ما هو تحليل القنوات المخفية
يحدد تحليل القنوات المخفية القنوات المخفية ويقيسها ويحد منها. القناة المخفية مسار يستخدم موارد مشتركة أو سلوك بروتوكول أو التوقيت لنقل المعلومات دون خرق أي قاعدة صريحة. السؤال الجوهري: هل يمكن أن تنتقل البيانات عبر هذا النظام بطريقة لم يصممها أحد ولا يراقبها أحد؟
القناة وتحليلها شيئان مختلفان. القناة هي الظاهرة نفسها: المسار المخفي. التحليل هو المنهج المطبَّق عليها. يحدد أماكن احتمال تسرب المعلومات، ويقدّر النطاق الترددي لكل مسار، ويرفع النتائج إلى إصلاحات في التصميم أو إلى المراقبة. القناة هي موضوع الدراسة، والتحليل هو الدراسة نفسها.
منهجية Shared Resource Matrix
التقنية الأساسية هي Shared Resource Matrix، التي قدمها Richard Kemmerer عام 1983. وتستند إلى ملاحظة واحدة: القناة المخفية تحتاج إلى مورد مشترك، مثل الذاكرة أو كتل القرص أو زمن المعالج أو قفل أو حقل في الترويسة، يستطيع عملية ما تعديله ويستطيع غيرها ملاحظته. تستهدف المنهجية بالدرجة الأولى قنوات التخزين المخفية، حيث تكتب عملية قيمة وتقرأها عملية أخرى. وتجري في أربع مراحل:
- 1
حصر الموارد
سجّل كل مورد مشترك بين أطراف ذات مستويات ثقة مختلفة، مع خصائصه والعمليات التي يستطيع كل طرف تنفيذها.
- 2
أزواج التعديل والملاحظة
لكل خاصية، سجّل الأطراف القادرة على تغييرها والأطراف القادرة على قراءة التغيير أو استنتاجه. هذا شرط مسبق لقناة التخزين.
- 3
تتبع المسارات
تابع الأزواج المرشحة التي لا يتوسطها أي آلية مشروعة في التصميم، لتأكيد تدفق فعلي.
- 4
تقدير النطاق الترددي
احسب معدل البيانات الممكن في كل قناة مؤكدة. القناة التي تسرب بضع بتات في الساعة ملاحظة توثيقية، أما القناة التي تحمل كيلوبايتات فهي عيب تصميمي يجب الحد منه.
تحليل حركة المرور واكتشاف الشذوذ
في الشبكات الحية ينتقل العمل من وثائق التصميم إلى السلوك القابل للملاحظة. يفحص تحليل حركة المرور التدفقات والتوقيت والحجم واستخدام البروتوكولات بحثًا عن علامات تدل على أن قناة مشروعة تحمل معنى مخفيًا. ويضيف اكتشاف الشذوذ طبقة إحصائية، فيرصد الانحرافات المستمرة عن حركة المرور والنشاط الاعتيادي للمستخدمين، وهو المنطق نفسه الذي يقوم عليه اكتشاف الشذوذ السلوكي مطبقًا على نقل البيانات. والقنوات المخفية تحاكي الحركة المشروعة، لذلك نادرًا ما يثبت حدث واحد شيئًا. ونمط ثابت من الأحجام والوجهات والجداول يحدد مسارًا مرشحًا. ومن العلامات الشائعة:
- شذوذ الإنتروبيا: عشوائية في المحتوى أو في أسماء النطاقات تتجاوز بكثير ما يولده البروتوكول عادة.
- انتظام التوقيت: فترات بين الطلبات تشبه المِقياس الإيقاعي، في حين أن النشاط الحقيقي للأشخاص أو التطبيقات يكون غير منتظم.
- عدم توازن الحجم: طلبات قليلة تُقابل بردود كبيرة، أو عمليات نقل تتجاوز أي استخدام مصرح به للقناة.
أين يُطبَّق تحليل القنوات المخفية
تظهر ثلاثة سياقات أكثر من غيرها في الممارسة. وفي برامج المخاطر الداخلية يتعلق الأمر بـتسريب البيانات عبر قنوات تبدو معتمدة:
| السياق | ماذا يحدث |
|---|---|
| تقييم الأمان | تخضع الأنظمة عالية الضمان لمراجعة رسمية. تُوثَّق القنوات وتُقيَّد. |
| تمارين الفريق الأحمر | يختبر المهاجمون ما إذا كان تحليل التصميم قد أغفل مسارًا حقيقيًا. |
| برامج المخاطر الداخلية | تراقب القنوات المعتمدة بحثًا عن عمليات نقل خارج المسارات المصرح بها. |
كيف يبدو ذلك في Anexet
لا يجري Anexet تحليلًا رسميًا للقنوات المخفية، لكن وحدة التحكم لديه تُظهر النصف التشغيلي من العمل. تعرض صفحة سياسات الأمان القواعد الإحصائية إلى جانب القواعد القائمة على المسارد والبصمات، وتحصي الحوادث حسب الحالة ونوع القاعدة. ويُظهر لوح إحصاءات الشبكة انفجارًا قصيرًا في الحزم المرسلة فوق خط أساس مستوٍ، وهو النوع من الانحراف الذي صُممت القواعد الإحصائية لالتقاطه. ويغذي المنظوران معًا مسار الكشف عن التهديدات الداخلية.
