Gizli Kanallar ve Veri Sızdırma

Örtülü kanal, bir sistemin izin vermek üzere tasarlanmadığı bir biçimde bilgi aktararak güvenlik denetimlerinden kaçan iletişim yoludur. Steganografi verileri dosyaların içine gizlerken örtülü kanallar verileri sistem davranışının veya ağ trafiğinin içine gizler.

Saldırganlar örtülü kanalları veri sızdırmak, yani çalınan verileri ağın dışına gizlice çıkarmak ve komuta ve kontrol için, yani yönergeler almak amacıyla kullanır. Belirleyici özellik, trafiğin meşru görünmesi ve bu nedenle güvenlik duvarlarını, vekil sunucuları ve veri kaybını önleme sistemlerini aşmasıdır.

Bu kanalları anlamak, bir saldırının en son ve en zarar verici aşamasını, yani verilerin binadan çıkmasını tespit etmek için gereklidir.

Örtülü kanallar iki klasik kategoriye ayrılır:

• Depolama kanalları, veri taşımak için tasarlanmamış bir alana veya konuma veri gizler; örneğin kullanılmayan başlık bitlerine ya da gözlemcinin doğrudan okuyabileceği bir değere.
• Zamanlama kanalları, verileri olayların zamanlamasına kodlar: paketler arasındaki gecikmeye, isteklerin sırasına veya yanıt gecikmesine. Hiçbir veri alanı değiştirilmez; bilgi, olayların ne zaman gerçekleştiğindedir.

Zamanlama kanallarını tespit etmek daha zordur ve bunlar daha gizlidir; çünkü paketlerin kendisi tamamen normal görünür, sırrı yalnızca ritimleri taşır.

Gerçek dünyadaki en yaygın örtülü kanal DNS'i kötüye kullanır. Ad çözümleme gerekli olduğu için DNS, sıkı kısıtlanmış ağlarda bile dışarıya giden bağlantılara neredeyse her zaman izin verilen bir hizmettir. Saldırganlar bundan yararlanır.

Veriler, saldırganın kontrolündeki bir etki alanına yapılan sorguların alt etki alanı etiketlerine kodlanır. Saldırganın yetkili ad sunucusu bunları alır ve çözer. Çalınan veriler her seferinde bir DNS sorgusu üzerinden dışarı akar:

iodine ve dnscat2 gibi araçlar DNS üzerinden tam tünelleri otomatikleştirir.

DNS üzerinden veri sızdırma, savunmacıların arayabileceği istatistiksel parmak izleri bırakır:

• Yüksek sorgu hacmi: tek bir etki alanına normalin çok üzerinde sorgu gönderilmesi.
• Uzun ve yüksek entropili alt etki alanları: kodlanmış veriler gerçek ana bilgisayar adlarının aksine rastgele görünür.
• Olağandışı kayıt türleri: TXT, NULL veya CNAME kayıtlarının yoğun biçimde kullanılması.
• Büyük yanıt boyutları: gelen komuta ve kontrol trafiği için.
• Nadir etki alanları: yalnızca tek bir ana bilgisayar tarafından sorgulanır.

DNS günlüklerini bu örüntüler açısından izlemek ve bunları bir SIEM'e aktarmak, en değerli tespitlerden biridir; çünkü neredeyse tüm veri sızdırma girişimleri sonunda DNS'e dokunur.

Birçok protokolde isteğe bağlı, ayrılmış veya gevşek biçimde denetlenen alanlar bulunur; bunlar mükemmel depolama kanallarıdır:

• ICMP tünellemesi: verileri güvenlik duvarlarının çoğu zaman izin verdiği ping paketlerinin yükünde gizler.
• TCP/IP başlık alanları: IP Tanımlama alanı, TCP sıra numaraları veya ayrılmış bayrak bitleri.
• HTTP başlıkları: kodlanmış verileri taşıyan özel başlıklar, çerezler veya User-Agent dizeleri.
• TLS SNI: bazen bir komuta ve kontrol sunucusuna işaret etmek için kötüye kullanılan sunucu adı alanı.

Her alan tek başına normal göründüğünden tespit için normal değerlerin nasıl göründüğüne ilişkin bir temel oluşturmak ve sapmaları işaretlemek gerekir.

Sofistike saldırganlar, derin incelemeden kurtulabilmek için izin verilen ve şifrelenmiş trafiğin içine gizlenen kanalları tercih eder:

• HTTPS komuta ve kontrolü: meşru görünümlü bir etki alanına gönderilen sıradan web istekleri gibi gizlenmiş işaretçiler.
• Etki alanı öneleme: trafiği güvenilir bir CDN üzerinden yönlendirerek görünen hedefi zararsız gösterme.
• Bulut depolamanın kötüye kullanımı: çoğu kuruluşta izin verilen Dropbox, S3 veya Google Drive'a veri sızdırma.
• Sosyal medya ve metin paylaşım siteleri: kodlanmış verileri herkese açık hizmetlerde yayımlama.

Hedef ve şifreleme meşru göründüğünden tespit, içerikten davranışa, yani işaretçi örüntülerine, hacimlere ve zamanlamaya kayar.

Komuta ve kontrol kanalları, komutları kontrol etmek için düzenli aralıklarla eve işaret gönderir. Bu düzenlilik, şifreleme kullanılsa bile tespit edilebilen bir davranıştır:

• Periyodiklik: neredeyse sabit aralıklarla bağlantılar (her 60 saniyede bir, her saat).
• Jitter: saldırganlar basit dönemsel tespitten kaçmak için rastgelelik ekler; ancak altta yatan ritim çoğu zaman istatistiksel olarak görünür kalır.
• Küçük ve tutarlı yükler: kalp atışı boyutundaki istekler.

