วันนี้ผมนายคิวขอนำเสนอเรื่องราวความเป็นมาของ …………………. P2P ………………… และวิธีการรับมือกับมัน เรื่องราวก็มีอยู่ว่า………………………..

Introduction to P2P

                P2P (Peer-to-Peer) เป็นเทคโนโลยีหนึ่งที่ทำให้ผู้ใช้สามารถใช้ทรัพยากรร่วมกันหรือแลกเปลี่ยนไฟล์กันไม่ว่าจะเป็นภาพ, เสียง, วีดีโอ หรือข้อมูลต่างๆ ที่เป็นรูปแบบ digital หรืออาจจะเป็นข้อมูลแบบ real time เช่น telephony traffic ก็สามารถใช้ P2P ได้เช่นกัน

                สิ่งที่แตกต่างระหว่าง P2P และการดาวน์โหลดไฟล์แบบอื่น เช่น FTP   นั่นก็คือ เมื่อ client ต้องการที่ดาวน์โหลดไฟล์, client จะนำทรัพยากรของตนเองไม่ว่าจะเป็น bandwidth, storage space และ computing power มาช่วยเพิ่มประสิทธิภาพของระบบโดยรวม  ยิ่งมีคนดาวน์โหลดมากเท่าไหร่ ประสิทธิภาพของระบบยิ่งมากขึ้น ทำให้ดาวน์โหลดไฟล์ได้เร็วขึ้น สิ่งต่างๆ เหล่านี้จะเป็นไปไม่ได้ในระบบ client-server ทั่วไป ที่มี server จำนวนจำกัด ยิ่งถ้าหากมี client ต้องการข้อมูลมากเท่าไหร่ นั่นหมายถึงว่าความเร็วในการดาวน์โหลดจะลดลงไปด้วย

                ประโยชน์ P2P นั้น ทำให้ช่วยลดภาระ ระหว่างเครือข่าย เพราะเป็นการกระจายคำสั่งและการควบคุมไปยังเครื่องต่างๆ แทนที่จะให้การควบคุมเหล่านี้เป็นของกลุ่ม server กลาง ดังนั้น ในหลายปีที่ผ่านมา P2P จึงเป็นที่นิยมในกลุ่มคนต่างๆ และความเป็นจริงแล้ว P2P มีประโยชน์มากในแผนก IT หรือใครก็ตามที่ต้องการย้ายข้อมูลมากๆ จากที่หนึ่งไปสู่ที่หนึ่ง

ใช่ว่า P2P จะดีเสมอไป

                ไม่กี่ปีที่ผ่านมา ในบางบริษัทดังๆ ได้มีพนักงานบางคนในหน่วยงาน share ไฟล์ข้อมูลของลูกค้าและข้อมูลส่วนตัวพนักงานผ่านโปรแกรม P2P ไว้โดยไม่ตั้งใจ ทำให้ข้อมูลเหล่านี้ถูกเปิดเผย เนื่องจากพนักงานที่ share นั้นเป็นผู้ใช้ที่ไม่เคยมีประสบการณ์ใช้งานด้านโปรแกรมพวกนี้ ดังนั้น P2P จึงกลายเป็น tool ที่อันตราย ทำให้ข้อมูลส่วนตัวและข้อมูลของบริษัทที่เป็นความลับ ถูกเปิดเผยได้ง่าย ดังเช่นตัวอย่างเหล่านี้

•  Pfizer Breach Illustrates Risks of Sharing Files

http://www.computerworld.com/action/article.do?command=viewArticleBasic&articleId=296490&intsrc=news_ts_head

• P2P Leads to Major Leak at Citigroup Unit

http://www.darkreading.com/document.asp?doc_id=134544

•  Filesharing Programs and Technological Features Induce Users to Share

http://www.uspto.gov/web/offices/dcom/olia/copyright/oir_report_on_inadvertent_sharing_v1012.pdf

                นอกเหนือจากปัญหาข้างต้นแล้ว พวกคนสร้าง malware หรือ hacker ก็เข้ามาร่วมสร้างความน่ากลัวเช่นกัน เพราะเป็นที่รู้กันดีว่า P2P นั้นสามารถหลุดรอดไปจาก firewall ที่ใช้อยู่ในปัจจุบันได้ และ user มือใหม่ๆ ที่เข้ามาใช้โปรแกรม P2P นับวันจะยิ่งเพิ่มขึ้น ทำให้ hacker ใช้ P2P ในการกระจาย BOT และเก็บไฟล์ต่างๆ ยิ่งไปกว่านั้นแนวโน้มที่น่ากลัวของ P2P ก็คือ คำที่ใช้ในการค้นหา P2P มันไม่ใช่เป็นชื่อของเพลงหรือหนัง !! แต่กลายเป็นคำที่ใช้ในการขโมยข้อมูลส่วนตัวแทน จึงเกิดคำถามที่ว่า ปัญญาอยู่ที่ตัวโปรแกรม หรือเจ้าของโปรแกรมกันแน่ ??

