Как работает файрвол: Firewall (Брандмауэр) | StormWall

Межсетевой экран — что это такое и как он работает

Брандмауэр, Файрвол или Межсетевой экран – это средство защиты сети от злоумышленников. Он работает, как фильтр 24/7, непрерывно сканируя данные, проходящие в вашу сеть и препятствуя прохождению подозрительных данных. В статье подробно разберём, как работают брандмауэры и какие виды межсетевых экранов бывают.

Как работает межсетевой экран

Если взять простой пример, то брандмауэр напоминает бдительного охранника, который знает в лицо миллионы потенциальных преступников. Он осматривает всех людей, входящих в здание, и если видит среди них одного из злоумышленников, то не впускает его внутрь. Аналогично работает брандмауэр, обеспечивая мониторинг и регулирование трафика, входящего и исходящего из вашей сети. Это достигается с помощью различных методов, включая фильтрацию пакетов, прокси-сервис и проверку с отслеживанием состояния. Помимо этого, файрвол может предотвратить использование системы злоумышленником для распространения вредоносного кода.

Что умеет межсетевой экран

1. Прекратить подмену трафика. Если ваш компьютер обменивается данными с другим компьютером, при этом IP-адреса обоих устройств известны. Мошенники могут подделать свой траффик под данные, исходящие из одного из легитимных компьютеров, но при этом отправить его с другого IP. Межсетевой экран заметит подмену и не позволит ложному траффику проникнуть в вашу сеть.

2. Оградить сеть от DDoS-атак. Если злоумышленники отправляют на ваше устройство множественные запросы с зараженных устройств, пытаясь вывести ваши ресурсы из строя, брандмауэр может это обнаружить и отфильтровать.

3. Остановить передачу данных на незнакомый IP-адрес. Если вы скачали и установили на компьютер вредоносное ПО, оно может попытаться передать ваши данные злоумышленнику. Межсетевой экран способен автоматически остановить этот процесс.

Методы защиты компьютера

Защита осуществляется с помощью следующих средств:

Пакетная фильтрация. Данные организованы в пакеты. Когда брандмауэр выполняет фильтрацию, он проверяет пакеты данных, сравнивая их с фильтрами, содержащими информацию о вредоносных данных. Если пакет данных соответствует параметрам угрозы, он блокируется, а безопасные пакеты пропускаются дальше.

Прокси-сервис. В данном случае брандмауэр выступает посредником между компьютером и всеми устройствами, которые пытаются к нему подключиться. Он не позволяет злоумышленникам напрямую подключаться к вашему компьютеру.

Контроль состояния. Межсетевой экран проверяет каждый пакет данных и сравнивает его с базой данных угроз. В процессе проверки брандмауэр проверяет, откуда поступают данные, какие порты они используют и с какими приложениями они связаны. Если пакет данных проходит проверку, ему разрешается доступ. В противном случае он не будет пропущен. 

Виды межсетевых экранов

Далее поговорим о разновидностях файрволов.

Аппаратные

Такой межсетевой экран работает независимо от защищаемого компьютера и фильтрует информацию, поступающую из Интернета в систему.  Если у вас есть интернет-маршрутизатор, то скорее всего в нём присутствует собственный брандмауэр.

Аппаратный межсетевой экран проверяет данные, поступающие из интернета, и решает, безопасны ли они. Он проверяет каждый пакет данных и выясняет, откуда он поступил и где находится. Данные, которые брандмауэр собирает о каждом пакете, затем сравниваются со списком разрешений, чтобы определить, соответствуют ли они профилю данных, которые следует отклонить. Вы можете купить межсетевой экран Cisco или Zyxel, и он сможет защитить все подключенные к нему компьютеры, что делает его легко масштабируемым решением.

Получить консультацию об облачных сервисахЗаказать звонок

Программные брандмауэры

В отличие от аппаратных, программный брандмауэр устанавливается на самом компьютере. Он может быть настроен пользователем в соответствии с его потребностями. Программный межсетевой экран фильтрует входящие и исходящие данные, проверяя на вредоносность, а также может отслеживать трафик, пытающийся покинуть ваш компьютер, предотвращая его использование для атак на другие сети или устройства.

