(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111470766.2 (22)申请日 2021.12.0 3 (71)申请人 紫光云 （南京） 数字技 术有限公司 地址 211899 江苏省南京市浦口区江浦街 道浦滨路320号浦口科创广场科创总 部大厦B座17楼 (72)发明人 范生越　 (74)专利代理 机构 南京禾易知识产权代理有限 公司 32320 代理人 詹庆铷 (51)Int.Cl. H04L 9/40(2022.01) G06F 16/2455(2019.01) G06F 16/23(2019.01) (54)发明名称 一种防火墙对象策略规则优先级的实现方 法 (57)摘要 本发明提供一种防火墙对象策略规则优先 级的实现方法， 包括基于用户层， 获取包含安全 策略规则的目标对象策略， 并依据运营平台对目 标对象策略己身信息进行校验； 基于控制层的数 据库， 根据目标对象策略的基本信息得到该目标 对象策略安全 策略下的所有原来规则， 拼接成旧 规则集； 将获取的安全策略规和旧规则集进行合 并或替换后， 得到新规则集； 驱动层同步接收控 制层传输的旧规则集和新规则集， 以下发安全策 略规则适配于不同的防火墙设备， 并将结果反馈 至运营平台。 本发明利用对象策略规则编号自动 排序实现对象策略优先级的功能， 实现对象策略 优先级的功能， 从而相比人力用move方式操作对 象策略规则的方式， 具备更加智 能， 出错率低的 优点。 权利要求书2页 说明书5页 附图3页 CN 114205130 A 2022.03.18 CN 114205130 A 1.一种防火墙对象策略规则优先级的实现方法， 其特 征在于： 包括以下步骤： 第一步， 基于用户层， 获取包含安全策略规则的目标对象策略， 并依据运营平台对所述 目标对象策略己身信息进 行校验， 校验成功， 则顺序执行第二步， 反之则重新 获取目标对象 策略； 第二步， 基于控制层的数据库， 根据目标对象策略的基本信息得到该目标对象策略安 全策略下的所有原来 规则， 拼接成旧规则集； 将第一步获取的安全策略规和旧规则集进行合并或替换后， 按优先级级别从大到小排 序后得到新 规则集； 第三步， 驱动层将控制 层传递的j son报文转换成Netconf报文， 并同步接收控制 层传输 的旧规则集和新规则集， 以下发安全策略规则适配于不同的防火墙设备， 其中， 若配置下发 成功， 则， 删除驱动层的Redis报文缓存数据， 并将结果反馈至运营平 台； 若配置下发失败， 则， 从驱动层的Redis报文缓存数据中提取缓存报文， 并重新调用驱动层进行配置， 并将结 果反馈至运营平台。 2.根据权利要求1所述的一种防火墙对象策略规则优先级的实现方法， 其特征在于： 第 一步中， 所获取目标对象策略包含新增安全策略规则和更新安全策略规则两种安全策略规 则。 3.根据权利要求2所述的一种防火墙对象策略规则优先级的实现方法， 其特征在于： 当 获取包含新增安全策略规则的目标对象策略时， 第二 步包括： S2‑1， 基于控制层的数据库， 查询当前新增安全策略规则下 是否已有原来 规则： 首先， 若已有原来规则， 则将除此新增安全策略规则外的所有原来规则拼接成旧规则 集， 并将此旧规则集以及此新增安全策略规则合并为新规则集， 且以优先级级别从大到小 在所述新规则集内排序； 其次， 若当前新增安全策略规则下无原来规则， 则， 将此新增的安全策略规加入形成一 新规则集； S2‑2， 根据S2 ‑1中的得到的已完成排序的新规则集， 对所述控制层的数据库进行批量 更新； S2‑3， 将新规则集按照排序传递至驱动层， 并存Redis报文缓存数据。 4.根据权利要求2所述的一种防火墙对象策略规则优先级的实现方法， 其特征在于： 当 获取包含更新安全策略规则的目标对象策略时， 第二 步中， 需要基于控制层的数据库， 查询当前更新的安全策略规则下是否已有原来规则， 若已 有规则， 进一步进行是否更新优先级的判断， 若需要更新时， 将先创建一空规则集， 批量修 改数据库的优先级， 并按照优先级级别从大到小进行排序后， 将排序好的原来规则按照顺 序放入至所述空规则集， 且同时， 将更新的安全策略规则加入至空规则集形成新规则集， 将 新规则集按照排序传递至驱动层， 并存Redis报文缓存数据； 若不需要更新优先级 时， 则只 对数据库进行 更新， 结束； 反之， 基于控制层的数据库， 在查询当前更新的安全策略规则下无原来规则时， 结束更 新指令。 5.根据权利要求1所述的一种防火墙对象策略规则优先级的实现方法， 其特征在于： 第 三步中， 在驱动层接 收控制层传输的旧规则集和新规则集后， 下发安全策略规则适配于不权　利　要　求　书 1/2 页 2 CN 114205130 A 2同的防火墙设备时， 需要将旧规则集中的原来规则移除， 以新规则集中包含的新增或更新 的安全策略规则进行 下发。权　利　要　求　书 2/2 页 3 CN 114205130 A 3