Canales encubiertos y exfiltración

Un canal encubierto es una vía de comunicación que transfiere información de una forma que el sistema no está diseñado para permitir, eludiendo los controles de seguridad. Mientras que la esteganografía oculta datos dentro de archivos, los canales encubiertos los ocultan en el comportamiento del sistema o el tráfico de red.

Los atacantes utilizan canales encubiertos para la exfiltración de datos, es decir, sacar datos robados de una red, y para el mando y control (C2), es decir, recibir instrucciones. El rasgo definitorio es que el tráfico parece legítimo, por lo que pasa desapercibido ante firewalls, proxies y sistemas de prevención de pérdida de datos.

Comprender estos canales es esencial para detectar la última y más dañina etapa de un ataque: cuando los datos abandonan la organización.

Los canales encubiertos se dividen en dos categorías clásicas:

• Los canales de almacenamiento ocultan datos en un campo o ubicación que no está destinada a transportarlos, por ejemplo, bits de encabezado no utilizados o un valor que un observador puede leer directamente.
• Los canales de temporización codifican datos en la temporización de los eventos: el retraso entre paquetes, el orden de las solicitudes o la latencia de las respuestas. No se modifica ningún campo de datos; la información está en cuándo ocurren las cosas.

Los canales de temporización son más discretos y difíciles de detectar porque los propios paquetes parecen completamente normales; solo su ritmo transporta el secreto.

El canal encubierto más común en el mundo real aprovecha DNS. DNS casi siempre está permitido para conexiones salientes, incluso en redes restringidas, porque la resolución de nombres es esencial. Los atacantes se aprovechan de ello.

Los datos se codifican en las etiquetas de subdominio de las consultas dirigidas a un dominio controlado por el atacante. El servidor de nombres autoritativo del atacante los recibe y descodifica. Los datos robados salen en una consulta DNS cada vez:

Herramientas como iodine y dnscat2 automatizan túneles completos a través de DNS.

La exfiltración mediante DNS deja huellas estadísticas que los defensores pueden buscar:

• Gran volumen de consultas a un único dominio, muy por encima de lo normal.
• Subdominios largos y de alta entropía: los datos codificados parecen aleatorios, a diferencia de los nombres de host reales.
• Tipos de registro inusuales: uso intensivo de registros TXT, NULL o CNAME.
• Respuestas de gran tamaño para C2 entrante.
• Dominios poco frecuentes consultados por un único host.

Supervisar los registros DNS en busca de estos patrones y enviarlos a un SIEM es una de las detecciones de mayor valor, porque casi toda exfiltración acaba pasando por DNS.

Muchos protocolos tienen campos opcionales, reservados o cuya validación es flexible: son canales de almacenamiento perfectos:

• Túneles ICMP que ocultan datos en la carga útil de paquetes ping, que los firewalls suelen permitir.
• Campos de encabezado TCP/IP: el campo IP Identification, los números de secuencia TCP o los bits de indicador reservados.
• Encabezados HTTP: encabezados personalizados, cookies o cadenas User-Agent que transportan datos codificados.
• TLS SNI: el campo server-name, que a veces se utiliza para indicar un servidor C2.

Cada campo parece normal de forma aislada, por lo que la detección requiere establecer una línea base de los valores normales y señalar las desviaciones.

Los atacantes sofisticados prefieren canales que se ocultan dentro de tráfico permitido y cifrado para resistir una inspección profunda:

• HTTPS C2 beacons disfrazados de solicitudes web normales dirigidas a un dominio de apariencia legítima.
• Domain fronting enrutamiento del tráfico a través de una CDN de confianza para que el destino visible parezca inofensivo.
• Abuso del almacenamiento en la nube exfiltración a Dropbox, S3 o Google Drive, servicios permitidos en la mayoría de las organizaciones.
• Redes sociales y pastebins publicación de datos codificados en servicios públicos.

Como el destino y el cifrado parecen legítimos, la detección pasa del contenido al comportamiento: patrones de beaconing, volúmenes y temporización.

Los canales C2 suelen hacer beaconing, es decir, contactar con el servidor a intervalos regulares para comprobar si hay comandos. Esta regularidad es un comportamiento detectable incluso con cifrado:

• Periodicidad: conexiones a intervalos casi constantes, cada 60 segundos o cada hora.
• Jitter: los atacantes añaden aleatoriedad para evadir la detección de periodos simples, pero el ritmo subyacente suele seguir siendo visible estadísticamente.
• Cargas útiles pequeñas y constantes: solicitudes similares a un heartbeat.

