Шлюзы сеансового уровня (инспекторы состояния)

Шлюзы сеансового уровня (stateful inspection firewall) осуще­ствляют фильтрацию сетевых пакетов с учетом информации о те­кущей фазе соединения. Инспектор состояний гарантирует, что ни один сетевой пакет не будет пропущен, если он не принадлежит ранее установленному соединению. Шлюзы сеансового уровня более известны как инспекторы состояния. Подобно фильтрам пакетов, шлюзы сеансового уровня используют набор правил, ко­торые установлены в ядре TCP/IP МЭ.

Для подтверждения TCP-сессии МЭ исследует каждый про­цесс установки соединения, следующий за законным рукопожати­ем. Кроме того, пакеты данных не отправляются, пока процесс

рукопожатия не будет закончен. МЭ поддерживает таблицу состо­явшихся соединений (в которой содержится полная информация о состоянии сессий: номера последовательностей TCP/UDP, IP-ад­реса, портов) и позволяет сетевым пакетам проходить тогда, когда информация о пакете соответствует фазе соединения. Как только соединение закрывается, записи о нем удаляются из таблицы, и виртуальное соединение между двумя транспортными уровнями

закрывается.

При установлении соединения шлюз сеансового уровня может сохранять следующую информацию о соединении:

• уникальный идентификатор сессии для соединения, который используется для управляющих целей;

• состояние (фаза) соединения: рукопожатие, установлено, зак­рыто;

• текущие значения номеров последовательностей пакетов;

• IP-адрес источника;

• IP-адрес назначения;

• тип транспортного протокола (TCP, UDP, ICMP);

• порт источника транспортного уровня (TCP/UDP порт);

• порт назначения транспортного уровня (TCP/UDP порт);

• некоторые поля служебных заголовков пакетов;

• физический сетевой интерфейс, с которого ожидается поступ­ление очередного сетевого пакета;

• время жизни (тайм-аут) виртуального соединения в случае отсутствия активности.

Используя эти данные, МЭ контролирует информацию заголов­ков каждого сетевого пакета и определяет, когда передающий хост имеет право передачи данных принимающему хосту и когда прини­мающий хост имеет право получать данные. Дополнительно МЭ могут выполнять проверку того, что сетевой пакет не был подме­нен и данные, содержащиеся в заголовке пакета транспортного уровня, соответствуют определению этого протокола, что позволя­ет МЭ обнаружить некоторые изменения пакета данных.

Шлюзы сеансового уровня имеют ограниченное понимание про­токолов, используемых в сетевых пакетах. Полная инспекция со­стояния возможна только для транспортного протокола TCP. Для протоколов UDP и ICMP инспекция состояния виртуального со­единения реализуются искусственно, с использованием данных прикладного уровня. Например, при инспекции ICMP подразуме­вается, что для каждого пакета ECHO_REQUEST должен после­довать соответствующий пакет ECHO_REPLAY. При этом ответ не может последовать, если не был отправлен запрос.

Инспекторы разрешают доступ с минимальным количеством исследований путем построения ограниченной формы состояний соединения. Только пакетам, ассоциированным с существующим соединением (в таблице состояний), разрешено прохождение че­рез МЭ. Этот метод очень быстр и обеспечивает ограниченное число проверок состояний.

Шлюзы сеансового уровня могут использовать технологию се­тевой трансляции адресов. В этом случае в таблице состояний так­же хранится информация о транслированных адресах.

Большинство современных МЭ поддерживают технологию ин­спекции состояния соединения. Отличие состоит лишь в том, на­сколько «точно» МЭ могут контролировать виртуальные соедине­ния для протоколов TCP, UDP и ICMP.

В общем случае МЭ на основе шлюзов сеансового уровня име­ют следующие преимущества:

• шлюзы сеансового уровня обычно быстрее, чем МЭ приклад­ного уровня, поскольку выполняют меньшее количество операций;

• шлюз сеансового уровня контролирует сессию в целом, что обеспечивает большую защищенность по сравнению с фильтрами

пакетов;

• практически исключена подделка трафика и отдельных паке­тов TCP.

Недостатками МЭ на основе шлюзов сеансового уровня явля­ются:

• полнофункциональная инспекция возможна только для TCP;

• не обеспечена проверка вышестоящих протоколов;

• ограниченные возможности аудита событий, но по сравнению с ПФ они могут связывать сетевой пакет с протоколом прикладно­го уровня путем построения ограниченных форм состояний сес­сии;

• из-за непонимания протоколов прикладного уровня не имеют дополнительных возможностей, таких как кэширование объектов HTTP или фильтрация URL;

• из-за сложности реализации большинства прикладных серви­сов возникают сложности определения разрешенных и запрещен­ных списков доступа (правил).

Одним из основных достоинств инспекторов состояния явля­ются гибкость создания правил ПБ (по сравнению с пакетными фильтрами), а также способность защиты от большинства DDos-атак, использующих различные виды флудинга и некорректности сетевых пакетов.

Дата добавления: 2014-01-07