Qué es un canal encubierto de almacenamiento
Un canal encubierto de almacenamiento aparece cuando un recurso compartido transporta información que nunca debió transportar. El emisor cambia una característica observable del recurso y el receptor lee después ese valor. Este par modificar-observar es la condición que define el concepto: siempre que un sujeto pueda cambiar una propiedad de un objeto compartido y otro pueda notar el cambio, existe un canal encubierto de este tipo.
El concepto se remonta a las investigaciones sobre confinamiento de comienzos de los años setenta y se convirtió en tema de evaluación formal dentro de criterios para sistemas confiables, como el TCSEC de Estados Unidos. No se envía nada como dato. El mensaje existe solo como la secuencia de estados por la que pasa el objeto compartido, por eso revisar el tráfico no basta para revelarlo. Encontrar estos pares es el trabajo del análisis de canales encubiertos.
Dónde se esconden los datos: portadores típicos
Casi cualquier objeto compartido con un estado observable y escribible puede servir de portador. Los escondites clásicos:
| Portador | Qué se puede escribir | Por qué el control de contenido no lo ve |
|---|---|---|
| Nombres y extensiones de archivos | Bits codificados en una serie de nombres que varían en sus caracteres | El contenido del archivo no cambia y parece normal |
| Atributos y metadatos de archivos | Marcas de tiempo, banderas de oculto y solo lectura, propietario | Las herramientas de contenido no leen los atributos |
| Flujos de datos alternativos | Contenido oculto adjunto a un archivo en NTFS | Los listados habituales muestran solo el archivo principal |
| Campos de encabezado de protocolo | Identificador IP, números de secuencia TCP, valores de TTL | Los campos opcionales casi nunca se validan |
| Relleno y espacio no utilizado | Bytes sin uso en paquetes, espacio libre del disco, bits menos significativos de los medios | El portador visible parece sin cambios |
Canal de almacenamiento frente a canal temporal
Las dos clases se diferencian en lo que transporta la señal. Un canal de almacenamiento codifica información en el estado de un objeto: algo se escribe, persiste un momento y se lee después. Suele encontrarse con un análisis modificar-observar de los recursos compartidos. Un canal temporal encubierto codifica información en el momento en que ocurren los eventos y en lo que tardan. No escribe nada en ningún lado y se detecta con análisis estadístico de los tiempos.
En la práctica, el límite se difumina. La longitud de un paquete puede contar como almacenamiento, y un patrón de ráfagas puede contar como tiempo. Aun así, la distinción orienta la búsqueda: los canales de almacenamiento se buscan en el estado de los recursos compartidos, y los temporales en las estadísticas de comportamiento.
Canales encubiertos de almacenamiento en la práctica
Los incidentes y los prototipos de investigación muestran la variedad de portadores:
| Escenario | Cómo se mueven los datos |
|---|---|
| Buzón muerto en una carpeta compartida | Dos partes intercambian datos mediante nombres de archivo que ellas mismas crean |
| Esteganografía en encabezados | Los bits viven en campos opcionales de IP, TCP o ICMP que casi nunca se validan |
| Esteganografía en archivos multimedia | Los datos se ocultan en los bits menos significativos de imágenes, audio o video |
| Preparación mediante flujos | Los datos adjuntos por un flujo alternativo quedan ocultos en los listados |
Por qué los canales de almacenamiento importan para el riesgo interno
Para un insider malintencionado, el atractivo es que la actividad del portador parece legítima. Crear, renombrar y borrar archivos en una carpeta autorizada parece inocente. Cuando la información vive en nombres y atributos, la inspección de contenido no tiene nada que revisar. Lo mismo ocurre con la esteganografía: una imagen en un servicio aprobado es, para un control que no mira por dentro, solo una imagen.
Los canales de almacenamiento invierten la pregunta del monitoreo. Las defensas preguntan qué pasó por los canales autorizados. Un canal de almacenamiento pregunta en qué estado quedaron los objetos compartidos. Un registro de tráfico limpio solo demuestra que nada pasó por los canales vigilados, por eso la exfiltración de datos puede pasar una revisión basada solo en el tráfico.
