[论文解读] Aggregating and Deploying Network Access Control Policies

Joaquín García-Alfaro, Frédéric Cuppens+1 more|ArXiv.org|Mar 5, 2008

Access Control and Trust参考文献 8被引用 10

一句话总结

本文提出了一种两阶段框架，用于在分布式防火墙之间聚合和部署一致的网络访问控制策略。首先，通过形式化聚合机制将现有本地防火墙规则整合为全局一致的策略；随后，应用策略重写过程消除冗余和遮蔽规则，确保在整个网络基础设施中实现最优且无冲突的规则部署。

ABSTRACT

The existence of errors or inconsistencies in the configuration of security components, such as filtering routers and/or firewalls, may lead to weak access control policies -- potentially easy to be evaded by unauthorized parties. We present in this paper a proposal to create, manage, and deploy consistent policies in those components in an efficient way. To do so, we combine two main approaches. The first approach is the use of an aggregation mechanism that yields consistent configurations or signals inconsistencies. Through this mechanism we can fold existing policies of a given system and create a consistent and global set of access control rules -- easy to maintain and manage by using a single syntax. The second approach is the use of a refinement mechanism that guarantees the proper deployment of such a global set of rules into the system, yet free of inconsistencies.

研究动机与目标

• 解决分布式防火墙配置中的不一致性和冗余问题，这些问题是网络安全性的重要威胁。
• 使管理员能够管理由现有本地配置派生出的统一、一致的全局策略，而无需从头开始重写。
• 提供一种系统化方法，用于检测并移除防火墙内部的异常情况，如冗余规则和被遮蔽的规则。
• 确保访问控制规则在多个防火墙和网络区域之间正确且一致地部署。
• 通过提供整个访问控制策略的全局视图，支持维护和故障排除。

提出的方法

• 聚合机制将所有本地防火墙规则整合为单一全局策略，确保组件间的一致性。
• 采用形式化规则表示，其中每条规则定义为 $ R_i: \{cnd_i\} \rightarrow decision_i $，条件包括协议、源地址、目标地址和端口。
• 策略重写过程使用三个核心函数：排除、冗余检测和规则重写，用于检测并移除冗余和被遮蔽的规则。
• 排除函数计算两个规则条件属性之间的集合差，生成一个捕获非重叠部分的新规则。
• testRedundancy 函数检查某条规则的决策是否被另一条规则所包含，若是则将其标记为冗余。
• 策略重写函数迭代处理规则集，以消除冗余和遮蔽现象，生成最小化且一致的规则集。

实验结果

研究问题

• RQ1 如何将现有、分散的防火墙配置聚合为单一、一致的全局访问控制策略？
• RQ2 何种机制能够检测并消除防火墙策略中的冗余和被遮蔽规则？
• RQ3 在策略部署过程中，如何解决防火墙之间的不一致性和冲突？
• RQ4 何种形式化技术可确保重写后的策略在语义上与原始策略等价，同时实现优化？
• RQ5 如何在多个防火墙和网络区域之间可靠且一致地部署全局策略？

主要发现

• 聚合过程成功地将所有本地防火墙规则整合为单一、一致的全局策略，且完全消除了跨防火墙的异常情况。
• 策略重写机制有效检测并移除冗余和被遮蔽的规则，显著减少规则集大小并提升可维护性。
• 排除函数正确计算了规则之间条件属性的集合差，支持精确的规则比较与冲突检测。
• testRedundancy 函数识别出其决策被其他规则所包含的规则，并将其标记为可移除，从而消除冗余。
• 最终重写后的策略被保证不包含任何防火墙内部的异常，确保规则评估的正确性与最优性。
• 该框架提供了访问控制策略的全局视图，极大提升了维护与故障排除的效率。