Kaj je požarni zid SPI?

Požarni zid preprečuje nepooblaščen dostop do omrežja podjetja z uporabo. Požarni zid SPI presega preverjanje pristnosti samo glave paketa in ciljnih vrat s sistemom filtriranja brez stanja, saj preveri celotno vsebino paketa, preden se odloči, ali mu dovoli prehod v omrežje. Ta večja raven nadzora zagotavlja veliko bolj zanesljivo varnost in ustrezne informacije o omrežnem prometu kot sistem filtriranja brez stanja.

Slabosti pregleda paketov brez stanja

V članku iz februarja 2002 za Security Pro News avtor Jay Fougere ugotavlja, da čeprav lahko filtri IP brez stanja učinkovito usmerjajo promet in malo zahtevajo računalniške vire, predstavljajo resne pomanjkljivosti pri varnosti omrežja. Filtri brez stanja ne zagotavljajo preverjanja pristnosti paketov, ni jih mogoče programirati za odpiranje in zapiranje povezav kot odgovor na določene dogodke in ponujajo preprost dostop do omrežja hekerjem, ki uporabljajo ponarejanje naslovov IP, pri čemer imajo dohodni paketi ponarejen naslov IP, ki ga požarni zid identificira kot prihaja iz zaupanja vrednega vira.

Kako požarni zid SPI ureja dostop do omrežja

Požarni zid SPI beleži identifikatorje vseh paketov, ki jih posreduje njegovo omrežje, in ko dohodni paket poskuša pridobiti dostop do omrežja, lahko požarni zid ugotovi, ali gre za odziv na paket, poslan iz njegovega omrežja, ali če je nenaročen. Požarni zid SPI lahko uporablja seznam za nadzor dostopa, zbirko podatkov zaupanja vrednih subjektov in njihovih privilegijev za dostop do omrežja. Požarni zid SPI se lahko sklicuje na ACL, ko natančno pregleduje kateri koli paket, da ugotovi, ali je prišel iz zaupanja vrednega vira, in če je, kam ga je mogoče usmeriti znotraj omrežja.

Odziv na sumljiv promet

Požarni zid SPI je mogoče programirati tako, da izpusti vse pakete, poslane iz virov, ki niso navedeni v seznamu ACL, kar pomaga preprečiti napad zavrnitve storitve, pri katerem napadalec preplavi omrežje z dohodnim prometom, da bi zajezil njegove vire in upodabljal ne more odgovoriti na zakonite zahteve. Netgear's website notes in its "Security:Comparing NAT, Static Content Filtering, SPI, and Firewalls" article that SPI firewalls can also examine packets for characteristics of those used in known hacking exploits, such as DoS attacks and IP spoofing, and drop any packet that it recognizes as potentially malicious.

Deep Packet Inspection

Deep packet inspection offers advanced functionality over SPI and is capable of examining packet contents in real-time while delving deep enough to recover information such as the full text of an email. Routers equipped with DPI can focus on traffic from specific sites or to specific destinations, and can be programmed to perform specific actions, such as logging or dropping packets, when packets meet a source or destination criteria. DPI-enabled routers can also be programmed to examine particular types of data traffic, such as VoIP or streaming media.