Ethernet Basics Rev. 02 - Phoenix Contact

De firewall 98
of op doorreis zijn (route). De opgegeven, maar gemakkelijk te vervalsen (spoofen)
herkomst en de eindbestemming (IP adres en poortnummer) worden gecontroleerd. Er
wordt er in de transportlaag gekeken naar het opgeven type en de aard van het bericht.
Maar wat er werkelijk in het bericht staat wordt niet doorgenomen.
Pakket filter zijn stateless. Ze controleren de herkomst en de bestemming maar kunnen
niet evalueren op verdachte patronen in een bepaalde sessie. Zo kan niet opgemerkt
worden als er plots verdacht veel datapakketten tussen bepaalde applicaties uitgewisseld
worden.
• Stateful inspection: naast de verschillende regels conform een pakket filter kan dergelijke
firewall tussentijdse informatie bijhouden omtrent de toestand van alle connecties
die over de firewall lopen. Stateful Packet Inspection (SPI) betekent dat ieder pakket
vanaf de aanmelding en de daarop volgende handshaking tussen de communicerende
hosts de context ervan onderzoekt. Statefull inspection zal op deze manier gedurende
de volledige sessie nagaan wat er volgens het verbindingsverzoek toegestaan is. Eerst
wordt net als bij een stateless pakket filter nagegaan of de verbinding tussen de bron
en het doel op zich is toegestaan. Zo nee, dan wordt het synchronisatie verzoek verworpen.
Is de verbinding toegestaan dan wordt de informatie uit het eerste datagram dat
de sessie opbouwt (SYN) gedurende de sessie in een state-table database in het geheugen
bewaard. Als er binnen de context van die verbinding iets vreemds gebeurt (een
host verandert plotseling zijn IP adres of onverwacht zijn doelpoort) wordt de sessie
onderbroken.
De meest courante firewalls zijn stateful inspection firewalls.