Cómo se ve en Anexet
En la consola de Anexet, la auditoría de operaciones sobre archivos se configura por perfil de agente, con cada operación activada o desactivada. El panel de recursos compartidos de red suma a la auditoría las copias sombra y el control de escritura, de modo que una serie de renombrados o un archivo extraño en un recurso compartido deja registro. Esto forma parte del monitoreo de transferencias de archivos y recursos de red.
1 / 2
Detección y mitigación
Como el portador es un objeto legítimo que hace un trabajo legítimo, la detección no puede depender solo del bloqueo. La eliminación completa rara vez es alcanzable. La meta aceptada es llevar el ancho de banda del canal por debajo de lo que necesita un atacante y hacer observables los cambios de estado necesarios. Tres medidas lo logran, y la segunda se apoya en la verificación de integridad de archivos:
- 1
Análisis en el diseño
El análisis de recursos compartidos, con el método Shared Resource Matrix, enumera los pares modificar-observar y confirma los canales de almacenamiento antes del despliegue.
- 2
Monitoreo del estado
La verificación de integridad de archivos y el monitoreo con reconocimiento de metadatos señalan cambios en atributos, marcas de tiempo, nombres y flujos sin una razón de negocio. Los nombres con apariencia aleatoria sugieren datos codificados.
- 3
Límites de salida y de velocidad
Limitar los servicios y protocolos accesibles, y fijar un máximo de cambios de estado o transferencias por usuario, elimina las rutas de recolección y acota el ancho de banda.
Por dónde empezar
Empiece por las carpetas compartidas y los medios extraíbles donde están los datos más valiosos y, después, active las operaciones que necesita un canal de almacenamiento: creación, renombrado, cambios de atributos y escritura. Las políticas escritas para todos los archivos a la vez terminan bloqueando el trabajo y se desactivan.
Lectura recomendada: Fuga técnica de información: ¿qué es y cómo protegerse?.
Un canal que no deja contenido atrás sigue dejando un rastro en el estado del archivo, y ese rastro es lo que puede leer una auditoría.
Anexet TeamCómo lo resuelve Anexet
Anexet no realiza análisis formal de canales encubiertos, y ningún producto de endpoint puede prometer detectar cada transferencia oculta. Un canal enterrado en las entrañas de los protocolos corresponde al análisis forense de red. Lo que Anexet elimina es la opacidad en la que confían estos canales donde más suelen tocar el endpoint: el estado de los archivos. Las operaciones sobre archivos y recursos compartidos de red se auditan, así que los cambios que necesita un canal de almacenamiento basado en archivos (una ráfaga de renombrados, un cambio de atributo, un nombre extraño) dejan registro en lugar de pasar en silencio.
El agente de endpoint audita las operaciones sobre archivos en la estación de trabajo y en los recursos compartidos de red a los que se conecta el usuario. Todo permanece on-premise: los eventos capturados y las copias de sombra quedan dentro de la infraestructura de la propia organización.
Auditoría de operaciones de archivos
crear, leer, escribir, eliminar, renombrar, ejecutar y cambiar permisos se registran con nombre de archivo, tamaño, proceso, usuario y marca de tiempo, la superficie donde operan los canales de almacenamiento basados en archivos.
Copias de sombra
donde el contenido importa, se preserva una copia del archivo, de modo que los datos preparados dentro del contenido o de flujos pueden examinarse después de los hechos.
Visibilidad de recursos compartidos de red
las carpetas compartidas, el punto de encuentro clásico de los buzones muertos, quedan cubiertas por la misma auditoría en lugar de desatendidas.
Restricción de canales y dispositivos
los controles sobre dispositivos extraíbles, impresión y transferencias estrechan las rutas por las que el estado preparado puede salir.
Atribución
cada evento registrado vincula el cambio a un usuario, host y momento, convirtiendo una anomalía extraña en algo que un equipo de seguridad puede investigar.
Auditoría de operaciones de archivos
Más información