Canaux discrets et exfiltration

Un canal clandestin est une voie de communication qui transfère des informations d’une manière que le système n’est pas conçu pour autoriser, en contournant les contrôles de sécurité. Alors que la stéganographie dissimule les données dans des fichiers, les canaux clandestins les dissimulent dans le comportement du système ou le trafic réseau.

Les attaquants utilisent les canaux clandestins pour l’exfiltration de données — faire sortir clandestinement des données volées d’un réseau — et pour la commande et le contrôle (C2), afin de recevoir des instructions. Leur caractéristique déterminante est que le trafic semble légitime et passe ainsi devant les pare-feu, les serveurs mandataires et les systèmes de prévention des pertes de données.

Comprendre ces canaux est essentiel pour détecter l’étape finale et la plus dommageable d’une attaque : le départ des données des locaux.

Les canaux clandestins se répartissent en deux catégories classiques :

• Canaux de stockage : ils dissimulent les données dans un champ ou un emplacement qui n’est pas destiné à les transporter, par exemple des bits d’en-tête inutilisés ou une valeur qu’un observateur peut lire directement.
• Canaux temporels : ils codent les données dans la chronologie des événements, c’est-à-dire le délai entre les paquets, l’ordre des requêtes ou la latence des réponses. Aucun champ de données n’est modifié ; l’information réside dans le moment où les événements se produisent.

Les canaux temporels sont plus discrets et plus difficiles à détecter, car les paquets eux-mêmes semblent tout à fait normaux ; seul leur rythme porte le secret.

Le canal clandestin le plus courant dans le monde réel exploite le DNS. Le DNS est presque toujours autorisé en sortie, même sur les réseaux verrouillés, car la résolution de noms est essentielle. Les attaquants en profitent.

Les données sont codées dans les étiquettes de sous-domaines des requêtes envoyées à un domaine contrôlé par l’attaquant. Le serveur de noms faisant autorité de l’attaquant les reçoit et les décode. Les données volées sortent au rythme d’une requête DNS à la fois :

Des outils comme iodine et dnscat2 automatisent la création de tunnels complets via le DNS.

L’exfiltration via DNS laisse des empreintes statistiques que les défenseurs peuvent rechercher :

• Volume élevé de requêtes vers un seul domaine, très supérieur à la normale.
• Sous-domaines longs à forte entropie : les données codées semblent aléatoires, contrairement aux vrais noms d’hôtes.
• Types d’enregistrements inhabituels : utilisation intensive d’enregistrements TXT, NULL ou CNAME.
• Réponses volumineuses pour la commande et le contrôle entrants.
• Domaines rares interrogés par un seul hôte.

Surveiller les journaux DNS à la recherche de ces motifs et les transmettre à un SIEM constitue l’une des détections les plus efficaces, car presque toute exfiltration finit par toucher le DNS.

De nombreux protocoles comportent des champs facultatifs, réservés ou contrôlés de manière approximative : ce sont des canaux de stockage parfaits :

• Tunnelisation ICMP : dissimuler des données dans la charge utile des paquets ping, que les pare-feu autorisent souvent.
• Champs d’en-tête TCP/IP : le champ d’identification IP, les numéros de séquence TCP ou les bits d’indicateur réservés.
• En-têtes HTTP : des en-têtes personnalisés, des témoins ou des chaînes User-Agent transportant des données codées.
• SNI TLS : le champ du nom du serveur, parfois détourné pour signaler un serveur C2.

Chaque champ semble normal pris isolément ; la détection nécessite donc d’établir une référence des valeurs normales et de signaler les écarts.

Les attaquants sophistiqués privilégient les canaux qui se dissimulent dans un trafic autorisé et chiffré afin de résister à l’inspection approfondie :

• C2 via HTTPS : des balises déguisées en requêtes Web ordinaires vers un domaine d’apparence légitime.
• Dissimulation de domaine : acheminer le trafic par un CDN de confiance afin que la destination visible soit inoffensive.
• Détournement du stockage en nuage : exfiltrer des données vers Dropbox, S3 ou Google Drive, qui sont autorisés dans la plupart des organisations.
• Réseaux sociaux et services de publication de texte : publier des données codées sur des services publics.

Comme la destination et le chiffrement semblent légitimes, la détection se déplace du contenu vers le comportement : motifs de balisage, volumes et temporalité.

Les canaux C2 émettent souvent des balises : ils contactent leur serveur à intervalles réguliers pour vérifier la présence de commandes. Cette régularité est détectable même lorsque le trafic est chiffré :

• Périodicité : connexions à intervalles presque constants, toutes les 60 secondes ou toutes les heures.
• Gigue : les attaquants ajoutent de l’aléatoire pour échapper à une détection simple de la périodicité, mais le rythme sous-jacent reste souvent visible statistiquement.
• Petites charges utiles constantes : des requêtes de la taille de battements de cœur.

