CN109542601B - 策略编译方法、装置、电子设备及计算机存储介质 - Google Patents

Abstract

本申请实施例供一种策略编译方法，包括：获取最大内存值和最大节点数中的至少一个以及叶子节点的最大规则数；根据所述叶子节点的最大规则数对策略进行编译，在编译过程中，如果当前已申请的内存大于或等于所述最大内存值，和/或，如果当前已拆分出的节点数大于或等于所述最大节点数，停止编译；修改叶子节点的最大规则数；根据修改后的所述叶子节点的最大规则数重新对策略进行编译。根据本申请实施例，可以尽可能解决现有技术中只有在发现策略编译耗时且占用大量内存的时候才手动调整叶子节点的最大规则数而导致的策略编译效率低的问题。本申请实施例还提供了一种策略编译装置、电子设备和计算机存储介质。

Description

策略编译方法、装置、电子设备及计算机存储介质

技术领域

本申请涉及网络安全领域，特别涉及策略编译方法、装置、电子设备及计算机存储介质。

背景技术

安全设备根据用户配置的安全策略处理接收到的报文。用户配置的安全策略数量众多，通常多达上万条。安全设备根据安全策略匹配时，基于安全策略的优先级，优先匹配位置靠前的安全策略。

发明内容

安全设备的某些策略条目的要求数量会很多，通常以万为单位，而且根据优先级的排序还有顺序要求。如果按照优先级顺序依次从数万计的策略条目中查找到对应的策略条目，查找效率非常低下。在这种情况下，为了提高查找效率，通常会将策略编译成可以快速找到相应第一条策略的一种树形结构。

但是，本申请的发明人在研究中发现，策略编译在某些条件下(如，当某两维或者两维以上的策略的配置较离散，且规则数较多时)会非常耗时并占用大量内存，以导致修改策略不能及时生效。为了缓解此问题，通常是手动调整编译时叶子节点的最大规则数，从而可以调整拆分规则的次数，以加快匹配速度或编译速度。但手动调整只能是发现有此问题后才能实施，这样影响策略编译效率，且也不利于用户维护设备。

有鉴于此，本申请提供策略编译方法、装置、电子设备及计算机存储介质，以尽可能解决现有技术中只有在发现策略编译耗时且占用大量内存的时候才手动调整叶子节点的最大规则数而导致的策略编译效率低的问题。

具体地，本申请是通过如下技术方案实现的：

一种策略编译方法，包括：

获取最大内存值和最大节点数中的至少一个以及叶子节点的最大规则数；

根据所述叶子节点的最大规则数对策略进行编译，在编译过程中，如果当前已申请的内存大于或等于所述最大内存值和/或当前已拆分出的节点数大于或等于所述最大节点数，停止编译；

修改叶子节点的最大规则数；

根据修改后的所述叶子节点的最大规则数重新对策略进行编译。

可选的，所述方法还包括：

如果当前已申请的内存小于所述最大内存值以及当前已拆分出的节点数小于所述最大节点数，继续编译，直到编译完成。

可选的，所述方法还包括：

在停止编译后，释放之前编译过程中产生的数据。

可选的，所述修改叶子节点的最大规则数包括：将叶子节点的最大规则数增加2的倍数。

可选的，获取的所述叶子节点的最大规则数为上一次编译成功时最后使用的叶子节点的最大规则数。

一种策略编译装置，包括：

获取单元，用于获取最大内存值和最大节点数中的至少一个以及叶子节点的最大规则数；

编译单元，用于根据所述叶子节点的最大规则数对策略进行编译，在编译过程中，如果当前已申请的内存大于或等于所述最大内存值和/或当前已拆分出的节点数大于或等于所述最大节点数，停止编译；

修改单元，用于修改叶子节点的最大规则数；

所述编译单元还用于，根据修改后的所述叶子节点的最大规则数重新对策略进行编译。

可选的，所述编译单元还用于，如果当前已申请的内存小于所述最大内存值以及当前已拆分出的节点数小于所述最大节点数，继续编译，直到编译完成。

可选的，所述装置还包括：

释放单元，用于在停止编译后，释放之前编译过程中产生的数据。

可选的，所述修改单元进一步用于，将叶子节点的最大规则数增加2的倍数。

可选的，获取的所述叶子节点的最大规则数为上一次编译成功时最后使用的叶子节点的最大规则数。

一种电子设备，所述电子设备包括：

一个或多个处理器；

存储器，用于存储一个或多个程序；

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现前述的策略编译方法。

一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现前述的策略编译方法。

由以上本申请提供的技术方案可见，在编译过程中，通过检测内存实用情况以及拆分出的节点数来确定本次编译是否耗时且占用大量内存，并根据检测结果决定退出编译，再通过调整叶子节点的最大规则数并重新编译来降低编译耗时以及内存占用。

