การตรวจสอบของรัฐหรือที่เรียกว่า “การติดตามสถานะ” o “การตรวจสอบโดยรัฐ” ในภาษาอังกฤษเป็นเทคนิคขั้นสูงที่ใช้ในการรักษาความปลอดภัยเครือข่ายเพื่อปรับปรุงประสิทธิภาพและประสิทธิผลของไฟร์วอลล์

การตรวจสอบของรัฐ

ไฟร์วอลล์เก็บสถานะไม่เพียงตรวจสอบแต่ละแพ็กเก็ตข้อมูลแต่ละชุดเท่านั้น แต่ยังเก็บบันทึกสถานะของการเชื่อมต่อเครือข่ายที่ใช้งานอยู่อีกด้วย

บันทึกนี้สามารถรวมรายละเอียดต่างๆ เช่น ที่อยู่ IP ต้นทางและปลายทาง หมายเลขพอร์ต หมายเลขลำดับแพ็กเก็ต การประทับเวลา และอื่นๆ

ต่างจากไฟร์วอลล์ที่ไม่มีการติดตามสถานะ (ไร้สัญชาติ) ซึ่งถือว่าแต่ละแพ็กเก็ตข้อมูลเป็นธุรกรรมที่แยกจากกัน ไฟร์วอลล์ stateful เข้าใจว่าแพ็กเก็ตข้อมูลถูกส่งโดยเป็นส่วนหนึ่งของการเชื่อมต่อเครือข่าย

ไฟร์วอลล์เหล่านี้สามารถจดจำได้ว่าแพ็กเก็ตข้อมูลขาเข้าเฉพาะเป็นการตอบสนองต่อคำขอขาออกที่ทำขึ้นก่อนหน้านี้

การตรวจสอบของรัฐทำงานอย่างไร

ต่อไปนี้เป็นรายละเอียดเพิ่มเติมเกี่ยวกับวิธีการตรวจสุขภาพ:

1. การสร้างการเชื่อมต่อ

เมื่อการเชื่อมต่อเครือข่ายเริ่มต้นขึ้น (เช่น เมื่อผู้ใช้ภายในเครือข่ายร้องขอเว็บเพจ) ไฟร์วอลล์จะบันทึกรายละเอียดของการเชื่อมต่อในตารางสถานะ

ข้อมูลนี้รวมถึงสิ่งต่างๆ เช่น ที่อยู่ IP ของคอมพิวเตอร์ที่ทำการร้องขอ ที่อยู่ IP ของเว็บเพจที่กำลังร้องขอ และหมายเลขพอร์ตที่กำลังใช้งาน

2. การตรวจสอบการเชื่อมต่อ

เนื่องจากแพ็กเก็ตข้อมูลยังคงไหลผ่านการเชื่อมต่อ ไฟร์วอลล์จะยังคงบันทึกและอัปเดตรายละเอียดในตารางสถานะ

ซึ่งอาจรวมถึง การติดตามหมายเลขลำดับของพัสดุเพื่อให้แน่ใจว่าพัสดุมาถึงในลำดับที่ถูกต้อง

3. การยกเลิกการเชื่อมต่อ

เมื่อการเชื่อมต่อเครือข่ายถูกปิด (เช่น เมื่อผู้ใช้ปิดหน้าเว็บที่พวกเขาร้องขอ) ไฟร์วอลล์จะสังเกตเห็นว่าการเชื่อมต่อได้ถูกยกเลิกและลบออกจากตารางสถานะ

La การตรวจสอบสภาพ มีข้อดีหลายประการสำหรับการรักษาความปลอดภัยเครือข่าย ประการแรก ช่วยให้ไฟร์วอลล์บล็อกการรับส่งข้อมูลที่ไม่พึงประสงค์หรือน่าสงสัยได้อย่างมีประสิทธิภาพมากขึ้น เนื่องจากสามารถรับรู้เมื่อแพ็กเก็ตข้อมูลขาเข้าไม่เชื่อมโยงกับการเชื่อมต่อเครือข่ายที่ถูกต้อง

นอกจากนี้ยังสามารถช่วยตรวจจับและป้องกันการโจมตีบางประเภทได้ เช่น การโจมตีด้วยการปลอมแปลง IP หรือ การโจมตีน้ำท่วมของ SYNซึ่งพยายามใช้ประโยชน์จากวิธีสร้างการเชื่อมต่อเครือข่าย

ในระดับเทคนิคมากขึ้น ไฟร์วอลล์แบบ stateful จะรักษา ตารางสถานะ เพื่อติดตามเซสชันการสื่อสารที่มีอยู่ทั้งหมด แต่ละเซสชันจะถูกบันทึกพร้อมรายละเอียดต่างๆ เช่น ที่อยู่ IP ต้นทางและปลายทาง หมายเลขพอร์ต หมายเลขลำดับแพ็กเก็ต และการประทับเวลา

บันทึกสถานะการเชื่อมต่อ (ตารางสถานะ)

“บันทึกสถานะการเชื่อมต่อเครือข่ายที่ใช้งานอยู่” หรือที่เรียกว่า ตารางของรัฐ ของไฟร์วอลล์เป็นโครงสร้างข้อมูลที่ใช้ใน stateful firewall เพื่อติดตามรายละเอียดของการเชื่อมต่อเครือข่ายทั้งหมดที่ส่งผ่านไฟร์วอลล์

