TWI607337B - Firewall command rule optimization system and method - Google Patents

Description

防火牆指令規則優化系統及方法

本發明係一種有關於設備防火牆設定之技術，尤其是一種防火牆規則優化的系統及方法。

在網際網路迅速日新月異的今日，惡意攻擊以及電腦病毒的進化亦不落於其後，相對應的，防火牆於扮演一種防範電腦病毒並提高網路傳輸資料保密性的重要腳色時，使用者亦盼望其能夠提供更高效率的保護。

而在傳統的防火牆設定技術中，一般係透過全部刪除然後全部新增防火牆規則之模式，來更動防火牆設定的，然而，當多個使用者一齊進行設定時，再依據傳統技術流程執行，將無可避免地造成執行時間過長或是效能低落等狀況。

而為了改善上述狀況，已有相關的先前技術被研發出來，其係針對防火牆設備直接進行防火牆的規則優化，其雖然可以達成一定效果，然而，該方法仍受限於應用環境之問題，並且，若針對複數使用者一齊進行防火牆設置的更動時，其效果仍難謂理想。

有鑒於此，本發明之發明人即研發了一種有效的防火牆規則優化方法，來解決上述問題。

本發明係提出了一種防火牆指令規則優化系統與方法，旨在快速地將新輸入的防火牆指令規則與既存之防火牆指令規則整併或更動，並接著供裝至防火牆設備，係一種高效率且對使用者友善的快速指令規則優化系統與方法。

本發明提供一種防火牆指令規則優化系統，其中，系統中包含下列部分：一規則快取資料庫，該規則快取資料庫係一用以儲存大量資料的儲存區，其內部依循特定格式儲存有複數個防火牆規則。

本發明更包含一使用者設定接收模組，該使用者設定接收模係設定與使用者管理介面連結，以利使用者透過使用者管理介面來寫入並傳輸至少一初步防火牆設定，該初步防火牆設定可以依據多種格式被寫入。

本發明更包含一資源配發模組，該資源配發模組係為本發明之主要部份，其係透過執行一防火牆規則精進演算法，以接收從與其連結的該使用者設定接收模組所傳輸來之各該初步防火牆設定，並依據各該初步防火牆設定的來源位址或服務協定的格式，將各該初步防火牆設定與該規則快取資料庫內既存的各該防火牆規則更新和整合。

其中，該防火牆規則精進演算法，係由該資源配發模組執行之，其至少包含下列步驟：

1.合併規則，該資源配發模組判斷各該初步防火牆設定係為可以與該規則快取資料庫內已有的各該防火牆規則合併，執行防火牆規則異動。

2.新增規則，該資源配發模組判斷各該初步防火牆設定係為不可與該規則快取資料庫內已有的防火牆規則合 併，則執行防火牆規則新增。

3.刪除規則，該資源配發模組判斷該規則快取資料庫內已有的防火牆規則是否已經異動，若是，則執行防火牆規則異動，若否，則執行防火牆規則刪除。

其中，判斷各該初步防火牆設定是否可合併之依循係為合併後之各該防火牆規則是否維持來源位址或目的位址之等價。

本發明最後還包含一防火牆設備供裝模組，其係用以將經該資源配發模組更新和整合之各該防火牆規則，配發供裝至防火牆設備。

相對應地，本發明亦提供了一種防火牆指令規則優化方法，其可包含以下步驟：1.透過一規則快取資料庫儲存複數防火牆規則；2.透過一使用者設定接收模組以接收使用者管理介面傳來之至少一初步防火牆設定；3.透過一資源配發模組執行一防火牆規則精進演算法，將自該使用者設定接收模組傳來之各該初步防火牆設定依來源位址或服務協定格式，與該規則快取資料庫內存的各該防火牆規則更新和整合；以及4.透過一防火牆設備供裝模組將經該資源配發模組更新和整合之各該防火牆規則配發至防火牆設備。

