Was ein verdeckter Kanal ist
Das Konzept geht auf die frühen 1970er-Jahre zurück. Untersuchungen des Confinement-Problems zeigten, dass ein Prozess Informationen preisgeben kann, selbst wenn ihm die Kommunikation untersagt ist. Butler Lampson formulierte das Problem 1973, und im selben Jahr beschrieb C. Lamb, wie die gemeinsam genutzten Ressourcen eines Systems genau auf diese Art von Leck hin analysiert werden können.
Spätere Kriterien für vertrauenswürdige Systeme, insbesondere der US-Standard TCSEC, machten die Analyse verdeckter Kanäle zu einer formalen Anforderung für hochsichere Produkte.
Allen verdeckten Kanälen gemeinsam ist der Missbrauch einer Ressource für einen Zweck, den ihre Entwickler nie vorgesehen hatten. Die Ressource ist legitim, etwa Paket-Header, Systemuhren, Druckwarteschlangen oder die Namensauflösung, und erfüllt weiterhin ihre normale Funktion, während sie eine verborgene Nutzlast transportiert. Da das Verhalten des Trägers erwartet wird, fällt die Übertragung nicht auf, außer jemand sucht gezielt danach.
Speicherkanäle vs. Timing-Kanäle
Die Sicherheitstechnik teilt verdeckte Kanäle traditionell in zwei Klassen ein, je nach der gemeinsam genutzten Ressource, die sie ausnutzen.
Bei einem verdeckten Speicherkanal schreibt ein Prozess an eine Stelle, die ein anderer liest, etwa in das Kennungsfeld eines IP-Pakets, in die Länge einer DNS-Abfrage, in die Attribute einer Datei oder in ungenutzten Platz eines Protokoll-Headers. Jeder geschriebene Zustand kodiert ein oder mehrere Bits.
Bei einem verdeckten Timing-Kanal moduliert ein Prozess, wann oder wie lange er eine gemeinsam genutzte Ressource verwendet, etwa die Abstände zwischen Paketen, Muster der Prozessorlast oder die Reihenfolge von Ereignissen. Der Empfänger misst das Timing und dekodiert die Nachricht. Nirgendwo wird etwas geschrieben.
In der Praxis verschwimmt die Grenze: Die Paketlänge ließe sich als Speicherung einordnen, Burst-Muster als Timing. Die Klassifizierung bestimmt dennoch, wie ein Kanal bei der Designprüfung gefunden und im Betrieb erkannt wird. Speicherkanäle bieten höhere Kapazität, Timing-Kanäle sind langsamer und noch schwerer von normalem Verhalten zu unterscheiden.
Tunneling über DNS und ICMP
Die folgenreichsten Beispiele aus der Praxis nutzen Infrastruktur, die Firewalls fast nie blockieren, weil Namensauflösung und grundlegende Diagnose unverzichtbar sind:
| Technik | Genutzter Träger | Wie Daten verborgen werden |
|---|---|---|
| DNS-Tunneling | Namensauflösungsabfragen | Bytes in den Subdomains von Abfragen an einen Nameserver des Angreifers |
| ICMP-Tunneling | Ping-Echo-Pakete | Beliebige Daten im Nutzlastbereich jedes Echo-Pakets |
| Manipulation von Protokoll-Headern | IP- und TCP-Header-Felder | Bits in Sequenznummern, Flags oder ungenutzten Header-Bytes |
| Timing-Modulation | Paketabstände und Bursts | Gezielte Verzögerungen oder Bursts, nur statistisch erkennbar |
Warum verdeckte Kanäle für Insider-Risiken relevant sind
Für einen böswilligen Insider lösen verdeckte Kanäle das zentrale Problem des Datendiebstahls: Standardkanäle werden überwacht. E-Mail, Web-Uploads, Messenger und Wechselmedien lassen sich alle prüfen. Ein Insider, der unbemerkt eine Kundendatenbank herausschaffen will, braucht daher einen Pfad, den keine Prüfregel im Blick hat. Tunneling über DNS oder ICMP bietet genau das.
Verdeckte Kanäle dienen auch externen Angreifern. Command-and-Control-Verkehr, Malware-Updates und gestaffelte Datenabflüsse tarnen sich routinemäßig als erlaubte Protokolle. Für Verteidiger ist die Konsequenz unbequem: Ein sauberes Log der Standardkanäle beweist nicht, dass keine Daten abgeflossen sind, sondern nur, dass keine über die überwachten Kanäle abflossen.
Die Überwachung der Standardkanäle zeigt, was über sie abgeflossen ist, nicht ob etwas anderes abgeflossen ist.