 Программный брандмауэр должен быть установлен на каждом компьютере в сети, он может одновременно защищать только один ПК.

Как сетевой экран защищает информацию?

Файрвол способен предотвратить следующие угрозы безопасности:

• Бэкдоры. Ряд приложений позволяет обеспечить удаленный доступ к компьютеру, иногда в них бывают ошибки, которые позволяют злоумышленникам, как через «черный ход» проникнуть в систему. Такие же ошибки-лазейки бывают и в самой операционной системе.
• Отказ в обслуживании. Кибератака, способная привести к сбою работы сервера. На компьютер отправляется запрос соединения, но сервер не находит адресата. Из-за переполненности односторонними запросами, работа сервера сильно замедляется.
• Макросы.  Это особые сценарии, которые позволяют запустить серию сложных процессов с помощью одного исполняемого правила. Получив доступ к приложениям на компьютере, злоумышленник может запустить там собственные вредоносные макросы. Это может привести к утере данных или сбою работы системы.
• Дистанционный доступ к системе. Кто-то со стороны может получить доступ к вашему компьютеру и выполнять на нём различные действия. Если это будет хакер, то он сможет получить доступ к вашим конфиденциальным данным, запускать нежелательное ПО и т.п.
• Спам.  Сам по себе он не опасен, но зачастую в нём содержатся ссылки на вредоносные ресурсы. Переход по такой ссылке может нести угрозу системе.
• Вирусы.  Это самовоспроизводящиеся программы, которые распространяются между устройствами в интернете. Вирусы способны нанести значительный ущерб, начиная с кражи данных и, заканчивая, получением доступа к вашему компьютеру.

Правильная настройка межсетевого экрана позволит защитить от большинства киберугроз, однако не от всех. Поэтому рекомендуется сочетать их с другими средствами защиты.

anti ddos

Как работает межсетевой экран? Типы межсетевых экранов

Сеть нуждается в защите от внешних угроз. Хищение данных, несанкционированный доступ и повреждения могут сказаться на работе сети и принести серьезные убытки. Используйте специальные программы и устройства, чтобы обезопасить себя от разрушительных воздействий. В этом обзоре мы расскажем об межсетевом экране и рассмотрим его основные типы.

Назначение межсетевых экранов

Межсетевые экраны (МСЭ) или файрволы — это аппаратные и программные меры для предотвращения негативных воздействий извне. Файрвол работает как фильтр: из всего потока трафика просеивается только разрешенный. Это первая линия защитных укреплений между внутренними сетями и внешними, такими как интернет. Технология применяется уже на протяжении 25 лет.

Необходимость в межсетевых экранах возникла, когда стало понятно, что принцип полной связности сетей больше не работает. Компьютеры начали появляться не только в университетах и лабораториях. С распространением ПК и интернета возникла необходимость отделять внутренние сети от небезопасных внешних, чтобы уберечься от злоумышленников и защитить компьютер от взлома.

Для защиты корпоративной сети устанавливают аппаратный межсетевой экран — это может быть отдельное устройство или часть маршрутизатора. Однако такая практика применяется не всегда. Альтернативный способ — установить на компьютер, который нуждается в защите, программный межсетевой экран. В качестве примера можно привести файрвол, встроенный в Windows.

Имеет смысл использовать программный межсетевой экран на корпоративном ноутбуке, которым вы пользуетесь в защищенной сети компании. За стенами организации вы попадаете в незащищенную среду — установленный файрвол обезопасит вас в командировках, при работе в кафе и ресторанах.

Как работает межсетевой экран

Фильтрация трафика происходит на основе заранее установленных правил безопасности. Для этого создается специальная таблица, куда заносится описание допустимых и недопустимым к передаче данных. Межсетевой экран не пропускает трафик, если одно из запрещающих правил из таблицы срабатывает.

Файрволы могут запрещать или разрешать доступ, основываясь на разных параметрах: IP-адресах, доменных именах, протоколах и номерах портов, а также комбинировать их.

