Kanały ukryte i eksfiltracja

Kanał ukryty to ścieżka komunikacji, która przesyła informacje w sposób, na jaki system nie został zaprojektowany, omijając mechanizmy bezpieczeństwa. Gdy steganografia ukrywa dane w plikach, kanały ukryte wykorzystują działanie systemu lub ruch sieciowy do ukrywania danych.

Atakujący wykorzystują kanały ukryte do eksfiltracji danych — przemycania wykradzionych danych poza sieć — oraz do komunikacji command-and-control (C2) w celu odbierania instrukcji. Ich cechą charakterystyczną jest to, że ruch wygląda legalnie, więc przechodzi przez zapory sieciowe, serwery proxy i systemy zapobiegania utracie danych.

Zrozumienie tych kanałów jest niezbędne do wykrycia końcowego i najbardziej szkodliwego etapu ataku: opuszczania organizacji przez dane.

Kanały ukryte dzielą się na dwie klasyczne kategorie:

• Kanały przechowywania ukrywają dane w polu lub lokalizacji, które nie są przeznaczone do ich przenoszenia — na przykład w nieużywanych bitach nagłówka lub wartości, którą obserwator może bezpośrednio odczytać.
• Kanały czasowe kodują dane w czasie występowania zdarzeń — w opóźnieniu między pakietami, kolejności żądań lub czasie odpowiedzi. Nie zmienia się żadne pole danych; informacja jest zakodowana w tym, kiedy coś się dzieje.

Kanały czasowe są trudniejsze do wykrycia, ponieważ same pakiety wyglądają zupełnie normalnie — tylko ich rytm przenosi sekret.

Najczęściej spotykany w rzeczywistych warunkach kanał ukryty wykorzystuje DNS. Ruch wychodzący DNS jest niemal zawsze dozwolony, nawet w ściśle ograniczonych sieciach, ponieważ rozpoznawanie nazw jest niezbędne. Atakujący to wykorzystują.

Dane są kodowane w etykietach subdomen zapytań kierowanych do domeny kontrolowanej przez atakującego. Autorytatywny serwer nazw atakującego odbiera je i dekoduje. Skradzione dane wydostają się pojedynczo, w każdym zapytaniu DNS:

Narzędzia takie jak iodine i dnscat2 automatyzują tworzenie pełnych tuneli przez DNS.

Eksfiltracja przez DNS pozostawia wzorce statystyczne, których obrońcy mogą szukać:

• Duża liczba zapytań do jednej domeny, znacznie przekraczająca normę.
• Długie subdomeny o wysokiej entropii zakodowane dane wyglądają losowo, w przeciwieństwie do rzeczywistych nazw hostów.
• Nietypowe typy rekordów intensywne użycie rekordów TXT, NULL lub CNAME.
• Duże rozmiary odpowiedzi w przypadku przychodzącej komunikacji C2.
• Rzadko spotykane domeny odpytywane tylko przez jeden host.

Monitorowanie dzienników DNS pod kątem tych wzorców i przekazywanie ich do systemu SIEM to jedna z najbardziej wartościowych metod wykrywania, ponieważ niemal każda eksfiltracja ostatecznie dotyka DNS.

Wiele protokołów ma pola opcjonalne, zarezerwowane lub pobieżnie sprawdzane — są one idealnymi kanałami przechowywania:

• Tunelowanie ICMP ukrywanie danych w ładunku pakietów ping, które zapory często przepuszczają.
• Pola nagłówków TCP/IP pole identyfikacji IP, numery sekwencyjne TCP lub zarezerwowane bity flag.
• Nagłówki HTTP niestandardowe nagłówki, pliki cookie lub ciągi User-Agent przenoszące zakodowane dane.
• TLS SNI pole nazwy serwera, czasem nadużywane do sygnalizowania serwera C2.

Każde pole z osobna wygląda normalnie, dlatego wykrywanie wymaga ustalenia, jak wyglądają normalne wartości, i oznaczania odchyleń.

Zaawansowani atakujący preferują kanały ukryte w dozwolonym, szyfrowanym ruchu, dzięki czemu przetrwają szczegółową inspekcję:

• HTTPS C2 sygnały beaconingu udające zwykłe żądania internetowe do domeny wyglądającej na legalną.
• Domain fronting kierowanie ruchu przez zaufaną sieć CDN, dzięki czemu widoczny cel jest nieszkodliwy.
• Nadużywanie pamięci masowej w chmurze eksfiltracja do Dropbox, S3 lub Google Drive, które są dozwolone w większości organizacji.
• Media społecznościowe i serwisy pastebin publikowanie zakodowanych danych w usługach publicznych.

Ponieważ miejsce docelowe i szyfrowanie wyglądają wiarygodnie, wykrywanie przenosi się z treści na zachowanie — wzorce beaconingu, ilość ruchu i czas.

Kanały C2 często sygnalizują połączenie z serwerem w regularnych odstępach, aby sprawdzać, czy są dostępne polecenia. Ta regularność jest wykrywalnym zachowaniem nawet w zaszyfrowanym ruchu:

• Okresowość połączenia nawiązywane w niemal stałych odstępach (co 60 sekund, co godzinę).
• Jitter atakujący dodają losowość, aby uniknąć prostego wykrywania okresowości, ale podstawowy rytm często pozostaje widoczny statystycznie.
• Małe, powtarzalne ładunki żądania o rozmiarze sygnału heartbeat.

