[论文解读] Misconfiguration Management of Network Security Components

Frédéric Cuppens, Nora Cuppens-Boulahia+1 more|PolyPublie (École Polytechnique de Montréal)|Dec 16, 2019

Network Packet Processing and Optimization参考文献 10被引用 8

一句话总结

本文提出了一种基于规则的算法框架，通过集合运算分析规则关系，检测并消除防火墙配置中的冗余和影子规则。该方法将初始规则集转换为等价的、无错误的优化配置，确保正确的访问控制和增强的安全策略执行，且不依赖于规则顺序。

ABSTRACT

Many companies and organizations use firewalls to control the access to their network infrastructure. Firewalls are network security components which provide means to filter traffic within corporate networks, as well as to police incoming and outcoming interaction with the Internet. For this purpose, it is necessary to configure firewalls with a set of filtering rules. Nevertheless, the existence of errors in a set of filtering rules is very likely to degrade the network security policy. The discovering and removal of these configuration errors is a serious and complex problem to solve. In this paper, we present a set of algorithms for such a management. Our approach is based on the analysis of relationships between the set of filtering rules. Then, a subsequent rewriting of rules will derive from an initial firewall setup -- potentially misconfigured -- to an equivalent one completely free of errors. At the same time, the algorithms will detect useless rules in the initial firewall configuration.

研究动机与目标

• 解决削弱网络安全策略的防火墙配置错误这一关键问题。
• 自动检测并消除防火墙规则集中的冗余和影子规则。
• 将初始的、可能存在错误的规则集转换为等价的、无错误的配置。
• 通过确保安全策略正确性与规则顺序无关，消除对规则顺序的依赖。
• 提供一种形式化、可验证的规则重写方法，保留策略语义的同时消除漏洞。

提出的方法

• 使用三种关键操作：重合、析取和包含，分析防火墙规则之间的关系。
• 应用规则转换算法（算法1），基于排除操作重写规则以解决冲突。
• 使用排除函数 $exclusion(R_j, R_i)$ 计算被 $R_j$ 匹配但不被 $R_i$ 匹配的数据包集合，确保无重叠。
• 通过检查高优先级规则排除后规则的条件集是否变为空，检测影子规则。
• 通过基于排除的检查测试规则是否可被移除而不改变策略，检测冗余。
• 使用形式化引理和定理证明转换后规则集中等价性、正确性，以及影子规则和冗余的消除。

实验结果

研究问题

• RQ1 如何形式化地检测并消除防火墙规则集中的冗余和影子规则？
• RQ2 规则转换过程能否生成与规则顺序无关的等价、无错误的防火墙配置？
• RQ3 规则之间的哪些形式关系（重合、包含、析取）能够实现对配置错误的准确检测？
• RQ4 是否可以验证转换后的规则集在消除所有冗余和影子规则的同时，仍保留原始安全策略？
• RQ5 如何从数学上证明转换后规则集的正确性和等价性？

主要发现

• 所提出的算法可将可能存在错误的防火墙规则集转换为既无冗余也无影子规则的等价配置。
• 转换后的规则集与规则顺序无关，消除了为避免冲突而手动调整优先级的需求。
• 当规则在从高优先级规则中排除后其条件集变为空时，即检测到影子规则，表明该规则永远不会生效。
• 通过基于排除的验证测试规则是否可被移除而不改变策略，检测冗余。
• 形式化证明确认转换后的规则集 $Tr(R)$ 与原始规则集 $R$ 语义等价，确保策略正确性。
• 该方法保证最终配置中任意两个规则不会同时匹配同一数据包，从而防止意外访问。