[发明专利]一种防火墙策略审计方法、装置、设备和存储介质

说明书

本申请公开一种防火墙策略审计方法、装置、设备和存储介质，通过获取业务要求的防火墙策略规则和多条实际配置的防火墙策略规则，将一条实际配置的策略规则作为第一目标规则，针对业务要求的防火墙策略规则，按照预设的匹配策略将第一目标规则与业务要求的防火墙策略规则进行匹配得到第一匹配结果，并判断第一匹配结果是否为空集。若是，则针对实际配置的防火墙策略规则，按照匹配策略将业务要求的防火墙策略规则与每条实际配置的防火墙策略规则进行匹配得到第二匹配结果，基于第二匹配结果确定第一规则集合是否符合业务要求的防火墙策略规则。该方案可以更加准确的判断第一规则集合是否符合业务要求的防火墙策略规则，使审计结果的正确率提高。

技术领域

本申请涉及网络信息安全技术领域，具体涉及一种防火墙策略审计方法、装置、设备和存储介质。

背景技术

随着网络技术的快速发展，在网络信息安全技术领域，防火墙作为网络的第一道关卡，需要通过防火墙策略来设置哪些访问允许通过，哪些访问需要阻挡。其中，网络中原本业务要求有一套防火墙策略规则，而实际配置的防火墙策略规则不一定可以符合业务要求，因此在防火墙策略规则合规检查的工作中需要将实际配置的防火墙策略规则与原本业务要求的防火墙策略规则进行比对，检查实际配置的策略规则是否符合原本业务要求的防火墙策略规则。

其实，实际配置的防火墙策略规则往往有多条，这多条策略规则组合起来或许可以符合业务要求的防火墙策略规则，而现有技术只是逐条将实际配置的防火墙策略规则与业务要求的防火墙策略规则进行比对，若单独的每一条实际配置的防火墙策略规则都不符合业务要求的防火墙策略规则，则直接将这多条策略规则的组合判断为不符合，使审计结果的错误率变高。

发明内容

有鉴于此，本申请提供了一种防火墙策略审计方法、装置、设备和存储介质，用于解决现有技术的审计结果错误率变高的缺陷。

为实现以上目的，现提出的方案如下：

第一方面，一种防火墙策略审计方法，包括：

获取业务要求的防火墙策略规则和第一规则集合，所述第一规则集合包括多条实际配置的防火墙策略规则；从所述第一规则集合中选取一条实际配置的防火墙策略规则作为第一目标规则，针对所述业务要求的防火墙策略规则，按照预设的匹配策略将所述第一目标规则与所述业务要求的防火墙策略规则进行匹配，得到第一匹配结果，所述第一匹配结果中包含若干条第二目标规则；判断所述第一匹配结果中的每条第二目标规则是否均为空集；若所述第一匹配结果中的每条第二目标规则均为空集，则针对所述第一规则集合中的每条实际配置的防火墙策略规则，按照所述匹配策略将第一规则集合中的每条实际配置的防火墙策略规则，分别与所述业务要求的防火墙策略规则进行匹配，得到第二匹配结果；基于所述第二匹配结果确定所述第一规则集合是否符合所述业务要求的防火墙策略规则。

优选地，所述实际配置的防火墙策略规则与所述业务要求的防火墙策略规则都包含相同种类的元素，且每种元素的数量相同，其中一种元素代表协议类型；在所述针对所述业务要求的防火墙策略规则，按照预设的匹配策略将所述第一目标规则与所述业务要求的防火墙策略规则进行匹配，得到第一匹配结果之前，还包括：判断所述业务要求的防火墙策略规则中代表协议类型的元素与所述第一目标规则中代表协议类型的元素是否相同；若是，则将所述业务要求的防火墙策略规则和所述第一目标规则中代表协议类型的元素删除；所述针对所述业务要求的防火墙策略规则，按照预设的匹配策略将所述第一目标规则与所述业务要求的防火墙策略规则进行匹配，包括：针对删除代表协议类型的元素后的业务要求的防火墙策略规则，按照预设的匹配策略将删除代表协议类型的元素后的第一目标规则与所述删除代表协议类型的元素后的业务要求的防火墙策略规则进行匹配。