<4D F736F F D20ABCAC2EAA8CFA5CEAACCB0F5A6E6A4A3B7EDC0B3A5CEB57BA6A1AABAB0BBB4FAB36EC5E9A7DEB34E332E646F63>

Size: px

Start display at page:

Download "<4D F736F F D20ABCAC2EAA8CFA5CEAACCB0F5A6E6A4A3B7EDC0B3A5CEB57BA6A1AABAB0BBB4FAB36EC5E9A7DEB34E332E646F63>"

溆浪柴
4 years ago
Views:

1 封鎖使用者執行不當應用程式的管控技術陳世賢中國科技大學資管系李建宏中國科技大學計算機中心摘要教育部與國家資安會報來函指示各單位禁用 P2P 軟體然而就執行面而言, 使用 P2P 封包辨識的網路設備成本頗高, 在經費成本的考量下, 多數學校或機關恐怕一時難以具體落實封鎖 P2P 軟體的政策因此, 本文參考目前封鎖 P2P 的產品與技術, 開發一個用來偵測使用者執行 P2P 或其他不當應用程式並進行封鎖的程式機制, 同時我們加入主從式管控架構, 以達成區域網路內群體電腦的偵測與封鎖效果偵測程式經過實際運作於學校實習電腦教室封鎖 P2P 等不當應用程式的測試結果獲得良好成效, 未來可提供其他機關學校執行資安政策的參考方案關鍵詞 : P2P, 不當資訊防治, 資訊安全 1. 前言不當資訊防治機制為教育部對各大專校院要求的重點工作項目之一, 其中以 P2P 軟體侵犯智慧財產權的情況尤為嚴重然而在各校計算機中心人員所接觸的防治 P2P 的校園解決方案裡, 多以封包辨識技術為主的網路設備產品方案, 此種網路設備如 Cisco SCE 等產品價格動輒數百萬元, 而且由網路傳輸封包來辨識 P2P 技術上需要強而有力的研究團隊, 這使得我們實務上在思考封鎖 P2P 技術時, 有必要跳脫以辨識網路封包進行封鎖的思考框架在瞭解目前多項封鎖 P2P 技術的具體方案後, 我們著手開發於個人電腦偵測與封鎖使用者執行不當程式的可行技術 : 在使用者電腦安裝一個常駐程式, 讓電腦自我偵測目前執行應用程式的情況, 一旦偵測到 P2P 軟體執行則立即予以刪除, 再利用此偵測程式的隱藏特性, 使其程序無法出現在工作管理員內, 令使用者無法自行刪除此偵測程式, 以達成偵測程式的封鎖效果我們將此管控技術應用於學生實習電腦教室, 實測兩個月的結果, 能成功有效封鎖使用者執行 P2P 軟體運作, 同時也能封鎖電腦教室內學生執行網路遊戲等不當應用程式這個成功經驗可提供其他學校進行校園防治 P2P 解決方案的參考 2. 相關技術介紹 2.1 P2P 封鎖設備 (1) 路由器網路封包應用辨識技術 Network-Based Application Recognition (NBAR): 多數的學校使用思科 Cisco 路由器, 思科中大型交換器如 Catalyst 6000 等均支援 NBAR 封包應用辨識機制 [6], 此技術可由網管人員自行設定, 於路由器封鎖 P2P 封包雖然無需追加成本, 但由於思科原廠提供之辨識 P2P 模組較少, 目前較常使用的 P2P 軟體如 Foxy Bitcomet 等均未能提供辨識模組, 因此實際運用在 P2P 的封鎖上有功能不足之處 (2) 頻寬管理器 : 由於各大學校院或區網中心對外連線之頻寬需求較大, 且頻寬管理器在辨識封包的等級與功能性與效能均有一定水準且辨識之準確度高, 目前多所學校或區網中心均採用此類設備, 其中較為著名的產品為 Cisco Service Control Engine [5] TippingPoint [10] (3) 入侵防禦系統 : 近年來網路攻擊事件頻傳, 多所學校均已購置入侵防禦系統進行傳輸封包辨識與封鎖工作部分廠商如 McAfee 宣稱其 IPS 產品 IntruShield [8] 可辨識及封鎖 P2P 封包