Obrońcy analizują ruch, aby wykrywać charakterystyczną dla maszyn regularność beaconingu, której przeglądanie sterowane przez człowieka nigdy nie generuje.

Czyste kanały czasowe kodują informacje bez modyfikowania żadnego pola danych. Przykłady:

• Opóźnienie między pakietami: krótka przerwa oznacza 0, a długa 1.
• Kolejność żądań: sekwencja, w której żądane są zasoby, przenosi bity.
• Modulacja przepustowości: zmienianie szybkości prawidłowego ruchu.

Kanały te są powolne (mała przepustowość) i podatne na zakłócenia, ale niezwykle trudne do wykrycia, ponieważ pakiety są prawdziwe. Ich wykrywanie wymaga analizy statystycznej rozkładów czasowych w celu wyszukania nienaturalnie regularnych lub bimodalnych opóźnień, których zwykle nie generuje ruch ludzi ani maszyn.

Ponieważ kanały ukryte naśladują prawidłowy ruch, ich wykrywanie opiera się na analizie behawioralnej, a nie na sygnaturach:

• Tworzenie profilu bazowego: poznaj normalny ruch dla każdego hosta, a następnie wykrywaj odchylenia.
• Anomalie wolumenu: stacja robocza nagle wysyła gigabajty danych.
• Analiza entropii: payloady o wysokiej losowości sugerują szyfrowanie lub kodowanie.
• Reputacja celu: połączenia z nowymi, rzadkimi lub niedawno zarejestrowanymi domenami.
• Zgodność z protokołem: ruch na porcie, który nie odpowiada oczekiwanemu protokołowi.

NIDS, analiza NetFlow i SIEM wspólnie ujawniają te sygnały; żaden pojedynczy wskaźnik nie jest rozstrzygający.

Poza wykrywaniem kilka mechanizmów kontrolnych ogranicza przestrzeń dla kanałów ukrytych:

• Filtrowanie ruchu wychodzącego: należy domyślnie blokować ruch wychodzący i zezwalać tylko na wymagane adresy docelowe oraz porty. Już samo to blokuje wiele kanałów.
• Inspekcja DNS: należy wymusić kierowanie całego DNS przez monitorowane resolvery i blokować bezpośredni wychodzący DNS.
• Inspekcja TLS: tam, gdzie jest to prawnie i operacyjnie uzasadnione, należy odszyfrowywać i kontrolować wychodzący ruch TLS.
• Zapobieganie utracie danych: należy klasyfikować poufne dane i monitorować, czy nie opuszczają środowiska.
• Ograniczanie przepustowości i użycie proxy: należy kierować cały ruch wychodzący przez kontrolowane, logowane serwery proxy.

Warstwowe mechanizmy ochronne zamieniają łatwą eksfiltrację w trudny do ukrycia, wykrywalny proces.

Ponieważ eksfiltracja jest końcowym etapem włamania, jej wykrycie ogranicza szkody nawet wtedy, gdy wcześniejsze zabezpieczenia zawiodły. Należy powiązać mechanizmy kontrolne z kolejnymi krokami atakującego:

• Gromadzenie: dane są gromadzone wewnętrznie; należy obserwować nietypowe agregowanie danych.
• Kodowanie i szyfrowanie: dane są kompresowane i zaciemniane; następują skoki entropii.
• Wybór kanału: atakujący wybiera DNS, HTTPS lub ruch wychodzący do chmury; kluczowe jest monitorowanie.
• Transfer: dane opuszczają system; pojawiają się anomalie wolumenu i beaconingu.

Obrona warstwowa na wszystkich tych etapach oznacza, że atakujący musi pokonać każdą warstwę, podczas gdy Państwo muszą wykryć go tylko na jednej z nich.

Sprawdź swoją wiedzę na temat eksfiltracji opartej na DNS.

Poznali Państwo sposoby, za pomocą których atakujący przemycają dane na zewnątrz, oraz metody ich wykrywania.

• Kanał ukryty ukrywa dane w zachowaniu systemu lub ruchu sieciowym, omijając zapory sieciowe i DLP; umożliwia eksfiltrację i C2.
• Kanały dzielą się na kanały składowania (ukryte w polach) oraz kanały czasowe (ukryte w czasie występowania zdarzeń i trudniejsze do wykrycia).
• Eksfiltracja przez DNS jest najczęściej stosowana i polega na kodowaniu danych w subdomenach; można ją wykrywać na podstawie analizy wolumenu, entropii i rzadkich domen.
• Atakujący wykorzystują pola protokołów (np. ICMP i nagłówki) oraz wtapiają się w dozwolony szyfrowany ruch (HTTPS C2, pamięć masowa w chmurze, domain fronting).
• Regularność beaconingu i anomalie behawioralne ujawniają kanały nawet w przypadku szyfrowania.
• Obrona opiera się na filtrowaniu ruchu wychodzącego, inspekcji DNS/TLS, DLP oraz warstwowym wykrywaniu na całej długości łańcucha eksfiltracji.

W ten sposób kończą Państwo kurs Steganography and Data Hiding.