• IP-адреса. Каждое устройство, использующее протокол IP, обладает уникальным адресом. Вы можете задать определенный адрес или диапазон, чтобы пресечь попытки получения пакетов. Или наоборот — дать доступ только определенному кругу IP-адресов.
• Порты. Это точки, которые дают приложениям доступ к инфраструктуре сети. К примеру, протокол ftp пользуется портом 21, а порт 80 предназначен для приложений, используемых для просмотра сайтов. Таким образом, мы получаем возможность воспрепятствовать доступу к определенным приложениям и сервисам.
• Доменное имя. Адрес ресурса в интернете также является параметром для фильтрации. Можно запретить пропускать трафик с одного или нескольких сайтов. Пользователь будет огражден от неприемлемого контента, а сеть от пагубного воздействия.
• Протокол. Файрвол настраивается так, чтобы пропускать трафик одного протокола или блокировать доступ к одному из них. Тип протокола указывает на набор параметров защиты и задачу, которую выполняет используемое им приложение.

 

Типы МСЭ

1. Прокси-сервер

Один из родоначальников МСЭ, который выполняет роль шлюза для приложений между внутренними и внешними сетями. Прокси-серверы имеют и другие функции, среди которых защита данных и кэширование. Кроме того, они не допускают прямые подключения из-за границ сети. Использование дополнительных функций может чрезмерно нагрузить производительность и уменьшить пропускную способность.

2. МСЭ с контролем состояния сеансов

Экраны с возможностью контролировать состояние сеансов — уже укоренившаяся технология. На решение принять или блокировать данные влияет состояние, порт и протокол. Такие версии следят за всей активностью сразу после открытия соединения и вплоть до самого закрытия. Блокировать трафик или не блокировать система решает, опираясь на установленные администратором правила и контекст. Во втором случае учитываются данные, которые МСЭ дали прошлые соединения.

3. МСЭ Unified threat management (UTM)

Комплексное устройство. Как правило, такой межсетевой экран решает 3 задачи:

• контролирует состояние сеанса;
• предотвращает вторжения;
• занимается антивирусным сканированием.

Порой фаерволы, усовершенствованные до версии UTM, включают и другой функционал, например: управление облаком.

4. Межсетевой экран Next-Generation Firewall (NGFW)

Ответ современным угрозам. Злоумышленники постоянно развивают технологии нападения, находят новые уязвимости, совершенствуют вредоносные программы и усложняют для отражения атаки на уровне приложений. Такой файрвол не только фильтрует пакеты и контролирует состояние сеансов. Он полезен в поддержании информационной безопасности благодаря следующим функциям:

• учет особенностей приложений, который дает возможность идентифицировать и нейтрализовать вредоносную программу;
• оборона от непрекращающихся атак из инфицированных систем;
• обновляемая база данных, которая содержит описание приложений и угроз;
• мониторинг трафика, который шифруется с помощью протокола SSL.

5. МСЭ нового поколения с активной защитой от угроз

Данный тип межсетевого экрана — усовершенствованная версия NGFW. Это устройство помогает защититься от угроз повышенной сложности. Дополнительный функционал умеет:

• учитывать контекст и находить ресурсы, которые находятся под наибольшим риском;
• оперативно отражать атаки за счет автоматизации безопасности, которая самостоятельно управляет защитой и устанавливает политики;
• выявлять отвлекающую или подозрительную активность, благодаря применению корреляции событий в сети и на компьютерах;

В этой версии межсетевого экрана NGFW введены унифицированные политики, которые значительно упрощают администрирование.

Недостатки МСЭ

Межсетевые экраны обороняют сеть от злоумышленников. Однако необходимо серьезно отнестись к их настройке. Будьте внимательны: ошибившись при настройке параметров доступа, вы нанесете вред и файрвол будет останавливать нужный и ненужный трафик, а сеть станет неработоспособной.

Применение межсетевого экрана может стать причиной падения производительности сети. Помните, что они перехватывают весь входящий трафик для проверки. При крупных размерах сети чрезмерное стремление обеспечить безопасность и введение большего числа правил приведет к тому, что сеть станет работать медленно.

Зачастую одного файрвола недостаточно, чтобы полностью обезопасить сеть от внешних угроз. Поэтому его применяют вместе с другими программами, такими как антивирус.

