[发明专利]一种防火墙策略处理方法及装置

说明书

本发明公开了一种防火墙策略处理方法及装置，预先创建网络安全域拓扑与对应的防火墙策略之间的对应关系。当获得用户输入的防火墙策略的操作指令及对应目标策略信息后，从上述对应关系中查找与该目标策略信息相关联的安全域相关信息。然后，根据该目标策略信息对应的安全域相关信息，确定是否执行该操作指令；如果确定执行，则将所述操作指令及所述目标策略信息对应的目标防火墙策略发送至目标防火墙，由目标防火墙执行该操作指令。利用该方法能够精准确定出与目标策略信息相关联的安全域路径及安全域资产信息，不需要人工查看网络拓扑结构查找防火墙策略所涉及的安全域，因此，提高了防火墙策略的管理效率，同时降低了配置防火墙策略的出错率。

技术领域

本发明属于网络安全领域，尤其涉及一种防火墙策略处理方法及装置。

背景技术

防火墙是一个由软件和硬件设备组合而成，在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障，从而保护内部网络免受非法用户侵入。防火墙就是一个位于计算机和它所连接的网络之间的软件和硬件的组合，该计算机流入和流出的所有网络通信数据包都要经过该防火墙的过滤。

防火墙策略管理方法就是对防火墙策略进行新增、更改、查看、删除等处理。传统的防火墙策略管理方法多依靠人工进行管理，运维人员(或安全管理人员)根据实际网络需求制定防火墙策略，依靠个人经验查看网络拓扑，查找防火墙策略所涉及的安全域(其中，一套防火墙策略对应一个安全域)，然后，对防火墙策略进行相应的处理，防火墙策略生效效果难以预估。这种方式对防火墙策略的梳理维护依靠人工不操作，从而导致防火墙策略配置及管理时效率低下、且容易出错。

发明内容

有鉴于此，本发明的目的在于提供一种防火墙策略处理方法及装置，以解决在配置和管理防火墙策略时效率低、出错率高的技术问题。为解决上述问题，本申请提供了如下技术方案：

第一方面，本申请提供了一种防火墙策略处理方法，包括：

获取当前网络的操作指令，以及对应的目标策略信息；

从预先创建的所述当前网络的安全域相关信息与对应的防火墙策略之间的匹配结果中，查找与所述目标策略信息相关联的安全域相关信息，所述安全域相关信息包括与所述目标策略信息相对应的安全域路径，或者，所述安全域路径及对应的安全域资产信息；

根据所述目标策略信息对应的所述安全域相关信息，确定是否执行所述操作指令；

当确定执行所述操作指令时，将所述操作指令及所述目标策略信息对应的目标防火墙策略发送至目标防火墙，以使所述目标防火墙执行所述操作指令。

可选地，所述方法还包括：

获取所述当前网络内各个安全域对应的所述安全域拓扑、安全域资产信息及防火墙策略；

将所述防火墙策略转换为预设格式的防火墙策略，并存储所述预设格式的防火墙策略；

根据所述安全域拓扑，确定每个安全域所对应的所述预设格式的防火墙策略，得到所述安全域拓扑与所述预设格式的防火墙策略之间的匹配结果。

可选地，所述获取当前网络的操作指令，以及对应的目标策略信息，包括：

接收对所述当前网络的防火墙策略进行操作的操作指令；

当所述操作指令的操作类型是查看、删除或更改时，获取源IP地址和目的IP地址，并从预先存储的所述当前网络对应的预设格式的防火墙策略中，查找到所述源IP地址和所述目的IP地址对应的预设格式的目标策略信息；

当所述操作指令的操作类型是新增时，获取输入的所述预设格式的防火墙策略作为所述目标策略信息。

可选地，若所述操作指令的操作类型是删除，则所述根据所述目标策略信息对应的所述安全域相关信息，确定是否执行所述操作指令，包括：