防火墻系統(tǒng)策略配置研究.pdf

1、隨著互聯(lián)網(wǎng)技術(shù)的發(fā)展，企業(yè)對(duì)互聯(lián)網(wǎng)更加依賴，互聯(lián)網(wǎng)也通過(guò)其便捷的通訊能力、低廉的通訊成本令企業(yè)的組織模式產(chǎn)生了巨大變化?，F(xiàn)在很多企業(yè)更愿意把傳統(tǒng)的信息交流放在互聯(lián)網(wǎng)這個(gè)大平臺(tái)上，以協(xié)同信息系統(tǒng)對(duì)企業(yè)內(nèi)外部資源進(jìn)行統(tǒng)一調(diào)配；同時(shí)，企業(yè)也通過(guò)互聯(lián)網(wǎng)尋找到更多合作伙伴，更多商機(jī)，他們利用互聯(lián)網(wǎng)與異地企業(yè)共同完成大量合作項(xiàng)目，創(chuàng)造了以往不能想象的利潤(rùn)。 然而，來(lái)自企業(yè)內(nèi)部和外部的安全威脅隨時(shí)會(huì)給企業(yè)運(yùn)營(yíng)帶來(lái)巨大的災(zāi)難，并最終影響企業(yè)的盈

2、利能力和客戶滿意度，安全問(wèn)題已經(jīng)成為現(xiàn)代企業(yè)面臨的最大挑戰(zhàn)。如何保證企業(yè)內(nèi)部網(wǎng)絡(luò)的安全呢?防火墻技術(shù)應(yīng)運(yùn)而生。防火墻技術(shù)被稱為“網(wǎng)絡(luò)安全的第一道閘門”，其重要性是顯兩易見(jiàn)的。本文從獨(dú)立防火墻和分布式防火墻兩個(gè)方面對(duì)防火墻策略的配置問(wèn)題進(jìn)行了研究，主要內(nèi)容概括如下： (1)早期的防火墻策略表示模型注意力主要集中在提高過(guò)濾速度上，很少考慮防火墻策略本身也會(huì)發(fā)生改變這一情況。比如企業(yè)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)發(fā)生改變，防火墻策略中的一些規(guī)則已經(jīng)無(wú)效

3、了，那么我們需要?jiǎng)h除這些規(guī)則，然而以前的這些工具不能動(dòng)態(tài)的表示更新，相反，它們需要重新構(gòu)造防火墻策略表示模型。而隨著網(wǎng)絡(luò)應(yīng)用的進(jìn)一步深化，防火墻策略是經(jīng)?？赡馨l(fā)生變化的。如果每次改變都需要重新構(gòu)造防火墻，這個(gè)代價(jià)就太大了。 我們給出了一種可動(dòng)態(tài)更新的防火墻策略表示-MFDT。一方面，MFDT可以進(jìn)行包過(guò)濾；另一方面，MFDT可以動(dòng)態(tài)反應(yīng)防火墻策略的更新。針對(duì)防火墻策略的三種更新情況，我們?cè)O(shè)計(jì)了相應(yīng)的算法。對(duì)于更新后的MFDT，我

4、們?cè)O(shè)計(jì)了合并算法，它可以合并MFDT中的相同子樹(shù)，從而提高過(guò)濾效率。 (2)企業(yè)根據(jù)自身的安全需要對(duì)防火墻進(jìn)行相應(yīng)的配置，其配置結(jié)果就是防火墻策略，也就是防火墻內(nèi)部的規(guī)則表。然而，在獨(dú)立防火墻的策略配置過(guò)程中，可能會(huì)出現(xiàn)一些問(wèn)題。一方面安全管理員可能在最初配置規(guī)則表的時(shí)候，出現(xiàn)一些錯(cuò)誤，另一方面隨著規(guī)則表中規(guī)則數(shù)目的增長(zhǎng)，不同的規(guī)則之間發(fā)生沖突的可能性也相應(yīng)增加。 就獨(dú)立防火墻在策略配置過(guò)程中容易山現(xiàn)的5種錯(cuò)誤進(jìn)行了分析

5、，根據(jù)不同的錯(cuò)誤給出了相應(yīng)的解決方案，我們也給出了檢測(cè)錯(cuò)誤的兩種算法?；跉w納的算法可以快速的對(duì)策略配置錯(cuò)誤進(jìn)行檢測(cè)，而基于Trie的算法由于采用了Trie結(jié)構(gòu)，檢測(cè)效率進(jìn)一步得到提升。 (3)分布式防火墻中的各個(gè)獨(dú)立防火墻可能來(lái)自不同的廠商，它們的配置方法可能存在著一定的差異，這就給配置這些防火墻帶來(lái)了一定的困難。另外，盡管防火墻的安全策略是統(tǒng)一制定的，但是這種安全策略一般由自然語(yǔ)言表示，由于自然語(yǔ)言的模糊性，不同的安全管理員

6、對(duì)策略的理解可能并非完全相同，當(dāng)他們配置獨(dú)立防火墻的時(shí)候也就導(dǎo)致了獨(dú)立防火墻間的策略不一致。 面對(duì)這些問(wèn)題，我們提供了一個(gè)平臺(tái)一FPT，在這個(gè)平臺(tái)上町以對(duì)分布式防火墻的防火墻策略進(jìn)行比較，找出其中不一致的地方，然后修正防火墻策略，使分布式防火墻真正能夠發(fā)揮其應(yīng)有的作用。我們給出了FPT的構(gòu)造算法，該算法可以把一個(gè)防火墻策略轉(zhuǎn)換為等價(jià)的FPT，也給出了FPT的比較算法，該算法可以比較不同策略樹(shù)之間的差異，在這兩點(diǎn)的基礎(chǔ)上，我們給出