[發明專利]安全策略規則匹配方法、裝置及防火墻設備

有效

• 申請號: 201910989831.9
• 申請日: 2019-10-17
• 公開（公告）號: CN110808963B
• 公開（公告）日: 2022-05-24
• 發明（設計）人: 金哲媛
• 申請（專利權）人: 新華三信息安全技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京辰權知識產權代理有限公司 11619
• 代理人: 劉廣達

1.一種安全策略規則匹配方法，其特征在于，包括：

接收數據報文，讀取所述數據報文攜帶的端口信息；

獲取預設的服務加速表，所述服務加速表包括以嵌套二叉樹存儲的服務端口配置項及其對應的安全策略規則；所述服務端口配置項包括第一端口配置項和第二端口配置項；所述第一端口配置項為源端口，所述第二端口配置項為目的端口；或者，所述第一端口配置項為目的端口，所述第二端口配置項為源端口；所述嵌套二叉樹包括外層二叉樹和內層二叉樹，所述第一端口配置項記錄在所述外層二叉樹的外層節點上，所述第二端口配置項記錄在所述內層二叉樹的內層節點上，記錄所述第一端口配置項的外層節點下嵌套所述第一端口配置項對應的內層二叉樹，所述第一端口配置項對應的第二端口配置項記錄在所述第一端口配置項對應的內層二叉樹的內層節點上，記錄所述第二端口配置項的所述內層節點下存儲有所述第二端口配置項對應的安全策略規則；

根據所述服務加速表和所述端口信息，確定與所述數據報文相匹配的安全策略規則。

2.根據權利要求1所述的方法，其特征在于，所述安全策略規則是以規則鏈或位圖的形式進行存儲的。

3.根據權利要求2所述的方法，其特征在于，所述根據所述服務 加速表和所述端口信息，確定與所述數據報文相匹配的安全策略規則，包括：

遍歷所述服務加速表中的所述外層二叉樹，按照最長匹配方式查找與所述端口信息包括的第一端口一致的第一端口配置項；

遍歷查找到的所述第一端口配置項對應的內層二叉樹，按照所述最長匹配方式查找與所述端口信息包括的第二端口一致的第二端口配置項；

獲取查到的所述第二端口配置項對應的安全策略規則，將獲取的所述安全策略規則確定為與所述數據報文匹配的安全策略規則。

4.根據權利要求1所述的方法，其特征在于，所述獲取預設的服務加速表之前，還包括：

根據同時包含第一端口配置項和第二端口配置項的服務端口配置項及其對應的安全策略規則，生成服務加速表。

5.根據權利要求4所述的方法，其特征在于，所述根據同時包含第一端口配置項和第二端口配置項的服務端口配置項及其對應的安全策略規則，生成服務加速表，包括：

初始化外層二叉樹，將所有服務端口配置項包括的第一端口配置項添加到所述外層二叉樹中；

將每個所述第一端口配置項對應的第二端口配置項和安全策略規則關聯到所述第一端口配置項對應的外層節點上；

中序遍歷所述外層二叉樹，對于所述外層節點，繼承所述外層節點的祖先節點中存儲的第二端口配置項和安全策略規則；

根據每個所述外層節點中存儲的所有第二端口配置項和安全策略規則，分別生成每個所述外層節點對應的內層二叉樹。

6.根據權利要求5所述的方法，其特征在于，所述將所有服務端口配置項包括的第一端口配置項添加到所述外層二叉樹中，包括：

按照預設表示形式，對服務端口配置項包括的第一端口配置項進行形式轉換，得到第一端口配置項對應的網段；

根據所述第一端口配置項對應的網段，確定所述外層二叉樹中掛接所述第一端口配置項的外層節點。

7.根據權利要求5所述的方法，其特征在于，所述根據每個所述外層節點中存儲的所有第二端口配置項和安全策略規則，分別生成每個所述外層節點對應的內層二叉樹，包括：

按照預設表示形式，對所有第二端口配置項進行形式轉換，得到第二端口配置項對應的網段；

初始化內層二叉樹，根據外層節點中存儲的所有第二端口配置項對應的網段，依次確定所述內層二叉樹中掛接每個第二端口配置項的內層節點；

中序遍歷所述內層二叉樹，對于所述內層節點，繼承所述內層節點的祖先節點中存儲的第二端口配置項和安全策略規則。