[發明專利]網絡策略審計方法、設備及計算機可讀存儲介質

有效

• 申請號: 201810939474.0
• 申請日: 2018-08-15
• 公開（公告）號: CN109040089B
• 公開（公告）日: 2021-06-08
• 發明（設計）人: 蔣國梁;鄒麗麗;王勇
• 申請（專利權）人: 深圳前海微眾銀行股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 深圳市世紀恒程知識產權代理事務所 44287
• 代理人: 胡海國;魏蘭

1.一種網絡策略審計方法，其特征在于，所述網絡策略審計方法應用于網絡策略審計設備，網絡策略審計設備存儲有防火墻信息表，且與存儲有各防火墻的網絡策略配置文件的服務器連接，所述網絡策略審計方法包括以下步驟：

當檢測到觸發的網絡策略審計指令時，讀取防火墻信息表中的防火墻IP，并依據所述防火墻IP從服務器中獲取防火墻的網絡策略配置文件；

對所述網絡策略配置文件進行解析，以獲取所述防火墻的各網絡策略，并讀取所述各網絡策略的結構化對象，基于所述結構化對象對所述各網絡策略進行結構化處理，所述結構化對象包括下線IP標志位；

依據預設區域信息與預設審計規則組，對經過結構化處理后的各網絡策略進行審計，并輸出對應的審計結果；

依據預設下線IP庫，對經過預設區域信息與預設審計規則組審計后的各網絡策略進行二次審計，并輸出二次審計結果，預設下線IP庫中的網絡策略添加有下線IP標志位；

其中，所述依據預設區域信息與預設審計規則組，對經過結構化處理后的各網絡策略進行審計的步驟包括：

從經過結構化處理后的各網絡策略中讀取各網絡策略的源IP、源IP組、目標IP、目標IP組和目標端口號；

依據預設區域信息以及各網絡策略的源IP和目標IP，確定各網絡策略的源區域和目標區域；

依據預設審計規則組以及各網絡策略的源IP、源IP組、源區域、目標IP、目標IP組、目標區域和目標端口號，執行網絡策略與審計規則之間的匹配操作。

2.如權利要求1所述的網絡策略審計方法，其特征在于，所述依據預設區域信息以及各網絡策略的源IP和目標IP，確定各網絡策略的源區域和目標區域的步驟包括：

從所述區域信息中獲取IP與區域的映射關系表，并查詢IP與區域的映射關系表，確定各網絡策略的源IP對應的區域，以及各網絡策略的目標IP對應的區域；

將各網絡策略的源IP對應的區域確定為各網絡策略的源區域，并將各網絡策略的目標IP對應的區域確定為各網絡策略的目標區域。

3.如權利要求1所述的網絡策略審計方法，其特征在于，所述依據預設區域信息與預設審計規則組，對經過結構化處理后的各網絡策略進行審計的步驟包括：

確定經過結構化處理后的各網絡策略中是否存在位于預設白名單的網絡策略；

若經過結構化處理后的各網絡策略中存在位于預設白名單的網絡策略，則給位于預設白名單的網絡策略添加白名單標志位；

依據預設區域信息與預設審計規則組，對經過結構化處理后的各網絡策略中未添加白名單標志位的網絡策略進行審計。

4.如權利要求3所述的網絡策略審計方法，其特征在于，所述確定經過結構化處理后的各網絡策略中是否存在位于預設白名單的網絡策略的步驟包括：

依據經過結構化處理后的各網絡策略的各字段參數，確定各網絡策略的哈希值；

確定各網絡策略的哈希值是否位于預設哈希值庫；

若各網絡策略中存在網絡策略的哈希值位于預設哈希值庫，則確定經過結構化處理后的該網絡策略位于預設白名單中。

5.如權利要求1所述的網絡策略審計方法，其特征在于，所述依據預設下線IP庫，對經過預設區域信息與預設審計規則組審計后的各網絡策略進行二次審計的步驟包括：

從經過預設區域信息與預設審計規則組審計后的各網絡策略中讀取各網絡策略的源IP和目標IP；

依據預設下線IP庫以及各網絡策略的源IP和目標IP，執行各網絡策略與預設下線IP庫的匹配操作。

6.如權利要求1所述的網絡策略審計方法，其特征在于，所述網絡策略審計方法還包括：

以間隔預設時間更新所述預設下線IP庫。

7.一種網絡策略審計設備，其特征在于，所述網絡策略審計設備包括：存儲器、處理器及存儲在所述存儲器上并可在所述處理器上運行的網絡策略審計程序，所述網絡策略審計程序被所述處理器執行時實現如權利要求1至6中任一項所述的網絡策略審計方法的步驟。

8.一種計算機可讀存儲介質，其特征在于，所述計算機可讀存儲介質上存儲有網絡策略審計程序，所述網絡策略審計程序被處理器執行時實現如權利要求1至6中任一項所述的網絡策略審計方法的步驟。