IM/P2P辨識與管理

石謂龍Robin Shih (TippingPoint台灣/香港技術總監)

IM/P2P流量辨識與頻寬管理功能測試

Instant Message(IM)與Peer-to-Peer(P2P)簡介

越來越普及的Instant Message(IM)即時通訊服務

即時通訊服務(Instant Message，IM)能夠讓使用者透過網際網路與他人以文字的方式交談、交換檔案、傳送視訊畫面和語音、玩互動遊戲等。目前在亞洲地區擁有較廣大使用族群的IM服務，包括微軟的MSN、Yahoo公司的Yahoo Messenger、AOL的AIM、歷史最久的ICQ、以及大陸自製的QQ等，由於功能強大而且簡單易上手，在短短幾年間IM已經成為非常受歡迎的網路服務。就企業的觀點，IM服務的普及有其優點但也有顧忌，優點是：藉由IM服務，能讓身處不同城市的員工相互溝通無虞，也可以提供最即時的回應服務給客戶，更重要的是這一切都是免費的。若是在以往，上述的溝通都是要用電話撥打，IM服務確實為企業節省了大筆的營運成本。然而，IM服務也具有嚴重的缺點，主要是安全方面的問題，因為傳檔功能的不當使用往往會為IT人員費盡心思維護的網路安全帶來災難，例如木馬與間諜程式悄悄進駐、蠕蟲傳播並發動攻擊、甚至導致重要的資料外洩。此外，有些企業主認為員工在工作時間過度使用IM服務將嚴重影響到工作效率，這也就是為什麼許多企業針對IM服務都會採取禁止使用的規定。為了可以針對IM服務做出有效的管理，TippingPoint IPS擁有多條過濾器(Filter)可以讓使用者採取不同的管制措施，包括：禁止登入IM服務、允許傳遞文字不允許傳檔等…讓使用者可以享有IM服務的好處卻不需擔心IM服務所帶來的危害。

網路革命另ㄧ章：Peer-to-Peer(P2P)點對點檔案分享機制

網路服務演變快速，近幾年的殺手級應用(Killer Application)已經從最早的電子郵件服務先轉變成網頁瀏覽(Web Browsers)，再次轉化成P2P。時下的年輕網路族群喜歡透過P2P點對點的檔案分享方式找尋並下載音樂檔(MP3)、電影影片(MPEG)，也將自己擁有的這些資源放在網路上供其他P2P使用者下載。其中最受歡迎的音樂分享P2P軟體--Kazaa宣稱已有超過兩億次的下載與六千萬次的安裝紀錄；每天登入到Kazaa的使用者超過四百萬；分享的檔案已經達到數千個Petabytes。

P2P有三種架構：

1. 集中式架構(Centralized Architecture)--

由一台中央伺服器(Central Server)負責回應給每一個Peer。Peer登入P2P網路與搜尋檔案都透過中央伺服器來執行。

2. 分散式架構(De-centralized Architecture)--

有多台Peer共同回應給其他的Peer。Peer登入到P2P網路時會向多台Peer宣告，搜尋檔案資料也是向多台Peer發出訊息。

3. 混合式架構(Hybrid Architecture)--

這是結合集中式架構與分散式架構的作法，由多台伺服器(Multiple Super Nodes)負責回應給Peer，伺服器間會彼此溝通Peer的訊息與檔案資料，互聯成一個龐大的P2P網路。

目前常用的P2P網路與P2P程式列舉如下：

FastTrack Network--採用混合式架構，支持的P2P程式有Kazaa與iMesh

Guntella Network--採用分散式架構，支持的P2P程式有Morpheus與MyNapster

eDonkey2000--採用混合式架構，支持的P2P程式有eDonkey與eMule

BitTorront--採用混合式架構，支持的P2P程式有BitTorront

WinMX--採用混合式架構，支持的P2P程式有WinMX

Ares Galaxy--採用混合式架構，支持的P2P程式有Ares Galaxy與Wares

Manolito--採用混合式架構，支持的P2P程式有Blubster與Piolet

DirectConnect--採用集中式架構，支持的P2P程式有DirectConnect與BCDC++

EarthStation 5--採用集中式架構，支持的P2P程式有EarthStation 5

P2P對網路的影響

P2P可以讓網路上的使用者輕易地與其他人交換各種檔案資料，諸如：音樂檔(MP3)、電影(MPEG)、書籍、應用程式、遊戲軟體等。然而這樣的便利性卻帶來了幾個嚴重的後遺症，包括對網路頻寬的過度耗損；安全疑慮；以及挑戰智慧財產權等。

1. 過度消耗網路頻寬--

P2P點對點檔案分享機制對於頻寬的需求是貪婪無止境的。企業網路如果沒有做好對P2P流量的限制，往往會發現整個頻寬都被P2P的封包所吞噬，導致正常的網路服務(例如：網頁瀏覽、電子郵件寄送與接收、EPR等…)因頻寬壅塞而顯得異常緩慢。更糟糕的是，在這種情況下，不論網管人員怎麼增加頻寬將都不足以應付P2P傳檔的需求。在校園網路的環境裡，根據近幾年的分析統計結果顯示，P2P流量已經成為最大的頻寬消耗軟體(超過60%)，許多學校都已經開始正視這個問題，並希望針對P2P的使用能做到部分的合理管制。

