Canais encobertos e exfiltração

Um canal encoberto é um caminho de comunicação que transfere informações de uma maneira que o sistema não foi projetado para permitir, contornando os controles de segurança. Enquanto a esteganografia oculta dados dentro de arquivos, os canais encobertos ocultam dados dentro do comportamento do sistema ou do tráfego de rede.

Os invasores usam canais encobertos para a exfiltração de dados, contrabandeando dados roubados para fora de uma rede, e para comando e controle (C2), recebendo instruções. A característica definidora é que o tráfego parece legítimo e, por isso, passa despercebido por firewalls, proxies e sistemas de prevenção contra perda de dados.

Entender esses canais é essencial para detectar o estágio final e mais prejudicial de um ataque: os dados deixando o ambiente.

Os canais encobertos se dividem em duas categorias clássicas:

• Canais de armazenamento ocultam dados em um campo ou local que não foi destinado a transportá-los, por exemplo, bits não utilizados de um cabeçalho ou um valor que um observador pode ler diretamente.
• Canais de temporização codificam dados na temporização dos eventos: o atraso entre pacotes, a ordem das requisições ou a latência das respostas. Nenhum campo de dados é alterado; a informação está em quando as coisas acontecem.

Os canais de temporização são mais discretos e difíceis de detectar porque os próprios pacotes parecem totalmente normais; apenas o ritmo deles transporta o segredo.

O canal encoberto mais comum no mundo real se vale do DNS. O DNS quase sempre é permitido para tráfego de saída, mesmo em redes restritas, porque a resolução de nomes é essencial. Os invasores exploram essa característica.

Os dados são codificados nos rótulos de subdomínios das consultas a um domínio controlado pelo invasor. O servidor de nomes autoritativo do invasor recebe e decodifica os dados. Os dados roubados saem por meio de uma consulta DNS de cada vez:

Ferramentas como iodine e dnscat2 automatizam túneis completos por DNS.

A exfiltração por DNS deixa impressões digitais estatísticas que os defensores podem procurar:

• Alto volume de consultas a um único domínio, muito acima do normal.
• Subdomínios longos e de alta entropia: dados codificados parecem aleatórios, ao contrário de nomes de host reais.
• Tipos de registro incomuns: uso intenso de registros TXT, NULL ou CNAME.
• Tamanhos de resposta grandes para C2 de entrada.
• Domínios raros consultados por apenas um host.

Monitorar os registros DNS em busca desses padrões e enviá-los a um SIEM é uma das detecções de maior valor, porque quase toda exfiltração acaba passando pelo DNS.

Muitos protocolos têm campos opcionais, reservados ou verificados de forma superficial: canais de armazenamento perfeitos:

• tunelamento de ICMP ocultando dados na carga útil de pacotes de ping, que os firewalls costumam permitir.
• campos de cabeçalho TCP/IP: o campo de identificação de IP, os números de sequência TCP ou os bits de sinalização reservados.
• cabeçalhos HTTP: cabeçalhos personalizados, cookies ou strings User-Agent que transportam dados codificados.
• SNI de TLS: o campo de nome do servidor, às vezes usado de forma indevida para sinalizar um servidor C2.

Cada campo parece normal quando observado isoladamente; por isso, a detecção exige estabelecer uma linha de base dos valores normais e sinalizar os desvios.

Os invasores sofisticados preferem canais que se ocultam dentro de tráfego permitido e criptografado, para sobreviverem à inspeção profunda:

• C2 por HTTPS: sinais disfarçados de solicitações comuns da web para um domínio com aparência legítima.
• Encaminhamento de domínio: roteamento do tráfego por uma CDN confiável, fazendo com que o destino visível pareça inofensivo.
• Abuso do armazenamento em nuvem: exfiltração para Dropbox, S3 ou Google Drive, serviços permitidos na maioria das organizações.
• Redes sociais e serviços de publicação de texto: publicação de dados codificados em serviços públicos.

Como o destino e a criptografia parecem legítimos, a detecção deixa de se concentrar no conteúdo e passa a se concentrar no comportamento: padrões de sinalização, volumes e temporização.

Os canais C2 frequentemente enviam sinais, entrando em contato com o servidor de origem em intervalos regulares para verificar se há comandos. Essa regularidade é um comportamento detectável mesmo com a criptografia:

• Periodicidade: conexões em intervalos quase constantes, como a cada 60 segundos ou a cada hora.
• Aleatoriedade: os invasores adicionam variações para evitar a detecção de períodos simples, mas o ritmo subjacente costuma continuar visível estatisticamente.
• Cargas úteis pequenas e consistentes: requisições do tamanho de batimentos cardíacos.

