隠れチャネルと情報窃取

コバートチャネルとは、システムが許可するように設計されていない方法で情報を転送し、セキュリティ制御を回避する通信経路です。ステガノグラフィーがファイルの内部にデータを隠すのに対し、コバートチャネルはシステムの挙動やネットワークトラフィックの内部にデータを隠します。

攻撃者はコバートチャネルを、データの外部流出、つまり盗み出したデータをネットワーク外へ密かに持ち出すためや、コマンドアンドコントロール（C2）、つまり指示を受け取るために使用します。通信が正規のものに見えるため、ファイアウォール、プロキシ、データ損失防止システムをすり抜けてしまうことが特徴です。

こうしたチャネルを理解することは、攻撃の最終段階であり、最も大きな被害につながるデータの外部流出を検出するために不可欠です。

コバートチャネルは、典型的に次の2種類に分かれます。

• ストレージチャネルデータを運ぶことを想定していないフィールドや場所にデータを隠します。たとえば、未使用のヘッダービットや、観測者が直接読み取れる値などです。
• タイミングチャネルイベントのタイミング、つまりパケット間の遅延、リクエストの順序、応答レイテンシなどにデータを符号化します。データフィールドは変更せず、情報はイベントが発生するタイミングに含まれます。

タイミングチャネルは、パケット自体が完全に正常に見え、秘密を伝えるのはそのリズムだけであるため、よりステルス性が高く検出も困難です。

実環境で最も一般的なコバートチャネルは、DNSを悪用します。名前解決は不可欠であるため、厳しく制限されたネットワークでも、DNSの外向き通信はほぼ常に許可されています。攻撃者はこの点を悪用します。

データは、攻撃者が管理するドメインへのクエリのサブドメインラベルに符号化されます。攻撃者の権威ネームサーバーがそれを受信して復号します。盗まれたデータは、DNSクエリ1件ずつ外部へ流出します。

iodineやdnscat2などのツールを使えば、DNS上の完全なトンネルを自動化できます。

DNSによる外部流出には、検出担当者が探し出せる統計的な痕跡が残ります。

• 大量のクエリ単一のドメインに対して、通常を大きく上回る量のクエリを送信します。
• 長くエントロピーの高いサブドメイン符号化されたデータは、実際のホスト名とは異なり、ランダムに見えます。
• 異常なレコードタイプTXT、NULL、CNAMEレコードを大量に使用します。
• 大きな応答サイズ受信用のC2通信で大きな応答を返します。
• まれなドメイン1台のホストだけがクエリするドメインです。

DNSログを監視してこうしたパターンを見つけ、SIEMに取り込むことは、非常に価値の高い検出方法の一つです。ほぼすべてのデータ外部流出が、最終的にはDNSに関わるためです。

多くのプロトコルには、オプション扱い、予約済み、または検査が緩やかなフィールドがあり、格好のストレージチャネルになります。

• ICMPトンネリングファイアウォールで許可されることの多いpingパケットのペイロードにデータを隠します。
• TCP/IPヘッダーフィールドIP Identificationフィールド、TCPシーケンス番号、予約済みフラグビットなどです。
• HTTPヘッダーカスタムヘッダー、Cookie、User-Agent文字列に符号化データを含めます。
• TLS SNIサーバー名フィールドを使い、C2サーバーへの合図を送ることがあります。

各フィールドは単独では正常に見えるため、検出には通常の値がどのようなものかを基準化し、そこからの逸脱を警告する必要があります。

巧妙な攻撃者は、詳細な検査をすり抜けられるよう、許可済みで暗号化されたトラフィックの内部に隠れるチャネルを好みます。

• HTTPS C2正規のものに見えるドメインへの通常のWebリクエストを装ってビーコン通信を行います。
• ドメインフロンティング信頼されたCDNを経由してトラフィックをルーティングし、表示される宛先を無害なものにします。
• クラウドストレージの悪用多くの組織で許可されているDropbox、S3、Google Driveなどへデータを外部流出させます。
• ソーシャルメディアとpastebin公開サービスに符号化データを投稿します。

宛先と暗号化が正規のものに見えるため、検出の対象は内容から挙動、つまりビーコン通信のパターン、通信量、タイミングへと移ります。

C2チャネルは、コマンドを確認するために一定間隔でビーコン通信を行い、外部のサーバーへ接続することがよくあります。この規則性は、暗号化されていても検出可能な挙動です。

