[發明專利]一種管理防火墻的方法和裝置

有效

• 申請號: 202210546619.7
• 申請日: 2022-05-19
• 公開（公告）號: CN115001964B
• 公開（公告）日: 2023-08-22
• 發明（設計）人: 許偉;馬曉斌;邢鍇;曹晨;鮑一鴻;劉振飛;田野;蔡喆;曹世昌
• 申請（專利權）人: 中國人民銀行數字貨幣研究所;長三角金融科技有限公司
• 主分類號: H04L41/0803
• 分類號: H04L41/0803;H04L41/08;H04L9/40
• 代理公司: 中原信達知識產權代理有限責任公司 11219
• 代理人: 王安娜;李陽

1.一種管理防火墻的方法，其特征在于，包括：

根據第一訪問關系控制矩陣和業務訪問申請的源地址、目的地址和端口信息，判斷所述業務訪問申請是否符合安全規范；

若是，則根據第二訪問關系控制矩陣和所述業務訪問申請的源地址和目的地址，確定所述業務訪問申請所要經過的防火墻以及對應的安全域；

根據所述業務訪問申請的源地址、目的地址、端口、所要經過的防火墻以及對應的安全域信息，生成防火墻配置腳本；

其中，所述第一訪問關系控制矩陣和所述第二訪問關系控制矩陣中的行表示源地址集合，列表示目的地址集合，所述第一訪問關系控制矩陣中的元素表示各個地址集合之間互訪需要滿足的安全規則，所述第二訪問關系控制矩陣中的元素表示各個地址集合之間互訪對應的防火墻和安全域信息。

2.根據權利要求1所述的方法，其特征在于，根據第一訪問關系控制矩陣和業務訪問申請的源地址、目的地址和端口信息，判斷所述業務訪問申請是否符合安全規范，包括：

將業務訪問申請的源地址和目的地址分別在第一訪問關系控制矩陣的行和列中進行逐一匹配，從而在所述第一訪問關系控制矩陣中定位出第一目標元素；

根據所述第一目標元素對應的各個地址集合之間互訪需要滿足的安全規則，判斷所述業務訪問申請是否符合安全規范。

3.根據權利要求1或2所述的方法，其特征在于，所述安全規則包括禁止訪問、禁止部分端口訪問、允許訪問或者允許部分端口訪問。

4.根據權利要求1所述的方法，其特征在于，根據第二訪問關系控制矩陣和所述業務訪問申請的源地址和目的地址，確定所述業務訪問申請所要經過的防火墻以及對應的安全域，包括：

將所述業務訪問申請的源地址和目的地址分別在第二訪問關系控制矩陣的行和列中進行逐一匹配，從而在所述第二訪問關系控制矩陣中定位出第二目標元素；

根據所述第二目標元素對應的防火墻和安全域信息，確定所述業務訪問申請所要經過的防火墻以及對應的安全域。

5.根據權利要求1或4所述的方法，其特征在于，所述防火墻和安全域信息包括不經過防火墻、經過一組防火墻以及對應的安全域或者經過多組防火墻以及對應的安全域。

6.根據權利要求1所述的方法，其特征在于，根據所述業務訪問申請的源地址、目的地址、端口、所要經過的防火墻以及對應的安全域信息，生成防火墻配置腳本，包括：

根據所述業務訪問申請的源地址、目的地址、端口、所要經過的防火墻以及對應的安全域信息，并采用所述防火墻對應的腳本生成器，生成防火墻配置腳本；其中，所述腳本生成器中內置有配置基線。

7.根據權利要求1所述的方法，其特征在于，根據所述業務訪問申請的源地址、目的地址、端口、所要經過的防火墻以及對應的安全域信息，生成防火墻配置腳本之后，還包括：

將所述防火墻配置腳本推送至所要經過的防火墻，以使所述防火墻執行所述防火墻配置腳本；

接收所述防火墻返回的執行過程和執行結果。

8.一種管理防火墻的裝置，其特征在于，包括：

管理模塊，用于根據第一訪問關系控制矩陣和業務訪問申請的源地址、目的地址和端口信息，判斷所述業務訪問申請是否符合安全規范；若是，則根據第二訪問關系控制矩陣和所述業務訪問申請的源地址和目的地址，確定所述業務訪問申請所要經過的防火墻以及對應的安全域；

生成模塊，用于根據所述業務訪問申請的源地址、目的地址、端口、所要經過的防火墻以及對應的安全域信息，生成防火墻配置腳本；

其中，所述第一訪問關系控制矩陣和所述第二訪問關系控制矩陣中的行表示源地址集合，列表示目的地址集合，所述第一訪問關系控制矩陣中的元素表示各個地址集合之間互訪需要滿足的安全規則，所述第二訪問關系控制矩陣中的元素表示各個地址集合之間互訪對應的防火墻和安全域信息。