陈 铮，连一峰，3，张海霞

（1.中国科学院研究生院 信息安全国家重点实验室，北京100049；2.中国科学院研究生院，北京100049；3.中国科学院 软件研究所，北京100190；4.信息安全共性技术国家工程研究中心，北京100080）

0 引 言

防火墙作为一种边界访问控制类产品，是保护内部网络安全的重要武器之一［1］。作为安全屏障，防火墙的策略配置不合理会给内网环境带来各种安全问题，例如内网用户非法访问外部网络或内网服务器受到拒绝服务攻击等。针对防火墙进行安全测评，能够判断信息系统中防火墙的边界防护是否满足相应的安全需求和安全标准要求，指导管理员实施安全加固，从而降低内网的安全风险。因此，针对防火墙等安全产品如何进行有效、准确的测评，已经成为网络安全领域的热点问题之一。这方面的主要成果有：文献 ［2－4］提出了基于防火墙实际性能的测试方法，包括协议过滤、会话响应速度、数据包吞吐率及处理延迟等指标；文献 ［5－7］从防火墙的配置策略入手，通过规则分析发现配置异常或冲突，从而为配置规则修改提供依据；此外，Robert Winding［8］等人采用数据挖掘的方法发现日志中的网络异常流量，通过统计流量中的源IP地址及目的IP地址，发现异常的网络访问行为；Stanford［9］采用分类方法对日志进行分析，从而发现SYN Flood及UDP Flood攻击事件，但未作安全测评；Korosh Golnabi［10］通过防火墙日志提取出关键过滤规则，对于防火墙安全测评方法的研究也有一定的启发。

总的来看，当前基于防火墙相关性能的安全测评方法，会在一定程度上影响被测系统的业务运行，对网络环境带来不良影响；……