แล้วเรา block P2P ได้อย่างไรหนอ

                Palo Alto Networks จัดการปัญหา P2P นี้ด้วยการใช้เทคโนโลยีในการแยกแยะ traffic ที่เป็น application ใหม่ๆ ในปัจจุบันด้วย App-ID^TM ซึ่งเจ้าตัวนี้เองเป็นส่วนช่วยให้สามารถควบคุม P2P application ใน network level ได้ ทำให้ควบคุมได้อยู่หมัดทั้ง เครื่องคอมพิวเตอร์และผู้ใช้เอง

                App-ID^TM สามารถแยกแยะ application ต่างได้มากกว่า 500 ตัวได้อย่างแม่นยำ รวมทั้ง P2P application อีกกว่า 30 ตัวที่วิ่งเข้าออกในระบบเครือข่าย ซึ่งข้อมูลทั้งหมดของ traffic ที่ผ่านตัว Palo Alto Networks firewalls จะถูกประมวลผลโดย App-ID^TM และระบุว่าเป็น application ประเภทใด แล้วแสดงผลผ่านทางหน้า management interface โดยใช้ชื่อของ application นั้นๆ เลย ซึ่งการระบุถึงตัว application ได้นี้ สามารถนำมาใช้เป็นส่วนประกอบหลักในการสร้าง security policies รวมไปถึง access control, user permissions, threat prevention และอื่นๆได้อีก

วิธีการระบุ P2P Application

                App-ID ใช้หลายกระบวนการในการแยกแยะข้อมูลใน traffic และประมวลผลให้เกิดความสอดคล้องกัน เพื่อให้สามารถระบุได้อย่างชัดเจนว่า application ใด้ที่วิ่งอยู่ในระบบเครือข่าย

                App-ID จะสังเกตการณ์ traffic ที่ทุกๆ port ไม่เพียงเฉพาะที่เป็น known used ports ดังนั้น ทำให้สามารถแยกแยะความแปลกประหลาดของแต่ละ application ได้ อย่างเช่น P2P application นั้น มีรูปแบบของการส่งผ่านข้อมูลหลายแบบไม่ว่าจะเป็นทาง non-standard port, หรือเปลี่ยนแปลง port และ protocol ไปเรื่อยๆ, หรือการเลียนแบบข้อมูล application อื่นๆ, หรือทำ tunnel เพื่อหลบหลีกตัว firewall ผลลัพธ์ที่จาก App-ID นั้น ทำให้สามารถระบุ P2P appliction ได้กว่า 30 ตัว โดยแปลงได้เป็น P2P client ได้กว่า 100 ตัว

                เมื่อ traffic ส่งผ่านกันระหว่างเครือข่าย App-ID จะสถาปนา session ของแต่ละ application และรักษาสถานะของ session ไว้ ในขณะเดียวกันก็จะมีกระบวนการในการระบุตัว application ที่แม่นยำก่อนที่จะทำการควบคุม traffic เหล่านั้น โดยที่กระบวนการแยกแยะ application ของ App-ID มีสี่กระบวนการ แต่ที่ใช้ในการระบุ P2P มีสองกระบวนการคือ Application Decoders และ Application Signatures

• Application Decoders

มีประโยชน์สองอย่างคือ

1. มันสามารถระบุ application ที่ซับซ้อนและมีการหลบหลีกการป้องกันได้อย่างเช่น P2P หรือ Skype โดยที่ตัวมันเองไม่ได้เพียงมีความสามารถในการเปรียบเทียบ application signature แต่มันสามารถดำเนินการกับ pattern ที่ซับซ้อนขึ้น ที่ตรงกับผลจากการประมวลผล traffic ในระบบ
2. มันสามารถ decoding ตัว application ที่ต่อเนื่องได้ เพื่อดำเนินการ threat detection ตลอด session ที่เกิดขึ้นของ application และสามารถสังเกตความผิดปกติหรือการเปลี่ยนแปลงของ application ในระหว่างกระบวนการ decoding นี้ได้