Los defensores utilizan el análisis de tráfico para detectar la regularidad mecánica del beaconing, algo que la navegación humana nunca produce.

Los canales de temporización puros codifican información sin modificar ningún campo de datos. Algunos ejemplos son:

• Retraso entre paquetes: una pausa corta significa 0 y una pausa larga significa 1.
• Orden de las solicitudes: la secuencia en la que se solicitan los recursos transmite bits.
• Modulación del caudal: variar la tasa del tráfico legítimo.

Estos canales son lentos (tienen poco ancho de banda) y ruidosos, pero extremadamente sigilosos porque los paquetes son legítimos. Para detectarlos se requiere un análisis estadístico de las distribuciones temporales que busque retrasos anormalmente regulares o bimodales, que normalmente no producen el tráfico humano ni el de las máquinas.

Como los canales encubiertos imitan el tráfico legítimo, la detección se basa en el análisis del comportamiento en lugar de las firmas:

• Establecimiento de una línea base: aprenda cuál es el tráfico normal de cada host y, después, señale las desviaciones.
• Anomalías de volumen: una estación de trabajo comienza de repente a cargar gigabytes.
• Análisis de entropía: los payloads con una aleatoriedad elevada sugieren cifrado o codificación.
• Reputación del destino: conexiones con dominios nuevos, poco frecuentes o registrados recientemente.
• Conformidad con el protocolo: tráfico en un puerto que no coincide con el protocolo esperado.

Un NIDS, el análisis de NetFlow y un SIEM permiten detectar estas señales conjuntamente; ningún indicador aislado es concluyente.

Además de la detección, varios controles reducen el margen disponible para los canales encubiertos:

• Filtrado de salida: deniegue por defecto el tráfico saliente y permita únicamente los destinos y puertos necesarios. Esto por sí solo bloquea muchos canales.
• Inspección de DNS: fuerce todo el DNS a pasar por resolutores supervisados y bloquee el DNS saliente directo.
• Inspección de TLS: cuando sea legal y operativamente adecuado, descifre e inspeccione el tráfico TLS saliente.
• Prevención de pérdida de datos: clasifique los datos sensibles y vigile si salen del entorno.
• Limitación de velocidad y uso de proxies: canalice todo el tráfico saliente mediante proxies controlados y con registros.

Los controles por capas convierten una exfiltración sencilla en una actividad ruidosa y difícil de ocultar.

La exfiltración es la etapa final de una intrusión, por lo que detectarla limita los daños incluso cuando las defensas anteriores han fallado. Asigne sus controles a los pasos del atacante:

• Recopilación: los datos se preparan internamente; busque agregaciones inusuales.
• Codificación/cifrado: los datos se comprimen y ofuscan; la entropía aumenta.
• Selección del canal: el atacante elige DNS, HTTPS o una salida a la nube; la supervisión es fundamental.
• Transferencia: los datos salen y aparecen anomalías de volumen y de beaconing.

La defensa en profundidad aplicada a estos pasos obliga al atacante a superar todas las capas, mientras que usted solo necesita detectarlo en una de ellas.

Aprendió cómo los atacantes extraen datos y cómo detectarlos.

• Un canal encubierto oculta datos en el comportamiento del sistema o en el tráfico de red, eludiendo los firewalls y el DLP; se utiliza para la exfiltración y el C2.
• Los canales son de almacenamiento (los datos se ocultan en campos) o de temporización (se ocultan en el momento de los eventos y son más sigilosos).
• La exfiltración mediante DNS es la más común: codifica los datos en subdominios y se detecta mediante el análisis del volumen, la entropía y los dominios poco frecuentes.
• Los atacantes abusan de campos de protocolos (ICMP y encabezados) y se mezclan con el tráfico cifrado permitido (C2 mediante HTTPS, almacenamiento en la nube y domain fronting).
• La regularidad del beaconing y las anomalías de comportamiento revelan los canales incluso cuando el tráfico está cifrado.
• Defiéndase mediante filtrado de salida, inspección de DNS y TLS, DLP y detección por capas a lo largo de la cadena de ataque de la exfiltración.

Con esto concluye el curso Steganography and Data Hiding.