Verdeckte Kanäle und Exfiltration

Ein verdeckter Kanal ist ein Kommunikationsweg, über den Informationen auf eine Weise übertragen werden, für die das System nicht ausgelegt ist, und der Sicherheitskontrollen umgeht. Während Steganografie Daten in Dateien verbirgt, verbergen verdeckte Kanäle Daten im Systemverhalten oder Netzwerkverkehr.

Angreifer nutzen verdeckte Kanäle zur Datenexfiltration, also zum Herausschmuggeln gestohlener Daten aus einem Netzwerk, und für Command-and-Control (C2), also zum Empfangen von Anweisungen. Das entscheidende Merkmal ist, dass der Datenverkehr legitim aussieht und daher Firewalls, Proxys und Data-Loss-Prevention-Systeme passiert.

Das Verständnis dieser Kanäle ist entscheidend, um die letzte und folgenreichste Phase eines Angriffs zu erkennen: den Abfluss von Daten aus dem Unternehmen.

Verdeckte Kanäle werden in zwei klassische Kategorien eingeteilt:

• Speicherkanäle verbergen Daten in einem Feld oder an einer Stelle, die nicht für deren Übertragung vorgesehen ist – etwa in ungenutzten Header-Bits oder einem Wert, den ein Beobachter direkt auslesen kann.
• Timingkanäle kodieren Daten im Timing von Ereignissen – in der Verzögerung zwischen Paketen, der Reihenfolge von Anfragen oder der Antwortlatenz. Kein Datenfeld wird verändert; die Information steckt darin, wann etwas geschieht.

Timingkanäle sind unauffälliger und schwerer zu erkennen, weil die Pakete selbst völlig normal aussehen – nur ihr Rhythmus trägt das Geheimnis.

Der häufigste verdeckte Kanal in der Praxis nutzt DNS aus. Ausgehender DNS-Datenverkehr ist selbst in stark abgeschotteten Netzwerken fast immer erlaubt, da die Namensauflösung unverzichtbar ist. Angreifer machen sich dies zunutze.

Die Daten werden in Subdomain-Labels von Anfragen an eine vom Angreifer kontrollierte Domain kodiert. Der autoritative Nameserver des Angreifers empfängt und dekodiert sie. Gestohlene Daten werden mit einer DNS-Anfrage nach der anderen nach außen übertragen:

Tools wie iodine und dnscat2 automatisieren vollständige Tunnel über DNS.

DNS-Exfiltration hinterlässt statistische Fingerabdrücke, nach denen Verteidiger suchen können:

• Hohes Anfragevolumen an eine einzelne Domain, weit über dem Normalen.
• Lange Subdomains mit hoher Entropie: Kodierte Daten wirken zufällig, anders als echte Hostnamen.
• Ungewöhnliche Record-Typen: intensive Nutzung von TXT-, NULL- oder CNAME-Records.
• Große Antwortgrößen bei eingehendem C2-Verkehr.
• Seltene Domains, die nur von einem Host abgefragt werden.

Die Überwachung von DNS-Protokollen auf solche Muster und ihre Weiterleitung an ein SIEM ist eine der wertvollsten Erkennungsmethoden, da fast jede Exfiltration irgendwann DNS berührt.

Viele Protokolle enthalten optionale, reservierte oder nur unzureichend geprüfte Felder – perfekte Speicherkanäle:

• ICMP-Tunneling: Verbergen von Daten in der Nutzlast von Ping-Paketen, die Firewalls häufig zulassen.
• TCP/IP-Headerfelder: das IP-Identifikationsfeld, TCP-Sequenznummern oder reservierte Flag-Bits.
• HTTP-Header: benutzerdefinierte Header, Cookies oder User-Agent-Zeichenfolgen, die kodierte Daten übertragen.
• TLS SNI: das Servernamenfeld, das manchmal dazu missbraucht wird, einen C2-Server zu signalisieren.

Jedes Feld wirkt für sich genommen normal. Daher erfordert die Erkennung ein Referenzprofil für normale Werte und das Markieren von Abweichungen.

Ausgefeilte Angreifer bevorzugen Kanäle, die sich in zulässigem, verschlüsseltem Datenverkehr verbergen, damit sie eine eingehende Prüfung überstehen:

• HTTPS-C2: Beacons, die wie gewöhnliche Webanfragen an eine seriös wirkende Domain getarnt sind.
• Domain-Fronting: Weiterleitung des Datenverkehrs über ein vertrauenswürdiges CDN, sodass das sichtbare Ziel harmlos wirkt.
• Missbrauch von Cloud-Speichern: Exfiltration zu Dropbox, S3 oder Google Drive, die in den meisten Unternehmen zugelassen sind.
• Soziale Medien und Pastebins: Veröffentlichung kodierter Daten in öffentlichen Diensten.

Da Ziel und Verschlüsselung legitim wirken, verlagert sich die Erkennung vom Inhalt auf das Verhalten: Beaconing-Muster, Datenmengen und Timing.

C2-Kanäle führen häufig ein Beaconing durch: Sie melden sich in regelmäßigen Abständen zu Hause, um Befehle abzurufen. Dieses regelmäßige Verhalten ist selbst bei verschlüsselter Kommunikation erkennbar:

• Periodizität: Verbindungen in nahezu konstanten Abständen, etwa alle 60 Sekunden oder jede Stunde.
• Jitter: Angreifer fügen Zufälligkeit hinzu, um eine einfache Erkennung von Perioden zu umgehen, doch der zugrunde liegende Rhythmus bleibt häufig statistisch sichtbar.
• Kleine, gleichbleibende Nutzdaten: Anfragen in Heartbeat-Größe.

