一种基于NTA和BVS的防火墙策略配置有效性核查方法.pdfVIP

2014《电子技术应用》智能屯网增刊 一种基于NTA和BVS的防火墙策略 配置有效性核查方法 刘祺，龙凤，喻潇 (国网湖北省电力公司电力科学研究院，湖北武汉430074) 防火墙流量采集，之后进行流量分析以及标准化处理，形成五元组模式报表。通过使用BVS设备进行 防火墙策略配置信息采集，将策略形成五元组方式描述。最终，将两种信息进行比对，以判断流量与 策略配置之间的相符程度。该方法能够大大的提高防火墙配置核查的有效性、准确性。 关键词：防火墙配置；审计；NTA；BVS 中图分类号：TP393．082 文献标识码：A 防火墙是网络中的主要软硬件设备，通过防火墙将 通过灿goSec防火墙分析器的流量分析，使用优化策 内部网和外部网之间、专用网与公共网之间构造保护屏 略提供的规则整理的功能。规则清理中，所有被审计的规 障。对流经防火墙的流量进行扫描，过滤掉外部攻击， 封锁掉不明的侵害，从而保证内网的安全。通过防火墙 规则配置，设定不同的防火墙配置策略，以适用于不同 通过规则分类找到不符合规则的防火墙策略配置。该方 采集流量的检测，保证内网的安全性与有效性。 法主要使用人工方式和半自动化方式，工作量比较大。 防火墙上分组过滤规则的设置和配置存在安全隐 1．2ViewAssure和ViewSecu旧 患。对防火墙中过滤规则的设置和配置十分复杂，它涉 及到规则的逻辑一致性，作用端口的有效性和规则集的 的防火墙规则库进行测评。当目标防火墙的配置文件被 正确性，一般的网络系统管理员难于胜任，加之一旦出 加载到系统数据库中，Skybox 现新的协议，管理员就得加上更多的规则去限制，这往 使用其预定义的策略模版来对防火墙策略进行分析。策 往会带来很多错误。 略模版将与设备配置规则／策略进行比较，从而发现安 本文提出了一种基于NTA和BVS的防火墙策略配全风险和配置错误。用户可以使用策略规则遵从报告 置有效性的审计方法，通过NTA设备进行防火墙流量 (P01icyCompli锄ce olated 采集，之后进行流量分析以及标准化处理，形成五元组 Rules)、访问规则遵从(Access 模式报表。通过使用BVS设备进行防火墙策略配置信 规则的规则遵从(RuleCompliance)。 息采集，将策略形成五元组方式描述。最终，将两种信 1．3 SecureTraCk软件 息进行比对，以判断流量与策略配置之间的相符程度。该 方法能够大大提高防火墙配置审计的有效性、准确性。 1常用防火墙策略配置测评方法 目前，常用的防火墙策略配置测评方法与工具主要 包括A190Sec防火墙分析器、ViewAssure和ViewSecure、 SecureTrack软件等。 地报告策略风险，但是由于和防火墙融合度不高，审计 1．1 AIgoSec防火墙分析器 准确度不高。 2一种改进的核查策略 A190Sec防火墙分析器主要使用该工具的测评引擎 来进行配置分析，根据预定义的规则对采集到的数据流 为了改进上述防火墙测评配置的有效性，本文通过 量进行分析，根据规则生成评估的报告。A190Sec防火墙NTA设备和BVS设备对上述评测方案进行改进，提供了 一种基于NTA和BVS的防火墙配置有效性评测方法。 分析器主要采用两种流量采集方案：一种是AlgoSec提 供的半自动脚本；另一种是通过人工来完成流量采集。 防火墙策略配置有效性评测流程如图1所示。 116 欢迎网上投稿www．Chin鲥圆T．咖 《电子技术应用》2014年增刊 万方数