[发明专利]一种安全策略的检查方法和系统

说明书

技术领域

本申请涉及互联网技术领域，更具体地说，涉及一种安全策略的检查方法和系统。

背景技术

当前的信息化对网络与信息安全提出了更高的要求。网络与信息的安全性已成为维护国家安全、社会稳定的焦点。网络应用是利用网络以及信息系统直接为用户提供服务以及业务的平台。网络应用服务直接与成千上万的用户打交道：用户通过网络应用服务浏览网站、网上购物、下载文件、看电视、发短信等，网络应用服务的安全直接关系到广大网络用户的利益。因此网络应用服务的安全策略是网络与信息安全中重要组成部分。

安全策略是指在某个安全区域(通常是指属于某个组织的一系列处理和通信资源)内，用于所有与安全相关活动的一套规则。这些规则是由此安全区域中所设立的一个安全权力机构建立的，具体来说由网管通过对防火墙或者路由器进行配置实现的。网管在对防火墙或者路由器的安全策略进行配置时，可能因人为失误，导致该安全区域内的部分用户得不到保护，从而导致这部分用户的安全无法得到保障。

发明内容

有鉴于此，本申请提供一种安全策略的检查方法和系统，用于对安全区域内的安全策略进行自动检查，以避免因人为失误导致部分用户得不到安全保障。

为了实现上述目的，现提出的方案如下：

一种安全策略的检查方法，应用于路由器，所述检查方法包括步骤：

通过遍历所述路由器所服务的安全区域生成网络拓扑；

根据所述网络拓扑界定所述安全区域内的所有网络设备；

根据所述路由器上预置的acl配置文件对所有所述网络设备进行核对；

如果存在所述acl配置文件没有包含的网络设备，则向用户报告acl保护缺失。

可选的，所述网络设备包括核心路由器、防火墙、次级路由器和网络终端设备。

可选的，所述根据所述路由器上预置的acl配置文件对所有所述网络设备进行核对，包括：

对所述acl配置文件与所述网络设备的地址进行核对；

判断是否存在没有被所述acl配置文件所包含的地址。

可选的，还包括步骤：

检查每条acl配置文件是否符合预设的安全规范；

如存在不符合所述安全规范的acl配置文件，则报告acl保护缺失。

可选的，所述安全规范包括不允许ssh、不允许ping、不允许明文、禁止syn、禁止icmp和禁止usrf中的部分或全部。

一种安全策略的检查系统，应用于路由器，所述检查系统包括：

拓扑生成模块，用于通过遍历所述路由器所服务的安全区域生成网络拓扑；

设备界定模块，用于根据所述网络拓扑界定所述安全区域内的所有网络设备；

设备核对模块，用于根据所述路由器上预置的acl配置文件对所有所述网络设备进行核对；

第一缺失报告模块，用于如果存在所述acl配置文件没有包含的网络设备，则向用户报告acl保护缺失。

可选的，所述网络设备包括核心路由器、防火墙、次级路由器和网络终端设备。

可选的，所述设备核对模块包括：

地址核对单元，用于对所述acl配置文件与所述网络设备的地址进行核对；

缺失判断单元，用于判断是否存在没有被所述acl配置文件所包含的地址。

可选的，还包括：

文件检查模块，用于检查每条acl配置文件是否符合预设的安全规范；

第二缺失报告模块，用于如存在不符合所述安全规范的acl配置文件，则报告acl保护缺失。

可选的，所述安全规范包括不允许ssh、不允许ping、不允许明文、禁止syn、禁止icmp和禁止usrf中的部分或全部。

从上述的技术方案可以看出，本申请公开了一种安全策略的检查方法和系统，该方法和系统应用于路由器，具体为通过遍历路由器所服务的安全区域生成网络拓扑；根据网络拓扑界定安全区域内的所有网络设备；根据路由器上预置的acl配置文件对所有网络设备进行核对；如果存在acl配置文件没有包含的网络设备，则向用户报告acl保护缺失。用户在得到acl保护缺失报告后，可以及时对acl配置文件进行重新配置，从而避免因为人为失误导致部分用户得不到安全保障的问题。

附图说明