2. 安全疑慮--

P2P最令管理者擔心的問題就是嚴重影響網路的保安。由於分享容易、散播快速，在檔案傳輸的過程中一些惡意的程式(例如後門程式、木馬程式、間諜程式等…)就會隨之進駐到使用者的電腦之中，而且這個過程往往在使用者不知情的情況下進行的，然後又在不知不覺中將這些惡意程式分享給其他的P2P使用者。過去曾經發生過幾次網路大規模癱瘓的攻擊事件，攻擊病毒透過P2P大量的複製與傳遞被認為是元兇之ㄧ。企業網路最在乎的資料保密也會因為員工不當使用P2P下載惡意程式後有資料外洩之虞。其次，很多P2P程式本身安裝時就會伴隨將一些間諜程式也安裝到使用者的電腦中(這部分在「第六章、間諜程式的辨識與阻檔測試」中將有詳細的說明與TippingPoint IPS阻擋間諜程式下載的實機測試報告)。

3. 對智慧財產權的傷害--

透過P2P複製並下載檔案，特別是一些受著作權保護的音樂檔與電影檔，將會遭受到侵權控告。如果員工在公司下載這些檔案；或是學生利用校園網路傳播這些檔案，都會讓企業或是學校面臨到道德以及法律的問題。

TippingPoint針對IM/P2P的辨識能力與頻寬管理功能

針對即時通訊服務(IM)的辨識與管理

TippingPoint IPS採用第七層封包解析的方式，能夠辨識目前市面上擁有最多用戶的幾款即時通訊服務(Instant Message，IM)，包括微軟的MSN、Yahoo公司的Yahoo Messenger、AOL的AIM、歷史最久的ICQ、以及最多人使用的語音通訊Skype等。TippingPoint IPS管理IM服務的方式有：

MSN--登入限制、WEB MSN登入限制、透過Proxy的登入限制、傳檔限制、傳檔出限制、傳檔入限制、MSN的漏洞保護。

Yahoo Messenger--登入限制、傳檔限制、從Yahoo Messenger File Server下載檔案限制、上傳檔案到Yahoo Messenger File Server限制、Yahoo Messenger的漏洞保護。

ICQ--登入限制、傳檔限制、ICQ的漏洞保護。

AOL AIM--登入限制、傳檔限制、AIM的漏洞保護。

Skype--登入限制、禁止下載Skype、禁止安裝Skype、Skype Buffer Overflow保護。

(註：支援的IM服務與其管理過濾器持續新增中)

針對點對點傳輸服務(P2P)的辨識與管理

1.     與上述原理相同，由於TippingPoint IPS採用第七層封包解析的方式，因此能夠清楚辨識目前市面上普遍使用的各種P2P服務流量，包含Guntella, Kazaaa, iMesh, Grokster, Bit Torrent, WinMX, Blubster, eDonkey, Twister, ES5, Ares, Soulseek, Skype等。使用者可以透過TippingPoint IPS內建的過濾器(Filter)將某個特定的P2P服務阻擋(Block)不允許傳檔；或是設定可以使用的頻寬大小(頻寬管理功能，Rate Limit)。

(註：支援的P2P軟體持續新增中)

管理MSN使用的功能測試

限制MSN傳檔，只允許文字交談

TippingPoint IPS目前擁有超過2000條的過濾器(Filter)，考量到操作的便利性，內建有過濾器搜尋功能，使用者只要在搜尋欄中輸入「MSN」，TippingPoint IPS會將相關的過濾器列出如下圖：

點選進入MSN登入的過濾器(2519: IM: MSN Messenger Login)，並在Action設定中選擇Block+Notify

使用者登入MSN時遭到TippingPoint阻擋畫面

在TippingPoint IPS的LSM操作GUI中可以看見使用者登入MSN被阻擋的紀錄

限制MSN傳檔功能測試

點選進入MSN傳檔的過濾器(2522: IM: MSN Messenger Direct File Transfer)，並在Action設定中選擇Block+Notify

使用者使用MSN傳檔功能時遭到TippingPoint阻擋畫面

在TippingPoint IPS的LSM操作GUI中可以看見使用者使用MSN傳檔被阻擋的紀錄

限制MSN傳檔的頻寬(Rate-Limit)

新增一個Action設定，範例中頻寬限制為50Kbps：操作路徑為：Filter選單/Open/Action Set/Create

點選進入MSN傳檔的過濾器(2522: IM: MSN Messenger Direct File Transfer)，並套用剛才新增的Action

頻寬限制下的MSN傳檔畫面

針對BitTorrent流量的頻寬管理功能測試

想要針對P2P程式中著名的BitTorrent做管制，使用者只要在搜尋欄中輸入「BitTorrent」，TippingPoint IPS會將相關的過濾器列出如下圖：

新增一個Action設定，範例中頻寬限制為150Kbps：

點選進入BitTorrent傳檔的過濾器(2268: BitTorrent: .torrent File Download)，並套用剛才新增的Action

頻寬限制下的BitTorrent傳檔畫面

在TippingPoint IPS的LSM操作GUI中可以看見BitTorrent傳檔的流量紀錄

下個步驟我們測試利用TippingPoint IPS將BitTorrent傳檔流量封阻：點選進入BitTorrent傳檔的過濾器(2270: BitTorrent: Peer-to-Peer Communications)，並在Action設定中選擇Block+Notify

在TippingPoint IPS的LSM操作GUI中可以看見BitTorrent傳檔的流量已經中斷