Canali covert ed esfiltrazione

Un canale covert è un percorso di comunicazione che trasferisce informazioni in un modo che il sistema non è stato progettato per consentire, eludendo i controlli di sicurezza. Mentre la steganografia nasconde i dati all'interno dei file, i canali covert li nascondono nel comportamento del sistema o nel traffico di rete.

Gli attaccanti usano i canali covert per l'esfiltrazione dei dati, cioè per trasferire furtivamente i dati rubati fuori dalla rete, e per il command-and-control (C2), cioè per ricevere istruzioni. La caratteristica distintiva è che il traffico sembra legittimo e riesce quindi a superare firewall, proxy e sistemi di prevenzione della perdita di dati.

Comprendere questi canali è essenziale per rilevare la fase finale e più dannosa di un attacco: l'uscita dei dati dall'azienda.

I canali covert si dividono in due categorie classiche:

• Canali di storage: nascondono i dati in un campo o in una posizione non destinati a trasportarli, ad esempio bit inutilizzati delle intestazioni o un valore che un osservatore può leggere direttamente.
• Canali temporali: codificano i dati nella tempistica degli eventi, cioè nel ritardo tra i pacchetti, nell'ordine delle richieste o nella latenza delle risposte. Nessun campo dati viene modificato: l'informazione sta nel quando si verificano le cose.

I canali temporali sono più furtivi e più difficili da rilevare, perché i pacchetti appaiono del tutto normali: solo il loro ritmo trasporta il segreto.

Il canale covert più comune nel mondo reale sfrutta il DNS. Il DNS è quasi sempre consentito in uscita, anche nelle reti con restrizioni rigorose, perché la risoluzione dei nomi è essenziale. Gli attaccanti ne approfittano.

I dati vengono codificati nelle etichette dei sottodomini delle query dirette a un dominio controllato dall'attaccante. Il server dei nomi autorevole dell'attaccante li riceve e li decodifica. I dati rubati fuoriescono attraverso una query DNS alla volta:

Strumenti come iodine e dnscat2 automatizzano tunnel completi attraverso il DNS.

L'esfiltrazione tramite DNS lascia impronte statistiche che i difensori possono ricercare:

• Elevato volume di query verso un singolo dominio, molto superiore alla norma.
• Sottodomini lunghi e ad alta entropia: i dati codificati sembrano casuali, a differenza dei nomi host reali.
• Tipi di record insoliti: uso intenso di record TXT, NULL o CNAME.
• Risposte di grandi dimensioni per il C2 in ingresso.
• Domini rari consultati da un solo host.

Monitorare i log DNS alla ricerca di questi pattern e inviarli a un SIEM è una delle rilevazioni più preziose, perché quasi ogni esfiltrazione finisce per coinvolgere il DNS.

Molti protocolli hanno campi facoltativi, riservati o sottoposti a controlli poco rigorosi: canali di storage perfetti:

• Tunneling ICMP: nascondere i dati nel payload dei pacchetti ping, che i firewall spesso consentono.
• Campi delle intestazioni TCP/IP: il campo IP Identification, i numeri di sequenza TCP o i bit di flag riservati.
• Intestazioni HTTP: intestazioni personalizzate, cookie o stringhe User-Agent che trasportano dati codificati.
• TLS SNI: il campo del nome del server, talvolta utilizzato per segnalare un server C2.

Ogni campo appare normale se considerato isolatamente, quindi il rilevamento richiede di stabilire un profilo di riferimento dei valori normali e segnalare le deviazioni.

Gli attaccanti più sofisticati preferiscono canali che si confondono con il traffico consentito e cifrato, così da superare l'ispezione approfondita:

• C2 HTTPS: beacon camuffati da normali richieste web verso un dominio dall'aspetto legittimo.
• Domain fronting: instradamento del traffico attraverso una CDN affidabile, in modo che la destinazione visibile sembri innocua.
• Abuso del cloud storage: esfiltrazione verso Dropbox, S3 o Google Drive, consentiti nella maggior parte delle organizzazioni.
• Social media e pastebin: pubblicazione di dati codificati su servizi pubblici.

Poiché la destinazione e la cifratura sembrano legittime, il rilevamento passa dal contenuto al comportamento: pattern di beaconing, volumi e tempistiche.

