Скрытые каналы и извлечение данных

Скрытый канал — это путь передачи информации способом, который система не предусматривает, благодаря чему обходятся средства защиты. Если стеганография скрывает данные внутри файлов, то скрытые каналы прячут данные в поведении системы или сетевом трафике.

Злоумышленники используют скрытые каналы для эксфильтрации данных — тайного вывода украденных данных из сети — и для командного управления (C2), чтобы получать инструкции. Их отличительная особенность заключается в том, что трафик выглядит легитимным и поэтому проходит через межсетевые экраны, прокси-серверы и системы предотвращения утечек данных.

Понимание этих каналов необходимо для обнаружения последнего и наиболее разрушительного этапа атаки — выхода данных за пределы организации.

Скрытые каналы делятся на две классические категории:

• Каналы хранения скрывают данные в поле или области, не предназначенных для их передачи, например в неиспользуемых битах заголовка или в значении, которое наблюдатель может прочитать напрямую.
• Временные каналы кодируют данные во времени событий — задержке между пакетами, порядке запросов или задержке ответа. Ни одно поле данных не изменяется: информация заключена в том, когда происходят события.

Временные каналы более скрытны и сложнее для обнаружения, поскольку сами пакеты выглядят совершенно нормально — секрет передаётся только их ритмом.

Наиболее распространённый в реальных условиях скрытый канал использует DNS. Исходящие DNS-запросы почти всегда разрешены даже в сетях с жёсткими ограничениями, поскольку разрешение имён необходимо. Злоумышленники пользуются этим.

Данные кодируются в метках поддоменов запросов к домену, управляемому злоумышленником. Авторитетный сервер имён злоумышленника получает эти запросы и декодирует их. Украденные данные выводятся по одному DNS-запросу за раз:

Инструменты вроде iodine и dnscat2 автоматизируют создание полноценных туннелей через DNS.

Эксфильтрация через DNS оставляет статистические признаки, по которым защитники могут вести поиск:

• Большой объём запросов к одному домену, значительно превышающий нормальный.
• Длинные поддомены с высокой энтропией закодированные данные выглядят случайными, в отличие от настоящих имён узлов.
• Необычные типы записей частое использование записей TXT, NULL или CNAME.
• Большие размеры ответов при входящем C2.
• Редко встречающиеся домены запрашиваемые только одним узлом.

Мониторинг журналов DNS на наличие таких закономерностей и передача их в SIEM — один из наиболее эффективных методов обнаружения, поскольку почти любая эксфильтрация так или иначе обращается к DNS.

Во многих протоколах есть необязательные, зарезервированные или слабо проверяемые поля — идеальные каналы хранения:

• Туннелирование ICMP сокрытие данных в полезной нагрузке пакетов проверки связи, которые межсетевые экраны часто разрешают.
• Поля заголовков TCP/IP поле идентификации IP, порядковые номера TCP или зарезервированные флаговые биты.
• Заголовки HTTP пользовательские заголовки, файлы cookie или строки User-Agent, содержащие закодированные данные.
• TLS SNI поле имени сервера, иногда используемое для обозначения сервера C2.

Каждое поле по отдельности выглядит нормально, поэтому для обнаружения нужно определить, какие значения являются нормальными, и отмечать отклонения.

Изощрённые злоумышленники предпочитают каналы, скрытые внутри разрешённого зашифрованного трафика, чтобы обходить углублённую проверку:

• C2 через HTTPS сигналы связи, замаскированные под обычные веб-запросы к домену, выглядящему легитимно.
• Маскировка домена маршрутизация трафика через доверенный CDN, благодаря чему видимый адрес назначения выглядит безобидно.
• Злоупотребление облачным хранилищем вывод данных в Dropbox, S3 или Google Drive, разрешённые в большинстве организаций.
• Социальные сети и сервисы публикации текстов размещение закодированных данных в общедоступных службах.

Поскольку адрес назначения и шифрование выглядят легитимно, обнаружение смещается от содержимого к поведению — закономерностям сигналов связи, объёмам и времени.

Каналы C2 часто подают сигналы, регулярно связываясь с управляющим сервером для проверки наличия команд. Такая регулярность остаётся обнаружимым признаком даже при шифровании:

• Периодичность соединения через почти постоянные интервалы — каждые 60 секунд или каждый час.
• Случайные отклонения злоумышленники добавляют случайность, чтобы обходить простое обнаружение периодичности, но исходный ритм часто остаётся заметным статистически.
• Небольшие постоянные полезные нагрузки запросы размером с сигнал проверки активности.

