القنوات الخفية واستخراج البيانات

القناة الخفية هي مسار اتصالات ينقل المعلومات بطريقة لم يُصمَّم النظام للسماح بها، متجاوزًا ضوابط الأمان. فبينما يُخفي الإخفاء البيانات داخل الملفات، تُخفي القنوات الخفية البيانات داخل سلوك النظام أو حركة مرور الشبكة.

يستخدم المهاجمون القنوات الخفية في استخراج البيانات، أي تهريب البيانات المسروقة إلى خارج الشبكة، وفي التحكم والقيادة (C2) لتلقي التعليمات. والسمة المميّزة لها أن حركة المرور تبدو مشروعة، فتتجاوز جدران الحماية والخوادم الوكيلة وأنظمة منع فقدان البيانات.

يُعد فهم هذه القنوات ضروريًا لاكتشاف المرحلة الأخيرة والأكثر ضررًا من الهجوم: خروج البيانات من المؤسسة.

تنقسم القنوات الخفية إلى فئتين تقليديتين:

• قنوات التخزين تُخفي البيانات في حقل أو موضع لم يُخصّص لحملها، مثل بِتات غير مستخدمة في الرأس أو قيمة يستطيع المراقب قراءتها مباشرةً.
• قنوات التوقيت ترمّز البيانات في توقيت الأحداث، مثل التأخير بين الحزم أو ترتيب الطلبات أو زمن استجابة الخادم. ولا يُغيَّر أي حقل بيانات؛ فالمعلومة تكمن في وقت حدوث الأشياء.

يصعب اكتشاف قنوات التوقيت أكثر لأنها أكثر تخفيًا؛ إذ تبدو الحزم نفسها طبيعية تمامًا، ولا يحمل السر سوى إيقاعها.

تستغل القناة الخفية الأكثر شيوعًا في الواقع DNS. إذ يُسمح تقريبًا دائمًا بالاتصالات الصادرة عبر DNS حتى في الشبكات المقيدة، لأن تحليل أسماء النطاقات ضروري. ويستغل المهاجمون ذلك.

تُرمَّز البيانات داخل تسميات النطاقات الفرعية للاستعلامات المرسلة إلى نطاق يتحكم فيه المهاجم. ويتلقى خادم أسماء النطاقات الموثوق التابع للمهاجم هذه البيانات ويفك ترميزها. وتتدفق البيانات المسروقة إلى الخارج، استعلام DNS واحدًا في كل مرة:

تؤتمت أدوات مثل iodine وdnscat2 إنشاء أنفاق كاملة عبر DNS.

يترك استخراج البيانات عبر DNS بصمات إحصائية يمكن للمدافعين البحث عنها:

• حجم استعلامات مرتفع إلى نطاق واحد، يفوق المعدل الطبيعي بكثير.
• نطاقات فرعية طويلة وعالية الإنتروبيا تبدو البيانات المرمّزة عشوائية، بخلاف أسماء المضيفين الحقيقية.
• أنواع سجلات غير معتادة مثل الاستخدام المكثف لسجلات TXT أو NULL أو CNAME.
• أحجام استجابات كبيرة لاتصالات C2 الواردة.
• نطاقات نادرة لا يستعلم عنها إلا مضيف واحد.

تُعد مراقبة سجلات DNS بحثًا عن هذه الأنماط وإرسالها إلى SIEM من أعلى أساليب الكشف قيمةً، لأن معظم عمليات استخراج البيانات تمر في النهاية عبر DNS.

تحتوي بروتوكولات كثيرة على حقول اختيارية أو محجوزة أو لا تخضع للتحقق الصارم، ما يجعلها قنوات تخزين مثالية:

• الأنفاق عبر ICMP إخفاء البيانات في حمولة حزم ping التي تسمح بها جدران الحماية غالبًا.
• حقول رأس TCP/IP مثل حقل تعريف IP أو أرقام تسلسل TCP أو بِتات العلامات المحجوزة.
• رؤوس HTTP مثل الرؤوس المخصصة أو ملفات تعريف الارتباط أو سلاسل User-Agent التي تحمل بيانات مرمّزة.
• ‏TLS SNI حقل اسم الخادم، وقد يُساء استخدامه أحيانًا للإشارة إلى خادم C2.

