[發明專利]一種網絡安全規則沖突分析與簡化方法

在審

• 申請號: 201410508737.4
• 申請日: 2014-09-28
• 公開（公告）號: CN104883347A
• 公開（公告）日: 2015-09-02
• 發明（設計）人: 徐林;孫一桉
• 申請（專利權）人: 北京匡恩網絡科技有限責任公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京連和連知識產權代理有限公司 11278
• 代理人: 王淑麗

技術領域

本發明涉及網絡安全領域，具體地，涉及一種網絡安全規則沖突分析與簡化方法。

背景技術

隨著網絡技術的普及，網絡安全越來越受到各國的重視，尤其在廣泛應用自動化設備的工業領域，工業控制網絡安全已經提高到戰略高度。網絡設備之間通過一個或多個網絡協議進行數據傳輸，如IEC104、Modbus、Profinet、MMS等。安全規則是一種重要的保護網絡安全的方式。通過在安全保護設備上部署和實施安全規則，可以有效強化不同設備的權限、阻止非法操作、防止信息泄漏。

安全規則由一系列規則項組成，每一個規則項包括屬性和應對措施，其中屬性包括：

源地址，其用來描述數據包的來源，其可以是某個單個設備的地址(IP地址，MAC地址，主機名稱等等)，也可以是一系列設備地址的集合(192.168.2.×，[10.0.10.1,10.2.3.4])；

目標地址，類似于源地址，目標地址用來描述數據包的目的地；以及

規則細節，即規則的詳細信息，這些信息詳盡的描述了數據包的特征，例如【協議＝Modbus，功能碼＝3】。

所述應對措施是當數據包信息和源地址、目標地址、規則細節相匹配時，應該實行的應對措施。這類措施包括：阻止該數據包通過、允許該數據包通過、允許但是向用戶報警等等。

安全保護設備依次逐條將安全規則項與所檢查的數據包進行匹配。一旦發現正確匹配，則按照規則項中的應對措施處理該數據包。所有次序在匹配項以后的安全規則項則會被忽略。

如果一個數據包可以匹配不止一個規則項，那么規則項之間就會存在沖突。值得注意的是，規則項之間的沖突并不會影響規則的實施，由于規則項與數據包是有序匹配的，一個數據包最終只會和次序靠前的規則項相匹配。規則項之間的沖突對用戶安全規則管理帶來許多負面影響，在擁有很多安全規則的系統中，不必要的規則項會增加安全保護設備的負載，也使規則之間的邏輯關系更加復雜并難以管理。

實際應用過程中，規則項之間的沖突不可避免。例如許多防火墻的規則設計中都定義的默認應對措施。當數據包和所有規則項都不匹配時，安全系統使用默認的設置來處理該數據包。事實上，這種默認的規則和所有的規則項都有沖突。

發明內容

為了克服現有技術的缺陷與不足，本發明的目的是提供一種網絡安全規則沖突分析與簡化方法，基于安全規則的針對設備和規則的詳細內容，分析規則項之間的關系，對規則沖突提供報警，同時對無用的規則項自動刪除。本發明的網絡安全規則沖突分析與簡化方法的具體步驟如下：

步驟a：定義安全規則項之間相同屬性的邏輯關系；

步驟b：根據安全規則項之間各屬性的邏輯關系確定安全規則項屬性的總體邏輯關系；

步驟c：根據應對措施定義規則項之間的沖突關系；

步驟d：簡化規則，不改變原始規則執行效果的基礎上，除去無效的安全規則項；

步驟e：對規則沖突提供報警。

優選地，步驟a中，所述安全規則項之間各屬性的邏輯關系為：

等同，被比較的規則屬性完全相同；

包含，被比較的規則屬性前者嚴格包含后者，同時不是所述的等同關系；

被包含，被比較的規則屬性后者嚴格包含前者，同時不是所述的等同關系；

相交，被比較的規則屬性之間交集不為空，同時不是所述的等同、包含或被包含關系；

獨立，被比較的規則屬性之間沒有交集。

優選地，步驟b中，所述定義安全規則項屬性的總體邏輯關系的步驟如下：

1)兩規則項的所有屬性之間的邏輯關系均為等同，則兩規則項屬性的整體邏輯關系為等同；

2)如果不滿足上述1)所述的條件，并且兩規則項之間的某個屬性的邏輯關系為獨立，則兩規則項屬性的整體邏輯關系為獨立；

3)如果不滿足上述1)、2)所述的條件，并且兩規則項的所有屬性之間的邏輯關系為等同或包含，則兩規則項屬性的整體邏輯關系為包含；

4)如果不滿足上述1)、2)和3)所述的條件，并且兩規則項的所有屬性之間的邏輯關系為等同或被包含，則兩規則項屬性的整體邏輯關系為被包含；

5)如果不滿足上述任一條件，則兩規則項屬性的整體邏輯關系為相交。

優選地，步驟c中，兩個規則項之間的沖突方式取決于應對措施的比較，所述沖突方式包括以下兩種：

重復，指兩個規則項的應對措施相同；

矛盾，指兩個規則項的應對措施不同。