Análisis de Canales Encubiertos

El análisis de canales encubiertos encuentra, mide y limita los canales encubiertos. Un canal encubierto es una ruta que usa recursos compartidos, el comportamiento de un protocolo o el tiempo para mover información sin romper ninguna regla explícita. La pregunta clave: ¿pueden los datos viajar por este sistema de una forma que nadie diseñó y que nadie está vigilando?

El canal y su análisis son cosas distintas. El canal es el fenómeno: la ruta oculta en sí. El análisis es el método que se aplica sobre ella. Enumera dónde podría filtrarse la información, estima el ancho de banda de cada ruta y lleva los resultados a correcciones de diseño o a monitoreo. El canal es el objeto de estudio. El análisis es el estudio.

La técnica fundamental es la Shared Resource Matrix, introducida por Richard Kemmerer en 1983. Se basa en una observación. Un canal encubierto necesita un recurso compartido, como memoria, bloques de disco, tiempo de procesador, un bloqueo o un campo de encabezado, que un proceso puede modificar y otro puede observar. El método apunta sobre todo a los canales de almacenamiento encubiertos, donde un proceso escribe un valor y otro lo lee. Se ejecuta en cuatro etapas:

1. 1

   Enumeración de recursos

   Enumera cada recurso compartido entre sujetos de distinto nivel de confianza, con sus atributos y las operaciones que puede realizar cada sujeto.

2. 2

   Pares de modificación y observación

   Para cada atributo, registra qué sujetos pueden cambiarlo y cuáles pueden leer o inferir el cambio. Es la condición previa de un canal de almacenamiento.

3. 3

   Trazado de rutas

   Sigue los pares candidatos que ningún mecanismo legítimo del diseño media, para confirmar un flujo real.

4. 4

   Estimación de ancho de banda

   Calcula la tasa de datos alcanzable de cada canal confirmado. Un canal que filtra unos pocos bits por hora es una nota de documentación. Uno que transporta kilobytes es un defecto de diseño que hay que limitar.

En las redes en producción, el trabajo pasa de los documentos de diseño al comportamiento observable. El análisis de tráfico examina flujos, tiempos, volúmenes y uso de protocolos en busca de señales de que un canal legítimo transporta un significado oculto. La detección de anomalías añade una capa estadística: marca desviaciones sostenidas respecto del tráfico y la actividad de usuario normales, la misma lógica de la detección de anomalías de comportamiento aplicada al movimiento de datos. Los canales encubiertos imitan el tráfico legítimo, así que un solo evento rara vez prueba algo. Un patrón persistente de volúmenes, destinos y horarios marca una ruta candidata. Señales típicas:

• Anomalías de entropía: aleatoriedad en el contenido o en los nombres de dominio muy por encima de lo que el protocolo produce normalmente.
• Regularidad temporal: intervalos entre solicitudes como un metrónomo, cuando la actividad real de personas o aplicaciones sería irregular.
• Asimetría de volumen: solicitudes mínimas que reciben respuestas considerables, o transferencias que exceden cualquier uso autorizado del canal.

Tres escenarios aparecen con más frecuencia en la práctica. En los programas de riesgo interno, la preocupación es la exfiltración de datos por canales que parecen aprobados:

Anexet no realiza análisis formal de canales encubiertos, pero su consola muestra la mitad operativa del trabajo. La página de políticas de seguridad enumera las reglas estadísticas junto con las de tesauros y huellas digitales, y cuenta los incidentes por estado y por tipo de regla. El panel de estadísticas de red muestra una ráfaga corta de paquetes enviados sobre una línea base plana: el tipo de desviación que las reglas estadísticas están diseñadas para detectar. Ambas vistas alimentan el flujo de detección de amenazas internas.

1 / 2

• 
• 

La completitud está fuera de alcance. Determinar si un programa arbitrario puede filtrar información es indecidible en el caso general, así que todo análisis real se limita a los recursos enumerados y a los flujos observados. Los objetivos honestos son encontrar las rutas de mayor ancho de banda y reducirlas a un nivel aceptable mediante inyección de ruido, limitación de tasa o segmentación. Cada una de esas medidas cambia rendimiento por secreto. Los canales encubiertos de temporización son los más difíciles de acotar, porque su señal está en el tiempo y no en los datos.

La disciplina tiene dos mitades. El análisis formal es trabajo de diseño sobre los componentes internos de un sistema. El monitoreo operativo es trabajo en tiempo de ejecución sobre el tráfico y la actividad reales, buscando datos que se mueven por rutas no autorizadas. Pocas organizaciones necesitan la primera. Casi todas se benefician de la segunda, porque todas usan canales como correo, web, almacenamiento en la nube y medios extraíbles, que pueden emplearse de formas no previstas.

Empieza por los datos cuya filtración causaría más daño y luego enumera los canales que realmente usan. Esa lista es la base tanto de la revisión de diseño como de las reglas de monitoreo.

Combina la revisión en tiempo de diseño con el monitoreo en tiempo de ejecución y asigna a cada hallazgo un responsable y una fecha límite. Un informe que nadie aplica no cierra ningún canal.

Lectura recomendada: Fuga técnica de información: ¿qué es y cómo protegerse?.