CN110430159A - 一种平台服务器防火墙策略开放范围过大预警方法 - Google Patents

Abstract

本发明为一种平台服务器防火墙策略开放范围过大预警方法，该方法包括：获取SYSLOG日志服务器的包过滤日志信息，防火墙现行策略信息；对获取的过滤日志信息解析出每一条包过滤日志中的字段，进行大数据分析，形成固定源IP和目的IP的服务最小化、固定源IP和服务的目的IP最小化、固定目的IP和服务的源IP最小化，确定最精简策略；通过最精简策略与原始策略的对比确定告警级别，生成包含告警编号、告警时间、告警等级、告警名称、告警所属单位、告警源IP、告警目的IP、告警服务端口、处置建议、包过滤日志分析报告的预警信息。本发明保证核心服务器区的网络访问得到最有效的控制与限制，达到提高服务器安全性，降低安全威胁的目的。

Description

一种平台服务器防火墙策略开放范围过大预警方法

技术领域

本发明涉及计算机预警领域，具体地来讲为一种平台服务器防火墙策略开放范围过大预警方法。

背景技术

对于电网整个系统领域而言，协同办公，整个系统访问量数量大，需要在服务器中控制开放程度，以便于用于快速分析防火墙策略的精简性，便于各使用用户能否确定最终的防火墙策略包括源地址、目的地址、服务均最小化，达到快速更新，并及时处置的效果，提升服务器安全能力。

发明内容

本发明所要解决的技术问题在于提供一种平台服务器防火墙策略开放范围过大预警方法，保证核心服务器区的网络访问得到最有效的控制与限制，达到提高服务器安全性，降低安全威胁的目的。

本发明是这样实现的，

一种平台服务器防火墙策略开放范围过大预警方法，该方法包括：

步骤1、获取SYSLOG日志服务器的包过滤日志信息，防火墙现行策略信息；

步骤2、对获取的过滤日志信息解析出每一条包过滤日志中的字段，进行大数据分析，形成固定源IP和目的IP的服务最小化、固定源IP和服务的目的IP最小化、固定目的IP和服务的源IP最小化，确定最精简策略；

步骤3、通过最精简策略与原始策略的对比确定告警级别，生成包含告警编号、告警时间、告警等级、告警名称、告警所属单位、告警源IP、告警目的IP、告警服务端口、处置建议、包过滤日志分析报告的预警信息。

进一步地，步骤1中所述包过滤日志包括源IP、目的IP、服务端口信息、访问时间、以及过滤形式，SYSLOG日志服务器开放采集服务器的访问权限，采集服务器采集到相关日志后发送至大数据平台进行解析。

进一步地，所述步骤2中进行大数据分析包括：对包过滤日志进行匹配，只要有匹配成功的，则将配对成功的包过滤日志所对应的源IP、目的IP以及服务端口确定为正确的数据，加入最精简策略之中，以此类推对近N万条策略以及近M天内包过滤日志进行分析，进而获得最精简策略。

进一步地，所述步骤3中将最精简策略与现行策略进行比对得到三组数据：

以上三组数据形成两级预警形式包括一级预警和二级预警。

进一步地，

一级预警包括：

当(1)×(2)×(3)≥0.8时，表明现行策略极为接近最精简策略，无预警信息生成；

当0.4≤(1)×(2)×(3)＜0.8时，表明现行策略略大于最精简策略，生成一般告警信息；

当(1)×(2)×(3)＜0.4时，表明现行策略较大于最精简策略，生成严重告警信息。

进一步地，所述二级预警包括：

当(1),(2),(3)中任意一个都满足(x)≥0.9，x＝1,2,3时，表明现行策略极为接近最精简策略，无预警信息生成；

当(1),(2),(3)中任意一个都满足0.6≤(x)＜0.9，x＝1,2,3时，表明现行策略略大于最精简策略，生成一般告警信息，同时生成现行策略与最精简策略的对比结果；

当(1),(2),(3)中任意一个都满足(x)＜0.6，x＝1,2,3时，表明现行策略与最精简策略偏差过大，生成严重告警信息，同时生成现行策略与最精简策略的对比结果。

