Cos'è un firewall SPI?
Un firewall previene accessi non autorizzati alla rete aziendale. Un firewall SPI va oltre l'ispezione stateless che esamina solo header e porta di destinazione del pacchetto per l'autenticazione, controllando l'intero contenuto del pacchetto prima di decidere se permetterne il passaggio. Questo controllo più approfondito fornisce sicurezza molto più robusta e informazioni pertinenti sul traffico di rete rispetto a un sistema stateless.
Debolezze ispezione pacchetti stateless
In un articolo del febbraio 2002 su Security Pro News, Jay Fougere nota che mentre i filtro IP stateless instradano efficientemente il traffico e richiedono poche risorse, presentano gravi carenze di sicurezza. I filtri stateless non forniscono autenticazione pacchetti, non possono essere programmati per aprire/chiudere connessioni in risposta a eventi specifici, e offrono facile accesso ad hacker via IP spoofing (pacchetti in entrata con IP falsificato che il firewall identifica come fonte fidata).
Come un firewall SPI regola l'accesso rete
Un firewall SPI registra gli identificatori di tutti i pacchetti che la sua rete trasmette. Quando un pacchetto in entrata tenta accesso, il firewall determina se è risposta a un pacchetto inviato dalla sua rete o se è non sollecitato. Può usare una access control list (ACL), database di entità fidate e loro privilegi di accesso. Il firewall SPI consulta l'ACL esaminando ogni pacchetto per determinare se proviene da fonte fidata e, in tal caso, dove instradarlo nella rete.
Risposta a traffico sospetto
Il firewall SPI può essere programmato per scartare pacchetti da fonti non nell'ACL, prevenendo attacchi denial-of-service (attaccante inonda la rete di traffico per saturare risorse e renderla incapace di rispondere a richieste legittime). Il sito Netgear nota nell'articolo "Security: Comparing NAT, Static Content Filtering, SPI, and Firewalls" che i firewall SPI possono anche esaminare pacchetti per caratteristiche di exploit noti (DoS, IP spoofing) e scartare quelli riconosciuti come potenzialmente malevoli.
Deep Packet Inspection
L'ispezione profonda dei pacchetti (DPI) offre funzionalità avanzate su SPI ed è capace di esaminare contenuti in tempo reale scavando abbastanza da recuperare informazioni come il testo completo di un'email. Router con DPI possono focalizzarsi su traffico da/siti specifici, e essere programmati per azioni specifiche (logging, drop) quando pacchetti incontrano criteri sorgente/destinazione. Router DPI possono anche esaminare tipi particolari di traffico dati, come VoIP o streaming media.