罗功银　余　铮

(国网湖北省电力公司信息通信公司　武汉　430077)



基于安全配置督查的状态防火墙设计与实现*

罗功银余铮

(国网湖北省电力公司信息通信公司武汉430077)

摘要由于状态防火墙是一种新型的防火墙,而传统的防火墙的安全配置算法(防火墙决策图),并不适用于状态防火墙的规则集比对。通过对马尔可夫链的构造,将规则集转化为图形化的等价的状态防火墙,从而最终用于状态防火墙的规则集比对。理论分析表明,该方案能够有效地检测出状态防火墙规则集之间的异常规则。实验结果表明,该方案可以代替传统的人工评判方法,在当状态防火墙的状态部分规则和无状态部分规则条目数量分别达到3000条时,其比对过程所耗费的平均时间不超过2s,从而大大提高了督查效率,且系统运行时间开销较小。

关键词马尔可夫链; 排队论; 防火墙规则; 访问控制

Class NumberTP393.08

1引言

防火墙在网络安全方面具有重大的应用价值。因此,防火墙的安全配置一直是防火墙能够执行访问控制的最基本的要求。根据访问控制的规则集,可以把防火墙的安全配置分成安全策略配置和安全管理配置[1]。

防火墙规则集的安全策略配置尤为重要。这是因为： 1) 由于防火墙包含有大量的访问控制规则集,这些规则存在人工配置与现实安全需求不一致的可能性,这就需要如何来检测防火墙中存在的错误配置的规则集。 2) 还存在系统升级后,防火墙在移植前后,规则集是否会发生变化,这就需要确保防火墙规则集在移植前后是否完整以及一致性。……