CN103873441A

CN103873441A - 防火墙安全规则优化方法及装置

Info

Publication number: CN103873441A
Application number: CN201210535113.2A
Authority: CN
Inventors: 肖宇峰; 沈军; 金华敏
Original assignee: China Telecom Corp Ltd
Current assignee: China Telecom Corp Ltd
Priority date: 2012-12-12
Filing date: 2012-12-12
Publication date: 2014-06-18

Abstract

本发明涉及一种防火墙安全规则优化方法及装置，方法包括：从防火墙设备下载所有安全规则；获取防火墙设备的流技术信息和系统日志信息；根据流技术信息和系统日志信息获得安全规则与匹配数据流量的对应关系；将安全规则按照匹配数据流量进行从大到小排序，然后将排序后的安全规则推送回防火墙设备。本发明通过分析防火墙的FLOW信息和SYSLOG信息来确定防火墙内各个安全规则所匹配的数据流量，并针对数据流量进行从大到小的排序操作，然后将排序后的安全规则推送回防火墙，这样就使得匹配流量大、次数频繁的安全规则被调整到安全规则列表的前列，而基于目前的安全规则列表从上到下的匹配方式，调整后的安全规则列表将会提高防火墙规则匹配的效率。

Description

防火墙安全规则优化方法及装置

技术领域

本发明涉及网络与信息安全技术，尤其涉及一种防火墙安全规则优化方法及装置。

背景技术

防火墙是一种由软件和硬件设备组合而成，并在内部网和外部网之间构造的保护屏障，可以依照特定的安全规则允许或是限制传输的数据通过，保护内部网免受非法用户的侵入。这些安全规则通常由网络管理员进行定义或修改。

对于企业级的防火墙设备，随着配置的增加，安全规则会越来越庞大，加上企业内部存在多个网络管理员，造成了防火墙管理配置的困难和逻辑的混乱。当数据流量到达防火墙设备时，防火墙设备总是根据安全规则列表从上到下进行查找匹配，而庞大而混乱的安全规则导致防火墙设备的实际工作效率低下及存在安全隐患。

发明内容

本发明的目的是提出一种防火墙安全规则优化方法及装置，能够通过优化防火墙设备的安全规则来解决防火墙设备工作效率低下以及存在安全隐患的问题。

为实现上述目的，本发明提供了一种防火墙安全规则优化方法，包括：

从防火墙设备下载所有安全规则；

获取所述防火墙设备的流技术（FLOW）信息和系统日志（SYSLOG）信息；

根据所述流技术信息和系统日志信息获得安全规则与匹配数据流量的对应关系；

将所述安全规则按照所述匹配数据流量进行从大到小排序，然后将排序后的安全规则推送回所述防火墙设备。

进一步的，在所述从防火墙设备下载所有安全规则之后，还包括：

对异构的安全规则进行数据结构的统一的同构处理；

以及在将排序后的安全规则推送回所述防火墙设备之前，将所述排序后的安全规则按照原始数据结构进行还原。

进一步的，所述流技术信息至少包括：源IP地址、目的IP地址、源端口号、目的端口号、三层协议类型、服务类型（Type Of Service，简称TOS）和入接口属性，所述系统日志信息包括：优先级（PRI）、标题（HEADER）和消息（MSG）三部分。

进一步的，所述根据所述流技术信息和系统日志信息获得安全规则与匹配数据流量的对应关系的操作具体包括：

根据所述流技术信息中的入接口属性对到达和穿越所述防火墙设备的数据流量进行区分，将所述数据流量区分为源于不同接口的数据流量；

根据所述系统日志信息，对所述系统日志信息中的事件信息与安全规则进行匹配；

根据预设的统计时间计算源于各个接口的数据流量，并将所述各个接口的数据流量与匹配的安全规则进行关联，获得在所述统计时间内安全规则与匹配数据流量的对应关系。

进一步的，所述将所述数据流量区分为源于不同接口的数据流量具体包括：

将所述数据流量区分为源于内部/外部/非军事区（inside/outside/DMZ）接口的数据流量，或者将所述数据流量区分为源于信任/非信任/非军事区（trust/untrust/DMZ）接口的数据流量。

