一种前置拦截与配置核验的防火墙闭环管理方法及系统与流程

本发明涉及网络通信与网络安全，尤其涉及一种前置拦截与配置核验的防火墙闭环管理方法及系统。

背景技术：

1、随着企业网络边界持续扩展，防火墙策略的自动化运维已成为保障网络安全的关键环节。当前业界主要存在两类实现路径：一类是基于开源脚本或简易运维平台，通过工单解析完成批量指令下发，但仅能在策略上线后进行风险扫描，不具备前置拦截能力；另一类是防火墙厂商提供的原生管理系统，虽支持基础配置下发与简单冲突检测，但仅适配自有设备，且未建立独立的工单合规审批流程。

2、上述方案在实际应用中存在明显短板。现有系统缺乏工单前置拦截机制，any全通、跨域越权等违规策略可直接提交入库，只能依赖事后整改，安全风险突出。合规管控环节薄弱，缺少风险分级展示及强制审核节点，高危权限容易漏检，难以满足金融级合规要求。配置下发后缺少有效核验，系统仅推送配置指令而不登录设备比对在线策略，无法及时发现配置失效或丢失问题。此外，校验、下发、日志分属不同系统，流程割裂导致审计取证繁琐，难以形成管理闭环。加之多设备兼容性差，原厂平台封闭，第三方工具需人工维护大量厂商命令模板，运维成本居高不下。

3、现有方案实质上仅简化了人工下发操作，缺少从源头合规拦截、设备配置核验到审计验收的一体化闭环，难以兼顾运维效率与金融级安全管控需求。因此，亟需提供一种技术方案解决上述问题。

技术实现思路

1、为解决上述技术问题，本发明提供了一种前置拦截与配置核验的防火墙闭环管理方法及系统。

2、第一方面，本发明提供一种前置拦截与配置核验的防火墙闭环管理方法，该方法的技术方案如下：

3、调取网络资产拓扑域数据，若识别防火墙策略工单中包含any全开放规则条目或跨业务域越权条目，则拦截所述防火墙策略工单并反馈拦截结果，根据所述any全开放规则条目、所述跨业务域越权条目以及所述拦截结果生成拦截记录；

4、对通过前置拦截的所述防火墙策略工单，调取安全风险规则知识库识别风险权限，对识别出的风险项进行分级展示，并在合规审核通过后允许所述防火墙策略工单进入策略生成环节，生成合规检测记录；

5、读取所述防火墙策略工单中的标准字段，匹配多厂商防火墙指令模板库，转换为适配目标防火墙设备的策略指令，将所述策略指令推送至所述目标防火墙设备执行下发，生成策略转换记录和下发执行记录；

6、下发完成后，登录所述目标防火墙设备读取当前在线运行策略，将所述在线运行策略与所述策略指令进行逐条比对，记录比对异常的异常日志并告警，生成设备核验记录；

7、将所述拦截记录、所述合规检测记录、所述策略转换记录、所述下发执行记录和所述设备核验记录推送至审计平台存储，并根据所述拦截记录、所述合规检测记录、所述策略转换记录、所述下发执行记录和所述设备核验记录生成策略变更验收报告、风险策略清单和执行记录。

8、本发明的一种前置拦截与配置核验的防火墙闭环管理方法的有益效果如下：

9、本发明的方法通过调取网络资产拓扑域数据对防火墙策略工单进行前置拦截，识别并阻断any全开放规则条目与跨业务域越权条目，同时调取安全风险规则知识库对风险权限进行分级展示与强制合规审核，并基于多厂商防火墙指令模板库完成策略指令转换与下发，下发完成后登录目标防火墙设备逐条比对在线运行策略，最终将各类记录统一推送至审计平台存储并生成验收报告，解决了违规策略缺乏前置拦截、合规审核薄弱、配置下发后缺少核验、审计取证困难及多厂商兼容性差的问题，实现了防火墙策略从提交到验收的全流程管控，提升了运维效率与安全管控水平。

10、在上述方案的基础上，本发明的一种前置拦截与配置核验的防火墙闭环管理方法还可以做如下改进。

11、在一种可选的方式中，在拦截所述防火墙策略工单的步骤之后，还包括：

12、根据所述any全开放规则条目或所述跨业务域越权条目确定违规原因，将所述违规原因标注于所述拦截记录中并反馈给提交终端。

13、采用上述可选方式的有益效果为：进一步在拦截防火墙策略工单后，根据any全开放规则条目或跨业务域越权条目确定违规原因，将违规原因标注于拦截记录并反馈给提交终端，使提交人员明确知晓策略被拦截的具体缘由，便于快速定位问题并进行针对性修改，减少重复提交次数，缩短工单处理周期。

14、在一种可选的方式中，所述合规审核为强制必经审核节点；所述防火墙策略工单未通过所述合规审核时，禁止进入策略生成环节；所述合规审核通过为安全审核人员对所述风险项完成风险确认并审批通过。

15、采用上述可选方式的有益效果为：进一步明确合规审核为强制必经节点，防火墙策略工单未通过审核时禁止进入策略生成环节，由安全审核人员对风险项完成确认与审批，避免高危权限绕过审核直接下发，强化策略变更的安全管控力度，满足金融级合规管理要求。