• 周期性ほぼ一定の間隔（60秒ごと、1時間ごとなど）で接続します。
• ジッター攻撃者は単純な周期検出を回避するためにランダム性を加えますが、根底にあるリズムは統計的に見えることが多くあります。
• 小さく一貫したペイロードハートビート程度のサイズのリクエストです。

防御側はトラフィック分析を使って、人間が操作するブラウジングでは決して生じない、ビーコン通信の機械的な規則性を見つけます。

純粋なタイミングチャネルは、データフィールドを変更せずに情報を符号化します。例：

• パケット間遅延短い間隔は0、長い間隔は1を意味します。
• リクエストの順序リソースをリクエストする順序がビットを伝えます。
• スループットの変調正規トラフィックの速度を変化させます。

これらのチャネルは低速（低帯域幅）でノイズも多い一方、パケット自体は正規のものなので非常に秘匿性が高くなります。検知するには、タイミング分布を統計的に分析し、人間や通常のマシントラフィックでは通常発生しない、不自然に規則的な遅延や二峰性の遅延を探す必要があります。

コバートチャネルは正規トラフィックに見せかけるため、検知にはシグネチャではなく振る舞い分析を利用します。

• ベースライン設定ホストごとの正常なトラフィックを把握し、逸脱を検出します。
• 通信量の異常ワークステーションが突然ギガバイト単位のデータをアップロードします。
• エントロピー分析ランダム性の高いペイロードは、暗号化または符号化を示唆します。
• 宛先の評判新規、まれ、または最近登録されたドメインへの接続を調べます。
• プロトコル準拠性期待されるプロトコルと一致しないポート上のトラフィックを検出します。

NIDS、NetFlow分析、SIEMを組み合わせることで、これらの兆候を明らかにできます。ただし、単一の指標だけでは断定できません。

検知に加えて、いくつかの対策によってコバートチャネルの余地を狭められます。

• エグレスフィルタリング外向き通信はデフォルトで拒否し、必要な宛先とポートだけを許可します。これだけで多くのチャネルを遮断できます。
• DNSインスペクションすべてのDNS通信を監視対象のリゾルバー経由にし、外部への直接DNS通信を遮断します。
• TLSインスペクション法的および運用上適切な場合は、外向きTLS通信を復号して検査します。
• データ損失防止機密データを分類し、外部へ持ち出されようとしていないか監視します。
• レート制限とプロキシ経由化すべてのエグレス通信を、管理・記録対象のプロキシに集約します。

多層防御により、容易なデータ持ち出しは、ノイズが多く検知可能な困難なものになります。

データ持ち出しは侵入の最終段階であるため、それ以前の防御に失敗していても、ここで検知できれば被害を抑えられます。防御対策を攻撃者の各手順に対応付けてください。

• 収集データが内部で集約されます。通常とは異なる集約を監視します。
• 符号化／暗号化データが圧縮・難読化され、エントロピーが急上昇します。
• チャネルの選択攻撃者はDNS、HTTPS、またはクラウドへのエグレス通信を選ぶため、エグレス監視が重要になります。
• 転送データが外部に送信され、通信量やビーコンの異常が現れます。

これらの手順全体に多層防御を施すと、攻撃者はすべての層を突破しなければならない一方、防御側はどこか1か所で攻撃者を捕捉すれば済みます。

攻撃者がデータを外部へ持ち出す方法と、それを捕捉する方法を学びました。

• コバートチャネルはシステムの振る舞いやネットワークトラフィックにデータを隠し、ファイアウォールやDLPを回避します。これによりデータ持ち出しやC2が可能になります。
• チャネルにはストレージ型（フィールドに隠すもの）とタイミング型（イベントのタイミングに隠すもので、より秘匿性が高いもの）があります。
• DNSを利用したデータ持ち出しは最も一般的で、サブドメインにデータを符号化します。通信量、エントロピー、まれなドメインの分析によって検知できます。
• 攻撃者はプロトコルフィールド（ICMP、ヘッダー）を悪用し、許可された暗号化トラフィック（HTTPS C2、クラウドストレージ、ドメインフロンティング）に紛れ込みます。
• ビーコン通信の規則性や振る舞いの異常によって、暗号化されていてもチャネルを明らかにできます。
• エグレスフィルタリング、DNS／TLSインスペクション、DLP、そしてデータ持ち出しキルチェーン全体にわたる多層的な検知によって防御します。

これで「ステガノグラフィーとデータ隠蔽」コースは完了です。