Was ein verdeckter Speicherkanal ist
Ein verdeckter Speicherkanal entsteht, wenn eine gemeinsam genutzte Ressource Informationen transportiert, die sie nie transportieren sollte. Der Sender verändert eine beobachtbare Eigenschaft der Ressource, und der Empfänger liest diese Eigenschaft später wieder aus. Dieses Paar aus Ändern und Beobachten ist die entscheidende Voraussetzung: Wo ein Akteur eine Eigenschaft eines gemeinsamen Objekts ändern kann und ein anderer die Änderung bemerkt, existiert ein solcher verdeckter Kanal.
Das Konzept geht auf die Forschung zur Abschottung zu Beginn der 1970er-Jahre zurück und wurde unter Kriterien für vertrauenswürdige Systeme wie dem US-amerikanischen TCSEC zum Gegenstand formaler Bewertung. Es wird nichts als Daten gesendet. Die Nachricht existiert nur als Folge von Zuständen, die das gemeinsame Objekt durchläuft. Deshalb verrät die Beobachtung des Datenverkehrs allein sie nicht. Das Aufspüren solcher Paare ist Aufgabe der Analyse verdeckter Kanäle.
Wo sich die Daten verstecken: typische Träger
Fast jedes gemeinsame Objekt mit einem beobachtbaren, beschreibbaren Zustand kann als Träger dienen. Die klassischen Verstecke:
| Träger | Was sich schreiben lässt | Warum Inhaltsprüfungen ihn übersehen |
|---|---|---|
| Dateinamen und Erweiterungen | Bits, kodiert in einer Folge von Namen, die sich in ihren Zeichen unterscheiden | Der Dateiinhalt bleibt gleich und wirkt unauffällig |
| Dateiattribute und Metadaten | Zeitstempel, Flags für versteckt und schreibgeschützt, Eigentümer | Inhaltswerkzeuge lesen keine Attribute aus |
| Alternative Datenströme | Versteckter Inhalt, der unter NTFS an eine Datei angehängt ist | Gewöhnliche Verzeichnislisten zeigen nur die Hauptdatei |
| Felder in Protokollkopfzeilen | IP-Kennung, TCP-Sequenznummern, TTL-Werte | Optionale Felder werden selten geprüft |
| Auffüllung und ungenutzter Speicher | Ungenutzte Paketbytes, Speicherreste auf dem Datenträger, niederwertigste Bits von Medien | Der sichtbare Träger sieht unverändert aus |
Speicherkanal gegen Zeitkanal
Die beiden Klassen unterscheiden sich darin, was das Signal trägt. Ein Speicherkanal kodiert Information im Zustand eines Objekts: Etwas wird geschrieben, bleibt kurz bestehen und wird später gelesen. Er wird meist durch Ändern-und-Beobachten-Analyse gemeinsamer Ressourcen gefunden. Ein verdeckter Zeitkanal kodiert Information darin, wann Ereignisse stattfinden und wie lange sie dauern. Er schreibt nirgendwo etwas und wird durch statistische Analyse des Zeitverhaltens gefunden.
In der Praxis verschwimmt die Grenze. Die Länge eines Pakets kann als Speicher gelten, ein Burst-Muster als Zeit. Die Trennung leitet die Suche trotzdem: Speicherkanäle sucht man im Zustand gemeinsamer Ressourcen, Zeitkanäle in Verhaltensstatistiken.
Verdeckte Speicherkanäle in der Praxis
Vorfälle und Forschungsprototypen zeigen die Bandbreite der Träger:
| Szenario | Wie sich die Daten bewegen |
|---|---|
| Toter Briefkasten im freigegebenen Ordner | Zwei Parteien tauschen Daten über Dateinamen aus, die sie selbst anlegen |
| Steganografie in Kopfzeilen | Bits liegen in optionalen, selten geprüften IP-, TCP- oder ICMP-Feldern |
| Steganografie in Mediendateien | Daten verbergen sich in den niederwertigsten Bits von Bildern, Audio oder Video |
| Zwischenlagerung über Datenstrom | Über einen alternativen Datenstrom angehängte Daten bleiben in Listen verborgen |
Warum Speicherkanäle für das Insider-Risiko zählen
Für einen böswilligen Insider liegt der Reiz darin, dass die Aktivität des Trägers legitim aussieht. Dateien auf einer freigegebenen Freigabe anzulegen, umzubenennen und zu löschen wirkt harmlos. Lebt die Information in Namen und Attributen, hat die Inhaltsprüfung nichts zu prüfen. Dasselbe gilt für Steganografie: Ein Bild auf einem genehmigten Dienst ist für eine Kontrolle, die nicht hineinsieht, einfach ein Bild.
Speicherkanäle kehren die Frage der Überwachung um. Abwehrmaßnahmen fragen, was über zugelassene Kanäle übertragen wurde. Ein Speicherkanal fragt, in welchem Zustand gemeinsame Objekte zurückgelassen wurden. Ein unauffälliges Verkehrsprotokoll beweist nur, dass über die überwachten Kanäle nichts übertragen wurde. Deshalb kann eine Datenexfiltration eine reine Verkehrsprüfung durchlaufen.
