Analisi dei Canali Occulti

L'analisi dei canali nascosti individua, misura e limita i canali nascosti. Un canale nascosto è un percorso che usa risorse condivise, il comportamento di un protocollo o la temporizzazione per trasferire informazioni senza violare alcuna regola esplicita. La domanda chiave: i dati possono attraversare questo sistema in un modo che nessuno ha progettato e che nessuno sta osservando?

Il canale e la sua analisi sono cose diverse. Il canale è il fenomeno: il percorso nascosto in sé. L'analisi è il metodo applicato a quel percorso. Elenca dove le informazioni potrebbero fuoriuscire, stima la banda di ciascun percorso e porta i risultati a correzioni di progetto o al monitoraggio. Il canale è l'oggetto di studio. L'analisi è lo studio.

La tecnica di base è la Shared Resource Matrix, introdotta da Richard Kemmerer nel 1983. Si fonda su un'osservazione: un canale nascosto ha bisogno di una risorsa condivisa, come memoria, blocchi del disco, tempo di processore, un lock o un campo di intestazione, che un processo può modificare e un altro può osservare. Il metodo punta soprattutto sui canali di archiviazione nascosti, in cui un processo scrive un valore e un altro lo legge. Si articola in quattro fasi:

1. 1

   Enumerazione delle risorse

   Elencate ogni risorsa condivisa tra soggetti con livelli di fiducia diversi, con i suoi attributi e le operazioni che ciascun soggetto può eseguire.

2. 2

   Coppie di modifica e osservazione

   Per ogni attributo, registrate quali soggetti possono modificarlo e quali possono leggere o dedurre il cambiamento. È la condizione necessaria per un canale di archiviazione.

3. 3

   Tracciamento dei percorsi

   Seguite le coppie candidate che nessun meccanismo legittimo del progetto media, per confermare un flusso reale.

4. 4

   Stima della banda

   Calcolate la velocità di dati raggiungibile di ogni canale confermato. Un canale che perde pochi bit all'ora è una nota di documentazione. Uno che trasporta kilobyte è un difetto di progettazione da limitare.

Sulle reti in produzione il lavoro passa dai documenti di progetto al comportamento osservabile. L'analisi del traffico esamina flussi, temporizzazione, volumi e uso dei protocolli alla ricerca di segni che un canale legittimo trasporti un significato nascosto. Il rilevamento di anomalie aggiunge uno strato statistico: segnala deviazioni prolungate dal traffico e dall'attività normali degli utenti, con la stessa logica del rilevamento di anomalie comportamentali applicata al movimento dei dati. I canali nascosti imitano il traffico legittimo, quindi un solo evento raramente dimostra qualcosa. Uno schema persistente di volumi, destinazioni e orari segnala un percorso candidato. Segnali tipici:

• Anomalie di entropia: casualità nel contenuto o nei nomi di dominio ben oltre ciò che il protocollo produce normalmente.
• Regolarità temporale: intervalli tra le richieste simili a un metronomo, quando l'attività reale di persone o applicazioni sarebbe irregolare.
• Asimmetria di volume: richieste minime cui seguono risposte consistenti, o trasferimenti oltre qualsiasi uso autorizzato del canale.

Nella pratica ricorrono soprattutto tre contesti. Nei programmi di rischio interno l'obiettivo è individuare l'esfiltrazione di dati attraverso canali che sembrano approvati:

Anexet non esegue un'analisi formale dei canali nascosti, ma la sua console mostra la metà operativa del lavoro. La pagina Politiche di sicurezza elenca le regole statistiche accanto a quelle basate su thesauri e impronte digitali e conta gli incidenti per stato e per tipo di regola. Il pannello delle statistiche di rete mostra una breve raffica di pacchetti inviati su una linea di base piatta: il tipo di deviazione che le regole statistiche sono progettate per cogliere. Entrambe le viste alimentano il flusso di rilevamento delle minacce interne.

1 / 2

• 
• 

La completezza è fuori portata. Stabilire se un programma arbitrario può far trapelare informazioni è indecidibile nel caso generale, quindi ogni analisi reale è limitata alle risorse elencate e ai flussi osservati. Gli obiettivi onesti sono individuare i percorsi a banda più alta e riportarli a un livello accettabile tramite iniezione di rumore, limitazione della velocità o segmentazione. Ciascuna di queste misure scambia prestazioni con segretezza. I canali nascosti basati sulla temporizzazione sono i più difficili da delimitare, perché il loro segnale sta nel tempo e non nei dati.

La disciplina ha due metà. L'analisi formale è lavoro in fase di progettazione sulle componenti interne di un sistema. Il monitoraggio operativo è lavoro in esecuzione sul traffico e sull'attività reali, alla ricerca di dati che si muovono su percorsi non autorizzati. Poche organizzazioni hanno bisogno della prima. Quasi tutte traggono beneficio dalla seconda, perché tutte usano canali come email, web, archiviazione cloud e supporti rimovibili, che possono essere impiegati in modi non previsti.

Partite dai dati la cui fuga farebbe più danni, poi elencate i canali che usano davvero. Questo elenco è la base sia per la revisione di progetto sia per le regole di monitoraggio.

Affiancate la revisione in fase di progetto al monitoraggio in esecuzione e assegnate a ogni rilievo un responsabile e una scadenza. Un rapporto che nessuno applica non chiude alcun canale.

Per approfondire: Fuga tecnica di informazioni: cos'è e come proteggersi?.