安全策略是企業整個安全管理與安全防御體系建設的基礎與靈魂。當前大部分企業存在安全策略管理不落地、不可見等策略管理問題，同時如何自動識別并清理冗余策略、寬松策略和沖突策略等來縮緊攻擊面，也是企業面臨的策略優化的難題。本文******關注訪問控制類安全策略的智能編排技術。   等保2.0標準中對安全策略做了詳細要求，下面表格中列出了等保2.0對安全策略的要求，黑色加粗字體表示是針對上一安全級別增強的要求。

保護級別	防護分類	安全策略相關要求
一級	安全區域邊界	6.1.3.2 訪問控制 a) 應在網絡邊界根據訪問控制策略設置訪問控制規則，默認情況下除允許通信外受控接口拒絕所有通信；
二級	安全區域邊界	7.1.3.2 訪問控制 a) 應在網絡邊界或區域之間根據訪問控制策略設置訪問控制規則，默認情況下除允許通信外受控接口拒絕所有通信；
	安全管理制度	7.1.6.1  安全策略 應制定網絡安全工作的總體方針和安全策略，闡明機構安全工作的總體目標、范圍、原則和安全框架等。 7.1.10.6  網絡和系統安全管理 c) 應建立網絡和系統安全管理制度，對安全策略、賬戶管理、配置管理、日志管理、日常操作、升級與打補丁、口令更新周期等方面作出規定；
三級	安全區域邊界	8.1.3.2 訪問控制 a) 應在網絡邊界或區域之間根據訪問控制策略設置訪問控制規則，默認情況下除允許通信外受控接口拒絕所有通信；
	安全計算環境	8.1.4.2 訪問控制 e) 應由授權主體配置訪問控制策略，訪問控制策略規定主體對客體的訪問規則；
	安全管理中心	8.1.5.3  安全管理 b) 應通過安全管理員對系統中的安全策略進行配置，包括安全參數的設置，主體、客體進行統一安全標記，對主體進行授權，配置可信驗證策略等。 8.1.5.4  集中管控 e) 應對安全策略、惡意代碼、補丁升級等安全相關事項進行集中管理；
	安全管理制度	8.1.6.1 安全策略 應制定網絡安全工作的總體方針和安全策略，闡明機構安全工作的總體目標、范圍、原則和安全框架等。 8.1.6.2  管理制度 c) 應形成由安全策略、管理制度、操作規程、記錄表單等構成的全面的安全管理制度體系。 8.1.7.5  審核和檢查 b) 應定期進行全面安全檢查，檢查內容包括現有安全技術措施的有效性、安全配置與安全策略的一致性、安全管理制度的執行情況等； 8.1.10.6 網絡和系統安全管理 c) 應建立網絡和系統安全管理制度，對安全策略、賬戶管理、配置管理、日志管理、日常操作、升級與打補丁、口令更新周期等方面作出規定； j) 應******所有與外部的連接均得到授權和批準，應定期檢查違反規定無線上網及其他違反網絡安全策略的行為。
四級	安全區域邊界	9.1.3.2 訪問控制 a) 應在網絡邊界或區域之間根據訪問控制策略設置訪問控制規則，默認情況下除允許通信外受控接口拒絕所有通信；
	安全計算環境	9.1.4.2 訪問控制 e) 應由授權主體配置訪問控制策略，訪問控制策略規定主體對客體的訪問規則；
	安全管理中心	9.1.5.3 安全管理 b) 應通過安全管理員對系統中的安全策略進行配置，包括安全參數的設置，主體、客體進行統一安全標記，對主體進行授權，配置可信驗證策略等。 9.1.5.4 集中管控 e) 應對安全策略、惡意代碼、補丁升級等安全相關事項進行集中管理；
	安全管理制度	9.1.6.1 安全策略 應制定網絡安全工作的總體方針和安全策略，闡明機構安全工作的總體目標、范圍、原則和安全框架等。 9.1.6.2 管理制度 c) 應形成由安全策略、管理制度、操作規程、記錄表單等構成的全面的安全管理制度體系。 9.1.7.5 審核和檢查 b) 應定期進行全面安全檢查，檢查內容包括現有安全技術措施的有效性、安全配置與安全策略的一致性、安全管理制度的執行情況等； 9.1.10.6 網絡和系統安全管理 c) 應建立網絡和系統安全管理制度，對安全策略、賬戶管理、配置管理、日志管理、日常操作、升級與打補丁、口令更新周期等方面作出規定； j) 應******所有與外部的連接均得到授權和批準，應定期檢查違反規定無線上網及其他違反網絡安全策略的行為。

