采集方法，防火墙配置文件的结构化解析和存储方法，基于单级和多级的策略审计算法，按照一定的算法定义冗余和不安全的规则，并能提供出优化和修改建议以及实现修改后的配置下发。

Description

一种复杂网络环境下的防火墙策略审计系统

技术领域

本发明涉及互联网、复杂网络环境下的防火墙安全审计技术，特别涉及基于多级的防火墙策略审计和优化。

背景技术

防火墙是保护网络系统安全最基本也是最主要的设备，其基本功能是控制数据流在网络不同信任区域之间的走向。近些年来，随着互联网技术的发展，网络规模的不断扩大，网络中的防火墙的数量正在逐步增加，管理与维护这些防火墙的难度不断增大。与此同时针对网络的攻击不断升级，因此为了保证防火墙的配置及其访问策略安全合理，对于防火墙访问控制策略的审计要求越来越高。

但是，由于网络设备的使用者对网络访问的需求各不相同，导致防火墙的配置上出现很多问题，例如人员配置疏忽、配置错误等现象，这些均影响了设备的使用效率；同时，部署在防火墙上的访问控制规则数量也随着业务系统的变化与扩张不断增加，大量冗余、无效的访问控制规则会导致设备性能下降，并带来一系列安全隐患。另外，在防火墙的长期使用过程中，由于网络环境变化、管理者或操作员的不断更换，受每个人管理习惯、安全策略使用倾向及网络需求变化影响，防火墙的配置策略及网络的安全连通性变得混乱，降低了设备工作效率，并对网络优化产生了很大的影响。

因此需要开发一种防火墙策略审计优化系统，能够在复杂的网络环境下，根据防火墙的配置文件检测当前网络设备的运行情况，详细梳理其安全防范策略，审计出其中存在的不安全的配置，去除防火墙的冗余策略，合并相关策略、并能对配置错误的策略进行检测与提示。该系统为检测分析和了解系统当前的安全状况提供有力证据，能保证防火墙正常、高效的工作，有效降低公司对防火墙的维护难度与成本、提升设备性能、减少管理维护失误带来的安全隐患。

所以现在的网络在复杂的网络环境下面临增加了更多具有挑战的安全问题，尤其是网络中防火墙的多级化，使得对于防火墙安全策略的审计显得更加具有重要性。

发明内容

本发明实施例提供了一种复杂网络环境下的防火墙策略审计系统，用以在复杂的网络环境下，根据防火墙的配置文件检测当前网络设备的运行状况，详细梳理其安全防范策略，审计出其中存在的不安全的配置，有效降低公司对防火墙的维护难度与成本、提升设备性能、减少管理维护失误带来的安全隐患。

一种复杂网络环境下的防火墙策略审计系统包括：

系统利用SNMP协议和路由表等网络信息自动发现网络中所有活动防火墙节点以及其之间的连接关系信息，并在此基础上绘制出网络拓扑图。同时，允许网络管理员再按照实际网络中的拓扑情况手动修正自动发现的网络拓扑结构，以防止某些设备不能自动发现或者发现了不存在的设备的问题。

一种复杂网络环境下的防火墙策略审计系统包括：

防火墙的配置文件获取有两种方法，一是在线获取的方式，系统通过SSH的方式访问防火墙并收集配置文件，这一方式需要防火墙设备的用户名密码信息进行认证登录；二是离线导入的方式，由用户手动导入防火墙的配置文件。

一种复杂网络环境下的防火墙策略审计系统包括：

本系统的配置解析模块包含命令库和解析器两部分。

命令库中存放着不同厂商防火墙配置命令的格式文件，在执行配置解析时，将配置文件中的配置信息读出后，解析器根据防火墙的品牌调用相应的命令库文件，执行配置解析操作，将其转换为系统可识别的信息，并存储在数据库中。

一种复杂网络环境下的防火墙策略审计系统包括：

系统的审计模块包含审计任务管理与策略优化管理两部分。

审计任务管理包括单级防火墙配置审计，多级防火墙配置审计。单级防火墙配置审计包括常规配置审计、策略冗佘审计和策略冲突审计。多级防火墙配置审计是指对两级防火墙的配置文件进行策略的冗余、冲突的审计。