为实现上述目的，本发明提供了一种防火墙安全规则优化装置，包括：

安全规则下载模块，用于从防火墙设备下载所有安全规则；

防火墙信息获取模块，用于获取所述防火墙设备的流技术信息和系统日志信息；

安全规则分析模块，用于根据所述流技术信息和系统日志信息获得安全规则与匹配数据流量的对应关系；

安全规则调整模块，用于将所述安全规则按照所述匹配数据流量进行从大到小排序；

安全规则推送模块，用于将排序后的安全规则推送回所述防火墙设备。

进一步的，还包括：

安全规则处理模块，用于对异构的安全规则进行数据结构的统一的同构处理，以及在将排序后的安全规则推送回所述防火墙设备之前，将所述排序后的安全规则按照原始数据结构进行还原。

进一步的，所述流技术信息至少包括：源IP地址、目的IP地址、源端口号、目的端口号、三层协议类型、服务类型和入接口属性，所述系统日志信息包括：优先级、标题和消息三部分。

进一步的，所述安全规则分析模块具体包括：

数据流量区分单元，用于根据所述流技术信息中的入接口属性对到达和穿越所述防火墙设备的数据流量进行区分，将所述数据流量区分为源于不同接口的数据流量；

安全规则匹配单元，用于根据所述系统日志信息，对所述系统日志信息中的事件信息与安全规则进行匹配；

数据流量统计单元，用于根据预设的统计时间计算源于各个接口的数据流量；

流量规则关联单元，用于将所述各个接口的数据流量与匹配的安全规则进行关联，获得在所述统计时间内安全规则与匹配数据流量的对应关系。

进一步的，所述数据流量区分单元具体用于将所述数据流量区分为源于内部/外部/非军事区接口的数据流量，或者将所述数据流量区分为源于信任/非信任/非军事区接口的数据流量。

基于上述技术方案，本发明通过分析防火墙的FLOW信息和SYSLOG信息来确定防火墙内各个安全规则所匹配的数据流量，并针对数据流量进行从大到小的排序操作，然后将排序后的安全规则推送回防火墙，这样就使得匹配流量大、次数频繁的安全规则被调整到安全规则列表的前列，而基于目前的安全规则列表从上到下的匹配方式，调整后的安全规则列表将会提高防火墙规则匹配的效率。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为本发明防火墙安全规则优化方法的一实施例的流程示意图。

图2为本发明防火墙安全规则优化方法的另一实施例的流程示意图。

图3为本发明防火墙安全规则优化装置的一实施例的结构示意图。

图4为本发明防火墙安全规则优化装置的另一实施例的结构示意图。

具体实施方式

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

如图1所示，为本发明防火墙安全规则优化方法的一实施例的流程示意图。在本实施例中，防火墙安全规则优化方法包括：

步骤101、从防火墙设备下载所有安全规则；

步骤102、获取所述防火墙设备的流技术信息和系统日志信息；

步骤103、根据所述流技术信息和系统日志信息获得安全规则与匹配数据流量的对应关系；

步骤104、将所述安全规则按照所述匹配数据流量进行从大到小排序；

步骤105、将排序后的安全规则推送回所述防火墙设备。

在本实施例中，流技术（FLOW）信息是各主流网络设备厂商所提供的防火墙日志信息，例如cisco公司的netflow，Juniper公司的cflow等，这种流技术信息至少包括：源IP地址、目的IP地址、源端口号、目的端口号、三层协议类型、TOS和入接口属性等字段，而到达和穿越防火墙的数据流量可以按照入接口属性进行区分，可以将数据流量区分成源于内部/外部/非军事区（inside/outside/DMZ）接口的数据流量，或者将数据流量区分为源于信任/非信任/非军事区（trust/untrust/DMZ）接口的数据流量。这里的DMZ（DemilitarizedZone）接口是指非军事区，与军事区和信任区相对应，作用是实现内外网分离。

