[论文解读] Algorithms for Analysing Firewall and Router Access Lists

Scott Hazelhurst|ArXiv.org|Aug 9, 2000

Formal Methods in Verification参考文献 5被引用 38

一句话总结

本文提出使用二叉决策图（BDDs）以紧凑方式表示和分析防火墙及路由器访问控制列表，从而实现对复杂规则集的高效验证、可视化和修改。通过将规则集转换为规范化的BDD，该方法支持自动化分析、等价性检查以及直观的图形化检查，显著提高了规则集的可维护性，并减少了网络安全策略中的配置错误。

ABSTRACT

Network firewalls and routers use a rule database to decide which packets will be allowed from one network onto another. By filtering packets the firewalls and routers can improve security and performance. However, as the size of the rule list increases, it becomes difficult to maintain and validate the rules, and lookup latency may increase significantly. Ordered binary decision diagrams (BDDs) - a compact method of representing and manipulating boolean expressions - are a potential method of representing the rules. This paper presents a new algorithm for representing such lists as a BDD and then shows how the resulting boolean expression can be used to analyse rule sets.

研究动机与目标

• 解决大型防火墙和路由器规则集日益增长的复杂性与维护困难问题。
• 减少由规则顺序、冗余或意外访问模式引起的配置错误。
• 通过形式化方法提高规则集分析的效率与正确性。
• 利用BDD提供可扩展、紧凑的访问控制策略表示方式。
• 为网络管理员开发实用工具，以验证和可视化规则集。

提出的方法

• 将每个访问列表规则表示为基于网络属性（源/目的IP、端口、协议）的布尔表达式。
• 将整个规则集编译为单个约简有序二叉决策图（ROBDD），以实现规范化的紧凑表示。
• 使用BDD操作（例如合取、否定、等价性检查）对规则集进行形式化分析。
• 实现查询与比较算法，以检测规则集中的冲突、冗余及意外行为。
• 使用Tcl/Tk开发原型图形界面，以可视化规则集行为及不同版本之间的差异。
• 应用变量排序与优化技术，以最小化BDD大小并提升性能。

实验结果

研究问题

• RQ1 如何以紧凑、形式化且可分析的方式表示大型且复杂的防火墙和路由器访问列表？
• RQ2 BDD在多大程度上能够检测规则集的不一致、冗余或意外访问模式？
• RQ3 基于BDD的分析能否提高网络访问策略的正确性与可维护性？
• RQ4 BDD表示在支持规则集自动验证与比较方面有多高效？
• RQ5 基于BDD的规则分析工具在实际可用性与性能特征方面表现如何？

主要发现

• BDD表示提供了任何访问列表的规范、紧凑且形式正确的模型，支持可靠分析。
• 基于BDD的分析可自动检测规则冲突、冗余及意外访问模式。
• 原型图形界面使用户能够高效可视化规则集行为，并比较不同版本。
• 使用BDD进行规则集间等价性检查计算效率高且精确，支持安全的规则修改。
• 该方法支持高级查询，例如“从特定子网允许哪些流量？”，而无需完整检查规则列表。
• 尽管原型尚未针对性能进行优化，但该方法在进一步工程化后，已证明适用于工业级部署。