2 (4) 防火牆 : 部份防火牆產品宣稱可辨識應用層封包行為, 其中包括微軟的 ISA server [9], 思科的防火牆產品 PIX [2] 也有提供使用 NBAR 技術來封鎖 P2P 封包的做法 2.2 應用程式封鎖技術 (1) 使用者權限設定 : 利用權限設定讓使用者無法安裝應用程式, 此種方式簡單且具成效, 然而網路上常出現許多的 P2P 或不當應用程式的綠色安裝版, 提供使用者在權限不足的情況仍能執行應用程式的其他途徑另一種權限設定的方式, 可參考 Chris 等人 [3] 提出以群組原則 (gpedit.msc) 設定限制應用程式的辦法 (2) 網路許可控制軟體 (Network Admission Control, NAC):NAC 解決方案主要透過主控台的資安政策設定, 將所管轄範圍內不符合政策的電腦, 限制或封鎖其網路連線 [4] NAC 可藉由檢視電腦登錄檔參數, 限制安裝 P2P 軟體之使用者則可封鎖其網路傳輸目前許多廠商均提供 NAC 解決方案包括 Cisco McAfee Sopho Trend 等 (3) 應用程式標題偵測與封鎖 : 由於應用程式的視窗標題由開發廠商固定撰寫而成, 一般使用者難以竄改因此, 有廠商開發以常駐程式偵測目標程式進行封鎖的軟體, 目前市售提供之偵測執行應用程式標題的封鎖程式, 有 Palmersoft 公司的 APP Killer [1] 弈飛資訊的網路特警[11] 瑞寶網通的 icare 愛管家 [7] 等產品上述各種封鎖 P2P 技術與產品, 各有其功能限制或辨識 P2P 軟體不夠周延之處而其共通性為購置成本較高, 無法普及應用於各校園網路內依據本校實際使用各項產品的情形, 本文嘗試將各項封鎖設備技術優缺點整理如下 : 表 1:P2P 封鎖技術優缺點比較封鎖技術優點缺點 NBAR 免費 P2P 辨識率低, 限部份思科設備 IPS 可同時辨識與封 P2P 辨識率不高, 鎖攻擊 /P2P 封包僅少數 P2P 軟體可封鎖價格昂貴頻寬管理器封包辨識率高費用昂貴, 約 150 使用效能佳可萬元以上限制特定流量 NAC 可同時檢測 PC 防僅檢視登錄檔, 可毒及 Patch 狀態以綠色軟體或重新安裝破解程式標題精準封鎖應用程可修改程式標題破偵測式, 無法使用綠色解軟體破解不佔用網路頻寬在低成本技術開發的考慮前題下, 我們以偵測程式標題做為封鎖 P2P 軟體的構念出發點 3. 軟體架構與實作 3.1 軟體開發構念由於各大學院校考量學生學習電腦的深度與便利性, 實習教室或實驗室的電腦並不針對學生限定管理權限, 也因此學生常以系統管理者 (administrator) 身份操作電腦, 此一特性使得我們在開發構念上, 無法如先前封鎖技術介紹以限定使用者權限來達成管制目的所以, 我們提供的開發構念順序如下 : (1) 偵測電腦所執行的應用程式, 判斷其視窗標題並進行封鎖 (2) 加入 NAC 概念, 讓偵測程式導入主從式架構, 提供控管伺服器的資訊收集與集中管理程式 (3) 使用程序隱藏技術, 讓使用者無法刪除常駐在個人電腦內的偵測程式依照上述三項軟體開發構念, 實際完成本文的偵測程式管控架構 3.2 軟體架構我們以 VB.NET 為開發工具, 先收集目前主要

的 P2P 程式或其他不當應用程式標題 ( 如 Foxy Bitcomet 等 ), 並依此程式標題做為封鎖清單偵測程式於安裝時會自動加入作業系統的服務項目內, 並設定無法移除或停用此服務項目因此在安裝後, 即使由系統管理者呼叫該服務項目檢視, 其暫停停止按鈕皆為失能狀態 ( 如圖 1), 已無法中斷程式所開啟的服務項目圖 1: 無法停止服務項目由於我們使用服務方式啟動,