Как работает брандмауэр?

Ответ на вопрос, что такое брандмауэр : брандмауэр помогает защитить вашу сеть от злоумышленников. Брандмауэр защищает вашу сеть, потому что он действует как фильтр 24/7, сканируя данные, которые пытаются проникнуть в вашу сеть, и предотвращая прохождение всего, что выглядит подозрительно.

Простой способ объяснить, как работает брандмауэр, состоит в том, чтобы думать о нем как о охраннике, хорошо осведомленном о миллионах потенциальных преступников. Если охранник увидит его, он или она не пускает преступника в здание.

Точно так же защита брандмауэра обеспечивается мониторингом и регулированием трафика, входящего и исходящего из вашей сети. Это достигается с помощью нескольких различных методов, включая фильтрацию пакетов, прокси-сервис и проверку с отслеживанием состояния.

Брандмауэры могут быть аппаратными или программными, и они образуют стену между вашей сетью и Интернетом или между сегментами вашей сети и остальной частью вашей системы. Брандмауэры не только защищают вашу сеть от вредоносного кода, но некоторые из них, поскольку они могут проверять данные как входящие, так и исходящие, могут также предотвратить использование вашей системы злоумышленником для распространения вредоносного кода.

Аппаратный брандмауэр — это система, работающая независимо от защищаемого компьютера, поскольку она фильтрует информацию, поступающую из Интернета в систему. Если у вас есть широкополосный интернет-маршрутизатор, он, вероятно, имеет собственный брандмауэр.

Для защиты вашей системы аппаратный брандмауэр проверяет данные, поступающие из различных частей Интернета, и проверяет их безопасность. Аппаратные брандмауэры, использующие фильтрацию пакетов, проверяют каждый пакет данных и проверяют, откуда он поступает и где находится. Данные, которые брандмауэр собирает о каждом пакете, затем сравниваются со списком разрешений, чтобы определить, соответствуют ли они профилю данных, которые следует отбросить. Аппаратный брандмауэр может защитить все подключенные к нему компьютеры, что делает его легко масштабируемым решением.

^{“ Как работает брандмауэр? Межсетевые экраны, такие как Fortigate 3500F, и программное обеспечение фильтруют входящий и исходящий компьютерный сетевой трафик (пакеты данных) на основе правил безопасности. Брандмауэры защищают от несанкционированного доступа».}

Программный брандмауэр — это программа, используемая компьютером для проверки данных, входящих и исходящих из устройства. Он может быть настроен пользователем в соответствии со своими потребностями. Как и аппаратные брандмауэры, программные брандмауэры фильтруют данные, проверяя, соответствуют ли они или их поведение профилю вредоносного кода.

Программные брандмауэры также могут отслеживать трафик, пытающийся покинуть ваш компьютер, предотвращая его использование для атак на другие сети или устройства. Программный брандмауэр должен быть установлен на каждом компьютере в сети. Таким образом, программный брандмауэр может одновременно защищать только один компьютер.

Брандмауэры используют различные методы для защиты вашей сети или компьютера. Среди них:

Пакетная фильтрация

Данные организованы в пакеты. Когда брандмауэр выполняет фильтрацию пакетов, он проверяет пакеты данных, сравнивая их с фильтрами, которые состоят из информации, используемой для выявления вредоносных данных. Если пакет данных соответствует параметрам угрозы, определенным фильтром, он отбрасывается, и ваша сеть защищена. Пакеты данных, которые считаются безопасными, могут проходить.

Прокси-сервис

При использовании службы прокси брандмауэр действует как посредник между вашим компьютером и всем, что пытается к нему подключиться. Прокси-брандмауэр подобен зеркалу вашего компьютера и обнаруживает злоумышленников, пытающихся проникнуть на ваше устройство.

Прокси-брандмауэры — это безопасное решение, поскольку они обеспечивают разделение между вашим компьютером и Интернетом. Злоумышленникам часто необходимо подключиться напрямую к вашему компьютеру, чтобы атаковать его. Поскольку между вашим компьютером и Интернетом находится прокси-сервер, хакеры не могут установить с ним прямое соединение, что делает их атаки бесполезными.