So sieht es in Anexet aus
In der Anexet-Konsole wird die Prüfung von Dateioperationen je Agentenprofil eingerichtet, wobei jede Operation einzeln ein- oder ausgeschaltet wird. Das Panel für Netzwerkfreigaben ergänzt die Prüfung um Schattenkopien und Schreibkontrolle. So hinterlässt eine Reihe von Umbenennungen oder eine ungewöhnliche Datei auf einer Freigabe einen Nachweis. Dies gehört zur Überwachung von Dateiübertragungen und Netzwerkfreigaben.
1 / 2
Erkennung und Minderung
Da der Träger ein legitimes Objekt ist, das legitime Arbeit verrichtet, kann sich die Erkennung nicht allein auf Blockieren stützen. Eine vollständige Beseitigung ist selten erreichbar. Das anerkannte Ziel besteht darin, die Bandbreite des Kanals unter das zu drücken, was ein Angreifer braucht, und die nötigen Zustandsänderungen sichtbar zu machen. Drei Maßnahmen leisten das, wobei die zweite auf der Prüfung der Dateiintegrität aufbaut:
- 1
Analyse zur Entwurfszeit
Die Analyse gemeinsamer Ressourcen mit der Methode Shared Resource Matrix listet Ändern-und-Beobachten-Paare auf und bestätigt Speicherkanäle vor dem Einsatz.
- 2
Zustandsüberwachung
Dateiintegritätsprüfung und metadatenbasierte Überwachung melden Änderungen an Attributen, Zeitstempeln, Namen und Strömen ohne erkennbaren geschäftlichen Grund. Zufällig wirkende Namen deuten auf kodierte Daten hin.
- 3
Ausgangs- und Ratenbegrenzung
Die Begrenzung erreichbarer Dienste und Protokolle sowie Obergrenzen für Zustandsänderungen oder Übertragungen je Benutzer entfernt Sammelwege und begrenzt die Bandbreite.
Wo Sie anfangen sollten
Beginnen Sie bei den freigegebenen Ordnern und Wechselmedien, auf denen die schützenswertesten Daten liegen, und aktivieren Sie dann die Operationen, die ein Speicherkanal braucht: Anlegen, Umbenennen, Attributänderungen und Schreibvorgänge. Regeln, die gleichzeitig für alle Dateien gelten, blockieren am Ende die Arbeit und werden abgeschaltet.
Weiterlesen: Technisches Informationsleck: was ist das und wie schützt man sich davor?.
Ein Kanal, der keinen Inhalt zurücklässt, hinterlässt dennoch eine Spur im Zustand der Datei, und diese Spur kann eine Prüfung lesen.
Anexet TeamWie Anexet das löst
Anexet führt keine formale Analyse verdeckter Kanäle durch, und kein Endpoint-Produkt kann versprechen, jede versteckte Übertragung zu erkennen. Ein Kanal, der in den Interna von Protokollen verborgen liegt, gehört zur Netzwerk-Forensik. Anexet entfernt die Undurchsichtigkeit, auf die diese Kanäle dort bauen, wo sie den Endpoint am häufigsten berühren: den Dateizustand. Dateioperationen und Netzwerkfreigaben werden auditiert. Die Änderungen, die ein dateibasierter Speicherkanal braucht (eine Serie von Umbenennungen, eine Attributänderung, ein seltsamer Name), hinterlassen daher eine Spur, statt unbemerkt zu bleiben.
Der Endpoint-Agent auditiert Dateioperationen auf der Workstation und auf den Netzwerkfreigaben, mit denen sich ein Nutzer verbindet. Alles bleibt on-premise: Erfasste Ereignisse und Schattenkopien verbleiben in der eigenen Infrastruktur der Organisation.
Audit der Dateioperationen
Anlegen, Lesen, Schreiben, Löschen, Umbenennen, Ausführen und Berechtigungsänderungen werden mit Dateiname, Größe, Prozess, Nutzer und Zeitstempel protokolliert, die Fläche, auf der dateibasierte Speicherkanäle operieren.
Schattenkopien
wo der Inhalt zählt, wird eine Kopie der Datei aufbewahrt, sodass in Inhalt oder Strömen bereitgestellte Daten im Nachhinein untersucht werden können.
Sichtbarkeit von Netzwerkfreigaben
gemeinsame Ordner, der klassische Treffpunkt für Dead Drops, sind vom selben Audit abgedeckt, statt unbeobachtet zu bleiben.
Kanal- und Geräteeinschränkung
Kontrollen über Wechselmedien, Drucken und Übertragungen verengen die Routen, auf denen bereitgestellter Zustand das Haus verlassen kann.
Zurechenbarkeit
jedes erfasste Ereignis verknüpft die Änderung mit einem Nutzer, einem Host und einem Zeitpunkt und macht aus einer seltsamen Anomalie etwas, das ein Sicherheitsteam untersuchen kann.
Audit der Dateioperationen
Mehr erfahren