WO2015168902A1 - 一种生成访问控制列表规则的方法、装置及系统 - Google Patents

一种生成访问控制列表规则的方法、装置及系统 Download PDF

Info

Publication number
WO2015168902A1
WO2015168902A1 PCT/CN2014/077031 CN2014077031W WO2015168902A1 WO 2015168902 A1 WO2015168902 A1 WO 2015168902A1 CN 2014077031 W CN2014077031 W CN 2014077031W WO 2015168902 A1 WO2015168902 A1 WO 2015168902A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
acl
security
server
firewall system
Prior art date
Application number
PCT/CN2014/077031
Other languages
English (en)
French (fr)
Inventor
蓝海青
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to PCT/CN2014/077031 priority Critical patent/WO2015168902A1/zh
Priority to CN201480033317.3A priority patent/CN105393497B/zh
Publication of WO2015168902A1 publication Critical patent/WO2015168902A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/34—Signalling channels for network management communication
    • H04L41/344—Out-of-band transfers

Definitions

  • the present invention relates to the field of communications, and in particular, to a method, device, and system for generating an access control list rule.
  • firewall In modern communication systems, in order to ensure the secure transmission of data, a firewall is usually added between the internal network and the external network. This firewall allows legitimate data packets to pass, prohibiting the passage of illegal data packets, thereby achieving secure data transmission.
  • the main working principle of firewall technology is to use ACL (Access Control List) to achieve secure data transmission.
  • ACL Access Control List
  • the ACL records multiple ACL rules so that the firewall can determine whether the received data packet can pass through the firewall through the ACL rule, so as to achieve secure data transmission.
  • the process of generating an ACL rule is as follows: When the firewall detects a network security threat, the firewall generates an ACL rule according to the network security threat, and then sets the generated ACL rule to be effective, and records the ACL rule after the entry. In the ACL, update the ACL. Network security protection is based on multiple ACL rules recorded by the updated ACL.
  • each firewall can only generate ACL rules based on the network security threats that it detects.
  • the generated ACL rules can only prevent network security threats that they encounter, but cannot prevent other firewalls from being encountered. Network security threats. In other words, each firewall cannot protect against all network security threats encountered by the entire network system, thereby reducing the security of the entire network system.
  • Embodiments of the present invention provide a method, apparatus, and system for generating an access control list rule for preventing all network security threats encountered by the entire network system, thereby improving the security of the entire network system.
  • an embodiment of the present invention provides a server, including: an acquiring unit, And a generating unit, configured to generate an access control list AC L rule according to the network security threat information and the security policy information acquired by the acquiring unit, and a sending unit, configured to: The AC L rule generated by the generating unit is sent to at least one firewall system.
  • the security policy information includes: security policy information that supports security level division; the generating unit is specifically configured to use the network security threat acquired by the acquiring unit The information and the security policy information supporting the security level division generate AC L rules of different security levels; the sending unit is specifically configured to send the AC L rules of the different security levels generated by the generating unit to a security level Corresponding firewall system.
  • the security policy information includes: security policy information that supports area division; the generating unit is specifically configured to use the network security threat information acquired by the acquiring unit And the security policy information of the support area is used to generate an AC L rule of a different area.
  • the sending unit is specifically configured to send the ACL rule of the different area generated by the generating unit to a firewall system corresponding to the area.
  • the security policy information includes: security policy information that supports security level division and supports area division; and the generating unit is specifically configured to acquire according to the acquiring unit.
  • the network security threat information and the security policy information supporting the security level division and supporting the area division generate AC L rules of different security levels in different areas; the sending unit is specifically configured to use the different generated by the generating unit
  • the AC L rules of different security levels of the zone are sent to the firewall system corresponding to the zone.
  • the acquiring unit is further configured to acquire the first information;
  • the first information includes the first ACL planning information and/or the user usage requirement information.
  • the generating unit is specifically configured to: when the first information includes the first AC L planning information, according to the Generating the AC L rule by using the first AC L planning information, the network security threat information, and the security policy information;
  • the generating unit is configured to generate the ACL rule according to the user usage requirement information, the network security threat information, and the security policy information, where the first information includes the user usage requirement information;
  • the generating unit is configured to: when the first information includes the first ACL planning information and the user usage requirement information, according to the first ACL planning information, the user uses demand information, where The network security threat information and the security policy information generate the ACL rule.
  • the generating unit is specifically configured to: according to the first ACL rule, the network acquired by the acquiring unit The security threat information and the security policy information generate the ACL rule; or the generating unit is specifically configured to: according to the first ACL rule, the network security threat information acquired by the acquiring unit, the security policy information, and The first information generates the ACL rule.
  • the embodiment of the present invention provides a firewall system, including: an obtaining unit, configured to obtain an ACL rule of an ACL; a processing unit, configured to perform the ACL rule obtained by the acquiring unit; And the security protection of the first node is performed according to the ACL rule that is in effect; wherein the first node is a node protected by the firewall system.
  • the method further includes: a receiving unit, where the acquiring unit is configured to trigger the receiving unit to receive an ACL rule sent by the server; or the acquiring unit is specifically configured to: Obtain the ACL rule configured by the user.
  • the acquiring unit is configured to trigger the receiving unit to receive the security level corresponding to the server
  • the ACL rule is configured to: the acquiring unit is configured to trigger the receiving unit to receive the ACL rule corresponding to the area sent by the server.
  • the method further includes: a sending unit, where the processing unit is configured to trigger the receiving unit to receive a data packet sent by the external network, where the processing unit is configured to determine, according to the ACL rule that is in effect, the receiving unit Whether the data packet is a security data packet; the processing unit is specifically configured to trigger the sending when the data packet received by the receiving unit is determined to be a security data packet according to the validated AC L rule The unit sends the data packet to the first node; the processing unit is specifically configured to: when determining, according to the validated AC L rule, that the data packet received by the receiving unit is an unsecure data packet Determining whether the data packet is network security threat information; the processing unit is specifically configured to: when determining that the data packet is the network security threat information, trigger the sending unit to use the data packet as the network Security threat information is sent to the server.
  • a sending unit where the processing unit is configured to trigger the receiving unit to receive a data packet sent by the external network, where the processing unit is configured to determine, according to the ACL rule that
  • the receiving unit is further configured to receive network security threat information that is sent by the first node
  • the sending unit is further configured to send the network security threat information received by the receiving unit to the server.
  • the acquiring unit is further configured to acquire user usage requirement information.
  • the sending unit is further configured to send the user usage requirement information acquired by the acquiring unit to the server.
  • an embodiment of the present invention provides a method for generating an access control list rule, including: a server acquiring network security threat information and security policy information; and the server according to the obtained network security threat information and the security policy The information generates an access control list AC L rule; the server sends the generated AC L rule to at least one firewall system.
  • the security policy information includes: security policy information that supports security level division; and the server generates the location according to the obtained network security threat information and the security policy information.
  • the ACL rule includes: the server generates an AC L rule of different security levels according to the obtained network security threat information and the security policy information that is supported by the security level; the server sends the generated AC L rule to
  • the at least one firewall system includes: the server sends the generated AC L rules of different security levels to a firewall system corresponding to the security level.
  • the security policy information includes: security policy information that supports area division; the server generates the foregoing according to the obtained network security threat information and the security policy information.
  • the AC L rule includes: the server generates an AC L rule of a different area according to the obtained network security threat information and the security policy information of the support area; the server sends the generated AC L rule to at least one
  • the firewall system includes: the server sends the generated AC L rules of the different areas to the firewall system corresponding to the area.
  • the security policy information includes: security policy information that supports security level division and supports area division; the server according to the obtained network security threat information and the security The policy information generates the AC L rule includes: the server generates an AC L rule of different security levels in different areas according to the obtained network security threat information and the security policy information that supports the security level division and supports the area division; The sending, by the server, the generated AC L rule to the at least one firewall system includes: the server sending an ACL rule of different security levels of the different areas to a firewall system corresponding to the area.
  • the method further includes: the server acquiring the first information, where the first information includes first ACL planning information and/or user usage requirement information;
  • the obtaining the network security threat information and the security policy information to generate the AC L rule includes: in a case where the first information includes the first AC L planning information, the server is configured according to the first The AC L planning information, the network security threat information, and the security policy information generate the ACL rule; where the first information includes the user usage requirement information, the server is based on the acquired user Generating the ACL rule by using the network security threat information and the security policy information, where the first information includes the AC L case of a planning and information needs of the user information, the server according to the acquired first ACL planning information, the user needs information, the network information security threats and the security policy letter The AC L rule is generated.
  • the server generates the AC L according to the obtained network security threat information and the security policy information
  • the rule includes: the server generates the AC L rule according to the first AC L rule, the network security threat information, the security policy information, and the first information.
  • the embodiment of the present invention provides a method for generating an access control list rule, including: a firewall system acquiring an access control list AC L rule; the firewall system validating the acquired AC L rule; The AC L rule after the activation is performed to protect the first node; the first node is a node protected by the firewall system.
  • the acquiring, by the firewall system, the AC L rule includes: the firewall system receiving an AC L rule sent by a server; or the firewall system acquiring an AC L configured by a user rule.
  • the receiving, by the firewall system, the AC L rule sent by the server includes: the firewall system receiving the server Sending the AC L rule corresponding to the security level; or, the firewall system receives the AC L rule corresponding to the area sent by the server.
  • the firewall system performs security protection on the first node according to the ACL rule after the effective
  • the firewall system receives the data packet sent by the external network; the firewall system determines, according to the AC L rule that is in effect, whether the received data packet is a security data packet; if the firewall system is valid according to the The ACL rule determines that the received data packet is a secure data packet, and the firewall system sends the received data packet to the first node; if the firewall system is based on the validated AC L rule Determining whether the received data packet is an unsecure data packet, and the firewall system determines whether the data packet is network security threat information; if the firewall system determines that the data packet is the network security threat information, The firewall system sends the data packet to the server as the network security threat information.
  • the method further includes: the firewall system receiving the network security threat information sent by the first node, and receiving The received network security threat information is sent to the server.
  • the method further includes: the firewall system acquiring user usage requirement information, and acquiring the obtained information The user uses the demand information to send to the server.
  • the embodiment of the invention provides a method, a device and a system for generating an access control list rule.
  • the server After obtaining the network security threat information and the security policy information, the server generates an access control list ACL according to the obtained network security threat information and security policy information. Rules, and send the generated ACL rules to the corresponding firewall system.
  • the network security threat information obtained by the server is the security threat information encountered in the entire network system
  • the ACL rule generated according to the security threat information and the security policy information can guard against all network security threats encountered by the entire network system. Thereby improving the security of the entire network system.
  • FIG. 1 is a schematic diagram of functions of a server according to an embodiment of the present invention
  • FIG. 2 is a schematic diagram of functions of a firewall system according to an embodiment of the present invention
  • FIG. 3 is a schematic diagram of functions of another firewall system according to an embodiment of the present invention
  • FIG. 4 is a schematic diagram of generating an access control list according to an embodiment of the present invention
  • FIG. 5 is a schematic flowchart of another method for generating an access control list according to an embodiment of the present invention
  • FIG. 6 is a schematic flowchart of another method for generating an access control list according to an embodiment of the present invention.
  • FIG. 7 is a schematic structural diagram of a server according to an embodiment of the present disclosure.
  • FIG. 8 is a schematic structural diagram of a firewall system according to an embodiment of the present invention
  • FIG. 9 is a schematic structural diagram of a system for generating an access control list rule according to an embodiment of the present invention.
  • FIG. 1 is a schematic diagram of a function of a server according to an embodiment of the present invention.
  • the server includes: an obtaining unit 101, a generating unit 102, and a sending unit 103.
  • the obtaining unit 101 is configured to obtain network security threat information and security policy information.
  • the header information of the network security threat information includes at least one of source address information, destination address information, source port number information, and destination port number information.
  • the obtaining unit 101 may receive the network security threat information sent by the firewall system; the security policy information acquired by the acquiring unit 101 is the filtering rule information configured by the receiving user according to the requirement.
  • the acquiring unit 101 may also obtain the network security threat information and the security policy information according to other methods, which is not limited by the present invention.
  • the security policy information includes: security policy information that supports security level division; or
  • the security policy information includes: security policy information supporting area division; or The security policy information includes: security policy information that supports security level division and supports area division.
  • the generating unit 102 is configured to generate an access control list A C L (A c c e s s Control List) rule according to the network security threat information and the security policy information acquired by the acquiring unit 101.
  • the generating unit 102 generates the ACL rule according to the obtained network security threat information and the security policy information in two ways, as follows:
  • the generating unit 102 parses the source address information and the destination address information carried in the header information of the network security threat information. At least one of the source port number information and the destination port number information, and determining, according to the user-configured security policy information acquired by the obtaining unit 101, the network interface information that the network security threat information can pass and the network interface that cannot pass And generating, according to the network security threat information, the at least one of the source address information, the destination address information, the source port number information, and the destination port number information carried in the network security threat information.
  • the execution instruction is an ACL rule that allows the instruction.
  • the generating unit 102 parses the source address information and the destination address information carried in the header information of the network security threat information. At least one of the source port number information and the destination port number information, and determining, according to the user-configured security policy information acquired by the obtaining unit 101, the network interface information that the network security threat information can pass and the network interface that cannot pass. The information, according to at least one of the source address information, the destination address information, the source port number information, and the destination port number information carried in the network security threat information, and the network interface information that is not allowed to pass generate the network security threat information.
  • the corresponding execution instruction is an ACL rule that prohibits the instruction.
  • the generating unit 102 generates different ACL rules according to different security policy information, specifically:
  • the generating unit 102 is specifically configured to obtain according to the acquiring unit 101.
  • the network security threat information and the security policy information that supports the security level are generated to generate ACL rules of different security levels.
  • the generating unit 102 after the security policy information includes the security policy information that supports the security level division, parses the network security threat after the obtaining unit 101 receives the network security threat information sent by the firewall system. At least one of the source address information, the destination address information, the source port number information, and the destination port number information carried in the packet header information, and the security policy according to the user-configured support security level acquired by the obtaining unit 101 Information, determining the network interface information that the network security threat information can pass and the network interface information that cannot pass under each security level, thereby generating source address information, destination address information, and source port according to the network security threat information. The at least one of the number information and the destination port number information and the network interface information allowed to pass under each security level generate an execution command corresponding to the network security threat information as an ACL rule corresponding to each security level of the allowed instruction.
  • the generating unit 102 generates, according to the network security threat information and the security policy information that supports the security level, an execution instruction corresponding to the network security threat information as a method for prohibiting an ACL rule corresponding to each security level of the instruction,
  • the method for generating the ACL rule corresponding to each security level of the command by the generating unit 102 according to the network security threat information and the security policy information that supports the security level is generated. I will not repeat them here.
  • the security policy information includes: the security policy information that supports the area division
  • the generating unit 102 is specifically configured to use the network security threat information acquired by the acquiring unit 101 and the security of the support area division.
  • the policy information generates ACL rules for different areas.
  • the generating unit 102 after the security policy information includes the security policy information that supports the area division, parses the network security threat information after the obtaining unit 101 receives the network security threat information sent by the firewall system.
  • Source address information, destination address information, source port number information, and destination end carried in the header information At least one of the information of the slogan information, and determining the network interface information that the network security threat information can pass under each area according to the security policy information of the user-configured support area obtained by the obtaining unit 1 0 1
  • the network interface information that cannot pass, according to at least one of source address information, destination address information, source port number information, and destination port number information carried in the network security threat information, and a network allowed to pass through each area.
  • the interface information generates an execution instruction corresponding to the network security threat information, which is an ACL rule corresponding to each area of the allowed instruction.
  • the generating unit 102 generates a method in which the execution instruction corresponding to the network security threat information is an ACL rule corresponding to each area of the prohibition instruction according to the network security threat information and the security policy information of the support area division, Referring to the generating unit 1 0 2, according to the network security threat information and the security policy information of the support area division, a method for generating an execution instruction corresponding to the network security threat information is a method for allowing a corresponding ACL rule of each area of the instruction, and the present invention I will not repeat them here.
  • the security policy information includes: the security policy information that supports the security level division and supports the area division
  • the generating unit 1 0 2 is specifically used to obtain the network security threat according to the obtaining unit 1 0 1
  • the information and the security policy information supporting the security level division and supporting the area division generate ACL rules of different security levels in different areas.
  • the generating unit 1 0 2 receives the network security threat information sent by the firewall system in the acquiring unit 1 0 1 when the security policy information includes the security policy information that supports the security level division and supports the area division. And parsing at least one of the source address information, the destination address information, the source port number information, and the destination port number information carried in the header information of the network security threat information, and acquiring the information according to the obtaining unit 1 0 1
  • the security policy information of the user-defined support area is divided, and the network interface information that the network security threat information can pass and the network interface information that cannot pass through each network security level in each area are determined, thereby according to the network security threat information.
  • At least one of the source address information, the destination address information, the source port number information, and the destination port number information carried in each area and the network interface information allowed to pass through each security level of each area are generated corresponding to the network security threat information.
  • Execution finger Let ACL rules correspond to each security level for each zone of the command. It should be noted that, the generating unit 102 generates, according to the network security threat information and the security policy information that supports the security level division and supports the area division, an execution instruction corresponding to the network security threat information is each security of each area of the prohibition instruction.
  • the generating unit 102 may generate an execution instruction corresponding to the network security threat information according to the network security threat information and the security policy information supporting the security level division and supporting the area division as each of the permission instructions.
  • the method of the ACL rule corresponding to each security level of the area is not described herein.
  • the sending unit 103 is configured to send the ACL rule generated by the generating unit 102 to at least one firewall system.
  • the sending unit 103 is specifically configured to send the ACL rule of the different security level generated by the generating unit 102 to the security policy.
  • the level corresponds to the firewall system.
  • the sending unit 103 is different according to the security level of the protection node corresponding to each firewall system configured by the user. Determine the security level of the protection node corresponding to each firewall system, and send the generated ACL rules of different security levels to the firewall system corresponding to the security level of the protection node.
  • the sending unit 103 is configured to send the ACL rule of the different area generated by the generating unit 102 to the firewall system corresponding to the area, where the security policy information includes the security policy information of the area.
  • the sending unit 103 determines each according to the area of the protection node corresponding to each firewall system configured by the user. The area of the protection node corresponding to the firewall system, and sends the generated ACL rules of different areas to the firewall system corresponding to the area of the protection node.
  • the security policy information includes: Support for security level division and support for area division
  • the sending unit 103 is specifically configured to send an ACL rule of different security levels in different areas of the generating unit 102 to a firewall system corresponding to the area.
  • the sending unit 1Q3 when the generating unit 102 generates the ACL rules of different security levels in different areas according to the security policy information that supports the security level and supports the area division, according to the corresponding firewall system configured by the user.
  • the area of the protection node is determined by the area of the protection node, and the security level of the protection node corresponding to each firewall system is determined, and the generated ACL rules of different security levels of different areas are respectively sent to the firewall system corresponding to the area where the protection node is located.
  • the acquiring unit 101 is further configured to acquire the first information.
  • the first information includes first ACL planning information and/or user usage requirement information.
  • the user usage requirement information is information for the user to determine a data packet previously determined to be insecure as a secure data packet according to the new demand.
  • the generating unit is configured to generate the foregoing according to the first ACL planning information, the network security threat information, and the security policy information, where the first information includes the first ACL planning information.
  • ACL rules ;
  • the generating unit is configured to generate the ACL rule according to the user usage requirement information, the network security threat information, and the security policy information, where the first information includes the user usage requirement information. ;
  • the generating unit is configured to: when the first information includes the first ACL planning information and the user usage requirement information, according to the first ACL planning information, the user uses demand information, where The network security threat information and the security policy information generate the ACL rule.
  • the ACL rule generated by the generating unit 102 according to the first ACL planning information, the network security threat information, and the security policy information acquired by the acquiring unit 101 is an update of the first ACL planning information, or is newly generated.
  • the ACL rule generated by the generating unit 102 according to the first ACL planning information, the user usage requirement information, the network security threat information, and the security policy information acquired by the acquiring unit 101 is an update of the first ACL planning information. Or a newly generated ACL rule, this The invention does not limit this.
  • the generating unit 102 is configured to generate the ACL rule by using the network security threat information acquired by the acquiring unit 101 and the security policy information according to the first ACL rule.
  • the first ACL rule is a set of all ACL rules before the generating unit 102 generates an ACL rule according to the currently acquired first ACL planning information, and/or network security threat information and security policy information.
  • the ACL rule generated by the generating unit 102 according to the obtained first ACL rule, the network security threat information, and the security policy information is an update of the first ACL rule, or a newly generated ACL rule, and the present invention is This is not a limitation.
  • the generating unit 102 is configured to generate, according to the first ACL rule, the network security threat information acquired by the acquiring unit 101, the security policy information, and the first information to generate the ACL rule.
  • the ACL rule generated by the generating unit 102 according to the obtained first ACL rule, network security threat information, security policy information, and first ACL planning information is a newly generated ACL rule; or is the first ACL rule.
  • the update, or the update of the first ACL planning information; the generating unit 102 generates an ACL rule according to the obtained first ACL rule, network security threat information, security policy information, first ACL planning information, and user usage requirement information. It is a newly generated ACL rule; or it is an update of the first ACL rule, or an update of the first ACL planning information; the present invention does not limit this.
