防火墙策略优化案例分析

1、防火墙策略优化案例分析1、背景描述某银行将上线一套新核心系统，预计FWSM的策略会新增加8W条，而当前 FWSM的已有策略已经达到9W条。一旦新核心上线，FWSM将无法容纳所有 安全策略，所以需要对现有9W条安全策略进行优化2、防火墙策略优化方法论防火墙策略优化步骤防火墙安全基线及 大策略原则网络组toolsoutput免为除is 避人删错3、防火墙策略现状分析按照ACL和ACE的关系，分解成一对一和一（多）对多两类，考虑到ACL优化的对象是一对一和一（多）对多未命中ACL、deny策略、ANY大策略，部分 命中ACL记为命中ACL，不作为优化的对象全型对命中ACL1743命中ACE1743未

2、命中ACL18074未命中ACE18074备注ACE=ACL一（多）对多28125200172043811ACL 大于ACE,d己ny略344134376总4迎。条虻E, 44条ACE命中诃林略220binDout两个方| 口j各一条合计2029N69891980766261 J4、ANY大策略清理方法BSF防火墙SYSLOG服务器网络组浜加明细年咯丞删除大羊咯银行运营Examp 1 已：大策略启用1 ogging后,会在命中 时生成序号为1061。的日志，日志 中包含莲接发起的I已端口，方向 等信息、Dec 11 2009 16:54:42: %ASA-6- 106100: access-l

3、ist outbound permittedtcp inside/192. 168. 192. 73(62122)- outside40/88. 22. 22. 22(9080)hit-ent 1 first hit5、防火墙前期策略优化前后对比优化过程中，删除一对一、一（多）对多未命中的ACL,删除deny策略和ANY 大策略，优化后保留一对一、一（多）对多命中ACL，合计2024条ACL、26943 条ACE冬型命中ACL命中ACE未命中ACL未命中ACE优化前后ACL数量对比优化前 后ACE 数量对 比对一174317430093266 降低至 26943, 压缩率 71. 1%:一（多

4、）对 多2812520000幻836降低至2024,压d巳ny策略000。缩率9Q 73%ANY大策略0000合计202426943g06、CSM进一步策略优化步骤模拟平安银行现网中的FWSM，搭建DEMO，并进行基本配置-在DEMO中导入前期优化后2039条访问控制配置 在UCS上运行CSM软件，并将FWSM加入CSM进行管理在CSM上分别用full和Preserve模式进行策略优化提取优化结果将优化的结果在Demo上进行验证7、CSM优化结果统计ACL Optimization SummaryDevice:FWSM_BANKDeployment Job: admin_job_2011-08

5、-23 04_32_55_844ACLInterfacejDirection| BeforeAfterRe duction | TimeShadowedRedundantMergedDetail1 1inside | inboundj 8798595332%7852360302183Hl巳wACL Optimization SummaryDevice:FWSM_BAMKDeployment Job: admin J ob_2011-08-23 04 50 47 474ACLInterfaceDirectionBeforeAfterReductionTimeShadowedRedundantMergedDeta