What is Skype?

                Skype เป็น application หนึ่งที่มีคุณสมบัติทั้งด้าน Internet telephony, instant messaging, file transfer และ video conferencing โดยตัวมันเองมีความสามารถที่จะทะลุทะลวง firewall และ อุปกรณ์ที่เป็น NAT ทำให้เป็นเรื่องยากขององค์กรที่จะควบคุมการใช้งาน แต่ Palo Alto Networks firewall มีความสามารถที่จะเอาจัดการเจ้าตัว Skype นี่ได้ เรามาดูวิธีการกัน

จะรู้ได้อย่างไรว่ามันคือ Skype

                Skype ได้รวมเอา 2 application เข้าไว้ด้วยกัน ก็คือ ตัว Skype application ปกติ และตัว Skype-Probe ซึ่งเป็น application อีกตัวที่ Palo Alto Networks สามารถตรวจจับได้ โดยที่ตัว Skype application จัดอยู่ใน application ที่มีความเสื่ยง แต่ Skype-Probe นั่นไม่ใช่ application ที่มีความเสี่ยงแต่อย่างใด

        ทางทีมงาน Palo Alto Networks application เองก็ได้สังเกตว่าเจ้า ตัว Skype-Probe นั้นเป็นส่วนหนึ่งของ Skype application ที่ถึงแม้จะมีความเสี่ยงที่ต่ำกว่า แต่มีผลทำให้การสื่อสารของ Skype application นั้นยากต่อการ identify และควบคุมมันเมื่อบลอคมันไปแล้ว นี่เป็นรายละเอียดของ Skype application และ Skype-Probe

Skype ผ่านได้.......ผ่านไป

        Skype เป็นทรัพยากรการสื่อสารที่สำคัญในบางองค์กร ดังนั้นหากองค์กรใดที่ต้องการอนุญาตการใช้งาน Skype นั้น สิ่งที่จำเป็นในตั้งค่าให้กับ Palo Alto Networks firewall ในส่วนของ Security Policy ก็คือ

• applications unknown-udp เราต้องการเพื่อที่ทำให้คุณภาพของเสียงนั้นอยู่ในขึ้นที่ยอมรับได้
• Skype-Probe
• Skype applications

        รายละเอียดของ Security Policy นั้นแสดงดังภาพ

เกร็ดเล็กเกร็ดน้อย (1)

• ถ้าหากเรามีการบลอคเจ้า unknow-udp แล้ว, การใช้ voice calls ของ Skype ก็สามารถใช้งานได้อยู่แต่..... คุณภาพเสียงที่ได้นั้นจะลดลง
• features อื่นๆของ Skype เช่น chat นั้นยังสามารถใช้งานปกติ แม้ว่าจะไม่มี unknown-udp

ไม่เอาแล้วกับ Skype

         สำหรับบางองค์กรที่ต้องการ Security Policy เพื่อบลอคการใช้งาน Skype เราสามารถเพิ่ม Security Policy เข้าไปได้ ซึ่งทางที่ดีที่สุดในการบลอคการใช้งานคือ อนุญาตเจ้าตัว Skype-Probe และบลอคเจ้า Skype application ดังรูปด้านล่าง

เกร็ดเล็กเกร็ดน้อย(2)