  • server of the present invention is a centralized server or a distributed server, and the present invention does not limit this.
  • the present invention does not limit the deployment scheme of the server.
  • the server may be an independent device; or may be deployed on the same device as other functional servers; or may be connected to any one of the entire network systems. Deployed on the same device; can also be deployed on the same device as one of the firewall systems.
  • the embodiment of the invention provides a server, after obtaining the network security threat information and the security policy information, the server obtains the network security threat information and the security policy.
  • the ACL rule is generated by the ACL and the generated ACL rules are sent to the corresponding firewall system.
  • the network security threat information obtained by the server is the security threat information encountered in the entire network system
  • the ACL rule generated according to the security threat information and the security policy information can guard against all network security threats encountered by the entire network system. Thereby improving the security of the entire network system.
  • the firewall system includes: an obtaining unit 2 01 and a processing unit 02.
  • the obtaining unit 201 is configured to obtain an access control list ACL rule.
  • the firewall system as shown in FIG. 3, further includes: a receiving unit
  • the obtaining unit 2 01 obtains an ACL rule in two ways, as follows:
  • the acquiring unit 201 is specifically configured to trigger the receiving unit 2 0 3 to receive an ACL rule sent by the server.
  • the acquiring unit 201 is specifically configured to trigger the receiving unit 2 0 3 to receive the ACL rule corresponding to the security level sent by the server.
  • the acquiring unit 201 is configured to trigger the receiving unit 203 to receive the ACL rule corresponding to the area sent by the server.
  • the receiving unit 203 receives the ACL rule corresponding to the area sent by the server, where the receiving unit 203 receives the ACL rule of the different area generated by the server according to the security policy information of the support area division.
  • the ACL rule corresponding to the area managed by the firewall system; or the receiving unit 203 receives the ACL of different security levels of different areas generated by the server according to the security policy information that supports the security level division and supports the area division.
  • the ACL rule corresponding to the security level and area of the protection node managed by the firewall system receives the ACL rule corresponding to the security level and area of the protection node managed by the firewall system.
  • the obtaining unit 2 01 is specifically configured to obtain an ACL rule configured by the user.
  • the obtaining unit 2 0 1 can acquire the user according to the network security threat.
  • Information pre-configured ACL rules are pre-configured ACL rules.
  • the processing unit 202 is configured to validate the ACL rule acquired by the acquiring unit 201.
  • the processing unit 202 when the acquiring unit 201 triggers the receiving unit 203 to receive the ACL rule sent by the server, or the obtaining unit 2 0 1 obtains the ACL rule configured by the user, The ACL rule sent by the received server or the ACL rule configured by the user is added to the ACL list, and the ACL list is updated, and the updated ACL list is validated, so that the processing unit 202 is triggering the receiving unit 2 0. 3
  • the processing unit 206 monitors the received data packet.
  • the receiving unit 2 0 1 does not trigger the ACL rule sent by the server or the ACL rule configured by the user, the ACL table is not updated, and the ACL list is not updated. Take effect.
  • the processing unit 202 is further configured to perform security protection on the first node according to the ACL rule that is in effect.
  • the first node is a node protected by the firewall system.
  • the firewall system as shown in FIG. 3, further includes: a sending unit
  • the process of the security protection of the first node by the processing unit 202 according to the ACL rule after the activation is as follows:
  • the processing unit 202 is specifically configured to trigger the receiving unit 2 0 3 to receive a data packet sent by the external network, and determine, according to the ACL rule after the effective, whether the data packet received by the receiving unit 2 0 3 is a security data packet; when it is determined that the data packet received by the receiving unit 2 0 3 is a security data packet according to the ACL rule that is in effect, the sending unit 204 is triggered to send the data packet to the The first node is described.
  • the processing unit 202 parses the source address information, the destination address information, and the source port carried in the packet header information of the data packet. Number information and destination port number information in One less information, and at least one of the source address information, the destination address information, the source port number information, and the destination port number information carried in the header information of the parsed packet, and the execution instruction after the entry is permitted.
  • the ACL rule of the command is matched, and at least one of the source address information, the destination address information, the source port number information, and the destination port number information carried in the header information of the parsed packet to be parsed is executed with the executed execution instruction.
  • the sending unit 404 is triggered to send the data packet to the first node managed by the firewall system.
  • the sending unit 204 is triggered to send the data packet as the network security threat information to the server.
  • the processing unit 202 at least one of source address information, destination address information, source port number information, and destination port number information carried in the header information of the data packet is parsed and validated.
  • the execution instruction is to allow at least one of the source address information, the destination address information, the source port number information, and the destination port number information defined in any one of the ACL rules of the instruction to be mismatched
  • the data packet is determined to be an unsecure data packet.
  • determining whether the data packet is a network security threat information if it is determined that the data packet is a network security threat information, at this time, the sending unit is triggered to send the data packet to the server in the format of network security threat information. .
  • the processing unit 202 may further include source address information, destination address information, and source port number information carried in the header information of the data packet.
  • the at least one type of the information of the destination port number is matched with the ACL rule for which the execution instruction is valid. The invention does not limit this.
  • the present invention does not limit the deployment scheme of the firewall system, for example.
  • the firewall system can be a separate device; it can also be deployed on the same device as the transit node or server or the first node in the entire network system; different functional modules in the firewall system can also be loaded on multiple different devices.
  • the different functional modules in the firewall system may be physical functional modules or logical functional modules.
  • the receiving unit 2 0 3 is further configured to receive network security threat information sent by the first node.
  • the sending unit 2 04 is further configured to send the network security threat information received by the receiving unit 2 0 3 to the server.
  • the obtaining unit 201 is further configured to acquire user usage requirement information.
  • the user usage requirement information is information that the user determines the data packet that was previously determined to be insecure as a secure data packet according to the new requirement.
  • the sending unit 2 04 is further configured to send the user usage requirement information acquired by the acquiring unit 201 to the server.
  • the embodiment of the present invention provides a firewall system, which takes effect on the obtained ACL rule and secures the first node according to the ACL rule after the ACL rule is obtained.
  • the network security threat information obtained by the server is the security threat information encountered in the entire network system
  • the ACL rule generated according to the security threat information and the security policy information can guard against all network security threats encountered by the entire network system. Thereby improving the security of the entire network system.
  • An embodiment of the present invention provides a method for generating an access control list rule. As shown in FIG. 4, the method includes:
  • the server obtains network security threat information and security policy information.
  • the header information of the network security threat information includes at least one of source address information, destination address information, source port number information, and destination port number information.
  • the server may receive the network security threat information sent by the firewall system; the security policy information obtained by the server is the filtering rule information configured by the receiving user according to the requirement.
  • the server may also obtain the network security threat information and the security policy information according to other methods, which is not limited by the present invention.
  • the security policy information includes: security policy information that supports security level division; or
  • the security policy information includes: security policy information that supports area division; or the security policy information includes: security policy information that supports security level division and supports area division.
  • the server generates an AC L rule according to the obtained network security threat information and the security policy information.
  • the server generates AC L rules according to the obtained network security threat information and security policy information.
  • the details are as follows:
  • the server parses the source address information, the destination address information, the source port number information, and the destination port number information carried in the header information of the network security threat information. At least one type of information, and determining, according to the obtained security policy information of the user, the network interface information that the network security threat information can pass and the network interface information that cannot pass, and according to the source address information carried in the network security threat information.
  • the at least one of the destination address information, the source port number information, and the destination port number information and the network interface information that can be passed generate an AC L rule that is an execution instruction corresponding to the network security threat information.
  • the server parses the source address information, the destination address information, the source port number information, and the destination port number information carried in the header information of the network security threat information. At least one type of information, and determining, according to the acquired security policy information of the user, network interface information that the network security threat information can pass and network interface information that cannot pass, thereby generating source address information carried in the network security threat information according to the The at least one of the destination address information, the source port number information, and the destination port number information and the network interface information that is not allowed to pass generate an AC L rule that is an execution instruction corresponding to the network security threat information.
  • the AC L rules generated by the server are different according to different security policy information, specifically:
  • the security policy information includes: security policy information that supports security level division
  • the server generates ACL rules of different security levels according to the obtained network security threat information and the security policy information that is supported by the security level. .
  • the server parses the source address information carried in the header information of the network security threat information. And at least one of the destination address information, the source port number information, and the destination port number information, and determining the network security threat information at each security level according to the acquired security policy information of the user-configured security level At least one of source address information, destination address information, source port number information, and destination port number information carried in the network security threat information, and each of the network interface information that can be passed and the network interface information that cannot pass,
  • the network interface information allowed to pass through a security level generates an execution instruction corresponding to the network security threat information as an AC L rule corresponding to each security level of the allowed instruction.
  • the server According to the network security threat information and the security policy information that supports the security level, the server generates an execution instruction corresponding to the network security threat information as a method for prohibiting the AC L rule corresponding to each security level of the instruction, and may refer to the server.
  • the method for generating an AC L rule corresponding to each security level of the command is generated according to the network security threat information and the security policy information that supports the security level. The present invention is not described here.
  • the server In the case that the security policy information includes: the security policy information of the area division, the server generates AC L rules of different areas according to the obtained network security threat information and the security policy information of the support area.
  • the server parses the source address information carried in the header information of the network security threat information, And determining at least one of the destination address information, the source port number information, and the destination port number information, and determining, according to the obtained security policy information of the supported area configured by the user, that the network security threat information can pass through each area Network interface information and no
  • the network interface information that is passed, according to at least one of the source address information, the destination address information, the source port number information, and the destination port number information carried in the network security threat information, and the network interface information allowed in each area.
  • the execution instruction corresponding to the network security threat information is generated as an AC L rule corresponding to each area of the allowed instruction.
  • the server According to the network security threat information and the security policy information of the support area, the server generates an execution instruction corresponding to the network security threat information as a method for prohibiting the AC L rule corresponding to each area of the instruction, and may refer to the server according to the method.
  • the network security threat information and the security policy information of the support area are generated.
  • the execution instruction corresponding to the network security threat information is a method for allowing the corresponding AC L rule of each area of the instruction, and the present invention will not be repeated herein.
  • the security policy information includes: security policy information that supports security level division and supports area division
  • the server divides the security policy according to the obtained network security threat information and the supported security level and supports area division.
  • Information generates AC L rules for different security levels in different regions.
  • the server parses the packet header information of the network security threat information after receiving the network security threat information sent by the firewall system. Determining at least one of the source address information, the destination address information, the source port number information, and the destination port number information, and determining each security level in each area according to the acquired security policy information of the supported area configured by the user.
  • the at least one type of information and the network interface information allowed to pass through each security level of each area generate an execution instruction corresponding to the network security threat information as an AC L rule corresponding to each security level of each area of the allowed instruction.
  • the server generates and the network security threat information according to the network security threat information and the security policy information that supports the security level division and supports the area division.
  • the execution instruction is a method for prohibiting the AC L rule of each security level in each area of the instruction, and the server may refer to the security policy information according to the network security threat information and the supported security level and support the area division to generate and secure the network security.
  • the execution instruction corresponding to the threat information is a method for allowing the AC L rule corresponding to each security level of each area of the instruction, and the present invention will not be described herein.
  • the server sends the generated A C L rule to at least one firewall system.
  • the server sends the generated AC L rules of different security levels to the firewall system corresponding to the security level.
  • the server determines the protection corresponding to each firewall system according to the security level of the protection node corresponding to each firewall system configured by the user.
  • the security level of the node, and the generated AC L rules of different security levels are respectively sent to the firewall system corresponding to the security level of the protection node.
  • the security level of the protection node corresponding to the firewall system A configured by the user is the security level 1
  • the security level of the protection node corresponding to the firewall system B is the security level 2
  • the server generates the security according to the security policy information of the security level 1.
  • the AC L rule of level 1 generates the AC L rule of security level 2 according to the security policy information of security level 2, and sends the generated AC L rule of security level 1 to firewall system A; the generated AC L of security level 2
  • the rule is sent to firewall system B.
  • the server sends the generated AC L rule of the different area to the firewall system corresponding to the area.
  • the server when the server generates the ACL rule of the different area according to the security policy information of the support area, the area of the protection node corresponding to each firewall system is determined according to the area of the protection node corresponding to each firewall system configured by the user.
  • the generated AC L rules of different areas are respectively sent to the firewall system corresponding to the area of the protection node.
  • the server generates the ACL rule of the area 1 according to the security policy information of the area 1.
  • the ACL rule of the area 1 is generated according to the security policy information of the area 2, and the generated AC L rule of the area 1 is sent to the firewall system A; the generated ACL rule of the area 2 is sent to the firewall system B.
  • the server sends the ACL rules of different security levels of the different areas to the firewall system corresponding to the area.
  • the server determines each area according to the protection node area corresponding to each firewall system configured by the user.
  • the area and security level of the protection node corresponding to the firewall system, and the generated AC L rules of different security levels in different areas are respectively sent to the firewall system corresponding to the area where the protection node is located.
  • the protection node of the firewall system A configured by the user has node 1 and node 2
  • the security level of node 1 is security level 1
  • the security level of node 1 is security level 2
  • the area corresponding to node 1 and node 2 For zone 1, the protection node of firewall system B has node 3 and node 4.
  • the security level of node 3 is security level 1
  • the security level of node 4 is security level 2
  • the area corresponding to node 3 and node 4 is area 2.
  • the server generates the AC L rule of the security level 1 of the area 1 according to the security policy information of the security level 1 of the area 1, and generates the ACL rule of the security level 2 of the area 1 according to the security policy information of the security level 2 of the area 1, according to the area 2
  • the security policy information of security level 1 generates the security level 1 ACL rule of zone 2, and sends the generated ACL rule of security level 1 of zone 1 and the security class 2 of ACL rule of zone 1 to firewall system A;
  • the ACL rule of security level 1 of zone 2 and the ACL rule of security level 2 of zone 2 are sent to the firewall.
  • the server of the present invention may be a centralized server or a distributed server, which is not limited in the present invention. It should be noted that the present invention does not limit the deployment scheme of the server.
  • the server may be an independent device; or may be deployed on the same device as other functional servers; or may be connected to any one of the entire network systems. Deployed on the same device; can also be deployed on the same device as one of the firewall systems.
  • An embodiment of the present invention provides a method for generating an access control list rule. After obtaining the network security threat information and the security policy information, the server generates an access control list ACL rule according to the obtained network security threat information and security policy information, and The generated ACL rules are sent to the corresponding firewall system. In this way, because the network security threat information obtained by the server is the security threat information encountered in the entire network system, the ACL rule generated according to the security threat information and the security policy information can guard against all network security threats encountered by the entire network system. Thereby improving the security of the entire network system.
  • An embodiment of the present invention provides a method for generating an access control list rule. As shown in FIG. 5, the method includes:
  • the firewall system obtains an ACL rule.
  • the firewall system obtains the ACL rule in two ways, as follows: In the first mode, the firewall system receives the ACL rule sent by the server. Further, the firewall system receives the ACL rule corresponding to the security level sent by the server.
  • the firewall system receives the ACL rule corresponding to the area sent by the server.
  • the ACL rule corresponding to the area sent by the firewall system receiving server includes: The firewall system receives the ACL rule of the different area generated by the server according to the security policy information of the support area, and corresponds to the area managed by the firewall system. ACL rule; or, the firewall system receives the security level and area of the protection node managed by the firewall system in the ACL rule sent by the server according to different security levels of different areas generated by the security policy information supporting the security division and supporting the zone division. Corresponding ACL rules.
  • the firewall system acquires an ACL rule configured by the user. That is to say, the firewall system can obtain the ACL rules pre-configured by the user according to the network security threat information.
  • the ACL rule obtained by the firewall system is valid.
  • the firewall system adds the ACL rule sent by the server or the ACL rule configured by the user when receiving the ACL rule sent by the server or the ACL rule configured by the user.
  • the ACL list is updated, and the updated ACL list is validated, so that the firewall system receives the received packet and the updated ACL list when receiving the data packet sent by the external network. Matching is performed to complete the monitoring of the received data packet by the firewall system.
  • the firewall system does not update the ACL list when it does not receive the ACL rule sent by the server or the ACL rule configured by the user, and does not take effect on not updating the ACL list.
  • the firewall system performs security protection on the first node according to the ACL rule after the effective.
  • the first node is a node protected by the firewall system.
  • the security protection process of the first node by the firewall system according to the ACL rule after the activation is as follows:
  • the firewall system receives the data packet sent by the external network, and determines whether the received data packet is a security data packet according to the ACL rule that is in effect; if the firewall system determines that the data packet is received according to the validated ACL rule The data packet is a secure data packet, and the firewall system sends the received data packet to the first node.
  • the firewall system parses out at least one of source address information, destination address information, source port number information, and destination port number information carried in the header information of the data packet.
  • Information, and at least one of the source address information, the destination address information, the source port number information, and the destination port number information carried in the header information of the parsed packet, and the ACL that allows the instruction to be executed after the effective execution instruction is The rule is matched, if the source address information, the destination address information, the source port number information, and the destination port number carried in the header information of the packet to be parsed are parsed At least one of the information in the information matches the at least one of the source address information, the destination address information, the source port number information, and the destination port number information defined in any of the ACL rules of the permitted command.
  • the data packet is determined to be a secure data packet, and the execution instruction after the effective execution of the data packet is an allowed instruction defined in the ACL rule of the allowed instruction, so that the data packet is sent to the first node
  • the firewall system determines whether the data packet is a network security threat information; The data packet is the network security threat information, and the firewall system sends the data packet to the server as the network security threat information.
  • the firewall system parses out the source address information, the destination address information, the source port number information, and the destination port number information carried in the header information of the data packet, and the execution instruction after the entry is permitted. If at least one of the source address information, the destination address information, the source port number information, and the destination port number information defined in any one of the AC L rules of the command does not match, the data packet is determined to be an unsecure data packet. Determine whether the data packet is a network security threat information. If the data packet is determined to be a network security threat information, the firewall system sends the data packet to the server in the format of the network security threat information.
  • the firewall system may further include source address information, destination address information, source port number information, and destination port number information carried in the header information of the data packet. At least one of the information is matched with the AC L rule of the execution instruction that is in effect, and the present invention does not limit this.
  • the firewall system may be an independent device; or may be deployed on the same device as the transmission node or server or the first node in the entire network system;
  • the different functional modules in the firewall system may be respectively loaded in a plurality of different devices; the different functional modules in the firewall system may be physical functional modules or logical functional modules.
  • An embodiment of the present invention provides a method for generating an access control list rule, which is When the ACL rule is obtained, the ACL rule takes effect and protects the first node according to the ACL rule.
  • the network security threat information obtained by the server is the security threat information encountered in the entire network system
  • the ACL rule generated according to the security threat information and the security policy information can guard against all network security threats encountered by the entire network system. Thereby improving the security of the entire network system.
  • An embodiment of the present invention provides a method for generating an access control list rule. As shown in FIG. 6, the method includes:
  • the firewall system obtains the network security threat information, and the user uses the demand information and the server obtains the security policy information in no order, that is, the steps 610, 620, and 605 have no sequence, and the present invention does not limit.
  • the firewall system acquires network security threat information, and sends the obtained network security threat information to the server.
  • the server receives the network security threat information sent by the firewall system.
  • the first node is a node protected by the firewall system.
  • the firewall system receives the network security threat information sent by the first node, and sends the received network security threat information to the server.
  • the server receives the network security threat information sent by the firewall system. .
  • the firewall system acquires user usage requirement information, and sends the obtained user usage requirement information to the server.
  • the server acquires the first information.
  • the first information includes first ACL planning information and/or user usage requirement information.
  • the first ACL planning information is an ACL rule configured by the user.
  • the user uses the demand information for the security packet information determined by the user according to the new demand, and/or the unsafe packet information.
  • the firewall system receives the user usage requirement information sent by the first node, and sends the received user usage requirement information to the server.
  • the server receives the user usage requirement information sent by the firewall system.
  • the firewall system may also receive a message that is sent by the first node and carries the information about the user's usage requirement, and parses out the user's usage requirement in the message. The information is obtained, and the parsed user use requirement information is sent to the server, which is not limited by the present invention.
  • the server obtains security policy information.
  • the security policy information obtained by the server is the filtering rule information configured by the receiving user according to the requirement.
  • the security policy information includes: security policy information that supports security level division; or
  • the security policy information includes: security policy information that supports area division; or the security policy information includes: security policy information that supports security level division and supports area division.
  • the server generates an ACL rule according to the obtained network security threat information and the security policy information.
  • step 4 02 the method for generating an ACL rule by the server according to the obtained network security threat information and the security policy information may be referred to step 4 02 , and the description of the present invention is not repeated herein.
  • the server in a case that the first information includes the first ACL planning information, the server generates the ACL rule according to the obtained first ACL planning information, the network security threat information, and the security policy information.
  • the method for generating an ACL rule by the server according to the obtained first ACL planning information, the network security threat information, and the security policy information may refer to step 4 02 , and the description of the present invention is not repeated herein.
