CN109088886A - 在防火墙上监控策略的管理方法和装置 - Google Patents

Abstract

本发明公开了一种在防火墙上监控策略的管理方法和装置。所述方法包括：接收对传输经过防火墙的流量对应的监控策略的管理请求；根据所述管理请求，输出网络传输媒介的标识列表，其中所述标识列表包括一个或多个标识；接收对所述标识列表中标识信息的选择结果；根据所述选择结果，生成传输经过防火墙的流量对应的监控策略。

Description

在防火墙上监控策略的管理方法和装置

技术领域

本发明涉及信息处理领域，尤指一种在防火墙上监控策略的管理方法和装置。

背景技术

所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障.是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关(SecurityGateway)，从而保护内部网免受非法用户的侵入，防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成，防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件。该计算机流入流出的所有网络通信和数据包均要经过此防火墙。

在网络中，所谓“防火墙”，是指一种将内部网和公众访问网(如Internet)分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络。换句话说，如果不通过防火墙，公司内部的人就无法访问Internet，Internet上的人也无法和公司内部的人进行通信。

网络层防火墙可视为一种IP封包过滤器，运作在底层的TCP/IP协议堆栈上。以枚举的方式，只允许符合特定规则的封包通过，其余的一概禁止穿越防火墙。这些规则通常可以经由管理员定义或修改，不过某些防火墙设备可能只能套用内置的规则；当然，也能以另一种较宽松的角度来制定防火墙规则，只要封包不符合任何一项“否定规则”就予以放行。操作系统及网络设备大多已内置防火墙功能。防火墙能利用封包的多样属性来进行过滤，例如：来源IP地址、来源端口号、目的IP地址或端口号、服务类型(如HTTP或是FTP)。也能经由通信协议、来源的网域名称或网段等属性来进行过滤。

在现有技术中，创建防火墙时，需要录入规则，然后将规则添加到策略。如果是复杂的流量控制，就需要定义很多的规则，这样做比较繁琐，因此如何简化防火墙规则的设置流程是亟待解决的问题。