يبدو كل حقل طبيعيًا عند فحصه منفردًا، ولذلك يتطلب الكشف وضع خط أساس للقيم الطبيعية ومعرفة الانحرافات عنه.

يفضّل المهاجمون المتقدمون القنوات التي تختبئ داخل حركة المرور المسموح بها والمشفّرة لكي تصمد أمام الفحص المتعمق:

• ‏HTTPS C2 إشارات دورية متنكرة في هيئة طلبات ويب عادية إلى نطاق يبدو مشروعًا.
• التوجيه عبر نطاق الواجهة توجيه حركة المرور عبر شبكة CDN موثوقة بحيث تبدو الوجهة الظاهرة سليمة.
• إساءة استخدام التخزين السحابي لاستخراج البيانات إلى Dropbox أو S3 أو Google Drive، وهي خدمات مسموح بها في معظم المؤسسات.
• وسائل التواصل الاجتماعي ومواقع pastebin نشر البيانات المرمّزة في خدمات عامة.

بما أن الوجهة والتشفير يبدوان مشروعين، ينتقل الكشف من المحتوى إلى السلوك، مثل أنماط الإشارات الدورية وحجومها وتوقيتها.

غالبًا ما ترسل قنوات C2 إشارات دورية للاتصال بالمصدر على فترات منتظمة والتحقق من وجود أوامر. ويمكن اكتشاف هذا الانتظام السلوكي حتى مع التشفير:

• الدورية اتصالات بفواصل زمنية شبه ثابتة، كل 60 ثانية أو كل ساعة مثلًا.
• التذبذب يضيف المهاجمون عشوائية لتجنب اكتشاف الدورية البسيط، لكن الإيقاع الأساسي يظل غالبًا ظاهرًا إحصائيًا.
• حمولات صغيرة ومتسقة طلبات بحجم نبضات التحقق من الاتصال.

يستخدم المدافعون تحليل حركة المرور لاكتشاف الانتظام الشبيه بسلوك الآلة في هذه الإشارات الدورية، وهو انتظام لا تنتجه مطلقًا حركة التصفح التي يقودها البشر.

تُشفّر قنوات التوقيت الخالصة المعلومات من دون تغيير أي حقل من حقول البيانات. ومن أمثلتها:

• التأخير بين الحزم الفاصل القصير يعني 0، والفاصل الطويل يعني 1.
• ترتيب الطلبات يحمل التسلسل الذي تُطلب به الموارد بِتّات من المعلومات.
• تعديل معدل النقل عبر تغيير معدل حركة المرور المشروعة.

هذه القنوات بطيئة (ذات نطاق ترددي منخفض) ومليئة بالضوضاء، لكنها شديدة التخفي لأن الحزم حقيقية. ويتطلب اكتشافها تحليلاً إحصائياً لتوزيعات التوقيت، بحثاً عن تأخيرات منتظمة بشكل غير طبيعي أو ثنائية النمط، لا تنتجها عادةً حركة مرور البشر والأجهزة.

بما أن القنوات الخفية تحاكي حركة المرور المشروعة، يعتمد اكتشافها على التحليلات السلوكية بدلاً من التواقيع:

• إنشاء خط أساس تعلّم حركة المرور الطبيعية لكل مضيف، ثم ارصد الانحرافات.
• شذوذ الحجم مثل أن تبدأ محطة عمل فجأةً في رفع غيغابايت من البيانات.
• تحليل الإنتروبيا تشير حمولات البيانات عالية العشوائية إلى التشفير أو الترميز.
• سمعة الوجهة راقب الاتصالات بنطاقات جديدة أو نادرة أو مسجلة حديثاً.
• التوافق مع البروتوكول راقب حركة المرور على منفذ لا تتوافق مع البروتوكول المتوقع.

