[发明专利]资产暴露面确定方法、装置、防火墙及存储介质

说明书

本发明属于防火墙技术领域，公开了一种资产暴露面确定方法、装置、防火墙及存储介质。该方法包括：获取目标IP地址范围，根据所述目标IP地址范围获得目标IP资产；根据预设时间内的流量数据获得所述目标IP资产的实际使用权限；将所述实际使用权限与访问控制列表中理论权限进行对比，获得对比结果；根据所述对比结果，确定所述目标IP资产的资产暴露面。通过目标IP地址确定目标IP资产，对经过防火墙的流量进行分析，获得目标IP资产的实际使用权限，将实际使用权限与理论权限进行对比，确定目标IP资产的暴露面，帮助网络运维人员对资产进行管控，提高了目标IP资产的安全性。

技术领域

本发明涉及防火墙技术领域，尤其涉及一种资产暴露面确定方法、装置、防火墙及存储介质。

背景技术

随着业务的快速发展，业务资产数量爆发式增长，而业务资产暴露面的梳理一直是一件看似简单但是非常麻烦且消耗用户时间精力的事情，并且没有清晰的资产暴露面梳理，会导致在防火墙上策略放通过大，给黑客web渗透攻击和内网横向渗透给了可乘之机。

在运维管理员日常运维过程中，如何持续对资产的实际使用情况进行动态的分析一直是非常困难的人工操作。业界已经存在的NSPM和单防火墙策略优化都无法从资产角度对资产暴露面进行梳理，导致网络运维管理人员无法很方便的进行管控，易发生安全问题。

上述内容仅用于辅助理解本发明的技术方案，并不代表承认上述内容是现有技术。

发明内容

本发明的主要目的在于提供一种资产暴露面确定方法、装置、防火墙及存储介质，旨在解决现有技术中网络运维管理人员无法很方便的对资产暴露面进行管控的技术问题。

为实现上述目的，本发明提供了一种资产暴露面确定方法，所述方法包括以下步骤:

获取目标IP地址范围，根据所述目标IP地址范围获得目标IP资产；

根据预设时间内的流量数据获得所述目标IP资产的实际使用权限；

将所述实际使用权限与访问控制列表中理论权限进行对比，获得对比结果；

根据所述对比结果，确定所述目标IP资产的资产暴露面。

可选地，所述获取目标IP地址范围，根据所述目标IP地址范围获得目标IP资产，包括：

获取所述目标IP地址范围；

确定所述目标IP地址范围中的各目标IP地址；

对各目标IP地址分别进行探测，并将具有探测反馈的目标IP地址作为目标IP资产。

可选地，所述根据预设时间内的流量数据获得所述目标IP资产的实际使用权限，包括：

获取所述预设时间内的流量数据；

根据所述流量数据，确定预设时间内所述目标IP资产与用户设备的交互行为；

根据所述交互行为，确定所述目标IP资产的实际使用权限。

可选地，所述将所述实际使用权限与访问控制列表中理论权限进行对比，获得对比结果，包括：

选取所述访问控制列表预设权限中与所述目标IP资产对应的理论权限；

将所述实际使用权限与所述理论权限进行对比，确定所述实际使用权限中与所述理论权限的相同权限以及不相同权限；

将所述相同权限以及所述不相同权限作为对比结果。

可选地，所述根据所述对比结果，确定所述目标IP资产的资产暴露面之前，还包括：

获取所述预设时间内的流量日志以及访问控制日志；