基于防火墻決策圖的ACL優(yōu)化方法研究.pdf

1、防火墻是許多網絡和安全設備中的核心部件，是私有網絡和公共網絡之間的一道保護屏障。但隨著互聯網技術的迅猛發(fā)展，網絡環(huán)境越加復雜，安全需求等級逐步提升，防火墻的管理維護工作也更加困難:一方面，當防火墻規(guī)則配置錯誤時，容易引起惡意入侵內部網絡，或者合法通信進程被阻止，導致防火墻不能提供正常的安全服務;另一方面，隨著網絡安全問題日益嚴重，訪問控制列表（AccessControlList，簡稱ACL）中的規(guī)則不斷增多，進出網絡的每個數據包都需要根

2、據ACL規(guī)則逐條按順序地進行匹配和過濾，導致防火墻的性能大幅度降低。因此，防火墻ACL優(yōu)化研究已經成為熱點和難點。
　　本文在現有的研究基礎上，針對防火墻可能存在的配置錯誤問題，采用防火墻決策圖（FirewallDecisionDiagram，簡稱FDD）來進行檢測，因其擁有一致性、完整性等特性，能夠有效地檢測出所有的沖突規(guī)則與冗余規(guī)則。但該構造算法產生的FDD圖的存儲空間隨著規(guī)則的增多呈指數級增加，因此，本文提出一種改進的FDD

3、算法，通過合并圖中的同構節(jié)點，在有效檢測沖突規(guī)則與冗余規(guī)則的同時，降低FDD的存儲空間。實驗結果表明，改進的FDD構造算法能夠有效定位防火墻可能存在的配置錯誤問題，同時達到簡化FDD規(guī)模的目的，且隨著輸入規(guī)則數目的增多，優(yōu)化效果更加明顯。在最優(yōu)情況下，可減少近30％的輸出規(guī)則數目。
　　其次，針對防火墻的性能隨著ACL規(guī)模的擴大而降低的問題，本文在FDD基礎上，提出一種帶權重的防火墻決策圖（WeightedFirewallDeci

4、sionDiagram，簡稱WFDD），將規(guī)則集轉化為等價且規(guī)則間無關聯關系的WFDD結構，根據規(guī)則與數據包的匹配情況，計算每條規(guī)則的權重，從而進行規(guī)則順序的動態(tài)優(yōu)化，將與數據包匹配度較高的規(guī)則提前，匹配度較低的規(guī)則置后，使得優(yōu)化后的規(guī)則集能在較短時間內匹配更多數據包，提高防火墻的性能。實驗結果表明，與現有算法相比，基于WFDD的ACL優(yōu)化方法能完全消除規(guī)則間的關聯關系，將規(guī)則按照數據包匹配度降序排列，減少規(guī)則與數據包的匹配時間，優(yōu)化防