CN108551439A - 一种策略模板应用的改进方法及装置 - Google Patents

Abstract

本发明提供一种策略模板应用的改进方法及装置，通过查找同一策略模板对应的多个防护对象，将所述多个防护对象聚合成一个防护组；将所述防护组及其对应的策略模板生成防护策略；将所述防护策略下发到安全设备，以使安全设备对所述防护策略中的策略模板对应的防护组中的防护对象进行安全防护。相对于现有技术，本发明通过将防护对象与策略模板进行多对一的关联，使多个防护对象引用同一个策略模板，从而减少设备的内存资源消耗，提高用户的操作效率。

Description

一种策略模板应用的改进方法及装置

技术领域

本发明涉及通信技术领域，尤其涉及一种策略模板应用的改进方法及装置。

背景技术

在当今网络应用的快速发展下，网络安全也变得尤为重要，而安全设备就成为保护网络必不可少的一环，一般可以通过业务软件平台来实现对安全设备的控制及管理，其中包括通过平台给安全设备下发安全策略。为了减少用户操作，引入了策略模板技术，可以将策略统一配置，按需下发，通常会给用户预制一个或多个策略模板，供用户按需选择生成相应的策略集合。

目前用户在使用平台管理设备时，首先要新添加一个防护对象，防护对象中主要包括需要保护的IP段、以及引用的策略模板所生成的策略集合。然后将防护对象下发到设备中，因此设备中一个防护对象对应一个策略集合。而策略集合在设备中所需要的内存大概在10MB左右，目前安全设备同时支持256个防护对象的下发，也就会有256个策略集合同时下发到安全设备，这些策略集合占用的内存空间就会达到2.5GB左右，会极大的占用设备本来就为数不多的内存资源，影响到设备中其他功能模块的使用。另外配置的策略集合过多也会在人工修改策略集合时操作十分繁重。

发明内容

有鉴于此，本发明提供一种策略模板应用的改进方法及装置来解决现有技术中策略下发占用大量内存的问题。

具体地，本发明是通过如下技术方案实现的：

本发明提供一种策略模板应用的改进方法，所述方法包括：

查找同一策略模板对应的多个防护对象，将所述多个防护对象聚合成一个防护组；

将所述防护组及其对应的策略模板生成防护策略；

将所述防护策略下发到安全设备，以使安全设备对所述防护策略中的策略模板对应的防护组中的防护对象进行安全防护。

进一步的，所述防护策略包括：

所述防护组中的每个防护对象的IP网段，以及所述策略模板对应的策略模板标识。

进一步的，所述方法还包括：

保存所述防护组与所述策略模板标识的第一对应关系，以及所述防护组中的每个防护对象包含的IP网段与防护对象标识的第二对应关系；

接收安全设备返回的携带策略模板标识及IP网段的反馈信息；

根据所述第一对应关系查找所述反馈信息中的策略模板标识对应的防护组；

根据所述第二对应关系查找所述反馈信息中的IP网段对应的防护对象标识。

进一步的，所述方法还包括：

当所述防护组中的防护对象变化时，将变化后的防护对象重新聚合成新的防护组；

将新的防护组与所述策略模板生成新的防护策略下发到安全设备。

进一步的，所述方法还包括：

接收用户的自定义策略，根据所述自定义策略修改所述策略模板作为新的策略模板；

将所述防护组与所述新的策略模板生成新的防护策略下发到安全设备。

基于相同的构思，本发明还提供一种策略模板应用的改进装置，所述装置包括：

聚合单元，用于查找同一策略模板对应的多个防护对象，将所述多个防护对象聚合成一个防护组；

生成单元，用于将所述防护组及其对应的策略模板生成防护策略；

下发单元，用于将所述防护策略下发到安全设备，以使安全设备对所述防护策略中的策略模板对应的防护组中的防护对象进行安全防护。

进一步的，所述防护策略包括：

所述防护组中的每个防护对象的IP网段，以及所述策略模板对应的策略模板标识。

进一步的，所述装置还包括：

保存单元，用于保存所述防护组与所述策略模板标识的第一对应关系，以及所述防护组中的每个防护对象包含的IP网段与防护对象标识的第二对应关系；

查找单元，用于接收安全设备返回的携带策略模板标识及IP网段的反馈信息；根据所述第一对应关系查找所述反馈信息中的策略模板标识对应的防护组；根据所述第二对应关系查找所述反馈信息中的IP网段对应的防护对象标识。