Savunmacılar, insan yönlendirmeli gezinmenin asla üretmediği makine benzeri işaret gönderme düzenliliğini fark etmek için trafik analizini kullanır.

Saf zamanlama kanalları hiçbir veri alanını değiştirmeden bilgi kodlar. Örnekler:

• Paketler arası gecikme kısa bir aralık 0, uzun bir aralık 1 anlamına gelir.
• İsteklerin sıralanması kaynakların istenme sırası bitler taşır.
• Aktarım hızı modülasyonu meşru trafiğin hızını değiştirme.

Bu kanallar yavaştır (bant genişlikleri düşüktür) ve gürültülüdür; ancak paketler gerçek olduğu için son derece gizlidir. Bunları tespit etmek, insan ve makine trafiğinin normalde oluşturmadığı doğal olmayan düzenlilikte veya iki tepeli gecikmeleri aramak üzere zamanlama dağılımlarının istatistiksel analizini gerektirir.

Gizli kanallar meşru trafiği taklit ettiğinden, tespit imzalardan çok davranış analitiğine dayanır:

• Normal davranış profili çıkarma her ana bilgisayar için normal trafiği öğrenin, ardından sapmaları işaretleyin.
• Hacim anomalileri bir iş istasyonunun aniden gigabaytlarca veri yüklemesi.
• Entropi analizi rastgelelik düzeyi yüksek veri yükleri şifreleme veya kodlamaya işaret eder.
• Hedef itibarı yeni, nadir görülen veya yakın zamanda kaydedilmiş etki alanlarına bağlantılar.
• Protokole uygunluk beklenen protokolle eşleşmeyen bir port üzerindeki trafik.

Bir NIDS, NetFlow analizi ve SIEM birlikte bu sinyalleri ortaya çıkarır; tek bir gösterge kesin kanıt değildir.

Tespit etmenin ötesinde, çeşitli önlemler gizli kanallar için mevcut alanı daraltır:

• Çıkış filtreleme giden trafiği varsayılan olarak reddedin; yalnızca gerekli hedeflere ve portlara izin verin. Bu tek başına birçok kanalı engeller.
• DNS incelemesi tüm DNS trafiğini izlenen çözümleyiciler üzerinden geçmeye zorlayın; doğrudan giden DNS trafiğini engelleyin.
• TLS incelemesi yasal ve operasyonel açıdan uygun olduğunda, giden TLS trafiğinin şifresini çözün ve inceleyin.
• Veri kaybını önleme hassas verileri sınıflandırın ve bunların dışarı çıkıp çıkmadığını izleyin.
• Hız sınırlama ve vekil sunucu kullanımı tüm çıkış trafiğini denetimli ve günlüğe kaydedilen vekil sunucular üzerinden yönlendirin.

Katmanlı önlemler, kolay veri sızdırmayı gürültülü ve tespit edilebilir bir mücadeleye dönüştürür.

Veri sızdırma, bir izinsiz girişin son aşamasıdır; bu nedenle önceki savunmalar başarısız olsa bile bunu tespit etmek zararı sınırlar. Önlemlerinizi saldırganın adımlarıyla eşleştirin:

• Toplama veriler içeride hazırlanır; olağandışı birleştirmeleri izleyin.
• Kodlama/şifreleme veriler sıkıştırılır ve gizlenir; entropi sıçramalarına dikkat edin.
• Kanal seçimi saldırgan DNS, HTTPS veya bulut çıkışını seçer; çıkış trafiğini izlemek önemlidir.
• Aktarım veriler dışarı çıkar; hacim ve düzenli sinyal gönderimi anomalileri ortaya çıkar.

Bu adımlar boyunca derinlemesine savunma uygulamak, saldırganın her katmanı aşmasını gerektirirken sizin yalnızca bir katmanda yakalamanızı yeterli kılar.

DNS tabanlı veri sızdırma konusundaki anlayışınızı sınayın.

Saldırganların verileri nasıl dışarı sızdırdığını ve onları nasıl yakalayacağınızı öğrendiniz.

• Bir gizli kanal, verileri sistem davranışında veya ağ trafiğinde gizleyerek güvenlik duvarlarından ve DLP'den kaçar; veri sızdırmayı ve komuta ve kontrolü mümkün kılar.
• Kanallar depolama (alanlarda gizlenen) veya zamanlama (olayların zamanlamasında gizlenen ve daha gizli olan) türündedir.
• DNS üzerinden veri sızdırma en yaygın türdür ve verileri alt etki alanlarında kodlar; hacim, entropi ve nadir görülen etki alanı analiziyle tespit edilir.
• Saldırganlar protokol alanlarını (ICMP, üstbilgiler) kötüye kullanır ve izin verilen şifreli trafiğe (HTTPS üzerinden komuta ve kontrol, bulut depolama, etki alanı öne çıkarma) karışır.
• Düzenli sinyal gönderimi ve davranış anomalileri, şifreleme altında bile kanalları ortaya çıkarır.
• Veri sızdırma saldırı zinciri boyunca çıkış filtreleme, DNS/TLS incelemesi, DLP ve katmanlı tespit kullanarak savunma yapın.

Bu, Steganografi ve Veri Gizleme kursunu tamamlar.