隐蔽信道与数据外泄

隐蔽信道是一条传输信息的通信路径，其传输方式并非系统原本设计所允许的方式，因此可以规避安全控制。隐写术将数据隐藏在文件中，而隐蔽信道则将数据隐藏在系统行为或网络流量中。

攻击者利用隐蔽信道进行数据外泄，将窃取的数据偷偷传出网络；也利用它进行命令与控制，接收指令。其关键特征是流量看起来合法，因此可以绕过防火墙、代理和数据丢失防护系统。

理解这些信道对于检测攻击中最后且危害最大的阶段至关重要：数据离开组织内部。

隐蔽信道分为两类经典类型：

• 存储信道将数据隐藏在原本不用于承载数据的字段或位置中，例如未使用的标头位，或观察者可以直接读取的某个值。
• 时间信道将数据编码在事件发生的时间中，例如数据包之间的延迟、请求顺序或响应延迟。不改变任何数据字段；信息存在于事情何时发生。

时间信道更隐蔽，也更难检测，因为数据包本身看起来完全正常，只有它们的节奏承载着秘密。

现实中最常见的隐蔽信道会滥用 DNS。即使在严格限制的网络中，出站 DNS 几乎总是被允许，因为名称解析不可或缺。攻击者正是利用了这一点。

数据会被编码到发往攻击者控制域名的查询中的子域标签里。攻击者的权威名称服务器接收并解码这些标签。窃取的数据一次通过一个 DNS 查询向外流出：

iodine 和 dnscat2 等工具可以自动通过 DNS 建立完整隧道。

DNS 数据外泄会留下统计特征，防御方可以据此进行搜寻：

• 对单个域名发起的高查询量，远高于正常水平。
• 长且高熵的子域名，编码后的数据看起来像随机内容，不像真实主机名。
• 异常的记录类型，大量使用 TXT、NULL 或 CNAME 记录。
• 用于入站命令与控制通信的大型响应。
• 罕见域名，只有一台主机查询过这些域名。

监控 DNS 日志中的这些模式，并将其送入 SIEM，是价值最高的检测措施之一，因为几乎所有数据外泄最终都会经过 DNS。

许多协议都包含可选、保留或检查不严格的字段，非常适合作为存储信道：

• ICMP 隧道将数据隐藏在 ping 数据包的载荷中，而防火墙通常会允许这类数据包通过。
• TCP/IP 标头字段，例如 IP 标识字段、TCP 序列号或保留标志位。
• HTTP 标头，例如携带编码数据的自定义标头、Cookie 或 User-Agent 字符串。
• TLS SNI服务器名称字段，有时会被滥用来标记命令与控制服务器。

每个字段单独看起来都很正常，因此检测需要先建立正常值的基线，再标记偏离基线的情况。

老练的攻击者倾向于选择隐藏在允许的加密流量中的信道，以便经受深度检查：

• HTTPS 命令与控制通信，伪装成向看似合法域名发送的普通网页请求。
• 域名前置，通过受信任的 CDN 路由流量，使可见目的地看起来无害。
• 滥用云存储，将数据外泄到 Dropbox、S3 或 Google Drive；这些服务在大多数组织中都被允许。
• 社交媒体和粘贴站，将编码数据发布到公共服务上。

由于目的地和加密方式看起来都合法，检测重点便从内容转向行为，包括信标通信模式、流量量和时间特征。

命令与控制信道经常通过信标通信，以固定间隔回连并检查指令。即使经过加密，这种规律性仍然是一种可检测的行为：

• 周期性，以近乎恒定的间隔建立连接（每 60 秒一次、每小时一次）。
• 抖动，攻击者加入随机性来规避简单的周期检测，但底层节奏通常仍会在统计上显现出来。
• 小而一致的载荷，请求大小类似心跳信号。

防御方利用流量分析来发现信标通信如机器般规律的特征，而人为驱动的网页浏览不会产生这种规律。

纯时序信道无需修改任何数据字段即可编码信息。示例：

• 包间延迟短间隔表示 0，长间隔表示 1。
• 请求排序资源请求的顺序承载着比特。
• 吞吐量调制改变合法流量的速率。

这些信道速度缓慢（带宽低）且噪声较大，但由于数据包本身是真实的，因此极其隐蔽。检测这类信道需要对时序分布进行统计分析，寻找不自然的规律性延迟或双峰延迟，因为人类和机器流量通常不会产生这种延迟。

由于隐蔽信道会模仿合法流量，检测依赖于行为分析，而不是特征码：

• 建立基线了解每台主机的正常流量，然后标记偏差。
• 流量异常某台工作站突然上传数 GB 的数据。
• 熵分析高随机性的载荷可能表明存在加密或编码。
• 目的地信誉连接到新的、罕见的或最近注册的域名。
• 协议一致性某个端口上的流量与预期协议不匹配。

NIDS、NetFlow 分析和 SIEM 结合起来可以发现这些信号；但没有任何单一指标足以定论。

除了检测之外，多项控制措施可以压缩隐蔽信道的可利用空间：

• 出站过滤默认拒绝出站流量；仅允许必需的目的地和端口。这一项措施本身就能阻断许多信道。
• DNS 检查强制所有 DNS 请求通过受监控的解析器；阻止直接出站的 DNS 请求。
• TLS 检查在法律和运营条件允许的情况下，解密并检查出站 TLS 流量。
• 数据丢失防护对敏感数据进行分类，并监控其是否离开系统。
• 速率限制与代理转发将所有出站流量集中经过受控且有日志记录的代理。

分层控制措施会把轻松的数据外泄变成嘈杂且容易被检测的艰难过程。

数据外泄是入侵的最后阶段，因此即使更早的防御已经失效，检测到它仍然可以限制损害。请将控制措施映射到攻击者的步骤：

• 收集数据会在内部暂存，应留意异常汇聚。
• 编码/加密数据会被压缩并混淆，熵值会升高。
• 信道选择攻击者会选择 DNS、基于超文本传输安全协议的通道或云端出站通道，因此监控至关重要。
• 传输数据离开系统后，会出现流量和信标通信异常。

在这些步骤中实施纵深防御，意味着攻击者必须突破每一层，而您只需在其中一层发现他们即可。

测试您对基于 DNS 的数据外泄的理解。

您已了解攻击者如何将数据偷偷带出，以及如何发现他们。

• 隐蔽信道将数据隐藏在系统行为或网络流量中，规避防火墙和 DLP；它可用于数据外泄和命令与控制。
• 信道分为存储型（隐藏在字段中）和时序型（隐藏在事件时序中，因此更加隐蔽）。
• DNS 数据外泄最为常见，它将数据编码到子域名中；可以通过流量、熵值和罕见域名分析来检测。
• 攻击者会滥用协议字段（ICMP、标头），并混入允许的加密流量（基于超文本传输安全协议的命令与控制、云存储、域名前置）。
• 信标通信的规律性和行为异常，即使在加密条件下也能揭示信道。
• 通过出站过滤、DNS/TLS 检查、DLP，以及覆盖数据外泄攻击链的分层检测来进行防御。

至此，隐写术与数据隐藏课程就完成了。