  • the server generates the ACL rule according to the acquired user usage requirement information, the network security threat information, and the security policy information, where the first information includes the user usage requirement information.
  • the method for generating an ACL rule by the server according to the obtained user usage requirement information, the network security threat information, and the security policy information may refer to step 4 02 , and the description of the present invention is not repeated herein.
  • the method for generating an ACL rule by the server according to the obtained first ACL planning information, user usage requirement information, network security threat information, and security policy information may refer to step 402, and the description of the present invention is not repeated herein.
  • the ACL rule generated by the server according to the obtained first ACL planning information, the network security threat information, and the security policy information is an update of the first ACL planning information, or a newly generated ACL rule;
  • the ACL rule generated by the ACL planning information, the user usage requirement information, the network security threat information, and the security policy information is an update of the first ACL planning information, or a newly generated ACL rule, which is not limited by the present invention.
  • the server generates the ACL rule according to the first ACL rule, the network security threat information, and the security policy information.
  • the first ACL rule is a set of all ACL rules before the server generates an ACL rule according to the currently acquired first ACL planning information, and/or network security threat information and security policy information.
  • the method for generating an ACL rule by using the network according to the first ACL rule, the network security threat information, and the security policy information may refer to step 402.
  • the description of the present invention is not repeated herein.
  • the ACL rule generated by the server according to the obtained first ACL rule, the network security threat information, and the security policy information is an update of the first ACL rule, or a newly generated ACL rule, which is not limited by the present invention. .
  • the server generates the ACL rule according to the first ACL rule, the network security threat information, the security policy information, and the first information.
  • step 402. the method for generating an ACL rule by using the network according to the first ACL rule, the network security threat information, the security policy information, and the first information may be referred to in step 402. The description is not repeated herein.
  • the ACL rule generated by the server according to the obtained first ACL rule, the network security threat information, the security policy information, and the first ACL planning information is a newly generated ACL rule; or an update of the first ACL rule, or Is the first ACL The update of the planning information;
  • the ACL rule generated by the server according to the obtained first ACL rule, the network security threat information, the security policy information, the first ACL planning information, and the user usage requirement information is a newly generated ACL rule; or the first ACL
  • the update of the rule, or the update of the first ACL planning information; the present invention does not limit this.
  • the server sends the generated ACL rule to at least one firewall system.
  • the firewall system acquires the ACL rule.
  • step 403 and step 501 For details, refer to step 403 and step 501, and the present invention is not described herein again. 606.
  • the ACL rule obtained by the firewall system is valid.
  • step 502 For details, refer to step 502, and the present invention is not described herein again.
  • the firewall system performs security protection on the first node according to the ACL rule that is in effect.
  • step 503 For details, refer to step 503, and the present invention is not described herein again.
  • the firewall system determines whether the received data packet sent by the external network is a network security threat information according to the ACL rule after the validation, and determines the received data packet sent by the external network.
  • threatening information for network security at this time, there are two methods for the firewall system to obtain network security threat information.
  • the first method is that the firewall system determines the received data packet as network security threat information; the second method is a firewall system. Receiving network security threat information sent by the first node.
  • An embodiment of the present invention provides a method for generating an access control list rule.
  • the server After obtaining the network security threat information and the security policy information, the server generates an access control list ACL rule according to the obtained network security threat information and security policy information, and The generated ACL rule is sent to the corresponding firewall system.
  • the firewall system After receiving the ACL rule sent by the server, the firewall system takes effect on the ACL rule and protects the first node according to the ACL rule.
  • the network security threat information obtained by the server is the security threat information encountered in the entire network system
  • the ACL rule generated according to the security threat information and the security policy information can guard against all network security threats encountered by the entire network system. Thereby improving the security of the entire network system. As shown in FIG.
  • the server includes: a transmitter 7 0 1 , a memory 7 02 , and a transmitter 71 .
  • the memory 702 is connected to the processor 703.
  • a set of program codes is stored in the memory 702, and the processor 703 is used to call the program code stored in the memory 702.
  • Transmitter 7 01 and processor 7 0 3 are used to perform the following operations:
  • the processor 7 0 3 is configured to obtain network security threat information and security policy information.
  • the header information of the network security threat information includes at least one of source address information, destination address information, source port number information, and destination port number information.
  • the processor 703 can receive the network security threat information sent by the firewall system; the security policy information acquired by the processor 703 is the filtering rule information configured by the receiving user according to the requirement.
  • network security threat information and the security policy information may be obtained by the processor 704 according to other methods, which is not limited by the present invention.
  • the security policy information includes: security policy information that supports security level division; or
  • the security policy information includes: security policy information that supports area division; or the security policy information includes: security policy information that supports security level division and supports area division.
  • the processor 703 is configured to generate an access control list A C L rule according to the obtained network security threat information and the security policy information.
  • the processor 703 generates two types of ACL rules according to the obtained network security threat information and security policy information, as follows:
  • the processor 703 parses the source address information, the destination address information, and the source port number information carried in the header information of the network security threat information. And at least one of the destination port number information, and determining the network interface information that the network security threat information can pass and the network interface information that cannot pass according to the obtained security policy information of the user, and according to the network security threat information Source address information carried in, destination address letter. The at least one of the information, the source port number information, and the destination port number information and the network interface information that can be passed generate an ACL rule that is an execution instruction corresponding to the network security threat information.
  • the processor 703 parses the source address information, the destination address information, and the source port number information carried in the header information of the network security threat information. And at least one of the destination port number information, and determining, according to the acquired security policy information of the user, the network interface information that the network security threat information can pass and the network interface information that cannot pass, so according to the network security threat information.
  • the at least one of source address information, destination address information, source port number information, and destination port number information carried in the network interface information that is not allowed to pass generates an ACL corresponding to the network security threat information. rule.
  • processor 703 generates different ACL rules according to different security policy information, specifically:
  • the processor 703 is specifically configured to use the obtained network security threat information and the security policy defined by the supported security level. Information generates ACL rules for different security levels.
  • the processor 7 0 3 parses the packet header of the network security threat information after receiving the network security threat information sent by the firewall system, if the security policy information includes the security policy information that supports the security level division. At least one of the source address information, the destination address information, the source port number information, and the destination port number information carried in the information, and the security policy information classified according to the obtained user-supported security level is determined at each security level.
  • the at least one type of information and the network interface information allowed to pass under each security level generate an execution instruction corresponding to the network security threat information as an ACL rule corresponding to each security level of the allowed instruction.
  • the processor 703 generates an ACL rule corresponding to each security level of the prohibition instruction according to the network security threat information and the security policy information that supports the security level division.
  • the method may refer to the processor 703 to generate, according to the network security threat information and the security policy information that supports the security level, an execution instruction corresponding to the network security threat information, which is an ACL rule corresponding to each security level of the allowed instruction. The method is not described herein again.
  • the processor 703 is specifically configured to generate, according to the obtained network security threat information and the security policy information of the support area. ACL rules for different areas.
  • the processor 704 when the security policy information includes the security policy information that supports the area division, parses the packet header information of the network security threat information after receiving the network security threat information sent by the firewall system. At least one of the source address information, the destination address information, the source port number information, and the destination port number information carried in the information, and according to the obtained security policy information of the supported area configured by the user, determined in each area, At least one of source address information, destination address information, source port number information, and destination port number information carried in the network security threat information according to the network interface information that the network security threat information can pass and the network interface information that cannot pass.
  • the information and the network interface information allowed to pass under each area generate an execution instruction corresponding to the network security threat information as an ACL rule corresponding to each area of the allowed instruction.
  • the processor 703 the IPS rule corresponding to each area of the prohibition instruction is generated according to the network security threat information and the security policy information of the support area division, and the execution instruction corresponding to the network security threat information is generated. Referring to the processor 703, according to the network security threat information and the security policy information of the support area, generating an execution instruction corresponding to the network security threat information as a method for allowing a corresponding ACL rule of each area of the instruction, the present invention I will not repeat them here.
  • the processor 703 is specifically configured to use the obtained network security threat information and the support security level. Dividing and supporting regional division The security policy information generates ACL rules for different security levels in different areas. Specifically, the processor 7 0 3 parses the network security after receiving the network security threat information sent by the firewall system, if the security policy information includes security policy information that supports security level division and supports area division.
  • the network interface information that the network security threat information can pass and the network interface information that cannot pass according to the source address information, the destination address information, and the source port number carried in the network security threat information
  • At least one of the information and the destination port number information and the network interface information allowed to pass through each security level of each area generates an execution instruction corresponding to the network security threat information to permit each security of each area of the instruction.
  • the processor 704 generates an execution instruction corresponding to the network security threat information according to the network security threat information and the security policy information that supports the security level division and supports the area division, and each of the areas of the prohibition instruction is
  • a method of security level ACL rule reference may be made to the processor 703 to generate an execution instruction corresponding to the network security threat information according to the network security threat information and the security policy information supporting the security level division and supporting the area division.
  • the method of the ACL rule corresponding to each security level of each area of the instruction is not described herein.
  • the transmitter 710 is configured to send the ACL rule generated by the processor 703 to at least one firewall system.
  • the transmitter 710 is specifically configured to send the ACL rule of the different security level generated by the processor 703 To the firewall system corresponding to the security level.
  • the transmitter 710 generates a security level of the protection node corresponding to each firewall system configured by the user when the processor 703 generates an ACL rule of different security levels according to the security policy information that is supported by the security level. Different, identify each The security level of the protection node corresponding to the firewall system, and the generated ACL rules of different security levels are respectively sent to the firewall system corresponding to the security level of the protection node.
  • the transmitter 7 0 1 is specifically configured to send the ACL rule of the different area generated by the processor 7 0 3 to the area corresponding to the area. Firewall system.
  • the transmitter 710 when the processor 703 generates an ACL rule of a different area according to the security policy information of the support area, the transmitter 710, according to the area of the protection node corresponding to each firewall system configured by the user, Determine the area of the protection node corresponding to each firewall system, and send the generated ACL rules of different areas to the firewall system corresponding to the area of the protection node.
  • the sender 710 is specifically configured to use the ACL of different security levels in different areas of the processor 704. The rules are sent to the firewall system corresponding to the zone.
  • the transmitter 710 generates, according to the security policy information that supports the security level and supports the area division, to generate ACL rules of different security levels in different areas, according to each firewall configured by the user.
  • the area of the protection node corresponding to the system is different, and the area and security level of the protection node corresponding to each firewall system are determined, and the generated ACL rules of different security levels in different areas are respectively sent to the area corresponding to the area where the protection node is located.
  • Firewall system is
  • the processor 703 is further configured to acquire the first information.
  • the first information includes first ACL planning information and/or user usage requirement information.
  • the user usage requirement information is security packet information determined by the user according to new requirements, and/or unsecure packet information.
  • the processor 703 is specifically configured to be used according to the first ACL planning information, the network security threat information, and the foregoing, where the first information includes the first ACL planning information.
  • the security policy information generates the ACL rule.
  • the processor 703 is specifically configured to: when the first information includes the user usage requirement information, according to the user usage requirement information, the network security The threat information and the security policy information generate the ACL rule.
  • the processor 703 is configured to: when the first information includes the first ACL planning information and the user usage requirement information, according to the first ACL planning information, the user usage requirement information, The network security threat information and the security policy information generate the ACL rule.
  • the ACL rule generated by the processor 703 according to the obtained first ACL planning information, network security threat information, and security policy information is an update of the first ACL planning information, or a newly generated ACL rule.
  • the ACL rule generated by the processor 703 according to the obtained first ACL planning information, user usage requirement information, network security threat information, and security policy information is an update of the first ACL planning information, or a newly generated ACL rule, and the present invention There is no limit to this.
  • the processor 703 is specifically configured to generate the ACL rule according to the first ACL rule, the network security threat information, and the security policy information.
  • the first ACL rule is a set of all ACL rules before the processor 703 generates an ACL rule according to the currently acquired first ACL planning information, and/or network security threat information and security policy information.
  • the ACL rule generated by the processor 703 according to the obtained first ACL rule, the network security threat information, and the security policy information is an update of the first ACL rule, or a newly generated ACL rule, and the present invention is This is not a limitation.
  • processor 703 is specifically configured to generate the ACL rule according to the first ACL rule, the network security threat information, the security policy information, and the first information.
  • the ACL rule generated by the processor 703 according to the obtained first ACL rule, the network security threat information, the security policy information, and the first ACL planning information is a newly generated ACL rule; or the first ACL rule is used.
  • the update, or the update of the first ACL planning information; the processor 703 generates an ACL rule according to the obtained first ACL rule, network security threat information, security policy information, first ACL planning information, and user usage requirement information. Is a newly generated ACL rule; or an update to the first ACL rule, or an update of the first ACL planning information; No restrictions.
  • server of the present invention is a centralized server or a distributed server, and the present invention does not limit this.
  • the present invention does not limit the deployment scheme of the server.
  • the server may be an independent device; or may be deployed on the same device as other functional servers; or may be connected to any one of the entire network systems. Deployed on the same device; can also be deployed on the same device as one of the firewall systems.
  • the embodiment of the present invention provides a server, after obtaining the network security threat information and the security policy information, the server generates an ACL rule according to the obtained network security threat information and the security policy information, and sends the generated ACL rule separately. To the corresponding firewall system.
  • the network security threat information obtained by the server is the security threat information encountered in the entire network system
  • the ACL rule generated according to the security threat information and the security policy information can guard against all network security threats encountered by the entire network system. Thereby improving the security of the entire network system.
  • the firewall system includes: a receiver 8 01 , a transmitter 8 02 , and a memory 8 0 3 , and a processor 804 connected to the receiver 8 01, the transmitter 802, and the memory 803, respectively.
  • a set of program codes is stored in the memory 803, and the processor 804 is used to call the program code stored in the memory 803.
  • the receiver 8 0 1 , the transmitter 8 02 and the processor 8 04 are used to perform the following operations:
  • the processor 8 04 is configured to obtain an access control list ACL rule.
  • the processor 804 obtains the ACL rule in two ways, as follows: In the first mode, the processor 8 04 is specifically configured to trigger the receiver 8 01 to receive an ACL rule sent by the server.
  • the processor 804 is specifically configured to trigger the receiver 810 to receive the ACL rule corresponding to the security level sent by the server.
  • the processor 804 is specifically configured to trigger the receiver 810 to receive the ACL rule corresponding to the area sent by the server.
  • the receiver 801 receives the ACL rule corresponding to the area sent by the server, where the receiver 801 receives the ACL rule of the different area generated by the server according to the security policy information of the support area segment, and The ACL rule corresponding to the area managed by the firewall system; or the receiver 801 receives the ACL rule sent by the server according to different security levels of different areas generated by the security policy information supporting the security level division and supporting the area division, and the firewall system The security level of the managed protection node and the ACL rule corresponding to the area.
  • the processor 804 is specifically configured to obtain an ACL rule configured by the user.
  • the processor 804 can obtain an ACL rule pre-configured by the user according to the network security threat information.
  • the processor 804 is further configured to perform the acquired ACL rule.
  • the processor 804 when the receiver 801 is triggered to receive the ACL rule sent by the server or obtain the ACL rule configured by the user, add the ACL rule sent by the server or the ACL rule configured by the user to the ACL rule.
  • the ACL list the ACL list is updated, and the updated ACL list is validated, so that the processor 804 receives the data packet sent by the external network when the receiver 801 is triggered to receive the data packet sent by the external network.
  • the updated ACL list is matched to complete monitoring of the received data packet by the processor 804.
  • the processor 804 when the processor 804 does not trigger the ACL rule sent by the server or the ACL rule configured by the user, the processor 804 does not update the ACL list, and does not take effect on not updating the ACL list.
  • the processor 804 is further configured to perform security protection on the first node according to the ACL rule that is in effect.
  • the first node is a node protected by the firewall system.
  • the process for the processor 804 to secure the first node according to the validated ACL rule is as follows:
  • the processor 804 is specifically configured to trigger the receiver 801 to receive a data packet sent by an external network, and determine, according to the ACL rule that is in effect, the receiver 801 Whether the received data packet is a secure data packet; when it is determined that the data packet received by the receiver 810 is a secure data packet according to the ACL rule that is in effect, the transmitter 802 is triggered The data packet is sent to the first node.
  • the processor 804 parses the source address information, the destination address information, and the source port carried in the packet header information of the data packet. At least one of number information and destination port number information, and at least one of source address information, destination address information, source port number information, and destination port number information carried in the header information of the packet to be parsed.
  • the information and the execution instruction after the entry are matched to the ACL rule of the allowed instruction, and at least the source address information, the destination address information, the source port number information, and the destination port number information carried in the header information of the parsed packet to be parsed Determining the data packet by matching one of the source address information, the destination address information, the source port number information, and the destination port number information defined in any one of the ACL rules of the command with the execution command after the entry is valid.
  • the ACL rule that allows the instruction to be a secure packet and the execution of the packet after it is validated Definition instruction allows this case, to trigger the transmitter 802 transmits the packet to the
  • the processor 804 determines whether the data packet is a network security threat information when the data packet received by the receiver 810 is determined to be an unsecure data packet according to the ACL rule that is in effect; When the data packet is determined to be the network security threat information, the sender is triggered to send the data packet to the server as the network security threat information.
  • the processor 804 analyzes at least one of source address information, destination address information, source port number information, and destination port number information carried in the header information of the data packet, and the validated
  • the execution instruction is to allow at least one of the source address information, the destination address information, the source port number information, and the destination port number information defined in any one of the ACL rules of the instruction to be mismatched
  • the data packet is determined to be an unsecure data packet.
  • the processor 804 may further include source address information, destination address information, and source port number information carried in the header information of the data packet.
  • the at least one type of the information of the destination port number is matched with the ACL rule for which the execution instruction is valid. The invention does not limit this.
  • the firewall system may be an independent device; or may be deployed on the same device as the transmission node or server or the first node in the entire network system;
  • the different functional modules in the firewall system may be respectively loaded in a plurality of different devices; the different functional modules in the firewall system may be physical functional modules or logical functional modules.
  • the receiver 810 is further configured to receive network security threat information sent by the first node.
  • the transmitter 802 is further configured to send the network security threat information received by the receiver 801 to the server.
  • the processor 8 04 is further configured to acquire user usage requirement information.
  • the user usage requirement information is security packet information determined by the user according to the new requirement, and/or unsecure packet information.
  • the transmitter 802 is further configured to send the user usage requirement information acquired by the processor 804 to the server.
  • the embodiment of the present invention provides a firewall system.
  • the firewall system takes effect on the obtained ACL rule and performs security protection on the first node according to the ACL rule.
  • the network security threat information obtained by the server is the security threat information encountered in the entire network system
  • the ACL rule generated according to the security threat information and the security policy information can guard against all network security threats encountered by the entire network system. Thereby improving the security of the entire network system.
  • a system for generating an access control list rule includes: a server 9 01 , a firewall system 902. among them,
  • the server 910 is the server described in the above embodiment.
  • the firewall system 902 is the firewall system described in the foregoing embodiment.
  • the embodiment of the invention provides a method, a device and a system for generating an access control list rule.
  • the server After obtaining the network security threat information and the security policy information, the server generates an access control list ACL according to the obtained network security threat information and security policy information.
  • the rule sends the generated ACL rule to the corresponding firewall system.
  • the firewall system receives the AC L rule sent by the server, and the received AC L rule takes effect, and the AC L rule is valid according to the rule. A node is secured.
  • the network security threat information obtained by the server is the security threat information encountered in the entire network system
  • the ACL rule generated according to the security threat information and the security policy information can guard against all network security threats encountered by the entire network system. Thereby improving the security of the entire network system.
  • the disclosed system, apparatus, and method may be implemented in other manners.
  • the device embodiments described above are merely illustrative.
  • the division of the unit is only a logical function division.
  • there may be another division manner for example, multiple units or components may be combined or Can be integrated into another system, or some features can be ignored, or not executed.
  • the coupling or direct coupling or communication connection shown or discussed may be an indirect coupling or communication connection through some interface, device or unit, and may be electrical, mechanical or otherwise.
  • the units described as separate components may or may not be physically separated, and the components displayed as the units may or may not be physical units, and may be located in one place or may be distributed to multiple network units. Some or all of the units may be selected according to actual needs to achieve the objectives of the embodiment of the present embodiment.
  • each functional unit in each embodiment of the present invention may be integrated into one processing unit, or each unit may be physically included separately, or two or more units may be integrated into one unit.
  • the above integrated unit can be implemented in the form of hardware or in the form of hardware plus software functional units.
  • the above-described integrated unit implemented in the form of a software functional unit can be stored in a computer readable storage medium.
  • the above software functional unit is stored in a storage medium
  • a number of instructions are included to cause a computer device (which may be a personal computer, server, or network device, etc.) to perform some of the steps of the methods described in various embodiments of the present invention.
  • the foregoing storage medium includes: a U disk, a mobile hard disk, a read-only memory (Read-Only Memory), a random access memory (RAM), a disk or an optical disk, and the like.
  • the medium of the code includes: a U disk, a mobile hard disk, a read-only memory (Read-Only Memory), a random access memory (RAM), a disk or an optical disk, and the like. The medium of the code.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明实施例提供了一种生成访问控制列表规则的方法、装置及系统，涉及通信领域，防备整个网络系统遇到的所有网络安全威胁，从而提高整个网络系统的安全性。所述方法，包括：服务器获取网络安全威胁信息及安全策略信息；所述服务器根据获取的所述网络安全威胁信息及所述安全策略信息生成访问控制列表ACL规则；所述服务器将生成的所述ACL规则发送至至少一个防火墙系统。本发明适用于网络安全的场景。

