Filtro pacchetti vs proxy dell'applicazione

Un proxy dell'applicazione (o più comunemente chiamato gateway a livello di applicazione) è un firewall a livello di applicazione. Un filtro di pacchetti è un firewall a livello di pacchetto. Ciò significa che con un filtro di pacchetti non si è in grado di filtrare il traffico Web per il malware poiché non ha alcuna comprensione dei protocolli delle applicazioni del web (ad esempio HTTP). Un gateway a livello di applicazione invece capisce il protocollo e può quindi eseguire la scansione del corpo di una risposta HTTP per il malware.

Vedi anche il modello OSI : un filtro di pacchetti è al livello 4 mentre un gateway a livello di applicazione è al livello 7.

Firstly,Why is a packet filter is enough in a situation where traffic is busy?

Questa affermazione è sbagliata. L'unico criterio per decidere se si utilizza un filtro pacchetti o un proxy applicazione devono essere i requisiti di sicurezza e non le prestazioni. Anche se un filtro di pacchetti è molto più veloce di un proxy dell'applicazione, non è di alcuna utilità se hai effettivamente bisogno di un controllo a livello di applicazione.

Ma un filtro a pacchetti ha anche il suo uso come metodo per separare le reti o come prima linea di difesa come contro gli attacchi DOS.

Secondly,Isn't application proxy safer than packet filter considering proxy can filter bad data like virus?

Questo è corretto e molto importante.

Thirdly, is it okay to use stateful packet filter instead of packet filter?

Un filtro di pacchetti stateful è ancora un filtro di pacchetti, quindi puoi usarlo. Mantenere gli stati ha il vantaggio di poter stabilire regole più rigide (cioè basate su connessioni e non su singoli pacchetti). Ma ha bisogno di più memoria.

Per quanto ne so, i proxy dell'applicazione dovrebbero essere in esecuzione sul server come applicazioni, cioè consumare memoria e CPU. Nel frattempo, il filtraggio dei pacchetti avviene a livello di rete, vale a dire prima che arrivi anche al server in primo luogo. Questo sarà meno costoso dal punto di vista computazionale, quindi un filtro di pacchetti consentirebbe un throughput maggiore se c'è molto traffico sulla rete.