附图说明

图1为本申请示出的相关技术中网络终端与服务器进行网络通信的网络架构示意图；

图2为本申请示出的一种策略编译方法的流程图；

图3为本申请示出的一种策略编译装置的结构框图；

图4为本申请示出的另一种策略编译装置的结构框图；

图5为本申请示出的一种电子设备的结构框图；

图6为实现根据本申请示出的策略编译方法的计算机系统的结构示意图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

请参见图1，其为本申请示出的相关技术中网络终端与服务器进行网络通信的网络架构示意图。该网络架构中包括网络终端和服务器。例如，网络终端向服务器发送DHCP(Dynamic Host Configuration Protocol，动态主机配置协议)请求报文后，通过服务器分配的IP地址，与服务器建立网络连接。在建立网络连接之后，网络终端通过向服务器发送HTTP(HyperText Transfer Protocol，超文本传输协议)报文来请求服务器上的网络资源。另外，服务器根据用户配置的安全策略处理接收到的报文。

服务器的某些策略条目的要求数量会很多，通常以万为单位，而且根据优先级的排序还有顺序要求。如果按照优先级顺序依次从数万计的策略条目中查找到对应的策略条目，查找效率非常低下。在这种情况下，为了提高查找效率，通常会将策略编译成可以快速找到相应第一条策略的一种树形结构。

决策树算法采用了启发式的区间查找策略。决策树算法每次选取最优的二分点，以通过该点且垂直于坐标轴的平面将搜索空间二分。由于每次划分后规则集合也分为两个规则子集，那么下一次区间二分仅对两个规则子集进行分别处理即可，因此实际区间数逐级降低。此外，由于使用二分查找，决策树算法的每个节点仅需要保存一个二分点，因此，节点大小得到了有效控制，数据结构相对简单。基于此，算法的数据结构为多域二分查找树，每个节点选择二分点对当前规则集合的投影区间进行二分，每个节点上存储最终匹配的规则子集。

在编译过程中，按照编译原理，会将规则按照递归的方式拆分，直到每个节点上的规则数都小于叶子节点的最大规则数为止。所以每拆分一次都会由一个节点变为三个节点，其中一个为比较节点，也称之为中间节点，其他两个节点分别包含一部分规则，这两个节点的规则的并集为拆分之前的节点的规则。因此，编译过程即是一个拆分规则和节点增加的过程。伴随着节点的增加，内存使用也相应增加。

而影响编译过程和编译结果的因素除了算法本身自己的处理流程外，还跟编译的参数有关，比如，叶子节点的最大规则数。这个数值本身是由用户根据策略的实际情况设置的，当最大规则数较小时，匹配效率很高，但拆分规则的次数较多，拆分产生的节点较多，编译时间会较长，内存占用也较多；当最大规则较大时，拆分规则的次数较少，拆分产生的节点较少，编译时间会较短，内存占用也较少，但匹配效率会较差。因此，除了优化算法本身外，根据实际规则自动调整叶子节点的最大规则数可以很大程度上优化编译过程的效率和编译结果。例如，如果需要高性能(高匹配度)，将叶子节点上的最大规则数调小，如果需要减少编译时间和减少内存的占用，则将叶子节点上的最大规则数调大。

本申请提供一种策略编译方法，可以在编译过程中，根据内存的实际占用以及拆分后产生的节点数中的至少一个，自动调整叶子节点的最大规则数，例如，如果想要减少内存的占用、减少编译时间，将叶子节点的最大规则数调大。

请参见图2，图2为本申请示出的一种策略编译方法的流程图。该方法例如可以应用于图1所示的服务器上，该方法包括以下步骤：

步骤201：获取最大内存值和最大节点数中的至少一个以及叶子节点的最大规则数。

最大内存值可以通过设备本身的内存值来确定，如，设备内存充足，则此值可以适当扩大，以提供匹配效率，如果设备内存剩余不是很多，则此值可以适当减小，以此适当减少内存占用。最大节点数是根据设备本身的内存来确定，设备本身的内存越大，其支持的最大节点数就越大。