Les défenseurs utilisent l’analyse du trafic pour repérer la régularité mécanique du balisage, que la navigation humaine ne produit jamais.

Les canaux temporels purs codent des informations sans modifier aucun champ de données. Exemples :

• Délai entre les paquets : un intervalle court signifie 0, un intervalle long signifie 1.
• Ordonnancement des requêtes : la séquence dans laquelle les ressources sont demandées transporte des bits.
• Modulation du débit : variation du débit du trafic légitime.

Ces canaux sont lents (à faible bande passante) et bruités, mais extrêmement discrets, car les paquets sont authentiques. Leur détection nécessite une analyse statistique des distributions temporelles afin de repérer des délais anormalement réguliers ou bimodaux, que le trafic humain et automatisé ne produit normalement pas.

Puisque les canaux dissimulés imitent le trafic légitime, leur détection repose sur l'analyse comportementale plutôt que sur des signatures :

• Établissement d'une référence : apprenez quel est le trafic normal de chaque hôte, puis signalez les écarts.
• Anomalies de volume : un poste de travail se met soudainement à téléverser plusieurs gigaoctets.
• Analyse de l'entropie : des charges utiles très aléatoires suggèrent un chiffrement ou un encodage.
• Réputation de la destination : connexions à des domaines nouveaux, rares ou récemment enregistrés.
• Conformité au protocole : trafic sur un port qui ne correspond pas au protocole attendu.

Un NIDS, l'analyse NetFlow et un SIEM font apparaître ensemble ces signaux ; aucun indicateur isolé n'est concluant.

Au-delà de la détection, plusieurs mesures réduisent la marge de manœuvre des canaux dissimulés :

• Filtrage des sorties : refuser par défaut toutes les connexions sortantes ; n'autoriser que les destinations et les ports nécessaires. Cela bloque à lui seul de nombreux canaux.
• Inspection DNS : faire passer toutes les requêtes DNS par des résolveurs surveillés ; bloquer le DNS sortant direct.
• Inspection TLS : lorsque le droit et les contraintes opérationnelles le permettent, déchiffrer et inspecter le trafic TLS sortant.
• Prévention des pertes de données : classifier les données sensibles et surveiller leur sortie.
• Limitation du débit et utilisation de serveurs mandataires : faire passer toutes les sorties par des serveurs mandataires contrôlés et journalisés.

Des mesures superposées transforment une exfiltration facile en opération bruyante et détectable.

L'exfiltration est l'étape finale d'une intrusion ; la détecter permet donc de limiter les dommages même lorsque les défenses précédentes ont échoué. Associez vos mesures aux étapes de l'attaquant :

• Collecte : les données sont regroupées en interne ; surveillez les agrégations inhabituelles.
• Encodage/chiffrement : les données sont compressées et masquées ; l'entropie augmente fortement.
• Sélection du canal : l'attaquant choisit le DNS, le protocole web sécurisé ou une sortie vers le nuage ; la surveillance des sorties est donc essentielle.
• Transfert : les données quittent le système ; des anomalies de volume et de signaux périodiques apparaissent.

Une défense en profondeur à chacune de ces étapes oblige l'attaquant à franchir toutes les couches, alors que vous ne devez le détecter qu'à l'une d'elles.

Vous avez appris comment les attaquants dissimulent des données pour les faire sortir et comment les détecter.

• Un canal dissimulé cache des données dans le comportement du système ou le trafic réseau, échappant aux pare-feu et à la DLP ; il permet l'exfiltration et la commande et le contrôle.
• Les canaux sont fondés sur le stockage (données cachées dans des champs) ou sur le temps (données cachées dans la chronologie des événements, méthode plus discrète).
• L'exfiltration DNS est la plus courante : elle encode les données dans des sous-domaines ; détectez-la grâce à l'analyse du volume, de l'entropie et des domaines rares.
• Les attaquants détournent des champs de protocole (ICMP, en-têtes) et se fondent dans le trafic chiffré autorisé (commande et contrôle via le web sécurisé, stockage en nuage, relais de domaine).
• La régularité des signaux périodiques et les anomalies comportementales révèlent les canaux, même sous chiffrement.
• Défendez-vous avec le filtrage des sorties, l'inspection DNS/TLS, la DLP et une détection en couches couvrant toute la chaîne d'attaque de l'exfiltration.

Le cours sur la stéganographie et la dissimulation des données est maintenant terminé.