3 運作之假定條件在我們實際測試與軟體改版的過程中, 我們發現, 假定學生有權力可以重新安裝電腦作業系統, 那麼就能破解偵測程式的運作, 這樣的條件有成立的可能性因此, 程式以下列兩個使用環境為運作的假定條件 : 圖 2: 無法終止的處理程序由 NAC 軟體而來的構思概念, 將區域網路內的個人電腦對應到單一管理伺服器, 用以設定所管轄的電腦 IP 清單及封鎖程式清單

3 的 P2P 程式或其他不當應用程式標題 ( 如 Foxy Bitcomet 等 ), 並依此程式標題做為封鎖清單偵測程式於安裝時會自動加入作業系統的服務項目內, 並設定無法移除或停用此服務項目因此在安裝後, 即使由系統管理者呼叫該服務項目檢視, 其暫停停止按鈕皆為失能狀態 ( 如圖 1), 已無法中斷程式所開啟的服務項目圖 1: 無法停止服務項目由於我們使用服務方式啟動, 所以工作管理員內顯示程序為 services.exe, 這在微軟作業系統是無法刪除的重要程序 ( 如圖 2) 由此特性, 可達成偵測程式不可刪除使用者無法脫離監控的結果圖 3: 偵測程式主要流程架構 3.3 運作之假定條件在我們實際測試與軟體改版的過程中, 我們發現, 假定學生有權力可以重新安裝電腦作業系統, 那麼就能破解偵測程式的運作, 這樣的條件有成立的可能性因此, 程式以下列兩個使用環境為運作的假定條件 : 圖 2: 無法終止的處理程序由 NAC 軟體而來的構思概念, 將區域網路內的個人電腦對應到單一管理伺服器, 用以設定所管轄的電腦 IP 清單及封鎖程式清單電腦開機時自動開啟服務項目, 帶動偵測程式運作此時, 偵測程式會向伺服器取得封鎖清單存於記憶體內, 爾後偵測程式每分鐘偵測電腦執行的應用程式標題或執行檔名稱是否與封鎖清單記錄符合, 如果符合則予以刪除本偵測程式之流程架構如下圖 : (A) 多數電腦教室均配置硬體還原卡或還原系統, 學生需另行取得還原卡密碼才能進行作業系統安裝 (B) 偵測程式採用主從式管控架構, 由伺服器管理者定義所管轄的 IP 範圍, 使用者電腦開啟偵測程式後立即向伺服器回報為避免使用者脫離管控, 管理人員可將數日沒有回報的 IP 清單進行實地調查根據這兩項環境假定條件下, 使得偵測程式得以更加完善的運作於校園電腦教室或公用電腦設備 ( 如條件 A) 及行政人員使用電腦 ( 如條件 B), 大幅降低使用者操作破解的可能性, 也提高全校園電腦進行實際封鎖與管控的可行性