进一步地，一级预警和二级预警顺序判别，先判别一级预警，再判别二级预警，生成相应等级的告警信息，同时生成包括源IP、目的IP和服务端口的条目以及占比的分析报告。

本发明与现有技术相比，有益效果在于：

本发明通过采集服务器区域防火墙的SYSLOG日志服务器的包过滤日志，对近N万条策略以及近M天内包过滤日志进行综合分析，包括固定源IP和目的IP的服务最小化、固定源IP和服务的目的IP最小化、固定目的IP和服务的源IP最小化等分析结果，确定最精简策略，通过与原始策略的对比确定告警级别(若策略相差过大则为严重告警，策略相差不大为一般告警)，下发至相关使用的用户，督促整改进而保证核心服务器区的网络访问得到最有效的控制与限制，达到提高服务器安全性，降低安全威胁的目的。

本发明用户终端访问服务器区，服务器区域防火墙的SYSLOG日志服务器会记录包过滤日志，包过滤日志包括源IP、目的IP、服务端口信息、访问时间、过滤形式等信息，SYSLOG日志服务器将开放采集服务器的访问权限，采集到相关日志后发送至大数据平台进行解析，大数据平台对采集到的数据(近N万条策略以及近M天内包过滤日志：N和M具体数值)进行处理，经过大数据分析处理形成固定源IP和目的IP的服务最小化、固定源IP和服务的目的IP最小化、固定目的IP和服务的源IP最小化等分析结果，进而确定最精简策略，通过与原始策略的对比确定告警级别(若策略相差过大则为严重告警，策略相差不大为一般告警)，无差别则无警告信息产生，督促相关使用用户的单位进行整改。

附图说明

图1为本发明平台服务器防火墙策略开放范围过大预警方法的流程图；

图2为本发明方法应用的硬件结构布置。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

参见图1结合图2所示，一种平台服务器防火墙策略开放范围过大预警方法，该方法包括：

步骤1、获取SYSLOG日志服务器的包过滤日志信息，防火墙现行策略信息；

步骤2、对获取的过滤日志信息解析出每一条包过滤日志中的字段，进行大数据分析，形成固定源IP和目的IP的服务最小化、固定源IP和服务的目的IP最小化、固定目的IP和服务的源IP最小化，确定最精简策略；

步骤3、通过最精简策略与原始策略的对比确定告警级别，生成包含告警编号、告警时间、告警等级、告警名称、告警所属单位、告警源IP、告警目的IP、告警服务端口、处置建议、包过滤日志分析报告的预警信息。

服务器区域防火墙的SYSLOG日志服务器的包过滤日志库，防火墙现行策略库、处置知识信息库。见表1所示，

表1

SYSLOG日志服务器的包过滤日志：

包过滤日志格式说明：

包过滤日志系统(简称日志服务器)，是实现接收、分析、保存设备发出的有关用户历史行为信息的设备。日志服务器通过设备接口从设备获取用户行为，并分析展示。

包过滤日志即为用户访问行为信息，用户访问成功时，设备可以送出一条日志(即通过日志)；访问失败时，设备也可以送出一条日志(即阻断日志)。用户可以通过设置适当的日志服务器分担方式决定设备发送给对应的日志服务器所需要的日志。

包过滤日志由日志头和日志体两部分构成。日志头一般由日志长度、日志类型标识、源IP地址、日志发送时间、动作等组成；日志体一般包括报文中的五元组信息、报文入接口、报文出接口等信息。日志格式分为流日志格式和Syslog日志格式两大类，不同的日志格式对应的具体字段组成存在差异，流日志格式和Syslog格式之间是互斥支持的，详细信息见各格式说明。

流日志格式说明：

流日志由两个可识别的部分组成，第一个部分称为LogHead，即日志头，日志头由日志长度和日志格式类型标志等组成，每一个日志发送报文包含唯一的日志头；第二个部分称为LogBody，即日志体，日志体根据日志格式以及日志报文类型的不同，组成字段存在差异，此外，流日志格式还支持日志体聚合功能，即一个日志发送报文可以在其日志头后接多个日志体，聚合强度根据各流日志格式对应日志体的长度不同存在差异。

