策略优化

在防火墙分析仪的合规性页签下，有策略优化子页签。通过它可得到被认知为异常的规则列表，从而帮助您优化防火墙策略的性能。

本报表支持Cisco, Fortigate, 和 Juniper SRX 设备。

在策略优化的页面中，将为您提供防火墙设备的详尽的、不同种类的策略异常报表。

策略异常报表是针对特定防火墙的，因此必须选择特定的防火墙设备才可得到报表，否则无法显示数据。

策略优化报表

显示的异常报表包括：相关、归纳、组合、冗余、影子，将以图形和表格的形式加以呈现。

策略优化

异常分类

1. 影子异常 

• 当前面的规则匹配了符合该规则的所有数据包，其后的规则从来不会被触及，则后续的规则被称之影子规则，如果删除该影子规则，对安全策略没有任何影响。
• 规则 Rx 是 Ry 的影子，条件为：如果 Rx 在顺序上紧随 Ry 之后，并且，Rx 是  Ry 的匹配子集，并且 Rx 和 Ry 的动作不同
• 影子规则的存在，有可能导致允许的流量被阻止，或者阻止的流量被允许。因此它是异常规则。发现影子规则并告警管理员，纠正（删除或重排序）影子规则非常重要。

• 冗余规则，针对相同的数据包，执行与其它规则同样的动作。因此，删除冗余规则，对安全策略没有任何影响。
• 规则 Rx 是 Ry 的冗余，如果 Rx 是 Ry 的匹配子集，并且Rx和Ry的动作类似。
• 如果删除该规则，策略的结果不受影响。
• 冗余被认为是一种错误，是因为它不会对过滤结果起任何作用，但是它增加的过滤表的大小，导致搜索时间的增加和资源空间的耗费。发现冗余异常，并告警管理员，让其做适当的修改，对改进防火墙性能非常重要。

• 如果两个规则有不同的过滤动作，并且第一个规则匹配一部分能匹配第二个规则的数据包，第二个规则也能匹配一部分匹配第一个规则的数据包，则这两个规则是相关的规则。
• 规则Rx和规则Ry具有相关异常，如果Rx和Ry相关，且动作不同
• 如果互换这两个规则的顺序，策略的结果将会发生变化。

示例:

在上述例子中，规则1中，从10.0.0.5 到 20.0.0.3 的HTTP流量被允许通过，但是，如果将第二个规则移到先与第一个规则，结果 从10.0.0.5 到 20.0.0.3 的HTTP流量被阻止通过。策略的结果发生和变化。
相关只是作为异常警告，不需要建议。这类异常必须由防火墙的管理员手动明确地处理。

4. 归纳异常: 

• 如果第一个规则匹配了第二个规则能匹配的所有数据包，但是 ，反过来，第二个规则不能匹配第一个规则的所有数据包，则第一个规则归纳了第二个规则。
• 规则 Rx 是规则Ry的归纳，如果Rx顺序上在Ry之后，并且Rx 是Ry匹配的超集（更大），并且Rx和Ry的动作不同。
• 如果两个规则的顺序交换，策略的结果会发生变化。

示例:

上述示例中，规则2是规则1的归纳。如果这两个规则的顺序互换，策略的结果将发生变化，并且规则1将不再起作用。因为它变为规则2的影子了。作为一般性的指南，如果两个规则的匹配条件中存在包容性的关系，则具有超集的规则必须在具有子集的规则后边。

归纳只是作为异常警告，因为在常规规则前，插入一个特定的规则允许特定的例外是可以的。这类异常需由防火墙管理员来处理。

5. 规则组合

它不是标准的异常，而是本软件特别提供的。

• 如果两个规则动作相同，并且在源、目的、服务中其中一个因素有些不同，而其余的都相同，则这两个规则可以组合起来（成为一个规则）。
• 例如： Rx 和 Ry 具有相同的目的和服务，只有源不同 ，建议将这两个规则组合，通过分别定义各个源的网络对象，将这两个规则合并为一个规则。

示例:

这里，也可以直接将源合并组合为： '10.0.0.1-10.0.0.20'。