[发明专利]一种失效防火墙策略的检测方法和装置

权利要求书

1.一种失效防火墙策略的检测方法，其特征在于，包括：

获取待检测的目标防火墙的防火墙策略文件；

针对所述防火墙策略文件中的每条防火墙策略x，分别进行以下处理：

获取防火墙策略x的目的地址和目的端口；

向所述目的地址和目的端口发送同步SYN数据包，并确定是否接收到复位RST响应信息，如果是，则确定所述目的端口关闭；

向所述目的地址和目的端口发送零字节的用户数据包协议UDP数据包，并确定是否接收到互联网控制报文协议ICMP不可到达的响应信息，如果是，则确定所述目的端口关闭；

若根据上述检测确定出所述目的端口均关闭，则防火墙策略x失效。

2.根据权利要求1所述的方法，其特征在于，所述获取待检测的目标防火墙的防火墙策略文件之后，进一步包括：

确定所述防火墙策略文件中的防火墙策略的格式是否与预定格式相同，如果不同，则将所述防火墙策略文件中的每条防火墙策略均转换为所述预定格式。

3.根据权利要求2所述的方法，其特征在于，

所述预定格式为：包括源地址、源端口、目的地址、目的端口和动作的标准五元组。

4.根据权利要求1、2或3所述的方法，其特征在于，

所述确定防火墙策略x失效之后，进一步包括：将防火墙策略x加入到失效策略列表中；

所述获取防火墙策略x的目的地址和目的端口之前，进一步包括：确定防火墙策略x是否已存在于所述失效策略列表中，如果未存在，则获取防火墙策略x的目的地址和目的端口。

5.根据权利要求1、2或3所述的方法，其特征在于，所述获取防火墙策略x的目的地址和目的端口之前，进一步包括：

获取防火墙策略x的动作信息；

确定获取到的动作信息是否为允许permit，如果是，则获取防火墙策略x的目的地址和目的端口。

6.一种失效防火墙策略的检测装置，其特征在于，包括：

获取模块，用于获取待检测的目标防火墙的防火墙策略文件，并发送给检测模块；

所述检测模块，用于针对所述防火墙策略文件中的每条防火墙策略x，分别进行以下处理：获取防火墙策略x的目的地址和目的端口；向所述目的地址和目的端口发送同步SYN数据包，并确定是否接收到复位RST响应信息，如果是，则确定所述目的端口关闭；向所述目的地址和目的端口发送零字节的用户数据包协议UDP数据包，并确定是否接收到互联网控制报文协议ICMP不可到达的响应信息，如果是，则确定所述目的端口关闭；若根据上述检测确定出所述目的端口均关闭，则防火墙策略x失效。

7.根据权利要求6所述的装置，其特征在于，

所述获取模块根据所配置的所述目标防火墙的IP、账号和口令登录到所述目标防火墙，并从中提取所述防火墙策略文件；

或者，所述获取模块接收离线导入的从所述目标防火墙中导出的所述防火墙策略文件。

8.根据权利要求6所述的装置，其特征在于，所述获取模块进一步用于，

在获取到所述防火墙策略文件之后，确定所述防火墙策略文件中的防火墙策略的格式是否与预定格式相同，如果不同，则将所述防火墙策略文件中的每条防火墙策略均转换为所述预定格式，并发送给所述检测模块。

9.根据权利要求6或8所述的装置，其特征在于，所述检测模块进一步用于，

在确定防火墙策略x失效之后，将防火墙策略x加入到失效策略列表中；

在获取防火墙策略x的目的地址和目的端口之前，确定防火墙策略x是否已存在于所述失效策略列表中，如果未存在，则获取防火墙策略x的目的地址和目的端口。

10.根据权利要求6或8所述的装置，其特征在于，

所述检测模块进一步用于，在获取防火墙策略x的目的地址和目的端口之前，获取防火墙策略x的动作信息；确定获取到的动作信息是否为允许permit，如果是，则获取防火墙策略x的目的地址和目的端口。