(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111467457.X (22)申请日 2021.12.0 3 (71)申请人 北京天融信网络安全技 术有限公司 地址 100000 北京市海淀区上地 东路1号院 3号楼四层 申请人 北京天融信科技有限公司 　 北京天融信软件 有限公司 (72)发明人 王洋　 (74)专利代理 机构 北京超凡宏宇专利代理事务 所(特殊普通 合伙) 11463 代理人 李飞 (51)Int.Cl. H04L 9/40(2022.01) (54)发明名称 安全策略配置方法、 装置、 电子设备及存储 介质 (57)摘要 本申请提供一种安全策略配置方法、 装置、 电子设备及存储介质， 涉及网络安全技术领域。 该方法包括： 基于虚拟防火墙中的流量信息， 确 定虚拟防火墙对应的流量通信拓扑； 基于流量通 信拓扑， 获取虚拟防火墙与虚拟 机之间的流通信 息表， 流通信息表包括多个流量信息在虚拟防火 墙与虚拟 机之间流通时的流通信息； 基于流通信 息表， 对多个安全策略进行配置， 以将每个安全 策略发送到对应的虚拟防火墙中。 本申请通过对 虚拟防火墙的流量通信拓扑进行绘制， 在流量通 信拓扑的基础上获取虚拟防火墙与虚拟机之间 的流通信息表， 从而能够根据流通信息表对多个 安全策略进行配置， 能够将每个安全 策略发送到 对应的虚拟防火墙中， 有效提高安全 策略的配置 效率和执 行效率。 权利要求书2页 说明书12页 附图3页 CN 114172718 A 2022.03.11 CN 114172718 A 1.一种安全策略配置方法， 其特 征在于， 包括： 基于虚拟防火墙中的流 量信息， 确定所述虚拟防火墙对应的流 量通信拓扑； 基于所述流量通信拓扑， 获取所述虚拟防火墙与虚拟机之间的流通信息表， 所述流通 信息表包括多个所述 流量信息在所述虚拟防火墙与所述虚拟机之间流 通时的流 通信息； 基于所述流通信息表， 对多个安全策略进行配置， 以将每个所述安全策略发送到对应 的所述虚拟防火墙中。 2.根据权利要求1所述的方法， 其特征在于， 所述基于虚拟防火墙中的流量信息， 确定 所述虚拟防火墙对应的流 量通信拓扑， 包括： 获取所述虚拟防火墙中产生的流 量信息； 对所述流量信 息进行分析， 得到报文数据， 其中， 所述报文数据中包括所述流量信 息的 源网络地址信息、 目标网络地址信息、 源端口信息、 目标端口信息和流量大小信息中的至少 一种； 基于所述报文数据， 绘制对应的所述 流量通信拓扑。 3.根据权利要求1所述的方法， 其特征在于， 所述基于所述流量通信拓扑， 获取所述虚 拟防火墙与虚拟机之间的流 通信息表， 包括： 基于所述流量通信 拓扑， 获取所述虚拟防火墙对应的多个所述虚拟机之间的多个通信 关系； 基于所述通信关系， 获取所述流量信 息在对应的所述虚拟防火墙与虚拟机之间流通 时 的所述流通信息， 多个所述 流通信息形成所述 流通信息表。 4.根据权利要求1所述的方法， 其特征在于， 所述基于所述流通信息表， 对多个安全策 略进行配置， 以将每 个所述安全策略发送到对应的所述虚拟防火墙中， 包括： 确定需要 进行配置的多个所述 安全策略； 基于所述 流通信息表， 对多个所述 安全策略进行分类， 得到策略分类信息； 基于所述策略分类信息将每 个所述安全策略发送到对应的所述虚拟防火墙中。 5.根据权利要求1所述的方法， 其特 征在于， 所述方法还 包括： 在所述流通信 息表中的任意一条流通信 息的时间信 息超过预设阈值 时， 基于所述流通 信息匹配对应的所述虚拟机， 得到匹配结果； 基于所述匹配结果对所述 安全策略的策略状态进行调整。 6.根据权利要求5所述的方法， 其特征在于， 所述基于所述匹配结果对所述安全策略的 策略状态进行调整， 包括： 当所述匹配结果为所述流通信 息匹配到对应的所述虚拟机时， 则判定所述虚拟机状态 正常， 保持所述虚拟机对应的所述 安全策略的策略状态； 当所述匹配结果为所述流通信 息未匹配到对应的所述虚拟机时， 则判定所述虚拟机状 态异常， 将所述 安全策略的所述策略状态设置为无法配置 。 7.一种安全策略配置装置， 其特 征在于， 所述装置包括： 确定模块， 用于基于虚拟防火墙中的流量信息， 确定所述虚拟防火墙对应的流量通信 拓扑； 获取模块， 用于基于所述流量通信拓扑， 获取所述虚拟防火墙与虚拟机之间的流通信 息表， 所述流通信息表包括多个所述流量信息在所述虚拟防火墙与所述虚拟机之 间流通时权　利　要　求　书 1/2 页 2 CN 114172718 A 2的流通信息； 配置模块， 用于基于所述流通信息表， 对多个安全策略进行配置， 以将每个所述安全策 略发送到对应的所述虚拟防火墙中。 8.根据权利要求7 所述的装置， 其特 征在于， 所述装置还 包括： 匹配模块， 用于在所述流通信息表中的任意一条流通信息的时间信息超过预设阈值 时， 基于所述 流通信息匹配对应的所述虚拟机， 得到匹配结果； 调整模块， 用于基于所述匹配结果对所述 安全策略的策略状态进行调整。 9.一种电子设备， 其特征在于， 所述电子设备包括存储器和处理器， 所述存储器中存储 有程序指 令， 所述处理器运行所述程序指 令时， 执行权利要求 1‑6中任一项 所述方法中的步 骤。 10.一种计算机可读取存储介质， 其特征在于， 所述可读取存储介质中存储有计算机程 序指令， 所述计算机程序指 令被一处理器运行时， 执行权利要求 1‑6任一项所述方法中的步 骤。权　利　要　求　书 2/2 页 3 CN 114172718 A 3