16、在一种可选的方式中，对识别出的风险项进行分级展示的步骤，包括：

17、将识别出的所述风险项按照高安全风险等级、中安全风险等级和低安全风险等级进行可视化分级高亮展示；其中，在所述合规审核通过之前，所述风险项保持所述分级展示状态。

18、采用上述可选方式的有益效果为：进一步将识别出的风险项按照高、中、低三个安全风险等级进行可视化分级高亮展示，并在合规审核通过前持续保持展示状态，使审核人员直观区分不同等级的风险权限，优先关注高危条目，提升审核准确性与处理效率。

19、在一种可选的方式中，所述多厂商防火墙指令模板库存储有多种品牌防火墙分别对应的策略模板；转换为适配目标防火墙设备的策略指令时，根据所述目标防火墙设备的厂商信息从所述多厂商防火墙指令模板库中匹配对应的策略模板进行转换。

20、采用上述可选方式的有益效果为：进一步明确多厂商防火墙指令模板库存储多种品牌防火墙分别对应的策略模板，在转换策略指令时依据目标防火墙设备的厂商信息自动匹配对应模板，实现对不同厂商设备的统一适配，降低人工维护模板的成本，提升策略转换的准确性与兼容性。

21、在一种可选的方式中，登录所述目标防火墙设备读取当前在线运行策略的步骤，包括：

22、下发完成后自动建立与所述目标防火墙设备的设备登录会话，通过所述设备登录会话读取所述目标防火墙设备的所述当前在线运行策略。

23、采用上述可选方式的有益效果为：进一步在策略指令下发完成后自动建立与目标防火墙设备的登录会话，通过会话直接读取当前在线运行策略，避免人工逐台登录设备的繁琐操作，减少遗漏风险，为后续逐条比对提供准确的设备实际配置数据。

24、在一种可选的方式中，将所述在线运行策略与所述策略指令进行逐条比对时，若比对出所述目标防火墙设备的在线运行策略中存在策略丢失异常、语法报错异常或配置未生效异常，则记录异常日志并告警；

25、其中，所述异常日志包含所述策略丢失异常、所述语法报错异常或所述配置未生效异常对应的异常信息；所述设备核验记录中包含所述异常日志。

26、采用上述可选方式的有益效果为：进一步在逐条比对过程中识别策略丢失、语法报错或配置未生效等异常，记录异常日志并告警，异常日志包含具体异常信息并纳入设备核验记录，帮助运维人员及时发现下发失败或配置偏差，准确定位问题类型，保障防火墙策略在目标设备上的准确落地。

27、第二方面，本发明提供一种前置拦截与配置核验的防火墙闭环管理系统，该系统的技术方案如下：

28、拦截模块，用于调取网络资产拓扑域数据，若识别防火墙策略工单中包含any全开放规则条目或跨业务域越权条目，则拦截所述防火墙策略工单并反馈拦截结果，根据所述any全开放规则条目、所述跨业务域越权条目以及所述拦截结果生成拦截记录；

29、检测模块，用于对通过前置拦截的所述防火墙策略工单，调取安全风险规则知识库识别风险权限，对识别出的风险项进行分级展示，并在合规审核通过后允许所述防火墙策略工单进入策略生成环节，生成合规检测记录；

30、下发模块，用于读取所述防火墙策略工单中的标准字段，匹配多厂商防火墙指令模板库，转换为适配目标防火墙设备的策略指令，将所述策略指令推送至所述目标防火墙设备执行下发，生成策略转换记录和下发执行记录；

31、生成模块，用于下发完成后，登录所述目标防火墙设备读取当前在线运行策略，将所述在线运行策略与所述策略指令进行逐条比对，记录比对异常的异常日志并告警，生成设备核验记录；

32、管理模块，用于将所述拦截记录、所述合规检测记录、所述策略转换记录、所述下发执行记录和所述设备核验记录推送至审计平台存储，并根据所述拦截记录、所述合规检测记录、所述策略转换记录、所述下发执行记录和所述设备核验记录生成策略变更验收报告、风险策略清单和执行记录。

33、本发明的一种前置拦截与配置核验的防火墙闭环管理系统的有益效果如下：

34、本发明的系统通过调取网络资产拓扑域数据对防火墙策略工单进行前置拦截，识别并阻断any全开放规则条目与跨业务域越权条目，同时调取安全风险规则知识库对风险权限进行分级展示与强制合规审核，并基于多厂商防火墙指令模板库完成策略指令转换与下发，下发完成后登录目标防火墙设备逐条比对在线运行策略，最终将各类记录统一推送至审计平台存储并生成验收报告，解决了违规策略缺乏前置拦截、合规审核薄弱、配置下发后缺少核验、审计取证困难及多厂商兼容性差的问题，实现了防火墙策略从提交到验收的全流程管控，提升了运维效率与安全管控水平。

35、第三方面，本发明的一种电子设备的技术方案如下：

36、包括存储器、处理器及存储在所述存储器上并在所述处理器上运行的程序，所述处理器执行所述程序时实现如本发明的前置拦截与配置核验的防火墙闭环管理方法的步骤。

37、第四方面，本发明提供的一种计算机可读存储介质的技术方案如下：

38、计算机可读存储介质中存储有指令，当计算机可读存储介质读取所述指令时，使所述计算机可读存储介质执行如本发明的前置拦截与配置核验的防火墙闭环管理方法的步骤。

39、上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。