[發明專利]一種安全策略的檢查方法和系統

在審

• 申請號: 201710954443.8
• 申請日: 2017-10-13
• 公開（公告）號: CN107508716A
• 公開（公告）日: 2017-12-22
• 發明（設計）人: 蔣俏峰
• 申請（專利權）人: 北京椰子樹信息技術有限公司
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L29/06
• 代理公司: 北京信遠達知識產權代理事務所(普通合伙)11304
• 代理人: 魏曉波

1.一種安全策略的檢查方法，應用于路由器，其特征在于，所述檢查方法包括步驟：

通過遍歷所述路由器所服務的安全區域生成網絡拓撲；

根據所述網絡拓撲界定所述安全區域內的所有網絡設備；

根據所述路由器上預置的acl配置文件對所有所述網絡設備進行核對；

如果存在所述acl配置文件沒有包含的網絡設備，則向用戶報告acl保護缺失。

2.如權利要求1所述的檢查方法，其特征在于，所述網絡設備包括核心路由器、防火墻次級路由器和網絡終端設備。

3.如權利要求1所述的檢查方法，其特征在于，所述根據所述路由器上預置的acl配置文件對所有所述網絡設備進行核對，包括：

對所述acl配置文件與所述網絡設備的地址進行核對；

判斷是否存在沒有被所述acl配置文件所包含的地址。

4.如權利要求1～3任一項所述的檢查方法，其特征在于，還包括步驟：

檢查每條acl配置文件是否符合預設的安全規范；

如存在不符合所述安全規范的acl配置文件，則報告acl保護缺失。

5.如權利要求4所述的檢查方法，其特征在于，所述安全規范包括不允許ssh、不允許ping、不允許明文、禁止syn、禁止icmp和禁止usrf中的部分或全部。

6.一種安全策略的檢查系統，應用于路由器，其特征在于，所述檢查系統包括：

拓撲生成模塊，用于通過遍歷所述路由器所服務的安全區域生成網絡拓撲；

設備界定模塊，用于根據所述網絡拓撲界定所述安全區域內的所有網絡設備；

設備核對模塊，用于根據所述路由器上預置的acl配置文件對所有所述網絡設備進行核對；

第一缺失報告模塊，用于如果存在所述acl配置文件沒有包含的網絡設備，則向用戶報告acl保護缺失。

7.如權利要求6所述的檢查系統，其特征在于，所述網絡設備包括核心路由器、防火墻、次級路由器和網絡終端設備。

8.如權利要求6所述的檢查系統，其特征在于，所述設備核對模塊包括：

地址核對單元，用于對所述acl配置文件與所述網絡設備的地址進行核對；

缺失判斷單元，用于判斷是否存在沒有被所述acl配置文件所包含的地址。

9.如權利要求6～8任一項所述的檢查系統，其特征在于，還包括：

文件檢查模塊，用于檢查每條acl配置文件是否符合預設的安全規范；

第二缺失報告模塊，用于如存在不符合所述安全規范的acl配置文件，則報告acl保護缺失。

10.如權利要求9所述的檢查系統，其特征在于，所述安全規范包括不允許ssh、不允許ping、不允許明文、禁止syn、禁止icmp和禁止usrf中的部分或全部。