其中，該防火牆規則精進演算法係由該資源配發模組執行之，其包含之步驟與前述系統中所載相同，包含：合併規則、新增規則以及刪除規則。

至此，應可瞭解本發明透過上述的防火牆指令規則優化系統與方法，提供給使用者進行新輸入的防火牆指令規則與既存之防火牆指令規則整併或更動，實為一種便利實 用的技術。

A‧‧‧使用者

B‧‧‧使用者

C‧‧‧使用者

100‧‧‧雲端防火牆資源配發器

110‧‧‧使用者設定接收模組

120‧‧‧資源配發模組

130‧‧‧防火牆設備供裝模組

131‧‧‧防火牆設備供裝模組

132‧‧‧防火牆設備供裝模組

140‧‧‧規則快取資料庫

200‧‧‧防火牆設備

300‧‧‧使用者管理介面

301‧‧‧使用者管理介面

302‧‧‧使用者管理介面

400‧‧‧虛擬機器

500‧‧‧網際網路或私網路

S401~S406‧‧‧步驟流程

S4041~S4044‧‧‧步驟流程

S4051~S4052‧‧‧步驟流程

S4061~S4062‧‧‧步驟流程

圖1係為目前雲端環境的簡化架構圖。

圖2係為本發明防火牆規則格式之範例示意圖。

圖3係為本發明之系統架構圖。

圖4係為本發明之防火牆規則精進演算法的步驟流程圖。

圖5係為本發明新增防火牆規則的流程步驟圖。

圖6係為本發明刪除防火牆規則的流程步驟圖。

圖7係為本發明異動防火牆規則的流程步驟圖。

圖8係為本發明之一防火牆情境示意圖。

圖9係為本發明之一防火牆情境示意圖。

圖10係為本發明之一防火牆情境示意圖。

圖11係為多個使用者同時操作防火牆的情境示意圖。

以下將以實施例結合圖式對本發明進行進一步說明，首先請參照圖1，其係為目前雲端環境的簡化架構圖，該配置可應用於公有雲或私有雲環境中，其中，虛擬機器係在遠端機房中執行，由使用者透過網路操作，使用者可透過使用者管理介面來操作相關的雲運算資源，其中，虛擬機器可連線到網際網路或私網路，而為了提高安全性或避免攻擊，虛擬機器將透過防火牆設備來阻擋及過濾可疑封包。

一般來說，操作過程為，使用者透過瀏覽器開啟使用者管理介面，使用者設定防火牆規則，並傳輸給雲端防 火牆資源配發器以完成操作，其中，雲端防火牆資配發器為係透過Restful API介面和使用者管理介面進行資料傳輸；其中，雲端防火牆資源配發器接收到使用者操作設定的防火牆規則資料後，再將資料轉換成相對應的指令，以對防火牆設備進行設定，配發器與防火牆設備之溝通介面可為Telnet、SSH或Restful API等；當防火牆設備之設定完成後，即完成整體操作流程，此時，使用者設定之防火牆規則隨即生效。

再請參閱圖2，其係為本發明防火牆規則格式之範例示意圖，其中，防火牆規則格式係由下列欄位所構成，可以包含：防火牆規則ID、來源位址(IP)、目的位址(IP)、服務協定、當前狀態等等，防火牆設備進行規則之設定時，即係以此格式儲存；其中，防火牆規則ID內容為數字編碼，其係代表了防火牆規則的唯一識別碼，當不可有重覆設置之情事，而來源位址係代表了連線封包的來源，相對地，目的位址則為連線封包的目的地，另外，服務協定係由網際網路協定種類及連接埠的號碼所組成，而狀態可以為啟用或停用等等，上述防火牆規則格式中包含之所有欄位都不以為空，其中，來源位址、目的位址、服務協定等等，皆係可以為多筆記錄所組成。

請參閱圖3，係為本發明之系統架構圖，本發明之配置即為圖1中所述雲端之防火牆資源配發器，由四個元件組成：使用者設定接收模組110、資源配發模組120、防火牆設備供裝模組130以及規則快取資料庫140。

其中，使用者設定接收模組110係用以接收使用者自使用者管理介面輸入值(即為初步防火牆設定)，並可在防火牆規則之整併執行完畢後將結果回傳給使用者管理介面， 使用者即可得知設定成功，整體過程係採非同步模式，便利使用者之管理。

