簡介：安博通持續保障安全策略的準確與合規
一年一度的HW行動就要開始了，防守方進行的諸多準備中，防火墻策略的梳理檢查和整改加固是重要的一項工作。
“防火墻策略管理”說起來容易做起來難，這項工作需要花費大量的人力和時間，在運營商行業尤其如此。原因在于以下幾個難點：
1、防火墻設備數量多、品牌多；
2、安全區域多，防火墻部署在不同區域的邊界；
3、安全策略多，核心防火墻有成百上千條策略；
4、策略涉及廣，一條安全策略可能經過多個區域、涉及多臺防火墻；
5、有些策略無據可查，隨著人員變更無人認領。
但是“防火墻策略管理”又是不可或缺的，怎么把復雜變得簡單？不妨來看看這場battle吧！
Round 1
某省運營商派出2名精兵強將，對兩臺核心防火墻的安全策略，進行梳理和有效性驗證。他們需要梳理出策略臺賬，整改其中存在的無效、寬松、配置錯誤等問題策略。
經過半個月時間，效果卻并不盡如人意。雖然2名“參賽選手”能力過硬，但面對黑黑屏幕上超過30萬行的策略代碼，還是難以完成。
Round 2
安博通派出自主研發的安全策略智能運維平臺，同樣對上述兩臺防火墻的安全策略進行梳理和驗證。
半個小時后，就給出了最終結果：除了清晰的策略臺賬外，還發現其中存在一定比例的問題策略甚至風險策略。運營商專家逐條核對后，確認梳理結果無誤。
兩臺防火墻共有近4000條策略，由于設備型號較陳舊，只能通過命令行形式梳理，而兩臺設備的命令行將近30萬行。在半個月內審計如此之多的內容，對人工方式來說是巨大的挑戰；但對防火墻策略管理產品卻輕而易舉，只需半小時即可完成。
要將半個月縮減為半小時，安博通的這三項能力必不可少：
1、跨廠商策略管理
為更好管理各類異構網絡安全設備的安全策略，平臺通過在線采集方式，定期抓取異構防火墻、路由交換、負載均衡、VPN等設備的策略配置文件和路由表信息。再通過歸一化方式，解析存儲到統一的安全策略模型中。最終實現各類訪問控制策略的集中展示、查詢、分析等相關功能，可兼容市面上95%以上的防火墻品牌。
因此，盡管兩臺防火墻型號陳舊，依然可以快速將30萬行命令行還原為安全策略。
2、策略風險評估
策略開通或變更時，極易產生風險配置和不合規問題。平臺預置大量的策略風險檢測規則，覆蓋配置不當、域間違規、高危端口開放等多個維度；根據安全域間訪問控制規則，設置區域間的訪問控制基線。針對安全策略的五元組信息進行合規性檢查，幫助運維人員最大限度減少策略配置帶來的安全風險。
通過預置規則發現策略中的問題策略和風險策略。在策略變更時，還可以提前進行風險評估，規避錯誤配置。
3、優化策略配置
防火墻由于日積月累、業務變更等原因形成了很多垃圾策略，防護效果隨之降低。平臺將配置文件中的安全策略與其他策略逐一比對分析，判斷相互之間的包含與被包含關系，發現冗余策略、隱藏策略、可合并策略和過期策略等問題策略；通過字段分析，發現空策略、含ANY策略等風險策略，作為運維人員策略清理和優化的依據。保證訪問控制規則數量最小化，提升設備運行效率。
清理問題策略，實現“策略清”，提升網絡安全等級。
除這三項能力之外，安博通安全策略智能運維平臺還通過策略變更自動化管理、攻擊面評估與收斂等功能，持續保障安全策略的準確與合規。
產品目前已服務上海移動、河北移動、青海移動、江西電信、北京電信、江蘇電信、湖北聯通等運營商行業客戶，并成功應用于政企、金融等行業，為千行百業持續創造網絡安全業務新體驗。