Однако существуют приложения, которые прокси-серверы не поддерживают, и если одно из них важно для вашего бизнеса, это может создать проблему. Например, известно, что Spotify, Google Play и QWebView имеют проблемы при взаимодействии с прокси-сервером. Прокси-серверы также имеют тенденцию работать медленнее, чем другие типы брандмауэров, что может снизить пропускную способность и повлиять на важные бизнес-процессы.

Контроль состояния

Брандмауэр с контролем состояния проверяет каждый пакет данных и сравнивает его с базой данных угроз. В процессе проверки брандмауэр проверяет, откуда поступают данные, какие порты они используют и с какими приложениями они связаны. Если пакет данных проверяется, ему разрешается пройти. В противном случае он отбрасывается.

Инспекция с отслеживанием состояния может также собирать информацию о пакетах данных, которые проходят через нее, и использовать ее для получения более глубокого понимания данных, которые могут представлять потенциальную угрозу в будущем.

Фильтры брандмауэра

удерживают вредоносные данные за пределами вашего компьютера. Некоторые из основных рисков, от которых брандмауэры защищают ваш компьютер, включают бэкдоры, атаки типа «отказ в обслуживании» (DoS), макросы, удаленный вход в систему, спам и вирусы.

Бэкдоры — это «двери» к приложениям с уязвимостями, которые злоумышленники используют для проникновения внутрь. Сюда входят операционные системы, в которых могут быть ошибки, которые хакеры могут использовать для получения доступа к вашему компьютеру.

DoS-атаки выполняются, когда хакер запрашивает разрешение на подключение к серверу, а когда сервер отвечает, он не может найти систему, которая сделала запрос. Когда это делается снова и снова, сервер переполняется и ему приходится тратить столько энергии, чтобы справиться с массой запросов, что делает его неспособным удовлетворить потребности законных посетителей. В некоторых случаях сервер должен полностью отключиться. Есть некоторые брандмауэры, которые могут проверять законность запросов на подключение и, таким образом, защищать вашу сеть от DoS-атак.

Макросы — это сценарии, запускаемые приложениями для автоматизации процессов. Макрос может содержать ряд зависимых шагов, которые запускаются одной командой. Хакеры разрабатывают или покупают макросы, предназначенные для работы в определенных приложениях. Макрос может быть спрятан внутри, казалось бы, невинных данных, и как только он попадет на ваш компьютер, он нанесет ущерб вашей системе. Брандмауэр может обнаруживать вредоносные макросы, когда он проверяет пакеты данных, которые пытаются пройти.

Удаленный вход в систему часто используется, чтобы помочь кому-то решить проблему с компьютером. Однако в руках не того человека ими можно злоупотреблять, особенно потому, что удаленный вход в систему обеспечивает почти полный доступ к вашей системе.

Спам иногда может содержать ссылки на вредоносные веб-сайты. Эти типы сайтов активируют вредоносный код, который принудительно загружает файлы cookie на компьютер. Файлы cookie создают лазейки, с помощью которых хакеры могут получить доступ к компьютеру. Предотвратить спам-атаку часто так же просто, как не нажимать ничего подозрительного в электронном письме, независимо от того, кто является отправителем. Брандмауэр может проверять вашу электронную почту и предотвращать заражение вашего компьютера.

Вирусы, попав на компьютер, копируют себя и распространяются на другое устройство в сети. Вирусы можно использовать для самых разных целей, от относительно безобидных действий до стирания данных на вашем компьютере. Брандмауэры могут проверять пакеты данных на наличие вирусов, но лучше использовать антивирусное программное обеспечение в сочетании с брандмауэром, чтобы обеспечить максимальную безопасность.

Решение Fortinet FortiGate — это брандмауэр нового поколения (NGFW), который фильтрует трафик для защиты вашей сети от атак как извне, так и изнутри. Он использует фильтрацию пакетов, безопасность интернет-протокола (IPsec), проверку уровня защищенных сокетов (SSL), сопоставление интернет-протокола (IP), мониторинг сети и глубокую проверку. В результате FortiGate помогает предотвратить проникновение вредоносных программ в вашу систему, а также выявлять атаки до того, как они повлияют на вашу сеть.

