需要体检的不只是你 还有你的墙
宣布时间 2019-09-05
定期体检是身体健康的保证，有助于找出隐藏的疾病，对疾病早发现早治疗......你可知，有一种非常重要的网络宁静设备像人一样需要定期做检查，它就是——防火墙！
想要防火墙高效稳定运行，定期“体检”必不行少！
“健康”尺度解读，人的健康状态有严格的衡量尺度，那防火墙的健康尺度又是什么呢？
众所周知，防火墙的事情原理是凭据预先配置的计谋控制规则，来决定允许或拒绝（deny or permit）数据包的进出。数据包匹配计谋控制规则存在优先顺序，一般是凭据由前到后进行顺序匹配。
然而，防火墙管理员在使用防火墙的过程中，只会凭据新增的业务需求，对防火墙计谋进行添加，却不敢轻易删减。随着计谋规则的日渐增多，防火墙就会泛起“健康问题”，即等保2.0中提到的“多余”和“无效”的计谋规则。
抖圈为赌而生网络宁静域流监控系统（FlowEye）产物团队，恒久致力于防火墙计谋问题的研究，并拥有一款防火墙计谋分析系统，该系统擅长检查防火墙计谋中存在的种种“疑难杂症”。主要包罗：
◆ 检查多余或无效计谋规则
多余或无效的计谋规则主要包罗计谋中存在的被笼罩、冗余、冲突、交叉、可合并、过期等计谋，这些“多余”“无效”的问题计谋会给防火墙造成较大的性能压力，而且存在一定的宁静隐患。
针对计谋中存在的“多余”“无效”计谋，防火墙计谋分析系统通过解析计谋规则文件，将计谋的源、目的、服务、行动和有效时间进行数字化处置，再依据计谋规则优先级，将数字化处置后的计谋进行全遍历计算，分析出计谋中存在的被笼罩、冗余、冲突、交叉、可合并和过期的计谋。
◆ 检查范围过大计谋和ANY计谋
范围过大和ANY计谋是指计谋中的源地址、目的地址、服务设置的范围凌驾了正常业务使用的范围，甚至将范围设置为ANY。无论是ANY计谋还是范围过大计谋，都可能给攻击者提供“钻空子”的机会。
针对该类问题，防火墙计谋分析系统通过解析用户的业务流量，将业务流量数据进行结构化处置，并将其存入数据库，然后将防火墙计谋与存储的业务流量数据进行模拟“流量过墙”，可以分析出范围设置过大的计谋，而且可展示ANY计谋里通过的具体业务流量，资助用户缩小计谋范围以及挣脱ANY计谋的困扰。
乐成应用案例
某全国性银行凭据监管单元要求，需要对网络中的防火墙计谋进行优化，清理防火墙中多余无效的计谋规则，保证计谋规则的最优化和最小化，在所有放行的计谋规则（源、目的、服务）中不能泛起有任何ANY的配置项。
针对该要求，使用抖圈为赌而生防火墙计谋分析系统进行计谋问题分析，部署方式示意图如下：
通过交换机将业务流量镜像至防火墙计谋分析系统，并将防火墙计谋规则配置文件导入至分析系统，分析系统经过一个完整业务周期的流量收罗，将计谋规则与业务流量进行匹配分析，可以得出计谋中存在的被笼罩计谋、冗余计谋、可合并计谋、交叉计谋、冲突计谋、过期计谋、活跃计谋、不活跃计谋、宽松计谋。
针对计谋规则存在的种种问题，分析系统可以给出具体的详细结果和明确处置建议，用户可凭据分析结果直接调整防火墙计谋。
? 被笼罩计谋
? 宽松计谋
防火墙计谋分析系统可以准确分析计谋规则存在的种种问题，协助用户对计谋规则进行优化，得到了该银行客户的一致认可，并已在全国进行了规模部署。
抖圈为赌而生防火墙计谋分析系统可以资助用户消除计谋配置隐患、降低计谋管理风险。通过对计谋间逻辑关系的静态分析，可发现计谋中存在的被笼罩、冗余、冲突、可合并、交叉和过期等多余无效计谋，还可结合用户业务流量对计谋的命中情况进行动态分析，能直观展示计谋的宽松水平和ANY计谋所命中的具体业务数据。目前，抖圈为赌而生防火墙计谋分析系统已支持抖圈为赌而生、网御星云、思科、华为、天融信、东软等十多家防火墙品牌的计谋解析，并广泛应用于政府、金融、电力、运营商、烟草、公检法等行业，并取得了良好的使用效果，得到了用户的一致好评。
想要防火墙高效稳定运行，定期“体检”必不行少！
