Durum Tutmayan Azaltma Katmanı Neden Güvenlik Duvarının Önüne Konur?

Sıralama tercih meselesi gibi görünür, değildir. Hangi cihazın durum tuttuğu, hangisinin diğerini koruyabileceğini belirler.

Durum Tutmanın Maliyeti

Güvenlik duvarı akış bazlı karar verebilmek için oturum tablosu tutar. Bu tablo sonlu bir kaynaktır ve sonlu her kaynak hedef alınabilir. SYN flood tam olarak bunu yapar.

Durum tutmayan bir eleme katmanının böyle bir tablosu yoktur. Her paketi tek başına değerlendirir, hiçbir şey hatırlamaz. Bu, yapabileceklerini sınırlar ama aynı zamanda tüketilebilir bir yüzeyi olmadığı anlamına gelir.

##

Sıralamanın Sonucu

Süzgeç önde olduğunda güvenlik duvarına ulaşan paket sayısı azalır ve tablosu rahat eder, çünkü elenen trafik için oturum kaydı hiç açılmamıştır. Kaydı açılmayan bağlantı, tabloda yer kaplamaz.

Süzgeç arkada olduğunda ise korunacak cihaz zaten süzgecin önünde kalır. Saldırı trafiği önce ona çarpar, tablosunu doldurur ve arkadaki katmanın ne kadar yetenekli olduğunun sonuç üzerinde hiçbir etkisi kalmaz.

Sınırı

Durum tutmayan bir katman, oturum davranışına bakması gereken saldırıları ayıramaz. Uygulama katmanı saldırılarında ayrım oturum boyunca biriken bilgiyle kurulur ve bu bilgi tanım gereği durum demektir.

Bu yüzden gerçek kurulumlarda katmanlar sıralanır: önde durumsuz ve kaba eleme, arkada durum tutan ve ince ayrım yapan katmanlar.

Sorulacak Ek Soru

Katman devre dışı kaldığında ne olacağı. Trafiğin geçmesi hizmeti ayakta tutar ve savunmayı kaldırır; kesilmesi tersini yapar. İkisi de savunulabilir tercihlerdir, ama hangisinin geçerli olduğu bir arıza anında öğrenilecek şey olmamalıdır.