Description

一种生成访问控制列表规则的方法、 装置及系统 技术领域
本发明涉及通信领域， 尤其涉及一种生成访问控制列表规则的 方法、 装置及系统。
背景技术
在现代通信系统中， 为了保证数据的安全传输， 通常在内部网 络与外部网路之间加入防火墙， 此防火墙允许合法数据包通过， 禁 止不合法数据包通过， 从而实现数据的安全传输。 防火墙技术的主 要工作原理是采用 ACL ( Access Control List , 访问控制列表） 来 实现数据的安全传输。 其中， ACL 中记录有多个 ACL 规则以便防火 墙通过 ACL 规则确定接收到的数据包是否能够通过防火墙， 从而实 现数据的安全传输。
在现有技术中， 具体生成 ACL规则的过程为： 防火墙在监测到 网络安全威胁时， 根据网络安全威胁来生成 ACL 规则， 进而将生成 的 ACL规则进行生效设置， 并将生效后的 ACL规则记录至 ACL 中， 更新 ACL。 并根据更新后的 ACL 记录的多个 ACL规则进行网络安全 保护。
在实现上述 ACL规则生成的过程中， 每个防火墙只能根据自身 监测到的网络安全威胁来生成 ACL规则， 即生成的 ACL规则只能防 备自身遇到的网络安全威胁， 而不能防备其他防火墙遇到的网络安 全威胁。 也就是说， 每个防火墙均不能防备整个网络系统遇到的所 有网络安全威胁， 从而降低了整个网络系统的安全性。
发明内容
本发明的实施例提供了一种生成访问控制列表规则的方法、 装 置及系统， 用于防备整个网络系统遇到的所有网络安全威胁， 从而 提高整个网络系统的安全性。
为达到上述目 的， 本发明的实施例采用如下技术方案：
第一方面， 本发明实施例提供了一种服务器， 包括： 获取单元， 用于获取网络安全威胁信息及安全策略信息； 生成单元， 用于根据 所述获取单元获取的所述网络安全威胁信息及所述安全策略信息生 成访问控制列表 AC L 规则； 发送单元， 用于将所述生成单元生成的 所述 AC L规则发送至至少一个防火墙系统。
在第一方面的第一种可能的实现方式中， 所述安全策略信息包 括： 支持安全等级划分的安全策略信息； 所述生成单元， 具体用于 根据所述获取单元获取的所述网络安全威胁信息及所述支持安全等 级划分的安全策略信息生成不同安全等级的 AC L 规则； 所述发送单 元， 具体用于将所述生成单元生成的所述不同安全等级的 AC L 规则 发送至与安全等级对应的防火墙系统。
在第一方面的第二种可能的实现方式中， 所述安全策略信息包 括： 支持区域划分的安全策略信息； 所述生成单元， 具体用于根据 所述获取单元获取的所述网络安全威胁信息及所述支持区域划分的 安全策略信息生成不同区域的 AC L 规则； 所述发送单元， 具体用于 将所述生成单元生成的所述不同区域的 A C L 规则发送至与区域对应 的防火墙系统。
在第一方面的第三种可能的实现方式中， 所述安全策略信息包 括： 支持安全等级划分且支持区域划分的安全策略信息； 所述生成 单元， 具体用于根据所述获取单元获取的所述网络安全威胁信息及 所述支持安全等级划分且支持区域划分的安全策略信息生成不同区 域的不同安全等级的 AC L 规则； 所述发送单元， 具体用于将所述生 成单元生成的所述不同区域的不同安全等级的 AC L 规则发送至与所 述区域对应的防火墙系统。
结合第一方面， 或第一方面的第一至第三任一种可能的实现方 式， 在第一方面的第四种可能的实现方式中， 所述获取单元， 还用 于获取第一信息； 其中， 所述第一信息包括第一 A C L 规划信息和 / 或用户使用需求信息； 所述生成单元， 具体用于在所述第一信息包 括所述第一 AC L规划信息的情况下， 根据所述第一 AC L规划信息、 所述网络安全威胁信息及所述安全策略信息生成所述 AC L 规则； 所 述生成单元， 具体用于在所述第一信息包括所述用户使用需求信息 的情况下， 根据所述用户使用需求信息， 所述网络安全威胁信息及 所述安全策略信息生成所述 ACL 规则； 所述生成单元， 具体用于在 所述第一信息包括所述第一 ACL 规划信息及所述用户使用需求信息 的情况下， 根据所述第一 ACL 规划信息， 所述用户使用需求信息， 所述网络安全威胁信息及所述安全策略信息生成所述 ACL规则。
结合第一方面的第四种可能的实现方式， 在第一方面的第五种 可能的实现方式中， 所述生成单元， 具体用于根据第一 ACL 规则， 所述获取单元获取的所述网络安全威胁信息及所述安全策略信息生 成所述 ACL规则； 或者， 所述生成单元， 具体用于根据第一 ACL规 则， 所述获取单元获取的所述网络安全威胁信息， 所述安全策略信 息及所述第一信息生成所述 ACL规则。
第二方面， 本发明实施例提供了一种防火墙系统， 包括： 获取 单元， 用于获取访问控制列表 ACL 规则； 处理单元， 用于生效所述 获取单元获取的所述 ACL 规则； 所述处理单元， 还用于根据生效后 的所述 ACL 规则对第一节点进行安全保护； 其中， 所述第一节点为 所述防火墙系统保护的节点。
在第二方面的第一种可能的实现方式中， 还包括： 接收单元； 所述获取单元， 具体用于触发所述接收单元接收服务器发送的 ACL 规则； 或者， 所述获取单元， 具体用于获取用户配置的 ACL规则。
结合第二方面的第一种可能的实现方式， 在第二方面的第二种 可能的实现方式中， 所述获取单元， 具体用于触发所述接收单元接 收所述服务器发送的与安全等级对应的所述 ACL 规则； 或者， 所述 获取单元， 具体用于触发所述接收单元接收所述服务器发送的与区 域对应的所述 ACL规则。
结合第二方面的第一或第二种可能的实现方式， 在第二方面的 第三种可能的实现方式中， 还包括： 发送单元； 所述处理单元， 具 体用于触发所述接收单元接收外部网络发送的数据包； 所述处理单 元， 具体用于根据生效后的 ACL 规则， 确定所述接收单元接收到的 所述数据包是否为安全数据包； 所述处理单元， 具体用于在根据所 述生效后的 AC L 规则确定所述接收单元接收到的所述数据包为安全 数据包时， 触发所述发送单元将所述数据包发送至所述第一节点； 所述处理单元， 具体用于在根据所述生效后的 AC L 规则确定所述接 收单元接收到的所述数据包为不安全数据包时， 确定所述数据包是 否为网络安全威胁信息； 所述处理单元， 具体用于在确定所述数据 包为所述网络安全威胁信息时， 触发所述发送单元将所述数据包作 为所述网络安全威胁信息发送至所述服务器。
结合第二方面的第三种可能的实现方式， 在第二方面的第四种 可能的实现方式中， 所述接收单元， 还用于接收所述第一节点发送 的网络安全威胁信息； 所述发送单元， 还用于将所述接收单元接收 到的所述网络安全威胁信息发送至所述服务器。
结合第二方面， 或第二方面的第一至第四任一种可能的实现方 式， 在第二方面的第五种可能的实现方式中， 所述获取单元， 还用 于获取用户使用需求信息； 所述发送单元， 还用于将所述获取单元 获取到的所述用户使用需求信息发送至所述服务器。
第三方面， 本发明实施例提供了一种生成访问控制列表规则的 方法， 包括： 服务器获取网络安全威胁信息及安全策略信息； 所述 服务器根据获取的所述网络安全威胁信息及所述安全策略信息生成 访问控制列表 AC L规则； 所述服务器将生成的所述 AC L规则发送至 至少一个防火墙系统。
在第三方面的第一种可能的实现方式中， 所述安全策略信息包 括： 支持安全等级划分的安全策略信息； 所述服务器根据获取的所 述网络安全威胁信息及所述安全策略信息生成所述 A C L 规则包括： 所述服务器根据获取的所述网络安全威胁信息及所述支持安全等级 划分的安全策略信息生成不同安全等级的 AC L 规则； 所述服务器将 生成的所述 AC L 规则发送至至少一个防火墙系统包括： 所述服务器 将生成的所述不同安全等级的 AC L 规则发送至与安全等级对应的防 火墙系统。 在第三方面的第二种可能的实现方式中， 所述安全策略信息包 括： 支持区域划分的安全策略信息； 所述服务器根据获取的所述网 络安全威胁信息及所述安全策略信息生成所述 AC L 规则包括： 所述 服务器根据获取的所述网络安全威胁信息及所述支持区域划分的安 全策略信息生成不同区域的 AC L规则；所述服务器将生成的所述 AC L 规则发送至至少一个防火墙系统包括： 所述服务器将生成的所述不 同区域的 AC L规则发送至与区域对应的防火墙系统。
在第三方面的第三种可能的实现方式中， 所述安全策略信息包 括： 支持安全等级划分且支持区域划分的安全策略信息； 所述服务 器根据获取的所述网络安全威胁信息及所述安全策略信息生成所述 AC L 规则包括： 所述服务器根据获取的所述网络安全威胁信息及所 述支持安全等级划分且支持区域划分的安全策略信息生成不同区域 的不同安全等级的 AC L规则； 所述服务器将生成的所述 AC L规则发 送至至少一个防火墙系统包括： 所述服务器将所述不同区域的不同 安全等级的 A C L规则发送至与所述区域对应的防火墙系统。
结合第三方面， 或第三方面的第一至第三任一种可能的实现方 式， 在第三方面的第四种可能的实现方式中， 在所述服务器根据获 取的所述网络安全威胁信息及所述安全策略信息生成所述 AC L 规则 之前， 还包括： 所述服务器获取第一信息； 其中， 所述第一信息包 括第一 A C L规划信息和 /或用户使用需求信息； 所述服务器根据获取 的所述网络安全威胁信息及所述安全策略信息生成所述 AC L 规则包 括： 在所述第一信息包括所述第一 AC L 规划信息的情况下， 所述服 务器根据获取的所述第一 AC L 规划信息、 所述网络安全威胁信息及 所述安全策略信息生成所述 A C L 规则； 在所述第一信息包括所述用 户使用需求信息的情况下， 所述服务器根据获取的所述用户使用需 求信息， 所述网络安全威胁信息及所述安全策略信息生成所述 A C L 规则； 在所述第一信息包括所述第一 AC L 规划信息及所述用户使用 需求信息的情况下， 所述服务器根据获取的所述第一 A C L规划信息， 所述用户使用需求信息， 所述网络安全威胁信息及所述安全策略信 息生成所述 AC L规则。
结合第三方面的第四种可能的实现方式， 在第三方面的第五种 可能的实现方式中， 所述服务器根据获取的所述网络安全威胁信息 及所述安全策略信息生成所述 AC L 规则包括： 所述服务器根据第一 AC L 规则， 所述网络安全威胁信息， 所述安全策略信息及所述第一 信息生成所述 AC L规则。
第四方面， 本发明实施例提供了一种生成访问控制列表规则的 方法， 包括： 防火墙系统获取访问控制列表 AC L 规则； 所述防火墙 系统生效获取的所述 AC L 规则； 所述防火墙系统根据生效后的所述 AC L 规则对第一节点进行安全保护； 所述第一节点为所述防火墙系 统保护的节点。
在第四方面的第一种可能的实现方式中， 所述防火墙系统获取 所述 AC L规则包括： 所述防火墙系统接收服务器发送的 AC L规则； 或者， 所述防火墙系统获取用户配置的 AC L规则。
结合第四方面的第一种可能的实现方式， 在第四方面的第二种 可能的实现方式中， 所述防火墙系统接收所述服务器发送的 AC L 规 则包括： 所述防火墙系统接收所述服务器发送的与安全等级对应的 所述 AC L 规则； 或者， 所述防火墙系统接收所述服务器发送的与区 域对应的所述 AC L规则。
结合第四方面的第一或第二种可能的实现方式， 在第四方面的 第三种可能的实现方式中， 所述防火墙系统根据生效后的所述 A C L 规则对第一节点进行安全保护包括： 所述防火墙系统接收外部网络 发送的数据包； 所述防火墙系统根据生效后的 AC L 规则， 确定接收 到的所述数据包是否为安全数据包； 若所述防火墙系统根据所述生 效后的 A C L 规则确定接收到的所述数据包为安全数据包， 则所述防 火墙系统将接收到的所述数据包发送至所述第一节点； 若所述防火 墙系统根据所述生效后的 AC L 规则确定接收到的所述数据包为不安 全数据包， 则所述防火墙系统确定所述数据包是否为网络安全威胁 信息； 若防火墙系统确定所述数据包为所述网络安全威胁信息， 则 所述防火墙系统将所述数据包作为所述网络安全威胁信息发送至所 述服务器。
结合第四方面的第三种可能的实现方式， 在第四方面的第四种 可能的实现方式中， 还包括： 所述防火墙系统接收所述第一节点发 送的网络安全威胁信息， 并将接收到的所述网络安全威胁信息发送 至所述服务器。
结合第四方面的第一至第四任一种可能的实现方式， 在第四方 面的第五种可能的实现方式中， 还包括： 所述防火墙系统获取用户 使用需求信息， 并将获取到的所述用户使用需求信息发送至所述服 务器。
本发明实施例提供了一种生成访问控制列表规则的方法、 装置 及系统， 服务器在获取到网络安全威胁信息及安全策略信息后， 根 据获取的网络安全威胁信息及安全策略信息生成访问控制列表 A C L 规则， 并将生成的 A C L 规则分别发送至对应的防火墙系统。 这样， 由于服务器获取到的网络安全威胁信息为整个网络系统中遇到的安 全威胁信息， 因此根据此安全威胁信息及安全策略信息生成的 A C L 规则可以防备整个网络系统遇到的所有网络安全威胁， 从而提高了 整个网络系统的安全性。
附图说明
为了更清楚地说明本发明实施例的技术方案， 下面将对实施例 或现有技术描述中所需要使用的附图作简单地介绍， 显而易见地， 下面描述中的附图仅仅是本发明的一些实施例， 对于本领域普通技 术人员来讲， 在不付出创造性劳动的前提下， 还可以根据这些附图 获得其他的附图。
图 1为本发明实施例提供的一种服务器的功能示意图；
图 2为本发明实施例提供的一种防火墙系统的功能示意图； 图 3为本发明实施例提供的另一种防火墙系统的功能示意图； 图 4 为本发明实施例提供的一种生成访问控制列表规则的流程 示意图； 图 5 为本发明实施例提供的另一种生成访问控制列表规则的流 程示意图；
图 6 为本发明实施例提供的另一种生成访问控制列表规则的流 程示意图；
图 7为本发明实施例提供的一种服务器的结构示意图；
图 8为本发明实施例提供的一种防火墙系统的结构示意图； 图 9 为本发明实施例提供的一种生成访问控制列表规则的系统 的结构示意图。
具体实施方式
下面将结合本发明实施例中的附图， 对本发明实施例中的技术 方案进行清楚、 完整地描述， 显然， 所描述的实施例仅仅是本发明 一部分实施例， 而不是全部的实施例。 基于本发明中的实施例， 本 领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他 实施例， 都属于本发明保护的范围。
如图 1 所示， 其为本发明实施例提供的一种服务器的功能示意 图， 可参考图 1 所示， 该服务器包括： 获取单元 101, 生成单元 102 及发送单元 103。
所述获取单元 101, 用于获取网络安全威胁信息及安全策略信 息。
其中， 所述网络安全威胁信息的包头信息中包括源地址信息， 目的地址信息， 源端口号信息及目的端口号信息中的至少一种信息。
具体的， 所述获取单元 101 可以接收防火墙系统发送的网络安 全威胁信息； 所述获取单元 101 获取的安全策略信息为接收用户根 据需求配置的过滤规则信息。
需要说明的是， 所述获取单元 101还可以根据其他方式获取网 络安全威胁信息及安全策略信息， 本发明对此不作限制。
进一步的， 所述安全策略信息包括： 支持安全等级划分的安全 策略信息； 或者，
所述安全策略信息包括： 支持区域划分的安全策略信息； 或者， 所述安全策略信息包括： 支持安全等级划分且支持区域划分的 安全策略信息。
所述生成单元 102, 用于根据所述获取单元 101 获取的所述网 络安全威胁信息及所述安全策略信息生成访问控制列表 A C L( A c c e s s Control List, 访问控制列表） 规则。
具体的， 所述生成单元 102根据获取的网络安全威胁信息及安 全策略信息生成 ACL规则有两种方式， 具体如下：
第一种方式， 所述生成单元 102, 在所述获取单元 101 接收到 防火墙系统发送的网络安全威胁信息后， 解析出此网络安全威胁信 息的包头信息中携带的源地址信息， 目 的地址信息， 源端口号信息 及目 的端口号信息中的至少一种信息， 并根据所述获取单元 101 获 取的用户配置的安全策略信息确定此网络安全威胁信息可以通过的 网络接口信息及不可以通过的网络接口信息， 并根据此网络安全威 胁信息中携带的源地址信息， 目 的地址信息， 源端口号信息及目 的 端口号信息中的至少一种信息与可以通过的网络接口信息生成与此 网络安全威胁信息对应的执行指令为允许指令的 ACL规则。
第二种方式， 所述生成单元 102, 在所述获取单元 101 接收到 防火墙系统发送的网络安全威胁信息后， 解析出此网络安全威胁信 息的包头信息中携带的源地址信息， 目 的地址信息， 源端口号信息 及目 的端口号信息中的至少一种信息， 并根据所述获取单元 101 获 取的用户配置的安全策略信息确定此网络安全威胁信息可以通过的 网络接口信息及不可以通过的网络接口信息， 从而根据此网络安全 威胁信息中携带的源地址信息， 目 的地址信息， 源端口号信息及目 的端口号信息中的至少一种信息与不允许通过的网络接口信息生成 与此网络安全威胁信息对应的执行指令为禁止指令的 ACL规则。
进一步的， 所述生成单元 102根据安全策略信息的不同， 生成 的 ACL规则也不同， 具体为：
在所述安全策略信息包括： 支持安全等级划分的安全策略信息 的情况下， 所述生成单元 102, 具体用于根据所述获取单元 101 获 取的所述网络安全威胁信息及所述支持安全等级划分的安全策略信 息生成不同安全等级的 ACL规则。
具体的， 所述生成单元 102, 在安全策略信息包括支持安全等 级划分的安全策略信息的情况下， 在所述获取单元 101 接收到防火 墙系统发送的网络安全威胁信息后， 解析出此网络安全威胁信息的 包头信息中携带的源地址信息， 目 的地址信息， 源端口号信息及目 的端口号信息中的至少一种信息， 并根据所述获取单元 101 获取的 用户配置的支持安全等级划分的安全策略信息， 确定在每一个安全 等级下， 此网络安全威胁信息可以通过的网络接口信息及不可以通 过的网络接口信息， 从而根据此网络安全威胁信息中携带的源地址 信息， 目 的地址信息， 源端口号信息及目 的端口号信息中的至少一 种信息与每一个安全等级下允许通过的网络接口信息生成与此网络 安全威胁信息对应的执行指令为允许指令的每一个安全等级对应的 ACL规则。
需要说明的是， 所述生成单元 102根据网络安全威胁信息与支 持安全等级划分的安全策略信息生成与此网络安全威胁信息对应的 执行指令为禁止指令的每一个安全等级对应的 ACL 规则的方法， 可 参考所述生成单元 102 根据此网络安全威胁信息与支持安全等级划 分的安全策略信息生成与此网络安全威胁信息对应的执行指令为允 许指令的每一个安全等级对应的 ACL 规则的方法， 本发明在此不再 赘述。
在所述安全策略信息包括： 支持区域划分的安全策略信息的情 况下， 所述生成单元 102, 具体用于根据所述获取单元 101 获取的 所述网络安全威胁信息及所述支持区域划分的安全策略信息生成不 同区域的 ACL规则。
具体的， 所述生成单元 102, 在安全策略信息包括支持区域划 分的安全策略信息的情况下， 在所述获取单元 101 接收到防火墙系 统发送的网络安全威胁信息后， 解析出此网络安全威胁信息的包头 信息中携带的源地址信息， 目 的地址信息， 源端口号信息及目 的端 口号信息中的至少一种信息， 并根据所述获取单元 1 0 1 获取的用户 配置的支持区域划分的安全策略信息， 确定在每一个区域下， 此网 络安全威胁信息可以通过的网络接口信息及不可以通过的网络接口 信息， 从而根据此网络安全威胁信息中携带的源地址信息， 目 的地 址信息， 源端口号信息及目 的端口号信息中的至少一种信息与每一 个区域下允许通过的网络接口信息生成与此网络安全威胁信息对应 的执行指令为允许指令的每一个区域对应的 ACL规则。
需要说明的是， 所述生成单元 1 0 2根据网络安全威胁信息与支 持区域划分的安全策略信息生成与此网络安全威胁信息对应的执行 指令为禁止指令的每一个区域对应的 ACL 规则的方法， 可参考所述 生成单元 1 0 2 根据此网络安全威胁信息与支持区域划分的安全策略 信息生成与此网络安全威胁信息对应的执行指令为允许指令的每一 个区域的对应 ACL规则的方法， 本发明在此不再赘述。
