防火墙策略收敛的困境：

　　“一个月只能收敛一条策略，

　　太影响防火墙性能了，我们不敢再开了！”

　　安全策略的配置是发挥防火墙防护作用的关键，精细化安全策略配置成为应对威胁的重要手段，而防火墙厂商自带的配置工具现已经无法满足防火墙策略管理的运维需求。

　　近日，一次技术论坛上，来自各行业的网络负责人纷纷描述了自己工作中的困境：

　　“我们的防火墙有50万条策略的限制，现在用满了，无效策略很多，但是我们不敢删。如果只是检查重复配置，我们人工可以搞定，但是还有很多场景需要实现，除了检测各种无效策略，还需要策略的收敛。我问过我们下属的机构，他们买过某国际产品，花了几十万，该产品是根据日志来收敛的，想收敛哪一条策略，就开启哪一条策略的日志，不能全开，因为开启日志非常影响防火墙性能，现在他们想收敛一条策略起码1个月，因此收敛了一条，就不敢再开了。”

　　“策略越积越多，不知道这条策略有没有命中，不敢随便删。业务部门告知他的业务下线了，我还是不敢删策略，万一有其他业务在用这条策略呢？”

　　“每次业务不通，需排查防火墙的策略是否开通，这个排查非常繁琐且耗时。希望有一个自服务平台，能提供给业务部门自主查询策略是否开通。”

　　“防火墙经常发生不应该有的deny流量，需要有工具帮我们列出被防火墙deny的通讯对，我们好交给业务部门去自查问题原因。”

　　等保2.0法规要求:

　　防火墙策略要实现精细化管理

　　图1 【等保2.0法规内容节选】

　　随着《网络安全法》出台，国家网络安全等级保护工作进入了2.0时代，其对防火墙策略访问控制的要求，综合起来主要有三个方面：宽泛策略必须收敛、无效策略必须删除和策略数量最小化，这对运维人员而言的确是一个不小的难题。

　　“有没有一种产品能帮我们解决这些问题，在不影响防火墙性能的情况下做到防火墙策略优化和收敛，实现精细化管理？”这是许多客户迫切需要解决的问题。

　　nCompass防火墙策略可视化平台

　　全新发布！

　　图2 【防火墙策略管理面临的挑战】

　　如何高效解决以上的客户难题？智维数据的技术团队认为： 如果用实际流量来匹配防火墙策略，就能做到完全不影响防火墙性能。而我们的核心产品——nCompass网络流量分析平台，就是通过全流量来统计所有通讯对，没有其他厂商能做到这一点，这正是智维数据的技术优势。

　　现在，智维数据nCompass防火墙策略可视化平台终于问世，是业内率先实现旁路流量与安全策略结合的技术产品。

　　图3【nCompass防火墙策略可视化平台界面展示】

　　以下我们通过几个场景来详解nCompass防火墙策略可视化平台的强大能力：

　　场景1：防火墙策略优化

　　由于系统管理人员变更、新增策略记录不完整、防火墙新旧更替等原因，许多防火墙策略建立的原因、用途变得不可追溯，导致许多企业的防火墙都缺乏安全策略的退出机制。

　　nCompass防火墙策略可视化平台可对防火墙策略逐条数据流进行统计分析，对存在安全风险的问题策略自动分析后生成报告。用户通过该报告能及时发现存在的问题策略并迅速进行相应优化。

　　图4【防火墙策略概况】

　　nCompass防火墙策略可视化平台提供一个全局视图，用户可快速了解每一个防火墙的策略与问题策略的概况，对每一个防火墙都会进行评分，并提供操作建议与操作风险，以此作为用户对该策略优化的依据。

　　图5【nCompass防火墙策略可视化平台优化详情界面】

　　nCompass防火墙策略可视化平台能发现以下类型的问题策略（如下图所示）：

　　图6 【nCompass防火墙策略可视化平台支持的策略管理问题类型】

　　场景2：定位威胁入口

　　以往，当系统遭遇攻击时，由于入口和防火墙众多，人工无法实现一一查询。现在，nCompass防火墙策略可视化平台基于实时采集的防火墙流量和策略配置，提供了IP查策略功能。可以协助安全部门及时通过灵活的检索规则，自动分析出该IP或会话从哪个防火墙进来，是哪条策略放行的。用户只需输入一个查询条件，就能够看到他所需要的全部信息，对存在攻击行为的IP作出相应的安全处理动作，简单快捷。

　　图7【nCompass防火墙策略可视化平台根据IP查询策略界面】

　　场景3 ：策略查询自服务

　　新上业务访问不了？

　　运维人员需要确认防火墙策略是否开通？

　　业务部门做服务器迁移？

　　需要获取与该业务防火墙有关的所有策略？

　　这些工作在此前往往会消耗运维人员大量时间，

　　令其叫苦不迭。

　　图8【nCompass防火墙策略可视化平台根据IP查询策略界面】

　　现在，nCompass防火墙策略可视化平台提供了策略查询自服务功能。只需输入源IP地址段和目的IP地址段，便能自动分析出该业务IP处在哪一个防火墙，是否有开通，以及相关策略是否命中。

　　场景4：异常跨区访问

　　分析异常的跨区访问，需要提供所有异常的数据流。用户可以通过nCompass防火墙策略可视化平台提供的Deny分析界面，专门统计分析流量到达防火墙，但是被防火墙deny的流量。

　　图9【nCompass防火墙策略可视化平台Deny分析界面】

　　也可以将表格数据导出给相关部门处理。帮助用户进行快速梳理，对异常跨区访问做统计分析。

　　场景5：防火墙变更

　　在防火墙更换时，通常需要将流量镜像到新的设备，并备份原有防火墙的配置，再做完整迁移。迁移完成之后，还需要按照业务需求进行测试。这样会存在以下问题：

　　配置迁移问题：在配置导入进新的设备后，无法确认这些配置的兼容性、完整性、正确性。

　　数据验证问题：在替换完成之后需要按照业务需求进行逐条测试，费时费力。

　　图10 【防火墙策略变更方案对比】

　　不同于繁琐又效率低的人工模式，nCompass防火墙策略可视化平台通过采集新、旧防火墙的实时流量和策略配置，可同步比对前后数据，使数据验证更高效、准确。减轻变更之后验证等繁杂工作内容，提高运维效率。

　　nCompass防火墙策略可视化平台：

　　简单高效超适配，防火墙性能零损伤

　　打造卓越用户体验！

　　nCompass防火墙策略可视化平台的问世，让防火墙配置和策略管理有了新的技术手段，帮助用户主动识别防火墙配置缺陷和漏洞，大幅提升了策略查询、合规检测、策略优化等常规工作的运营效率。

　　图11 【与传统产品对比，nCompass防火墙策略可视化平台让工作效率大幅提升】

　　使用nCompass防火墙策略可视化平台搭载底层网络流量分析平台，用一次工作时间完成以前无法想象的工作量级，为您和团队轻松实现防火墙策略优化和收敛，实现防火墙策略精细化管理。

　　试用过该产品的用户这样评价道：

　　“这个产品成熟度很高了。我们多个部门都反映这些功能很有价值。”

　　“这是防火墙策略查缺补漏的好工具，能很好的帮助到我们。”

　　“现在一次就能收敛所有防火墙策略，有了这些数据，我们还有很多场景可以深挖，我们将已实现的场景以自服务方式推送给各个部门，让更多人用到这个功能。”

　　nCompass防火墙策略可视化平台上手简单，能大幅提升工作效率，具备极好的兼容性与大多数防火墙轻松适配，欢迎体验！