입력 조건 추출
source, destination, port, protocol, interface, app/user 정보를 읽는다.
match fields규칙 순서 평가
상단 rule부터 내려가며 첫 매칭 항목의 allow/deny/log 액션을 적용한다.
first match상태 확인
이미 허용된 outbound 세션의 응답이면 state table로 빠르게 통과시킨다.
established기본 정책 적용
어떤 규칙에도 맞지 않으면 default deny로 막고 로그/알림 정책을 적용한다.
least privilege가려진 규칙
위 규칙이 아래 규칙을 영원히 가림
넓은 allow가 먼저 있으면 뒤의 deny가 실행되지 않는다.
order audit
any-any
임시 허용이 영구 백도어가 됨
출처, 목적지, 포트, 만료일을 좁히고 티켓과 연결한다.
exception expiry
egress open
나가는 트래픽을 모두 허용
침해 후 C2 통신과 데이터 유출을 막기 어렵다.
outbound control
stateless ACL
응답 트래픽도 별도 규칙 필요
stateful 방화벽과 달리 양방향 흐름을 직접 설계해야 한다.
반환 경로