Кроме того, FortiGate постоянно получает информацию о новых методах, которые киберпреступники используют для проникновения в сети. Благодаря этой возможности FortiGate представляет собой рефлексивное автоматизированное решение для обнаружения угроз, которое не отстает от последних опасностей в ландшафте.

Ресурсы

Тематические исследования

Поставщик правоохранительных технологий Лексмарк

Краткое описание решения

Выбор межсетевого экрана нового поколения

Белые бумаги

7 важных аспектов производительности брандмауэра в эпоху безопасной удаленной работы Как правильно выбрать межсетевой экран для малого бизнеса

Как работают брандмауэры : TechWeb : Бостонский университет

Что такое брандмауэр?

Брандмауэр вокруг компьютера или сети похож на стену вокруг замка или города. Он защищает компьютер или сеть, ограничивая точки доступа и предоставляя критерии, которые должны быть соблюдены, прежде чем будет разрешен вход.

В физическом мире охранник может принимать решения, основываясь на том, куда человек пытается пойти, откуда он пришел или на том и другом, прежде чем принять его. Брандмауэр работает аналогично, просматривая каждые пакет данных, чтобы определить, откуда он пришел и куда направляется, или и то, и другое, и принять решение о том, должен ли пакет быть принят и разрешено продолжить свой путь, или он должен быть отклонен или отброшен . Как и в реальном мире, отклоненный пакет выводится из шлюза и отправляется обратно туда, откуда он пришел. В отличие от реального мира, отброшенный пакет просто перестает существовать.

Брандмауэр может быть реализован как аппаратное устройство (например, брандмауэр Linksys или Netgear, который можно купить в магазине электроники) или как программное обеспечение, такое как брандмауэр Windows или брандмауэр MacOS. Пользователи Unix и Linux могут быть знакомы с брандмауэром iptables.

Что такое политика или набор правил брандмауэра?

Брандмауэр определяет, какие пакеты следует принимать, отклонять или отбрасывать на основе его политики. Большинство брандмауэров только принимают или отбрасывают; отклонение пакета возможно, но редко. Отклонение пакетов часто пропускается, потому что отклоненный пакет будет использовать больше полосы пропускания на обратном пути, а также потому, что исходная система будет считать, что если она не получит ответа от удаленной системы, что пакет был отброшен, и будет действовать соответствующим образом (попробуйте еще раз). или отказаться).

Когда кто-то решает внедрить брандмауэр, он обычно хорошо представляет, что он должен делать. Например, брандмауэр должен разрешать трафик на мой веб-сервер, но должен запрещать весь другой трафик. Это утверждение является примером политики брандмауэра . Человек, реализующий эту политику в брандмауэре, иногда называемый администратором брандмауэра, преобразует эту политику в ряд технических утверждений, называемых набором правил, которые сообщают аппаратному или программному обеспечению, что делать.

Брандмауэры имеют настройку по умолчанию, и эта настройка по умолчанию обычно запрещает весь трафик. Брандмауэр Windows ведет себя таким образом. Пользователи Windows, которые активировали брандмауэр Windows, могут быть знакомы с появлением диалогового окна с вопросом, можно ли разрешить приложению принимать соединение в сети. Если это разрешено, программное обеспечение брандмауэра Windows добавляет в набор правил правило, указывающее, что трафик к этому приложению должен быть разрешен. Через панель управления брандмауэра Windows вы можете добавлять и удалять правила из брандмауэра.

Написание правила брандмауэра

Панель управления брандмауэром Windows и другие подобные графические интерфейсы пользователя пытаются скрыть сложность написания правила брандмауэра. В Бостонском университете сотрудники службы безопасности IS&T могут помочь вам написать правила для программного обеспечения брандмауэра Unix или Linux, которому не хватает более простого графического интерфейса, или когда вам нужна помощь в создании политики, которая является более сложной, чем позволяет интерфейс.

