[發明專利]安全組策略管理方法、裝置、設備及計算機可讀存儲介質

有效

• 申請號: 201910584234.8
• 申請日: 2019-06-28
• 公開（公告）號: CN110324334B
• 公開（公告）日: 2023-04-07
• 發明（設計）人: 蔣國梁;鄒麗麗;鄧麗銘;張英
• 申請（專利權）人: 深圳前海微眾銀行股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京同立鈞成知識產權代理有限公司 11205
• 代理人: 楊澤;劉芳

本發明公開了一種安全組策略管理方法、裝置、設備及計算機可讀存儲介質，涉及金融科技領域，該方法包括以下步驟：根據預設區域映射關系為安全組策略中的源IP匹配相應的源區域，和目標IP匹配相應的目標區域；根據預設審計規則、所述源區域和目標區域判斷所述安全組策略是否違規；若所述安全組策略違規，則對所述安全組策略進行安全管控。實現了自動根據安全組策略中的源IP、目標IP所屬的區域和預設審計規則判斷安全組策略是否違規，從而在安全組策略違規時自動對該安全組策略提起安全管控，進而實現了對安全組策略的自動化審計，提升了安全組策略的審計效率，從而能夠對海量的安全組策略進行全面的審計。

技術領域

本發明涉及金融科技(Fintech)的網絡安全領域，尤其涉及一種安全組策略管理方法、裝置、設備及計算機可讀存儲介質。

背景技術

隨著計算機技術的發展，越來越多的技術應用在金融領域，傳統金融業正在逐步向金融科技(Fintech)轉變，但由于金融行業的安全性、實時性要求，也對技術提出了更高的要求。

云服務平臺是一種新的企業信息化服務模式和管理方式，能夠把海量的、高度虛擬化的企業資源和應用管理起來，組成一個集資源池、企業應用為一體的統一服務。

銀行等金融機構的云服務平臺上的安全組是基于本地防火墻實現的，其使用與傳統的網絡層防火墻有本質的區別，且其中的策略與云主機的對應關系極其復雜，隨著時間推移，伴隨著越來越多的新系統上線，云上就會有越來越多的安全組策略。鑒于安全組策略能夠直接影響企業公有云的網絡安全，因此安全組策略的合格性就極其重要。現有的對安全組策略的合規性的審計是通過人工逐條審核的，面對海量的安全組策略，無法對安全組策略的合規性做出全面的、自動化的審計。顯然面對與云主機具有復雜對應關系的安全組策略，現有的安全組策略審計方案無法做到對越來越多的安全組策略的自動化審計，這種情況不符合銀行等金融機構的業務需求，影響銀行等金融機構對各種業務平臺(如開發貸款業務平臺、存款業務平臺等)的安全組策略管理。

發明內容

本發明的主要目的在于提供一種安全組策略管理方法、裝置、設備及可讀存儲介質，旨在解決現有技術無法對安全組策略的合規性做出全面的自動化審計的技術問題。

為實現上述目的，本發明提供一種安全組策略管理方法，所述安全組策略管理方法包括以下步驟：

根據預設區域映射關系為安全組策略中的源IP匹配相應的源區域，和目標IP匹配相應的目標區域；

根據預設審計規則、所述源區域和目標區域判斷所述安全組策略是否違規；

若所述安全組策略違規，則對所述安全組策略進行安全管控。

可選地，所述根據預設區域映射關系為安全組策略中的源IP匹配相應的源區域，和目標IP匹配相應的目標區域的步驟之前，還包括：

判斷所述安全組策略是否在白名單中；

若所述安全組策略不在白名單中，則執行步驟：根據預設區域映射關系為安全組策略中的源IP和目標IP匹配相應的所屬區域。

可選地，所述根據預設區域映射關系為安全組策略中的源IP匹配相應的源區域，和目標IP匹配相應的目標區域的步驟之前，還包括：

根據所述安全組策略中的源IP和目標IP是否存在于下線IP庫中判斷所述安全組策略中是否包括下線IP；

若所述安全組策略中不包括下線IP，則執行步驟：根據預設區域映射關系為安全組策略中的源IP和目標IP匹配相應的所屬區域；

若所述安全組策略中包括下線IP，則將所述安全組策略下線。

可選地，所述根據預設審計規則、所述源區域和目標區域判斷所述安全組策略是否違規的步驟包括：