Un firewall stateful è un firewall di rete che tiene traccia dello stato delle connessioni, non solo dei singoli pacchetti. Invece di giudicare ogni pacchetto in isolamento, mantiene un piccolo registro delle sessioni, come i handshake TCP, i flussi stabiliti e le risposte attese. Questo gli consente di consentire automaticamente il traffico di ritorno legittimo, bloccando al tempo stesso i pacchetti che non rientrano in una conversazione esistente.
Questo è importante perché molti attacchi cercano di aggirare semplici insiemi di regole con traffico falsificato, frammentato o fuori contesto. L'ispezione stateful aiuta i difensori a ridurre il rumore, applicare criteri più puliti e chiudere il traffico che non appartiene a una sessione valida. In pratica, è comune ai bordi della rete e tra zone interne, dove può supportare la segmentazione e limitare il movimento laterale. Non sostituisce la sicurezza delle applicazioni, ma rappresenta un forte livello intermedio tra il filtraggio di base dei pacchetti e gli strumenti di ispezione più approfondita.