进一步的，所述装置还包括：

更新单元，用于当所述防护组中的防护对象变化时，将变化后的防护对象重新聚合成新的防护组；将新的防护组与所述策略模板生成新的防护策略下发到安全设备。

进一步的，所述装置还包括：

自定义单元，用于接收用户的自定义策略，根据所述自定义策略修改所述策略模板作为新的策略模板；将所述防护组与所述新的策略模板生成新的防护策略下发到安全设备。

由此可见，本发明可以通过查找同一策略模板对应的多个防护对象，将所述多个防护对象聚合成一个防护组，再将所述防护组及其对应的策略模板生成防护策略，然后将所述防护策略下发到安全设备，以使安全设备对所述防护策略中的策略模板对应的防护组中的防护对象进行安全防护。相对于现有技术，本发明通过将防护对象与策略模板进行多对一的关联，使多个防护对象引用同一个策略模板，从而减少设备的内存资源消耗，提高用户的操作效率；另外，本发明还支持自定义策略模板，用户可按需配置策略模板，进一步提升了用户的操作体验。

附图说明

图1是现有的策略模板应用示意图；

图2是本发明一种示例性实施方式中的一种策略模板应用的改进方法的处理流程图；

图3本发明一种示例性实施方式中的策略模板应用示意图；

图4a本发明一种示例性实施方式中的策略模板应用的改进装置所在设备的硬件结构图；

图4b本发明一种示例性实施方式中的一种策略模板应用的改进装置的逻辑结构图。

具体实施方式

目前用户可以通过业务软件平台来管理安全设备，由于业务关系，用户平台给设备下发的策略多种多样，包括常见的对TCP、UDP、ICMP报文的长度检测、限速、内容过滤等策略，为了减少用户操作，引入了策略模板技术，使用户选择所需的策略模板生成相应的策略集合下发到安全设备。现有的策略模板应用示意图如图1所示，具体来讲，用户在使用平台管理设备时，首先要新添加一个防护对象，防护对象中主要包括需要保护的IP网段、以及引用的策略模板所生成的策略集合。然后将防护对象对应的IP网段以及策略集合下发到安全设备中，也就是说在安全设备中一个防护对象对应一个策略集合。由于每个策略集合大小约10MB，如果配置过多的防护对象，相对应的策略集合也会过多，从而会极大消耗设备内存，影响到设备中其他功能模块的使用。另外，在策略集合配置过多时，每当修改多个防护对象所引用的策略模板时，用户就需要对每个策略集合进行逐个的修改，既费时又费力，并且容易发生操作失误。

为了解决现有技术中存在的问题，本发明提供了一撰策略模板应用的改进方法及装置，可以通过查找同一策略模板对应的多个防护对象，将所述多个防护对象聚合成一个防护组，再将所述防护组及其对应的策略模板生成防护策略，然后将所述防护策略下发到安全设备，以使安全设备对所述防护策略中的策略模板对应的防护组中的防护对象进行安全防护。相对于现有技术，本发明通过将防护对象与策略模板进行多对一的关联，使多个防护对象引用同一个策略模板，从而减少设备的内存资源消耗，提高用户的操作效率；另外，本发明还支持自定义策略模板，用户可按需配置策略模板，进一步提升了用户的操作体验。

