基于信息增益的防火墙过滤域排序优化①-计算机系统应用.PDFVIP

2009 年 第 7 期 计 算 机 系 统 应 用 ① 基于信息增益的防火墙过滤域排序优化 Optimizing Sequence of Filtering Domain of Firewall Based on Information Gain 王卫平 王旭虓 陈赫然 陈家耀 ( 中国科学技术大学 信息管理与决策科学系 安徽 合肥 230026) 摘 要： 传统的防火墙从检测规则冲突和调整规则排序两方面来提高防火墙性能，但效果都不是很理想。本文 从优化防火墙过滤域排序这样的一个新角度，依据信息增益理论构造决策树，然后根据决策树层次与 防火墙过滤域排序的对应关系，确定了过滤域的最优排序。实验表明，这个最优排序确实能够显著地 降低数据包与防火墙规则的元组比较的总次数，从而提高防火墙的过滤效率。 关键词： 防火墙 信息增益 决策树 过滤域排序 元组比较 1 引言 防火墙的安全策略实际上是一个访问控制列表。 自计算机网络问世以来，网络的安全性一直是人 表 1 即是一个防火墙访问控制列表的实例。 们讨论的话题。随着网络的迅速发展和广泛使用，人 表 1 防火墙访问控制列表实例 们在得益于网络的同时，网上的数据也受到了黑客的 规 源 目 的 攻击，所以网络安全变得越来越重要。当资源共享广 则 协议 源地址 端 目的地址 端 行为 号 口 泛用于政治、军事、经济以及科学的各个领域，网络 口 的用户来自社会的各个阶层与部门，大量在网络中存 1 TCP 192.168.0.6 any *.*.*.* 80 deny 储和传输的数据都有可能被盗用和篡改。人们为了保 2 TCP 192.168.0.* any *.*.*.* 90 accept 3 UDP *.*.*.* any 202.38.64.* 53 acce pt 护数据和资源的安全，创建了防火墙。 4 UDP *.*.*.* any *.*.*.* any deny 表中的访问控制列表由很多列表项组成，每个列 2 防火墙 表项称为一条规则，也就是防火墙规则