I canali C2 spesso inviano un beacon, contattando il server a intervalli regolari per verificare la presenza di comandi. Questa regolarità è un comportamento rilevabile anche quando il traffico è cifrato:

• Periodicità: connessioni a intervalli quasi costanti, ad esempio ogni 60 secondi o ogni ora.
• Jitter: gli attaccanti aggiungono casualità per eludere il semplice rilevamento della periodicità, ma il ritmo sottostante spesso rimane visibile dal punto di vista statistico.
• Payload piccoli e costanti: richieste delle dimensioni di un heartbeat.

I difensori usano l'analisi del traffico per individuare la regolarità meccanica del beaconing, che la navigazione guidata da esseri umani non produce mai.

I canali temporali puri codificano informazioni senza modificare alcun campo di dati. Esempi:

• Ritardo tra i pacchetti: un intervallo breve indica 0, uno lungo indica 1.
• Ordine delle richieste: la sequenza in cui vengono richieste le risorse trasporta bit.
• Modulazione del throughput: variazione della velocità del traffico legittimo.

Questi canali sono lenti (a bassa larghezza di banda) e rumorosi, ma estremamente furtivi perché i pacchetti sono autentici. Rilevarli richiede un'analisi statistica delle distribuzioni temporali, alla ricerca di ritardi innaturalmente regolari o bimodali, che il traffico umano e quello generato dalle macchine normalmente non producono.

Poiché i canali occulti imitano il traffico legittimo, il rilevamento si basa sull'analisi comportamentale anziché sulle firme:

• Costruzione della baseline: impari il traffico normale per ogni host, quindi segnali le deviazioni.
• Anomalie di volume: una workstation inizia improvvisamente a caricare gigabyte di dati.
• Analisi dell'entropia: payload ad alta casualità suggeriscono crittografia o codifica.
• Reputazione della destinazione: connessioni verso domini nuovi, rari o registrati di recente.
• Conformità al protocollo: traffico su una porta che non corrisponde al protocollo previsto.

Un NIDS, l'analisi di NetFlow e un SIEM permettono di individuare questi segnali; nessun singolo indicatore è conclusivo.

Oltre al rilevamento, diversi controlli riducono lo spazio disponibile ai canali occulti:

• Filtraggio in uscita: neghi per impostazione predefinita tutto il traffico in uscita e consenta solo le destinazioni e le porte necessarie. Questo, da solo, blocca molti canali.
• Ispezione DNS: obblighi tutto il DNS a passare attraverso resolver monitorati e blocchi il DNS diretto in uscita.
• Ispezione TLS: laddove sia appropriato sotto il profilo legale e operativo, decifri e ispezioni il TLS in uscita.
• Prevenzione della perdita di dati: classifichi i dati sensibili e controlli che non escano.
• Limitazione della velocità e uso di proxy: faccia passare tutto il traffico in uscita attraverso proxy controllati e sottoposti a logging.

Controlli applicati a più livelli trasformano un'esfiltrazione facile in una lotta rumorosa e rilevabile.

L'esfiltrazione è la fase finale di un'intrusione, quindi rilevarla limita i danni anche quando le difese precedenti hanno fallito. Mappi i Suoi controlli sui passaggi dell'attaccante:

• Raccolta: i dati vengono preparati internamente; cerchi aggregazioni insolite.
• Codifica/crittografia: i dati vengono compressi e offuscati; si osservano picchi di entropia.
• Selezione del canale: l'attaccante sceglie DNS, HTTPS o l'uscita tramite cloud; il monitoraggio è fondamentale.
• Trasferimento: i dati escono e compaiono anomalie di volume e di beaconing.

Una difesa in profondità distribuita su questi passaggi obbliga l'attaccante a superare ogni livello, mentre è sufficiente rilevarlo a uno solo.

Ha imparato come gli attaccanti fanno uscire i dati e come individuarli.

• Un canale occulto nasconde dati nel comportamento del sistema o nel traffico di rete, eludendo firewall e DLP; consente l'esfiltrazione e il C2.
• I canali sono di memorizzazione (nascosti nei campi) o temporali (nascosti nella tempistica degli eventi e più furtivi).
• L'esfiltrazione DNS è la più comune e codifica i dati nei sottodomini; la si rileva analizzando volume, entropia e domini rari.
• Gli attaccanti abusano dei campi dei protocolli (ICMP, intestazioni) e si confondono nel traffico cifrato autorizzato (C2 su HTTPS, storage cloud, domain fronting).
• Beaconing, regolarità e anomalie comportamentali rivelano i canali anche sotto cifratura.
• Si difenda con filtraggio in uscita, ispezione DNS/TLS, DLP e rilevamento a più livelli lungo la kill chain dell'esfiltrazione.

Questo completa il corso Steganography and Data Hiding.