Trong lĩnh vực an ninh mạng, tường lửa đóng vai trò then chốt trong việc bảo vệ hệ thống khỏi các truy cập trái phép. Trong số các loại tường lửa khác nhau, stateful firewall nổi bật nhờ khả năng giám sát và phân tích trạng thái của các kết nối mạng. Vậy tường lửa stateful là gì và nó hoạt động như thế nào? Hãy cùng tìm hiểu chi tiết.
Mục Lục
Định Nghĩa Tường Lửa Stateful Firewall
Theo định nghĩa trên Wikipedia, stateful firewall (tường lửa trạng thái) là một loại tường lửa mạng có khả năng theo dõi trạng thái hoạt động và các đặc tính của các kết nối mạng đi qua nó. Tường lửa này được cấu hình để phân biệt các gói tin hợp lệ cho các loại kết nối khác nhau. Chỉ những gói tin phù hợp với một kết nối đang hoạt động đã biết mới được phép đi qua tường lửa.
Tường lửa Stateful là gì?
Kiểm tra gói tin trạng thái (SPI), hay còn gọi là lọc gói tin động, là một tính năng bảo mật quan trọng thường được tích hợp trong các mạng doanh nghiệp. Tường lửa stateful có khả năng theo dõi trạng thái kết nối mạng, kết hợp giữa chức năng của bộ lọc gói và thông tin giao thức cấp ứng dụng. Nhờ kiến thức giao thức bổ sung, tường lửa stateful giải quyết hiệu quả các vấn đề thường gặp khi cấu hình tường lửa lọc gói cho các giao thức hoạt động không theo chuẩn.
Các sản phẩm tường lửa cứng tiêu biểu:
- Juniper SRX300, Juniper SRX340
- Fortigate 100F , Fortigate 400E, Fortigate 600E
Bài viết này sẽ đi sâu vào các khía cạnh của lọc trạng thái, kiểm tra trạng thái, kiểm tra gói tin sâu, và cách tường lửa stateful xử lý các giao thức vận tải và cấp ứng dụng khác nhau. Chúng ta cũng sẽ xem xét các ví dụ thực tế về cách các nhà cung cấp triển khai theo dõi trạng thái và đánh giá các ví dụ về tường lửa stateful.
Về bản chất, tường lửa stateful có thể giám sát trạng thái hoạt động và đặc tính của các kết nối mạng từ đầu đến cuối. Tường lửa này được lập trình để phân biệt giữa các gói tin hợp lệ và không hợp lệ. Về mặt kỹ thuật, tường lửa trạng thái có thể xác định giai đoạn kết nối TCP đang ở (mở, đã gửi yêu cầu mở, đồng bộ hóa, đồng bộ hóa xác nhận hoặc đã thiết lập). Nó cũng có thể theo dõi các thay đổi về MTU, phân mảnh gói tin, và nhiều yếu tố khác.
Cơ Chế Hoạt Động Của Tường Lửa Stateful
Tường lửa stateful dành phần lớn thời gian để kiểm tra thông tin gói tin ở lớp 4 (transport) và các lớp thấp hơn. Tuy nhiên, nó cũng cung cấp khả năng kiểm tra nâng cao hơn bằng cách nhắm mục tiêu các gói tin quan trọng để kiểm tra ở lớp 7 (ứng dụng), chẳng hạn như gói tin khởi tạo kết nối.
Nếu một gói tin được kiểm tra và phù hợp với quy tắc tường lửa hiện có, nó sẽ được truyền đi và một mục (entry) được thêm vào bảng trạng thái. Từ thời điểm đó, các gói tin trong phiên giao tiếp cụ thể đó sẽ được phép truy cập mà không cần kiểm tra lớp ứng dụng thêm nữa, vì chúng khớp với một mục nhập trong bảng trạng thái. Những gói tin này chỉ cần xác minh thông tin lớp 3 và 4 (địa chỉ IP và số cổng TCP/UDP) dựa trên thông tin được lưu trữ trong bảng trạng thái để xác nhận tính hợp lệ.
Tuy nhiên, cần lưu ý rằng, do sử dụng các kỹ thuật lọc, tường lửa stateful không xem xét các lệnh lớp ứng dụng cho toàn bộ phiên truyền thông, như tường lửa proxy. Điều này có nghĩa là tường lửa stateful không có khả năng kiểm soát các phiên dựa trên lưu lượng truy cập cấp ứng dụng một cách toàn diện, khiến nó trở thành một giải pháp kém an toàn hơn so với proxy.