Защитники используют анализ трафика, чтобы обнаруживать машиноподобную регулярность сигнальных обращений, которой никогда не бывает при обычном просмотре сайтов человеком.

Чистые каналы времени кодируют информацию, не изменяя ни одного поля данных. Примеры:

• Задержка между пакетами: короткий интервал означает 0, длинный — 1.
• Порядок запросов: последовательность запросов ресурсов передает биты.
• Модуляция пропускной способности: изменение скорости разрешенного трафика.

Эти каналы работают медленно, имеют низкую пропускную способность и подвержены шуму, но их чрезвычайно трудно обнаружить, поскольку пакеты являются настоящими. Для их обнаружения требуется статистический анализ распределений временных интервалов, выявляющий неестественно регулярные или бимодальные задержки, которые обычно не возникают в трафике людей и машин.

Поскольку скрытые каналы имитируют разрешенный трафик, их обнаружение опирается на поведенческий анализ, а не на сигнатуры:

• Построение базовой линии: изучите нормальный трафик каждого узла, а затем отмечайте отклонения.
• Аномалии объема: рабочая станция внезапно загружает гигабайты данных.
• Анализ энтропии: полезная нагрузка с высокой степенью случайности может указывать на шифрование или кодирование.
• Репутация назначения: соединения с новыми, редкими или недавно зарегистрированными доменами.
• Соответствие протоколу: трафик на порту не соответствует ожидаемому протоколу.

NIDS, анализ NetFlow и SIEM вместе выявляют эти признаки, но ни один отдельный признак не является решающим.

Помимо обнаружения, несколько защитных мер сокращают возможности для скрытых каналов:

• Фильтрация исходящего трафика: по умолчанию запрещайте исходящие соединения; разрешайте только необходимые назначения и порты. Уже этого достаточно, чтобы заблокировать многие каналы.
• Проверка DNS: направляйте весь DNS-трафик через контролируемые преобразователи; блокируйте прямой исходящий DNS-трафик.
• Проверка TLS: если это допустимо с юридической и эксплуатационной точки зрения, расшифровывайте и проверяйте исходящий TLS-трафик.
• Предотвращение утечек данных: классифицируйте конфиденциальные данные и отслеживайте их передачу наружу.
• Ограничение скорости и проксирование: направляйте весь исходящий трафик через контролируемые прокси, ведущие журналы.

Многоуровневые меры превращают простой вывод данных в шумный процесс, который можно обнаружить.

Вывод данных — заключительный этап вторжения, поэтому его обнаружение ограничивает ущерб даже в случае отказа предыдущих средств защиты. Сопоставьте свои меры с действиями злоумышленника:

• Сбор: данные собираются в одном месте внутри системы — следите за необычным объединением данных.
• Кодирование и шифрование: данные сжимаются и маскируются, а энтропия резко возрастает.
• Выбор канала: злоумышленник выбирает DNS, HTTPS или облачный канал — поэтому важен мониторинг исходящего трафика.
• Передача: данные покидают систему, появляются аномалии объема и периодических сигналов.

Многоуровневая защита на каждом из этих этапов означает, что злоумышленнику придется преодолеть все уровни, тогда как вам достаточно обнаружить его на одном из них.

Проверьте, насколько хорошо Вы понимаете вывод данных через DNS.

Вы узнали, как злоумышленники тайно выводят данные и как их обнаруживать.

• Скрытый канал прячет данные в поведении системы или сетевом трафике, обходя межсетевые экраны и DLP; он используется для вывода данных и управления и контроля.
• Каналы бывают каналами хранения (данные скрыты в полях) или каналами времени (данные скрыты во временных характеристиках событий, что обеспечивает большую скрытность).
• Вывод данных через DNS встречается чаще всего: данные кодируются в поддоменах, а обнаружить это можно по объему, энтропии и анализу редких доменов.
• Злоумышленники используют поля протоколов, например ICMP и заголовки, а также маскируются под разрешенный зашифрованный трафик (зашифрованные веб-соединения для управления и контроля, облачное хранилище, маскировка домена).
• Периодические сигналы и аномалии поведения выявляют каналы даже при шифровании.
• Защищайтесь с помощью фильтрации исходящего трафика, проверки DNS и TLS, DLP и многоуровневого обнаружения на всех этапах цепочки вывода данных.

На этом курс «Стеганография и сокрытие данных» завершен.