防火墻策略優(yōu)化案例分析

1、防火墻策略優(yōu)化案例分析1、背景描述某銀行將上線一套新核心系統(tǒng)，預計FWSM的策略會新增加8W條，而當前 FWSM的已有策略已經(jīng)達到9W條。一旦新核心上線，F(xiàn)WSM將無法容納所有 安全策略，所以需要對現(xiàn)有9W條安全策略進行優(yōu)化2、防火墻策略優(yōu)化方法論防火墻策略優(yōu)化步驟防火墻安全基線及 大策略原則網(wǎng)絡組toolsoutput免為除is 避人刪錯3、防火墻策略現(xiàn)狀分析按照ACL和ACE的關系，分解成一對一和一（多）對多兩類，考慮到ACL優(yōu)化的對象是一對一和一（多）對多未命中ACL、deny策略、ANY大策略，部分 命中ACL記為命中ACL，不作為優(yōu)化的對象全型對命中ACL1743命中ACE1743未

2、命中ACL18074未命中ACE18074備注ACE=ACL一（多）對多28125200172043811ACL 大于ACE,d己ny略344134376總4迎。條虻E, 44條ACE命中訶林略220binDout兩個方| 口j各一條合計2029N69891980766261 J4、ANY大策略清理方法BSF防火墻SYSLOG服務器網(wǎng)絡組浜加明細年咯丞刪除大羊咯銀行運營Examp 1 已：大策略啟用1 ogging后,會在命中 時生成序號為1061。的日志，日志 中包含蓮接發(fā)起的I已端口，方向 等信息、Dec 11 2009 16:54:42: %ASA-6- 106100: access-l

3、ist outbound permittedtcp inside/192. 168. 192. 73(62122)- outside40/88. 22. 22. 22(9080)hit-ent 1 first hit5、防火墻前期策略優(yōu)化前后對比優(yōu)化過程中，刪除一對一、一（多）對多未命中的ACL,刪除deny策略和ANY 大策略，優(yōu)化后保留一對一、一（多）對多命中ACL，合計2024條ACL、26943 條ACE冬型命中ACL命中ACE未命中ACL未命中ACE優(yōu)化前后ACL數(shù)量對比優(yōu)化前 后ACE 數(shù)量對 比對一174317430093266 降低至 26943, 壓縮率 71. 1%:一（多

4、）對 多2812520000幻836降低至2024,壓d巳ny策略000。縮率9Q 73%ANY大策略0000合計202426943g06、CSM進一步策略優(yōu)化步驟模擬平安銀行現(xiàn)網(wǎng)中的FWSM，搭建DEMO，并進行基本配置-在DEMO中導入前期優(yōu)化后2039條訪問控制配置 在UCS上運行CSM軟件，并將FWSM加入CSM進行管理在CSM上分別用full和Preserve模式進行策略優(yōu)化提取優(yōu)化結(jié)果將優(yōu)化的結(jié)果在Demo上進行驗證7、CSM優(yōu)化結(jié)果統(tǒng)計ACL Optimization SummaryDevice:FWSM_BANKDeployment Job: admin_job_2011-08

5、-23 04_32_55_844ACLInterfacejDirection| BeforeAfterRe duction | TimeShadowedRedundantMergedDetail1 1inside | inboundj 8798595332%7852360302183Hl巳wACL Optimization SummaryDevice:FWSM_BAMKDeployment Job: admin J ob_2011-08-23 04 50 47 474ACLInterfaceDirectionBeforeAfterReductionTimeShadowedRedundantMergedDeta