[Network & Security] Stateful Inspection이란?

Stateful Inspection이란? – 상태 기반 방화벽의 동작 방식

방화벽은 네트워크 보안을 위해 다양한 방식으로 트래픽을 검사합니다.
그 중 많이 사용되는 방식이 Stateful Inspection(상태 기반 검사)입니다.

이번 글에서는 Stateful Inspection의 원리를 간단히 정리해봅니다.

---

Stateless vs Stateful

먼저 Stateless Filtering과 비교해보면 이해가 쉬워집니다.

• Stateless Filtering
  • IP, 포트, 프로토콜 등 패킷의 단편적인 정보만 보고 판단
  • 연결 상태는 고려하지 않음
  • 빠른 처리 가능하지만 정밀한 제어는 어려움
• Stateful Inspection
  • 연결의 상태(세션)를 추적하며 전체 흐름을 기준으로 판단
  • TCP 핸드셰이크, 세션 유지/종료 여부 등을 실시간으로 관리
  • 정밀하고 안전한 트래픽 제어가 가능

---

Stateful Inspection의 동작 방식

1. 초기 패킷 감지
   • 새로운 연결 요청이 들어오면, 세션 테이블에 해당 세션 정보를 등록
2. 세션 추적
   • 이후 들어오는 패킷은 기존 세션과 일치하는지 확인하여 처리
   • TCP 상태(3-way 핸드셰이크, 연결 유지, FIN 종료 등)를 추적
3. 비정상 트래픽 판단
   • 세션 정보와 일치하지 않거나, 예상되지 않은 방향의 트래픽은 차단
4. 세션 종료 처리
   • 연결 종료 시 세션 테이블에서 해당 항목 삭제

---

장점은 무엇일까

• 단순 필터링보다 정확한 보안 제어 가능
• 응답 트래픽만 허용하거나, 세션 없는 비정상 트래픽 차단 등 세부 정책 설정 가능
• 대부분의 현대적인 방화벽(FortiGate, Palo Alto 등)에서 기본 적용되는 방식

---

요약

Stateful Inspection은 세션 상태를 추적해 트래픽을 판단하는 방화벽 기술입니다.
연결의 흐름 전체를 이해하므로 보다 정밀하고 효과적인 보안이 가능합니다.
현재 대부분의 보안 장비에 기본 적용되어 있으며, 네트워크 보안에서 핵심적인 역할을 합니다.