叶子节点的最大规则数也可以根据设备的使用情况经验值得出，并将此值作为本次编译的参数值，启动编译。

步骤202：根据叶子节点的最大规则数对策略进行编译；

步骤203：在编译过程中，判断当前已申请的内存大于或等于最大内存值，和/或，当前已拆分出的节点数大于或等于最大节点数，如果是，跳到步骤204，如果否，跳到步骤205。

步骤204：停止编译，修改叶子节点的最大规则数，返回步骤202。

由于编译过程即是一个拆分规则和节点增加的过程，因此，随着编译的进行，节点不断增加，伴随着节点的增加，内存使用也相应增加。如果已经申请的内存超过最大内存值，和/或，如果已经拆分出的节点数超过最大节点数，为了避免编译时间过长，占用内存过大，停止编译，并重新修改叶子节点的最大规则数，在原来叶子节点的最大规则数基础上增加最大规则数，如，增加2的倍数。然后重新返回步骤202进行编译。

为了释放占用的内存，在停止编译后，还可以释放之前编译过程中所产生的数据。

步骤205：继续编译，直到编译成功。

可以理解的，上述步骤中的202-204可以是一个往复循环的过程，直到编译成功为止，在每次循环时，都需要修改叶子节点的最大规则数，可以为每次的修改设置一个步进值，每一次修改都是在现有的最大规则数基础上增加该步进值，该步进值可以设置为任意值，例如，可以是2的倍数。

编译成功后，记录当前使用的叶子节点的最大规则数，以作为下一次编译时初始的叶子节点的最大规则数，以此来减少因编译失败并多次尝试而增加编译时间的可能性。当下一次编译时的规则条数小于此最大规则数时，则初始的叶子节点的最大规则数设置为规则条数的1/2(但最小值为3)，以保证编译后结果最佳。

另外，在编译过程开始时可以记录编译开始的时间，此时间不但可以作为一次编译开始的时间，也可以后续用于计算一次编译的时长。即，第一次编译开始的时间与第二次编译开始的时间间隔，就可以认为是第一次编译的时长。

由以上本申请提供的技术方案可见，在编译过程中，通过检测内存实用情况以及拆分出的节点数来确定本次编译是否耗时且占用大量内存，并根据检测结果决定退出编译，再通过调整叶子节点的最大规则数并重新编译来降低编译耗时以及内存占用。

请参考图3，图3为本申请示出的一种策略编译装置的结构框图，应用于图1所示的服务器侧，该装置包括：获取单元310、编译单元320以及修改单元330。

获取单元310，用于获取最大内存值和最大节点数中的至少一个以及叶子节点的最大规则数；

编译单元320，用于根据所述叶子节点的最大规则数对策略进行编译，在编译过程中，如果当前已申请的内存大于或等于所述最大内存值，和/或，如果当前已拆分出的节点数大于或等于所述最大节点数，停止编译；

修改单元330，用于修改叶子节点的最大规则数；

所述编译单元320还用于，根据修改后的所述叶子节点的最大规则数重新对策略进行编译。

在一种可选实施方式中，编译单元320还用于，如果当前已申请的内存小于所述最大内存值以及当前已拆分出的节点数小于所述最大节点数，继续编译，直到编译完成。

请参与图4所示的策略编译装置的另一个结构框图，在另一个可实施方式中，该装置还包括释放单元，用于在停止编译后，释放之前编译过程中产生的数据。

在另一个可实施方式中，修改单元330进一步用于，将叶子节点的最大规则数增加2的倍数。

在另一个可实施方式中，获取的所述叶子节点的最大规则数为上一次编译成功时最后使用的叶子节点的最大规则数。

由以上本申请提供的技术方案可见，在编译过程中，通过检测内存实用情况以及拆分出的节点数来确定本次编译是否耗时且占用大量内存，并根据检测结果决定退出编译，再通过调整叶子节点的最大规则数并重新编译来降低编译耗时以及内存占用。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

请参考图5，图5为本申请示出的一种电子设备的结构框图，如图5所示，所述电子设备500包括处理器501和存储器502；其中，

所述存储器502用于存储一条或多条计算机指令，其中，所述一条或多条计算机指令被所述处理器501执行以实现前述各方法步骤中的全部或部分步骤。

图6为实现根据本申请示出的策略编译方法的计算机系统的结构示意图。

如图6所示，计算机系统600包括中央处理单元(CPU)601，其可以根据存储在只读存储器(ROM)602中的程序或者从存储部分608加载到随机访问存储器(RAM)603中的程序而执行上述图2所示的实施方式中的各种处理。在RAM603中，还存储有系统600操作所需的各种程序和数据。CPU601、ROM602以及RAM603通过总线604彼此相连。输入/输出(I/O)接口605也连接至总线604。