发明内容

为了解决上述技术问题，本发明提供了一种在防火墙上监控策略的管理方法和装置，能够简化防火墙规则的设置流程。

为了达到本发明目的，本发明提供了一种在防火墙上监控策略的管理方法，包括：

接收对传输经过防火墙的流量对应的监控策略的管理请求；

根据所述管理请求，输出网络传输媒介的标识列表，其中所述标识列表包括一个或多个标识；

接收对所述标识列表中标识信息的选择结果；

根据所述选择结果，生成传输经过防火墙的流量对应的监控策略。

其中，所述方法还具有如下特点：所述根据所述管理请求，输出网络传输媒介的标识列表，包括：

根据所述管理请求，输出网络、子网和端口中至少一个的标识列表；

所述接收对所述标识列表中标识信息的选择结果，包括：

接收对所述标识列表的选择结果，其中所述选择结果包括一个或多个网络的标识信息、一个或多个子网的标识信息和一个或多个端口的标识信息中的至少一个。

其中，所述方法还具有如下特点：所述根据所述选择结果，生成传输经过防火墙的流量对应的监控策略之后，所述方法还包括：

获取传输经过防火墙的流量对应的监控策略，其中所述监控策略是根据所述流量传输途径的网络传输媒介确定的；

在接收到传输经过所述防火墙的需监控的流量后，获取所述需监控的流量的传输途径的网络传输媒介信息；

将获取到的网络传输媒介信息与所述监控策略中的网络传输媒介进行比较，得到比较结果；

根据所述比较结果，控制所述需监控的流量是否继续进行传输。

其中，所述方法还具有如下特点：

所述获取传输经过防火墙的流量对应的监控策略包括：

按照流量的传输方向，为每个传输方向的流量配置对应的监控策略；

所述将获取到的网络传输媒介信息与所述监控策略中的网络传输媒介进行比较，得到比较结果，包括：

获取所述需监控的流量的传输方向；

根据所述需监控的流量的传输方向，确定与所述传输方向对应的目标监控策略；

将所述网络传输媒介信息与所述目标监控策略中的网络传输媒介进行比较，得到比较结果。

其中，所述方法还具有如下特点：所述根据所述比较结果，控制所述需监控的流量是否继续进行传输，包括：

如果所述比较结果为获取到的网络传输媒介信息与所述监控策略中的网络传输媒介相同，则控制所述需监控的流量继续进行传输；否则，控制所述需监控的流量不能继续进行传输。

为了达到本发明目的，本发明还提供了一种在防火墙上监控策略的管理装置，包括：

第一接收模块，用于接收对传输经过防火墙的流量对应的监控策略的管理请求；

输出模块，用于根据所述管理请求，输出网络传输媒介的标识列表，其中所述标识列表包括一个或多个标识；

第二接收模块，用于接收对所述标识列表中标识信息的选择结果；

生成模块，用于根据所述选择结果，生成传输经过防火墙的流量对应的监控策略。

其中，所述装置还具有如下特点：

所述输出模块，具体用于根据所述管理请求，输出网络、子网和端口中至少一个的标识列表；

所述第二接收模块，具体用于接收对所述标识列表的选择结果，其中所述选择结果包括一个或多个网络的标识信息、一个或多个子网的标识信息和一个或多个端口的标识信息中的至少一个。

其中，所述装置还具有如下特点：所述装置还包括：

第一获取模块，用于在根据所述选择结果，生成传输经过防火墙的流量对应的监控策略之后，获取传输经过防火墙的流量对应的监控策略；

第二获取模块，用于在接收到传输经过所述防火墙的需监控的流量后，获取所述需监控的流量的传输途径的网络传输媒介信息；

比较模块，用于将获取到的网络传输媒介信息与所述监控策略中的网络传输媒介进行比较，得到比较结果；

控制模块，用于根据所述比较结果，控制所述需监控的流量是否继续进行传输。

其中，所述装置还具有如下特点：

所述第一获取模块，具体用于按照流量的传输方向，为每个传输方向的流量配置对应的监控策略；

所述比较模块包括：

获取单元，用于获取所述需监控的流量的传输方向；

确定单元，用于根据所述需监控的流量的传输方向，确定与所述传输方向对应的目标监控策略；

比较单元，用于将所述网络传输媒介信息与所述目标监控策略中的网络传输媒介进行比较，得到比较结果。

其中，所述装置还具有如下特点：

所述控制模块，具体用于如果所述比较结果为获取到的网络传输媒介信息与所述监控策略中的网络传输媒介相同，则控制所述需监控的流量继续进行传输；否则，控制所述需监控的流量不能继续进行传输。

本发明提供的实施例，接收对传输经过防火墙的流量对应的监控策略的管理请求，并根据所述管理请求，输出网络传输媒介的标识列表，在接收对所述标识列表中标识信息的选择结果后，根据所述选择结果，生成传输经过防火墙的流量对应的监控策略，实现了可定制化的流量控制，为复杂的流量控制情景提供了简便的操作方法，简化防火墙规则的设置流程。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在说明书、权利要求书以及附图中所特别指出的结构来实现和获得。

附图说明

附图用来提供对本发明技术方案的进一步理解，并且构成说明书的一部分，与本申请的实施例一起用于解释本发明的技术方案，并不构成对本发明技术方案的限制。

图1为本发明提供的在防火墙上监控策略的管理方法的流程图；

图2为本发明提供的在防火墙上监控策略的管理方法的示意图；

图3为本发明提供的在防火墙上监控策略的管理装置的结构图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，下文中将结合附图对本发明的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。

在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行。并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

图1为本发明提供的在防火墙上监控策略的管理方法的流程图。图1所示方法包括：

步骤101、接收对传输经过防火墙的流量对应的监控策略的管理请求；

步骤102、根据所述管理请求，输出网络传输媒介的标识列表，其中所述标识列表包括一个或多个标识；

步骤103、接收对所述标识列表中标识信息的选择结果；

步骤104、根据所述选择结果，生成传输经过防火墙的流量对应的监控策略。

本发明提供的方法实施例，接收对传输经过防火墙的流量对应的监控策略的管理请求，并根据所述管理请求，输出网络传输媒介的标识列表，在接收对所述标识列表中标识信息的选择结果后，根据所述选择结果，生成传输经过防火墙的流量对应的监控策略，实现了可定制化的流量控制，为复杂的流量控制情景提供了简便的操作方法，简化防火墙规则的设置流程。

