Što je SPI vatrozid?

Vatrozid sprječava neovlašteni pristup mreži poduzeća, koristeći SPI vatrozid koji nadilazi ispitivanje sustava za filtriranje bez statusa samo zaglavlja paketa i odredišnog priključka za autentifikaciju, provjeravajući cijeli sadržaj paketa prije nego što odredi treba li mu dopustiti prolaz u mrežu. Ova viša razina nadzora pruža mnogo snažniju sigurnost i relevantne informacije o mrežnom prometu od sustava za filtriranje bez stanja.

Slabosti Stateless Packet Inspection

U članku iz veljače 2002. za Security Pro News, autor Jay Fougere primjećuje da iako IP filteri bez statusa mogu učinkovito usmjeravati promet i malo zahtijevati računalne resurse, oni predstavljaju ozbiljne nedostatke u mrežnoj sigurnosti. Filtri bez statusa ne pružaju provjeru autentičnosti paketa, ne mogu se programirati za otvaranje i zatvaranje veza kao odgovor na određene događaje i nude lak pristup mreži hakerima koji koriste IP spoofing, u kojem dolazni paketi nose krivotvorenu IP adresu koju vatrozid identificira kao dolazi iz pouzdanog izvora.

Kako SPI vatrozid regulira pristup mreži

SPI vatrozid bilježi identifikatore svih paketa koje njegova mreža šalje i kada dolazni paket pokuša dobiti pristup mreži, vatrozid može utvrditi je li to odgovor na paket poslan s njegove mreže ili nije tražen. SPI vatrozid može koristiti popis kontrole pristupa, bazu podataka pouzdanih entiteta i njihovih povlastica pristupa mreži. SPI vatrozid može se pozvati na ACL kada pregledava bilo koji paket kako bi utvrdio dolazi li iz pouzdanog izvora i ako jest, kamo se može usmjeriti unutar mreže.

Reagiranje na sumnjivi promet

SPI vatrozid može se programirati da ispusti sve pakete poslane iz izvora koji nisu navedeni unutar ACL-a, pomažući u sprječavanju napada uskraćivanjem usluge, u kojem napadač preplavljuje mrežu dolaznim prometom u nastojanju da zatrpa njezine resurse i renderira ne može odgovoriti na legitimne zahtjeve. Netgear's website notes in its "Security:Comparing NAT, Static Content Filtering, SPI, and Firewalls" article that SPI firewalls can also examine packets for characteristics of those used in known hacking exploits, such as DoS attacks and IP spoofing, and drop any packet that it recognizes as potentially malicious.

Deep Packet Inspection

Deep packet inspection offers advanced functionality over SPI and is capable of examining packet contents in real-time while delving deep enough to recover information such as the full text of an email. Routers equipped with DPI can focus on traffic from specific sites or to specific destinations, and can be programmed to perform specific actions, such as logging or dropping packets, when packets meet a source or destination criteria. DPI-enabled routers can also be programmed to examine particular types of data traffic, such as VoIP or streaming media.