系统日志（SYSLOG）信息广泛应用于系统日志的记录，其包括优先级PRI、标题HEADER和消息MSG三部分。

在步骤103中，先根据FLOW信息中的入接口属性对到达和穿越防火墙设备的数据流量进行区分，将数据流量区分为源于不同接口inside/outside/DMZ（或者trust/untrust/DMZ）的数据流量，再根据SYSLOG信息，对SYSLOG信息中的事件信息与安全规则进行匹配，然后根据预设的统计时间计算源于各个接口的数据流量，并将各个接口的数据流量与匹配的安全规则进行关联，获得在统计时间内安全规则与匹配数据流量的对应关系。

举例来说明下匹配过程的基本原理，如下：

从防火墙获得的FLOW信息的部分字段包括：

源IP	目的IP	源端口	目的端口	协议	入接口	流量
							192.168.1.1	172.16.1.1	35555	80	TCP	outside	10000字节
192.168.1.2	172.16.1.2	35556	80	TCP	outside	20000字节
							192.168.2.1	172.16.2.1	35557	80	TCP	DMZ	30000字节
192.168.2.2	172.16.2.2	35558	80	TCP	DMZ	40000字节

从上面的FLOW信息可以统计得到：

流入outside接口的数据流量为30000字节；

流入dmz接口的数据流量为70000字节。

安全规则调用在outside接口的入方向，有3条应用控制引擎（Application Control Engine，简称ACE）：

1permit any any eq23//允许所有目的端口为23的telnet流量通过；

2permit any any eq25//允许所有目的端口为25的smtp流量通过；

3permit any any eq80//允许所有目的端口为80的web流量通过。

由于该安全规则只在outside接口调用，所以上面进入dmz接口的数据流量70000字节相对于安全ABC来说就无需考虑了。

而SYSLOG信息有：

源IP	目的IP	源端口	目的端口	通过情况
					192.168.1.1	172.16.1.1	35555	80	通过
192.168.1.2	172.16.1.2	35556	80	通过
					192.168.2.1	172.16.2.1	35557	80	通过
192.168.2.2	172.16.2.2	35558	80	通过

根据上述SYSLOG信息和安全规则，可以看出该SYSLOG信息与安全规则中的第3条ACE相匹配。所以最后关联的结果是：

1permit any any eq230字节

2permit any any eq250字节

3permit any any eq8030000字节

根据各条安全规则所匹配的数据流量的统计结果重新排序，得到排序后的安全规则如下：

1permit any any eq80

2permit any any eq23

3permit any any eq25

按照目前防火墙所遵循的从上到下的查找规则，原先需要查找到第3条规则才能匹配成功，经过优化后，在第1条规则就可以匹配成功，从而提高了防火墙的效率。

如图2所示，为本发明防火墙安全规则优化方法的另一实施例的流程示意图。与上一实施例相比，在步骤101之后，还包括步骤101’，即对异构的安全规则进行数据结构的统一的同构处理，在步骤105之前，还包括步骤105’，即将所述排序后的安全规则按照原始数据结构进行还原。

考虑到不同厂商的防火墙的安全规则所采用的数据结构可能存在一定的差异，而且同一个防火墙的安全规则也会分为通用访问控制列表、应用层攻击防护规则、病毒防护规则等，因此需要将安全规则统一成同样的数据结构以便进行关联和统计，而在获得了排序后的安全规则后，为了能使安全规则能够在防火墙内正常使用，还需要按照原始数据结构进行还原。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

如图3所示，为本发明防火墙安全规则优化装置的一实施例的结构示意图。在本实施例中，防火墙安全规则优化装置包括：安全规则下载模块1、防火墙信息获取模块2、安全规则分析模块3、安全规则调整模块4和安全规则推送模块5。其中，安全规则下载模块1负责从防火墙设备下载所有安全规则。防火墙信息获取模块2负责获取所述防火墙设备的流技术信息和系统日志信息。流技术信息至少可以包括：源IP地址、目的IP地址、源端口号、目的端口号、三层协议类型、服务类型和入接口属性，所述系统日志信息可以包括：优先级、标题和消息三部分。

安全规则分析模块3负责根据所述流技术信息和系统日志信息获得安全规则与匹配数据流量的对应关系。安全规则分析模块可以具体包括：数据流量区分单元、安全规则匹配单元、数据流量统计单元和流量规则关联单元。

