[发明专利]防火墙策略优化方法、系统及计算机可读存储介质

权利要求书

1.一种防火墙策略优化方法，其特征在于，包括：

获取防火墙的所有策略，生成第一列表；

获取每条所述策略的命中数，基于所述命中数从大到小排序生成第二列表；

从所述第二列表中逐条取出所述策略，并判断所述策略在所述第二列表中的排位号是否小于在所述第一列表中的排位号；

基于所述策略在所述第二列表中的排位号小于在所述第一列表中的排位号的判断结果，对所述策略在所述第一列表中的排位进行优化；

所述策略在所述第一列表中的排位进行优化的步骤，包括：

在所述第一列表中，判断所述策略与所述策略从当前位置移动至所述策略在所述第二列表中的位置所跨越过的其他策略是否互斥；

基于所述策略与所述其他策略都互斥的判断结果，将所述策略在第二列表中的排位号作为所述策略优化后的排位号；

否则，确定所述其他策略中第一条与所述策略非互斥的策略，根据所述非互斥的策略的排位号确定所述策略优化后的排位号；

根据每条所述策略优化后的排位号，生成第三列表，以供所述防火墙按照所述第三列表中的排位顺序对数据包进行策略匹配。

2.根据权利要求1所述的防火墙策略优化方法，其特征在于，所述根据所述非互斥的策略的排位号确定所述策略优化后的排位号的步骤，包括：

将所述非互斥的策略的排位号加1作为所述策略优化后的排位号。

3.根据权利要求1所述的防火墙策略优化方法，其特征在于，所述判断所述策略与所述策略从当前位置移动至所述策略在所述第二列表中的位置所跨越过的其他策略是否互斥的步骤，包括：

在所述策略对应的源地址与所述其他策略对应的源地址之间为子集或交叉关系的情况下，和/或在所述策略对应的目的地址与所述其他策略对应的目的地址之间为子集或交叉关系的情况下，判定所述策略与所述其他策略非互斥。

4.根据权利要求1至3中任一项所述的防火墙策略优化方法，其特征在于，

所述第一列表、所述第二列表和所述第三列表中每条所述策略均包括：所述排位号、策略编号、源地址、目的地址，以及以下任一项或其组合：源端口、目的端口、动作；

所述第二列表和第三列表中每条所述策略还包括所述命中数。

5.一种防火墙策略优化系统，其特征在于，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现：

获取防火墙的所有策略，生成第一列表；

获取每条所述策略的命中数，基于所述命中数从大到小排序生成第二列表；

从所述第二列表中逐条取出所述策略，并判断所述策略在所述第二列表中的排位号是否小于在所述第一列表中的排位号；

基于所述策略在所述第二列表中的排位号小于在所述第一列表中的排位号的判断结果，对所述策略在所述第一列表中的排位进行优化；

所述处理器执行所述计算机程序时具体实现对所述策略在所述第一列表中的排位进行优化的步骤，包括：

在所述第一列表中，判断所述策略与所述策略从当前位置移动至所述策略在所述第二列表中的位置所跨越过的其他策略是否互斥；

基于所述策略与所述其他策略都互斥的判断结果，将所述策略在第二列表中的排位号作为所述策略优化后的排位号；

否则，确定所述其他策略中第一条与所述策略非互斥的策略，根据所述非互斥的策略的排位号确定所述策略优化后的排位号；

根据每条所述策略优化后的排位号，生成第三列表，以供所述防火墙按照所述第三列表中的排位顺序对数据包进行策略匹配。

6.根据权利要求5所述的防火墙策略优化系统，其特征在于，所述处理器执行所述计算机程序时具体实现所述根据所述非互斥的策略的排位号确定所述策略优化后的排位号的步骤，包括：

将所述非互斥的策略的排位号加1作为所述策略优化后的排位号。