在所述安全策略信息包括： 支持安全等级划分且支持区域划分 的安全策略信息的情况下， 所述生成单元 1 0 2 , 具体用于根据所述 获取单元 1 0 1 获取的所述网络安全威胁信息及所述支持安全等级划 分且支持区域划分的安全策略信息生成不同区域的不同安全等级的 ACL规则。
具体的， 所述生成单元 1 0 2 , 在安全策略信息包括支持安全等 级划分且支持区域划分的安全策略信息的情况下， 在所述获取单元 1 0 1 接收到防火墙系统发送的网络安全威胁信息后， 解析出此网络 安全威胁信息的包头信息中携带的源地址信息， 目 的地址信息， 源 端口号信息及目 的端口号信息中的至少一种信息， 并根据所述获取 单元 1 0 1 获取的用户配置的支持区域划分的安全策略信息， 确定在 每一个区域的每一个安全等级下， 此网络安全威胁信息可以通过的 网络接口信息及不可以通过的网络接口信息， 从而根据此网络安全 威胁信息中携带的源地址信息， 目 的地址信息， 源端口号信息及目 的端口号信息中的至少一种信息与每一个区域的每一个安全等级下 允许通过的网络接口信息生成与此网络安全威胁信息对应的执行指 令为允许指令的每一个区域的每一个安全等级对应的 ACL规则。 需要说明的是， 所述生成单元 102根据网络安全威胁信息与支 持安全等级划分且支持区域划分的安全策略信息生成与此网络安全 威胁信息对应的执行指令为禁止指令的每一个区域的每一个安全等 级的 ACL规则的方法， 可参考所述生成单元 102根据此网络安全威 胁信息与支持安全等级划分且支持区域划分的安全策略信息生成与 此网络安全威胁信息对应的执行指令为允许指令的每一个区域的每 一个安全等级对应的 ACL规则的方法， 本发明在此不再赘述。
所述发送单元 103, 用于将所述生成单元 102 生成的所述 ACL 规则发送至至少一个防火墙系统。
进一步的， 在安全策略信息包括： 支持安全等级划分的安全策 略信息的情况下， 所述发送单元 103, 具体用于将所述生成单元 102 生成的所述不同安全等级的 ACL 规则发送至与安全等级对应的防火 墙系统。
具体的， 所述发送单元 103在所述生成单元 102根据支持安全 等级划分的安全策略信息生成不同安全等级的 ACL 规则时， 根据用 户配置的每个防火墙系统对应的保护节点的安全等级的不同， 确定 每个防火墙系统对应的保护节点的安全等级， 并将生成的不同安全 等级的 A C L 规则分别发送至与保护节点的安全等级对应的防火墙系 统。
在安全策略信息包括：支持区域划分的安全策略信息的情况下， 所述发送单元 103, 具体用于将所述生成单元 102 生成的所述不同 区域的 ACL规则发送至与区域对应的防火墙系统。
具体的， 所述发送单元 103在所述生成单元 102根据支持区域 划分的安全策略信息生成不同区域的 ACL 规则时， 根据用户配置的 每个防火墙系统对应的保护节点的区域的不同， 确定每个防火墙系 统对应的保护节点的区域， 并将生成的不同区域的 ACL 规则分别发 送至与保护节点的区域对应的防火墙系统。
在安全策略信息包括： 支持安全等级划分且支持区域划分的安 全策略信息的情况下， 所述发送单元 103, 具体用于将所述生成单 元 102 所述不同区域的不同安全等级的 ACL规则发送至与所述区域 对应的防火墙系统。
具体的， 所述发送单元 1Q3, 在所述生成单元 102 根据支持安 全等级划分且支持区域划分的安全策略信息生成不同区域的不同安 全等级的 ACL 规则时， 根据用户配置的每个防火墙系统对应的保护 节点的区域的不同， 确定每个防火墙系统对应的保护节点所在的区 域及安全等级， 并将生成的不同区域的不同安全等级的 ACL 规则分 别发送至与保护节点所在的区域对应的防火墙系统。
进一步的， 所述获取单元 101 , 还用于获取第一信息。
其中，所述第一信息包括第一 ACL规划信息和 /或用户使用需求 信息。 所述用户使用需求信息为用户根据新的需求将之前确定为不 安全的数据包确定为安全的数据包的信息。
所述生成单元， 具体用于在所述第一信息包括所述第一 ACL规 划信息的情况下， 根据所述第一 ACL 规划信息、 所述网络安全威胁 信息及所述安全策略信息生成所述 ACL规则；
所述生成单元， 具体用于在所述第一信息包括所述用户使用需 求信息的情况下， 根据所述用户使用需求信息， 所述网络安全威胁 信息及所述安全策略信息生成所述 ACL规则；
所述生成单元， 具体用于在所述第一信息包括所述第一 ACL规 划信息及所述用户使用需求信息的情况下， 根据所述第一 ACL 规划 信息， 所述用户使用需求信息， 所述网络安全威胁信息及所述安全 策略信息生成所述 ACL规则。
需要说明的是， 所述生成单元 102根据所述获取单元 101获取 的第一 ACL规划信息、网络安全威胁信息及安全策略信息生成的 ACL 规则是对第一 ACL规划信息的更新， 或者是新生成的 ACL规则； 所 述生成单元 102根据所述获取单元 101 获取的第一 ACL规划信息、 用户使用需求信息， 网络安全威胁信息及安全策略信息生成的 ACL 规则是对第一 ACL规划信息的更新， 或者是新生成的 ACL规则， 本 发明对此不做限制。
所述生成单元 102, 具体用于根据第一 ACL规则， 所述获取单 元 101 获取的所述网络安全威胁信息及所述安全策略信息生成所述 ACL规则。
其中， 所述第一 ACL规则为所述生成单元 102在根据当前获取 到的第一 ACL规划信息， 和 /或网络安全威胁信息及安全策略信息生 成 ACL规则之前的所有 ACL规则的集合。
需要说明的是， 所述生成单元 102根据获取的第一 ACL规则、 网络安全威胁信息及安全策略信息生成的 ACL规则是对第一 ACL规 则的更新， 或者是新生成的 ACL规则， 本发明对此不做限制。
或者， 所述生成单元 102, 具体用于根据第一 ACL 规则， 所述 获取单元 101 获取的所述网络安全威胁信息， 所述安全策略信息及 所述第一信息生成所述 ACL规则。
需要说明的是， 所述生成单元 102根据获取的第一 ACL规则、 网络安全威胁信息， 安全策略信息及第一 ACL 规划信息生成的 ACL 规则是新生成的 ACL规则； 或者是对第一 ACL规则的更新， 或者是 对第一 ACL规划信息的更新；所述生成单元 102根据获取的第一 ACL 规则、 网络安全威胁信息， 安全策略信息， 第一 ACL 规划信息及用 户使用需求信息生成的 ACL规则是新生成的 ACL规则； 或者是对第 一 ACL规则的更新， 或者是对第一 ACL规划信息的更新； 本发明对 此不做限制。
需要说明的是， 本发明所述服务器是集中式服务器， 或者是分 布式服务器， 本发明对此不作限制。
需要说明的是， 本发明对服务器的部署方案不做限制， 例如， 服务器可以为独立的设备； 也可以与其他功能的服务器部署在同一 个设备； 也可以与整个网络系统中的任一个传输节点部署在同一个 设备； 也可以与其中一个防火墙系统部署在同一个设备。
本发明实施例提供了一种服务器， 服务器在获取到网络安全威 胁信息及安全策略信息后， 根据获取的网络安全威胁信息及安全策 略信息生成访问控制列表 ACL规则， 并将生成的 ACL规则分别发送 至对应的防火墙系统。 这样， 由于服务器获取到的网络安全威胁信 息为整个网络系统中遇到的安全威胁信息， 因此根据此安全威胁信 息及安全策略信息生成的 ACL 规则可以防备整个网络系统遇到的所 有网络安全威胁， 从而提高了整个网络系统的安全性。
可以参考如图 1 所示的服务器的实施例的实现， 相对应的， 如 图 2所示， 提供一种防火墙系统的功能示意图， 该防火墙系统包括： 获取单元 2 01及处理单元 2 02。
所述获取单元 2 01 , 用于获取访问控制列表 ACL规则。
进一步的， 所述防火墙系统， 如图 3所示， 还包括： 接收单元
2 0 3。
具体的， 所述获取单元 2 01 获取 ACL规则有两种方式， 具体如 下：
第一种方式， 所述获取单元 2 01 , 具体用于触发所述接收单元 2 0 3接收服务器发送的 ACL规则。
进一步的， 所述获取单元 2 01 , 具体用于触发所述接收单元 2 0 3 接收所述服务器发送的与安全等级对应的所述 ACL规则。
或者， 所述获取单元 2 01 , 具体用于触发所述接收单元 2 0 3接 收所述服务器发送的与区域对应的所述 ACL规则。
需要说明的是， 所述接收单元 2 0 3接收服务器发送的与区域对 应的 ACL规则包括： 所述接收单元 2 0 3接收服务器发送的根据支持 区域划分的安全策略信息生成的不同区域的 ACL 规则中的， 与防火 墙系统管理的区域对应的 ACL规则； 或者， 所述接收单元 2 0 3接收 服务器发送的根据支持安全等级划分且支持区域划分的安全策略信 息生成的不同区域的不同安全等级的 ACL 规则中， 与防火墙系统管 理的保护节点的安全等级及区域对应的 ACL规则。
第二种方式， 所述获取单元 2 01 , 具体用于获取用户配置的 ACL 规则。
也就是说， 所述获取单元 2 0 1 可以获取用户根据网络安全威胁 信息预先配置的 ACL规则。
所述处理单元 2 02 ,用于生效所述获取单元 2 01获取的所述 ACL 规则。
具体的， 所述处理单元 2 02 , 在所述获取单元 2 01 触发所述接 收单元 2 0 3接收到服务器发送的 ACL规则或所述获取单元 2 0 1 获取 到用户配置的 ACL规则时， 将接收到的服务器发送的 ACL规则或用 户配置的 ACL规则添加至 ACL列表中， 更新 ACL列表， 并将更新后 的 ACL 列表进行生效， 以使得所述处理单元 2 02在触发所述接收单 元 2 0 3 接收到外部网络发送的数据包时， 将接收到的此数据包与更 新后的 ACL 列表进行匹配， 从而完成所述处理单元 2 02对接收到的 此数据包的监控。
需要说明的是， 所述获取单元 2 0 1 在没有触发所述接收单元 2 0 3接收服务器发送的 ACL规则或用户配置的 ACL规则时， 则不更 新 ACL歹 表， 进而也不对不更新 ACL列表进行生效。
所述处理单元 2 02 , 还用于根据生效后的所述 ACL 规则对第一 节点进行安全保护。
其中， 所述第一节点为所述防火墙系统保护的节点。
进一步的， 所述防火墙系统， 如图 3所示， 还包括： 发送单元
2 04。
具体的， 所述处理单元 2 02根据生效后的 ACL规则对第一节点 进行安全保护的过程如下：
所述处理单元 2 02 , 具体用于触发所述接收单元 2 0 3 接收外部 网络发送的数据包； 并根据生效后的 ACL 规则， 确定所述接收单元 2 0 3 接收到的所述数据包是否为安全数据包； 在根据所述生效后的 ACL 规则确定所述接收单元 2 0 3 接收到的所述数据包为安全数据包 时， 触发所述发送单元 2 04将所述数据包发送至所述第一节点。
也就是说， 所述处理单元 2 02在触发所述接收单元 2 0 3接收到 外部网络发送的数据包时， 解析出此数据包的包头信息中携带的源 地址信息， 目 的地址信息， 源端口号信息及目 的端口号信息中的至 少一种信息， 并将解析出的此数据包的包头信息中携带的源地址信 息， 目 的地址信息， 源端口号信息及目 的端口号信息中的至少一种 信息与生效后的执行指令为允许指令的 ACL 规则进行匹配， 若将解 析出的此数据包的包头信息中携带的源地址信息， 目 的地址信息， 源端口号信息及目 的端口号信息中的至少一种信息与生效后的执行 指令为允许指令的任一条 ACL 规则中定义的源地址信息， 目的地址 信息， 源端口号信息及目 的端口号信息中的至少一种信息匹配， 则 确定此数据包为安全数据包， 并对此数据包执行生效后的执行指令 为允许指令的 ACL 规则中定义的允许指令， 此时， 触发所述发送单 元 2 04将此数据包发送至防火墙系统管理的第一节点。
所述处理单元 2 02 , 在根据所述生效后的 ACL 规则确定所述接 收单元 2 0 3 接收到的所述数据包为不安全数据包时， 确定所述数据 包是否为网络安全威胁信息； 在确定所述数据包为所述网络安全威 胁信息时， 触发所述发送单元 2 04 将所述数据包作为所述网络安全 威胁信息发送至所述服务器。
也就是说， 所述处理单元 2 02 , 在解析出此数据包的包头信息 中携带的源地址信息， 目 的地址信息， 源端口号信息及目 的端口号 信息中的至少一种信息与生效后的执行指令为允许指令的任一条 ACL 规则中定义的源地址信息， 目 的地址信息， 源端口号信息及目 的端口号信息中的至少一种信息不匹配时， 则确定此数据包为不安 全数据包， 此时， 确定此数据包是否为网络安全威胁信息， 若确定 此数据包为网络安全威胁信息， 此时， 触发所述发送单元 2 04 将此 数据包以网络安全威胁信息的格式发送至服务器。
需要说明的是， 所述处理单元 2 02在确定接收到的数据包是否 为安全数据包时， 还可以将此数据包的包头信息中携带的源地址信 息， 目 的地址信息， 源端口号信息及目 的端口号信息中的至少一种 信息与生效后的执行指令为禁止指令的 ACL 规则进行匹配， 本发明 对此不作限制。
需要说明的是， 本发明对防火墙系统的部署方案不做限制， 例 如， 防火墙系统可以为独立的设备； 也可以与整个网络系统中的传输节 点或服务器或第一节点部署在同一个设备；还可以将防火墙系统中的不同 功能模块分别装载在多个不同的设备中； 所述防火墙系统中的不同功 能模块可以为物理功能模块， 也可以为逻辑功能模块。
进一步的， 所述接收单元 2 0 3 , 还用于接收所述第一节点发送 的网络安全威胁信息。
所述发送单元 2 04 , 还用于将所述接收单元 2 0 3 接收到的所述 网络安全威胁信息发送至所述服务器。
所述获取单元 2 01 , 还用于获取用户使用需求信息。
其中， 所述用户使用需求信息为用户根据新的需求将之前确定 为不安全的数据包确定为安全的数据包的信息。
所述发送单元 2 04 , 还用于将所述获取单元 2 01 获取的所述用 户使用需求信息发送至所述服务器。
本发明实施例提供了一种防火墙系统， 在获取到 ACL规则时， 将获取到的 ACL规则进行生效， 并根据生效后的 ACL规则对第一节 点进行安全保护。 这样， 由于服务器获取到的网络安全威胁信息为 整个网络系统中遇到的安全威胁信息， 因此根据此安全威胁信息及 安全策略信息生成的 ACL 规则可以防备整个网络系统遇到的所有网 络安全威胁， 从而提高了整个网络系统的安全性。
本发明实施例提供了一种生成访问控制列表规则的方法， 如图 4所示， 包括：
4 01、 服务器获取网络安全威胁信息及安全策略信息。
其中， 所述网络安全威胁信息的包头信息中包括源地址信息， 目的地址信息， 源端口号信息及目的端口号信息中的至少一种信息。
具体的，服务器可以接收防火墙系统发送的网络安全威胁信息； 服务器获取的安全策略信息为接收用户根据需求配置的过滤规则信 息。
需要说明的是， 服务器还可以根据其他方式获取网络安全威胁 信息及安全策略信息， 本发明对此不作限制。 进一步的， 所述安全策略信息包括： 支持安全等级划分的安全 策略信息； 或者，
所述安全策略信息包括： 支持区域划分的安全策略信息； 或者， 所述安全策略信息包括： 支持安全等级划分且支持区域划分的 安全策略信息。
4 0 2、所述服务器根据获取的所述网络安全威胁信息及所述安全 策略信息生成 AC L规则。
具体的， 服务器根据获取的网络安全威胁信息及安全策略信息 生成 AC L规则有两种方式， 具体如下：
第一种方式， 服务器在接收到防火墙系统发送的网络安全威胁 信息后， 解析出此网络安全威胁信息的包头信息中携带的源地址信 息， 目 的地址信息， 源端口号信息及目 的端口号信息中的至少一种 信息， 并根据获取的用户配置的安全策略信息确定此网络安全威胁 信息可以通过的网络接口信息及不可以通过的网络接口信息， 并根 据此网络安全威胁信息中携带的源地址信息， 目 的地址信息， 源端 口号信息及目 的端口号信息中的至少一种信息与可以通过的网络接 口信息生成与此网络安全威胁信息对应的执行指令为允许指令的 AC L规则。
第二种方式， 服务器在接收到防火墙系统发送的网络安全威胁 信息后， 解析出此网络安全威胁信息的包头信息中携带的源地址信 息， 目 的地址信息， 源端口号信息及目 的端口号信息中的至少一种 信息， 并根据获取的用户配置的安全策略信息确定此网络安全威胁 信息可以通过的网络接口信息及不可以通过的网络接口信息， 从而 根据此网络安全威胁信息中携带的源地址信息， 目 的地址信息， 源 端口号信息及目 的端口号信息中的至少一种信息与不允许通过的网 络接口信息生成与此网络安全威胁信息对应的执行指令为禁止指令 的 AC L规则。
进一步的， 服务器根据安全策略信息的不同， 生成的 AC L规则 也不同， 具体为： 在所述安全策略信息包括： 支持安全等级划分的安全策略信息 的情况下， 所述服务器根据获取的所述网络安全威胁信息及所述支 持安全等级划分的安全策略信息生成不同安全等级的 A C L规则。
具体的， 在安全策略信息包括支持安全等级划分的安全策略信 息的情况下， 服务器在接收到防火墙系统发送的网络安全威胁信息 后， 解析出此网络安全威胁信息的包头信息中携带的源地址信息， 目的地址信息， 源端口号信息及目的端口号信息中的至少一种信息， 并根据获取的用户配置的支持安全等级划分的安全策略信息， 确定 在每一个安全等级下， 此网络安全威胁信息可以通过的网络接口信 息及不可以通过的网络接口信息， 从而根据此网络安全威胁信息中 携带的源地址信息， 目 的地址信息， 源端口号信息及目 的端口号信 息中的至少一种信息与每一个安全等级下允许通过的网络接口信息 生成与此网络安全威胁信息对应的执行指令为允许指令的每一个安 全等级对应的 AC L规则。
需要说明的是， 服务器根据网络安全威胁信息与支持安全等级 划分的安全策略信息生成与此网络安全威胁信息对应的执行指令为 禁止指令的每一个安全等级对应的 AC L 规则的方法， 可参考服务器 根据此网络安全威胁信息与支持安全等级划分的安全策略信息生成 与此网络安全威胁信息对应的执行指令为允许指令的每一个安全等 级对应的 AC L规则的方法， 本发明在此不再赘述。
在所述安全策略信息包括： 支持区域划分的安全策略信息的情 况下， 所述服务器根据获取的所述网络安全威胁信息及所述支持区 域划分的安全策略信息生成不同区域的 AC L规则。
具体的， 在安全策略信息包括支持区域划分的安全策略信息的 情况下， 服务器在接收到防火墙系统发送的网络安全威胁信息后， 解析出此网络安全威胁信息的包头信息中携带的源地址信息， 目 的 地址信息， 源端口号信息及目 的端口号信息中的至少一种信息， 并 根据获取的用户配置的支持区域划分的安全策略信息， 确定在每一 个区域下， 此网络安全威胁信息可以通过的网络接口信息及不可以 通过的网络接口信息， 从而根据此网络安全威胁信息中携带的源地 址信息， 目 的地址信息， 源端口号信息及目的端口号信息中的至少 一种信息与每一个区域下允许通过的网络接口信息生成与此网络安 全威胁信息对应的执行指令为允许指令的每一个区域对应的 AC L 规 则。
需要说明的是， 服务器根据网络安全威胁信息与支持区域划分 的安全策略信息生成与此网络安全威胁信息对应的执行指令为禁止 指令的每一个区域对应的 AC L 规则的方法， 可参考服务器根据此网 络安全威胁信息与支持区域划分的安全策略信息生成与此网络安全 威胁信息对应的执行指令为允许指令的每一个区域的对应 AC L 规则 的方法， 本发明在此不再赘述。
在所述安全策略信息包括： 支持安全等级划分且支持区域划分 的安全策略信息的情况下， 所述服务器根据获取的所述网络安全威 胁信息及所述支持安全等级划分且支持区域划分的安全策略信息生 成不同区域的不同安全等级的 AC L规则。
具体的， 在安全策略信息包括支持安全等级划分且支持区域划 分的安全策略信息的情况下， 服务器在接收到防火墙系统发送的网 络安全威胁信息后， 解析出此网络安全威胁信息的包头信息中携带 的源地址信息， 目 的地址信息， 源端口号信息及目 的端口号信息中 的至少一种信息， 并根据获取的用户配置的支持区域划分的安全策 略信息， 确定在每一个区域的每一个安全等级下， 此网络安全威胁 信息可以通过的网络接口信息及不可以通过的网络接口信息， 从而 根据此网络安全威胁信息中携带的源地址信息， 目 的地址信息， 源 端口号信息及目 的端口号信息中的至少一种信息与每一个区域的每 一个安全等级下允许通过的网络接口信息生成与此网络安全威胁信 息对应的执行指令为允许指令的每一个区域的每一个安全等级对应 的 AC L规则。