รายละเอียดที่แน่นอนที่ถูกติดตามอาจแตกต่างกันไปตามระบบ แต่มักจะรวมถึงรายการต่อไปนี้:

1. ที่อยู่ IP ต้นทาง

นี่คือที่อยู่ IP ของเครื่องที่เริ่มต้นการเชื่อมต่อ ในการเชื่อมต่อเว็บทั่วไป นี่จะเป็นที่อยู่ IP ของผู้ใช้ที่ขอดูหน้าเว็บ

2. ที่อยู่ IP ปลายทาง

นี่คือที่อยู่ IP ที่การเชื่อมต่อถูกส่งไป ในการเชื่อมต่อเว็บทั่วไป นี่จะเป็นที่อยู่ IP ของเซิร์ฟเวอร์ที่โฮสต์หน้าเว็บที่ร้องขอ

3. ท่าเรือต้นทางและปลายทาง

พอร์ตคือตัวเลขที่ระบุกระบวนการเฉพาะที่กำลังสื่อสารภายในเครื่องต้นทางและปลายทาง พอร์ตต้นทางจะได้รับการสุ่มกำหนดโดยระบบที่เริ่มต้นการเชื่อมต่อ ในขณะที่พอร์ตปลายทางโดยทั่วไปจะเป็นหมายเลขมาตรฐานที่สอดคล้องกับบริการเครือข่ายเฉพาะ (เช่น พอร์ต 80 สำหรับการรับส่งข้อมูล HTTP)

4. หมายเลขลำดับและหมายเลขรับทราบ

ค่าเหล่านี้เป็นค่าที่ใช้ในโปรโตคอล TCP เพื่อให้แน่ใจว่าแพ็กเก็ตข้อมูลมาถึงในลำดับที่ถูกต้องและเพื่อยืนยันการรับแพ็กเก็ต

5. ธง TCP

ธง TCP เป็นส่วนหนึ่งของส่วนหัวของแพ็กเก็ต TCP และให้ข้อมูลเกี่ยวกับสถานะของการเชื่อมต่อ ธงทั่วไป ได้แก่ SYN (ซิงโครไนซ์สำหรับการสร้างการเชื่อมต่อ), ACK (รับทราบ, เพื่อยืนยันการรับแพ็กเก็ต), FIN (เสร็จสิ้น, เพื่อปิดการเชื่อมต่อ) และ RST (รีเซ็ต, เพื่อยกเลิกการเชื่อมต่อ)

6. สถานะการเชื่อมต่อ

นี่คือค่าที่ระบุว่ากำลังสร้างการเชื่อมต่อ ใช้งานอยู่ กำลังปิด ฯลฯ

7. การประทับเวลา

นี่คือการประทับเวลาที่ระบุว่าเมื่อใดที่เห็นกิจกรรมบนการเชื่อมต่อครั้งล่าสุด สิ่งนี้มีประโยชน์สำหรับการล้างการเชื่อมต่อที่ไม่ได้ใช้งานจากตารางสถานะ

โดยการรักษาสิ่งนี้ไว้ ตารางสถานะไฟร์วอลล์แบบ stateful สามารถตรวจสอบและควบคุมการรับส่งข้อมูลเครือข่ายได้อย่างมีประสิทธิภาพมากกว่าไฟร์วอลล์แบบ stateless

สิ่งนี้มีประโยชน์อย่างยิ่งในการบล็อกการรับส่งข้อมูลที่ไม่พึงประสงค์จากภายนอกเครือข่าย ช่วยให้ตอบสนองต่อคำขอที่เริ่มต้นจากภายในเครือข่าย และการตรวจจับและป้องกันการโจมตีบางประเภท

การติดตามสุขภาพให้ ปลอดภัยยิ่งขึ้น มากกว่าไฟร์วอลล์ไร้สัญชาติเนื่องจากมีมุมมองกิจกรรมเครือข่ายที่สมบูรณ์ยิ่งขึ้น อย่างไรก็ตาม ยังอาจใช้ทรัพยากรการประมวลผลมากขึ้น เนื่องจากต้องบำรุงรักษาและอัปเดตตารางสถานะอย่างต่อเนื่อง

การตรวจสอบแพ็คเก็ตลึก

ลักษณะเพิ่มเติมที่อาจพิจารณาได้ในไฟร์วอลล์ stateful คือการตรวจสอบแพ็คเก็ตเชิงลึก (DPI) ซึ่งช่วยให้สามารถตรวจสอบเนื้อหาของแพ็กเก็ตข้อมูลได้

ซึ่งสามารถช่วยตรวจจับการโจมตีบางประเภทที่ไม่สามารถมองเห็นได้ด้วยการตรวจสอบสถานะการเชื่อมต่อเพียงอย่างเดียว เช่น ไวรัสที่แพร่กระจายผ่านไฟล์แนบในอีเมล

กล่าวโดยสรุป ไฟร์วอลล์เก็บสถานะเป็นองค์ประกอบที่สำคัญในการรักษาความปลอดภัยทางไซเบอร์ โดยให้การป้องกันขั้นสูงโดยสามารถติดตามสถานะการเชื่อมต่อเครือข่ายทั้งหมด และตัดสินใจตามบริบทนั้นได้