下面对本发明提供的方法作进一步说明：

本发明提出了一种基于网络和端口特征的网络流量控制方法。该方法通过定义流量特征集，选择一组网络、子网或端口加入到流量特征集，这样可以省去定义大量防火墙规则工作，流量控制的效果却是同样的。

本发明中所涉及的流量特征集，可以是一组网络的集合，也可以是一组子网的集合，还可以是一组端口的集合。只有符合流量特征集的网络数据流量才需要经过防火墙。可以通过定义多个流量特征集，实现流量的精确的控制。该方法实现了云管平台内网络流量的定制化控制，省去了录入大量防火墙规则的操作，具有方便、灵活的特点。

其中，在本发明提供的一个方法实施例中，所述根据所述管理请求，输出网络传输媒介的标识列表，包括：

根据所述管理请求，输出网络、子网和端口中至少一个的标识列表；

所述接收对所述标识列表中标识信息的选择结果，包括：

接收对所述标识列表的选择结果，其中所述选择结果包括一个或多个网络的标识信息、一个或多个子网的标识信息和一个或多个端口的标识信息中的至少一个。

具体的，与现有技术中逐条输入流量控制信息的方式相比，在本发明中将网络传输媒介的信息以标识的方式进行展示，让用户在此基础上进行选择，减少了人工手动输入的步骤，减少了手动输入错误发生的可能，且从网络、子网和端口共三个维度来实现对流量的监控，实现了自定义的监控策略，方便用户设置所需的监控策略。

当然，在完成监控策略的设置后，所述根据所述选择结果，生成传输经过防火墙的流量对应的监控策略之后，所述方法还包括：

获取传输经过防火墙的流量对应的监控策略，其中所述监控策略是根据所述流量传输途径的网络传输媒介确定的；

在接收到传输经过所述防火墙的需监控的流量后，获取所述需监控的流量的传输途径的网络传输媒介信息；

将获取到的网络传输媒介信息与所述监控策略中的网络传输媒介进行比较，得到比较结果；

根据所述比较结果，控制所述需监控的流量是否继续进行传输。

具体的，在得到监控策略后，可以依照该监控策略对流量进行监控，在本发明中监控策略是基于网络传输媒介信息来确定的，因此，在对流量进行监控时，也需要获取需监控的流量的网络传输媒介信息，并将二者进行比对，实现对流量的监控。

由于防火墙上流量的传输方向是双向的，基于流量的特性，本发明可以基于不同的传输方向设置对应的监控策略，具体实现方式如下：

所述获取传输经过防火墙的流量对应的监控策略包括：

按照流量的传输方向，为每个传输方向的流量配置对应的监控策略；

所述将获取到的网络传输媒介信息与所述监控策略中的网络传输媒介进行比较，得到比较结果，包括：

获取所述需监控的流量的传输方向；

根据所述需监控的流量的传输方向，确定与所述传输方向对应的目标监控策略；

将所述网络传输媒介信息与所述目标监控策略中的网络传输媒介进行比较，得到比较结果。

具体的，基于防火墙上流量的传输方向，设置不同传输方向的监控策略；在得到需监控的流量后，先确定与该需监控的流量的传输方向对应的目标监控策略，再进行网络传输媒介信息的匹配。根据传输方向设置对应的监控策略，可以基于流量的特性设置对应的监控策略，实现更加准确的监控，也为用户设置所需的监控策略提供方便。

其中，所述根据所述比较结果，控制所述需监控的流量是否继续进行传输，包括：

如果所述比较结果为获取到的网络传输媒介信息与所述监控策略中的网络传输媒介相同，则控制所述需监控的流量继续进行传输；否则，控制所述需监控的流量不能继续进行传输。

具体的，在流量监控过程中，对网络传输媒介信息相符的流量，控制其继续转发，对于网络传输媒介信息不符时，则控制流量不进行传输。当然，对于不符合网络传输媒介信息的流量，可以设置告警策略，提醒对该流量进行处理，以保证网络流量的安全性。

