Definition Stateful Packet Inspection (SPI) Was ist Stateful Packet Inspection?

Stateful Packet Inspection ist ein dynamische Paketfiltertechnik für Firewalls, die im Gegensatz zu statischen Filtertechniken den Zustand einer Datenverbindung in die Überprüfung der Pakete einbezieht. Sie erkennt beispielsweise aktive TCP-Sessions und kann Datenpakete auf Basis des Session-Status zulassen oder blockieren. SPI sorgt für höhere Sicherheit der Firewall-Überprüfung und reduziert die Anzahl zu definierender Regeln.

Anbieter zum Thema

Moxa Europe GmbH

Mimecast Germany GmbH

TXOne Networks

SPI ist die Abkürzung für Stateful Packet Inspection. Der deutsche Begriff lautet "zustandsorientierte Überprüfung der Datenpakete". Es handelt sich um eine dynamische Paketfiltertechnik für Firewalls. Im Gegensatz zu statischen Filtertechniken wie Static Packet Filtering (SPF) ist SPI in der Lage, den Verbindungsstatus einer Session bei der Entscheidung, ob ein Datenpaket zugelassen oder blockiert wird, zu berücksichtigen. Stateful Packet Inspection erkennt beispielsweise aktive TCP-Sessions und ordnet die überprüften Pakete aktiven Verbindungen zu.

Eine SPI-Firewall muss die Datenpakete auf der Schicht drei des ISO/OSI-Referenzmodells analysieren und Zustandstabellen anlegen und pflegen. Die dynamischen Zustandstabellen bilden die Basis für die Weiterleitung oder das Blockieren der Datenpakete. Entstanden ist Stateful Packet Inspection in den 1990er-Jahren aus statischen Paketfiltertechniken. Das Unternehmen Check Point Software Technologies hat die Technik ursprünglich entwickelt. Vorteile der zustandsorientierten Prüfung der Datenpakete sind eine erhöhte Sicherheit der Firewall-Überprüfung und die Reduzierung der zu definierenden Firewall-Regeln. Nicht verwechselt werden darf SPI mit Deep Packet Inspection (DPI). DPI ist in der Lage, die Nutzlast der Datenpakete zu überprüfen und Protokolle oder Anwendungen bis auf den höchsten OSI-Layer zu analysieren.

Gegenüberstellung von Stateful Packet Inspection und statischen Paketfiltern

Stateful Packet Inspection ist aus dem Static Packet Filtering (SPF) hervorgegangen und hat in modernen Firewalls ältere Technologien ersetzt. Statische Paketfilter analysieren Datenpakete nur auf Basis von Header-Informationen wie IP-Adressen oder Ports und sind nicht in der Lage, den Verbindungsstatus einer Kommunikation zwischen einem Sender und Empfänger zu erkennen. Um den Datenaustausch zwischen zwei Partnern zu ermöglichen, sind die Hin- und die Rückrichtung der Pakete getrennt zu erlauben. Da der Verbindungsstatus jedoch nicht erkannt wird, kann ein Teilnehmer Pakete senden, auch wenn die Gegenstelle überhaupt keine Daten angefordert hat oder keine aktive Session zwischen beiden besteht. Ein Filter auf Basis von Stateful Packet Inspection hingegen merkt sich, ob eine Verbindung aktiv ist, und blockiert Datenpakete ohne vorher stattgefundene Kommunikation oder Anforderung.

Funktionsweise von SPI

Eine Firewall mit Stateful Packet Inspection muss Datenpakete hinsichtlich ihres Verbindungsstatus analysieren. Dafür ist es beispielsweise notwendig, innerhalb einer TCP-Session Kommandos wie SYN, ACK oder FIN auszuwerten. Aus den Analysen erstellt die Firewall dynamische Zustandstabellen, in denen die Verbindungsstati vieler Kommunikationsbeziehungen gespeichert sind. Jedes zu überprüfende Datenpaket wird versucht, einer aktiven Verbindung zuzuordnen. Nur Antwortpakete einer aktiven Verbindung leitet die Firewall weiter. Über Timeouts lässt sich festlegen, ab wann eine Verbindung automatisch als inaktiv gekennzeichnet ist und eine erhaltene Antwort nicht mehr einer Session zugeordnet wird. TCP- oder UDP-Ports bleiben ohne eine aktive Verbindung geschlossen und können von unbeteiligten nicht gescannt werden. SPI-Firewalls können darüber hinaus eigentlich verbindungslose Protokolle wie UDP (User Datagram Protocol) stateful überprüfen. Auf Basis von UDP-Paketen werden ebenfalls Zustandstabellen angelegt. Ankommende UDP-Pakete lässt die Firewall nur durch, wenn zuvor eine UDP-Anforderung erfolgt ist.

(ID:46834922)