Ce qu'est un canal caché de stockage
Un canal caché de stockage apparaît lorsqu'une ressource partagée transporte une information qu'elle n'était pas censée transporter. L'émetteur modifie une caractéristique observable de la ressource, et le récepteur lit ensuite cette caractéristique. Ce couple modification-observation est la condition qui définit le concept : dès qu'un sujet peut changer une propriété d'un objet partagé et qu'un autre peut remarquer ce changement, un canal caché de ce type existe.
Le concept remonte aux travaux sur le confinement du début des années 1970 et est devenu un sujet d'évaluation formelle dans les critères des systèmes de confiance, comme le TCSEC américain. Rien n'est envoyé sous forme de données. Le message n'existe que comme la suite des états par lesquels passe l'objet partagé, ce qui explique que la seule surveillance du trafic ne le révèle pas. La recherche de ces couples relève de l'analyse des canaux cachés.
Où se cachent les données : porteurs typiques
Presque tout objet partagé dont l'état est observable et modifiable peut servir de porteur. Les cachettes classiques :
| Porteur | Ce qui peut être écrit | Pourquoi le contrôle du contenu le manque |
|---|---|---|
| Noms et extensions de fichiers | Bits codés dans une suite de noms qui varient par leurs caractères | Le contenu du fichier reste identique et paraît ordinaire |
| Attributs et métadonnées de fichiers | Horodatages, indicateurs cachée et lecture seule, propriétaire | Les outils de contenu ne lisent pas les attributs |
| Flux de données alternatifs | Contenu caché attaché à un fichier sous NTFS | Les listes ordinaires n'affichent que le fichier principal |
| Champs d'en-tête de protocole | Identifiant IP, numéros de séquence TCP, valeurs TTL | Les champs optionnels sont rarement validés |
| Bourrage et espace inutilisé | Octets inutilisés des paquets, espace résiduel du disque, bits les moins significatifs des supports | Le porteur visible semble inchangé |
Canal de stockage ou canal temporel
Les deux classes diffèrent par ce qui porte le signal. Un canal de stockage code l'information dans l'état d'un objet : quelque chose est écrit, persiste brièvement puis est lu plus tard. On le trouve généralement par une analyse modification-observation des ressources partagées. Un canal temporel caché code l'information dans le moment où surviennent les événements et dans leur durée. Il n'écrit rien nulle part et se détecte par une analyse statistique des temps.
En pratique, la frontière se brouille. La longueur d'un paquet peut compter comme stockage, et un motif de rafales comme temps. La distinction guide néanmoins la recherche : on cherche les canaux de stockage dans l'état des ressources partagées, et les canaux temporels dans les statistiques de comportement.
Canaux cachés de stockage en pratique
Les incidents et les prototypes de recherche montrent l'étendue des porteurs :
| Scénario | Comment les données circulent |
|---|---|
| Boîte aux lettres morte dans un dossier partagé | Deux parties échangent des données par les noms de fichiers qu'elles créent |
| Stéganographie dans les en-têtes | Les bits se logent dans des champs IP, TCP ou ICMP optionnels, rarement validés |
| Stéganographie dans les fichiers multimédias | Les données se cachent dans les bits les moins significatifs d'images, de sons ou de vidéos |
| Mise en attente par flux | Les données attachées par un flux alternatif restent masquées dans les listes |
Pourquoi les canaux de stockage comptent pour le risque interne
Pour un initié malveillant, l'attrait tient à ce que l'activité du porteur paraît légitime. Créer, renommer et supprimer des fichiers sur un partage autorisé semble anodin. Quand l'information réside dans des noms et des attributs, le contrôle du contenu n'a rien à inspecter. Il en va de même pour la stéganographie : une image sur un service approuvé n'est, pour un contrôle qui ne regarde pas à l'intérieur, qu'une image.
Les canaux de stockage renversent la question de la surveillance. Les défenses demandent ce qui a transité par les canaux autorisés. Un canal de stockage demande dans quel état les objets partagés ont été laissés. Un journal de trafic propre prouve seulement que rien n'a transité par les canaux surveillés, c'est pourquoi l'exfiltration de données peut passer un examen fondé sur le seul trafic.