LogHead定义:

IPv4流日志格式的LogHead部分由Type和Length组成，Type固定为8。各字段定义如下表2：

表2

LogBody定义:

IPv4日志是设备在IPv4网络环境中对用户的访问信息进行的记录，具体字段组成及各字段定义如下表3所示：

表3

日志发送报文结构如下表4所示：

表4

Syslog日志格式说明

Syslog日志由两个可识别的部分组成，第一个部分称为Header，第二个部分称为MSG。整个Syslog报文采用ASCII文本方式进行设备操作行为记录，包的总长度必须不能超过1024个字节。对Syslog消息的最小长度不做出限制。一个Syslog日志发送报文包含唯一的日志头和日志体，不支持聚合功能。以Syslog日志格式发送通过或阻断日志。

Header定义:

IPv4Syslog日志格式的Header部分包括有日志类型码(默认为142)、包过滤日志版本号(默认为1)、日志发送设备管理口的IPv4地址以及Syslog生成的时间戳等字段，为了提高解析时报文识别的可靠性，日志类型码带“<>”。具体字段组成及各字段定义如下表5所示：

表5

MSG定义:

一个IPv4包过滤Syslog格式的日志发送报文包含唯一的日志头和日志体，不支持聚合功能。支持TCP、UDP、ICMP等协议的报文以Syslog格式发送阻断或通过日志。

IPv4包过滤日志Syslog格式的MSG部分采用ASCII文本形式，各字段间用“|”分隔，具体字段组成及各字段定义如下表7所示：

表7

步骤1中，包过滤日志包括源IP、目的IP、服务端口信息、访问时间、以及过滤形式，SYSLOG日志服务器开放采集服务器的访问权限，采集服务器采集到相关日志后发送至大数据平台进行解析，解析出每一条包过滤日志中的Source IP、Source Port、Destination IP以及Destination Port四个字段。

步骤2中进行大数据分析包括：对包过滤日志进行匹配，只要有匹配成功的，则将配对成功的包过滤日志所对应的源IP、目的IP以及服务端口确定为正确的数据，加入最精简策略之中，以此类推对近N万条策略以及近M天内包过滤日志进行分析，进而获得最精简策略。

策略对比阶段：采集到SYSLOG日志服务器相关日志后发送至大数据平台进行解析，根据固定源IP和目的IP的服务最小化、固定源IP和服务的目的IP最小化、固定目的IP和服务的源IP最小化的原则，进行最精简策略制定，将防火墙现行策略与之进行比较，根据差异大小生成“策略收缩预警信息”。

策略对比采用“存在即合理”的判别机制，即只要有包过滤日志匹配存在，就认为此包过滤日志所对应的源IP、目的IP以及服务端口为正确的，将他们加入最精简策略之中，以此类推对近N万条策略以及近M天内包过滤日志进行分析，进而获得最精简策略。

步骤3中，将最精简策略与现行策略进行比对得到三组数据：

以上三组数据作为根据进行预警，采取两级预警形式：

一级预警，有以下三种情况：

当(1)×(2)×(3)≥0.8时，表明现行策略极为接近最精简策略，无预警信息生成。

当0.4≤(1)×(2)×(3)＜0.8时，表明现行策略略大于最精简策略，生成一般告警信息。

当(1)×(2)×(3)＜0.4时，表明现行策略较大于最精简策略，生成严重告警信息。

二级预警，也有以下三种情况：

当(1),(2),(3)中任意一个都满足(x)≥0.9，x＝1,2,3时，表明现行策略极为接近最精简策略，无预警信息生成。

当(1),(2),(3)中任意一个都满足0.6≤(x)＜0.9，x＝1,2,3时，表明现行策略略大于最精简策略，生成一般告警信息，同时生成现行策略与最精简策略的对比结果。

当(1),(2),(3)中任意一个都满足(x)＜0.6，x＝1,2,3时，表明现行策略与最精简策略偏差过大，生成严重告警信息，同时生成现行策略与最精简策略的对比结果。

