[发明专利]IT基础设施安全策略集中管控优化方法

说明书

本发明提供一种IT基础设施安全策略集中管控优化方法，所述基础设施包括多个基础设备，通过以下步骤对安全策略进行集中管控优化，具体包括：获取目标范围内IT基础设施的设备配置文件，提取每个设备配置文件中的安全策略集、以及安全策略集中每个安全策略的命中率，将命中率大于预设值的安全策略作为第一类的安全策略，将命中率小于等于预设值的安全策略作为第二类的安全策略；将所有前置设备相同的第二类的安全策略作为第一优化策略，对第一基础设备中与第一优化策略对应的安全策略优化处理；将前置设备和后置设备相同的第二类的安全策略作为第二优化策略，对第二基础设备中与第二优化策略对应的安全策略优化处理。

技术领域

本发明涉及数字信息传输技术领域，尤其涉及一种IT基础设施安全策略集中管控优化方法。

背景技术

随着网络规模、业务应用的不断增长，以及安全事件的逐渐增加，在网络安全建设方面，用户往往通过部署各种类型的安全设备，实现对信息网络的分域分级保护。通常网络安全产品多聚焦在安全策略上，通过安全策略缓解网络威胁。但网络和安全设备中可能存在着成千上万条策略规则，大量安全规则的管理越来越复杂，这种管理上的复杂性影响了设备的安全和性能，当运维人员对过滤规则集中进行添加、删除和修改时，大量的过滤规则就有可能产生冗余规则，从而导致设备的管理难度加大，吞吐率下降。

所以亟需一种技术方案，能够对IT基础设施安全策略集进行管控、优化，降低网络和安全设备中的策略规则。

发明内容

本发明实施例提供一种IT基础设施安全策略集中管控优化方法，能够对IT基础设施安全策略集进行管控、优化，降低网络和安全设备中的策略规则，降低了冗余规则的产生，降低设备的管理难度，提高吞吐率。

本发明实施例的第一方面，提供一种IT基础设施安全策略集中管控优化方法，所述基础设施包括多个基础设备，通过以下步骤对基础设施中多个设备的安全策略进行集中管控优化，具体包括：

获取目标范围内IT基础设施的设备配置文件，提取每个设备配置文件中的安全策略集、以及安全策略集中每个安全策略的命中率，将命中率大于预设值的安全策略作为第一类的安全策略，将命中率小于或等于预设值的安全策略作为第二类的安全策略；

获取基础设施中多个基础设备的连接关系，根据基础设备的连接关系确定每个设备的所有前置设备和/或后置设备；

若判断第一基础设备的数据流是单向传输的，则获取第一基础设备所对应的所有前置设备，将所有前置设备相同的第二类的安全策略作为第一优化策略，对所述第一基础设备中与所述第一优化策略对应的安全策略优化处理；

若判断第一基础设备的数据流是双向传输的，则获取第一基础设备所对应的前置设备和后置设备，将所有前置设备和后置设备相同的第二类的安全策略作为第二优化策略，对所述第一基础设备中与所述第二优化策略对应的安全策略优化处理。

可选地，在第一方面的一种可能实现方式中，在获取目标范围内IT基础设施的设备配置文件，提取每个设备配置文件中的安全策略集、以及安全策略集中每个安全策略的命中率，将命中率大于预设值的安全策略作为第一类的安全策略，将命中率小于或等于预设值的安全策略作为第二类的安全策略的步骤中，具体包括：

获取预设时间段内、目标范围内IT基础设施的设备配置文件，确定设备配置文件中相应的安全策略集；

统计安全策略集中每个安全策略在预设时间段内的命中数量，将命中数量与基准值比对得到相对应的命中率；

将命中率大于预设值的安全策略作为第一类的安全策略，将命中率小于或等于预设值的安全策略作为第二类的安全策略。

可选地，在第一方面的一种可能实现方式中，在获取基础设施中多个基础设备的连接关系，根据基础设备的连接关系确定每个设备的所有前置设备和/或后置设备的步骤中，具体包括：