[發明專利]一種網絡安全規則沖突分析與簡化方法

在審

• 申請號: 201410508737.4
• 申請日: 2014-09-28
• 公開（公告）號: CN104883347A
• 公開（公告）日: 2015-09-02
• 發明（設計）人: 徐林;孫一桉
• 申請（專利權）人: 北京匡恩網絡科技有限責任公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京連和連知識產權代理有限公司 11278
• 代理人: 王淑麗

1.一種網絡安全規則沖突分析與簡化方法，安全規則由一系列規則項組成，每一個規則項包括屬性和對措施，其中，屬性包括源地址、目標地址、規則細節，其特征在于，包括如下步驟：

步驟a：定義安全規則項之間相同屬性的邏輯關系；

步驟b：根據安全規則項之間各屬性的邏輯關系確定安全規則項屬性的總體邏輯關系；

步驟c：根據應對措施定義規則項之間的沖突關系；

步驟d：簡化規則，不改變原始規則執行效果的基礎上，除去無效的安全規則項；

步驟e：對規則沖突提供報警。

2.根據權利要求1所述的方法，其特征在于，步驟a中，所述安全規則項之間各屬性的邏輯關系為：

等同，被比較的規則屬性完全相同；

包含，被比較的規則屬性前者嚴格包含后者，同時不是所述的等同關系；

被包含，被比較的規則屬性后者嚴格包含前者，同時不是所述的等同關系；

相交，被比較的規則屬性之間交集不為空，同時不是所述的等同、包含或被包含關系；

獨立，被比較的規則屬性之間沒有交集。

3.根據權利要求1所述的方法，其特征在于，步驟b中，所述定義安全規則項屬性的總體邏輯關系的步驟如下：

1)兩規則項的所有屬性之間的邏輯關系均為等同，則兩規則項屬性的整體邏輯關系為等同；

2)如果不滿足上述1所述的條件，并且兩規則項之間的某個屬性的邏輯關系為獨立，則兩規則項屬性的整體邏輯關系為獨立；

3)如果不滿足上述1、2所述的條件，并且兩規則項的所有屬性之間的邏輯關系為等同或包含，則兩規則項屬性的整體邏輯關系為包含；

4)如果不滿足上述1、2和3所述的條件，并且兩規則項的所有屬性之間的邏輯關系為等同或被包含，則兩規則項屬性的整體邏輯關系為被包含；

5)如果不滿足上述任一條件，則兩規則項屬性的整體邏輯關系為相交。

4.根據權利要求1所述的方法，其特征在于，步驟c中，兩個規則項之間的沖突方式取決于應對措施的比較，所述沖突方式包括以下兩種：

重復，指兩個規則項的應對措施相同；

矛盾，指兩個規則項的應對措施不同。

5.根據權利要求1所述的方法，其特征在于，步驟d中，規則簡化的基本思想為，對于每個規則項，只提供保留與刪除兩個選項，對于以先后順序被執行的兩個規則項g_i，g_j：

如果兩規則項屬性的整體邏輯關系為g_i包含或等于g_j，將沒有機會執行g_j，則應該刪除g_j；

如果兩規則項屬性的整體邏輯關系g_j包含g_i，并且兩者之間不存在與g_i相關并矛盾的規則項，則g_j可以取代g_i，應該刪除g_i；

否則保留兩規則項。

6.根據權利要求5所述的方法，其特征在于，所述的相關是指，安全規則項屬性的總體關系為等同、包含、被包含或相交。