القناة الخفية

يعود هذا المفهوم إلى أوائل السبعينيات، حين أظهرت الأبحاث حول مشكلة الاحتواء (confinement problem) أن العملية يمكن أن تسرّب معلومات حتى وهي ممنوعة من الاتصال. صاغ بتلر لامبسون (Butler Lampson) المشكلة عام 1973، وفي العام نفسه وصف سي. لامب (C. Lamb) كيف يمكن تحليل الموارد المشتركة في النظام بحثاً عن هذا النوع من التسريب.

ثم جعلت معايير الأنظمة الموثوقة، وفي مقدمتها المعيار الأمريكي TCSEC، تحليل القنوات الخفية شرطاً رسمياً للمنتجات عالية الضمان.

ما تشترك فيه القنوات الخفية كلها هو إساءة استخدام مورد لغرض لم يقصده مصمّموه قط. فالمورد مشروع، مثل ترويسات الحزم وساعات النظام وطوابير الطباعة وتحليل أسماء النطاقات، ويواصل أداء وظيفته المعتادة بينما يحمل حمولة مخفية. ولأن سلوك الناقل متوقع، فإن النقل لا يلفت الانتباه ما لم يبحث عنه أحد تحديداً.

تقسّم هندسة الأمن القنوات الخفية تقليدياً إلى فئتين، بحسب المورد المشترك الذي تستغله كل منهما.

في قناة التخزين الخفية تكتب عملية إلى موقع تقرؤه عملية أخرى، مثل حقل معرّف حزمة IP أو طول استعلام DNS أو سمات ملف أو مساحة غير مستخدمة في ترويسة بروتوكول. وكل حالة مكتوبة ترمّز بتاً واحداً أو أكثر.

في قناة التوقيت الخفية تعدّل عملية توقيت استخدامها لمورد مشترك أو مدة هذا الاستخدام، مثل الفواصل بين الحزم وأنماط تحميل المعالج وترتيب الأحداث. يقيس المستقبِل التوقيت ويفكّ ترميز الرسالة، ولا يُكتب شيء في أي مكان.

عملياً تتداخل الحدود، فيمكن اعتبار طول الحزمة تخزيناً وأنماط الدفعات توقيتاً. ومع ذلك يحدد التصنيف كيف يُعثر على القناة أثناء مراجعة التصميم وكيف تُكتشف أثناء التشغيل. توفر قنوات التخزين سعة أكبر، أما قنوات التوقيت فأبطأ، لكنها أصعب في التمييز بينها وبين السلوك الطبيعي.

أبرز الأمثلة الواقعية تعيد استخدام بنية تحتية لا تحجبها جدران الحماية تقريباً أبداً، لأن تحليل أسماء النطاقات والتشخيص الأساسي ضروريان:

بالنسبة إلى موظف داخلي خبيث، تحلّ القنوات الخفية المشكلة الجوهرية في سرقة البيانات: القنوات المعتادة مراقَبة. فالبريد الإلكتروني ورفع الملفات على الويب وتطبيقات المراسلة والوسائط القابلة للإزالة كلها قابلة للفحص، لذلك يحتاج موظف يريد نقل قاعدة بيانات للعملاء دون أن يُلاحَظ إلى مسار لا تراقبه أي قاعدة فحص. ويوفر النفق عبر DNS أو ICMP هذا المسار بالضبط.

تخدم القنوات الخفية المهاجمين الخارجيين أيضاً، إذ تتنكر حركة القيادة والتحكم وتحديثات البرمجيات الخبيثة وتهريب البيانات المرحلي عادةً في صورة بروتوكولات مسموح بها. وهذا يقلق المدافعين، فالسجل النظيف للقنوات المعتادة لا يثبت أن البيانات لم تخرج، بل يثبت فقط أنها لم تخرج عبر القنوات المراقَبة.

تعترض وكلاء Anexet حركة المرور على مستوى البروتوكول، فتصبح جلسات HTTP وFTP وSMTP وIMAP وPOP3 مرئية على نقطة النهاية. وفي وحدة التحكم لكل بروتوكول مفتاح خاص به ومرشح منافذ، وتُظهر الإحصاءات جلسات TCP والحزم المعترَضة عبر الزمن. ومع مراقبة حركة الويب ونظام DLP من Anexet يصبح من الممكن ربط سياق التصفح بمحتوى كل عملية نقل.

1 / 2

• 
• 

كشف القنوات الخفية أصعب من مراقبة القنوات المعتادة، لأن نشاط الناقل مشروع في ظاهره. والاستئصال الكامل نادراً ما يكون ممكناً. والهدف الواقعي هو خفض سعة القناة الخفية إلى ما دون ما يحتاجه المهاجم، ورفع فرص ملاحظة أي محاولة.

وتجمع البرامج العملية الطبقات الواردة في الجدول أدناه:

ابدأ بالقنوات التي تتركها المؤسسة مفتوحة افتراضياً، مثل DNS وICMP الصادر، ثم أضف السياق السلوكي حتى يشير الاستخدام غير المعتاد لها إلى مستخدم بعينه. ينتمي تحليل القنوات الخفية إلى مراجعة التصميم، بينما تُبقي المراقبة الاحتمالات في صالح المدافعين أثناء التشغيل.

للمزيد من القراءة: التسرب التقني للمعلومات: ما هو وكيف تحمي نفسك؟.