需要说明的是， 服务器根据网络安全威胁信息与支持安全等级 划分且支持区域划分的安全策略信息生成与此网络安全威胁信息对 应的执行指令为禁止指令的每一个区域的每一个安全等级的 AC L 规 则的方法， 可参考服务器根据此网络安全威胁信息与支持安全等级 划分且支持区域划分的安全策略信息生成与此网络安全威胁信息对 应的执行指令为允许指令的每一个区域的每一个安全等级对应的 AC L规则的方法， 本发明在此不再赘述。
4 0 3、所述服务器将生成的所述 A C L规则发送至至少一个防火墙 系统。
进一步的， 在安全策略信息包括： 支持安全等级划分的安全策 略信息的情况下， 所述服务器将生成的所述不同安全等级的 AC L 规 则发送至与安全等级对应的防火墙系统。
具体的， 服务器在根据支持安全等级划分的安全策略信息生成 不同安全等级的 AC L 规则时， 根据用户配置的每个防火墙系统对应 的保护节点的安全等级的不同， 确定每个防火墙系统对应的保护节 点的安全等级， 并将生成的不同安全等级的 AC L 规则分别发送至与 保护节点的安全等级对应的防火墙系统。
示例性的， 假设用户配置的防火墙系统 A对应的保护节点的安 全等级为安全等级 1 , 防火墙系统 B 对应的保护节点的安全等级为 安全等级 2 , 则服务器根据安全等级 1 的安全策略信息生成安全等 级 1 的 AC L规则， 根据安全等级 2 的安全策略信息生成安全等级 2 的 AC L规则， 并将生成的安全等级 1 的 AC L规则发送至防火墙系统 A ; 将生成的安全等级 2 的 AC L规则发送至防火墙系统 B。
在安全策略信息包括：支持区域划分的安全策略信息的情况下， 所述服务器将生成的所述不同区域的 AC L 规则发送至与区域对应的 防火墙系统。
具体的， 服务器在根据支持区域划分的安全策略信息生成不同 区域的 A C L 规则时， 根据用户配置的每个防火墙系统对应的保护节 点的区域的不同， 确定每个防火墙系统对应的保护节点的区域， 并 将生成的不同区域的 AC L 规则分别发送至与保护节点的区域对应的 防火墙系统。 示例性的， 假设用户配置的防火墙系统 Α对应的保护节点的区 域为区域 1 , 防火墙系统 B对应的保护节点的区域为区域 2 , 则服务 器根据区域 1 的安全策略信息生成区域 1 的 ACL规则， 根据区域 2 的安全策略信息生成区域 1 的 ACL规则， 并将生成的区域 1 的 AC L 规则发送至防火墙系统 A ; 将生成的区域 2 的 ACL规则发送至防火 墙系统 B。
在安全策略信息包括： 支持安全等级划分且支持区域划分的安 全策略信息的情况下， 所述服务器将所述不同区域的不同安全等级 的 ACL规则发送至与所述区域对应的防火墙系统。
具体的， 服务器在根据支持安全等级划分且支持区域划分的安 全策略信息生成不同区域的不同安全等级的 AC L 规则时， 根据用户 配置的每个防火墙系统对应的保护节点的区域的不同， 确定每个防 火墙系统对应的保护节点所在的区域及安全等级， 并将生成的不同 区域的不同安全等级的 AC L 规则分别发送至与保护节点所在的区域 对应的防火墙系统。
示例性的， 假设用户配置的防火墙系统 A 的保护节点有节点 1 与节点 2 , 节点 1 的安全等级为安全等级 1 , 节点 1的安全等级为安 全等级 2 , 且节点 1 与节点 2对应的区域为区域 1 , 防火墙系统 B的 保护节点有节点 3与节点 4 , 节点 3的安全等级为安全等级 1 , 节点 4的安全等级为安全等级 2 ,且节点 3与节点 4对应的区域为区域 2 , 则服务器根据区域 1 的安全等级 1 的安全策略信息生成区域 1 的安 全等级 1 的 AC L规则， 根据区域 1 的安全等级 2 的安全策略信息生 成区域 1 的安全等级 2 的 ACL规则， 根据区域 2 的安全等级 1 的安 全策略信息生成区域 2 的安全等级 1 的 ACL规则， 并将生成的区域 1 的安全等级 1 的 ACL规则及区域 1 的安全等级 2 的 ACL规则发送 至防火墙系统 A ; 将生成的区域 2的安全等级 1 的 ACL规则及区域 2 的安全等级 2 的 ACL规则发送至防火墙系统 B。
需要说明的是， 本发明所述服务器可以是集中式服务器， 或者 是分布式服务器， 本发明对此不作限制。 需要说明的是， 本发明对服务器的部署方案不做限制， 例如， 服务器可以为独立的设备； 也可以与其他功能的服务器部署在同一 个设备； 也可以与整个网络系统中的任一个传输节点部署在同一个 设备； 也可以与其中一个防火墙系统部署在同一个设备。
本发明实施例提供了一种生成访问控制列表规则的方法， 服务 器在获取到网络安全威胁信息及安全策略信息后， 根据获取的网络 安全威胁信息及安全策略信息生成访问控制列表 ACL 规则， 并将生 成的 ACL 规则分别发送至对应的防火墙系统。 这样， 由于服务器获 取到的网络安全威胁信息为整个网络系统中遇到的安全威胁信息， 因此根据此安全威胁信息及安全策略信息生成的 ACL 规则可以防备 整个网络系统遇到的所有网络安全威胁， 从而提高了整个网络系统 的安全性。
本发明实施例提供了一种生成访问控制列表规则的方法， 如图 5所示， 包括：
501、 防火墙系统获取 ACL规则。
具体的， 防火墙系统获取 ACL规则有两种方式， 具体如下： 第一种方式， 所述防火墙系统接收服务器发送的 ACL规则。 进一步的， 所述防火墙系统接收所述服务器发送的与安全等级 对应的所述 ACL规则。
或者， 所述防火墙系统接收所述服务器发送的与区域对应的所 述 ACL规则。
需要说明的是， 防火墙系统接收服务器发送的与区域对应的 ACL 规则包括： 防火墙系统接收服务器发送的根据支持区域划分的 安全策略信息生成的不同区域的 ACL 规则中的， 与防火墙系统管理 的区域对应的 ACL 规则； 或者， 防火墙系统接收服务器发送的根据 支持安全等级划分且支持区域划分的安全策略信息生成的不同区域 的不同安全等级的 ACL 规则中， 与防火墙系统管理的保护节点的安 全等级及区域对应的 ACL规则。
第二种方式， 所述防火墙系统获取用户配置的 ACL规则。 也就是说， 防火墙系统可以获取用户根据网络安全威胁信息预 先配置的 ACL规则。
502、 所述防火墙系统生效获取的所述 ACL规则。
具体的， 防火墙系统在接收到服务器发送的 ACL规则或用户配 置的 ACL规则时， 将接收到的服务器发送的 ACL规则或用户配置的 ACL规则添力。至 ACL 歹' J表中， 更新 ACL 列表， 并将更新后的 ACL 列 表进行生效， 以使得防火墙系统在接收到外部网络发送的数据包时， 将接收到的此数据包与更新后的 ACL 列表进行匹配， 从而完成防火 墙系统对接收到的此数据包的监控。
需要说明的是， 防火墙系统在没有接收到服务器发送的 ACL 规则或用户配置的 ACL规则时， 则不更新 ACL 列表， 进而也不对不 更新 ACL列表进行生效。
503、所述防火墙系统根据生效后的所述 ACL规则对第一节点进 行安全保护。
其中， 所述第一节点为所述防火墙系统保护的节点。
具体的， 防火墙系统根据生效后的 ACL规则对第一节点进行安 全保护的过程如下：
所述防火墙系统接收外部网络发送的数据包， 并根据生效后的 ACL 规则， 确定接收到的所述数据包是否为安全数据包； 若所述防 火墙系统根据所述生效后的 ACL 规则确定接收到的所述数据包为安 全数据包， 则所述防火墙系统将接收到的所述数据包发送至所述第 一节点。
也就是说， 防火墙系统在接收到外部网络发送的数据包时， 解 析出此数据包的包头信息中携带的源地址信息， 目 的地址信息， 源 端口号信息及目 的端口号信息中的至少一种信息， 并将解析出的此 数据包的包头信息中携带的源地址信息， 目的地址信息， 源端口号 信息及目 的端口号信息中的至少一种信息与生效后的执行指令为允 许指令的 ACL 规则进行匹配， 若将解析出的此数据包的包头信息中 携带的源地址信息， 目 的地址信息， 源端口号信息及目 的端口号信 息中的至少一种信息与生效后的执行指令为允许指令的任一条 A C L 规则中定义的源地址信息， 目 的地址信息， 源端口号信息及目 的端 口号信息中的至少一种信息匹配， 则确定此数据包为安全数据包， 并对此数据包执行生效后的执行指令为允许指令的 A C L 规则中定义 的允许指令， 从而将此数据包发送至防火墙系统管理的第一节点。
若所述防火墙系统根据所述生效后的 AC L规则确定接收到的所 述数据包为不安全数据包， 则所述防火墙系统确定所述数据包是否 为网络安全威胁信息； 若防火墙系统确定所述数据包为所述网络安 全威胁信息， 则所述防火墙系统将所述数据包作为所述网络安全威 胁信息发送至所述服务器。
也就是说， 若防火墙系统将解析出此数据包的包头信息中携带 的源地址信息， 目 的地址信息， 源端口号信息及目 的端口号信息中 的至少一种信息与生效后的执行指令为允许指令的任一条 AC L 规则 中定义的源地址信息， 目 的地址信息， 源端口号信息及目 的端口号 信息中的至少一种信息不匹配， 则确定此数据包为不安全数据包， 此时， 确定此数据包是否为网络安全威胁信息， 若确定此数据包为 网络安全威胁信息， 则防火墙系统将此数据包以网络安全威胁信息 的格式发送至服务器。
需要说明的是， 防火墙系统在确定接收到的数据包是否为安全 数据包时， 还可以将此数据包的包头信息中携带的源地址信息， 目 的地址信息， 源端口号信息及目 的端口号信息中的至少一种信息与 生效后的执行指令为禁止指令的 AC L 规则进行匹配， 本发明对此不 作限制。
需要说明的是， 本发明对防火墙系统的部署方案不做限制， 例 如， 防火墙系统可以为独立的设备； 也可以与整个网络系统中的传输节 点或服务器或第一节点部署在同一个设备；还可以将防火墙系统中的不同 功能模块分别装载在多个不同的设备中； 所述防火墙系统中的不同功 能模块可以为物理功能模块， 也可以为逻辑功能模块。
本发明实施例提供了一种生成访问控制列表规则的方法， 防火 墙系统在获取到 ACL规则时， 将获取到的 ACL规则进行生效， 并根 据生效后的 ACL 规则对第一节点进行安全保护。 这样， 由于服务器 获取到的网络安全威胁信息为整个网络系统中遇到的安全威胁信 息， 因此根据此安全威胁信息及安全策略信息生成的 ACL 规则可以 防备整个网络系统遇到的所有网络安全威胁， 从而提高了整个网络 系统的安全性。
本发明实施例提供了一种生成访问控制列表规则的方法， 如图 6所示， 包括：
需要说明的是， 防火墙系统获取网络安全威胁信息， 用户使用 需求信息及服务器获取安全策略信息没有先后顺序， 即步骤 6 0 1 , 步骤 6 02及步骤 6 0 3没有先后顺序， 本发明对此不作限制。
6 01、 所述防火墙系统获取网络安全威胁信息， 并将获取到的所 述网络安全威胁信息发送至服务器。 所述服务器接收所述防火墙系 统发送的所述网络安全威胁信息。
其中， 所述第一节点为所述防火墙系统保护的节点。
具体的， 所述防火墙系统接收所述第一节点发送的网络安全威 胁信息， 并将接收到的所述网络安全威胁信息发送至所述服务器， 此时， 服务器接收防火墙系统发送的网络安全威胁信息。
6 02、 所述防火墙系统获取用户使用需求信息， 并将获取到的所 述用户使用需求信息发送至所述服务器。 所述服务器获取第一信息。
其中，所述第一信息包括第一 ACL规划信息和 /或用户使用需求 信息。 所述第一 ACL规划信息为用户配置的 ACL规则。 所述用户使 用需求信息为用户根据新的需求确定的安全数据包信息， 和 /或不安 全数据包信息。
具体的， 防火墙系统接收第一节点发送的用户使用需求信息， 并将接收到的用户使用需求信息发送至服务器。 此时， 服务器接收 防火墙系统发送的用户使用需求信息。
需要说明的是， 防火墙系统还可以接收第一节点发送的携带有 用户使用需求信息的消息， 并在此消息中解析出携带的用户使用需 求信息， 进而将解析出的用户使用需求信息发送至服务器， 本发明 对此不做限制。
6 0 3、 所述服务器获取安全策略信息。
具体的， 服务器获取的安全策略信息为接收用户根据需求配置 的过滤规则信息。
进一步的， 所述安全策略信息包括： 支持安全等级划分的安全 策略信息； 或者，
所述安全策略信息包括： 支持区域划分的安全策略信息； 或者， 所述安全策略信息包括： 支持安全等级划分且支持区域划分的 安全策略信息。
6 04、所述服务器根据获取的所述网络安全威胁信息及所述安全 策略信息生成 ACL规则。
具体的， 服务器根据获取的网络安全威胁信息及安全策略信息 生成 ACL规则的方法， 可参考步骤 4 02 , 本发明在此不再赘述。
进一步的， 在第一信息包括第一 ACL规划信息的情况下， 所述 服务器根据获取的所述第一 ACL 规划信息、 所述网络安全威胁信息 及所述安全策略信息生成所述 ACL规则。
具体的， 服务器根据获取的第一 ACL规划信息、 网络安全威胁 信息及安全策略信息生成 ACL 规则的方法可参考步骤 4 02 , 本发明 在此不再赘述。
在所述第一信息包括用户使用需求信息的情况下， 所述服务器 根据获取的所述用户使用需求信息， 所述网络安全威胁信息及所述 安全策略信息生成所述 ACL规则。
具体的， 服务器根据获取的用户使用需求信息， 网络安全威胁 信息及安全策略信息生成 ACL 规则的方法可参考步骤 4 02 , 本发明 在此不再赘述。
在所述第一信息包括第一 ACL规划信息及用户使用需求信息的 情况下， 所述服务器根据获取的所述第一 ACL 规划信息、 所述用户 使用需求信息， 所述网络安全威胁信息及所述安全策略信息生成所 述 ACL规则。
具体的， 服务器根据获取的第一 ACL规划信息、 用户使用需求 信息， 网络安全威胁信息及安全策略信息生成 ACL 规则的方法可参 考步骤 402, 本发明在此不再赘述。
需要说明的是， 服务器根据获取的第一 ACL规划信息、 网络安 全威胁信息及安全策略信息生成的 ACL规则是对第一 ACL规划信息 的更新， 或者是新生成的 ACL规则； 服务器根据获取的第一 ACL规 划信息、 用户使用需求信息， 网络安全威胁信息及安全策略信息生 成的 ACL规则是对第一 ACL规划信息的更新， 或者是新生成的 ACL 规则， 本发明对此不做限制。
进一步的， 所述服务器根据第一 ACL规则， 所述网络安全威胁 信息及所述安全策略信息生成所述 ACL规则。
其中，所述第一 ACL规则为服务器在根据当前获取到的第一 ACL 规划信息， 和 /或网络安全威胁信息及安全策略信息生成 ACL规则之 前的所有 ACL规则的集合。
具体的， 服务器根据第一 ACL规则， 网络安全威胁信息及安全 策略信息生成 ACL 规则的方法， 可参考步骤 402, 本发明在此不再 赘述。
需要说明的是， 服务器根据获取的第一 ACL规则、 网络安全威 胁信息及安全策略信息生成的 ACL规则是对第一 ACL规则的更新， 或者是新生成的 ACL规则， 本发明对此不做限制。
或者， 所述服务器根据第一 ACL规则， 所述网络安全威胁信息， 所述安全策略信息及所述第一信息生成所述 ACL规则。
具体的， 服务器根据第一 ACL规则， 网络安全威胁信息， 安全 策略信息及第一信息生成 ACL 规则的方法， 可参考步骤 402, 本发 明在此不再赘述。
需要说明的是， 服务器根据获取的第一 ACL规则、 网络安全威 胁信息， 安全策略信息及第一 ACL规划信息生成的 ACL规则是新生 成的 ACL规则； 或者是对第一 ACL规则的更新， 或者是对第一 ACL 规划信息的更新； 服务器根据获取的第一 ACL 规则、 网络安全威胁 信息， 安全策略信息， 第一 ACL 规划信息及用户使用需求信息生成 的 ACL规则是新生成的 ACL规则； 或者是对第一 ACL规则的更新， 或者是对第一 ACL规划信息的更新； 本发明对此不做限制。
605、所述服务器将生成的所述 ACL规则发送至至少一个防火墙 系统。 所述防火墙系统获取所述 ACL规则。
具体的， 可参考步骤 403与步骤 501 , 本发明在此不再赘述。 606、 所述防火墙系统生效获取的所述 ACL规则。
具体的， 可参考步骤 502, 本发明在此不再赘述。
607、所述防火墙系统根据生效后的所述 ACL规则对第一节点进 行安全保护。
具体的， 可参考步骤 503, 本发明在此不再赘述。
需要说明的是， 防火墙系统在将获取的 ACL规则生效之后， 根 据生效后的 ACL 规则确定接收到的外部网络发送的数据包是否为网 络安全威胁信息， 在确定接收到的外部网络发送的数据包为网络安 全威胁信息时， 此时， 防火墙系统获取网络安全威胁信息的方法有 两种， 第一种方法为防火墙系统将接收到的数据包确定为网络安全 威胁信息； 第二种方法为防火墙系统接收第一节点发送的网络安全 威胁信息。
本发明实施例提供了一种生成访问控制列表规则的方法， 服务 器在获取到网络安全威胁信息及安全策略信息后， 根据获取的网络 安全威胁信息及安全策略信息生成访问控制列表 ACL 规则， 并将生 成的 ACL 规则分别发送至对应的防火墙系统， 防火墙系统在接收到 服务器发送的 ACL规则后， 生效接收到的 ACL规则， 并根据生效后 的 ACL 规则对第一节点进行安全保护。 这样， 由于服务器获取到的 网络安全威胁信息为整个网络系统中遇到的安全威胁信息， 因此根 据此安全威胁信息及安全策略信息生成的 ACL 规则可以防备整个网 络系统遇到的所有网络安全威胁， 从而提高了整个网络系统的安全 性。 如图 7 所示， 其为本发明实施例提供的一种服务器的结构示意 图， 可参考图 7所示， 该服务器包括： 发送器 7 0 1 , 存储器 7 02 , 以 及分别与发送器 7 01、 存储器 7 02连接的处理器 7 0 3。
其中， 存储器 7 02 中存储一组程序代码， 且处理器 7 0 3用于调 用存储器 7 02 中存储的程序代码。 发送器 7 01 及处理器 7 0 3用于执 行以下操作：
所述处理器 7 0 3 , 用于获取网络安全威胁信息及安全策略信息。 其中， 所述网络安全威胁信息的包头信息中包括源地址信息， 目的地址信息， 源端口号信息及目的端口号信息中的至少一种信息。
具体的， 所述处理器 7 0 3可以接收防火墙系统发送的网络安全 威胁信息； 所述处理器 7 0 3 获取的安全策略信息为接收用户根据需 求配置的过滤规则信息。
需要说明的是， 所述处理器 7 0 3还可以根据其他方式获取网络 安全威胁信息及安全策略信息， 本发明对此不作限制。
进一步的， 所述安全策略信息包括： 支持安全等级划分的安全 策略信息； 或者，
所述安全策略信息包括： 支持区域划分的安全策略信息； 或者， 所述安全策略信息包括： 支持安全等级划分且支持区域划分的 安全策略信息。
所述所述处理器 7 0 3 , 用于根据获取的所述网络安全威胁信息 及所述安全策略信息生成访问控制列表 A C L规则。
具体的， 所述处理器 7 0 3根据获取的网络安全威胁信息及安全 策略信息生成 ACL规则有两种方式， 具体如下：
第一种方式， 所述处理器 7 0 3在接收到防火墙系统发送的网络 安全威胁信息后， 解析出此网络安全威胁信息的包头信息中携带的 源地址信息， 目 的地址信息， 源端口号信息及目 的端口号信息中的 至少一种信息， 并根据获取的用户配置的安全策略信息确定此网络 安全威胁信息可以通过的网络接口信息及不可以通过的网络接口信 息， 并根据此网络安全威胁信息中携带的源地址信息， 目 的地址信 息， 源端口号信息及目 的端口号信息中的至少一种信息与可以通过 的网络接口信息生成与此网络安全威胁信息对应的执行指令为允许 指令的 ACL规则。
第二种方式， 所述处理器 7 0 3在接收到防火墙系统发送的网络 安全威胁信息后， 解析出此网络安全威胁信息的包头信息中携带的 源地址信息， 目 的地址信息， 源端口号信息及目 的端口号信息中的 至少一种信息， 并根据获取的用户配置的安全策略信息确定此网络 安全威胁信息可以通过的网络接口信息及不可以通过的网络接口信 息， 从而根据此网络安全威胁信息中携带的源地址信息， 目的地址 信息， 源端口号信息及目 的端口号信息中的至少一种信息与不允许 通过的网络接口信息生成与此网络安全威胁信息对应的执行指令为 禁止指令的 ACL规则。