So sieht es in Anexet aus
Anexet-Agenten fangen den Verkehr auf Protokollebene ab, sodass HTTP-, FTP-, SMTP-, IMAP- und POP3-Sitzungen am Endpoint sichtbar sind. In der Konsole hat jedes Protokoll einen eigenen Schalter und Portfilter, und die Statistiken zeigen abgefangene TCP-Sitzungen und Pakete im Zeitverlauf. Zusammen mit der Web-Traffic-Überwachung und dem Anexet-DLP-System lässt sich der Browsing-Kontext mit dem Inhalt jeder Übertragung verknüpfen.
1 / 2
Erkennung und Abwehr
Verdeckte Kanäle zu erkennen ist schwieriger als Standardkanäle zu überwachen, weil die Aktivität des Trägers legitim ist. Eine vollständige Beseitigung ist selten erreichbar. Das realistische Ziel ist, die Kapazität des verdeckten Kanals unter das zu senken, was ein Angreifer braucht, und die Chancen zu erhöhen, einen Versuch zu bemerken.
Praktische Programme kombinieren die Ebenen der folgenden Tabelle:
| Ebene | Was sie leistet | Wann sie greift |
|---|---|---|
| Analyse auf Design-Ebene | Identifiziert vor dem Rollout potenzielle verdeckte Kanäle in gemeinsamen Ressourcen | Vor dem Rollout |
| Ausgangsbeschränkung | Erlaubt nur nötige Protokolle und genehmigte Nameserver, begrenzt ausgehendes ICMP | Netzwerkkonfiguration |
| Traffic-Baselining und Anomalieerkennung | Erkennt lange Abfrage-Labels, ungewöhnliche Entropie und Verkehr außerhalb der Baseline | Im Betrieb |
| Ratenbegrenzung | Begrenzt das Verkehrsvolumen, sodass große Exfiltration unpraktikabel langsam wird | Im Betrieb |
| Endpoint-Sichtbarkeit | Prozess-, Verbindungs- und Nutzerdaten liefern Kontext für subtile Anomalien | Im Betrieb |
Womit man anfängt
Beginnen Sie bei den Kanälen, die das Unternehmen standardmäßig offen lässt, etwa DNS und ausgehendes ICMP, und ergänzen Sie verhaltensbezogenen Kontext, damit eine ungewöhnliche Nutzung auf einen bestimmten Nutzer zeigt. Die Analyse verdeckter Kanäle gehört in die Designprüfung, und das Monitoring hält die Chancen im Betrieb auf Seiten der Verteidiger.
Weiterlesen: Technisches Informationsleck: was ist das und wie schützt man sich davor?.
Verdeckte Kanäle lassen sich nicht vollständig ausschließen, aber sie lassen sich langsam, teuer und sichtbar machen.
Anexet TeamWie Anexet das löst
Anexet beansprucht nicht, jeden verdeckten Kanal zu erkennen. Die formale Analyse verdeckter Kanäle ist eine Disziplin auf Design-Ebene, und verborgene Timing-Kanäle lassen sich mit keinem Monitoring-Produkt vollständig ausschließen. Anexet bietet Endpoint-Sichtbarkeit über die Kanäle, in denen verborgene Übertragungen typischerweise eingebettet sind, sodass ungewöhnliche Aktivität dort beobachtbar wird.
Endpoint-Agenten fangen Verkehr über Netzwerkprotokolle (HTTP/HTTPS, FTP, SMTP, IMAP, POP3) ab, zeichnen Web-Aktivität und URL-Ziele auf und wenden Inhaltsanalyse auf alles an, was über Standardkanäle läuft. So werden sensible Daten erfasst, solange sie noch auf einem sichtbaren Pfad liegen, bevor sie in einem Tunnel verschwinden. Die On-Premise-Architektur hält abgefangenen Verkehr, Inhalte und Logs innerhalb der eigenen Infrastruktur der Organisation.
Abfangen von Netzwerkverkehr
Agenten fangen den Verkehr auf Protokollebene ab, darunter HTTP/HTTPS, FTP, SMTP, IMAP und POP3. Ein optionaler Netzwerkverkehrsserver ergänzt das zentrale Abfangen von gespiegeltem Verkehr mit IP- und MAC-Filtern.
Sichtbarkeit der Web-Aktivität
URL-Ziele, Uploads und Webmail-Sitzungen werden am Endpoint aufgezeichnet. Genau in diesem Kontext müssen DNS- und webbasierte Tunneling-Tools arbeiten.
Inhaltsanalyse
Sicherheits-Thesauri (170 vorgefertigte Wörterbücher), Hash-Datenbanken und digitale Fingerabdrücke erkennen, wenn sensible Dateien verschoben oder verändert werden, und melden die Vorbereitung eines Datenabflusses, solange die Daten noch über einen Standardkanal laufen.
Verhaltenskontext
User Activity Monitoring und Risikobewertung ordnen Netzwerkanomalien dem Nutzer zu, der sie verursacht hat. Ungewöhnlicher externer Verkehr zu ungewöhnlicher Zeit wiegt schwerer, wenn er zugeordnet werden kann.
Web-Traffic-Überwachung
Mehr erfahren