Was ist eine zustandsorientierte Firewall?

Eine Stateful-Firewall (SFW) verfolgt den Status aktiver Netzwerkverbindungen in einer Sitzungstabelle und gleicht die Paketinformationen der Schichten 2 bis 4 – Adressen, Ports und Protokoll – mit den bestehenden Sitzungen ab, bevor sie den entsprechenden Datenverkehr zulässt, verweigert oder zurückweist.

Die wichtigsten Erkenntnisse

• Verfolgt Verbindungen in einer Sitzungstabelle, anstatt jedes Paket einzeln zu bewerten.
• Gleicht Layer-2–4-Header mit bestehenden Sitzungen ab, um den Datenverkehr zuzulassen, zu verweigern oder abzulehnen.
• Günstiger im Betrieb als eine tiefgehende Überprüfung – nur eingehende Pakete müssen vollständig geprüft werden.
• Bei „ Versa “ (VOS) ist SFW eine mandantenbezogene Alternative zu NGFW und wird nicht mit dieser kombiniert.
• Konfiguration über strukturierte Sicherheitszugriffsrichtlinien mit Übereinstimmungsregeln und Aktionen.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · Zustandsbehaftete Firewall & Versa · Häufig gestellte Fragen

Warum ist eine zustandsorientierte Firewall wichtig?

Vor der zustandsorientierten Überprüfung filterten Firewalls Pakete einzeln anhand statischer Regeln, ohne zu speichern, ob ein Paket zu einer bereits zugelassenen Verbindung gehörte – ein schwacher Ansatz, da gefälschte Pakete einen zulässigen Datenaustausch vortäuschen konnten, und ein langsamer Ansatz, da jedes Paket vollständig ausgewertet werden musste. Zustandsorientierte Firewalls haben beide Probleme mit einer Sitzungstabelle behoben: Sobald eine Verbindung zugelassen ist, werden nachfolgende Pakete anhand der Tabelle statt anhand der gesamten Richtlinie geprüft, wodurch Datenverkehr blockiert wird, der nicht zu einer echten, nachverfolgten Sitzung gehört.

Diese Kombination aus strengerer Durchsetzung und geringeren Overhead-Kosten machte die zustandsorientierte Überprüfung zum Standard für jede Firewall – und erklärt, warum Firewalls der nächsten Generation unter ihren Layer-7-Funktionen nach wie vor eine zustandsorientierte Engine nutzen, anstatt diese zu ersetzen. Die Zustandstabelle ermöglicht zudem umfassendere Richtlinien: Regeln können sich nicht nur auf IP- und Port-Paare stützen, sondern auch auf das Sitzungsverhalten, Zonen und die Tageszeit.

Was ist eine zustandsorientierte Firewall?

Eine zustandsorientierte Firewall klassifiziert den Datenverkehr nach Zielport und verfolgt anschließend dessen Zustand bei jeder Interaktion, bis die Verbindung geschlossen wird. Wenn ein Paket eintrifft, überprüft die Firewall ihre Sitzungstabelle auf eine bestehende Verbindung oder eine übereinstimmende Anfrage; wenn keine Übereinstimmung vorliegt, wird das Paket stattdessen anhand der Zugriffsrichtlinie geprüft.

Diese Richtlinie ist eine geordnete Reihe von Regeln, die Abgleichkriterien – IP-Header, Domänennamen, Dienste nach Port und Protokoll, Quell- und Zielzonen, geografischer Standort und zeitliche Planung – mit Durchsetzungsmaßnahmen kombiniert: Protokollierung (Start, Ende, beides oder nie) und eine Entscheidung (zulassen, verweigern oder ablehnen mit einem TCP-Reset oder einer ICMP-Meldung „Port nicht erreichbar“). Die Regeln werden der Reihe nach ausgewertet, und die erste Übereinstimmung ist maßgebend; daher haben spezifische Regeln Vorrang vor generischen – danach werden Pakete, die einer nachverfolgten Sitzung entsprechen, mit deutlich geringerem Verarbeitungsaufwand durchgelassen als bei einer vollständigen erneuten Überprüfung.

Arten von zustandsorientierten Firewalls

Es gibt drei allgemeine Modelle. Die traditionelle Stateful Packet Inspection (SPI) ist das klassische Modell: reine Session-Verfolgung auf den Schichten 3 und 4 anhand einer Statustabelle, ohne Berücksichtigung der Anwendungsinhalte. Hybride zustandsorientierte Firewalls mit ALG-Unterstützung bieten eine begrenzte Unterstützung auf Anwendungsebene – ein Application Layer Gateway versteht Protokolle wie FTP oder SIP, die dynamische Sekundärverbindungen eröffnen, und verfolgt diese ohne vollständige Deep Packet Inspection. Virtuelle und softwarebasierte zustandsorientierte Firewalls entkoppeln die Funktion von dedizierter Hardware und laufen stattdessen als virtuelle Netzwerkfunktion auf einem SD-WAN-Edge-Gerät oder einer Cloud-Instanz – das Modell, das heute von den meisten „ SASE “-Plattformen verwendet wird.

