[发明专利]防火墙洞察处理与机器学习

权利要求书

1.一种计算机实现的方法(600)，其特征在于，当在数据处理硬件(204)上执行时，使所述数据处理硬件(204)执行用于训练防火墙利用模型(402)的操作，所述操作包括：

接收(602)在利用周期期间由防火墙接收的连接请求(28)的防火墙利用数据(352)，所述防火墙利用数据(352)包括在所述利用周期期间与至少一个防火墙规则(312)相关联的子规则集合(322)中的每个子规则的命中计数；

基于所述防火墙利用数据(352)生成(604)训练数据(432)，所述训练数据(432)包括与在所述利用周期期间没有命中的子规则(322)相对应的未使用的子规则(322)和与在所述利用周期期间具有多于零个命中的子规则(322)相对应的命中子规则(322)；

在所述训练数据(432)上训练(606)所述防火墙利用模型(402)；以及

对于与所述至少一个防火墙规则(312)相关联的所述子规则集合(322)中的每个子规则，使用经训练的防火墙利用模型(402)来确定(608)相应的子规则利用概率(462)，所述相应的子规则利用概率(462)指示所述子规则将被用于将来的连接请求(28)的可能性。

2.如权利要求1所述的计算机实现的方法(600)，其特征在于，所述操作还包括：

确定所述至少一个防火墙规则(312)的防火墙属性分组(314)，每个防火墙属性分组(314)包括至少一个属性(324)；以及

基于所述防火墙属性分组(314)确定与所述至少一个防火墙规则(312)相关联的第一子规则集合(322)。

3.如权利要求2所述的计算机实现的方法(600)，其特征在于，所述操作还包括：

接收与在所述利用期间由所述防火墙接收的连接请求(28)相关联的多个防火墙日志(302)；

基于过滤标准(332)过滤所述多个防火墙日志(302)；

确定与所述多个防火墙日志(302)相关联的第二子规则集合(322)；以及

基于所述第一子规则集合(322)和所述第二子规则集合(322)生成所述利用数据(352)。

4.如权利要求2或3所述的计算机实现的方法(600)，其特征在于，所述防火墙属性分组(314)包括源属性分组(314)，目标属性分组(314)，端口范围(324c)或因特网协议(IP)中的至少三个。

5.如权利要求4所述的计算机实现的方法(600)，其特征在于，所述源属性分组(314)包括：

源IP范围(324a)；

源标签(324a)；和

源服务帐户(324a)。

6.如权利要求4或5所述的计算机实现的方法(600)，其特征在于，所述目标属性分组(314)包括：

目标标签(324b)；和

目标服务帐户(324b)。

7.如权利要求1-6中任一项所述的计算机实现的方法(600)，其特征在于，所述操作还包括：

从可达性模块(540)接收防火墙可达性洞察(542)；

基于为每个子规则确定的相应的子规则利用概率(462)，生成防火墙利用洞察(484)；

聚合所述防火墙可达性洞察(542)和所述防火墙利用洞察(484)；和

基于经聚集的防火墙可达性洞察(542)和经聚集的防火墙利用洞察(484)生成防火墙配置建议(532)。

8.如权利要求1-6中任一项所述的计算机实现的方法(600)，其特征在于，所述操作还包括：

确定所述利用期间未使用的防火墙规则属性(324)；

对于每个未使用的防火墙规则属性(324)，聚合包括所述未使用的防火墙规则属性(324)在内的所有子规则(322)的所述子规则利用概率；以及

基于经聚集的子规则概率(472)确定属性(324)在将来被命中的概率(462)。