理解Cato SPACE架构中的数据包流

本节列出了PoP中应用于数据包流不同阶段的网络和安全服务与引擎。

这是一个包含Slack应用程序的规则流量流示例，显示每个阶段可用的信息。

WAN防火墙、互联网防火墙和网络规则策略通常能够在第一个数据包上评估流量流。 例如，基于五元组数据的规则。 但是，对于匹配特定应用的规则，例如Azure或Slack，需要流量流的额外数据才能让引擎评估流量。 这意味着引擎评估流量的阶段取决于特定规则的设置。

有关防火墙规则的更多信息，请参见互联网与WAN防火墙策略 – 最佳实践。

简单网络规则和复杂防火墙规则的第一数据包示例

此示例展示了PoP引擎如何对使用IP地址和端口的简单网络规则以及Azure应用程序的复杂防火墙规则的流量流进行不同评估。 网络引擎能够基于第一个数据包评估流量流，但PoP等待防火墙引擎的额外数据以最终完成分析。

样本网络规则

以下网络规则用于流量的 来源 为IP范围，端口范围为8000 - 8010，流量通过伦敦PoP位置出口。

网络引擎能够基于五元组评估流量流的路由决策。

样本WAN防火墙规则

以下WAN防火墙规则允许与上述网络规则相同 来源 IP范围的流量，并适用于研发用户组的用户成员。 此外，该规则适用于用于HTTP(S)、TLS、FTP和TFTP服务的Azure应用程序。

防火墙引擎无法在第一个数据包上评估流量，因为需要确认用户身份、Azure应用程序和流量流的服务。 引擎完成评估且流量符合所有标准后，引擎允许流量。 PoP也根据第一个数据包应用路由决策。

网址过滤服务通过分析网站的URL并将其与已知或可疑恶意或不当网站的数据库进行比较来工作。 该服务还可能分析网站本身的内容以确定其类别，如成人内容、赌博、社交网络或流媒体。

有关类别的更多信息，请参见类别的工作方法。

TLS检查引擎涉及到数据包流的TLS握手阶段。 是否对流量进行检查的决定是不可逆的，且分两个阶段进行：

对于HTTPS流量，可能会在阶段1基于初步判断阻止数据包。 但是，引擎继续进行通信并建立TLS连接，以便向终端用户呈现正确的防火墙或IPS阻止页面。

IPS引擎在流量流的整个生命周期内继续运行。 它检查在不同阶段可用的特定项目，并对内容与IPS保护正匹配时采取行动。 您可以将IPS看作是一个放大镜，不断等待来自流量的更新，并持续向引擎提供流中的信息。

以下示例显示了流中的不同阶段可用的不同信息：

不同的IPS保护可以匹配上述任意项目，然后在该阶段对流量采取行动。

DNS保护是IPS引擎的一部分，运行在DNS请求和响应流上（无需与传输连接，例如TCP或UDP）。

在DNS请求期间，分析和评估域名的声誉和静态信息。 然后在DNS响应期间，分析解析的IP和内容是否有潜在恶意内容。 DNS保护策略应用于任何匹配的内容（阻止或允许流量）。

应用控制引擎检查流量并应用应用控制策略的操作，并在每个新的超文本传输协议事务（请求和响应）上进行评估。

对于第二代应用，TLS和HTTP代理是完成应用程序识别所需的。

对于包括安全和合规性需求的规则：

数据泄露防护引擎检查流量的内容，是应用控制引擎的扩展。 当策略指定文件类型或文件大小时，引擎需要检查应用程序元数据和有效负载以获取这些文件特性：

反恶意软件和SentinelOne下一代反恶意软件引擎扫描入站流量（下载文件）中的文件附件，以检测已知和未知恶意软件。 文件类型基于超文本传输协议响应或文件传输协议流量请求。

仅扫描超文本传输协议、超文本传输协议安全和文件传输协议应用程序和服务。