而資源配發模組120則係將使用者輸入值(即為初步防火牆設定)轉換為防火牆設備供裝模組所需參數，其透過執行一防火牆規則精進演算法，以將使用者輸入的初步防火牆設定與規則快取資料庫中既存的規則整併同步。

防火牆設備供裝模組130，係用以執行防火牆設備之供裝程序，其係用以將防火牆規則轉換為正確的防火牆供裝指令，可以支援標準的或特定的防火牆供裝指令，其係透過Telnet、SSH或Restful API介面與防火牆設備進行溝通。

而規則快取資料庫140，則是本發明用以紀錄所有防火牆規則的儲存區，此儲存區之設置係為了改善先前技術中防火牆設備存取速度過慢之弊病，本發明無論於讀取或寫入防火牆規則之狀況下，皆為透過規則快取資料庫來完成，於完成後，再對防火牆設備進行設定，如此將可以大幅降低直接對防火牆設備進行讀取所造成之負擔。

再請參閱圖4，係為本發明之資源配發模組執行防火牆規則精進演算法的步驟流程圖，其中，步驟S401係為資源配發模組根據初步防火牆設定進行處理程序的選擇，處理程序分為新增、異動以及刪除等三種；當選擇了新增規則後，進入步驟S402新增防火牆規則判斷程序，資源配發模組將判斷初步防火牆設定是否可與既存的防火牆規則合併，若結果係為否，規則不能夠與現存規則合併，則資源配發模組進入步驟S404新增防火牆規則，如結果為是，初步防火牆設定可與既存的防火牆規則合併，則資源配發模組進入S405異動防火牆規則，其中，所謂可否合併的判斷原則係為維持等 價效果即可，亦即來源位址(IP)、目的位址(IP)或服務協定合併後的效果係一樣的，即可以合併。

請繼續參閱圖4，其中，接續步驟S401後，資源配發模組亦可依據使用者的初步防火牆設定內容(即為刪除防火牆規則)，選擇性地進入步驟S403刪除防火牆規則判斷程序，資源配發模組判斷是否能直接對既存的防火牆規則進行刪除，或是需進行防火牆規則異動，若能直接進行刪除，則進入步驟S406刪除防火牆規則，若結果為否，無法直接刪除，則資源配發模組將透過執行步驟S405異動防火牆規則，來將須刪除的防火牆規則以異動方式進行移除。

本發明的防火牆規則抓取方法，係由資源配發模組透過使用者代碼抓取既存之防火牆規則，係通過規則快取資料庫140來進行查詢，當可以大幅降低須直接查詢防火牆設備的。

如上所述，防火牆規則精進演算法中會有步驟S404新增防火牆規則、S405異動防火牆規則及步驟S406刪除防火牆規則等三種選項，其各自步驟中的流程將詳細說明如下。

請參閱圖5，係為新增防火牆規則的流程步驟圖，首先，進行步驟S4041，資源配發模組自規則快取資料庫裡取得一個未配發的防火牆規則ID；接著，係為步驟S4042，資源配發模組進行防火牆規則格式之配置，資源配發模組會將使用者輸入的設火牆規則轉換為圖2範例所示之防火牆規則格式，其中，防火牆規則ID是採用使用者代碼加上流水號組合而成，其優點係為使用者代碼可以被使用為索引值以進行較快速的抓取動作；再來，進行步驟S4043，資源配發模組 會將新增的防火牆規則儲存至規則快取資料庫；最後，進行步驟S4044，資源配發模組呼叫防火牆設備供裝模組，將新增防火牆規則設定至指定防火牆設備。

再請參閱圖6，係為刪除防火牆規則的流程步驟圖，首先，進行步驟S4061，資源配發模組至規則快取資料庫中將指定防火牆規則刪除；接著，進行步驟S4062，資源配發模組呼叫防火牆設備供裝模組，將防火牆設備內的防火牆規則刪除。

再請參閱圖7，其係為異動防火牆規則的流程步驟圖，首先，進行步驟S4051，資源配發模組將欲進行異動的防火牆規則中之來源位址、目的位址或服務協定格式內容更新，接著在規則快取資料庫中對原本的防火牆規則進行異動，可以透過防火牆規則ID作索引來進行；接著，進行步驟S4052，資源配發模組呼叫防火牆規則供裝模組，以異動防火牆設備上的防火牆規則。

