[发明专利]防火墙安全策略配置方法及管理装置

权利要求书

1.一种防火墙安全策略配置方法，其特征在于，所述方法包括：

获取从源防火墙发来的包括最大报文速率、报文大小或开关参数的攻击 防范配置信息，并设定从源防火墙获取的每条攻击防范配置信息对应的关联 防火墙；

获取从所述源防火墙发来的包括IP地址、端口号、网络协议及动作属性 的第一过滤规则信息，并设定从源防火墙获取的每条第一过滤规则信息对应 的关联防火墙；

根据所述攻击防范配置信息及所述第一过滤规则信息生成包含安全策略 配置信息的策略包；

根据所述策略包中的安全策略配置信息对应的关联防火墙信息，将所述 安全策略配置信息发送给关联防火墙，所述关联防火墙为网络中包括源防火 墙的任何一台防火墙。

2.如权利要求1所述的方法，其特征在于，所述第一过滤规则信息进一步 包括应用领域信息及时间段信息。

3.如权利要求2所述的方法，其特征在于，根据所述攻击防范配置信息及 所述第一过滤规则信息生成包含安全策略配置信息的策略包，包括：

根据所述第一过滤规则信息的IP地址、端口号、网络协议、动作属性及 应用领域信息获得安全域信息；

将所述安全域信息及获得的关联防火墙信息加入所述第一过滤规则信息 得到第二过滤规则信息；

根据所述第二过滤规则信息及所述攻击防范配置信息生成包含安全策略 配置信息的策略包。

4.如权利要求3所述的方法，其特征在于，所述方法还包括：

将所述第二过滤规则信息中IP地址、端口号、网络协议及动作属性相同 的不同过滤规则合并为同一条过滤规则。

5.如权利要求4所述的方法，其特征在于，将所述第二过滤规则信息中IP 地址、端口号、网络协议及动作属性相同的不同过滤规则合并为同一条过滤 规则，包括：

根据所述第二过滤规则信息在相同应用领域内相对顺序不变的标准，将 所述第二过滤规则信息中IP地址、端口号、网络协议及动作属性相同的不同 过滤规则合并为同一条过滤规则。

6.如权利要求1所述的方法，其特征在于，所述方法进一步包括：将所述 策略包中与所述源防火墙关联的安全策略配置信息发送给所述源防火墙。

7.一种管理装置，其特征在于，所述管理装置包括：

配置信息获取单元，用于获取从源防火墙发来的包括最大报文速率、报 文大小或开关参数的攻击防范配置信息，并设定从源防火墙获取的每条攻击 防范配置信息对应的关联防火墙；

规则信息获取单元，用于获取从所述源防火墙发来的包括IP地址、端口 号、网络协议及动作属性的第一过滤规则信息，并设定从源防火墙获取的每 条第一过滤规则信息对应的关联防火墙；

策略包生成单元，用于根据所述攻击防范配置信息及所述第一过滤规则 信息生成包含安全策略配置信息的策略包；

信息发送单元，用于根据所述策略包中的安全策略配置信息对应的关联 防火墙信息，将所述安全策略配置信息发送给关联防火墙，所述关联防火墙 为网络中包括源防火墙的任何一台防火墙。

8.如权利要求7所述的管理装置，其特征在于，所述第一过滤规则信息进 一步包括应用领域信息及时间段信息；

所述的策略包生成单元，具体用于根据所述第一过滤规则信息的IP地址、 端口号、网络协议、动作属性及应用领域信息获得安全域信息；将所述安全 域信息及获得的关联防火墙信息加入所述第一过滤规则信息得到第二过滤规 则信息；根据所述第二过滤规则信息及所述攻击防范配置信息生成包含安全 策略配置信息的策略包。

9.如权利要求8所述的管理装置，其特征在于，所述装置还包括：

信息合并单元，用于将所述第二过滤规则信息中IP地址、端口号、网络 协议及动作属性相同的不同过滤规则合并为同一条过滤规则，得到合并处理 后的过滤规则信息；

所述策略包生成单元具体用于根据合并处理后的过滤规则信息及所述攻 击防范配置信息生成安全策略配置信息。

10.如权利要求9所述的管理装置，其特征在于，

所述信息合并单元，具体用于根据所述过滤规则信息在相同应用领域内相对 顺序不变的标准，将所述第二过滤规则信息中IP地址、端口号、网络协议及 动作属性相同的不同过滤规则合并为同一条过滤规则。