Stateful-Firewall & Versa

VOS bietet pro Mandant neben der Next-Generation-Firewall (NGFW) eine Stateful-Firewall als einen von zwei Firewall-Modi an; ein Mandant nutzt entweder den einen oder den anderen Modus – wenn eine Lizenz NGFW umfasst, werden die Optionen für die Stateful-Firewall in der Director-Benutzeroberfläche nicht angezeigt. Die Einrichtung folgt in beiden Fällen dem gleichen Modell: Siehe „Stateful Firewall konfigurieren“ für den Standardablauf oder „Stateful Firewall (NGFW) konfigurieren“ für den entsprechenden Ablauf auf Geräten mit NGFW-Lizenz. VOS kombiniert außerdem ein Application Layer Gateway mit der Stateful Firewall für Protokolle wie FTP und SIP. Da VOS QUIC nicht entschlüsselt, müssen Administratoren den QUIC-Datenverkehr blockieren, damit die Sicherheitsmodule korrekt funktionieren.

Da VOS Multitenancy unterstützt, kann die Stateful-Firewall für einen Mandanten aktiviert werden, während ein anderer Mandant eine NGFW nutzt. Dies erfolgt über Abonnementpläne wie „Default-Stateful-FW-Plan“ oder „Default-SFW-IPSEC-CGNAT-Plan“, die die Stateful-Firewall mit Diensten wie IPsec und CGNAT kombinieren. Die Stateful-Firewall ist seit Release 20.2 verfügbar.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einer Stateful-Firewall und einer Next-Generation-Firewall (NGFW)?

Eine zustandsorientierte Firewall überprüft Informationen der Schichten 2 bis 4 – Adressen, Ports und den Sitzungsstatus. Eine NGFW bietet zusätzlich Funktionen zur Erkennung von Anwendungen der Schicht 7, wie beispielsweise Deep Packet Inspection und Anwendungsidentifizierung. Auf dem „ Versa “ VOS werden SFW und NGFW als separate, pro Mandant lizenzierte Alternativen angeboten und nicht miteinander kombiniert.

Was ist eine zustandslose Firewall und worin unterscheidet sie sich?

Eine zustandslose Firewall prüft jedes Paket einzeln anhand statischer Regeln, ohne frühere Pakete der Verbindung zu berücksichtigen. Eine zustandsbeachtende Firewall hingegen speichert jede Verbindung in einer Sitzungstabelle, sodass nur das erste Paket einer vollständigen Regelprüfung anhand der Richtlinie unterzogen werden muss.

Was ist eine Sitzungstabelle (Zustandstabelle)?

Eine Statustabelle erfasst jede aktive Verbindung – Quell- und Zieladressen, Ports, Protokoll und Verbindungsstatus. Jedes eingehende Paket wird zunächst anhand dieser Tabelle überprüft; nur Pakete, die keinem bestehenden Eintrag entsprechen, werden anhand der vollständigen Zugriffsrichtlinie bewertet.

Kann eine zustandsorientierte Firewall Bedrohungen auf Anwendungsebene abwehren?

Nur in begrenztem Umfang. Die Basisprüfung endet bei Schicht 4, obwohl Gateways auf Anwendungsebene diese auf Protokolle wie FTP und SIP ausweiten, die sekundäre Verbindungen öffnen. Um Malware, Exploits oder Bedrohungen zu erkennen, die im verschlüsselten Datenverkehr verborgen sind, ist die von einer NGFW bereitgestellte Prüfung auf Schicht 7 erforderlich.

Worin unterscheidet sich eine abgelehnte Verbindung von einer verweigerten?

Bei einer „Deny“-Aktion werden übereinstimmende Pakete stillschweigend verworfen, ohne dass eine Antwort an den Absender gesendet wird. Bei einer „Reject“-Aktion werden die Pakete ebenfalls verworfen, es wird jedoch ein TCP-Reset oder eine ICMP-Meldung „Port nicht erreichbar“ zurückgesendet, sodass der Absender sofort darüber informiert wird, anstatt auf das Ablaufen einer Zeitüberschreitung zu warten.

Mehr zu zustandsorientierten Firewalls

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit zustandsorientierten Firewalls beschäftigen, sollten Sie sich diese als Nächstes einmal ansehen.