[发明专利]网络策略审计方法、设备及计算机可读存储介质

权利要求书

1.一种网络策略审计方法，其特征在于，所述网络策略审计方法应用于网络策略审计设备，网络策略审计设备存储有防火墙信息表，且与存储有各防火墙的网络策略配置文件的服务器连接，所述网络策略审计方法包括以下步骤：

当检测到触发的网络策略审计指令时，读取防火墙信息表中的防火墙IP，并依据所述防火墙IP从服务器中获取防火墙的网络策略配置文件；

对所述网络策略配置文件进行解析，以获取所述防火墙的各网络策略，并读取所述各网络策略的结构化对象，基于所述结构化对象对所述各网络策略进行结构化处理，所述结构化对象包括下线IP标志位；

依据预设区域信息与预设审计规则组，对经过结构化处理后的各网络策略进行审计，并输出对应的审计结果；

依据预设下线IP库，对经过预设区域信息与预设审计规则组审计后的各网络策略进行二次审计，并输出二次审计结果，预设下线IP库中的网络策略添加有下线IP标志位；

其中，所述依据预设区域信息与预设审计规则组，对经过结构化处理后的各网络策略进行审计的步骤包括：

从经过结构化处理后的各网络策略中读取各网络策略的源IP、源IP组、目标IP、目标IP组和目标端口号；

依据预设区域信息以及各网络策略的源IP和目标IP，确定各网络策略的源区域和目标区域；

依据预设审计规则组以及各网络策略的源IP、源IP组、源区域、目标IP、目标IP组、目标区域和目标端口号，执行网络策略与审计规则之间的匹配操作。

2.如权利要求1所述的网络策略审计方法，其特征在于，所述依据预设区域信息以及各网络策略的源IP和目标IP，确定各网络策略的源区域和目标区域的步骤包括：

从所述区域信息中获取IP与区域的映射关系表，并查询IP与区域的映射关系表，确定各网络策略的源IP对应的区域，以及各网络策略的目标IP对应的区域；

将各网络策略的源IP对应的区域确定为各网络策略的源区域，并将各网络策略的目标IP对应的区域确定为各网络策略的目标区域。

3.如权利要求1所述的网络策略审计方法，其特征在于，所述依据预设区域信息与预设审计规则组，对经过结构化处理后的各网络策略进行审计的步骤包括：

确定经过结构化处理后的各网络策略中是否存在位于预设白名单的网络策略；

若经过结构化处理后的各网络策略中存在位于预设白名单的网络策略，则给位于预设白名单的网络策略添加白名单标志位；

依据预设区域信息与预设审计规则组，对经过结构化处理后的各网络策略中未添加白名单标志位的网络策略进行审计。

4.如权利要求3所述的网络策略审计方法，其特征在于，所述确定经过结构化处理后的各网络策略中是否存在位于预设白名单的网络策略的步骤包括：

依据经过结构化处理后的各网络策略的各字段参数，确定各网络策略的哈希值；

确定各网络策略的哈希值是否位于预设哈希值库；

若各网络策略中存在网络策略的哈希值位于预设哈希值库，则确定经过结构化处理后的该网络策略位于预设白名单中。

5.如权利要求1所述的网络策略审计方法，其特征在于，所述依据预设下线IP库，对经过预设区域信息与预设审计规则组审计后的各网络策略进行二次审计的步骤包括：

从经过预设区域信息与预设审计规则组审计后的各网络策略中读取各网络策略的源IP和目标IP；

依据预设下线IP库以及各网络策略的源IP和目标IP，执行各网络策略与预设下线IP库的匹配操作。

6.如权利要求1所述的网络策略审计方法，其特征在于，所述网络策略审计方法还包括：

以间隔预设时间更新所述预设下线IP库。

7.一种网络策略审计设备，其特征在于，所述网络策略审计设备包括：存储器、处理器及存储在所述存储器上并可在所述处理器上运行的网络策略审计程序，所述网络策略审计程序被所述处理器执行时实现如权利要求1至6中任一项所述的网络策略审计方法的步骤。

8.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有网络策略审计程序，所述网络策略审计程序被处理器执行时实现如权利要求1至6中任一项所述的网络策略审计方法的步骤。