Analyse verdeckter Kanäle

Die Analyse verdeckter Kanäle findet, misst und begrenzt verdeckte Kanäle. Ein verdeckter Kanal ist ein Pfad, der gemeinsam genutzte Ressourcen, Protokollverhalten oder Timing nutzt, um Informationen zu übertragen, ohne eine ausdrückliche Regel zu verletzen. Die zentrale Frage lautet: Können Daten dieses System auf eine Weise durchqueren, die niemand vorgesehen hat und niemand beobachtet?

Kanal und Analyse sind verschiedene Dinge. Der Kanal ist das Phänomen, also der verborgene Pfad selbst. Die Analyse ist die Methode, die auf ihn angewendet wird. Sie listet auf, wo Informationen abfließen könnten, schätzt die Bandbreite jedes Pfads und führt die Ergebnisse in Designkorrekturen oder Überwachung über. Der Kanal ist der Untersuchungsgegenstand, die Analyse ist die Untersuchung.

Die grundlegende Technik ist die Shared Resource Matrix, die Richard Kemmerer 1983 eingeführt hat. Sie beruht auf einer Beobachtung: Ein verdeckter Kanal braucht eine gemeinsame Ressource, etwa Speicher, Plattenblöcke, Prozessorzeit, eine Sperre oder ein Headerfeld, die ein Prozess verändern und ein anderer beobachten kann. Die Methode zielt vor allem auf verdeckte Speicherkanäle, bei denen ein Prozess einen Wert schreibt und ein anderer ihn liest. Sie läuft in vier Schritten ab:

1. 1

   Ressourcen erfassen

   Erfassen Sie jede Ressource, die zwischen Subjekten unterschiedlicher Vertrauensstufen geteilt wird, mit ihren Attributen und den Operationen, die jedes Subjekt ausführen kann.

2. 2

   Paare aus Änderung und Beobachtung

   Halten Sie für jedes Attribut fest, welche Subjekte es ändern können und welche die Änderung lesen oder ableiten können. Das ist die Voraussetzung für einen Speicherkanal.

3. 3

   Pfade verfolgen

   Prüfen Sie Kandidatenpaare, die keine legitime Designkomponente vermittelt, um einen tatsächlichen Datenfluss zu bestätigen.

4. 4

   Bandbreite schätzen

   Berechnen Sie die erreichbare Datenrate jedes bestätigten Kanals. Ein Kanal, der wenige Bit pro Stunde abgibt, ist eine Dokumentationsnotiz. Einer, der Kilobyte transportiert, ist ein Entwurfsfehler, der begrenzt werden muss.

Im Live-Netz verlagert sich die Arbeit von Entwurfsdokumenten zum beobachtbaren Verhalten. Die Traffic-Analyse prüft Flüsse, Timing, Volumen und Protokollnutzung auf Hinweise, dass ein legitimer Kanal verborgene Bedeutung trägt. Die Anomalieerkennung ergänzt eine statistische Schicht. Sie markiert anhaltende Abweichungen von normalem Verkehr und normaler Benutzeraktivität, also dieselbe Logik wie bei der Erkennung von Verhaltensanomalien, angewendet auf die Datenbewegung. Verdeckte Kanäle imitieren legitimen Verkehr, deshalb beweist ein einzelnes Ereignis selten etwas. Ein anhaltendes Muster aus Volumen, Zielen und Zeitplänen kennzeichnet einen Kandidatenpfad. Typische Anzeichen:

• Entropie-Auffälligkeiten: Zufälligkeit im Inhalt oder in Domainnamen, weit über dem, was das Protokoll normalerweise erzeugt.
• Taktgleiche Regelmäßigkeit: Abstände zwischen Anfragen wie ein Metronom, obwohl echte Aktivität von Menschen oder Anwendungen unregelmäßig wäre.
• Volumenasymmetrie: minimale Anfragen, die mit erheblichen Antworten beantwortet werden, oder Übertragungen über jede zulässige Nutzung des Kanals hinaus.

Drei Einsatzfelder kommen in der Praxis am häufigsten vor. In Programmen zum internen Risiko geht es um Datenexfiltration über Kanäle, die genehmigt wirken:

Anexet führt keine formale Analyse verdeckter Kanäle durch, zeigt aber in der Konsole die operative Hälfte der Arbeit. Die Seite Sicherheitsrichtlinien listet statistische Regeln neben Regeln für Thesauri und Fingerabdrücke und zählt Vorfälle nach Status und Regeltyp. Das Statistikfenster für den Netzwerkverkehr zeigt einen kurzen Ausschlag gesendeter Pakete vor einer flachen Grundlinie: genau die Abweichung, die statistische Regeln erkennen sollen. Beide Ansichten speisen den Ablauf der Erkennung von Insider-Bedrohungen.

1 / 2

• 
• 

Vollständigkeit ist nicht erreichbar. Ob ein beliebiges Programm Informationen abfließen lassen kann, ist im allgemeinen Fall unentscheidbar. Jede reale Analyse ist deshalb auf die aufgezählten Ressourcen und die beobachteten Flüsse beschränkt. Die ehrlichen Ziele sind, die Pfade mit der höchsten Bandbreite zu finden und sie durch Rauschinjektion, Ratenbegrenzung oder Segmentierung auf ein akzeptables Niveau zu senken. Jede dieser Maßnahmen tauscht Leistung gegen Geheimhaltung. Verdeckte Timing-Kanäle lassen sich am schwersten begrenzen, weil ihr Signal im Timing liegt und nicht in den Daten.

Das Feld hat zwei Hälften. Die formale Analyse ist Arbeit zur Entwurfszeit an den inneren Strukturen eines Systems. Die operative Überwachung ist Arbeit zur Laufzeit an realem Verkehr und realer Aktivität, mit dem Ziel, Daten auf nicht genehmigten Pfaden zu finden. Wenige Organisationen brauchen die erste Hälfte. Fast alle profitieren von der zweiten, weil alle Kanäle wie E-Mail, Web, Cloud-Speicher und Wechselmedien nutzen, die auf unbeabsichtigte Weise verwendet werden können.

Beginnen Sie mit den Daten, deren Abfluss den größten Schaden anrichten würde, und listen Sie dann die Kanäle auf, die sie tatsächlich nutzen. Diese Liste ist die Grundlage sowohl für die Entwurfsprüfung als auch für die Überwachungsregeln.

Verbinden Sie die Prüfung zur Entwurfszeit mit der Überwachung zur Laufzeit und weisen Sie jedem Befund einen Verantwortlichen und eine Frist zu. Ein Bericht, auf den niemand reagiert, schließt keinen Kanal.

Weiterlesen: Technisches Informationsleck: was ist das und wie schützt man sich davor?.