CyberGlossary

Netzwerksicherheit

Stateful Firewall

Auch bekannt als: Zustandsbehaftete Firewall

Definition

Eine Firewall, die den Zustand aktiver Verbindungen in einer Verbindungstabelle verfolgt und Rückverkehr passender Sessions automatisch zulässt.

Eine Stateful Firewall pflegt eine Verbindungstabelle, in der für jeden Flow das 5-Tuple (Quell-IP, Ziel-IP, Quell-/Zielport, Protokoll) zusammen mit TCP-Flags oder einem Pseudo-State für UDP/ICMP gespeichert wird. Sobald eine ausgehende Session erlaubt ist, werden zugehörige Antwortpakete automatisch passieren gelassen, ohne dass eine explizite Gegenregel nötig ist. Das vereinfacht das Regelwerk und blockiert viele gefälschte Pakete, die zustandslose Filter umgehen würden, kostet aber Speicher und CPU und kann durch SYN-Flood- oder Session-Tabellen-Angriffe erschöpft werden. Stateful Inspection ist die Basis jeder modernen Unternehmens-Firewall und Grundlage für NGFW-Funktionen wie Anwendungserkennung.

Beispiele

  • Linux-iptables-Regeln mit conntrack lassen ESTABLISHED,RELATED-Rückverkehr zu.
  • Eine Cisco ASA verfolgt ausgehende HTTP-Flows und lässt die Antworten automatisch zurück.

Verwandte Begriffe