(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210968815.3 (22)申请日 2022.08.12 (71)申请人 华能澜沧江水电股份有限公司 地址 650000 云南省昆明市官渡区世纪城 中路1号 申请人 北京威努特技 术有限公司 (72)发明人 钟智　杨劲松　蒋红刚　石凌志　 陈映喜　张李小璟　平金伟　 杨定祥　皮跃银　张俊航　龚登位　 王远洪　杨磊　赵晓嘉　刘靖明　 叶钊函　崔光云　逄晓东　马春立　 田尔旋　 (74)专利代理 机构 苏州国卓知识产权代理有限 公司 323 31 专利代理师 金伟(51)Int.Cl. H04L 9/40(2022.01) (54)发明名称 一种基于分布式防火墙安全策略智能管理 的方法及系统 (57)摘要 本发明公开一种基于分布式防火墙安全策 略智能管 理的方法及系统。 所述系统包括安全管 理中心、 边界防火墙和主机防火墙， 安全管理中 心设置在生产管理网中， 主机防火墙 设置在安全 监控专网中， 每个边界防火墙设置在安全管理中 心与每个安全监控专网的链路上， 每个边界防火 墙连接一个安全监控专网， 在每个安全监控专网 中包括交换机和多个主机防火墙， 边界防火墙连 接交换机， 交换机连接每个主机防火墙。 本发明 通过安全策略的智能管理技术， 解决安全策略的 自动生成、 联动生效、 精简优化、 丰富完善等难 题， 实现基于安全策略生命周期管理的安全运 营， 大大简化了安全管理员的操作过程。 权利要求书2页 说明书7页 附图3页 CN 115361189 A 2022.11.18 CN 115361189 A 1.一种基于分布式防火墙安全策略智能管理系统， 其特征在于， 包括安全管理中心、 边 界防火墙和主机防火墙， 安全管理中心设置在生产管理网中， 主机防火墙设置在安全监控 专网中， 每个边界防火墙设置在安全管理中心与每个安全监控专网的链路上， 每个边界防 火墙连接一个安全监控专网， 在每个安全监控专网中包括交换机和多个主机防火墙， 边界 防火墙连接交换机， 交换机连接每 个主机防火墙。 2.如权利要求1所述的一种基于分布式防火墙安全策略智能管理系统， 其特征在于， 安 全管理中心用于集中管理分布式部署的边界防火墙和主机防火墙的服务程序； 边界防火墙 是一个由软件和硬件设备组合而成、 在内部网和外部网之间、 专用网与公共网之间的边界 上构造的保护屏障； 主机防火墙是在工控主机上安装的用于管理和控制主机操作系统防火 墙的代理软件， 安全管理中心通过与主机防火墙交 互来控制主机操作系统防火墙的配置 。 3.一种基于分布式防火墙安全策略智能管理的方法， 其特 征在于， 包括： 策略自动生成： 当工控主机接入到安全监控专网时， 主机防火墙开启网络互联关系扫 描并上报至边界防火墙， 边界防火墙学习网络流量并上报至安全管理中心， 安全管理中心 分析主机网络通讯矩阵和边界网络通讯矩阵， 生成对应的边界防火墙安全通讯策略和主机 安全通讯策略， 将边界防火墙安全通讯策略下发至边界防火墙， 将主机安全通讯策略下发 至主机防火墙； 策略联动生效： 若边界防火墙发现某内网主机连接非法地址， 则将威胁情报通知安全 管理中心， 安全管理中心下发给主机防火墙阻断该主机上对应进程的所有对外通信； 若主 机防火墙发现本机出现异常， 则上报安全管理中心， 安全管理中心通过其他主机防火墙和 边界防火墙共同进行安全封堵； 策略精简优化： 定期针对防火墙 检测对象和策略进行优化检查分析； 策略丰富完善： 安全管理中心建立从生产 管理网到安全监测网之间网络连接及进程访 问的控制策略， 并以此作为运行基线下发到边界防火墙和主机防火墙， 边界防火墙和主机 防火墙依据策略基线进行合规检查， 若不合规则向安全管理中心上报告警信息， 安全管理 中心将告警对象添加到访问控制策略中， 通过告警确认自动生成策略的方式丰富和完善防 火墙安全策略的运行。 4.如权利要求1所述的一种基于分布式防火墙安全策略智能管理 的方法， 其特征在于， 安全管理中心的策略自动生成技术， 具体为通过学习现网中真实流量信息与 互联关系， 自 动梳理出防火墙策略建议， 具备根据源地址对象、 目的地址对象、 时间过滤条件梳理策略的 能力， 同时可将策略建议转换成策略配置， 便于策略的维护和添加， 根据预置的可信进程及 可信互联白名单进行确认， 生成最终的主机网络安全策略并下发到主机终端 进行控制。 5.如权利要求4所述的一种基于分布式防火墙安全策略智能管理 的方法， 其特征在于， 主机防火墙和网络防火墙在学习时互相 验证， 网络防火墙规则的源IP、 目的IP、 源端口、 目 的端口、 协议在管理中心能够相应映射到主机上的进程。 6.如权利要求3所述的一种基于分布式防火墙安全策略智能管理 的方法， 其特征在于， 在策略联动生效中， 边界防火墙根据威胁情报， 如果 发现某台内网主机连接非法地址， 第一 时间通知管理中心， 管理中心下发策略给主机防火墙阻断该主机上对应进程的所有对外通 信。 7.如权利要求6所述的一种基于分布式防火墙安全策略智能管理 的方法， 其特征在于，权　利　要　求　书 1/2 页 2 CN 115361189 A 2安全管理中心通知其 他所有主机， 检查对应的进程， 统一进行封锁。 8.如权利要求3所述的一种基于分布式防火墙安全策略智能管理 的方法， 其特征在于， 如果主机防火墙发现本机流量异常或会话异常， 应确定进程信息， 以及 源和目的端口信息， 上报安全 管理中心； 安全管理中心 通知其他主机防火墙和边界防火墙， 一起进 行封堵， 避免 危险扩散 。 9.如权利要求3所述的一种基于分布式防火墙安全策略智能管理 的方法， 其特征在于， 定期针对防火墙检测对象和策略进 行优化检查分析， 梳理出各类空对象、 未被应用对象、 未 被应用策略， 根据分析 结果再对策略进行精简和优化调整。 10.一种计算机存 储介质， 其特 征在于， 包括： 至少一个存 储器和至少一个处 理器； 存储器用于存 储一个或多个程序指令； 处理器， 用于运行一个或多个程序指令， 用以执行如权利要求3 ‑9任一项所述的一种基 于分布式防火墙安全策略智能管理的方法。权　利　要　求　书 2/2 页 3 CN 115361189 A 3