请参考图2，是本发明一种示例性实施方式中的一种策略模板应用的改进方法的处理流程图，所述方法包括：

步骤201、查找同一策略模板对应的多个防护对象，将所述多个防护对象聚合成一个防护组；

由于业务的多样化，通常用户会建立很多个防护对象，因为用户在创建防护对象并引用策略模版生成策略集合时，由于并不熟悉设备的相关策略功能，一般就会直接引用策略模板中的内容，并不会做其他修改，所以多数防护对象所下发的策略集合内容大多都是相同的策略模板的内容。因此在本实施例中，当用户在软件平台上添加多个防护对象时并根据需求为每个防护对象选择对应的策略模板时，软件平台可以在用户添加的全部防护对象中查找属于同一策略模板对应的多个防护对象，并将查找出的多个防护对象聚合成一个防护组。例如，若策略模板A对应的防护对象包括防护对象a、防护对象b、防护对象c；策略模板B对应的防护对象包括防护对象d、防护对象e；则将防护对象a、防护对象b、防护对象c聚合为一个防护组A，该防护组A与策略模板A相对应；将防护对象d、防护对象e聚合为一个防护组B，该防护组B与策略模板B相对应。

步骤202、将所述防护组及其对应的策略模板生成防护策略；

生成防护组后，可以将防护组与其对应的策略模板生成防护策略。具体来讲，由于每个防护对象都设置有需要保护的IP网段，因此多个防护对象聚合的防护组中会包含该防护组中的每个防护对象的IP网段。因此在防护策略中具体包括防护组中的每个防护对象的IP网段，以及该防护组对应的策略模板的具体防护策略，以及对应的策略模板标识，所述策略模板标识是用于区分不同的策略模板。

步骤203、将所述防护策略下发到安全设备，以使安全设备对所述防护策略中的策略模板对应的防护组中的防护对象进行安全防护。

生成防护策略后，可以将防护策略下发到安全设备，以使安全设备对所述防护策略中的策略模板对应的防护组中的每个防护对象进行安全防护。

由于本发明在下发策略模板之前，将引用相同策略模板的防护对象作为一个整体，聚合为一个防护组，对于安全设备来讲也可以认为是一个新的防护对象，则可以只下发该防护组对应的策略模板即可，而不用下发多次策略集合。举例来讲，若有同一个策略模板的10个防护对象需要管理时，现有技术需要给安全设备下发10次防护对象及策略模板，而本发明将这10个防护对象聚合为一个防护组，如此设备就会认为只有一个防护对象，并且只引用可一个策略模板，因此可以只下发一次策略模板就够了，从而很大缓解设备内存资源占用的问题。此外，由于本发明将不再根据策略模板来生成策略集合，而是直接使用策略模板下发策略，将聚合后的防护组和策略模板下发到安全设备，可以减少生成策略集合的操作过程。

在可选的实施例中，本发明还可以保存防护组与策略模板标识的第一对应关系，以及所述防护组中的每个防护对象包含的IP网段与防护对象标识的第二对应关系；并将第一对应关系和第二对应关系存入数据库中，以保证当安全设备返回反馈信息(例如日志信息)时，能判断出该反馈信息所属的防护对象。具体来讲，当软件平台接收安全设备返回的携带策略模板标识及IP网段的反馈信息时，先根据所述第一对应关系查找所述反馈信息中的策略模板标识对应的防护组；再根据所述第二对应关系查找所述反馈信息中的IP网段对应的防护对象标识。

举例来讲，如图3所示，其中根据本发明提供的策略模板应用改进方法，假设用户选择了3个防护对象，分别是防护对象1、防护对象2和防护对象3，则可以将这3个防护对象添加到防护组A中，其对应的策略模板A(标识为A)，由于防护对象1包含IP网段一，防护对象2包含IP网段二，防护对象3包含IP网段三，则该防护组A中包含所有防护对象的IP网段，因此根据防护组A以及策略模板A生成的防护策略中包括，每个防护对象的IP网段(即IP网段一、IP网段二、IP网段三)以及策略模板的具体内容、策略模板的标识(标识A)。软件平台本地记录防护组A与策略模板标识(标识A)的第一对应关系，以及防护对象对应的标识与其包含的IP网段的第二对应关系。