• Application Signature

                เป็น context-based signatures ที่ให้ความสำคัญกับการระบุ application โดยสนใจที่คุณสมบัติที่แตกต่างของแต่ละ application และข้อมูลที่เกี่ยวข้องที่ใช้ในการแลกเปลี่ยนกัน ระหว่าง application ซึ่ง application signatures สามารถระบุ applications ได้อย่างมากมาย แม้ว่า application นั้นจะทำ tunnel บน non-standard ports หรือเลียนแบบรูปแบบข้อมูล applications อื่นๆ

                เมื่อ App-ID ระบุตัว P2P application ได้ admin สามารถดูรายละเอียดของ P2P applications เช่น sessions, bytes, threats, source/destination IP addresses และเวลา 

เมื่อคลิกที่ ชื่อ P2P application แล้ว admin สามารถ drill down ดูรายละเอียดของตัว application เองได้ และข้อมูลเช่นว่า ใครกำลังใช้งานและมันใช้  bandwidth ไปเท่าไร รวมทั้ง admin ยังสามารถดูโดยระบุเป็น IP address หรือระบุเป็นชื่อของ user และ group โดยใช้ Active Directory profile ว่าใครกำลังใช้ application นี้อยู่ อีกทั้งยังดูว่า 10 อันดับแรกของประเทศที่เป็น source และ destination ของข้อมูล

Add policy แล้วบลอคมันซะ

                เมื่อ P2P application ได้ถูกชี้ชัดแล้ว admin สามารถใช้ rule-based editor เพื่อสร้าง policy ควบคุม โดยสามารถสร้าง group ของ Peer-to-Peer เพื่อกำหนด P2P application ที่สามารถระบุทั้งหมดได้ ซึ่งข้อดีของการเลือกใช้ Peer-to-Peer group ใน policy editor ก็คือสะดวกในการเพิ่มเติมรายชื่อของ application ใหม่ๆ ทำให้เราไม่ได้ต้องไป apply เพิ่มเติมใน policy เพียงแค่เราเพิ่มไปใน Peer-to-Peer group ได้เลย และเมื่อมี P2P application เพิ่มเติมจากทาง Palo Alto Networks development team ในตัว box จะมีฟังก์ชัน dynamic update ที่จะดำเนินการให้อัตโนมัติ

หรือเราสามารถที่จะเลือกให้บางคนมีสิทธิ์ที่จะใช้งานโปรแกรม P2P ได้โดยใช้ข้อมูลของ Active Directory ดังตัวอย่างที่เราอนุญาตให้ IT and admins, mjaobsen และ mkeil สามารถใช้ BitTorrent ได้

บทสรุป

• การบลอค P2P ของ Palo Alto Networks firewall นั้นจะใช้เทคโนโลยีในการแยกแยะ traffic ของ application ด้วย App-ID^TM โดยกระบวนการที่เกี่ยวข้องกับ P2P มีสองอย่างคือ Application Decoders และ Application Signature
• Application Decoders  สามารถระบุ application ที่ซับซ้อนและมีการหลบหลีกการป้องกันได้ และดำเนินการกับ pattern ที่ซับซ้อน ที่ตรงกับผลจากการประมวลผลจาก traffic ในระบบ
• Application Signature ใช้ระบุ application โดยสนใจที่คุณสมบัติที่แตกต่างแต่ละ application และข้อมูลที่เกี่ยวข้องที่ใช้ในการแลกเปลี่ยนกัน ระหว่าง application
• admin สามารถดูรายละเอียดของ P2P applications เช่น sessions, bytes, threats, source/destination IP addresses และเวลา  รวมถึง drill down ดูรายละเอียดของตัว application เองได้และข้อมูลว่าใครกำลังใช้งานและมันใช้  bandwidth ไปเท่าไร
• admin สามารถระบุเป็น IP address หรือระบุเป็นชื่อของ user และ group โดยใช้ Active Directory profile ว่าใครกำลังใช้ application นี้อยู่ รวมทั้งยังดูว่า 10 อันดับแรกของประเทศที่เป็น source และ destination ของข้อมูลได้
• สามารถใช้ Peer-to-Peer group ใน policy editor เพื่อเพิ่มความสะดวกในการเพิ่มเติมรายชื่อของ application ใหม่ๆ ทำให้เราไม่ได้ต้องไป apply เพิ่มเติมใน policy เพียงแค่เราเพิ่มไปใน Peer-to-Peer group   และเมื่อมี P2P application เพิ่มเติมจากทาง Palo Alto Networks development team ในตัว box จะมีฟังก์ชัน dynamic update ที่จะดำเนินการให้อัตโนมัติ