进一步的， 所述处理器 7 0 3根据安全策略信息的不同， 生成的 ACL规则也不同， 具体为：
在所述安全策略信息包括： 支持安全等级划分的安全策略信息 的情况下， 所述处理器 7 0 3 , 具体用于根据获取的所述网络安全威 胁信息及所述支持安全等级划分的安全策略信息生成不同安全等级 的 ACL规则。
具体的， 所述处理器 7 0 3 , 在安全策略信息包括支持安全等级 划分的安全策略信息的情况下， 在接收到防火墙系统发送的网络安 全威胁信息后， 解析出此网络安全威胁信息的包头信息中携带的源 地址信息， 目 的地址信息， 源端口号信息及目 的端口号信息中的至 少一种信息， 并根据获取的用户配置的支持安全等级划分的安全策 略信息， 确定在每一个安全等级下， 此网络安全威胁信息可以通过 的网络接口信息及不可以通过的网络接口信息， 从而根据此网络安 全威胁信息中携带的源地址信息， 目 的地址信息， 源端口号信息及 目 的端口号信息中的至少一种信息与每一个安全等级下允许通过的 网络接口信息生成与此网络安全威胁信息对应的执行指令为允许指 令的每一个安全等级对应的 ACL规则。 需要说明的是， 所述处理器 7 0 3根据网络安全威胁信息与支持 安全等级划分的安全策略信息生成与此网络安全威胁信息对应的执 行指令为禁止指令的每一个安全等级对应的 ACL 规则的方法， 可参 考所述处理器 7 0 3 根据此网络安全威胁信息与支持安全等级划分的 安全策略信息生成与此网络安全威胁信息对应的执行指令为允许指 令的每一个安全等级对应的 ACL规则的方法， 本发明在此不再赘述。
在所述安全策略信息包括： 支持区域划分的安全策略信息的情 况下， 所述处理器 7 0 3 , 具体用于根据获取的所述网络安全威胁信 息及所述支持区域划分的安全策略信息生成不同区域的 ACL规则。
具体的， 所述处理器 7 0 3 , 在安全策略信息包括支持区域划分 的安全策略信息的情况下， 在接收到防火墙系统发送的网络安全威 胁信息后， 解析出此网络安全威胁信息的包头信息中携带的源地址 信息， 目 的地址信息， 源端口号信息及目 的端口号信息中的至少一 种信息， 并根据获取的用户配置的支持区域划分的安全策略信息， 确定在每一个区域下， 此网络安全威胁信息可以通过的网络接口信 息及不可以通过的网络接口信息， 从而根据此网络安全威胁信息中 携带的源地址信息， 目 的地址信息， 源端口号信息及目 的端口号信 息中的至少一种信息与每一个区域下允许通过的网络接口信息生成 与此网络安全威胁信息对应的执行指令为允许指令的每一个区域对 应的 ACL规则。
需要说明的是， 所述处理器 7 0 3根据网络安全威胁信息与支持 区域划分的安全策略信息生成与此网络安全威胁信息对应的执行指 令为禁止指令的每一个区域对应的 ACL 规则的方法， 可参考所述处 理器 7 0 3 根据此网络安全威胁信息与支持区域划分的安全策略信息 生成与此网络安全威胁信息对应的执行指令为允许指令的每一个区 域的对应 ACL规则的方法， 本发明在此不再赘述。
在所述安全策略信息包括： 支持安全等级划分且支持区域划分 的安全策略信息的情况下， 所述处理器 7 0 3 , 具体用于根据获取的 所述网络安全威胁信息及所述支持安全等级划分且支持区域划分的 安全策略信息生成不同区域的不同安全等级的 ACL规则。 具体的， 所述处理器 7 0 3 , 在安全策略信息包括支持安全等级 划分且支持区域划分的安全策略信息的情况下， 在接收到防火墙系 统发送的网络安全威胁信息后， 解析出此网络安全威胁信息的包头 信息中携带的源地址信息， 目 的地址信息， 源端口号信息及目 的端 口号信息中的至少一种信息， 并根据获取的用户配置的支持区域划 分的安全策略信息， 确定在每一个区域的每一个安全等级下， 此网 络安全威胁信息可以通过的网络接口信息及不可以通过的网络接口 信息， 从而根据此网络安全威胁信息中携带的源地址信息， 目 的地 址信息， 源端口号信息及目 的端口号信息中的至少一种信息与每一 个区域的每一个安全等级下允许通过的网络接口信息生成与此网络 安全威胁信息对应的执行指令为允许指令的每一个区域的每一个安 全等级对应的 ACL规则。
需要说明的是， 所述处理器 7 0 3根据网络安全威胁信息与支持 安全等级划分且支持区域划分的安全策略信息生成与此网络安全威 胁信息对应的执行指令为禁止指令的每一个区域的每一个安全等级 的 ACL规则的方法， 可参考所述处理器 7 0 3根据此网络安全威胁信 息与支持安全等级划分且支持区域划分的安全策略信息生成与此网 络安全威胁信息对应的执行指令为允许指令的每一个区域的每一个 安全等级对应的 ACL规则的方法， 本发明在此不再赘述。
所述发送器 7 01 , 用于将所述处理器 7 0 3 生成的所述 ACL规则 发送至至少一个防火墙系统。
进一步的， 在安全策略信息包括： 支持安全等级划分的安全策 略信息的情况下， 所述发送器 7 01 , 具体用于将所述处理器 7 0 3 生 成的所述不同安全等级的 ACL 规则发送至与安全等级对应的防火墙 系统。
具体的， 所述发送器 7 01在所述处理器 7 0 3根据支持安全等级 划分的安全策略信息生成不同安全等级的 ACL 规则时， 根据用户配 置的每个防火墙系统对应的保护节点的安全等级的不同， 确定每个 防火墙系统对应的保护节点的安全等级， 并将生成的不同安全等级 的 ACL规则分别发送至与保护节点的安全等级对应的防火墙系统。
在安全策略信息包括：支持区域划分的安全策略信息的情况下， 所述发送器 7 0 1 , 具体用于将所述处理器 7 0 3 生成的所述不同区域 的 ACL规则发送至与区域对应的防火墙系统。
具体的， 所述发送器 7 01在所述处理器 7 0 3根据支持区域划分 的安全策略信息生成不同区域的 ACL 规则时， 根据用户配置的每个 防火墙系统对应的保护节点的区域的不同， 确定每个防火墙系统对 应的保护节点的区域， 并将生成的不同区域的 ACL 规则分别发送至 与保护节点的区域对应的防火墙系统。
在安全策略信息包括： 支持安全等级划分且支持区域划分的安 全策略信息的情况下， 所述发送器 7 01 , 具体用于将所述处理器 7 0 3 所述不同区域的不同安全等级的 ACL 规则发送至与所述区域对应的 防火墙系统。
具体的， 所述发送器 7 01 , 在所述处理器 7 0 3 根据支持安全等 级划分且支持区域划分的安全策略信息生成不同区域的不同安全等 级的 ACL 规则时， 根据用户配置的每个防火墙系统对应的保护节点 的区域的不同， 确定每个防火墙系统对应的保护节点所在的区域及 安全等级， 并将生成的不同区域的不同安全等级的 ACL 规则分别发 送至与保护节点所在的区域对应的防火墙系统。
进一步的， 所述处理器 7 0 3 , 还用于获取第一信息。
其中，所述第一信息包括第一 ACL规划信息和 /或用户使用需求 信息。 所述用户使用需求信息为用户根据新的需求确定的安全数据 包信息， 和 /或不安全数据包信息。
所述处理器 7 0 3 , 具体用于具体用于在所述第一信息包括所述 第一 ACL规划信息的情况下， 根据所述第一 ACL规划信息、 所述网 络安全威胁信息及所述安全策略信息生成所述 ACL规则。
所述处理器 7 0 3 , 具体用于在所述第一信息包括所述用户使用 需求信息的情况下， 根据所述用户使用需求信息， 所述网络安全威 胁信息及所述安全策略信息生成所述 ACL规则。
所述处理器 703, 具体用于在所述第一信息包括所述第一 ACL 规划信息及所述用户使用需求信息的情况下， 根据所述第一 ACL 规 划信息， 所述用户使用需求信息， 所述网络安全威胁信息及所述安 全策略信息生成所述 ACL规则。
需要说明的是，所述处理器 703根据获取的第一 ACL规划信息、 网络安全威胁信息及安全策略信息生成的 ACL规则是对第一 ACL规 划信息的更新， 或者是新生成的 ACL规则； 所述处理器 703根据获 取的第一 ACL 规划信息、 用户使用需求信息， 网络安全威胁信息及 安全策略信息生成的 ACL规则是对第一 ACL规划信息的更新， 或者 是新生成的 ACL规则， 本发明对此不做限制。
所述处理器 703, 具体用于根据第一 ACL 规则， 所述网络安全 威胁信息及所述安全策略信息生成所述 ACL规则。
其中， 所述第一 ACL规则为所述处理器 703在根据当前获取到 的第一 ACL规划信息， 和 /或网络安全威胁信息及安全策略信息生成 ACL规则之前的所有 ACL规则的集合。
需要说明的是， 所述处理器 703根据获取的第一 ACL规则、 网 络安全威胁信息及安全策略信息生成的 ACL规则是对第一 ACL规则 的更新， 或者是新生成的 ACL规则， 本发明对此不做限制。
或者， 所述处理器 703, 具体用于根据第一 ACL 规则， 所述网 络安全威胁信息， 所述安全策略信息及所述第一信息生成所述 ACL 规则。
需要说明的是， 所述处理器 703根据获取的第一 ACL规则、 网 络安全威胁信息， 安全策略信息及第一 ACL规划信息生成的 ACL规 则是新生成的 ACL规则； 或者是对第一 ACL规则的更新， 或者是对 第一 ACL规划信息的更新； 所述处理器 703根据获取的第一 ACL规 则、 网络安全威胁信息， 安全策略信息， 第一 ACL 规划信息及用户 使用需求信息生成的 ACL规则是新生成的 ACL规则； 或者是对第一 ACL 规则的更新， 或者是对第一 ACL 规划信息的更新； 本发明对此 不做限制。
需要说明的是， 本发明所述服务器是集中式服务器， 或者是分 布式服务器， 本发明对此不作限制。
需要说明的是， 本发明对服务器的部署方案不做限制， 例如， 服务器可以为独立的设备； 也可以与其他功能的服务器部署在同一 个设备； 也可以与整个网络系统中的任一个传输节点部署在同一个 设备； 也可以与其中一个防火墙系统部署在同一个设备。
本发明实施例提供了一种服务器， 服务器在获取到网络安全威 胁信息及安全策略信息后， 根据获取的网络安全威胁信息及安全策 略信息生成访问控制列表 ACL规则， 并将生成的 ACL规则分别发送 至对应的防火墙系统。 这样， 由于服务器获取到的网络安全威胁信 息为整个网络系统中遇到的安全威胁信息， 因此根据此安全威胁信 息及安全策略信息生成的 A C L 规则可以防备整个网络系统遇到的所 有网络安全威胁， 从而提高了整个网络系统的安全性。
可以参考如图 7 所示的服务器的实施例的实现， 相对应的， 如 图 8所示， 提供一种防火墙系统的结构示意图， 该防火墙系统包括： 接收器 8 01 , 发送器 8 02 , 存储器 8 0 3 , 以及分别与接收器 8 01、 发 送器 8 02、 存储器 8 0 3连接的处理器 8 04。
其中， 存储器 8 0 3 中存储一组程序代码， 且处理器 8 04用于调 用存储器 8 0 3 中存储的程序代码。 接收器 8 0 1 , 发送器 8 02 及处理 器 8 04用于执行以下操作：
所述处理器 8 04 , 用于获取访问控制列表 ACL规则。
具体的， 所述处理器 8 04获取 ACL规则有两种方式， 具体如下： 第一种方式， 所述处理器 8 04 , 具体用于触发所述接收器 8 01 接收服务器发送的 ACL规则。
进一步的， 所述处理器 8 04 , 具体用于触发所述接收器 8 0 1 接 收所述服务器发送的与安全等级对应的所述 ACL规则。
或者， 所述处理器 8 04 , 具体用于触发所述接收器 8 01 接收所 述服务器发送的与区域对应的所述 ACL规则。 需要说明的是， 所述接收器 801接收服务器发送的与区域对应 的 ACL规则包括： 所述接收器 801接收服务器发送的根据支持区域 划分的安全策略信息生成的不同区域的 ACL 规则中的， 与防火墙系 统管理的区域对应的 ACL规则； 或者， 所述接收器 801接收服务器 发送的根据支持安全等级划分且支持区域划分的安全策略信息生成 的不同区域的不同安全等级的 ACL 规则中， 与防火墙系统管理的保 护节点的安全等级及区域对应的 ACL规则。
第二种方式， 所述处理器 804, 具体用于获取用户配置的 ACL 规则。
也就是说， 所述处理器 804 可以获取用户根据网络安全威胁信 息预先配置的 ACL规则。
所述处理器 804, 还用于生效获取的所述 ACL规则。
具体的， 所述处理器 804, 在触发所述接收器 801 接收到服务 器发送的 ACL规则或获取到用户配置的 ACL规则时， 将接收到的服 务器发送的 ACL规则或用户配置的 ACL规则添加至 ACL列表中， 更 新 ACL 列表， 并将更新后的 ACL 列表进行生效， 以使得所述处理器 804 在触发所述接收器 801 接收到外部网络发送的数据包时， 将接 收到的此数据包与更新后的 ACL 列表进行匹配， 从而完成所述处理 器 804对接收到的此数据包的监控。
需要说明的是， 所述处理器 804 在没有触发所述接收器 801 接收服务器发送的 ACL规则或用户配置的 ACL规则时，则不更新 ACL 列表， 进而也不对不更新 ACL列表进行生效。
所述处理器 804, 还用于根据生效后的所述 ACL 规则对第一节 点进行安全保护。
其中， 所述第一节点为所述防火墙系统保护的节点。
具体的， 所述处理器 804根据生效后的 ACL规则对第一节点进 行安全保护的过程如下：
所述处理器 804, 具体用于触发所述接收器 801 接收外部网络 发送的数据包； 并根据生效后的 ACL规则， 确定所述接收器 801接 收到的所述数据包是否为安全数据包； 在根据所述生效后的 ACL 规 则确定所述接收器 8 01 接收到的所述数据包为安全数据包时， 触发 所述发送器 8 02将所述数据包发送至所述第一节点。
也就是说， 所述处理器 8 04在触发所述接收器 8 0 1接收到外部 网络发送的数据包时， 解析出此数据包的包头信息中携带的源地址 信息， 目 的地址信息， 源端口号信息及目 的端口号信息中的至少一 种信息， 并将解析出的此数据包的包头信息中携带的源地址信息， 目 的地址信息， 源端口号信息及目 的端口号信息中的至少一种信息 与生效后的执行指令为允许指令的 ACL 规则进行匹配， 若将解析出 的此数据包的包头信息中携带的源地址信息， 目 的地址信息， 源端 口号信息及目 的端口号信息中的至少一种信息与生效后的执行指令 为允许指令的任一条 ACL规则中定义的源地址信息， 目的地址信息， 源端口号信息及目 的端口号信息中的至少一种信息匹配， 则确定此 数据包为安全数据包， 并对此数据包执行生效后的执行指令为允许 指令的 ACL规则中定义的允许指令， 此时， 触发所述发送器 8 02将 此数据包发送至防火墙系统管理的第一节点。
所述处理器 8 04 , 在根据所述生效后的 ACL规则确定所述接收 器 8 01 接收到的所述数据包为不安全数据包时， 确定所述数据包是 否为网络安全威胁信息； 在确定所述数据包为所述网络安全威胁信 息时， 触发所述发送器 8 02 将所述数据包作为所述网络安全威胁信 息发送至所述服务器。
也就是说， 所述处理器 8 04 , 在解析出此数据包的包头信息中 携带的源地址信息， 目 的地址信息， 源端口号信息及目 的端口号信 息中的至少一种信息与生效后的执行指令为允许指令的任一条 ACL 规则中定义的源地址信息， 目 的地址信息， 源端口号信息及目 的端 口号信息中的至少一种信息不匹配时， 则确定此数据包为不安全数 据包， 此时， 确定此数据包是否为网络安全威胁信息， 若确定此数 据包为网络安全威胁信息， 此时， 触发所述发送器 8 02 将此数据包 以网络安全威胁信息的格式发送至服务器。 需要说明的是， 所述处理器 8 04在确定接收到的数据包是否为 安全数据包时， 还可以将此数据包的包头信息中携带的源地址信息， 目 的地址信息， 源端口号信息及目 的端口号信息中的至少一种信息 与生效后的执行指令为禁止指令的 ACL 规则进行匹配， 本发明对此 不作限制。
需要说明的是， 本发明对防火墙系统的部署方案不做限制， 例 如， 防火墙系统可以为独立的设备； 也可以与整个网络系统中的传输节 点或服务器或第一节点部署在同一个设备；还可以将防火墙系统中的不同 功能模块分别装载在多个不同的设备中；所述防火墙系统中的不同功能 模块可以为物理功能模块， 也可以为逻辑功能模块。
进一步的， 所述接收器 8 01 , 还用于接收所述第一节点发送的 网络安全威胁信息。
所述发送器 8 02 , 还用于将所述接收器 8 01 接收到的所述网络 安全威胁信息发送至所述服务器。
所述处理器 8 04 , 还用于获取用户使用需求信息。
其中， 所述用户使用需求信息为用户根据新的需求确定的安全 数据包信息， 和 /或不安全数据包信息。
所述发送器 8 02 , 还用于将所述处理器 8 04 获取的所述用户使 用需求信息发送至所述服务器。
本发明实施例提供了一种防火墙系统， 防火墙系统在获取到 ACL 规则时， 将获取到的 ACL 规则进行生效， 并根据生效后的 ACL 规则对第一节点进行安全保护。 这样， 由于服务器获取到的网络安 全威胁信息为整个网络系统中遇到的安全威胁信息， 因此根据此安 全威胁信息及安全策略信息生成的 ACL 规则可以防备整个网络系统 遇到的所有网络安全威胁， 从而提高了整个网络系统的安全性。
本发明实施例提供的一种生成访问控制列表规则的系统， 如图 9所示， 包括： 服务器 9 01 , 防火墙系统 9 02。 其中，
所述服务器 9 01为上述实施例所述的服务器。
所述防火墙系统 9 02为上述实施例所述的防火墙系统。 本发明实施例提供了一种生成访问控制列表规则的方法、 装置 及系统， 服务器在获取到网络安全威胁信息及安全策略信息后， 根 据获取的网络安全威胁信息及安全策略信息生成访问控制列表 A C L 规则， 并将生成的 A C L 规则分别发送至对应的防火墙系统， 此时， 防火墙系统接收服务器发送的 AC L规则， 并将接收到的 AC L规则进 行生效， 并根据生效后的 AC L规则对第一节点进行安全保护。 这样， 由于服务器获取到的网络安全威胁信息为整个网络系统中遇到的安 全威胁信息， 因此根据此安全威胁信息及安全策略信息生成的 A C L 规则可以防备整个网络系统遇到的所有网络安全威胁， 从而提高了 整个网络系统的安全性。
在本申请所提供的几个实施例中， 应该理解到， 所揭露的系统， 装置和方法， 可以通过其它的方式实现。 例如， 以上所描述的装置 实施例仅仅是示意性的， 例如， 所述单元的划分， 仅仅为一种逻辑 功能划分， 实际实现时可以有另外的划分方式， 例如多个单元或组 件可以结合或者可以集成到另一个系统， 或一些特征可以忽略， 或 不执行。 另一点， 所显示或讨论的相互之间的耦合或直接耦合或通 信连接可以是通过一些接口， 装置或单元的间接耦合或通信连接， 可以是电性， 机械或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分 开的， 作为单元显示的部件可以是或者也可以不是物理单元， 即可 以位于一个地方， 或者也可以分布到多个网络单元上。 可以根据实 际的需要选择其中的部分或者全部单元来实现本实施例方案的 目 的。
另外， 在本发明各个实施例中的各功能单元可以集成在一个处 理单元中， 也可以是各个单元单独物理包括， 也可以两个或两个以 上单元集成在一个单元中。 上述集成的单元既可以采用硬件的形式 实现， 也可以采用硬件加软件功能单元的形式实现。
上述以软件功能单元的形式实现的集成的单元， 可以存储在一 个计算机可读取存储介质中。 上述软件功能单元存储在一个存储介 质中， 包括若干指令用以使得一台计算机设备（可以是个人计算机， 服务器， 或者网络设备等） 执行本发明各个实施例所述方法的部分 步骤。 而前述的存储介质包括： U 盘、 移动硬盘、 只读存储器 ( Read-Only Memory, 简称画）、 随机存取存储器 （ Random Acces s Memory, 简称 RAM )、磁碟或者光盘等各种可以存储程序代码的介质。
最后应说明的是： 以上实施例仅用以说明本发明的技术方案， 而非对其限制； 尽管参照前述实施例对本发明进行了详细的说明， 本领域的普通技术人员应当理解： 其依然可以对前述各实施例所记 载的技术方案进行修改， 或者对其中部分技术特征进行等同替换； 而这些修改或者替换， 并不使相应技术方案的本质脱离本发明各实 施例技术方案的精神和范围。