当安全设备根据策略模板A对防护组中的IP网段进行防护时，IP网段会产生反馈信息，该反馈信息中会包括IP网段，以及策略模板标识(标识A)。当软件平台收到安全设备发送的反馈信息时，可以根据本地的第一对应关系确定策略模板标识(标识A)对应的防护组为防护组A；然后可以根据第二对应关系遍历防护组A中的所有IP网段查找反馈信息所对应的防护对象，例如当反馈信息的IP网段为IP网段二时，则可以确定该反馈信息属于防护对象2。因此可以快速查找反馈信息对应的防护对象，提高工作效率。

作为一个实施例，当防护组中的防护对象变化时，例如有新的防护对象引用该策略模板，或者有的防护对象不在引用该策略模板时，可以将变化后的防护对象重新聚合成新的防护组，再将新的防护组与策略模板生成新的防护策略下发到安全设备。同时软件平台也会更新本地的防护组中防护对象的防护对象标识和IP网段的对应关系。相比于现有技术在防护对象变化时需要重新为新的防护对象下发策略集合的方法，本发明可以只添加防护组中的防护对象的信息，从而减少内存占用并且可以简化操作过程。

作为一个实施例，如果有的防护对象需要额外的策略时，也支持自定义策略模板，用户可以在已有的策略模板上进行修改，按需配置，保存为新的策略模板，并且对应新的策略模板标识。当用户输入自定义策略时，可以根据自定义策略修改原来的策略模板作为新的策略模板，然后将防护组与新的策略模板生成新的防护策略下发到安全设备。同时软件平台也会更新本地的防护组与新的策略模板对应的新的策略模板标识的对应关系。相比于现有技术在策略模板变化时需要为每个防护对象重新配置策略集合的方法，本发明可以只修改一次策略模板，并且重新下发一次防护组对应的新的策略模板即可，从而减少人工操作，提升用户体验。

基于相同的构思，本发明还提供一种策略模板应用的改进装置，该装置可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，本发明的报文转发装置作为一个逻辑意义上的装置，是通过其所在装置的CPU将存储器中对应的计算机程序指令读取后运行而成。

请参考图4a，是本发明一种示例性实施方式中的一种策略模板应用的改进装置400，该装置基本运行环境包括CPU，存储器以及其他硬件，从逻辑层面上来看，该装置400的逻辑结构如图4b所示，其中包括：

聚合单元401，用于查找同一策略模板对应的多个防护对象，将所述多个防护对象聚合成一个防护组；

生成单元402，用于将所述防护组及其对应的策略模板生成防护策略；

下发单元403，用于将所述防护策略下发到安全设备，以使安全设备对所述防护策略中的策略模板对应的防护组中的防护对象进行安全防护。

可选的，所述防护策略包括：

所述防护组中的每个防护对象的IP网段，以及所述策略模板对应的策略模板标识。

可选的，所述装置还包括：

保存单元404，用于保存所述防护组与所述策略模板标识的第一对应关系，以及所述防护组中的每个防护对象包含的IP网段与防护对象标识的第二对应关系；

查找单元405，用于接收安全设备返回的携带策略模板标识及IP网段的反馈信息；根据所述第一对应关系查找所述反馈信息中的策略模板标识对应的防护组；根据所述第二对应关系查找所述反馈信息中的IP网段对应的防护对象标识。