策略优化管理模块由策略优化和策略下发两部分组成，其中策略优化是指系统将审计任务生成的审计报告以及相应的解决方案，提交给网络管理员，由其亲自判断审计报告中的哪些问题是需要修正的，并在前台页面上根据系统的提示选择相应字段的信息作为修改配置命令的参数，通过策略下发模块发送。策略下发是指管理员将修改完成的策略以命令的形式输入到系统中再通过命令下发器发送给目标防火墙，从而达到对防火墙访问控制策略的优化。

一种复杂网络环境下的防火墙策略审计系统包括：

防火墙策略审计基线可配置，用户可以选择需要的条目进行安全性检测。并且该部分留有接口，允许用户进行审计策略的自定义添加。

一种复杂网络环境下的防火墙策略审计系统包括：

系统在策略下发之前首先要通过连通性判断器对更改策略后的网络的连通状态进行预判，如果出现由于更改策略产生的网络不通的情况应出现提示信息，告知管理员，等得到管理员的肯定回答后便进行策略下发。

策略下发由反向配置解析器和命令库两部分完成。反向配置解析器根据命令库中的命令格式，将用户指定的下发内容转换为设备可以识别的命令行语句，然后通过下发器下发到设备上。当下发过程中出现意外或者其他原因导致下发失败时，灾难恢复器会记录相应的失败原因，并通知网络中所有防火墙恢复之前已经备份的策略数据。

本发明将基于单级和多级的防火墙策略审计技术引入到复杂网络环境中，设计出了一种复杂网络环境下的防火墙策略审计系统。本系统利用网络拓扑发现技术展现网络拓扑结构，通过用户选择需要加载的配置文件，经由解析程序将所需要的字段写入数据库相应表结构，待配置文件解析结束后，用户创建审计任务，启动审计模块，用户在系统提供的审计策略库中选择本次任务需要审计的规则添加到一个审计规则组，并对规则组内的规则逐条进行审计，将审计结果写回数据库存储，待规则存储完毕，将该条规则的标记为已经审计。待所有规则审计完毕后，该配置文件在数据库中被标记为已审计，并由前台页面以报表的形式展现。系统管理员创建策略下发任务，根据报表展现的问题在前台的输入框中选择相应的字段，反向配置解析器根据用户选择的字段组成相应的配置命令，并下发到目标防火墙上，从而更改了相应的配置。

附图说明

图1为复杂网络环境下防火墙策略审计系统的结构和模型框图；

图2为本发明中设备管理模块网络拓扑自动发现的工作流程图；

图3为本发明中策略配置采集模块的工作流程图；

图4为本发明中策略配置解析模块的工作流程图；

图5为本发明中策略审计任务模块的工作流程图。

具体实施方式

针对互联网和复杂网络环境中的网络安全尤其是防火墙策略的安全问题，本发明设计了一种在复杂网络环境下的复杂防火墙策略审计系统，用于复杂的网络环境下，根据防火墙的配置文件检测当前网络设备的运行状况，详细梳理其安全防范策略，审计出其中存在的不安全的配置，有效降低公司对防火墙的维护难度与成本、提升设备性能、减少管理维护失误带来的安全隐患。

如图1所示，本发明实施例系统模型的主要模块包括：设备管理模块、配置采集模块、配置解析模块和基于单级和多级的防火墙策略审计任务模块。

这些模块自身的作用以及各个模块之间的相互作用如下所述：

设备管理模块，收集并展示网络中的防火墙设备的信息，包含防火墙设备管理和网络信息管理两部分，支持网络拓扑的自动发现和手动编辑。

配置采集模块，通过ssh访问防火墙或离线导入的方式，把复杂的网络中的各种防火墙策略收集到系统数据库中。

配置解析模块，通过对策略的分析，将采集到的策略进行分类分解。

策略审计任务模块，通过上一步的解析工作后，根据不同的环境和要求，进行防火墙策略的审计，分析出冗余的、不安全的、无用的策略尽心剔除，对于策略进行优化。

如图2-图5所示，本发明实施例提高在复杂网络下的网络拓扑自动发现和配置采集方法，防火墙配置文件的结构化解析和存储方法，基于单级和多级的策略审计算法，按照一定的算法定义冗余和不安全的规则，并能提供出优化和修改建议。系统工作流的具体步骤如下：

