防火墙策略梳理工具

防火墙策略梳理工具

作为一名防火墙运维工程师，日常工作内容主要是防火墙策略增、删、改、查，定时巡检、应急演练等内容。但随着安全重视程度日趋升高，需要定期对防火墙策略进行梳理，细化策略、清除一些未被调用的地址对象、服务对象、时间对象以及过期策略、闲置策略或者僵尸策略。或者监管部分定期的要求提供防火墙目前一开通的策略详单。目前了解大部分防火墙产品无法提供直接策略表导出功能，及时部分产品提供导出功能，导出的测量表也不尽人意。无法详细展现策略表里的详细五元组信息。
定期梳理防火墙策略资产无疑给运维工作者带来了不少的工作量，通过人工的将防火墙策略梳理成表格，逐层下钻挖掘组对象嵌套，后期还要实时更新表格。实在愁人。
向来不愿做重复工作、没有技术含量的我，凭借自己对防火墙技术的多年积累加上对python的热爱。决定写个脚本工具来完成这项工作，其他时间喝喝茶，吹吹牛逼不香吗~

于是就有了下文…

该脚本工具提供了以下功能
1.Policy/nat Table Export \策略表和nat表梳理功能
2.Policy Redundance Analysis \冗余策略分析功能
3.Unused Object Analysis \垃圾配置清理功能
4.Policy Risk Assessment \策略风险分析功能

策略表和nat表梳理功能

根据工具提示，输入需要梳理的防火墙配置文件，选择“1”菜单完成策略、源NAT、目标NAT等表格梳理工作。
防火墙策略表

源NAT转换表

目标NAT转换表

冗余策略分析

选择菜单“2”完成策略冗余分析功能，看看效果吧！

垃圾配置清理

垃圾配置清理能够梳理出防火墙未被调用的地址对象、地址组对象、服务对象、服务组对象、时间对象等，并且还能自动生成回收脚本哦，回收脚本可以直接刷到设备上进行回收清理。是不是很nice！

地址与地址组对象清理回收

服务与服务组对象清理回收

保存

风险策略梳理

风险策略梳理是基于提前定制好的风险规则完成策略检查，并输出存在风险的策略。

目前主要实现以上功能，后续有需求在扩展吧。