Saluran Terselubung dan Eksfiltrasi

Saluran terselubung adalah jalur komunikasi yang mentransfer informasi dengan cara yang tidak dirancang untuk diizinkan oleh sistem, sehingga menghindari kendali keamanan. Jika steganografi menyembunyikan data di dalam berkas, saluran terselubung menyembunyikan data di dalam perilaku sistem atau lalu lintas jaringan.

Penyerang menggunakan saluran terselubung untuk eksfiltrasi data—menyelundupkan data curian keluar dari jaringan—dan untuk komando dan kendali (C2) guna menerima instruksi. Ciri utamanya adalah lalu lintas tersebut tampak sah, sehingga dapat melewati firewall, proksi, dan sistem pencegahan kehilangan data.

Memahami saluran ini sangat penting untuk mendeteksi tahap terakhir dan paling merusak dari serangan: data meninggalkan gedung.

Saluran terselubung terbagi menjadi dua kategori klasik:

• Saluran penyimpanan menyembunyikan data dalam bidang atau lokasi yang tidak dimaksudkan untuk membawanya, misalnya bit header yang tidak digunakan atau nilai yang dapat dibaca langsung oleh pengamat.
• Saluran pewaktuan menyandikan data dalam pewaktuan peristiwa—jeda antar paket, urutan permintaan, atau latensi respons. Tidak ada bidang data yang diubah; informasinya terletak pada kapan sesuatu terjadi.

Saluran pewaktuan lebih tersembunyi dan lebih sulit dideteksi karena paketnya sendiri tampak sepenuhnya normal; hanya ritmenya yang membawa rahasia.

Saluran terselubung yang paling umum di dunia nyata menyalahgunakan DNS. DNS hampir selalu diizinkan untuk lalu lintas keluar, bahkan pada jaringan yang dibatasi ketat, karena resolusi nama sangat penting. Penyerang memanfaatkan hal ini.

Data disandikan ke dalam label subdomain pada kueri ke domain yang dikendalikan penyerang. Server nama otoritatif milik penyerang menerima dan menguraikannya. Data curian mengalir keluar satu kueri DNS setiap kali:

Alat seperti iodine dan dnscat2 mengotomatiskan terowongan penuh melalui DNS.

Eksfiltrasi DNS meninggalkan jejak statistik yang dapat dicari oleh tim pertahanan:

• Volume kueri tinggi ke satu domain, jauh di atas kondisi normal.
• Subdomain yang panjang dan berentropi tinggi data berkode tampak acak, tidak seperti nama host nyata.
• Jenis catatan yang tidak biasa penggunaan TXT, NULL, atau CNAME secara berlebihan.
• Ukuran respons besar untuk C2 masuk.
• Domain yang jarang digunakan hanya ditanyakan oleh satu host.

Memantau catatan DNS untuk menemukan pola ini dan memasukkannya ke SIEM merupakan salah satu deteksi yang paling bernilai, karena hampir semua eksfiltrasi pada akhirnya melibatkan DNS.

Banyak protokol memiliki bidang yang opsional, dicadangkan, atau pemeriksaannya longgar—saluran penyimpanan yang sempurna:

• Penerowongan ICMP menyembunyikan data dalam muatan paket ping, yang sering diizinkan firewall.
• Bidang header TCP/IP bidang Identifikasi IP, nomor urutan TCP, atau bit flag yang dicadangkan.
• Header HTTP header kustom, cookie, atau string Agen-Pengguna yang membawa data berkode.
• SNI TLS bidang nama server yang terkadang disalahgunakan untuk memberi sinyal kepada server C2.

Setiap bidang tampak normal jika dilihat sendiri, sehingga deteksi memerlukan penetapan dasar untuk mengetahui nilai normal dan menandai penyimpangan.

Penyerang yang canggih memilih saluran yang bersembunyi di dalam lalu lintas yang diizinkan dan terenkripsi agar dapat bertahan dari pemeriksaan mendalam:

• C2 HTTPS sinyal berkala yang disamarkan sebagai permintaan web biasa ke domain yang tampak sah.
• Penyamaran domain merutekan lalu lintas melalui CDN tepercaya sehingga tujuan yang terlihat tampak tidak berbahaya.
• Penyalahgunaan penyimpanan awan mengeksfiltrasi data ke Dropbox, S3, atau Google Drive, yang diizinkan di sebagian besar organisasi.
• Media sosial dan layanan pastebin mengirim data berkode ke layanan publik.

Karena tujuan dan enkripsinya tampak sah, deteksi beralih dari konten ke perilaku—pola sinyal berkala, volume, dan pewaktuan.

Saluran C2 sering mengirim sinyal ke server asal pada interval teratur untuk memeriksa perintah. Keteraturan ini merupakan perilaku yang dapat dideteksi bahkan melalui enkripsi:

• Periodisitas koneksi pada interval yang hampir konstan, misalnya setiap 60 detik atau setiap jam.
• Variasi acak penyerang menambahkan keacakan untuk menghindari deteksi periode sederhana, tetapi ritme dasarnya sering tetap terlihat secara statistik.
• Muatan kecil dan konsisten permintaan kecil seukuran denyut jantung.