数据流量区分单元负责根据所述流技术信息中的入接口属性对到达和穿越所述防火墙设备的数据流量进行区分，将所述数据流量区分为源于不同接口的数据流量。数据流量区分单元可以具体用于将所述数据流量区分为源于内部/外部/非军事区接口的数据流量，或者将所述数据流量区分为源于信任/非信任/非军事区接口的数据流量。

安全规则匹配单元负责根据所述系统日志信息，对所述系统日志信息中的事件信息与安全规则进行匹配。数据流量统计单元，用于根据预设的统计时间计算源于各个接口的数据流量。流量规则关联单元负责将所述各个接口的数据流量与匹配的安全规则进行关联，获得在所述统计时间内安全规则与匹配数据流量的对应关系。

安全规则调整模块4负责将所述安全规则按照所述匹配数据流量进行从大到小排序。安全规则推送模块5负责将排序后的安全规则推送回所述防火墙设备。

如图4所示，为本发明防火墙安全规则优化装置的另一实施例的结构示意图。与上一实施例相比，本实施例还包括安全规则处理模块6，该模块对异构的安全规则进行数据结构的统一的同构处理，以及在将排序后的安全规则推送回所述防火墙设备之前，将所述排序后的安全规则按照原始数据结构进行还原。

通过上述对本发明防火墙安全规则优化方法及装置实施例的说明，本发明通过分析防火墙的FLOW信息和SYSLOG信息来确定防火墙内各个安全规则所匹配的数据流量，并针对数据流量进行从大到小的排序操作，然后将排序后的安全规则推送回防火墙，这样就使得匹配流量大、次数频繁的安全规则被调整到安全规则列表的前列，而基于目前的安全规则列表从上到下的匹配方式，调整后的安全规则列表将会提高防火墙规则匹配的效率。

最后应当说明的是:以上实施例仅用以说明本发明的技术方案而非对其限制；尽管参照较佳实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者对部分技术特征进行等同替换；而不脱离本发明技术方案的精神，其均应涵盖在本发明请求保护的技术方案范围当中。

Claims

1.一种防火墙安全规则优化方法，包括：

从防火墙设备下载所有安全规则；

获取所述防火墙设备的流技术信息和系统日志信息；

2.根据权利要求1所述的防火墙安全规则优化方法，其中，在所述从防火墙设备下载所有安全规则之后，还包括：

对异构的安全规则进行数据结构的统一的同构处理；

3.根据权利要求1所述的防火墙安全规则优化方法，其中，所述流技术信息至少包括：源IP地址、目的IP地址、源端口号、目的端口号、三层协议类型、服务类型和入接口属性，所述系统日志信息包括：优先级、标题和消息三部分。

4.根据权利要求3所述的防火墙安全规则优化方法，其中，所述根据所述流技术信息和系统日志信息获得安全规则与匹配数据流量的对应关系的操作具体包括：

5.根据权利要求4所述的防火墙安全规则优化方法，其中，所述将所述数据流量区分为源于不同接口的数据流量具体包括：

将所述数据流量区分为源于内部/外部/非军事区接口的数据流量，或者将所述数据流量区分为源于信任/非信任/非军事区接口的数据流量。

6.一种防火墙安全规则优化装置，包括：

安全规则下载模块，用于从防火墙设备下载所有安全规则；

7.根据权利要求6所述的防火墙安全规则优化装置，其中，还包括：

8.根据权利要求6所述的防火墙安全规则优化装置，其中，所述流技术信息至少包括：源IP地址、目的IP地址、源端口号、目的端口号、三层协议类型、服务类型和入接口属性，所述系统日志信息包括：优先级、标题和消息三部分。

9.根据权利要求8所述的防火墙安全规则优化装置，其中，所述安全规则分析模块具体包括：

10.根据权利要求9所述的防火墙安全规则优化装置，其中，所述数据流量区分单元具体用于将所述数据流量区分为源于内部/外部/非军事区接口的数据流量，或者将所述数据流量区分为源于信任/非信任/非军事区接口的数据流量。