Claims

权 利 要 求 书
1、 一种服务器， 其特征在于， 包括：
获取单元， 用于获取网络安全威胁信息及安全策略信息； 生成单元，用于根据所述获取单元获取的所述网络安全威胁信息 及所述安全策略信息生成访问控制列表 A C L规则；
发送单元，用于将所述生成单元生成的所述 AC L规则发送至至少 一个防火墙系统。
2、 根据权利要求 1 所述的服务器， 其特征在于， 所述安全策略 信息包括： 支持安全等级划分的安全策略信息；
所述生成单元，具体用于根据所述获取单元获取的所述网络安全 威胁信息及所述支持安全等级划分的安全策略信息生成不同安全等 级的 AC L规则；
所述发送单元，具体用于将所述生成单元生成的所述不同安全等 级的 AC L规则发送至与安全等级对应的防火墙系统。
3、 根据权利要求 1 所述的服务器， 其特征在于， 所述安全策略 信息包括： 支持区域划分的安全策略信息；
所述生成单元，具体用于根据所述获取单元获取的所述网络安全 威胁信息及所述支持区域划分的安全策略信息生成不同区域的 ACL 规则；
所述发送单元，具体用于将所述生成单元生成的所述不同区域的 ACL规则发送至与区域对应的防火墙系统。
4、 根据权利要求 1 所述的服务器， 其特征在于， 所述安全策略 信息包括： 支持安全等级划分且支持区域划分的安全策略信息；
所述生成单元，具体用于根据所述获取单元获取的所述网络安全 威胁信息及所述支持安全等级划分且支持区域划分的安全策略信息 生成不同区域的不同安全等级的 ACL规则；
所述发送单元，具体用于将所述生成单元生成的所述不同区域的 不同安全等级的 ACL规则发送至与所述区域对应的防火墙系统。
5、 根据权利要求 1 - 4任一项所述的服务器， 其特征在于， 所述获取单元， 还用于获取第一信息； 其中， 所述第一信息包括 第一 AC L规划信息和 /或用户使用需求信息；
所述生成单元，具体用于在所述第一信息包括所述第一 ACL规划 信息的情况下， 根据所述第一 AC L规划信息、 所述网络安全威胁信息 及所述安全策略信息生成所述 AC L规则；
所述生成单元，具体用于在所述第一信息包括所述用户使用需求 信息的情况下， 根据所述用户使用需求信息， 所述网络安全威胁信息 及所述安全策略信息生成所述 AC L规则；
所述生成单元，具体用于在所述第一信息包括所述第一 ACL规划 信息及所述用户使用需求信息的情况下， 根据所述第一 AC L 规划信 息， 所述用户使用需求信息， 所述网络安全威胁信息及所述安全策略 信息生成所述 AC L规则。
6、 根据权利要求 5所述的服务器， 其特征在于，
所述生成单元， 具体用于根据第一 AC L规则， 所述获取单元获取 的所述网络安全威胁信息及所述安全策略信息生成所述 AC L规则； 或 者，
所述生成单元， 具体用于根据第一 AC L规则， 所述获取单元获取 的所述网络安全威胁信息， 所述安全策略信息及所述第一信息生成所 述 ACL规则。
7、 一种防火墙系统， 其特征在于， 包括：
获取单元， 用于获取访问控制列表 AC L规则；
处理单元， 用于生效所述获取单元获取的所述 ACL规则； 所述处理单元，还用于根据生效后的所述 ACL规则对第一节点进 行安全保护； 其中， 所述第一节点为所述防火墙系统保护的节点。
8、 根据权利要求 7所述的防火墙系统， 其特征在于， 还包括： 接收单元；
所述获取单元， 具体用于触发所述接收单元接收服务器发送的 ACL规则； 或者，
所述获取单元， 具体用于获取用户配置的 AC L规则。
9、 根据权利要求 8所述的防火墙系统， 其特征在于， 所述获取单元，具体用于触发所述接收单元接收所述服务器发送 的与安全等级对应的所述 ACL规则； 或者，
所述获取单元，具体用于触发所述接收单元接收所述服务器发送 的与区域对应的所述 ACL规则。
1 0、 根据权利要求 8或 9所述的防火墙系统， 其特征在于， 还包 括： 发送单元；
所述处理单元，具体用于触发所述接收单元接收外部网络发送的 数据包；
所述处理单元， 具体用于根据生效后的 ACL规则， 确定所述接收 单元接收到的所述数据包是否为安全数据包；
所述处理单元，具体用于在根据所述生效后的 ACL规则确定所述 接收单元接收到的所述数据包为安全数据包时， 触发所述发送单元将 所述数据包发送至所述第一节点；
所述处理单元，具体用于在根据所述生效后的 ACL规则确定所述 接收单元接收到的所述数据包为不安全数据包时， 确定所述数据包是 否为网络安全威胁信息；
所述处理单元，具体用于在确定所述数据包为所述网络安全威胁 信息时， 触发所述发送单元将所述数据包作为所述网络安全威胁信息 发送至所述服务器。
1 1、 根据权利要求 1 0所述的防火墙系统， 其特征在于，
所述接收单元，还用于接收所述第一节点发送的网络安全威胁信 息；
所述发送单元，还用于将所述接收单元接收到的所述网络安全威 胁信息发送至所述服务器。
1 2、 根据权利要求 8 - 1 1任一项所述的防火墙系统， 其特征在于， 所述获取单元， 还用于获取用户使用需求信息；
所述发送单元，还用于将所述获取单元获取到的所述用户使用需 求信息发送至所述服务器。
1 3、 一种生成访问控制列表规则的方法， 其特征在于， 包括： 服务器获取网络安全威胁信息及安全策略信息；
所述服务器根据获取的所述网络安全威胁信息及所述安全策略 信息生成访问控制列表 ACL规则；
所述服务器将生成的所述 AC L规则发送至至少一个防火墙系统。
1 4、 根据权利要求 1 3所述的方法， 其特征在于， 所述安全策略 信息包括： 支持安全等级划分的安全策略信息；
所述服务器根据获取的所述网络安全威胁信息及所述安全策略 信息生成所述 AC L规则包括：
所述服务器根据获取的所述网络安全威胁信息及所述支持安全 等级划分的安全策略信息生成不同安全等级的 ACL规则；
所述服务器将生成的所述 ACL 规则发送至至少一个防火墙系统 包括：
所述服务器将生成的所述不同安全等级的 AC L 规则发送至与安 全等级对应的防火墙系统。
1 5、 根据权利要求 1 3所述的方法， 其特征在于， 所述安全策略 信息包括： 支持区域划分的安全策略信息；
所述服务器根据获取的所述网络安全威胁信息及所述安全策略 信息生成所述 AC L规则包括：
所述服务器根据获取的所述网络安全威胁信息及所述支持区域 划分的安全策略信息生成不同区域的 ACL规则；
所述服务器将生成的所述 ACL 规则发送至至少一个防火墙系统 包括：
所述服务器将生成的所述不同区域的 AC L 规则发送至与区域对 应的防火墙系统。
1 6、 根据权利要求 1 3所述的方法， 其特征在于， 所述安全策略 信息包括： 支持安全等级划分且支持区域划分的安全策略信息；
所述服务器根据获取的所述网络安全威胁信息及所述安全策略 信息生成所述 AC L规则包括： 所述服务器根据获取的所述网络安全威胁信息及所述支持安全 等级划分且支持区域划分的安全策略信息生成不同区域的不同安全 等级的 AC L规则；
所述服务器将生成的所述 ACL 规则发送至至少一个防火墙系统 包括：
所述服务器将生成的所述不同区域的不同安全等级的 ACL 规则 发送至与所述区域对应的防火墙系统。
1 7、 根据权利要求 1 3 - 1 6任一项所述的方法， 其特征在于， 在所 述服务器根据获取的所述网络安全威胁信息及所述安全策略信息生 成所述 AC L规则之前， 还包括：
所述服务器获取第一信息； 其中， 所述第一信息包括第一 AC L 规划信息和 /或用户使用需求信息；
所述服务器根据获取的所述网络安全威胁信息及所述安全策略 信息生成所述 AC L规则包括：
在所述第一信息包括所述第一 A C L规划信息的情况下，所述服务 器根据获取的所述第一 AC L规划信息、 所述网络安全威胁信息及所述 安全策略信息生成所述 ACL规则；
在所述第一信息包括所述用户使用需求信息的情况下，所述服务 器根据获取的所述用户使用需求信息， 所述网络安全威胁信息及所述 安全策略信息生成所述 ACL规则；
在所述第一信息包括所述第一 ACL 规划信息及所述用户使用需 求信息的情况下， 所述服务器根据获取的所述第一 AC L规划信息， 所 述用户使用需求信息， 所述网络安全威胁信息及所述安全策略信息生 成所述 AC L规则。
1 8、 根据权利要求 1 7所述的方法， 其特征在于， 所述服务器根 据获取的所述网络安全威胁信息及所述安全策略信息生成所述 ACL 规则包括：
所述服务器根据第一 AC L规则，所述网络安全威胁信息及所述安 全策略信息生成所述 AC L规则； 或者， 所述服务器根据第一 AC L规则， 所述网络安全威胁信息， 所述安 全策略信息及所述第一信息生成所述 ACL规则。
1 9、 一种生成访问控制列表规则的方法， 其特征在于， 包括： 防火墙系统获取访问控制列表 AC L规则；
所述防火墙系统生效获取的所述 ACL规则；
所述防火墙系统根据生效后的所述 ACL 规则对第一节点进行安 全保护； 其中， 所述第一节点为所述防火墙系统保护的节点。
2 0、 根据权利要求 1 9所述的方法， 其特征在于， 所述防火墙系 统获取所述 AC L规则包括：
所述防火墙系统接收服务器发送的 AC L规则； 或者，
所述防火墙系统获取用户配置的 ACL规则。
2 1、 根据权利要求 2 0所述的方法， 其特征在于， 所述防火墙系 统接收所述服务器发送的 ACL规则包括：
所述防火墙系统接收所述服务器发送的与安全等级对应的所述 ACL规则； 或者，
所述防火墙系统接收所述服务器发送的与区域对应的所述 AC L 规则。
2 2、 根据权利要求 2 0或 2 1所述的方法， 其特征在于， 所述防火 墙系统根据生效后的所述 ACL规则对第一节点进行安全保护包括： 所述防火墙系统接收外部网络发送的数据包；
所述防火墙系统根据生效后的 AC L规则，确定接收到的所述数据 包是否为安全数据包；
若所述防火墙系统根据所述生效后的 AC L 规则确定接收到的所 述数据包为安全数据包， 则所述防火墙系统将接收到的所述数据包发 送至所述第一节点；
若所述防火墙系统根据所述生效后的 AC L 规则确定接收到的所 述数据包为不安全数据包， 则所述防火墙系统确定所述数据包是否为 网络安全威胁信息；
若防火墙系统确定所述数据包为所述网络安全威胁信息，则所述 防火墙系统将所述数据包作为所述网络安全威胁信息发送至所述服 务器。
2 3、 根据权利要求 22所述的方法， 其特征在于， 还包括： 所述防火墙系统接收所述第一节点发送的网络安全威胁信息，并 将接收到的所述网络安全威胁信息发送至所述服务器。
24、 根据权利要求 2 0- 2 3任一项所述的方法， 其特征在于， 还包 括：
所述防火墙系统获取用户使用需求信息，并将获取到的所述用户 使用需求信息发送至所述服务器。
PCT/CN2014/077031 2014-05-08 2014-05-08 一种生成访问控制列表规则的方法、装置及系统 WO2015168902A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
PCT/CN2014/077031 WO2015168902A1 (zh) 2014-05-08 2014-05-08 一种生成访问控制列表规则的方法、装置及系统
CN201480033317.3A CN105393497B (zh) 2014-05-08 2014-05-08 一种生成访问控制列表规则的方法、装置及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2014/077031 WO2015168902A1 (zh) 2014-05-08 2014-05-08 一种生成访问控制列表规则的方法、装置及系统

Publications (1)

Publication Number Publication Date
WO2015168902A1 true WO2015168902A1 (zh) 2015-11-12

Family

ID=54391989

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/077031 WO2015168902A1 (zh) 2014-05-08 2014-05-08 一种生成访问控制列表规则的方法、装置及系统

Country Status (2)

Country Link
CN (1) CN105393497B (zh)
WO (1) WO2015168902A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020140153A1 (en) * 2019-01-04 2020-07-09 Cybernetiq, Inc. Visualizing firewall-permitted network paths for assessing security of network configuration

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116582362B (zh) * 2023-07-11 2023-09-26 建信金融科技有限责任公司 网络访问的控制方法、装置、电子设备及存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1859736A (zh) * 2005-10-15 2006-11-08 华为技术有限公司 一种向移动终端提供安全服务的方法及系统
CN1949741A (zh) * 2005-10-11 2007-04-18 华为技术有限公司 一种处理跨越不同防火墙间数据流的方法
CN101022360A (zh) * 2007-03-16 2007-08-22 北京工业大学 一种基于ieee 802.1x协议的局域网安全管理方法
CN101146026A (zh) * 2006-09-13 2008-03-19 中兴通讯股份有限公司 报文过滤方法及系统和装置
CN101232509A (zh) * 2008-02-26 2008-07-30 杭州华三通信技术有限公司 支持隔离模式的网络接入控制方法、系统及设备

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101582900B (zh) * 2009-06-24 2012-06-27 成都市华为赛门铁克科技有限公司 防火墙安全策略配置方法及管理装置
CN102025735B (zh) * 2010-12-08 2013-04-24 北京航空航天大学 基于防御策略的Linux分布式网络防火墙系统

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1949741A (zh) * 2005-10-11 2007-04-18 华为技术有限公司 一种处理跨越不同防火墙间数据流的方法
CN1859736A (zh) * 2005-10-15 2006-11-08 华为技术有限公司 一种向移动终端提供安全服务的方法及系统
CN101146026A (zh) * 2006-09-13 2008-03-19 中兴通讯股份有限公司 报文过滤方法及系统和装置
CN101022360A (zh) * 2007-03-16 2007-08-22 北京工业大学 一种基于ieee 802.1x协议的局域网安全管理方法
CN101232509A (zh) * 2008-02-26 2008-07-30 杭州华三通信技术有限公司 支持隔离模式的网络接入控制方法、系统及设备

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020140153A1 (en) * 2019-01-04 2020-07-09 Cybernetiq, Inc. Visualizing firewall-permitted network paths for assessing security of network configuration

Also Published As

Publication number Publication date
CN105393497B (zh) 2019-09-20
CN105393497A (zh) 2016-03-09

Similar Documents

Publication Publication Date Title
US11159571B2 (en) Apparatus, method and device for encapsulating heterogeneous functional equivalents
US10924495B2 (en) Verification method, apparatus, and system used for network application access
CN109565500B (zh) 按需安全性架构
US20070266422A1 (en) Centralized Dynamic Security Control for a Mobile Device Network
CN105577637A (zh) 用于安全虚拟网络功能间通信的技术
JP2017506846A (ja) 公開鍵を基礎とするデジタル署名を使用してソースルーティングを保全するためのシステムおよび方法
US10911581B2 (en) Packet parsing method and device
CN105049412A (zh) 一种不同网络间数据安全交换方法、装置及设备
KR101039092B1 (ko) ＩＰｖ６ 네트워크 내 호스트 보호 및 격리방법
US10116646B2 (en) Software-defined network threat control
US9444845B2 (en) Network security apparatus and method
WO2015168902A1 (zh) 一种生成访问控制列表规则的方法、装置及系统
JP2023535474A (ja) アソシエーション制御方法及び関連装置
CN105743863A (zh) 一种对报文进行处理的方法及装置
CN106537962B (zh) 无线网络配置、接入和访问方法、装置及设备
EP3133790B1 (en) Message sending method and apparatus
EP4170971A1 (en) End point secured network
US20220321605A1 (en) Verifying trust postures of heterogeneous confidential computing clusters
US20190334998A1 (en) Sensor For Detecting Measured Values; Method, Device And Computer-Readable Storage Medium With Instructions For Processing Measured Values From A Sensor
JP2019022118A (ja) 中継装置
EP3367609B1 (en) Recovering a key in a secure manner
WO2019205895A1 (zh) 寻呼方法、网络设备及终端
US9992164B2 (en) User based stateless IPv6 RA-guard
AU2022246728B2 (en) Verifying trust postures of heterogeneous confidential computing clusters
US20230351028A1 (en) Secure element enforcing a security policy for device peripherals

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 201480033317.3

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14891168

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14891168

Country of ref document: EP

Kind code of ref document: A1