Процесс обработки трафика

Схема обработки трафика.

Для обеспечения комплексной фильтрации и защиты сетевого трафика в Kaspersky NGFW реализован многоэтапный процесс обработки пакетов и трафика, включающий инспекцию на различных уровнях модели OSI. Обработка пакета внутри Kaspersky NGFW состоит из следующих этапов:

1. Прием и предварительная обработка.

   На этом этапе выполняется следующее:

   1. RX-интерфейс принимает входящий пакет, рассчитывает RSS-хеш (по src/dst IP и портам), определяет ядро CPU для обработки.
   2. Парсеры выполняют разбор заголовков уровней L2–L4 для извлечения технической информации.
   3. При включенном L2-режиме интерфейса применяется L2-обработка.
   4. Дефрагментация собирает IP-фрагменты в единый пакет перед анализом (актуально для L2 и L3).
   5. NAT выполняет поиск правил DNAT для входящего трафика.
   6. Anti-scan механизм блокирует TCP/UDP-трафик, характерный для сетевого сканирования, не создавая сессий.
   7. Менеджер сессий (egress) создает или обновляет сессию по 7-tuple: IP-адреса, порты, зоны, протокол.
2. Инспектирование незашифрованного трафика.

   На этом этапе выполняется следующее:

   1. Пакетный IDPS проводит инспекцию пакетов, идентифицирует приложение или протокол.
   2. Правила сетевого экрана (ingress) выполняют поиск подходящего правила фильтрации, если сессия отсутствует.
   3. Пакетный IDPS применяет сигнатурный анализ к незашифрованным данным.
   4. Пакетная защита DNS-трафика при обработке DNS-трафика по протоколу UDP проверяет FQDN в DNS-запросах и IP-адреса в DNS-ответах, чтобы выявлять вредоносные и фишинговые ресурсы.
3. TCP-прокси. Для L3 и L2 TCP-трафика.

   На этом этапе выполняется следующее:

   1. TCP-proxy-in агрегирует TCP-трафик, управляет буфером и подготавливает данные к дальнейшей обработке.
   2. TLS MITM (in) перехватывает TLS-сессии, подменяет сертификаты, расшифровывает трафик.
   3. Потоковый DPI анализирует расшифрованный трафик, определяет приложение.
   4. Правила сетевого экрана (proxy) применяют L7-правила на основе результата DPI.
   5. Потоковый IDPS выполняет сигнатурный анализ расшифрованного потока трафика.
   6. Веб-антивирус проверяет URL на наличие вредоносного ПО.
   7. WebCat категоризирует URL на основе HTTP-полей Host и URL.
   8. Объектный антивирус и Потоковый антивирус проверяют объекты и их хеши в потоке трафика на наличие угроз.
   9. TLS MITM (out) выполняет обратное шифрование перед отправкой.
   10. TCP-proxy-out разделяет трафик на TCP-пакеты, управляет ретрансляцией и подтверждениями.
4. Выходящий трафик (Egress).

   На этом этапе выполняется следующее:

   1. Маршрутизация определяет выходной интерфейс, переписывает MAC-адрес назначения.
   2. Менеджер сессий (egress) завершает сессию, обновляет счетчики и применяет итоговые действия.
   3. NAT (egress) ищет существующее преобразование NAT источника или выполняет поиск в таблице правил NAT, если преобразование не существует.
   4. Фрагментация разбивает пакеты в трафике, если те слишком большие для отправки.
   5. TX-интерфейс отправляет пакет в сеть через драйвер адаптера.

DPI/IDPS применимы только к незашифрованному трафику.

Потоковая проверка (Потоковый DPI/Антивирус/Потоковый IDPS/WebCat) работает только при успешной расшифровке TLS.

DNS-инспекция осуществляется как на этапе обработки UDP (Пакетный DNS Security), так и TCP (Потоковый DNS Security) в зависимости от протокола запроса.