Mặc dù vậy, nhờ tốc độ và khả năng xử lý bất kỳ loại lưu lượng nào (khác với số lượng giao thức hạn chế được hỗ trợ bởi proxy cấp ứng dụng), tường lửa stateful có thể là một lựa chọn tuyệt vời cho một trang web hoặc đóng vai trò là một thành phần trong một môi trường mạng phức tạp hơn.
Kiểm tra trạng thái trong tường lửa Stateful
Tường Lửa: Phương Tiện Kiểm Soát An Ninh Mạng
Một điểm quan trọng cần xem xét khi thảo luận về an ninh mạng là khái niệm về tường lửa như một điểm nghẽn mạng (network chokepoint). Điểm nghẽn là một điểm truy cập đơn, có thể điều khiển, nơi luồng dữ liệu được kiểm soát để tăng cường bảo mật. Tuy nhiên, điểm nghẽn cũng có thể là nơi băng thông bị hạn chế. Một ví dụ điển hình về điểm nghẽn trong thế giới thực là máy dò kim loại tại sân bay.
Tưởng tượng nếu máy dò kim loại có kích thước của toàn bộ hành lang sân bay và nhiều người có thể đi qua cùng một lúc. Nếu máy dò bị tắt, sẽ rất khó để xác định ai đã kích hoạt nó và cần kiểm tra thêm. Kiểm soát giao thông chi tiết hơn là cần thiết trong tình huống này.
Khái niệm điểm nghẽn là cần thiết để cho phép kiểm tra từng người một. Điểm nghẽn cung cấp thêm quyền kiểm soát đối với những người vào sân bay. Giống như các điểm nghẽn khác, việc kiểm soát có thể làm chậm quá trình, dẫn đến tình trạng xếp hàng tại các máy dò kim loại.
Tương tự như máy dò kim loại tại sân bay, tường lửa cung cấp một điểm nghẽn cho phân đoạn mạng. Tất cả lưu lượng truy cập vào hoặc ra khỏi mạng cần phải đi qua nó để kiểm tra. Kiểm soát bổ sung này không chỉ giúp bảo vệ luồng dữ liệu mà còn cho phép một điểm duy nhất để kiểm tra và ghi lại lưu lượng, đảm bảo rằng mọi vi phạm đều được ghi lại.
Chỉ lọc gói tin đơn thuần là không đủ để cung cấp sự bảo vệ toàn diện. Để ngăn chặn hiệu quả lưu lượng mạng ngang hàng, cần phải có tường lửa lọc ứng dụng, có thể được coi là một phần mở rộng của kiểm tra gói tin trạng thái. Kiểm tra gói tin trạng thái có thể xác định loại giao thức nào đang được gửi qua mỗi cổng, nhưng các bộ lọc mức ứng dụng xem xét giao thức đang được sử dụng. Ví dụ, một bộ lọc mức ứng dụng có thể phân biệt giữa lưu lượng HTTP được sử dụng để truy cập trang web và lưu lượng HTTP được sử dụng để chia sẻ tệp, trong khi tường lửa chỉ thực hiện lọc gói tin sẽ xử lý tất cả lưu lượng HTTP như nhau.
Tường lửa lớp ứng dụng thường chậm hơn kiểm tra trạng thái. Tường lửa lớp ứng dụng đôi khi được triển khai bằng proxy ứng dụng. Hai kết nối TCP được thiết lập: một kết nối giữa nguồn gói tin và tường lửa, và một kết nối giữa tường lửa và đích đến. Proxy ứng dụng chặn các gói tin đến, kiểm tra tải trọng của ứng dụng, và sau đó chuyển các gói tin được phép đến đích. Dữ liệu đáng ngờ bị loại bỏ và máy khách và máy chủ không bao giờ giao tiếp trực tiếp với nhau. Proxy đòi hỏi nhiều giao thức hơn so với kiểm tra các gói ở tầng mạng. Hơn nữa, vì mỗi ứng dụng cần một proxy riêng, tường lửa proxy có thể kém linh hoạt và chậm nâng cấp hơn so với tường lửa kiểm tra trạng thái. Tuy nhiên, vì các proxy cấp ứng dụng nhận biết được ứng dụng, chúng có thể dễ dàng xử lý các giao thức phức tạp như H.323 hoặc SIP, được sử dụng cho hội nghị truyền hình và VoIP (Voice over IP).
Một rủi ro tiềm ẩn là các lỗ hổng trong bộ giải mã giao thức có thể cho phép kẻ tấn công giành quyền kiểm soát tường lửa. Điều này nhấn mạnh sự cần thiết phải cập nhật phần mềm tường lửa thường xuyên.