Os defensores usam a análise de tráfego para identificar a regularidade típica de máquinas na sinalização, algo que a navegação conduzida por humanos nunca produz.

Os canais temporais puros codificam informações sem alterar nenhum campo de dados. Exemplos:

• Atraso entre pacotes: uma lacuna curta significa 0; uma lacuna longa significa 1.
• Ordenação das solicitações: a sequência em que os recursos são solicitados transporta bits.
• Modulação da vazão: variação da taxa do tráfego legítimo.

Esses canais são lentos (baixa largura de banda) e ruidosos, mas extremamente furtivos, pois os pacotes são genuínos. Detectá-los exige uma análise estatística das distribuições temporais, em busca de atrasos artificialmente regulares ou bimodais que o tráfego humano e o de máquinas normalmente não produzem.

Como os canais ocultos imitam tráfego legítimo, a detecção depende de análises comportamentais, não de assinaturas:

• Estabelecimento de linha de base: aprenda qual é o tráfego normal por máquina e, em seguida, sinalize desvios.
• Anomalias de volume: uma estação de trabalho começa a enviar gigabytes de dados repentinamente.
• Análise de entropia: cargas úteis com alta aleatoriedade sugerem criptografia ou codificação.
• Reputação do destino: conexões com domínios novos, raros ou registrados recentemente.
• Conformidade com o protocolo: tráfego em uma porta que não corresponde ao protocolo esperado.

A combinação de um NIDS, da análise de NetFlow e de um SIEM evidencia esses sinais; nenhum indicador isolado é conclusivo.

Além da detecção, vários controles reduzem o espaço disponível para canais ocultos:

• Filtragem do tráfego de saída: negue por padrão todo o tráfego de saída; permita apenas os destinos e as portas necessários. Isso, por si só, bloqueia muitos canais.
• Inspeção de DNS: force todo o DNS a passar por resolvedores monitorados; bloqueie o DNS de saída direto.
• Inspeção de TLS: quando for apropriado do ponto de vista legal e operacional, descriptografe e inspecione o TLS de saída.
• Prevenção contra perda de dados: classifique os dados confidenciais e monitore sua saída.
• Limitação de taxa e uso de proxy: direcione todo o tráfego de saída por proxies controlados e com registro.

Controles em camadas transformam a exfiltração fácil em uma luta ruidosa e detectável.

A exfiltração é a etapa final de uma invasão, portanto detectá-la limita os danos mesmo quando as defesas anteriores falharam. Mapeie seus controles às etapas do atacante:

• Coleta: os dados são preparados internamente; fique atento a agregações incomuns.
• Codificação/criptografia: os dados são compactados e ofuscados; a entropia aumenta bruscamente.
• Seleção do canal: o atacante escolhe DNS, protocolo seguro de transferência de hipertexto ou saída para a nuvem; o monitoramento é importante.
• Transferência: os dados saem; surgem anomalias de volume e de sinalização periódica.

A defesa em profundidade ao longo dessas etapas significa que um atacante precisa superar todas as camadas, enquanto a organização só precisa detectá-lo em uma delas.

Você aprendeu como os atacantes contrabandeiam dados para fora e como detectá-los.

• Um canal oculto esconde dados no comportamento do sistema ou no tráfego de rede, contornando firewalls e DLP; ele viabiliza a exfiltração e o comando e controle.
• Os canais são de armazenamento (ocultos em campos) ou de temporização (ocultos no momento dos eventos e mais furtivos).
• A exfiltração por DNS é a mais comum, codificando dados em subdomínios; detecte-a por meio da análise de volume, entropia e domínios raros.
• Os atacantes abusam de campos de protocolo (ICMP, cabeçalhos) e se misturam ao tráfego criptografado permitido (comando e controle pelo protocolo seguro de transferência de hipertexto, armazenamento na nuvem, camuflagem de domínio).
• A regularidade da sinalização periódica e as anomalias comportamentais revelam canais mesmo sob criptografia.
• Defenda-se com filtragem do tráfego de saída, inspeção de DNS/TLS, DLP e detecção em camadas ao longo da cadeia de ataque da exfiltração.

Isso conclui o curso de Esteganografia e ocultação de dados.