本發明之防火牆指令規則優化方法完整流程如下，當使用者在使用者介面中把防火牆規則編輯好送出，使用者設定接收模組110會將新的防火牆送到資源配發模組120，接著，資源配發模組120將透過防火牆規則精進演算法，將新的防火牆規則存到規則快取資料庫140中，最後，防火牆設備供裝模組130將新的防火牆規則設定至防火牆設備，以完成防火牆指令規則優化方法。

圖8、9、10皆為防火牆情境示意圖，其中，各圖中的左側圖為展示使用者管理介面，左圖中的序號僅係為了舉例說明本發明之情境，其中，使用者可以編輯管理介面中的防火牆規則，輸入送出後，即成為初步防火牆設定；而 各圖中右側的圖，則係為規則快取資料庫所儲存的防火牆規則格式，每次執行時，防火牆規則將被儲存入規則快取資料庫，過程中，將透過防火牆規則精進演算法來執行防火牆指令優化。

請先參閱圖8之情境示意圖，其中，使用者新增了三筆防火牆規則，序號分別為1、2及3；在防火牆規則精進演算法的過程中，由於該三筆防火牆規則並未在規則快取資料庫被查詢到，因此，資源配發模組將新增三筆防火牆規則至規則快取資料庫，其中，三筆防火牆規則ID分別係為5500010700001、5500010700002以及5500010700003。

再請參閱圖9之情境示意圖，使用者又新增了三筆防火牆規則送出，其序號分別為4、5以及6，規則總數共為六筆；在防火牆規則精進演算法的過程中，序號為1、2以及3的防火牆規則設定，在既存的防火牆規則中皆可被查詢到相同的規則(自規則快取資料庫中可讀取)，因此，該三筆規則將不進行處理(不刪除、不異動亦不新增)；另外，在進行序號為4的防火牆規則處理時，由於防火牆規則中的目的位址與防火牆規則ID 5500010700001的目的位址相同，且其通訊協定皆為TCP 80，以及其狀態皆設定為啟用，資源配發模組將進行把來源位址作合併的程序，其中，防火牆規則ID 5500010700001的來源位址將被異動為多值(210.65.10.1,210.65.10.4)；而在處理序號為5的防火牆規則時，由於其目的位址與防火牆規則ID 5500010700002相同，且其來源位址也亦為相同值(210.65.10.2)，因此，資源配發模組將進行通訊協定合併程序(TCP 80、TCP 3389)；最後，在進行序號6的防火牆規則處理時，雖然其目的位址與防火牆規則ID 5500010700003相同，但是其通訊協定和來源位址不相同，因此，當無法進行規則合併，資源配發模組會進行防火牆規則的新增，新增防火牆條目為ID 5500010700004的防火牆規則；在防火牆規則精進演算法執行完畢後，雖然使用者設定送出有六筆防火牆規則，實際上，最後僅被優化為四筆防火牆規則，且設定於規則快取資料庫及防火牆設備。

再請參閱圖10之情境示意圖，使用者刪除了三筆防火牆規則，其序號分別為1、5及6；防火牆規則精進演算法的過程中，處理序號為1的防火牆規則時，資源配發模組會在防火牆規則ID 5500010700001中把來源位置移除掉；而序號為2、3及4的防火牆規則都是既存的防火牆規則查詢到，因此不進行處理，在進行序號為5的防火牆規則處理時，會查詢到防火牆規則ID 5500010700002，將其中的通訊協定拆除掉(TCP 3389)，在進行序號6的防火牆規則處理時，會查詢到完全相同的防火牆規則ID 5500010700004，此時，資源配發模組可以將該條防火牆規則整個刪除。

最後，請參閱圖11，其係為多個使用者同時操作防火牆的情境示意圖，多個使用者可同時在防火牆介面中進行設定，使用者設定接收模組110接收多個設定；而資源配發模組120在防火牆規則精進演算法的處理過程中，會先將防火牆規則儲存至規則快取資料庫140，多個防火牆設備供裝模組130再把防火牆規則設定於防火牆設備上，整體優化供裝過程中，由於防火牆規則ID係由使用者代碼加上流水號組成，因此將不會造成資源衝突之問題，使得多個防火牆規則供裝模組130可以同時執行以增加系統效能。