À quoi cela ressemble dans Anexet
Dans la console Anexet, l'audit des opérations sur les fichiers se configure par profil d'agent, chaque opération étant activée ou désactivée. Le panneau des partages réseau ajoute à cet audit les copies fantômes et le contrôle d'écriture, de sorte qu'une série de renommages ou un fichier inhabituel sur un partage laisse une trace. Cela fait partie de la surveillance des transferts de fichiers et des partages réseau.
1 / 2
Détection et atténuation
Comme le porteur est un objet légitime qui accomplit un travail légitime, la détection ne peut pas reposer sur le seul blocage. La suppression complète est rarement possible. L'objectif retenu consiste à ramener la bande passante du canal sous ce dont un attaquant a besoin, et à rendre observables les changements d'état nécessaires. Trois mesures y parviennent, dont la deuxième s'appuie sur la vérification de l'intégrité des fichiers :
- 1
Analyse à la conception
L'analyse des ressources partagées, selon la méthode Shared Resource Matrix, recense les couples modification-observation et confirme les canaux de stockage avant le déploiement.
- 2
Surveillance de l'état
La vérification de l'intégrité des fichiers et la surveillance fondée sur les métadonnées signalent les changements d'attributs, d'horodatages, de noms et de flux sans raison métier. Des noms d'aspect aléatoire suggèrent des données encodées.
- 3
Limites de sortie et de débit
Restreindre les services et protocoles accessibles, et plafonner les changements d'état ou les transferts par utilisateur, supprime les chemins de collecte et borne la bande passante.
Par où commencer
Commencez par les dossiers partagés et les supports amovibles qui contiennent les données les plus précieuses, puis activez les opérations dont un canal de stockage a besoin : création, renommage, modification d'attributs et écriture. Les politiques écrites pour tous les fichiers à la fois finissent par bloquer le travail et sont désactivées.
Pour aller plus loin : Fuite technique d'informations : de quoi s'agit-il et comment s'en protéger ?.
Un canal qui ne laisse aucun contenu derrière lui laisse tout de même une trace dans l'état du fichier, et c'est cette trace qu'un audit peut lire.
Anexet TeamComment Anexet traite ce sujet
Anexet ne réalise pas d'analyse formelle des canaux cachés, et aucun produit endpoint ne peut garantir de détecter chaque transfert caché. Un canal enfoui dans les entrailles des protocoles relève de la forensique réseau. Ce qu'Anexet supprime, c'est l'obscurité sur laquelle ces canaux reposent là où ils touchent le plus souvent l'endpoint : l'état des fichiers. Les opérations sur les fichiers et les partages réseau sont auditées, si bien que les changements dont a besoin un canal de stockage fondé sur des fichiers (une salve de renommages, un changement d'attribut, un nom étrange) laissent une trace au lieu de passer inaperçus.
L'agent endpoint audite les opérations sur les fichiers du poste de travail et des partages réseau auxquels l'utilisateur se connecte. Tout reste on-premise : les événements capturés et les copies fantômes demeurent dans l'infrastructure de l'organisation elle-même.
Audit des opérations sur fichiers
création, lecture, écriture, suppression, renommage, exécution et changements de permissions sont journalisés avec nom de fichier, taille, processus, utilisateur et horodatage, la surface où opèrent les canaux de stockage fondés sur des fichiers.
Copies fantômes
là où le contenu compte, une copie du fichier est conservée, si bien que les données préparées dans le contenu ou dans des flux peuvent être examinées après coup.
Visibilité des partages réseau
les dossiers partagés, le point de rencontre classique des boîtes aux lettres mortes, sont couverts par le même audit plutôt que laissés sans surveillance.
Restriction des canaux et des périphériques
les contrôles sur les périphériques amovibles, l'impression et les transferts réduisent les routes par lesquelles l'état préparé peut sortir.
Attribution
chaque événement enregistré relie le changement à un utilisateur, un hôte et un instant, transformant une anomalie étrange en un élément qu'une équipe de sécurité peut examiner.
Audit des opérations sur fichiers
En savoir plus