Καλυμμένο Κανάλι

Η έννοια χρονολογείται από τις αρχές της δεκαετίας του 1970, όταν έρευνες πάνω στο πρόβλημα του περιορισμού (confinement problem) έδειξαν ότι μια διεργασία μπορεί να διαρρεύσει πληροφορίες ακόμη κι όταν της απαγορεύεται η επικοινωνία. Ο Butler Lampson διατύπωσε το πρόβλημα το 1973 και, την ίδια χρονιά, ο C. Lamb περιέγραψε πώς οι κοινόχρηστοι πόροι ενός συστήματος μπορούν να αναλυθούν για αυτού του είδους τη διαρροή.

Μεταγενέστερα κριτήρια για αξιόπιστα συστήματα, ιδίως το αμερικανικό πρότυπο TCSEC, έκαναν τη μελέτη καλυμμένων καναλιών επίσημη απαίτηση για προϊόντα υψηλής διασφάλισης.

Αυτό που έχουν κοινό όλα τα καλυμμένα κανάλια είναι η κατάχρηση ενός πόρου για σκοπό που οι σχεδιαστές του δεν προέβλεψαν ποτέ. Ο πόρος είναι νόμιμος, όπως οι κεφαλίδες πακέτων, τα ρολόγια του συστήματος, οι ουρές εκτύπωσης ή η επίλυση ονομάτων, και συνεχίζει να εκτελεί την κανονική του λειτουργία ενώ μεταφέρει ένα κρυφό φορτίο. Επειδή η συμπεριφορά του φορέα είναι αναμενόμενη, η μεταφορά δεν τραβά την προσοχή, εκτός αν κάποιος την αναζητά συγκεκριμένα.

Η μηχανική ασφάλειας διαιρεί παραδοσιακά τα καλυμμένα κανάλια σε δύο κατηγορίες, ανάλογα με τον κοινόχρηστο πόρο που εκμεταλλεύονται.

Σε ένα καλυμμένο κανάλι αποθήκευσης, μια διεργασία γράφει σε μια θέση που διαβάζει μια άλλη, όπως το πεδίο αναγνωριστικού ενός πακέτου IP, το μήκος ενός ερωτήματος DNS, τα χαρακτηριστικά ενός αρχείου ή αχρησιμοποίητος χώρος σε κεφαλίδα πρωτοκόλλου. Κάθε γραμμένη κατάσταση κωδικοποιεί ένα ή περισσότερα bit.

Σε ένα καλυμμένο κανάλι χρονισμού, μια διεργασία διαμορφώνει πότε ή για πόσο χρόνο χρησιμοποιεί έναν κοινόχρηστο πόρο, όπως τα διαστήματα μεταξύ πακέτων, τα μοτίβα φόρτου του επεξεργαστή ή τη σειρά των γεγονότων. Ο παραλήπτης μετρά τον χρονισμό και αποκωδικοποιεί το μήνυμα. Τίποτα δεν γράφεται πουθενά.

Στην πράξη το όριο θολώνει: το μήκος ενός πακέτου θα μπορούσε να θεωρηθεί αποθήκευση και τα μοτίβα εκρήξεων χρονισμός. Η ταξινόμηση εξακολουθεί να καθορίζει πώς εντοπίζεται ένα κανάλι στην ανασκόπηση σχεδιασμού και πώς ανιχνεύεται στη λειτουργία. Τα κανάλια αποθήκευσης προσφέρουν μεγαλύτερη χωρητικότητα, ενώ τα κανάλια χρονισμού είναι πιο αργά, αλλά ακόμη δυσκολότερα διακριτά από την κανονική συμπεριφορά.

Τα πιο σημαντικά πραγματικά παραδείγματα επαναχρησιμοποιούν υποδομή που τα firewall σχεδόν ποτέ δεν μπλοκάρουν, επειδή η επίλυση ονομάτων και η βασική διάγνωση είναι απαραίτητες:

Για έναν κακόβουλο insider, τα καλυμμένα κανάλια λύνουν το κεντρικό πρόβλημα της κλοπής δεδομένων: τα τυπικά κανάλια παρακολουθούνται. Το email, οι μεταφορτώσεις στο διαδίκτυο, οι εφαρμογές άμεσων μηνυμάτων και τα αφαιρούμενα μέσα μπορούν να ελεγχθούν, οπότε ένας insider που εξάγει μια βάση πελατών χωρίς να γίνει αντιληπτός χρειάζεται μια διαδρομή που κανένας κανόνας ελέγχου δεν παρακολουθεί. Η σήραγγα μέσω DNS ή ICMP προσφέρει ακριβώς αυτό.

Τα καλυμμένα κανάλια εξυπηρετούν και εξωτερικούς επιτιθέμενους: η κίνηση εντολών και ελέγχου, οι ενημερώσεις κακόβουλου λογισμικού και η σταδιακή εξαγωγή δεδομένων μεταμφιέζονται συστηματικά σε επιτρεπόμενα πρωτόκολλα. Για τους αμυνόμενους το συμπέρασμα είναι δυσάρεστο: ένα καθαρό αρχείο καταγραφής των τυπικών καναλιών δεν αποδεικνύει ότι δεν διέρρευσαν δεδομένα, μόνο ότι δεν διέρρευσαν από τα κανάλια που παρακολουθούνται.

Οι agents του Anexet υποκλέπτουν την κίνηση σε επίπεδο πρωτοκόλλου, οπότε οι συνεδρίες HTTP, FTP, SMTP, IMAP και POP3 είναι ορατές στο τερματικό σημείο. Στην κονσόλα, κάθε πρωτόκολλο έχει τον δικό του διακόπτη και φίλτρο θυρών, ενώ τα στατιστικά δείχνουν τις υποκλεπτόμενες συνεδρίες TCP και τα πακέτα στον χρόνο. Σε συνδυασμό με την παρακολούθηση κίνησης ιστού και το σύστημα DLP του Anexet, το πλαίσιο περιήγησης συσχετίζεται με το περιεχόμενο κάθε μεταφοράς.

1 / 2

• 
• 

Ο εντοπισμός καλυμμένων καναλιών είναι δυσκολότερος από τον έλεγχο των τυπικών καναλιών, επειδή η δραστηριότητα του φορέα είναι νόμιμη. Η πλήρης εξάλειψη σπάνια είναι εφικτή. Ο ρεαλιστικός στόχος είναι να μειωθεί η χωρητικότητα του καλυμμένου καναλιού κάτω από όση χρειάζεται ένας επιτιθέμενος και να αυξηθούν οι πιθανότητες εντοπισμού μιας απόπειρας.

Τα πρακτικά προγράμματα συνδυάζουν τα επίπεδα του παρακάτω πίνακα:

Ξεκινήστε από τα κανάλια που η επιχείρηση αφήνει ανοιχτά από προεπιλογή, όπως το DNS και το εξερχόμενο ICMP, και προσθέστε έπειτα συμπεριφορικό πλαίσιο, ώστε η ασυνήθιστη χρήση τους να οδηγεί σε συγκεκριμένο χρήστη. Η ανάλυση καλυμμένων καναλιών ανήκει στην ανασκόπηση σχεδιασμού, ενώ η παρακολούθηση κρατά τις πιθανότητες με το μέρος των αμυνόμενων στη λειτουργία.

Περισσότερα: Τεχνική διαρροή πληροφοριών: τι είναι και πώς να προστατευτείτε;.