[发明专利]基于脚本模板化生成配置防火墙安全策略的方法

说明书

本发明公开了一种基于脚本模板化生成配置防火墙安全策略的方法，如下步骤：S1：导入基础数据；S2：接收防火墙安全策略生成/变更申请单；S3：根据申请单内容导入申请单参数；S4：根据申请单参数获取策略需求信息，调用匹配的防火墙模板生成配置脚本；S5：加载配置脚本生成防火墙安全策略。本发明提供的基于脚本模板化生成配置防火墙安全策略的方法，使用网络业务开通模板与流程的流转相结合，实现防火墙策略的自动化维护处理，提高了防火墙策略生成和变更的效率；防火墙策略实现较简单，准确度较高，减轻运维负担，同时提高防火墙系统的安全性和稳定性。

技术领域

本发明涉及一种防火墙安全策略生成方法，尤其涉及一种基于脚本模板化生成配置防火墙安全策略的方法。

背景技术

目前，企业的IT架构日益庞大,IT运维工作也日益复杂,业务数据中心部署防火墙、实施防火墙策略的工作越来越多。据初步统计一个数据中心的防火墙策略变更数量占该数据中心总变更数量的40％以上。由于目前防火墙策略变更步骤的编写、实施是运维人员依据防火墙策略申请表手动操作完成的，因此，编写、实施大量防火墙策略变更步骤不仅工作量巨大，而且容易出错。一旦出错就会影响业务的正常运行。

为此，相关行业一直在研究防火墙策略的自动化维护方法，但是都没有取得实质性进展，主要原因在于：由于防火墙策略表现为源IP地址、目的IP地址和策略端口(即服务)三重纬度，每个纬度的元素都有多种表现形式，因此这三重纬度综合表现形式就是一个天文数字，同时防火墙策略生成步骤编写又需要依赖人工的运维经验，依赖人工的参与和判断，因此，目前的防火墙策略生成方法存在操作复杂、准确度较低的问题。

发明内容

本发明要解决的技术问题是提供一种基于脚本模板化生成配置防火墙安全策略的方法，解决当前防火墙策略生成方法存在操作复杂，准确度较低的问题。

本发明为解决上述技术问题而采用的技术方案是提供一种基于脚本模板化生成配置防火墙安全策略的方法，包括如下步骤：S1：导入基础数据，所述基础数据包括存储数据表、地址区域关系表、区域策略关系表、防火墙设备信息表和防火墙端口服务表；S2：接收防火墙安全策略生成/变更申请单；S3：根据申请单内容导入申请单参数；S4：根据申请单参数获取策略需求信息，调用匹配的防火墙模板生成配置脚本；S5：加载配置脚本生成防火墙安全策略。

进一步的，步骤S3中所述申请单参数包括：防火墙名称、访问源IP地址、访问目的地IP地址、申请单号码、防火墙类型、防火墙的用途、防火墙的动作和防火墙策略开始时间及结束时间。

进一步的，步骤S4具体包括：S21：根据申请单参数的访问源IP地址和访问目的地IP地址，调用基础数据，通过检索地址区域关系表返回访问源IP地址和访问目的地IP地址所属的源区域和目的区域；S22：根据源区域和目的区域，通过检索区域策略关系表确定当前区域策略；S23：在返回的当前区域中根据当前区域策略调用防火墙模板生成配置脚本；S24：对生成的配置脚本进行审核，确认可实施，得到匹配的配置脚本。

进一步的，步骤S23中根据申请单内容确认设备型号、业务类型和开通场景进行防火墙模板的匹配，适用设备型号、业务类型与开通场景三者组合唯一；利用路由跟踪命令在源地址设备上跟踪目的地址的设备,打印出路由经过路径的所有设备，跟据IP地址通过防火墙资产信息表匹配对应的防火墙设备，从而确认防火墙模板。

进一步的，所述的防火墙模板包括普通防火墙模板和网络地址转换防火墙模板。

进一步的，调用普通防火墙模板生成配置脚本包括如下步骤：S31：查询对应的访问控制列表，检查配置项；S32：定义源IP地址和目的IP地址，定义目的端口，定义生效时间；S33：配置生效时间，生成配置脚本。