[發明專利]一種基于重疊網的分布式防火墻安全策略配置方法和系統

有效

• 申請號: 201210181785.8
• 申請日: 2012-06-04
• 公開（公告）號: CN103457920A
• 公開（公告）日: 2013-12-18
• 發明（設計）人: 覃毅芳;周旭;楊磊;牛溫佳;慈松;唐暉;唐朝偉
• 申請（專利權）人: 中國科學院聲學研究所;重慶大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京法思騰知識產權代理有限公司 11318
• 代理人: 楊小蓉;楊青

1.一種基于重疊網的分布式防火墻安全策略配置方法，所述方法包含如下步驟：

步驟101）部署于某一域內的智能節點采集其對應域內的反映網絡所承載的業務流信息的第一參考信息，并依據所述第一參考信息生成安全策略；

步驟102）上一步驟所述的智能節點將其生成的安全策略同時分配給其對應域內的防火墻和位于其它域內的智能節點；

步驟103）上一步驟中所述位于其它域內的智能節點將其收到的來自其余節點的安全策略作為第二參考信息動態調整其對應的安全策略，并將生成的安全策略分配給域內防火墻，從而完成域間的安全策略配置。

2.根據權利要求1所述的基于重疊網的分布式防火墻安全策略配置方法，其特征在于，步驟101）所述的智能節點依據第一參考信息和防火墻性能狀態信息生成安全策略。

3.根據權利要求2所述的基于重疊網的分布式防火墻安全策略配置方法，其特征在于，步驟103）所述位于其它域內的智能節點依據第二參考信息和采集的第一參考信息生成安全策略。

4.根據權利要求1所述的基于重疊網的分布式防火墻安全策略配置方法，其特征在于，所述智能節點之間采用XML語言進行的策略傳輸。

5.根據權利要求1、2或3所述的基于重疊網的分布式防火墻安全策略配置方法，其特征在于，所述第一參考信息包含：節點的IP地址、網絡掩碼、網絡服務、運行的應用程序、服務漏洞、最大報文速率、報文大小、端口號和網絡協議；

所述防火墻性能狀態信息包含：防火墻的CPU利用率、防火墻的內存利用率、接口帶寬利用率、接口的丟包率、接口的傳輸速率和接口隊列長度。

6.一種基于重疊網的分布式防火墻安全策略配置系統，其特征在于，所述安全策略配置系統包含：部署于各域內的防火墻和部署于各域內的智能節點；

所述智能節點，用于采集智能節點所在域內的網絡相關信息，并依據采集的相關信息生成安全策略；

其中，所述智能節點之間相互通信，通過邏輯連接形成重疊網絡，并利用重疊網絡進行安全策略信息的交互，實現了邏輯域之間的聯動，完成了分布式防火墻對全網的安全防護工作。

7.根據權利要求6所述的基于重疊網的分布式防火墻安全策略配置系統，其特征在于，所述智能節點進一步包含：

采集模塊，用于負責對網絡相關信息進行采集，其中相關信息包含反映網絡所承載的業務流信息和/或防火墻性能狀態信息；

信息智能處理模塊，用于對采集的業務流信息和防火墻性能狀態信息進行智能處理，分析出當前網絡中用戶業務流的需求、網絡中設備的運行狀態或網絡中是否存在異常狀況，并將處理結果發送給策略生成與翻譯模塊；

策略生成與翻譯模塊，用于根據信息智能處理模塊的分析結果，生成相應的安全策略，并將策略翻譯成為防火墻可執行的命令；

安全策略分發模塊，用于對策略生成與翻譯模塊生成的策略下發到所控防火墻，實現防火墻的策略配置；

策略決策點聯動模塊，用于將策略生成與翻譯模塊生成的安全策略在重疊網上包含的各智能節點之間進行傳輸或接受其余智能節點傳輸過來的安全策略，進而完成邏輯域之間的聯動，實現對全網的安全策略分發；和

聯動策略生成模塊，用于在收到其他智能節點發來的安全策略后，對收到的安全策略進行判斷，根據判斷結果生成相應的安全策略。

8.根據權利要求6所述的基于重疊網的分布式防火墻安全策略配置系統，其特征在于，所述策略生成與翻譯模塊進一步包含：策略生成子模塊，用于根據信息智能處理模塊的分析得到的網絡狀態，生成相應的安全策略；和

翻譯子模塊，用于將生成相應的安全策略翻譯成為防火墻可以執行的指令，或者描述成為智能節點可以識別的策略形式。

9.根據權利要求6所述的基于重疊網的分布式防火墻安全策略配置系統，其特征在于，所述聯動策略生成模塊，承載的業務流信息，包括：節點的IP地址、網絡掩碼、網絡服務、運行的應用程序、服務漏洞、最大報文速率、報文大小、端口號和網絡協議；

所述防火墻性能狀態信息，包括：防火墻的CPU利用率、防火墻的內存利用率、接口帶寬利用率、接口的丟包率、接口的傳輸速率和接口隊列長度。

10.根據權利要求6所述的基于重疊網的分布式防火墻安全策略配置系統，其特征在于，所述聯動策略生成模塊進一步包含：

接收子模塊，用于接收到來自于策略決策點聯動模塊收集的其他智能節點的安全策略；和

聯動子模塊，用于在收到安全策略后，根據網絡狀態，對策略進行判斷，按照判斷結果，進行策略的生成，達到邏輯域間的聯動，從而實現對全網的策略配置。