■ Stateful inspection with high lev

■ Stateful inspection with high level of application awareness: IOS Firewall goes far
beyond regular packet filtering, offering true stateful Inspection functionality, which
can include parameters from L3 to L7 in the analysis. L7 inspection is the subject of
Chapter 12, “Application Inspection.”
■ Identity services: The Authentication Proxy feature can be used with IOS Firewall’s
stateful inspection functionality to provide security services on a per-user basis.
■ Wide spectrum of secure connectivity models: Spanning from classic IPSEC and
EasyVPN to DMVPN and GET VPN, IOS also offers SSL VPN termination. These
VPN options bring unparalleled flexibility for the network and security architects.
■ Integrated intrusion prevention: Ranging from IOS IPS to dedicated IPS service
modules (in AIM or NM format), this extra layer of security can be added to traffic
inspected by the IOS Firewall.
■ Convergence services: Cisco always sponsored network convergence, supporting
VoIP, VoFR, and VoATM since the early days and later including not only the Voice
gateway and gatekeeper features but also Call Manager Express functionality in
IOS. Because of the importance of Unified Communications (UC) for companies,
Chapter 13, “Inspection of Voice Protocols,” is dedicated to the analysis of Firewalls
in the UC World.
CBAC Basics
CBAC understands the characteristics of many application layer protocols and uses this
knowledge to provide intelligent inspection services at higher OSI layers. CBAC, in its
simplest mode of operation, may also be used to provide generic stateful inspection of
TCP and UDP traffic, which is adequate for the analysis of well-behaved applications that
employ single channel sessions.
When performing generic stateful inspection, CBAC focuses on L3 and L4 parameters,
keeping track of state information for each connection established through it. The attributes held in the state table enable CBAC to dynamically create temporary openings to
enable the pertinent return traffic.
Thischapter is devoted to generic stateful inspection, and the decision to follow this
approach is based on two underlying goals:
■ It promotes an overview of CBAC operations without delving into specific behaviors
of more complex application protocols.
■ It facilitates comparison with the ASA algorithm (refer to Chapter 7, “Through ASA
Without NAT,” and Chapter 8, “Through ASA Using NAT”).
Later in the book (Chapters 12 and 13), FTP (which negotiates a data connection via a
control session) and more complex protocols (such as those related to voice and video
transport) are examined in more detail. Further, the analysis of how to enhance the security provided by a stateful firewall by means of identity verificationis provided in
Chapter 14, “Identity on Cisco Firewalls.”

Kết quả (Việt) 1:

■ kiểm tra trạng thái với mức độ cao của các ứng dụng nhận thức: IOS Firewall đi xangoài gói dữ liệu thường xuyên chọn lọc, cung cấp đúng trạng thái kiểm tra chức năng, màcó thể bao gồm thông số từ L3 để L7 trong phân tích. L7 kiểm tra là chủ đề củaChương 12, "Ứng dụng kiểm tra."■ Identity Dịch vụ: tính năng The xác thực Proxy có thể được sử dụng với IOS tường lửatrạng thái kiểm tra các chức năng để cung cấp dịch vụ bảo mật trên một cơ sở người dùng.■ phổ rộng của mô hình kết nối an toàn: kéo dài từ cổ điển IPSEC vàEasyVPN DMVPN và GET VPN, IOS cũng cung cấp chấm dứt SSL VPN. NhữngLựa chọn VPN mang lại tính linh hoạt tuyệt vời cho các kiến trúc sư mạng và bảo mật.■ công tác phòng chống xâm nhập tích hợp: từ IOS IPS tới dịch vụ IP dành riêngMô-đun (trong mục đích hoặc NM định dạng), này thêm lớp bảo mật có thể được thêm vào lưu lượng truy cậpđược kiểm tra bởi các bức tường lửa IOS.■ hội tụ dịch vụ: Cisco luôn tài trợ tụ mạng, hỗ trợVoIP, VoFR và VoATM từ những ngày đầu và sau đó bao gồm không chỉ có giọng nóitính năng cổng và gatekeeper nhưng cũng có thể gọi cho người quản lý nhận chức năng trongIOS. Vì tầm quan trọng của Unified Communications (UC) cho các công ty,Chương 13, "Kiểm tra của Voice giao thức," là dành riêng cho việc phân tích các bức tường lửaUC trên thế giới.Khái niệm cơ bản của CBACCBAC hiểu được các đặc tính của nhiều ứng dụng lớp giao thức và sử dụng nàykiến thức để cung cấp các dịch vụ thông minh kiểm tra tại lớp OSI cao. CBAC, trong của nóCác chế độ đơn giản nhất của hoạt động, cũng có thể được sử dụng để cung cấp cho kiểm tra trạng thái chungLưu thông TCP và UDP, đầy đủ cho việc phân tích well-behaved các ứng dụng đósử dụng kênh duy nhất phiên.Khi thực hiện kiểm tra trạng thái chung, CBAC tập trung vào các tham số L3 và L4,theo dõi các thông tin trạng thái cho mỗi kết nối được thành lập thông qua nó. Các thuộc tính được tổ chức tại nhà nước bảng sử CBAC để tự động tạo ra các lỗ hở tạm thời đểcho phép lưu lượng truy cập trở lại cần thiết.Thischapter là dành cho kiểm tra trạng thái chung, và quyết định làm theo điều nàycách tiếp cận dựa vào hai mục tiêu cơ bản:■ Nó khuyến khích một tổng quan về CBAC hoạt động mà không có delving vào hành vi cụ thểgiao thức ứng dụng phức tạp hơn.■ Nó tạo điều kiện so sánh với các thuật toán ASA (xem chương 7, "qua ASAMà không cần NAT", và chương 8,"Qua ASA sử dụng NAT").Sau đó trong cuốn sách (chương 12 và 13), FTP (mà sử dụng kết nối dữ liệu thông qua mộtkiểm soát phiên) và các giao thức phức tạp hơn (chẳng hạn như những người liên quan đến giọng nói và videogiao thông vận tải) được kiểm tra chi tiết hơn. Hơn nữa, các phân tích về làm thế nào để tăng cường an ninh được cung cấp bởi một bức tường lửa trạng thái bằng cách nhận dạng verificationis cung cấpChương 14, "Bản sắc trên Cisco tường lửa".

