[发明专利]一种管理防火墙的方法和装置

权利要求书

1.一种管理防火墙的方法，其特征在于，包括：

根据第一访问关系控制矩阵和业务访问申请的源地址、目的地址和端口信息，判断所述业务访问申请是否符合安全规范；

若是，则根据第二访问关系控制矩阵和所述业务访问申请的源地址和目的地址，确定所述业务访问申请所要经过的防火墙以及对应的安全域；

根据所述业务访问申请的源地址、目的地址、端口、所要经过的防火墙以及对应的安全域信息，生成防火墙配置脚本；

其中，所述第一访问关系控制矩阵和所述第二访问关系控制矩阵中的行表示源地址集合，列表示目的地址集合，所述第一访问关系控制矩阵中的元素表示各个地址集合之间互访需要满足的安全规则，所述第二访问关系控制矩阵中的元素表示各个地址集合之间互访对应的防火墙和安全域信息。

2.根据权利要求1所述的方法，其特征在于，根据第一访问关系控制矩阵和业务访问申请的源地址、目的地址和端口信息，判断所述业务访问申请是否符合安全规范，包括：

将业务访问申请的源地址和目的地址分别在第一访问关系控制矩阵的行和列中进行逐一匹配，从而在所述第一访问关系控制矩阵中定位出第一目标元素；

根据所述第一目标元素对应的各个地址集合之间互访需要满足的安全规则，判断所述业务访问申请是否符合安全规范。

3.根据权利要求1或2所述的方法，其特征在于，所述安全规则包括禁止访问、禁止部分端口访问、允许访问或者允许部分端口访问。

4.根据权利要求1所述的方法，其特征在于，根据第二访问关系控制矩阵和所述业务访问申请的源地址和目的地址，确定所述业务访问申请所要经过的防火墙以及对应的安全域，包括：

将所述业务访问申请的源地址和目的地址分别在第二访问关系控制矩阵的行和列中进行逐一匹配，从而在所述第二访问关系控制矩阵中定位出第二目标元素；

根据所述第二目标元素对应的防火墙和安全域信息，确定所述业务访问申请所要经过的防火墙以及对应的安全域。

5.根据权利要求1或4所述的方法，其特征在于，所述防火墙和安全域信息包括不经过防火墙、经过一组防火墙以及对应的安全域或者经过多组防火墙以及对应的安全域。

6.根据权利要求1所述的方法，其特征在于，根据所述业务访问申请的源地址、目的地址、端口、所要经过的防火墙以及对应的安全域信息，生成防火墙配置脚本，包括：

根据所述业务访问申请的源地址、目的地址、端口、所要经过的防火墙以及对应的安全域信息，并采用所述防火墙对应的脚本生成器，生成防火墙配置脚本；其中，所述脚本生成器中内置有配置基线。

7.根据权利要求1所述的方法，其特征在于，根据所述业务访问申请的源地址、目的地址、端口、所要经过的防火墙以及对应的安全域信息，生成防火墙配置脚本之后，还包括：

将所述防火墙配置脚本推送至所要经过的防火墙，以使所述防火墙执行所述防火墙配置脚本；

接收所述防火墙返回的执行过程和执行结果。

8.一种管理防火墙的装置，其特征在于，包括：

管理模块，用于根据第一访问关系控制矩阵和业务访问申请的源地址、目的地址和端口信息，判断所述业务访问申请是否符合安全规范；若是，则根据第二访问关系控制矩阵和所述业务访问申请的源地址和目的地址，确定所述业务访问申请所要经过的防火墙以及对应的安全域；

生成模块，用于根据所述业务访问申请的源地址、目的地址、端口、所要经过的防火墙以及对应的安全域信息，生成防火墙配置脚本；

其中，所述第一访问关系控制矩阵和所述第二访问关系控制矩阵中的行表示源地址集合，列表示目的地址集合，所述第一访问关系控制矩阵中的元素表示各个地址集合之间互访需要满足的安全规则，所述第二访问关系控制矩阵中的元素表示各个地址集合之间互访对应的防火墙和安全域信息。