可选的，所述装置还包括：

更新单元406，用于当所述防护组中的防护对象变化时，将变化后的防护对象重新聚合成新的防护组；将新的防护组与所述策略模板生成新的防护策略下发到安全设备。

可选的，所述装置还包括：

自定义单元407，用于接收用户的自定义策略，根据所述自定义策略修改所述策略模板作为新的策略模板；将所述防护组与所述新的策略模板生成新的防护策略下发到安全设备。

由此可见，本发明可以通过查找同一策略模板对应的多个防护对象，将所述多个防护对象聚合成一个防护组，再将所述防护组及其对应的策略模板生成防护策略，然后将所述防护策略下发到安全设备，以使安全设备对所述防护策略中的策略模板对应的防护组中的防护对象进行安全防护。相对于现有技术，本发明通过将防护对象与策略模板进行多对一的关联，使多个防护对象引用同一个策略模板，从而减少设备的内存资源消耗，提高用户的操作效率；另外，本发明还支持自定义策略模板，用户可按需配置策略模板，进一步提升了用户的操作体验。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (10)

1.一种策略模板应用的改进方法，其特征在于，所述方法包括：

查找同一策略模板对应的多个防护对象，将所述多个防护对象聚合成一个防护组；

将所述防护组及其对应的策略模板生成防护策略；

将所述防护策略下发到安全设备，以使安全设备对所述防护策略中的策略模板对应的防护组中的防护对象进行安全防护。

2.根据权利要求1所述的方法，其特征在于，所述防护策略包括：

所述防护组中的每个防护对象的IP网段，以及所述策略模板对应的策略模板标识。

3.根据权利要求1和2所述的方法，其特征在于，所述方法还包括：

保存所述防护组与所述策略模板标识的第一对应关系，以及所述防护组中的每个防护对象包含的IP网段与防护对象标识的第二对应关系；

接收安全设备返回的携带策略模板标识及IP网段的反馈信息；

根据所述第一对应关系查找所述反馈信息中的策略模板标识对应的防护组；

根据所述第二对应关系查找所述反馈信息中的IP网段对应的防护对象标识。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当所述防护组中的防护对象变化时，将变化后的防护对象重新聚合成新的防护组；

将新的防护组与所述策略模板生成新的防护策略下发到安全设备。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

接收用户的自定义策略，根据所述自定义策略修改所述策略模板作为新的策略模板；

将所述防护组与所述新的策略模板生成新的防护策略下发到安全设备。

6.一种策略模板应用的改进装置，其特征在于，所述装置包括：

聚合单元，用于查找同一策略模板对应的多个防护对象，将所述多个防护对象聚合成一个防护组；

生成单元，用于将所述防护组及其对应的策略模板生成防护策略；

下发单元，用于将所述防护策略下发到安全设备，以使安全设备对所述防护策略中的策略模板对应的防护组中的防护对象进行安全防护。

7.根据权利要求6所述的装置，其特征在于，所述防护策略包括：

所述防护组中的每个防护对象的IP网段，以及所述策略模板对应的策略模板标识。

8.根据权利要求6和7所述的装置，其特征在于，所述装置还包括：

保存单元，用于保存所述防护组与所述策略模板标识的第一对应关系，以及所述防护组中的每个防护对象包含的IP网段与防护对象标识的第二对应关系；

查找单元，用于接收安全设备返回的携带策略模板标识及IP网段的反馈信息；根据所述第一对应关系查找所述反馈信息中的策略模板标识对应的防护组；根据所述第二对应关系查找所述反馈信息中的IP网段对应的防护对象标识。

9.根据权利要求6所述的装置，其特征在于，所述装置还包括：

更新单元，用于当所述防护组中的防护对象变化时，将变化后的防护对象重新聚合成新的防护组；将新的防护组与所述策略模板生成新的防护策略下发到安全设备。

10.根据权利要求6所述的装置，其特征在于，所述装置还包括：

自定义单元，用于接收用户的自定义策略，根据所述自定义策略修改所述策略模板作为新的策略模板；将所述防护组与所述新的策略模板生成新的防护策略下发到安全设备。