Bunlar paket süzen ateş duvarları gibilerdir ama daha akıllılardır. 90'larda Checkpoint firması tarafından geliştirilmiştir. Zamanla bir standart haline gelmiştir. OSI modelinde ağ katmanına ve iletim katmanına bakarlar (bazen tüm paketi daha iyi incelemek için üst katmanlara da bakarlar).
Örnek verecek olursak yine bir ağ sunucunuz var diyelim. Siz kural eklersiniz ve kullanıcılar sunucuya bağlanır. Bu noktada bu tip ateş duvarları gelen isteğin gerçekten bağlantı kurulacak IP olup olmadığına, iletişim kuralına, kaynak ve hedef portlarına bakarlar. Ondan sonra üç yollu el sıkışma (3-way handshake) gerçekleşir ve bağlantı kurulur. Mesela saldırgan yanıltma (spoofing) yapıyorsa (yani kendi ip adresini, iletişim kuralını veya portunu olması gerektiğinden farklı gösteriyorsa) bunu anlarlar ve karşı tarafa SYN/ACK göndermezler ve paket karşı tarafa herhangi bir bilgi göndermeden düşürülür (Drop). Bu olmasa ne olurki diyeceksiniz. Mesela eğer böyle bir şey olmazsa saldırgan on binlerce yanıltıcı paket gönderip sizin ağ sunucunuzu gelecek gerçek SYN paketlerine SYN/ACK gönderemez hale getirebilir. Sonuç olarak kimse sunucuya erişemez.
Yine de bu ateş duvarları hala iyi ve kötü trafiği algılayamazlar. IDS veya IPS gereklidir. Bu noktada IDS veya IPS'inde tabiri caizse kul yapımı olduğunu belirtmek gerekiyor. Yani bunlar bilmedikleri kötü trafik için bişey yapamazlar. Bazı firmalar kendi IDS veya IPS sistemlerinin akıllı olduklarını ve bilinmeyen saldırılara karşı önlem alabildiklerini iddia etseler de ne kadar başarılı olduğu konusunda şüphe duymak gerekir. IDS/IPS demişken ateş duvarı ile ilgili bir teknoloji daha var. Buna da Deep Packet Inspection(Derin Paket İnceleme) diyoruz. Bu IDS/IPS ile tümleşik çalışan bir teknolojidir. Şimdilik bu konuya değinmeyeceğiz. Durum denetimi yapan (Stateful) ateş duvarına tanıdık bir örnek verecek olursak Windows'umuzun o basit ateş duvarı bu türdendir.
