Qué es un canal encubierto
El concepto se remonta a principios de los años 70, cuando la investigación sobre el problema del confinamiento demostró que un proceso puede filtrar información aunque tenga prohibido comunicarse. Butler Lampson planteó el problema en 1973 y, ese mismo año, C. Lamb describió cómo podían analizarse los recursos compartidos de un sistema para detectar justamente este tipo de fuga.
Criterios posteriores para sistemas confiables, en especial el estándar estadounidense TCSEC, convirtieron el análisis de canales encubiertos en un requisito formal para los productos de alta garantía.
Todos los canales encubiertos comparten el uso indebido de un recurso con un fin que sus diseñadores nunca previeron. El recurso es legítimo, como las cabeceras de paquetes, los relojes del sistema, las colas de impresión o la resolución de nombres, y sigue cumpliendo su función normal mientras transporta una carga oculta. Como el comportamiento del portador es el esperado, la transferencia no llama la atención salvo que alguien la busque de forma específica.
Canales de almacenamiento frente a canales de temporización
La ingeniería de seguridad suele dividir los canales encubiertos en dos clases, según el recurso compartido que aprovechan.
En un canal encubierto de almacenamiento, un proceso escribe en un lugar que otro lee, como el campo identificador de un paquete IP, la longitud de una consulta DNS, los atributos de un archivo o espacio sin uso en una cabecera de protocolo. Cada estado escrito codifica uno o más bits.
En un canal encubierto de temporización, un proceso modula cuándo o durante cuánto tiempo usa un recurso compartido, como los intervalos entre paquetes, los patrones de carga del procesador o el orden de los eventos. El receptor mide el tiempo y decodifica el mensaje. No se escribe nada en ningún sitio.
En la práctica, el límite se difumina: la longitud de un paquete podría considerarse almacenamiento, y los patrones de ráfagas, temporización. Aun así, la clasificación determina cómo se localiza un canal en la revisión de diseño y cómo se detecta en operación. Los canales de almacenamiento ofrecen más capacidad; los de temporización son más lentos, pero todavía más difíciles de distinguir del comportamiento normal.
Tunelización por DNS e ICMP
Los ejemplos reales más relevantes reutilizan infraestructura que los cortafuegos casi nunca bloquean, porque la resolución de nombres y el diagnóstico básico son imprescindibles:
| Técnica | Recurso que reutiliza | Cómo oculta los datos |
|---|---|---|
| Tunelización DNS | Consultas de resolución de nombres | Bytes codificados en subdominios de consultas a un servidor del atacante |
| Tunelización ICMP | Paquetes de diagnóstico echo | Datos arbitrarios en la carga útil de cada paquete echo |
| Manipulación de cabeceras | Campos de las cabeceras IP y TCP | Bits ocultos en números de secuencia, flags o bytes sin uso |
| Modulación de temporización | Intervalos y ráfagas de paquetes | Retrasos o ráfagas deliberados, detectables solo estadísticamente |
Por qué los canales encubiertos importan para el riesgo interno
Para un insider malicioso, los canales encubiertos resuelven el problema central del robo de datos: los canales estándar están vigilados. El correo electrónico, las subidas a la web, la mensajería y los medios extraíbles pueden inspeccionarse, así que un insider que saca una base de datos de clientes sin ser detectado necesita un camino que ninguna regla de inspección vigile. La tunelización por DNS o ICMP ofrece exactamente eso.
Los canales encubiertos también sirven a atacantes externos: el tráfico de comando y control, las actualizaciones de malware y la exfiltración de datos por etapas se disfrazan habitualmente de protocolos permitidos. Para quien defiende, la consecuencia es incómoda: un registro limpio de los canales estándar no demuestra que no haya salido ningún dato, solo que ninguno salió por los canales vigilados.
Vigilar los canales estándar muestra lo que salió por ellos, pero no si salió algo más.