1 / 2
ما الذي يمكن للتحليل تقديمه وما الذي لا يمكنه
الشمول خارج المتناول. فمعرفة ما إذا كان برنامج عشوائي قادرًا على تسريب المعلومات غير قابلة للحسم في الحالة العامة، لذلك يقتصر كل تحليل حقيقي على الموارد المحصاة والتدفقات الملاحظة. والأهداف الصادقة هي إيجاد المسارات ذات أعلى نطاق ترددي وخفضها إلى مستوى مقبول، عبر حقن الضوضاء أو تحديد المعدل أو التجزئة. وكل واحدة من هذه الوسائل تبادل الأداء بالسرية. والقنوات المخفية القائمة على التوقيت أصعب القنوات في الحد منها، لأن إشارتها تكمن في الزمن لا في البيانات.
للمجال نصفان. التحليل الرسمي عمل في مرحلة التصميم على المكونات الداخلية للنظام. أما المراقبة التشغيلية فعمل في وقت التشغيل على الحركة والنشاط الحقيقيين، بحثًا عن بيانات تتحرك عبر مسارات لم يعتمدها أحد. وقليلة هي المؤسسات التي تحتاج النصف الأول، بينما تستفيد منه غالبيتها إلى حد كبير، لأن الجميع يستخدمون قنوات كالبريد الإلكتروني والويب والتخزين السحابي والوسائط القابلة للإزالة، ويمكن استخدامها بطرق غير مقصودة.
سجل مراقبة نظيف لا يثبت غياب القناة المخفية. إنه يبين فقط أن أيًّا من الأنماط المراقَبة لم يظهر.
من أين تبدأ
ابدأ بالبيانات التي يكون تسربها أشد ضررًا، ثم سجّل القنوات التي تستخدمها فعلًا. هذه القائمة هي الأساس لمراجعة التصميم ولقواعد المراقبة معًا.
اجمع بين مراجعة التصميم والمراقبة أثناء التشغيل، وأسند إلى كل نتيجة مسؤولًا ومهلة زمنية. فالتقرير الذي لا يتبعه أحد لا يغلق أي قناة.
للمزيد من القراءة: التسرب التقني للمعلومات: ما هو وكيف تحمي نفسك؟.
النقل المخفي لا يعلن عن نفسه أبدًا. إنه يختبئ داخل الحركة وروتين العمل المعتاد.
Anexet Teamكيف تعالج Anexet ذلك
لا يجري Anexet تحليلًا للقنوات المخفية بالمعنى الرسمي والمعتمد للشهادات: تحديد قنوات التوقيت داخل العتاد المشترك خارج نطاقه. أما ما يغطيه فهو النصف التشغيلي من المجال: فحص حركة المرور المعترَضة ونشاط المستخدمين المسجَّل بحثًا عن أنماط مشبوهة تدل على خروج بيانات عبر قنوات غير معتمدة. وهو عون عملي لمسألة القنوات المخفية، لا بديل عن التحليل الرسمي للموارد المشتركة.
ولأن النقل المخفي يتنكر في صورة نشاط مشروع، يبدأ الكشف من الرؤية والمحتوى: تعترض الوكلاء القنوات الحقيقية، ويقيّم تحليل المحتوى ما يُنقل، وتُظهر القواعد الإحصائية الانحرافات عن الأحجام المعتادة.
رؤية القنوات
تعترض وكلاء الأجهزة الطرفية البريد الإلكتروني والويب وتطبيقات التخزين السحابي والمراسلة والأجهزة القابلة للإزالة والطباعة والحافظة: وهي القنوات التي يعتمد عليها النقل المخفي.
التقييم القائم على المحتوى
تُفحص عمليات النقل مقابل مسارد أمنية جاهزة وبنوك تجزئة ومكتبات بصمات رقمية وتصنيفات حساسية: فالبيانات داخل ملف يبدو عاديًا يُتعرَّف عليها من محتواها.
شذوذ الحجم والتوقيت
تُظهر القواعد الإحصائية الرسائل أو عمليات نقل الملفات التي تتجاوز الحد المعتاد للمستخدم خلال ساعة أو يوم أو أسبوع: الانحراف المستمر الذي يُحدثه نقل بطيء ومخفي.
سجل تدقيق قابل للإسناد
يُسجَّل كل حدث معترَض مع المستخدم والطابع الزمني والقناة وتصنيف المحتوى، فيمكن تتبع النمط المشبوه إلى الأحداث التي تقف وراءه.
ميزة كشف التهديدات الداخلية
اعرف المزيد