Một số tường lửa trạng thái cũng làm tăng khả năng các máy chủ cá nhân có thể bị lừa để tạo ra các kết nối bên ngoài. Khả năng này chỉ có thể được loại bỏ hoàn toàn bằng cách kiểm tra phần mềm máy chủ. Một số tường lửa có thể bị vượt qua theo cách này chỉ bằng cách truy cập một trang web.
Kiểm tra trạng thái, còn được gọi là lọc gói tin động, là công nghệ tường lửa giám sát trạng thái của các kết nối đang hoạt động và sử dụng thông tin này để xác định gói tin mạng nào được phép đi qua tường lửa.
Kiểm tra trạng thái đã thay thế phần lớn công nghệ lọc gói tin tĩnh cũ. Trong lọc gói tin tĩnh, chỉ có các tiêu đề của gói tin được kiểm tra, điều này có nghĩa là kẻ tấn công có thể lấy thông tin qua tường lửa bằng cách giả mạo thông tin “trả lời” trong tiêu đề. Mặt khác, kiểm tra trạng thái phân tích các gói tin xuống tầng ứng dụng. Bằng cách ghi lại thông tin phiên như địa chỉ IP và số cổng, bộ lọc gói tin động có thể thực hiện một tư thế bảo mật chặt chẽ hơn nhiều so với bộ lọc gói tin tĩnh.
Kiểm tra trạng thái giám sát các gói tin truyền thông trong một khoảng thời gian và kiểm tra cả các gói tin gửi đến và đi. Các gói tin gửi đi yêu cầu các loại gói tin đến cụ thể, và chỉ những gói tin đến đó cấu thành một phản hồi thích hợp mới được phép đi qua tường lửa.
Trong tường lửa sử dụng kiểm tra trạng thái, quản trị viên mạng có thể đặt các tham số để đáp ứng các nhu cầu cụ thể. Trong một mạng điển hình, các cổng được đóng lại trừ khi một gói tin gửi đến yêu cầu kết nối đến một cổng cụ thể, và sau đó chỉ cổng đó được mở. Thực hành này ngăn chặn quét cổng, một kỹ thuật hacking phổ biến. Check Point Software Technologies đã phát triển kiểm tra trạng thái vào đầu những năm 1990.
So Sánh Tường Lửa Stateful và Tường Lửa Stateless
Tường lửa có thể được phân loại thành hai loại chính: Stateful và Stateless.
Stateless Firewall: Tường lửa Stateless xem xét lưu lượng mạng và hạn chế hoặc chặn các gói tin dựa trên địa chỉ nguồn và đích hoặc các giá trị tĩnh khác. Chúng không “nhận thức” về các mẫu lưu lượng hoặc luồng dữ liệu. Một tường lửa không trạng thái sử dụng các bộ quy tắc đơn giản mà không tính đến khả năng một gói tin có thể “giả vờ” là thứ mà bạn yêu cầu.
Stateful Firewall: Tường lửa Stateful có thể xem luồng lưu lượng từ đầu đến cuối. Chúng nhận thức được các đường dẫn truyền thông và có thể thực hiện các chức năng IP Security (IPsec) khác nhau như đường hầm và mã hóa. Về mặt kỹ thuật, điều này có nghĩa là tường lửa trạng thái có thể cho biết kết nối TCP ở giai đoạn nào (mở, đã gửi yêu cầu mở, đồng bộ hóa, đồng bộ hóa xác nhận hoặc đã thiết lập), nó có thể cho biết MTU đã thay đổi hay không, và liệu gói tin có phân mảnh hay không.
Không có loại tường lửa nào thực sự vượt trội hơn loại nào. Tường lửa Stateless thường nhanh hơn và hoạt động tốt hơn dưới tải lưu lượng nặng. Tuy nhiên, tường lửa Stateful tốt hơn trong việc xác định thông tin liên lạc trái phép và giả mạo.
Tóm lại, việc lựa chọn giữa tường lửa stateful và stateless phụ thuộc vào nhu cầu cụ thể của mạng và sự cân bằng giữa hiệu suất và bảo mật.
Bạn có thể tham khảo thêm các bài viết hữu ích sau:
- [Firewall là gì? 8 mẫu thiết bị tường lửa bạn nên mua bây giờ?](đường dẫn liên kết)
- [VPN firewall là gì?](đường dẫn liên kết)
- [Chức năng của firewall là gì?](đường dẫn liên kết)
- [Tìm hiểu về firewall – sự khác nhau giữa firewall cứng và mềm là gì?](đường dẫn liên kết)
- [Cấu hình tường lửa Firewall Cisco](đường dẫn liên kết)
- [ASA Firewall là gì?](đường dẫn liên kết)
- [Các loại firewall Cisco tốt nhất](đường dẫn liên kết)
(Nguồn: sưu tầm và Wikipedia)