Verteidiger nutzen die Datenverkehrsanalyse, um die maschinenartige Regelmäßigkeit des Beaconings zu erkennen, die von Menschen gesteuertes Surfen niemals hervorbringt.

Reine Zeitkanäle codieren Informationen, ohne ein Datenfeld zu verändern. Beispiele:

• Zwischenpaketverzögerung: Eine kurze Lücke bedeutet 0, eine lange Lücke bedeutet 1.
• Reihenfolge der Anfragen: Die Reihenfolge, in der Ressourcen angefordert werden, überträgt Bits.
• Durchsatzmodulation: Die Rate des legitimen Datenverkehrs wird variiert.

Diese Kanäle sind langsam (geringe Bandbreite) und verrauscht, aber äußerst unauffällig, weil die Pakete echt sind. Ihre Erkennung erfordert eine statistische Analyse von Zeitverteilungen, bei der nach unnatürlich regelmäßigen oder bimodalen Verzögerungen gesucht wird, wie sie bei menschlichem und maschinellem Datenverkehr normalerweise nicht auftreten.

Da verdeckte Kanäle legitimen Datenverkehr nachahmen, stützt sich ihre Erkennung eher auf Verhaltensanalysen als auf Signaturen:

• Baseline-Erstellung: Ermitteln Sie den normalen Datenverkehr pro Host und markieren Sie anschließend Abweichungen.
• Volumenanomalien: Ein Arbeitsplatzrechner lädt plötzlich Gigabytes hoch.
• Entropieanalyse: Payloads mit hoher Zufälligkeit deuten auf Verschlüsselung oder Codierung hin.
• Reputation des Ziels: Verbindungen zu neuen, seltenen oder kürzlich registrierten Domains.
• Protokollkonformität: Datenverkehr auf einem Port, der nicht dem erwarteten Protokoll entspricht.

Ein NIDS, eine NetFlow-Analyse und ein SIEM machen diese Signale gemeinsam sichtbar; kein einzelner Indikator ist beweiskräftig.

Neben der Erkennung schränken mehrere Schutzmaßnahmen den Spielraum für verdeckte Kanäle ein:

• Egress-Filtering: Ausgehenden Datenverkehr standardmäßig ablehnen und nur erforderliche Ziele und Ports zulassen. Dadurch werden allein bereits viele Kanäle blockiert.
• DNS-Inspektion: Erzwingen Sie, dass sämtlicher DNS-Datenverkehr über überwachte Resolver läuft, und blockieren Sie direkten ausgehenden DNS-Datenverkehr.
• TLS-Inspektion: Sofern rechtlich und betrieblich vertretbar, ausgehendes TLS entschlüsseln und prüfen.
• Verhinderung von Datenverlusten: Sensible Daten klassifizieren und überwachen, ob sie das System verlassen.
• Ratenbegrenzung und Proxying: Sämtlichen ausgehenden Datenverkehr über kontrollierte und protokollierte Proxys leiten.

Mehrschichtige Schutzmaßnahmen machen eine einfache Exfiltration zu einem auffälligen und erkennbaren Unterfangen.

Exfiltration ist die letzte Phase eines Eindringens. Ihre Erkennung begrenzt daher den Schaden, selbst wenn frühere Abwehrmaßnahmen versagt haben. Ordnen Sie Ihre Schutzmaßnahmen den Schritten des Angreifers zu:

• Sammlung: Daten werden intern zusammengeführt; achten Sie auf ungewöhnliche Aggregation.
• Codierung/Verschlüsselung: Daten werden komprimiert und verschleiert; die Entropie steigt sprunghaft an.
• Kanalauswahl: Der Angreifer wählt DNS, HTTPS oder Cloud-Egress; daher ist die Überwachung entscheidend.
• Übertragung: Daten verlassen das System; Anomalien bei Volumen und Beaconing treten auf.

Defense in Depth über diese Schritte hinweg bedeutet, dass ein Angreifer jede einzelne Schicht überwinden muss, während Sie ihn nur an einer Stelle erkennen müssen.

Testen Sie Ihr Verständnis der DNS-basierten Exfiltration.

Sie haben gelernt, wie Angreifer Daten unbemerkt aus einem System herausbringen und wie Sie sie dabei erkennen.

• Ein verdeckter Kanal verbirgt Daten im Systemverhalten oder Netzwerkverkehr und umgeht Firewalls und DLP; er ermöglicht Exfiltration und C2.
• Kanäle sind Speicherkanäle (in Feldern verborgen) oder Zeitkanäle (im zeitlichen Ablauf von Ereignissen verborgen und unauffälliger).
• DNS-Exfiltration ist am weitesten verbreitet und codiert Daten in Subdomains; erkennen lässt sie sich anhand von Volumen, Entropie und der Analyse seltener Domains.
• Angreifer missbrauchen Protokollfelder (ICMP, Header) und tarnen sich als zulässiger verschlüsselter Datenverkehr (HTTPS-C2, Cloud-Speicher, Domain Fronting).
• Beaconing-Regelmäßigkeit und Verhaltensanomalien machen Kanäle auch bei Verschlüsselung sichtbar.
• Verteidigen Sie sich mit Egress-Filtering, DNS-/TLS-Inspektion, DLP und mehrschichtiger Erkennung entlang der Exfiltrations-Kill-Chain.

Damit ist der Kurs „Steganografie und Datenverbergung“ abgeschlossen.