4 3.4 軟體限制我們使用的偵測程式管控技術, 係以判斷執行程式標題或程式執行檔名為執行封鎖要素, 但是如果使用者透過其他技術修改原軟體的執行程式標題, 則可脫離偵測程式控制程式的主從式管控機制依賴網路存取, 假使學生在開機前自行拔除網路線斷網, 也會使偵測程式的封鎖功能失效但相對的, 學生不想被程式管控, 只能選擇不用網路由於程式安裝當時即種植於系統服務項目內, 此限制條件使得程式在移除上需要人工操作, 無法由使用者進行自動安裝及解除安裝程序受限於目前實務上的應用考量, 本文不述及解除安裝的方法 3.5 實際測試我們將偵測程式安裝於中國科技大學計算機中心所管理的學生實習電腦教室, 該教室平均一天約 60 人次使用, 經安裝實測及觀察學生使用兩個月, 測試期間封鎖不當應用程式次數達 1850 次 ( 封鎖次數採累加計算, 單人多次重覆測試封鎖亦予以計入 ), 封鎖程式依次數排名如下表 : 表 2: 不當應用程式封鎖排名應用程式封鎖次數程式種類 cstrike 379 網路遊戲 War3 339 網路遊戲 BNB 225 網路遊戲 hl 162 網路遊戲 KartRider 139 網路遊戲 freecell 116 網路遊戲 Warcraft III 107 網路遊戲 Foxy 67 P2P 程式偵測程式在設計之初主要針對 P2P 軟體進行封鎖, 然而經過實際測試結果顯示在封鎖學生網路連線遊戲的數量較 P2P 明顯許多由伺服器端所得數據顯示, 兩個月實測期間並沒有學生電腦脫離偵測程式控制, 同時藉由工讀同學的每日不定時巡場觀察, 也沒有發現學生電腦執行封鎖清單內的不當應用程式的情況因此我們可以說, 偵測程式提供的封鎖技術有達到預期的效果在程式開發後, 我們與其他同性質以偵測應用程式標題做為封鎖技術的市售封鎖軟體進行比較如下表所示 : 表 3: 與其他市售軟體功能比較可發現偵測可刪除偵測提供中央程式之程序程式之程序控管機制 APP Killer 可可無網路特警可可無愛管家可不可無本偵測程式不可不可有我們的程式在封鎖效果及防止使用者脫離管控的效果上, 相較於市售軟體並不遜色較為不同的是, 一般市售軟體功能上較偏向家用個人電腦之不當程式封鎖而我們的程式較適用於企業機關之網管人員佈建集中式資安監控政策使用, 應用上可即時管控執行程式標題, 藉由定時回傳伺服器, 網管人員可即時加以封鎖 4. 結論本文提供的偵測封鎖技術, 並不是用來取代其他辨識 P2P 封包的網路封鎖設備或技術, 而是在校園電腦的開放式與高權限的使用環境裡, 提供一個封鎖 P2P 及不當應用程式的可行做法我們所開發的管控程式, 經過測試可實際運作於校園電腦內, 未來也可提供做為其他機關學校發展類似管控軟體或資安政策解決方案的參考辦法此外, 在實際測試的過程中, 我們也成功的封鎖了學生在實習教室內多人共同進行網路遊戲, 避免實習電腦教室內因集體對戰遊戲而干擾其他同學正常使用電腦的情況, 讓校園的電腦教室能提供一個良好秩序的學生學習環境

5 參考文獻 [1] App Killer V2.1, Palmersoft., [2] Blocking Peer-to-Peer File Sharing Programs with the PIX Firewall application/pdf/paws/42700/block_p2p_pix.pdf, [3] Chris Corio & Durga Prasad Sayana, Application Lockdown with Software Restriction Policies, Microsoft Technet Magazine, June [4] Cisco Network Admission Control: Increase Organizational Security, Cisco white paper, [5] Cisco SCE 2000 Series Service Control Engine 45/ps6129/ps6133/ps6151/product_data_sheet090 0aecd801d8574.pdf, [6] Classifying Network Traffic Using NBAR onfiguration/guide/qsnbar1.html, [7] icare 愛管家資安程式, 瑞寶網通 [8] McAfee IntruShield Security Manager Appliance content/datasheets/ds_intrushieldsecuritymanage ment_ent.pdf [9] Microsoft Internet Security and Acceleration Server 2000 Application Layer Filtering Kits tm [10] TippingPoint Intrusion Prevention Systems Overview products_ips.html [11] 網路特警 1.0, 弈飛資訊

09 F9 128 peer to peer, P2P file transfer protocol bittorrent 10 P2P P2P GNU/ Linux P2P CC 單機版的智慧財產權 vs. 人權戰爭 1980 DVD content

當智慧財產侵犯人權? 智慧財產與人權 Kickstarter The Matrix The Matrix Avatar Eywa 12 2013 4 484 09 F9 128 peer to peer, P2P file transfer protocol bittorrent 10 P2P P2P GNU/ Linux P2P CC 單機版的智慧財產權 vs. 人權戰爭 1980 DVD content