下面以本发明提供的应用实例提供的方法作进一步说明：

图2为本发明提供的在防火墙上监控策略的管理方法的示意图。图2所示方法具体包括：

首先，创建流量特征集。有三种特征类型可供选择：

(1)网络，从网络列表选择一条或多条记录加入流量特征集中。

(2)子网，从子网列表选择一条或多条记录加入流量特征集中。

(3)端口，从端口列表选择一条或多条记录加入流量特征集中。

然后，创建防火墙，设置防火墙策略和规则。

最后，创建流量控制，选择两个流量特征集作为需要流量控制的通信双方，一个防火墙架设在通信双方之间。

本发明应用实例提供的方法，根据网络流量的网络和端口特征进行流量控制，只让符合流量特征集的数据走防火墙，实现了可定制化的流量控制，实现了可定制化的流量控制，为复杂的流量控制情景提供了一种简便的操作方法，省去了录入大量防火墙规则的操作，使得操作人员可以更快、更方便的应用防火墙进行流量控制。

图3为本发明提供的在防火墙上监控策略的管理装置的结构图。图3所示装置包括：

第一接收模块301，用于接收对传输经过防火墙的流量对应的监控策略的管理请求；

输出模块302，用于根据所述管理请求，输出网络传输媒介的标识列表，其中所述标识列表包括一个或多个标识；

第二接收模块303，用于接收对所述标识列表中标识信息的选择结果；

生成模块，用于根据所述选择结果，生成传输经过防火墙的流量对应的监控策略。

在本发明提供的一个装置实施例中，所述输出模块302，具体用于根据所述管理请求，输出网络、子网和端口中至少一个的标识列表；

所述第二接收模块303，具体用于接收对所述标识列表的选择结果，其中所述选择结果包括一个或多个网络的标识信息、一个或多个子网的标识信息和一个或多个端口的标识信息中的至少一个。

在本发明提供的一个装置实施例中，所述装置还包括：

第一获取模块，用于在根据所述选择结果，生成传输经过防火墙的流量对应的监控策略之后，获取传输经过防火墙的流量对应的监控策略；

第二获取模块，用于在接收到传输经过所述防火墙的需监控的流量后，获取所述需监控的流量的传输途径的网络传输媒介信息；

比较模块，用于将获取到的网络传输媒介信息与所述监控策略中的网络传输媒介进行比较，得到比较结果；

控制模块，用于根据所述比较结果，控制所述需监控的流量是否继续进行传输。

在本发明提供的一个装置实施例中，所述第一获取模块，具体用于按照流量的传输方向，为每个传输方向的流量配置对应的监控策略；

所述比较模块包括：

获取单元，用于获取所述需监控的流量的传输方向；

确定单元，用于根据所述需监控的流量的传输方向，确定与所述传输方向对应的目标监控策略；

比较单元，用于将所述网络传输媒介信息与所述目标监控策略中的网络传输媒介进行比较，得到比较结果。

在本发明提供的一个装置实施例中，所述控制模块，具体用于如果所述比较结果为获取到的网络传输媒介信息与所述监控策略中的网络传输媒介相同，则控制所述需监控的流量继续进行传输；否则，控制所述需监控的流量不能继续进行传输。

本发明提供的装置实施例，接收对传输经过防火墙的流量对应的监控策略的管理请求，并根据所述管理请求，输出网络传输媒介的标识列表，在接收对所述标识列表中标识信息的选择结果后，根据所述选择结果，生成传输经过防火墙的流量对应的监控策略，实现了可定制化的流量控制，为复杂的流量控制情景提供了简便的操作方法，简化防火墙规则的设置流程。

本领域普通技术人员可以理解上述实施例的全部或部分步骤可以使用计算机程序流程来实现，所述计算机程序可以存储于一计算机可读存储介质中，所述计算机程序在相应的硬件平台上(如系统、设备、装置、器件等)执行，在执行时，包括方法实施例的步骤之一或其组合。

可选地，上述实施例的全部或部分步骤也可以使用集成电路来实现，这些步骤可以被分别制作成一个个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

上述实施例中的各装置/功能模块/功能单元可以采用通用的计算装置来实现，它们可以集中在单个的计算装置上，也可以分布在多个计算装置所组成的网络上。

上述实施例中的各装置/功能模块/功能单元以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。上述提到的计算机可读取存储介质可以是只读存储器，磁盘或光盘等。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求所述的保护范围为准。

Claims (10)