綜上所述，本發明於技術思想上實屬創新，也具 備先前技術不及的多種功效，已充分符合新穎性及進步性之法定發明專利要件，爰依法提出專利申請，懇請 貴局核准本件發明專利申請案以勵發明，至感德便。

A‧‧‧使用者

B‧‧‧使用者

C‧‧‧使用者

110‧‧‧使用者設定接收模組

120‧‧‧資源配發模組

130‧‧‧防火牆設備供裝模組

131‧‧‧防火牆設備供裝模組

132‧‧‧防火牆設備供裝模組

140‧‧‧規則快取資料庫

200‧‧‧防火牆設備

300‧‧‧使用者管理介面

301‧‧‧使用者管理介面

302‧‧‧使用者管理介面

Claims (6)

1. 一種防火牆指令規則優化系統，其包含：一規則快取資料庫，係用以儲存複數防火牆規則；一使用者設定接收模組，與外部使用者管理介面連結用以傳輸至少一初步防火牆設定；一資源配發模組，該資源配發模組係透過一防火牆規則精進演算法，將自該使用者設定接收模組傳來之各該初步防火牆設定依來源位址或服務協定格式，與該規則快取資料庫內既存的各該防火牆規則更新和整合；以及一防火牆設備供裝模組，將經該資源配發模組更新和整合之各該防火牆規則配發至防火牆設備。
2. 如申請專利範圍第1項所述之防火牆指令規則優化系統，其中，該防火牆規則精進演算法係由該資源配發模組執行以下步驟，其至少包含：合併規則，該資源配發模組判斷各該初步防火牆設定係為可以與該規則快取資料庫內已有的各該防火牆規則合併，執行防火牆規則異動；新增規則，該資源配發模組判斷各該初步防火牆設定係為不可與該規則快取資料庫內已有的防火牆規則合併，則執行防火牆規則新增；以及刪除規則，該資源配發模組判斷該規則快取資料庫內已有的防火牆規則是否已經異動，若是，則執行防火牆規則異動，若否，則執行防火牆規則刪除；其中，判斷各該初步防火牆設定是否可合併之依循係為合併後之各該防火牆規則是否維持來源位址或目的位址之 等價。
3. 如申請專利範圍第1項所述之防火牆指令規則優化系統，其中，該資源配發模組更可在執行該防火牆規則精進演算法完畢後，傳輸反饋訊息至該使用者設定接收模組。
4. 一種防火牆指令規則優化方法，其包含以下步驟：透過一規則快取資料庫儲存複數防火牆規則；透過與外部使用者管理介面連結之一使用者設定接收模組接收至少一初步防火牆設定；透過一資源配發模組執行一防火牆規則精進演算法，將自該使用者設定接收模組傳來之各該初步防火牆設定依來源位址或服務協定格式，與該規則快取資料庫內既存的各該防火牆規則更新和整合；以及透過一防火牆設備供裝模組將經該資源配發模組更新和整合之各該防火牆規則配發至防火牆設備。
5. 如申請專利範圍第3項所述之防火牆指令規則優化方法，其中，該防火牆規則精進演算法係由該資源配發模組執行以下步驟，其至少包含：合併規則，該資源配發模組判斷各該初步防火牆設定係為可以與該規則快取資料庫內已有的各該防火牆規則合併，執行防火牆規則異動；新增規則，該資源配發模組判斷各該初步防火牆設定係為不可與該規則快取資料庫內已有的防火牆規則合併，則執行防火牆規則新增；以及刪除規則，該資源配發模組判斷該規則快取資料庫內已有的防火牆規則是否已經異動，若是，則執行防火牆規則異動，若否，則執行防火牆規則刪除； 其中，判斷各該初步防火牆設定是否可合併之依循係為合併後之各該防火牆規則是否維持來源位址或目的位址之等價。
6. 如申請專利範圍第3項所述之防火牆指令規則優化方法，其中，該資源配發模組更可在執行該防火牆規則精進演算法完畢後，傳輸反饋訊息至該使用者設定接收模組。