يساعد NIDS وتحليل NetFlow وSIEM معاً على إظهار هذه المؤشرات؛ ولا يُعد أي مؤشر منفرد حاسماً.

إضافةً إلى الكشف، تقلّص عدة ضوابط المساحة المتاحة للقنوات الخفية:

• تصفية حركة الخروج ارفض حركة الخروج افتراضياً، ولا تسمح إلا بالوجهات والمنافذ المطلوبة. وهذا وحده يحظر العديد من القنوات.
• فحص DNS مرّر كل حركة DNS عبر محللات خاضعة للمراقبة، واحظر DNS المباشر إلى الخارج.
• فحص TLS فك تشفير حركة TLS الصادرة وافحصها حيثما كان ذلك مناسباً قانونياً وتشغيلياً.
• منع فقدان البيانات صنّف البيانات الحساسة وراقب محاولات إخراجها.
• تحديد المعدل والوكالة مرّر كل حركة الخروج عبر وكلاء مركزيين خاضعين للتحكم ومسجلين.

تحوّل الضوابط متعددة الطبقات عملية تهريب البيانات السهلة إلى صراع صاخب يمكن اكتشافه.

يُعد تهريب البيانات المرحلة الأخيرة من الاختراق، ولذلك فإن اكتشافه يحدّ من الأضرار حتى عند فشل وسائل الحماية السابقة. اربط ضوابطك بخطوات المهاجم:

• الجمع تُجمّع البيانات داخلياً؛ راقب عمليات التجميع غير المعتادة.
• الترميز والتشفير تُضغط البيانات وتُموّه؛ فتظهر ارتفاعات في الإنتروبيا.
• اختيار القناة يختار المهاجم DNS أو HTTPS أو الخروج عبر السحابة؛ لذا تصبح المراقبة مهمة.
• النقل تغادر البيانات، فتظهر شذوذات في الحجم والإشارات الدورية.

يعني تطبيق مبدأ الدفاع متعدد الطبقات عبر هذه الخطوات أن على المهاجم تجاوز كل طبقة، بينما لا تحتاج أنت إلا إلى اكتشافه عند إحدى هذه الطبقات.

اختبر مدى فهمك لتهريب البيانات القائم على DNS.

تعلّمت كيف يهرّب المهاجمون البيانات إلى الخارج وكيفية اكتشافهم.

• تُخفي القناة الخفية البيانات في سلوك النظام أو حركة مرور الشبكة، متجاوزةً جدران الحماية وDLP؛ وهي تُمكّن من تهريب البيانات وC2.
• تكون القنوات قنوات تخزين (تُخفي البيانات في الحقول) أو قنوات توقيت (تُخفيها في توقيت الأحداث، وهي أشد تخفياً).
• يُعد تهريب البيانات عبر DNS الأكثر شيوعاً، إذ يرمّز البيانات في النطاقات الفرعية؛ ويمكن اكتشافه عبر تحليل الحجم والإنتروبيا والنطاقات النادرة.
• يسيء المهاجمون استخدام حقول البروتوكولات (ICMP والرؤوس) ويندمجون في حركة المرور المشفّرة المسموح بها (C2 عبر HTTPS، والتخزين السحابي، والواجهة الأمامية للنطاق).
• تكشف الإشارات الدورية المنتظمة والشذوذات السلوكية عن القنوات حتى أثناء التشفير.
• دافع عن أنظمتك باستخدام تصفية حركة الخروج، وفحص DNS وTLS، وDLP، والكشف متعدد الطبقات عبر سلسلة قتل تهريب البيانات.

بهذا تكتمل دورة التخفي وإخفاء البيانات.