Kết quả (Việt) 2:

■ Stateful kiểm tra với trình độ nhận thức cao về ứng dụng: IOS Firewall đi xa
vượt lọc gói tin thường xuyên, cung cấp chức năng kiểm tra trạng thái thực sự, trong đó
có thể bao gồm các thông số từ L3 để L7 trong phân tích. Kiểm tra L7 là chủ đề của
Chương 12, "Thanh tra ứng dụng."
■ dịch vụ nhận dạng: Các tính năng xác thực Proxy có thể được sử dụng với IOS Firewall
chức năng kiểm tra stateful để cung cấp các dịch vụ bảo mật trên một cơ sở cho mỗi người dùng.
■ phổ rộng các mô hình kết nối an toàn: kéo dài từ cổ điển IPSEC và
EasyVPN để DMVPN và GET VPN, IOS cũng chấm dứt SSL VPN. Những
tùy chọn VPN mang lại sự linh hoạt tuyệt vời cho các mạng lưới và an ninh các kiến trúc sư.
■ phòng chống xâm nhập tích hợp: Khác nhau, từ IOS IPS dịch vụ IPS chuyên dụng
mô-đun (trong AIM hoặc NM định dạng), lớp thêm bảo mật này có thể được thêm vào giao thông
kiểm tra bởi Firewall IOS .
■ dịch vụ hội tụ: Cisco luôn tài trợ hội tụ mạng, hỗ trợ
VoIP, VoFR, và VoATM từ những ngày đầu và sau đó bao gồm không chỉ những giọng nói
cửa ngõ và các tính năng gatekeeper nhưng cũng gọi chức năng quản lý Express trong
IOS. Do tầm quan trọng của truyền thông hợp nhất (UC) cho các công ty,
Chương 13, "Thanh tra của Voice Protocols," là dành riêng cho các phân tích của tường lửa
trong UC Thế giới.
CBAC Khái niệm cơ bản
CBAC hiểu các đặc điểm của nhiều giao thức lớp ứng dụng và sử dụng này
kiến thức để cung cấp các dịch vụ kiểm tra thông minh tại lớp OSI cao hơn. CBAC, trong của nó
chế độ đơn giản nhất hoạt động, cũng có thể được sử dụng để cung cấp kiểm tra trạng thái chung của
giao thức TCP và UDP, đó là đủ để phân tích các ứng dụng cũng cư xử mà
sử dụng phiên kênh duy nhất.
Khi thực hiện kiểm tra stateful chung chung, CBAC tập trung vào L3 và L4 thông số,
theo dõi các thông tin trạng thái cho mỗi kết nối được thiết lập thông qua nó. Các thuộc tính được tổ chức tại bảng nhà nước cho phép CBAC để tự động tạo ra các lỗ tạm thời để
cho phép giao thông trở lại cần thiết.
Thischapter được dành để kiểm tra trạng thái chung chung, và quyết định làm theo điều này
phương pháp tiếp cận dựa trên hai mục tiêu cơ bản:
■ Nó thúc đẩy một cái nhìn tổng quan của CBAC hoạt động mà không cần đào sâu vào hành vi cụ thể
của giao thức ứng dụng phức tạp hơn.
■ Nó tạo điều kiện so sánh với các thuật toán ASA (xem Chương 7, "Thông qua ASA
Nếu không có NAT," và Chương 8, "Thông qua ASA Sử dụng NAT").
Sau đó trong cuốn sách ( chương 12 và 13), FTP (có thương lượng một kết nối dữ liệu thông qua một
phiên điều khiển) và các giao thức phức tạp hơn (chẳng hạn như những người liên quan đến giọng nói và video
vận tải) được nghiên cứu chi tiết hơn. Hơn nữa, việc phân tích làm thế nào để tăng cường an ninh cung cấp bởi một tường lửa bằng các phương tiện của bản sắc verificationis cung cấp trong
Chương 14, "Identity trên Cisco Firewall."