王旭东，陈清萍，李 文，张信明

(1.国家电网 安徽省电力公司，合肥 230061； 2.中国科学技术大学 计算机科学与技术学院，合肥 230027)

(*通信作者电子邮箱xinming@ustc.edu.cn)

基于时间的多层防火墙访问控制列表策略审计方案

王旭东1，陈清萍1，李 文2，张信明2*

(1.国家电网 安徽省电力公司，合肥 230061； 2.中国科学技术大学 计算机科学与技术学院，合肥 230027)

(*通信作者电子邮箱xinming@ustc.edu.cn)

针对多层防火墙中的访问控制列表(ACL)策略审计问题，基于时间分析了单个防火墙间及多层防火墙间的策略异常，并根据防火墙之间的拓扑结构提出了一种基于树结构的回溯异常检测算法(ADBA)。首先，解析各个防火墙ACL策略，统一数据格式到数据库；然后，根据防火墙间的拓扑建立树状结构并检测单个防火墙内的策略异常；最后，ADBA利用数据库中的数据与树结构进行异常检测并记录异常策略。实验结果表明，ADBA与基于半同构标记防火墙决策图(SMFDD)算法相比，ADBA的检测时间比SMFDD算法减少了28.01%，同时参考时间因素相比SMFDD算法，ADBA能够减少异常检测的误判。故ADBA能有效实施于多层防火墙的ACL策略审计，提高异常检测的精确性并减少异常检测时间。

多层防火墙；防火墙规则；异常检测；访问控制列表审计

0 引言

防火墙作为企业的网络基石，它是连接着内部网络与外部网络之间的网络安全系统，其中最重要的管理任务是配置正确的防火墙和安全规则[1]。然而由于防火墙的访问控制列表 (Access Control List, ACL)策略可能包含大量的规则，规则间可能存在冲突导致规则的顺序敏感性，即对同一个数据包相同的规则不同的顺序可能产生不同的结果，以及防火墙的策略可能由不同的管理员在不同的时间配置的，这大大增加了防火墙出现问题的概率。……