Pembela menggunakan analisis lalu lintas untuk menemukan keteraturan seperti mesin pada sinyal berkala, yang tidak pernah dihasilkan oleh penjelajahan yang dilakukan manusia.

Saluran waktu murni menyandikan informasi tanpa mengubah bidang data apa pun. Contohnya:

• Jeda antar paket jeda singkat berarti 0, sedangkan jeda panjang berarti 1.
• Urutan permintaan urutan sumber daya yang diminta membawa bit.
• Modulasi laju transfer memvariasikan laju lalu lintas yang sah.

Saluran ini lambat (berbandwidth rendah) dan bising, tetapi sangat tersembunyi karena paketnya asli. Untuk mendeteksinya, diperlukan analisis statistik terhadap distribusi waktu guna mencari jeda yang secara tidak wajar teratur atau memiliki dua puncak, yang biasanya tidak dihasilkan oleh lalu lintas manusia maupun mesin.

Karena saluran tersembunyi meniru lalu lintas yang sah, pendeteksian mengandalkan analitik perilaku, bukan tanda tangan:

• Penetapan garis dasar pelajari lalu lintas normal setiap perangkat, lalu tandai penyimpangannya.
• Anomali volume sebuah komputer kerja tiba-tiba mengunggah gigabita data.
• Analisis entropi muatan data dengan keacakan tinggi mengindikasikan enkripsi atau penyandian.
• Reputasi tujuan koneksi ke domain baru, jarang muncul, atau baru saja didaftarkan.
• Kesesuaian protokol lalu lintas pada porta yang tidak sesuai dengan protokol yang diharapkan.

NIDS, analisis NetFlow, dan SIEM secara bersama-sama menampilkan sinyal ini; tidak ada satu pun indikator yang bersifat konklusif.

Selain pendeteksian, beberapa kontrol mempersempit ruang gerak saluran tersembunyi:

• Penyaringan lalu lintas keluar tolak semua lalu lintas keluar secara bawaan; izinkan hanya tujuan dan porta yang diperlukan. Ini saja sudah memblokir banyak saluran.
• Pemeriksaan DNS paksa semua DNS melewati penyelesai yang dipantau; blokir DNS keluar langsung.
• Pemeriksaan TLS jika sesuai secara hukum dan operasional, dekripsi dan periksa TLS keluar.
• Pencegahan kehilangan data klasifikasikan data sensitif dan awasi agar tidak keluar.
• Pembatasan laju dan penggunaan proksi salurkan semua lalu lintas keluar melalui proksi yang dikendalikan dan dicatat.

Kontrol berlapis mengubah eksfiltrasi yang mudah menjadi upaya sulit yang bising dan dapat dideteksi.

Eksfiltrasi adalah tahap terakhir penyusupan, sehingga pendeteksiannya dapat membatasi kerusakan meskipun pertahanan sebelumnya gagal. Petakan kontrol Anda ke langkah-langkah penyerang:

• Pengumpulan data disiapkan sementara secara internal; waspadai penggabungan yang tidak biasa.
• Penyandian/enkripsi data dikompresi dan disamarkan; entropinya melonjak.
• Pemilihan saluran penyerang memilih DNS, HTTPS, atau jalur keluar melalui layanan awan; pemantauan menjadi penting.
• Transfer data keluar; anomali volume dan sinyal berkala mulai terlihat.

Pertahanan berlapis di seluruh langkah ini berarti penyerang harus menembus setiap lapisan, sedangkan Anda hanya perlu menangkapnya di salah satu lapisan.

Anda mempelajari cara penyerang menyelundupkan data keluar dan cara mendeteksinya.

• Saluran tersembunyi menyembunyikan data dalam perilaku sistem atau lalu lintas jaringan sehingga dapat menghindari firewall dan DLP; saluran ini digunakan untuk eksfiltrasi dan komando-kendali.
• Saluran dapat berupa penyimpanan (tersembunyi dalam bidang) atau waktu (tersembunyi dalam waktu terjadinya peristiwa dan lebih sulit dideteksi).
• Eksfiltrasi DNS adalah yang paling umum, dengan menyandikan data dalam subdomain; deteksi dilakukan melalui analisis volume, entropi, dan domain yang jarang muncul.
• Penyerang menyalahgunakan bidang protokol (ICMP, tajuk) dan menyamarkan diri dalam lalu lintas terenkripsi yang diizinkan (komando-kendali melalui HTTPS, penyimpanan awan, dan penyamaran domain).
• Keteraturan sinyal berkala dan anomali perilaku mengungkap saluran bahkan saat enkripsi digunakan.
• Lindungi sistem dengan penyaringan lalu lintas keluar, pemeriksaan DNS/TLS, DLP, dan pendeteksian berlapis di seluruh rantai serangan eksfiltrasi.

Dengan ini, kursus Steganografi dan Penyembunyian Data selesai.