Firewall

Firewall

Firewall

Firewall은 Network에 위치해서 Firewall를 통과하는 traffic을 정책에 따라 허용하거나 차단하는 장비이다.

내부 Network나 장비와 외부 traffic 사이에 장벽을 만들어준다.

Firewall를 통해서 Virus, Malware, 해커에 의한 공격을 막는다.

Network 3(Network),4(Transport) Layer에서 동작하게 된다.

Packet-filtering Firewall

Packet-filtering Firewall은 초기 방화벽 방식이다.

Packet에 있는 정보를 확인, 등록된 정책에 의해 Packet를 필터링한다.

Packet을 열어 상세한 정보를 보는 게 아니라 일부 정보를 확인한다.

확인하는 정보를 5-Tuple이라 하며 아래와 같다.

• Source IP
• Source Port
• Destination IP
• Destination Port
• Protocol
  • Protocol 번호로 TCP는 6, UDP 17

Packet의 Session 정보, 방향성은 상관없이 작동한다.

Packet-filtering Firewall은 간단한 정책은 문제없지만 Internet 같이 불특정 다수 기반 정책에는 문제가 있다.

5-Tuple 정보 외 3(Network),4(Transport) Layer Header를 변조해 공격 오면 방어가 불가능하다.

대신 부하가 적고 간단한 동작으로 비교적 빠르다.

SPI Firewall

SPI(Stateful Packet Inspection) Firewall은 정책만으로 제어하던 한계를 극복하기 위해 개발되었다.

대부분 Firewall는 SPI Engine을 탑재하고 있다.

Packet-filtering Firewall은 가볍고 빠르지만 통신의 양방향을 인지하지 못했다.

SPI Engine은 Packet의 인과관계, 방향성을 인지해 정책에 적용 가능하다.

5-Tuple뿐만 아니라 OSI 3,4 계층의 세부적인 Field 항목들도 확인한다.

TCP Control bit, Sequence 번호, ACK 번호가 갑자기 변경되는 것을 인지해 일부 공격을 방어할 수 있다.

동작 방식

1. Packet이 들어오면 Session 상태 Table 확인
2. 조건에 맞는 Session 정보가 Session Table에 있으면, Forwading Table 확인
3. 조건에 맞는 Session 정보가 Session Table에 없으면, Firewall 정책 확인
   • Firewall 정책 모두 확인 후 없으면 Implicit Denial 규칙을 참고해 차단
   • 허용 정책이 있으면 내용을 Session Table에 Insert
4. Forwading Table 확인
5. 조건에 맞는 정보가 Forwading Table에 있으면, Packet forwading
6. 조건에 맞는 정보가 Forwading Table에 없으면, Packet 폐기