[发明专利]一种IPSec安全网关的策略冲突动态检测方法

权利要求书

1.一种IPSec安全网关的策略冲突动态检测方法，其特征在于所述方法包括如下步骤：

步骤一、将IPSec网关的策略进行规则化描述，具体步骤如下：

(1)保持IPSec策略的策略列表L、规则R以及R包含的条件部分和操作动作的运算过程不变；

(2)将操作动作集中的protect改为AH-protect和ESP-protect，改正后的操作动作集如下式所示：

A_i∈{bypass,discard,AH-protect，ESP-protect|parameters}；

(3)将规则类型的分类集合SC_protect改为SC_AH-protect和SC_ESP-portect两种，并增加对应的保护策略目的网关集合SW_AH-protect和SW_ESP-portect，改正及新增的分类集合如下式所示：

SC_AH-protect＝f₃(C₁,C₂,C₃,...,C_n)；

SC_ESP-portect＝f₄(C₁,C₂,C₃,...,C_n)；

SW_AH-protect＝f₅(G₁,G₂,G₃,...,G_n)；

SW_EPS-protect＝f₆(G₁,G₂,G₃,...,G_n)；

(4)引入一个新变量S_all，对所有集合进行聚合，如下式：

S_all＝SC_bypass∨SC_diacard∨SC_AH-protect∨SC_ESP-portect∨SW_AH-protect∨SW_ESP-portect；

式中，S_all为所有集合进行聚合，SC_bypass、SC_discard和SC_protect分别代表触发bypass、discard和protect动作的所有条件的合集，SC_AH-protect代表触发AH类型的保护策略的条件的合集，SC_ESP-portect代表触发ESP类型的保护策略的条件的集合；

步骤二、判断新添加的规则是否可能存在规则冲突，具体步骤如下：

当新加入策略规则时，动态得更新各个策略集合，生成新的S′_all，对旧策略生成对应的S_all和S′_all进行比较，如果符合某个冲突类型的布尔函数特点，则认定存在策略冲突；

步骤三、查询新添加的规则存在批准冗余和冲突冗余的可能性，具体步骤如下：

新规则加入后生成的S′_all和所有旧策略生成的S_all是相同的，新规则的条件部分C_new是之前所有旧策略的子集，公式如下：

在符合规则冗余的情况下，如果还符合以下公式，则为批准冗余，不符合的则为冲突冗余：

步骤四、查询新添加的规则存在规则相关冲突的可能性，具体步骤如下：

在相关冲突下，旧规则条件部分C_old中可能存在新规则条件C_new的子集或者新旧规则存在部分重叠，判定方法如下：

(C_old∧C_new)＝＝true；

步骤五、查询新添加的保护策略规则存在隧道重叠冲突的可能性，具体步骤如下：

首先确认新规则没有以上规则冗余、规则相关两种冲突类型，并且新添加的规则为保护策略规则，然后新规则保护策略集合和旧规则保护策略集合存在部分重叠，判定方法如下：

((SC′_AH-protect∨SC′_ESP-protect)∨(SC_AH-protect∨SC_ESP-protect))＝＝ture；

式中，SC′_AH-protect代表加入新规则后，AH协议保护策略规则类型的集合；SC′_ESP-portect代表加入新规则后，ESP协议保护策略规则类型的集合；SW_AH-protect代表AH协议保护策略对应的网关集合；SW_ESP-portect代表ESP协议保护策略对应的网关集合；

步骤六、查询新添加的保护策略规则存在非标准封装冲突的可能性，具体步骤如下：

首先确认新规则没有规则冗余、规则相关和隧道重叠三种冲突类型，并且新添加的规则为保护策略ESP类型规则，新规则和旧规则的AH类型规则集合进行比对，如果存在重叠部分，必然有安全协议非标准封装顺序冲突问题，判定方法如下：

(C_new∈SC′_EPS-protect)and(C_new∧SC_AH-protect)＝＝ture；

式中，C_new代表新添加的规则，SC′_AH-protect代表加入新规则后，AH协议保护策略规则类型的集合；SC′_ESP-portect代表加入新规则后，ESP协议保护策略规则类型的集合；

步骤七、检测规则冗余、规则相关、隧道重叠、安全协议非标准封装顺序四种冲突类型后，将存在的冲突解决，生成去除冲突后的新规则列表。