What Is a Stateful Packet Inspection Firewall?

Fonctionnement des pare-feu à inspection dynamique des paquets

Les premiers pare-feu étaient des systèmes sans état qui déterminaient s'il fallait ou non autoriser le passage d'un paquet entrant en se basant sur les en-têtes du paquet. Ils peuvent bloquer le trafic en provenance ou à destination de certaines adresses IP ou utiliser certains protocoles de réseau pour empêcher l'entrée ou la sortie du réseau.

Toutefois, ces premiers pare-feu n'étaient pas en mesure de déterminer si un paquet était valide dans le contexte d'une connexion active existante. Par exemple, le Déni de service distribué (DDoS) amplification attaque cybernétique envoie une requête avec une adresse IP source usurpée à un service légitime, qui envoie la réponse à l'adresse indiquée, la spammant avec du trafic entrant indésirable. Bien que le contenu de cette réponse soit valide et ne viole aucune règle de pare-feu, il s'agit d'une réponse sans demande correspondante.

Cependant, il n'est possible de le déterminer qu'en connaissant les paquets précédents.

Les pare-feu SPI suivent en interne l'état des connexions réseau sur la base des adresses IP source et destination et des numéros de port. Ces informations identifient de manière unique une connexion et permettent au pare-feu d'enregistrer son état actuel.

Lorsque le pare-feu voit un nouveau paquet, il vérifie l'état actuel de la connexion réseau et détermine si le paquet est valide ou non dans le contexte de cette connexion. Cette vérification supplémentaire - au-delà des règles de pare-feu utilisées par le pare-feu sans état - lui permet d'identifier et de bloquer différents types d'attaques telles que les attaques d'amplification DDoS, les balayages ACK et d'autres trafics malveillants qui ne sont pas valides dans leur contexte.

Mise en œuvre de pare-feu SPI dans l'infrastructure du réseau

Les pare-feu sont généralement déployés à la périphérie du réseau de l'entreprise, séparant les environnements internes de l'entreprise de l'Internet public. Dans certains cas, un pare-feu SPI peut incorporer une fonctionnalité de routage et agir comme une solution multifonctionnelle.

Lors de la sélection et du déploiement d'un pare-feu réseau, il est important de prendre en compte les besoins de votre entreprise et les fonctionnalités requises. Voici quelques éléments à prendre en compte :

• Pare-feu de nouvelle génération (NGFW) : Tous les NGFW offrent des capacités d'inspection avec état, mais tous les pare-feu SPI n'ont pas les fonctionnalités d'un NGFW. L'éventail plus large de capacités de sécurité intégrées des NGFW les rend mieux à même d'identifier les cybermenaces plus modernes et plus sophistiquées.
• Pare-feu alimenté par l'IA: L'intelligence artificielle et l'apprentissage machine (IA/ML) sont bien adaptés à l'analyse d'une multitude de données relatives au réseau et à la sécurité afin d'identifier les menaces probables pour le réseau. Au fur et à mesure que la technologie évolue, les NGFW intégrant l'IA et le ML dépasseront leurs homologues en termes de prévention des menaces, de capacités de réponse et d'efficacité.
• Capacités de l'informatique en nuage: Avec l'expansion de l'informatique en nuage, les entreprises ont besoin d'un pare-feu capable d'évoluer pour répondre aux besoins de ces environnements en mutation rapide. En outre, cloud-native pare-feu peut tirer parti de cloud évolutivité pour minimiser les impacts de performance et de latence de l'inspection de sécurité pour les solutions sur site et basées sur cloud.