[发明专利]安全策略配置方法及其装置

权利要求书

1.一种安全策略配置方法，其特征在于，该方法包括：

接收预配置的不同安全控制功能的安全策略；

将不同安全控制功能对应的安全策略转换为对应的策略链表；

根据所用的硬件引擎数量对不同安全控制功能对应的策略链表进行处理，以获取与所用的硬件引擎数量相同的新的策略链表；

其中，所述策略链表和获取的所述新的策略链表包括报文特征和报文的转发行为。

2.根据权利要求1所述的方法，其特征在于，所述报文特征包括VID、源MAC地址、目的MAC地址、以太网类型、源IP地址、目的IP地址、IP协议类型、TCP/UDP源端口号和TCP/UDP目的端口号中的一个或几个。

3.根据权利要求1所述的方法，其特征在于，当所述硬件引擎数量为1时，所述根据所用的硬件引擎数量对不同安全控制功能对应的策略链表进行处理，包括：对所述不同安全控制功能对应的策略链表进行合并，以获得一个新的策略链表；

当所述硬件引擎数量为2个或2个以上时，所述对不同安全控制功能对应的策略链表进行处理，包括：

将不同安全控制功能对应的所述策略链表分配给不同的硬件引擎；

分别对分配给不同的硬件引擎上的不同安全控制功能对应的所述策略链表进行合并，以获得与所述硬件引擎数量相同的新的策略链表。

4.根据权利要求3所述的方法，其特征在于，在对一个硬件引擎对应的两个不同安全控制功能的策略链表进行合并时，包括：

将一个安全控制功能对应的策略链表中的每一个表项与另一个安全控制功能对应的策略链表集合中的每一个表项进行集合运算，根据运算结果进行合并最终生成新的策略链表。

5.根据权利要求4所述的方法，其特征在于，当一个安全控制功能对应的策略链表中的一个表项与另一个安全控制功能对应的策略链表中的一个表项进行集合运算时，包括：

根据报文特征确定所述一个安全控制功能对应的策略链表中的一个表项与另一个安全控制功能对应的策略链表中的一个表项之间的集合关系；

根据所述集合关系进行行为合并；

其中，所述集合关系包括相等、包含、相交、或无关。

6.根据权利要求5所述的方法，其特征在于，当所述集合关系为包含关系时，所述根据集合关系进行行为合并，包括：

当所述一个安全控制功能对应的策略链表中的一个表项的行为和所述另一个安全控制功能对应的策略链表中的一个表项的行为均为丢弃时，则不添加所述一个安全控制功能对应的策略链表中的一个表项到所述另一个安全控制功能对应的策略链表中；

当所述一个安全控制功能对应的策略链表中的一个表项的行为为报文转发，而所述另一个安全控制功能对应的策略链表中的一个表项的行为为丢弃时，则不添加所述一个安全控制功能对应的策略链表中的一个表项到所述另一个安全控制功能对应的策略表中；

当所述一个安全控制功能对应的策略链表中的一个表项的行为为丢弃，而所述另一个安全控制功能对应的策略链表中的一个表项的行为均为报文转发时，则将所述一个安全控制功能对应的策略链表中的一个表项插到所述另一个安全控制功能对应的策略链表中的一个表项之前；

当所述一个安全控制功能对应的策略链表中的一个表项的行为和所述另一个安全控制功能对应的策略链表中的一个表项的行为均为报文转发时，则不添加所述一个安全控制功能对应的策略链表中的一个表项到所述另一个安全控制功能对应的策略链表中。

7.根据权利要求5所述的方法，其特征在于，当所述集合关系为相交关系、且产生交集时，所述根据集合关系进行行为合并，包括：

判断所述一个安全控制功能对应的策略链表中的一个表项与另一个安全控制功能对应的策略链表中的一个表项之间的报文行为是否相同；

若相同，则不添加所述交集至所述另一个安全控制功能对应的策略链表中；并添加所述一个安全控制功能对应的策略链表中的一个表项至所述另一个安全控制功能对应的策略链表中。