导出PDF安全策略引擎
安全策略引擎通过网安互访矩阵可视化集中管理不同安全区之间的安全策略，并根据用户意图自动推荐安全策略，提升安全策略变更效率，使网络安全策略的开通与维护简单、高效。
为什么需要安全策略引擎
安全策略是一组用于保护网络的规则，它的作用是对通过设备的数据流进行检验，放行符合安全策略的合法流量，阻断非法流量，从而实现访问控制，保护网络免受“不信任”网络的攻击，同时允许两个网络之间进行合法通信。
防火墙的安全策略配置是运维工作中重要的一环，安全互访是TOP1变更场景，占平时运维工作的50%以上。随着业务量的增加，业务安全策略开通变得越来越复杂。
- 单防火墙安全策略数量巨大，防护关系难梳理，变更评审与实施耗时较长。
- 安全设备位置分散，多分区多个防火墙策略配置下发困难，容易有遗漏。
- 安全设备异构，不同厂商防火墙设备策略统一协同管控困难，安全设备三方适配成本高。
- 新业务上线提交策略开通工单后，查找工单中IP所属区域以及防火墙位置困难，往往需要人工维护网安互访矩阵。
什么是安全策略引擎
安全策略引擎可以通过网安互访矩阵快捷设置不同安全区之间的安全策略，端到端编排策略路径，将全网安全策略可视化。同时可以自动还原策略路径，自动推荐并下发满足用户意图的安全策略，提升安全策略变更效率，简化运维。
安全区
安全区是一个绑定了一个或多个物理接口或逻辑接口的逻辑实体，同一个安全区的接口下的网络具有相同的安全属性，因此同一安全区域内发生的数据流动被认为是不存在安全风险的，不需要通过策略进行管控；而不同安全区域下的网络之间缺省情况下是互相隔离的，可以通过配置源、目的安全区的安全策略对跨安全区的业务流量进行集中管控，无需对单个IP或网段的匹配条件进行逐个配置，大大降低了策略配置的复杂度。
通常情况下，可以根据业务之间互通流量是否需要通过防火墙进行隔离来划分安全区，例如：将不需要过墙可以直接互通的业务划分到同一个安全区，将需要过墙互通的业务划分到不同的安全区。
网安互访矩阵
网安互访矩阵是由多个安全区组成的N*N 矩阵，用于管理不同安全区之间的互访关系。支持以下功能：
NAT转换
为增强网络的安全性，安全区和外部网络通信时通常会用到NAT转换。NAT转换分为以下几种类型：
- DNAT：目的NAT，转换报文的目的IP地址，主要应用于公网用户访问私网服务的场景。
- SNAT：源NAT，转换报文的源IP地址，主要应用于私网用户访问公网的场景。
- BNAT：双向NAT，同时转换报文的源IP地址和目的IP地址。
NAT转换引起的IP地址变更会影响到安全策略对源、目的IP地址的校验，因此在策略路径编排时，需要设置设备的NAT转换方式，并根据转换方式在安全规范中设置相应的源、目的IP地址。
可以通过手动配置或自动还原的方式，在NAT登记表中记录所有NAT转换关系。
安全策略引擎关键能力
基于海量数据还原安全区子网划分，并通过网安互访矩阵以及获取的防火墙存量安全策略，可以在新业务上线时，自动检查用户安全意图的合规性和存量安全策略匹配度，并支持自动推荐符合用户安全意图的安全策略规则，提升安全策略变更效率，简化运维，同时支持三方集成，节省三方防火墙适配的资本支出。
意图策略生成
- 应用互访和安全防护统一抽象模型，自动分解安全互访意图，秒级定位设备，生成、验证对应的策略配置。
- 对存量、新增配置变更进行策略风险检查，实施风险保障。
互访矩阵编排
- 安全区互访关系可视。
- 对新上线与存量业务进行合规检查，满足安全基线。
- 支持多厂商层次化策略模板。
NAT策略的命中分析
- 支持分析新意图命中的NAT策略，并按命中的NAT做转换。
- 支持按NAT映射后的地址进行策略推荐。
安全策略引擎是如何工作的
安全策略工作原理
安全策略是由匹配条件和动作组成的控制规则，设备收到流量后，对流量的属性进行识别，并将流量的属性与安全策略的条件进行匹配。如果所有条件都符合，则此流量成功匹配安全策略。流量匹配安全策略后，设备将会执行安全策略的动作。
安全策略工作原理
-
如果动作为“允许”，则对流量进行如下处理：
- 如果没有配置内容安全检测，则允许流量通过。