步骤201、系统进行网络拓扑的自动发现；

步骤202、网络管理员对发现的网络拓扑结构手动修正；

步骤301、选择配置采集方式：SSH或者离线；

步骤302、如果使用SSH采集方式，则通过用户名密码认证方式，从网络中采集配置到本系统；

步骤303、如果使用离线采集方式，则通过管理员上传配置文件到本系统中；

步骤401、在配置解析开始时先选择要解析的配置文件；

步骤402、根据不同的防火墙品牌通过与之相对应的解析器来进行解析；

步骤403、将解析结果存入数据库中；

步骤501、从上步的数据库中取出配置信息；

步骤502、根据防火墙不同的应用场景选择相应的审计基线；

步骤503、通过系统审计规则库中的审计规则，将配置文件逐类进行审计，将审计结果保存入数据库中。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明应用到复杂网络环境下的防火墙策略审计系统中去。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (8)

1.一种复杂网络环境下的防火墙策略审计系统，其特征在于，该方法包括：

在复杂网络下的网络拓扑自动发现和配置采集方法，防火墙配置文件的结构化解析和存储方法，基于单级和多级的策略审计算法，按照一定的算法定义冗余和不安全的规则，并能提供出优化和修改建议以及实现修改后的配置下发。

2.如权利要求1所述的方法，其特征在于，基于SNMP协议实现网络拓扑自动发现；

自动发现网络拓扑图的应用程序分为服务器和客户端两个部分，服务器通过访问网络设备维护的管理信息库(MIB)而获取网络系统中网关、子网以及它们之间的连接情况；客户端通过与服务器建立Socket获取拓扑信息，并根据这些信息基于开源的拓扑图实现类包完成对网络拓扑图的构造。

3.如权利要求2所述的方法，其特征在于，允许手动对自动发现的网络拓扑结构进行修正；

基于自动发现的结果，网络管理员再按照实际网络中的拓扑情况手动修正网络拓扑结构，以防止某些设备不能自动发现或者发现了不存在的设备。

4.如权利要求1所述的方法，其特征在于，系统支持两种配置文件获取方式；

一是在线获取的方式，系统通过SSH的方式访问防火墙并收集配置文件，二是离线导入的方式，由用户手动导入防火墙的配置文件。

5.如权利要求1所述的方法，其特征在于，本系统的配置解析模块包含命令库和解析器两部分；

命令库中存放着不同厂商防火墙配置命令的格式文件，在执行配置解析时，将配置文件中的配置信息读出后，解析器根据防火墙的品牌调用相应的命令库文件，执行配置解析操作，将其转换为系统可识别的信息，并存储在数据库中。

6.如权利要求1所述的方法，其特征在于，支持单级和多级防火墙的审计；

单级防火墙配置审计包括常规配置审计、策略冗余审计和策略冲突审计，多级防火墙配置审计包括对两级防火墙的配置文件进行策略冗余、冲突的审计；

如果检测到了冗余冲突，系统会给出具体是哪些策略出现了冲突，以报表的形式呈现审计结果，以柱状图、饼状图显示不同种类问题的比例的数量，并给出相应的解决方案。

7.如权利要求6所述的方法，其特征在于，防火墙策略审计基线可配置，允许只选取其中需要审计的条目进行安全性检测。并且该部分留有接口，允许用户进行审计策略的自定义添加。

8.如权利要求1所述的方法，其特征在于，将修改完成的策略以命令的形式输入到系统中再通过命令下发器发送给目标防火墙；

在下发之前首先通过连通性判断器对更改策略后的网络的连通状态进行预判，如果出现由于更改策略产生的网络不通的情况应出现提示信息，告知管理员，等得到管理员的肯定回答后便进行策略下发；

当下发过程中出现意外或者其他原因导致下发失败时，灾难恢复器会记录相应的失败原因，并通知网络中所有防火墙恢复之前已经备份的策略数据。

Images