Cómo se ve en Anexet
Los agentes de Anexet interceptan el tráfico a nivel de protocolo, así que las sesiones HTTP, FTP, SMTP, IMAP y POP3 son visibles en el endpoint. En la consola, cada protocolo tiene su propio interruptor y su filtro de puertos, y las estadísticas muestran las sesiones TCP y los paquetes interceptados a lo largo del tiempo. Junto con el monitoreo del tráfico web y el sistema DLP de Anexet, permite relacionar el contexto de navegación con el contenido de cada transferencia.
1 / 2
Detección y mitigación
Detectar canales encubiertos es más difícil que vigilar los canales estándar, porque la actividad del portador es legítima. La eliminación total rara vez es posible. La meta realista es reducir la capacidad del canal encubierto por debajo de lo que necesita un atacante y aumentar las probabilidades de notar un intento.
Los programas prácticos combinan las capas de la tabla siguiente:
| Capa | Qué hace | Cuándo aplica |
|---|---|---|
| Análisis a nivel de diseño | Identifica posibles canales encubiertos en recursos compartidos antes del despliegue | Antes del despliegue |
| Restricción de salida | Permite solo los protocolos necesarios y servidores de nombres aprobados, y limita el ICMP saliente | Configuración de red |
| Línea base de tráfico y detección de anomalías | Marca etiquetas de consulta largas, entropía inusual y volúmenes anómalos | En operación |
| Limitación de tasa | Acota el volumen de tráfico, haciendo impracticable una exfiltración grande | En operación |
| Visibilidad en el endpoint | Procesos, conexiones y actividad del usuario dan contexto a las anomalías sutiles | En operación |
Por dónde empezar
Empieza por los canales que la empresa deja abiertos por defecto, como el DNS y el ICMP saliente, y luego añade contexto conductual para que el uso inusual de esos canales apunte a un usuario. El análisis de canales encubiertos pertenece a la revisión de diseño, y el monitoreo mantiene las probabilidades del lado de quien defiende en operación.
Lectura recomendada: Fuga técnica de información: ¿qué es y cómo protegerse?.
Los canales ocultos no pueden descartarse por completo, pero sí hacerse lentos, costosos y visibles.
Anexet TeamCómo lo resuelve Anexet
Anexet no afirma detectar todos los canales encubiertos. El análisis formal de canales encubiertos es una disciplina de diseño, y ningún producto de monitoreo puede descartar por completo los canales de temporización ocultos. Lo que ofrece Anexet es visibilidad en el endpoint sobre los canales donde suelen incrustarse las transferencias ocultas, de modo que la actividad inusual sea observable allí.
Los agentes de endpoint interceptan el tráfico de protocolos de red (HTTP/HTTPS, FTP, SMTP, IMAP, POP3), registran la actividad web y los destinos de URL, y aplican análisis de contenido a todo lo que circula por los canales estándar. Los datos sensibles se capturan mientras todavía están en una ruta visible, antes de desaparecer en un túnel. La arquitectura on-premise mantiene el tráfico, el contenido y los registros dentro de la propia infraestructura de la organización.
Intercepción de tráfico de red
Los agentes interceptan el tráfico a nivel de protocolo, incluidos HTTP/HTTPS, FTP, SMTP, IMAP y POP3. Un servidor opcional de tráfico de red añade la interceptación centralizada del tráfico espejado, con filtros de IP y MAC.
Visibilidad de la actividad web
Los destinos de URL, las subidas de archivos y las sesiones de webmail se registran en el endpoint, justo el contexto en el que deben operar las herramientas de tunelización por DNS y por web.
Análisis de contenido
Tesauros de seguridad (170 diccionarios listos para usar), bancos de hashes y huellas digitales detectan cuándo se mueven o transforman archivos sensibles, y señalan la preparación de una exfiltración mientras aún usa un canal estándar.
Contexto conductual
La monitorización de la actividad de los usuarios y la puntuación de riesgo relacionan las anomalías de red con quien las produjo. El tráfico externo inusual a una hora inusual pesa más cuando puede atribuirse a alguien.
Monitoreo del tráfico web
Más información