• ถ้า Skype-probe ถูกบลอค จะกลายเป็นว่าเจ้าตัว Skype application สามารถหลบหลีกการบลอคได้ดีขึ้นและทำให้ Security policy ของเราไม่สามารถหยุด service ต่างๆของ Skype ได้
• เมื่อ install policy เรียบร้อยแล้ว  Skype client ที่เปิดใช้งานอยู่ ยังคงใช้ได้ต่อไป ถึงแม้ว่าเราจะเปิด feature ที่ rematch session ทุกครั้งที่เปลี่ยน  policy แล้วก็ตาม
• แม้ว่าเราจะใช้ Security Policy ที่บลอค Skype ตามรูปด้านบน ฟังก์ชัน Test call ( คือการใช้ voice calls และส่ง messages ไปยัง user ที่ชื่อ echo123 ) ยังคงสามารถใช้งานได้ แต่ user อื่นๆ ของ Skype จะถูกบลอค
• echo123 คืออะไร ??
  • echo123 เป็น service ที่รวมมากับ Skype เพื่อใช้ในการทดสอบ headset, speakers และ microphone ว่าสามารถใช้งานได้หรือไม่ โดยปกติแล้ว เราสามารถพิมพ์ echo123 ใน address bar ของ Skype ได้หรือว่า add ไปใน contact ได้ และเราสามารถโทรไปยัง echo123 เพื่อที่จะอัดเสียงของและฟังเสียงที่อัดไปได้
  • Skype ไม่ได้ใช้ standard SSL  แต่ใช้เป็นระบบ encyption ของตัวเอง ทำให้ PAN-OS ( ระบบปฎิบัติการของ Palo Alto Networks firewall ) เองไม่สามารถที่จะควบคุม services ย่อยๆ ของ Skype ได้ เช่น อนุญาตให้ใช้ IM แต่บลอคการใช้ file transfers
  • Skype ใช้เทคนิคหลบหลีกการบลอคทีมีประสิทธิภาพ คือ เมื่อ client และ user ใดๆก็ตาม สามารถใช้ Skype ได้ กลุ่มเหล่านั้นจะถูกแยกตัวออกจาก client และ network ที่ไม่ได้เข้ามาใช้ Skype เราสามารถแก้ไขปัญหานี้ได้โดยการแยก client เหล่านั้นเป็น 2 กลุ่มใน security zone ที่ต่างกันบน firewall ทำให้ client ที่โดนบลอค Skype ไม่สามารถที่จะสแกนหา network ได้ ทำให้การเชื่อมต่อไปยัง node อื่นๆไม่สามรถเกิดขึ้นได้
  • ถ้าหากมี user หนึ่งที่ถูกอนุญาตให้สามารถใช้งาน Skype ได้ , user ทุกๆคนที่อยุ่ใน security zone เดียวกันจะสามารถใช้งาน Skype ได้ เพราะว่า Skype จะค้นหาเส้นทางเลือกอื่นๆ ภายใน network อย่างต่อเนื่อง ถ้าหากว่ามี computer เครื่องหนึ่งใน network สามารถใช้ Skype ได้ จะทำให้ Skype client อื่นๆ ใน network สามารถที่จะใช้ node นั้น ( เครื่องที่สามารถใช้ Skype ได้ ) route การสื่อสารได้

บทสรุป

ü  Skype รวมเอา 2 application เข้าไว้ด้วยกัน ก็คือ ตัว Skype application ปกติ และตัว Skype-Probe โดยตัว Skype application จัดอยู่ใน application ที่มีความเสื่ยง แต่ Skype-Probe นั่นไม่ใช่ application ที่มีความเสี่ยง

ü  Skype-Probe นั้นเป็นส่วนหนึ่งของ Skype application ซึ่งแม้จะมีความเสี่ยงที่ต่ำกว่า แต่มีผลทำให้การสื่อสารของ Skype application นั้นยากต่อการ identify และควบคุมมันเมื่อบลอคมันไปแล้ว 

ü  ถ้าต้องการอนุญาตการใช้งาน Skype นั้น สิ่งที่จำเป็นในตั้งค่าให้กับ Palo Alto Networks firewall ในส่วนของ Security Policy ก็คือ

• applications unknown-udp เราต้องการเพื่อที่ทำให้คุณภาพของเสียงนั้นอยู่ในขึ้นที่ยอมรับได้
• Skype-Probe
• Skype applications

ü  หากเรามีการบลอคเจ้า unknow-udp แล้ว, การใช้ voice calls ของ Skype ก็สามารถใช้งานได้อยู่แต่ คุณภาพเสียงที่ได้นั้นจะลดลง และ features อื่นๆของ Skype เช่น chat นั้นยังสามารถใช้งานปกติ แม้ว่าจะไม่มี unknown-udp

ü  หากต้องการ Security Policy เพื่อบลอคการใช้งาน Skype เราสามารถเพิ่ม Security Policy เข้าไปได้ ซึ่งทางที่ดีที่สุดในการบลอคการใช้งานคือ อนุญาตเจ้าตัว Skype-Probe และบลอคเจ้า Skype application

ü  ถ้า Skype-probe ถูกบลอค จะกลายเป็นว่าเจ้าตัว Skype application สามารถหลบหลีกการบลอคได้ดีขึ้นและทำให้ Security policy ของเราไม่สามารถหยุด service ต่างๆของ Skype ได้

Skype ไม่ได้ใช้ standard SSL  แต่ใช้เป็นระบบ encyption ของตัวเอง ทำให้ PAN-OS ( ระบบปฎิบัติการของ Palo Alto Networks firewall ) เองไม่สามารถที่จะควบคุม services ย่อยๆ ของ Skype ได้ เช่น อนุญาตให้ใช้ IM แต่บลอคการใช้ file transfers