策略分析-云防火墙(Cloud Firewall)-阿里云帮助中心

如果企业配置的访问控制策略已达到上百条甚至上千条，且策略逐渐复杂化，会给企业安全管理人员的排查定位问题带来了极大的挑战。当前云防火墙支持自动化策略分析能力，帮您及时且高效地分析当前企业的访问控制策略。本文介绍如何进行访问控制策略分析。

功能优势

策略分析可以帮您检查当前配置策略的有效性，例如：

当前云防火墙的访问控制策略分析能力免费，不同版本默认包含的分析规格如下：

策略分析占用的规格数=（访问控制策略条数+地址簿个数）*检查项个数。

地址簿中IP地址簿重复、重叠、分散这条检查项不支持ECS标签地址簿分析。

例如，IPv4地址簿中包含10个IP地址簿，5个ECS标签地址簿，检查项为IP地址簿重复、重叠、分散。此时您占用的策略分析规格为10*1=10。

云防火墙支持统计策略分析的占用规格，方便您把控当前购买版本的策略分析规格占用量。

在策略分析页面，查看总检查策略数、剩余规格、待处理风险条数以及不同边界的待处理风险类型分布情况，帮助您更准确识别业务中策略的风险情况并进行策略整改。

待处理风险类型分布包括互联网边界、NAT边界、VPC边界和地址簿四种类型。

云防火墙支持检查互联网边界、NAT边界、VPC边界和地址簿的访问控制策略。

登录云防火墙控制台。
在左侧导航栏，选择防护配置 > 策略分析。
在策略分析页面，定位到您需要的检查项，单击操作列检查。

页面顶部提供 互联网边界、NAT边界、VPC边界、地址簿 页签，可按需切换查看对应边界的策略检查结果。
在确认提示框，单击确定。

检查完成后，会将检查结果展示在检查项详情页。

对访问控制策略检查后，针对不合规的策略，您需要根据检查结果进行整改。

定位到已完成检查的检查项，单击操作列详情。
在检查项详情页面，您可以看到不合规策略详情。

页面上方展示检查项名称（如管控策略过于宽松）、风险等级、检查项说明（检查策略源地址对象、目的地址对象、端口对象中是否含有 Any）、整改建议（建议规则对象尽可能最小颗粒度）、最近检查时间和边界类型。下方的不合规策略详情表格包含方向、策略ID、描述、访问源、访问目的、协议、应用、端口和操作列，操作列提供忽略和处理入口。
根据业务，确认策略是否符合当前业务，并进行处理。
- 符合：单击忽略。后续将不会再检查该条策略。
- 不符合：根据整改建议修改该条策略。然后单击处理，将策略标记为已处理。