以下部件连接至I/O接口605：包括键盘、鼠标等的输入部分606；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分607；包括硬盘等的存储部分608；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分609。通信部分609经由诸如因特网的网络执行通信处理。驱动器610也根据需要连接至I/O接口605。可拆卸介质611，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器610上，以便于从其上读出的计算机程序根据需要被安装入存储部分608。

特别地，根据本申请的实施方式，上文参考图2描述的方法可以被实现为计算机软件程序。例如，本申请的实施方式包括一种计算机程序产品，其包括有形地包含在及其可读介质上的计算机程序，所述计算机程序包含用于执行前述策略编译方法的程序代码。在这样的实施方式中，该计算机程序可以通过通信部分609从网络上被下载和安装，和/或从可拆卸介质611被安装。

附图中的流程图和框图，图示了按照本申请各种实施方式的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，路程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本申请实施方式中所涉及到的单元或模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的单元或模块也可以设置在处理器中，这些单元或模块的名称在某种情况下并不构成对该单元或模块本身的限定。

作为另一方面，本申请还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施方式中所述装置中所包含的计算机可读存储介质；也可以是单独存在，未装配入设备中的计算机可读存储介质。计算机可读存储介质存储有一个或者一个以上程序，所述程序被一个或者一个以上的处理器用来执行描述于本申请的方法。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (12)

1.一种策略编译方法，其特征在于，包括：

获取最大内存值和最大节点数中的至少一个以及叶子节点的最大规则数；所述最大内存值和最大节点数是根据设备本身的内存确定；

根据所述叶子节点的最大规则数对策略进行编译，在编译过程中，如果当前已申请的内存大于或等于所述最大内存值，和/或，如果当前已拆分出的节点数大于或等于所述最大节点数，停止编译；

修改叶子节点的最大规则数；

根据修改后的所述叶子节点的最大规则数重新对策略进行编译。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

如果当前已申请的内存小于所述最大内存值以及当前已拆分出的节点数小于所述最大节点数，继续编译，直到编译完成。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

在停止编译后，释放之前编译过程中产生的数据。

4.根据权利要求1-3中任一项所述的方法，其特征在于，所述修改叶子节点的最大规则数包括：将叶子节点的最大规则数增加2的倍数。

5.根据权利要求1-3中任一项所述的方法，其特征在于，获取的所述叶子节点的最大规则数为上一次编译成功时最后使用的叶子节点的最大规则数。

6.一种策略编译装置，其特征在于，包括：

获取单元，用于获取最大内存值和最大节点数中的至少一个以及叶子节点的最大规则数；所述最大内存值和最大节点数是根据设备本身的内存确定；

编译单元，用于根据所述叶子节点的最大规则数对策略进行编译，在编译过程中，如果当前已申请的内存大于或等于所述最大内存值，和/或，如果当前已拆分出的节点数大于或等于所述最大节点数，停止编译；

修改单元，用于修改叶子节点的最大规则数；

所述编译单元还用于，根据修改后的所述叶子节点的最大规则数重新对策略进行编译。

7.根据权利要求6所述的装置，其特征在于，

所述编译单元还用于，如果当前已申请的内存小于所述最大内存值以及当前已拆分出的节点数小于所述最大节点数，继续编译，直到编译完成。

8.根据权利要求6所述的装置，其特征在于，所述装置还包括：

释放单元，用于在停止编译后，释放之前编译过程中产生的数据。

9.根据权利要求6-8中任一项所述的装置，其特征在于，所述修改单元进一步用于，将叶子节点的最大规则数增加2的倍数。

10.根据权利要求6-8中任一项所述的装置，其特征在于，获取的所述叶子节点的最大规则数为上一次编译成功时最后使用的叶子节点的最大规则数。

11.一种电子设备，其特征在于，所述电子设备包括：

一个或多个处理器；

存储器，用于存储一个或多个程序；

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1至5中任一项所述的策略编译方法。

12.一种计算机存储介质，其特征在于，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1至5中任一项所述的策略编译方法。

Images