[发明专利]一种基于防火墙的网络安全的管理方法和系统

说明书

技术领域

本发明属于网络安全技术领域，具体涉及一种基于防火墙的网络安全的 管理方法和系统。

背景技术

防火墙是因特网协议安全性(InternetProtocolSecurity,IPSEC)这一 安全框架下的一种网络设备，用于各种网络间，管制网络上各种资源的进出。 进行流量统计并对其访问进行有效的控制。

当前的防火墙网络安全的管理中，安全策略都是预先设定好的，且不能 根据流量的改变而进行修改，简单死板，对网络环境的变化不敏感，不具备 智能化，没有合理地利用防火墙性能资源，不能适应网络高速发展的需求。

发明内容

本发明的目的是提供一种基于防火墙的安全的管理的方法和系统，充分 运用防火墙的流量统计性能，实现安全策略的动态下发和取消，对网络安全 进行灵活的智能化管理。

根据本发明的一个方面，提供了一种基于防火墙的网络安全的管理方法， 所述方法包括：

对所述防火墙的流量进行周期性统计并保存每个周期的统计结果；

获取所述统计结果的变化幅度；

将所述变化幅度与预设阈值进行比较；

根据比较结果，确定是否配置安全防护策略。

上述方案中，所述获取所述统计结果的变化幅度，包括：

以所述周期的若干倍数为基本时间单位计算统计结果的平均值；

计算当前单位时间内的统计结果平均值与前一单位时间内的统计结果平 均值的差值。

上述方案中，所述预设阈值包括第一预设阈值和第二预设阈值；

所述根据比较结果，确定是否配置安全防护策略，包括：当所述差值大 于或等于所述第一预设阈值时，配置安全防护策略，当所述差值小于或等于 所述第二预设阈值时，取消安全防护策略的配置；

其中，第一预设阈值大于第二预设阈值；所述安全防护策略为能由用户 根据所述统计结果的平均值动态修改的策略。

上述方案中，所述对所述防火墙的流量进行周期性统计，包括以下的一 项或多项：基于设备接口对所述防火墙的流量进行周期性的统计、基于用户 对所述防火墙的流量进行周期性的统计、基于策略对所述防火墙的流量进行 周期性的统计、基于应用对所述防火墙的流量进行周期性的统计；

所述当所述差值大于或等于所述第一预设阈值时，配置安全防护策略， 具体为：当基于设备接口的流量统计结果涉及的差值大于或等于基于设备接 口统计的第一预设阈值时，下发对所述设备接口的相关限速配置；

当基于用户的流量统计结果涉及的差值大于或等于基于用户统计的第 一预设阈值时，下发对所述用户的相关限速配置；

当基于策略的流量统计结果涉及的差值大于或等于基于策略统计的第 一预设阈值时，下发基于所述策略的限速配置；

当基于应用的流量统计结果涉及的差值大于或等于基于应用统计的第 一预设阈值时，下发基于所述应用的相关配置。

上述方案中，所述应用包括：DNS应用、http应用、下载应用中的一项 或多项；当所述应用为DNS应用时，所述下发基于所述应用的相关配置， 包括：下发有关DNS-flood的相关配置。

根据本发明的别一个方面，还提供了一种基于防火墙的网络安全的管理 系统，所述系统包括：

流量统计单元，用于对所述防火墙的流量进行周期性统计并保存每个周 期的统计结果；

变化幅度获取单元，与所述流量统计单元相连，用于获取所述统计结果 的变化幅度；

比较单元，与所述变化幅度获取单元相连，用于将所述变化幅度与预设 阈值进行比较；

配置单元，与所述比较单元相连，用于根据比较结果，确定是否配置安 全防护策略。

上述方案中，所述变化幅度获取单元包括：

平均值计算单元，与所述流量统计单元相连，用于以所述周期的若干倍 数为基本时间单位计算统计结果的平均值；

差值计算单元，与所述平均值计算单元相连，用于计算当前单位时间内 的统计结果平均值与前一单位时间内的统计结果平均值的差值。

上述方案中，所述系统还包括阈值预设单元，与所述比较单元相连，用 于预设所述预设阈值，包括预设第一预设阈值和预设第二预设阈值；其中， 第一预设阈值大于第二预设阈值；