- 如果配置内容安全检测，最终根据内容安全检测的结论来判断是否对流量进行放行。
- 如果动作为“禁止”，则禁止流量通过。
安全策略引擎工作流程
安全策略引擎推出基于业务意图的安全策略架构：
- 面向应用的安全策略闭环管理
基于应用业务多种场景意图，构建业务->配置多层映射逻辑，保障策略和业务变更意图的一致性。
- 安全策略管控析能力统一
基于网元和网络级安全策略的配置/日志建模，构建策略管控析核心计算分析引擎模块，支撑产品策略特性能力。
安全策略引擎工作流程
安全策略引擎有哪些应用场景
全新开通安全策略
在开局或未配置安全策略的使用场景中，需要全新设置并开通安全策略。
全新开通安全策略
可通过以下步骤开通安全策略：
- 设置安全区。
将需要统一管理的IP地址设置在同一个安全区内，例如将不需要过墙可以直接互通的业务划分到一个安全分区，需要过墙互通的业务划分到不同安全分区；或者将同一地域的业务划分到一个安全区，不同地域的业务划分到不同安全区。
- 创建网安互访矩阵。
根据安全区的互访需求创建网安互访矩阵。如果需要对一组安全区批量设置相同的安全策略，可以在矩阵中添加父安全区。父安全区的安全策略可以继承到所有子安全区。
- 设置策略路径。
通过选择实施安全策略的多个VAS的策略节点以及执行顺序来编排策略路径，也可以由系统自动还原策略路径。如果一个安全区对应多个防火墙设备时，这些设备将串行排列，即业务数据将会按照串行顺序流经防火墙，只有当所有设备状态正常，路径才可正常连接。
- 设置策略规范。
设置是否允许两个安全区之间的数据流通过。可以全部允许或禁止，也可以自定义设置检测范围，只允许或禁止部分IP地址或协议通过。
如果定义的整体安全规范不适用于个别IP地址或协议，可以单独设置例外细则进行定制。
存量设备合规检查
当现网已有存量的安全策略时，可以针对策略节点上的存量策略进行安全合规检查。
根据不同安全区之间的互访需求，制定互访原则，构建安全矩阵后可以使用安全规范对全网的安全策略进行校验，确认安全策略是否符合安全规范。
合规检查是将网安互访矩阵定义的安全策略与防火墙设备的安全策略进行对比，如果一致则合规，如果不一致则不合规。如果不合规，可以修改设备上的安全策略，也可以在矩阵中进行处理，处理后的不合规项将自动加入到例外细则里。
当安全规范存在自定义范围和例外细则时，安全策略判断原则如下：
安全规范 |
无自定义范围 |
有自定义范围 |
|---|---|---|
允许 |
默认允许场景 |
有自定义范围的允许场景 |
禁止 |
默认禁止场景 |
有自定义范围的禁止场景 |
NAT转换场景
因安全规范的制定依赖于源地址和目的地址，因此IP地址的变化也必然会影响到安全策略的检测。当安全区存在NAT转换时，需要根据转换规则设置相应的IP地址。
华为防火墙设备默认的安全策略和NAT处理顺序为：BNAT->安全策略->SNAT，详细流程如下图所示。
NAT转换场景处理流程
当存在NAT转换时IP地址设置规则如下：
因BNAT转换在安全策略检查之前，因此安全策略中的目的地址和源地址需要指定为NAT转换之后的地址。
源NAT转换在安全策略检查之后，因此安全策略中的源地址需要指定为NAT转换之前的地址。
例行监控
在网安互访矩阵视图中可以直观地查看任意两个安全区之间的安全策略。也可以在矩阵的概览信息中查看安全策略的总体情况，包括允许和禁止安全规范的数量、合规和不合规安全策略的数量，以及策略路径的数量。如果发现异常，可以直接点击进入查看详情并处理。
安全策略引擎有哪些优势
- 互访意图自动分解，免人工。
识别TOP6变更场景，自动分解安全策略，自动寻找安全设备位置。
- 互访矩阵自动分析，永不冲突。
- 三方VAS驱动动态加载，加载时间达天级。
内置思科、PA、FT等主流驱动，并支持三方设备动态加载。
效率提升
- 通过互访矩阵和策略意图达成分钟级业务开通，提升运维效率。
- 数据中心应用策略变更秒级定位设备，分钟级端到端策略自动部署，违规自动识别检测阻断。
- 应用运维效率提升10X倍，大幅降低成本。
- 应用策略安全风险合规警告，网络级/网元级风险识别准确性达100%，有效减少故障发生。