       策略沖突檢測與消解技術，包括但不限于：基于決策樹、基于規則集、基于矩陣化的訪問控制策略沖突檢測與消解技術。
       ◇ 基于決策樹的策略沖突檢測與消解技術
       決策樹技術是利用信息論中的信息增益尋找數據庫中具有*** 大信息量的字節，建立決策樹的一個節點，再根據字段的不同取值建立樹的分枝。在每個分枝子集中重復建立下層節點和分枝，由此生成一棵決策樹。然后再對決策樹進行剪枝處理，zui后將決策樹轉化為規則。
       本方案可以運用這些規則，對現有的訪問控制策略進行優化，提高網絡的安全性和訪問效率。同時，所生成的決策樹可在新規則加入時進行調整，為后續工作的開展做好基礎性工作，從宏觀上管理訪問控制策略。
       （1）利用樹的優化算法進行策略簡化，消除冗余。（2）利用樹的優化算法進行策略沖突檢測，消除沖突。
       ◇ 基于規則集的策略沖突檢測與消解技術
       系統在實施保護資源的過程中，由于系統中存在大量安全策略以及不同的安全策略可能涉及到相同的主體、客體和權限，因此可能產生沖突，從而導致不一致的系統行為，造成訪問控制系統執行效率及******性低下。為解決這一問題，通過對安全策略的形式化分析定義了基于規則集的訪問控制策略的一般特性，并給出了安全策略所描述實體內在的關系，使安全策略的描述在該領域內具有一定的通用性。以此為基礎，本方案給出了沖突的靜態分析檢測與消解方法及動態分析檢測方法。
       1、靜態分析檢測
       靜態方法是對策略聲明進行語法分析以期發現沖突，針對的是與系統即時狀態無關的沖突。
       （1）模態沖突
       模態沖突：模態沖突是指策略的描述不一致，兩條策略具有重疊的主體和客體，卻分別執行了肯定授權與否定授權而發生的策略沖突行為。
       模態沖突處理方法：模態處理方法采取否定優先法，為了******系統的安全性，通常習慣是要求系統禁止執行某些行為。
       （2）行為沖突
       行為沖突：行為沖突是指兩條策略中的行為存在某種順序關系或依存邏輯關系且授權模式相反，一個肯定授權另一個否定授權。如果兩條策略規定的行為存在順序關系而相應的行為標記卻和行為邏輯相反，則存在行為沖突。
行為沖突處理方法：否定優先法。
       （3）職責分離沖突
       職責分離沖突是指同一個用戶被指派給了互斥的角色。職責分離沖突處理方法：去除zui早策略。
       2、動態分析檢測
       由于靜態檢測是靜態的對策略聲明進行語法分析，以發現策略內存在的沖突，沒有考慮由于進程間的調用所導致的權限傳遞，而造成策略沖突。通過進程調用導致權限傳遞出現的策略沖突是靜態檢測無法檢測的。
動態檢測提供了解決的方法，所謂動態檢測方法則是指在系統運行期間，通過對系統所有可能出現的狀態進行檢查分析來發現沖突。
       ◇ 基于矩陣化的策略沖突檢測與消解技術
       在基于矩陣的描述中策略被描述成[p1,p2,······pn]·Ank，其中變換矩陣是將策略由簡單策略集合的形式變換為矩陣形式的關鍵，在Ank中n、k的取值和變換矩陣中每個元素的之間的關系反映的是變換矩陣的線性相關性，而另一方面也反映著簡單策略集中每個元素之間的關系，從而決定了復雜策略的類型。
       獲取到變換矩陣后，通過判定矩陣列向量間的關系來進行策略類型判斷。變換矩陣的求解是利用線性表達式中，策略子集和簡單策略集合中元素的包含關系得到的，得到變換矩陣能夠利用對變換矩陣的檢測，從而檢測出復雜策略的類型。得到了復雜策略的變換矩陣，***可以對策略進行沖突檢測。
       本方案利用將復雜訪問控制策略進行簡化，用策略行向量和變換矩陣乘積的形式來表示復雜策略，然后利用對變換矩陣中的元素的檢測來對復雜策略進行沖突檢測，也***是說，復雜策略的變換矩陣的元素決定了策略類型和沖突類型，那么在進行沖突消解時，只需要對復雜策略的變換矩陣進行消解即可。        策略智能開通技術，通過結合工作流、用戶權限、合規檢查和策略仿真，綜合梳理業務、權限、資產、策略和數據的關系，實現安全策略變更申請、自動分析、自動設計、審批與自動驗證的全生命周期管理，全面提升企業安全運營的管理能力。


       路徑可達分析技術，可實現任意源地址到目的地址的訪問路徑及數據流分析，包括是否有可達路徑、可達路徑經過的節點及命中的路由及策略信息、允許或拒絕的數據流詳情等；訪問路徑分析時，通過源地址定位到對應的網關設備，再通過網關設備上的路由逐一尋找下一網關，直到目的地址；期間需匹配網關設備上的ACL策略、NAT策略、路由、安全策略等信息。
       ◇ 策略基線矩陣模型
       基于策略基線矩陣模型，建立從安全域到安全域的訪問策略，從業務到業務的訪問策略，從安全域到業務的訪問策略，從業務到安全域的訪問策略。
       通過基線矩陣來模擬實際網絡環境中各安全域之間、業務之間等的訪問情況，并設定一個合規標準進行訪問控制策略合規檢查和告警。