在一级预警中阈值0.8和0.4的设置，可根据各用户根据自身业务量具体情况自行确定，当也应符合相应要求，比如0.8在极值情况下(1)＝(2)＝(3)，此时各项比率超过92％，可以任务策略基本满足规范；同理0.4设置也是如此。

在二级预警中阈值0.9和0.6的设置，也可根据各用户根据自身业务量具体情况自行确定，当也应符合相应要求设置。

一级预警和二级预警顺序判别，即先判别一级预警，再判别二级预警，两者相比取其重，生成相应等级的告警信息，同时生成源IP、目的IP和服务端口的条目、占比等分析报告。

预警信息包含有告警编号、告警时间、告警等级、告警名称、告警所属单位、告警源IP、告警目的IP、告警服务端口、处置建议、包过滤日志分析报告等内容。对于告警处置建议

相关用户服务器防火墙管理人员利用预警信息中的包过滤日志分析报告，根据相关业务需求合理更新现行策略以实现源地址、目的地址、服务均最小化，进而提高了服务器的网络安全性。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (7)

1.一种平台服务器防火墙策略开放范围过大预警方法，其特征在于，该方法包括：

步骤1、获取SYSLOG日志服务器的包过滤日志信息，防火墙现行策略信息；

步骤2、对获取的过滤日志信息解析出每一条包过滤日志中的字段，进行大数据分析，形成固定源IP和目的IP的服务最小化、固定源IP和服务的目的IP最小化、固定目的IP和服务的源IP最小化，确定最精简策略；

步骤3、通过最精简策略与原始策略的对比确定告警级别，生成包含告警编号、告警时间、告警等级、告警名称、告警所属单位、告警源IP、告警目的IP、告警服务端口、处置建议、包过滤日志分析报告的预警信息。

2.按照权利要求1所述的方法，其特征在于，步骤1中所述包过滤日志包括源IP、目的IP、服务端口信息、访问时间、以及过滤形式，SYSLOG日志服务器开放采集服务器的访问权限，采集服务器采集到相关日志后发送至大数据平台进行解析。

3.按照权利要求1所述的方法，其特征在于，所述步骤2中进行大数据分析包括：对包过滤日志进行匹配，只要有匹配成功的，则将配对成功的包过滤日志所对应的源IP、目的IP以及服务端口确定为正确的数据，加入最精简策略之中，以此类推对近N万条策略以及近M天内包过滤日志进行分析，进而获得最精简策略。

4.按照权利要求1所述的方法，其特征在于，所述步骤3中将最精简策略与现行策略进行比对得到三组数据：

以上三组数据形成两级预警形式包括一级预警和二级预警。

5.按照权利要求4所述的方法，其特征在于，

一级预警包括：

当(1)×(2)×(3)≥0.8时，表明现行策略极为接近最精简策略，无预警信息生成；

当0.4≤(1)×(2)×(3)＜0.8时，表明现行策略略大于最精简策略，生成一般告警信息；

当(1)×(2)×(3)＜0.4时，表明现行策略较大于最精简策略，生成严重告警信息。

6.按照权利要求4所述的方法，其特征在于，所述二级预警包括：

当(1),(2),(3)中任意一个都满足(x)≥0.9，x＝1,2,3时，表明现行策略极为接近最精简策略，无预警信息生成；

当(1),(2),(3)中任意一个都满足0.6≤(x)＜0.9，x＝1,2,3时，表明现行策略略大于最精简策略，生成一般告警信息，同时生成现行策略与最精简策略的对比结果；

当(1),(2),(3)中任意一个都满足(x)＜0.6，x＝1,2,3时，表明现行策略与最精简策略偏差过大，生成严重告警信息，同时生成现行策略与最精简策略的对比结果。

7.按照权利要求4所述的方法，其特征在于，一级预警和二级预警顺序判别，先判别一级预警，再判别二级预警，生成相应等级的告警信息，同时生成包括源IP、目的IP和服务端口的条目以及占比的分析报告。