“健康”尺度解读，人的健康状态有严格的衡量尺度，那防火墙的健康尺度又是什么呢？
国家公安部在今年宣布的等保2.0中做了论述：
摘自《GBT22239-2019信息宁静技术网络宁静品级� ；せ疽蟆�
众所周知，防火墙的事情原理是凭据预先配置的计谋控制规则，来决定允许或拒绝（deny or permit）数据包的进出。数据包匹配计谋控制规则存在优先顺序，一般是凭据由前到后进行顺序匹配。
然而，防火墙管理员在使用防火墙的过程中，只会凭据新增的业务需求，对防火墙计谋进行添加，却不敢轻易删减。随着计谋规则的日渐增多，防火墙就会泛起“健康问题”，即等保2.0中提到的“多余”和“无效”的计谋规则。
此外，管理员在添加计谋时，为了确保业务的正常运行，经常将源地址、目的地址和端口范围设置过大，甚至设置为any，给网络造成较大宁静隐患。因此，等保2.0里面明确要求“检查计谋规则的源地址、目的地址、端口和协议”，并确保规则范围的最小化。
抖圈为赌而生网络宁静域流监控系统（FlowEye）产物团队，恒久致力于防火墙计谋问题的研究，并拥有一款防火墙计谋分析系统，该系统擅长检查防火墙计谋中存在的种种“疑难杂症”。主要包罗：
◆ 检查多余或无效计谋规则
多余或无效的计谋规则主要包罗计谋中存在的被笼罩、冗余、冲突、交叉、可合并、过期等计谋，这些“多余”“无效”的问题计谋会给防火墙造成较大的性能压力，而且存在一定的宁静隐患。
针对计谋中存在的“多余”“无效”计谋，防火墙计谋分析系统通过解析计谋规则文件，将计谋的源、目的、服务、行动和有效时间进行数字化处置，再依据计谋规则优先级，将数字化处置后的计谋进行全遍历计算，分析出计谋中存在的被笼罩、冗余、冲突、交叉、可合并和过期的计谋。
◆ 检查范围过大计谋和ANY计谋
范围过大和ANY计谋是指计谋中的源地址、目的地址、服务设置的范围凌驾了正常业务使用的范围，甚至将范围设置为ANY。无论是ANY计谋还是范围过大计谋，都可能给攻击者提供“钻空子”的机会。
针对该类问题，防火墙计谋分析系统通过解析用户的业务流量，将业务流量数据进行结构化处置，并将其存入数据库，然后将防火墙计谋与存储的业务流量数据进行模拟“流量过墙”，可以分析出范围设置过大的计谋，而且可展示ANY计谋里通过的具体业务流量，资助用户缩小计谋范围以及挣脱ANY计谋的困扰。
乐成应用案例
某全国性银行凭据监管单元要求，需要对网络中的防火墙计谋进行优化，清理防火墙中多余无效的计谋规则，保证计谋规则的最优化和最小化，在所有放行的计谋规则（源、目的、服务）中不能泛起有任何ANY的配置项。
针对该要求，使用抖圈为赌而生防火墙计谋分析系统进行计谋问题分析，部署方式示意图如下：
通过交换机将业务流量镜像至防火墙计谋分析系统，并将防火墙计谋规则配置文件导入至分析系统，分析系统经过一个完整业务周期的流量收罗，将计谋规则与业务流量进行匹配分析，可以得出计谋中存在的被笼罩计谋、冗余计谋、可合并计谋、交叉计谋、冲突计谋、过期计谋、活跃计谋、不活跃计谋、宽松计谋。
针对计谋规则存在的种种问题，分析系统可以给出具体的详细结果和明确处置建议，用户可凭据分析结果直接调整防火墙计谋。
? 被笼罩计谋
? 宽松计谋
防火墙计谋分析系统可以准确分析计谋规则存在的种种问题，协助用户对计谋规则进行优化，得到了该银行客户的一致认可，并已在全国进行了规模部署。
抖圈为赌而生防火墙计谋分析系统可以资助用户消除计谋配置隐患、降低计谋管理风险。通过对计谋间逻辑关系的静态分析，可发现计谋中存在的被笼罩、冗余、冲突、可合并、交叉和过期等多余无效计谋，还可结合用户业务流量对计谋的命中情况进行动态分析，能直观展示计谋的宽松水平和ANY计谋所命中的具体业务数据。目前，抖圈为赌而生防火墙计谋分析系统已支持抖圈为赌而生、网御星云、思科、华为、天融信、东软等十多家防火墙品牌的计谋解析，并广泛应用于政府、金融、电力、运营商、烟草、公检法等行业，并取得了良好的使用效果，得到了用户的一致好评。
京公网安备11010802024551号