1.一种在防火墙上监控策略的管理方法，其特征在于，包括：

接收对传输经过防火墙的流量对应的监控策略的管理请求；

根据所述管理请求，输出网络传输媒介的标识列表，其中所述标识列表包括一个或多个标识；

接收对所述标识列表中标识信息的选择结果；

根据所述选择结果，生成传输经过防火墙的流量对应的监控策略。

2.根据权利要求1所述的方法，其特征在于：

所述根据所述管理请求，输出网络传输媒介的标识列表，包括：

根据所述管理请求，输出网络、子网和端口中至少一个的标识列表；

所述接收对所述标识列表中标识信息的选择结果，包括：

接收对所述标识列表的选择结果，其中所述选择结果包括一个或多个网络的标识信息、一个或多个子网的标识信息和一个或多个端口的标识信息中的至少一个。

3.根据权利要求1或2所述的方法，其特征在于，所述根据所述选择结果，生成传输经过防火墙的流量对应的监控策略之后，所述方法还包括：

获取传输经过防火墙的流量对应的监控策略，其中所述监控策略是根据所述流量传输途径的网络传输媒介确定的；

在接收到传输经过所述防火墙的需监控的流量后，获取所述需监控的流量的传输途径的网络传输媒介信息；

将获取到的网络传输媒介信息与所述监控策略中的网络传输媒介进行比较，得到比较结果；

根据所述比较结果，控制所述需监控的流量是否继续进行传输。

4.根据权利要求3所述的方法，其特征在于：

所述获取传输经过防火墙的流量对应的监控策略包括：

按照流量的传输方向，为每个传输方向的流量配置对应的监控策略；

所述将获取到的网络传输媒介信息与所述监控策略中的网络传输媒介进行比较，得到比较结果，包括：

获取所述需监控的流量的传输方向；

根据所述需监控的流量的传输方向，确定与所述传输方向对应的目标监控策略；

将所述网络传输媒介信息与所述目标监控策略中的网络传输媒介进行比较，得到比较结果。

5.根据权利要求3所述所述的方法，其特征在于，所述根据所述比较结果，控制所述需监控的流量是否继续进行传输，包括：

如果所述比较结果为获取到的网络传输媒介信息与所述监控策略中的网络传输媒介相同，则控制所述需监控的流量继续进行传输；否则，控制所述需监控的流量不能继续进行传输。

6.一种在防火墙上监控策略的管理装置，其特征在于，包括：

第一接收模块，用于接收对传输经过防火墙的流量对应的监控策略的管理请求；

输出模块，用于根据所述管理请求，输出网络传输媒介的标识列表，其中所述标识列表包括一个或多个标识；

第二接收模块，用于接收对所述标识列表中标识信息的选择结果；

生成模块，用于根据所述选择结果，生成传输经过防火墙的流量对应的监控策略。

7.根据权利要求6所述的装置，其特征在于：

所述输出模块，具体用于根据所述管理请求，输出网络、子网和端口中至少一个的标识列表；

所述第二接收模块，具体用于接收对所述标识列表的选择结果，其中所述选择结果包括一个或多个网络的标识信息、一个或多个子网的标识信息和一个或多个端口的标识信息中的至少一个。

8.根据权利要求6或7所述的装置，其特征在于，所述装置还包括：

第一获取模块，用于在根据所述选择结果，生成传输经过防火墙的流量对应的监控策略之后，获取传输经过防火墙的流量对应的监控策略；

第二获取模块，用于在接收到传输经过所述防火墙的需监控的流量后，获取所述需监控的流量的传输途径的网络传输媒介信息；

比较模块，用于将获取到的网络传输媒介信息与所述监控策略中的网络传输媒介进行比较，得到比较结果；

控制模块，用于根据所述比较结果，控制所述需监控的流量是否继续进行传输。

9.根据权利要求8所述的装置，其特征在于：

所述第一获取模块，具体用于按照流量的传输方向，为每个传输方向的流量配置对应的监控策略；

所述比较模块包括：

获取单元，用于获取所述需监控的流量的传输方向；

确定单元，用于根据所述需监控的流量的传输方向，确定与所述传输方向对应的目标监控策略；

比较单元，用于将所述网络传输媒介信息与所述目标监控策略中的网络传输媒介进行比较，得到比较结果。

10.根据权利要求8所述所述的装置，其特征在于：

所述控制模块，具体用于如果所述比较结果为获取到的网络传输媒介信息与所述监控策略中的网络传输媒介相同，则控制所述需监控的流量继续进行传输；否则，控制所述需监控的流量不能继续进行传输。