Вкратце можно сказать, что большая часть трафика, достигающего вашего брандмауэра, будет трафиком Интернет-протокола (IP), использующим один из трех основных протоколов транспортного уровня: TCP, UDP или ICMP. Все три типа имеют исходный адрес и адрес назначения, однозначно определяющие компьютер, который отправил или должен получить пакет данных. И TCP, и UDP также имеют номера портов , число от 0 до 65 535, которое помогает идентифицировать приложение, инициировавшее подключение. Например, большинство веб-серверов используют TCP-порт 80, поэтому пакет, направляемый на веб-сервер, должен иметь адрес назначения веб-сервера и номер порта назначения 80. ICMP не использует номера портов, а вместо этого имеет код типа, который определяет цель пакета. ICMP обычно используется для отладки сетевых проблем или информирования систем о проблеме. Если вы когда-либо использовали ping , вы сгенерировали пакеты ICMP.

Вы также можете знать, что пакеты TCP имеют флаги , которые указывают на состояние соединения между двумя хостами. Эти флаги имеют такие имена, как SYN, FIN, ACK и RST. Пакет, предназначенный для инициации соединения, будет иметь только флаг SYN. Вся последующая связь между двумя системами будет иметь флаг ACK. Брандмауэры могут быть настроены на поиск пакетов, для которых установлен только флаг SYN, и рассматривать их как новые соединения, где предполагается, что пакеты с флагом ACK являются частью существующего соединения. Это имеет значение для безопасности, поскольку отправитель пакета может контролировать, какие флаги присутствуют, но это может быть эффективным первым проходом при идентификации новых и существующих соединений.

Необходимо многое знать о сетевых коммуникациях, и для написания сложных правил брандмауэра может потребоваться кое-что узнать об этом. Мы предоставили несколько ссылок для людей, которые хотят узнать больше.

• Обзор работы брандмауэров с сайта howstuffworks.com
• Некоторая дополнительная информация о брандмауэрах от Принстонского университета
• Объяснение Microsoft трехстороннего рукопожатия TCP
  
• 7-уровневая модель OSI согласно wikipdeia
• Обсуждение аномальных типов IP-трафика на сайте SecurityFocus. com

В чем разница между брандмауэром на основе хоста и сетевым брандмауэром?

Межсетевой экран на базе хоста устанавливается на отдельный компьютер для защиты от действий, происходящих в его сети. Политика может влиять на то, какой трафик компьютер принимает из Интернета, из локальной сети или даже от самого себя.

Сетевой брандмауэр реализуется в указанной точке сетевого пути и защищает все компьютеры на «внутренней» стороне брандмауэра от всех компьютеров на «внешней» стороне брандмауэра. Сетевые брандмауэры могут быть установлены на периметр или край сети для защиты корпорации от хостов в Интернете, или внутри для защиты одного сегмента сообщества от другого, например, для отделения корпоративных и жилых систем или исследовательских систем от систем маркетинга . Сетевой брандмауэр не может защитить один компьютер от другого в той же сети или любой компьютер от самого себя.

Что такое межсетевой экран с отслеживанием состояния?

Брандмауэр с отслеживанием состояния — это больше, чем часовой на границе, который проверяет каждый пакет по мере его прохождения. Чтобы сохранять состояние, брандмауэр также хранит исторические записи трафика и, таким образом, может принимать более сложные решения о том, следует ли принимать исследуемый пакет.

Например, в трехстороннем рукопожатии TCP для первого пакета от клиента к серверу должен быть установлен только флаг SYN. Первый ответ сервера будет иметь установленные флаги SYN и ACK (также известный как пакет SYN-ACK). Третий пакет клиента и все последующие пакеты не будут иметь установленного флага SYN. Зная, как работает протокол, межсетевой экран с отслеживанием состояния может определить, что проверяется пакет SYN-ACK, для которого не было пакета SYN, и отклонить его. Брандмауэры с отслеживанием состояния также могут создавать записи внутреннего состояния для сеансов UDP и обрабатывать другие типы и виды трафика. Эти брандмауэры, как правило, не такие легкие, как брандмауэры без отслеживания состояния, но могут управлять гораздо более сложными правилами.

Что такое брандмауэр приложений?

Брандмауэр приложений — это специальный брандмауэр, специально закодированный для типа проверяемого трафика.