Che cos'è un canale occulto di archiviazione
Un canale occulto di archiviazione nasce quando una risorsa condivisa trasporta informazioni che non dovrebbe mai trasportare. Il mittente modifica una caratteristica osservabile della risorsa, e il destinatario la legge in seguito. Questa coppia modifica-osservazione è la condizione che definisce il concetto: ogni volta che un soggetto può cambiare una proprietà di un oggetto condiviso e un altro può accorgersi del cambiamento, esiste un canale occulto di questo tipo.
Il concetto risale alle ricerche sul confinamento dei primi anni settanta e, nei criteri per i sistemi fidati come il TCSEC statunitense, è diventato oggetto di valutazione formale. Non viene inviato alcun dato. Il messaggio esiste solo come sequenza degli stati attraversati dall'oggetto condiviso, per questo osservare il solo traffico non lo rivela. Il compito di individuare queste coppie spetta all'analisi dei canali occulti.
Dove si nascondono i dati: vettori tipici
Quasi ogni oggetto condiviso con uno stato osservabile e scrivibile può fare da vettore. I nascondigli classici:
| Vettore | Che cosa si può scrivere | Perché il controllo dei contenuti non lo vede |
|---|---|---|
| Nomi ed estensioni dei file | Bit codificati in una sequenza di nomi che variano nei caratteri | Il contenuto del file resta uguale e sembra normale |
| Attributi e metadati dei file | Marcature temporali, flag di nascosto e sola lettura, proprietario | Gli strumenti di controllo dei contenuti non leggono gli attributi |
| Flussi di dati alternativi | Contenuto nascosto allegato a un file su NTFS | Gli elenchi ordinari mostrano solo il file principale |
| Campi di intestazione dei protocolli | Identificatore IP, numeri di sequenza TCP, valori TTL | I campi opzionali vengono raramente convalidati |
| Riempimento e spazio inutilizzato | Byte non usati dei pacchetti, spazio residuo del disco, bit meno significativi dei supporti | Il vettore visibile appare invariato |
Canale di archiviazione contro canale temporale
Le due classi differiscono per ciò che porta il segnale. Un canale di archiviazione codifica l'informazione nello stato di un oggetto: qualcosa viene scritto, resta per un breve periodo e viene letto più tardi. Di solito si individua con un'analisi modifica-osservazione delle risorse condivise. Un canale temporale occulto codifica l'informazione in quando avvengono gli eventi e in quanto tempo durano. Non scrive nulla da nessuna parte e si individua con un'analisi statistica dei tempi.
Nella pratica il confine si sfuma. La lunghezza di un pacchetto può essere considerata archiviazione, e uno schema a raffiche può essere considerato tempo. La distinzione resta comunque utile per la ricerca: i canali di archiviazione si cercano nello stato delle risorse condivise, quelli temporali nelle statistiche di comportamento.
Canali occulti di archiviazione in pratica
Incidenti e prototipi di ricerca mostrano la varietà dei vettori:
| Scenario | Come si muovono i dati |
|---|---|
| Cassetta postale morta in una cartella condivisa | Due parti si scambiano dati tramite nomi di file che creano loro stesse |
| Steganografia negli header | I bit stanno in campi IP, TCP o ICMP opzionali, raramente convalidati |
| Steganografia nei file multimediali | I dati si nascondono nei bit meno significativi di immagini, audio o video |
| Staging tramite flusso | I dati allegati tramite un flusso alternativo restano nascosti agli elenchi |
Perché i canali di archiviazione contano per il rischio interno
Per un insider malintenzionato, il vantaggio è che l'attività del vettore appare legittima. Creare, rinominare ed eliminare file in una condivisione autorizzata sembra innocuo. Quando l'informazione vive in nomi e attributi, il controllo dei contenuti non ha nulla da esaminare. Lo stesso vale per la steganografia: un'immagine su un servizio approvato è, per un controllo che non guarda dentro, solo un'immagine.
I canali di archiviazione ribaltano la domanda del monitoraggio. Le difese chiedono che cosa sia passato attraverso i canali autorizzati. Un canale di archiviazione chiede in quale stato siano stati lasciati gli oggetti condivisi. Un registro del traffico pulito dimostra soltanto che nulla è passato dai canali controllati, ed è per questo che l'esfiltrazione dei dati può superare una verifica basata solo sul traffico.
Come appare in Anexet
Nella console di Anexet, l'audit delle operazioni sui file si configura per profilo di agente, con ogni operazione attivata o disattivata. Il pannello delle condivisioni di rete aggiunge all'audit le copie ombra e il controllo della scrittura, così una serie di rinominazioni o un file anomalo su una condivisione lascia una traccia. Questo fa parte del monitoraggio dei trasferimenti di file e delle condivisioni di rete.
1 / 2
Rilevamento e mitigazione
Poiché il vettore è un oggetto legittimo che svolge un lavoro legittimo, il rilevamento non può affidarsi solo al blocco. L'eliminazione completa è raramente ottenibile. L'obiettivo accettato è portare la banda del canale sotto ciò che serve a un attaccante e rendere osservabili i cambiamenti di stato necessari. Tre misure lo ottengono, e la seconda si basa sul controllo dell'integrità dei file:
- 1
Analisi in fase di progettazione
L'analisi delle risorse condivise, con il metodo Shared Resource Matrix, elenca le coppie modifica-osservazione e conferma i canali di archiviazione prima della messa in esercizio.
- 2
Monitoraggio dello stato
Il controllo dell'integrità dei file e il monitoraggio basato sui metadati segnalano modifiche ad attributi, marcature temporali, nomi e flussi senza una ragione di business. I nomi dall'aspetto casuale suggeriscono dati codificati.
- 3
Limiti di uscita e di frequenza
Limitare i servizi e i protocolli raggiungibili, e fissare un tetto alle modifiche di stato o ai trasferimenti per utente, elimina i percorsi di raccolta e contiene la banda.
Da dove iniziare
Partite dalle cartelle condivise e dai supporti rimovibili che contengono i dati più preziosi, poi attivate le operazioni di cui un canale di archiviazione ha bisogno: creazione, rinominazione, modifica degli attributi e scrittura. Le politiche scritte per tutti i file in una volta sola finiscono per bloccare il lavoro e vengono disattivate.
Per approfondire: Fuga tecnica di informazioni: cos'è e come proteggersi?.
Un canale che non lascia contenuti dietro di sé lascia comunque una traccia nello stato del file, ed è quella traccia che un audit può leggere.
Anexet TeamCome Anexet affronta questo
Anexet non esegue un'analisi formale dei canali occulti, e nessun prodotto endpoint può promettere di intercettare ogni trasferimento nascosto. Un canale sepolto nelle viscere dei protocolli appartiene alla network forensics. Ciò che Anexet elimina è l'oscurità su cui questi canali contano dove toccano più spesso l'endpoint: lo stato dei file. Le operazioni su file e condivisioni di rete vengono auditate, quindi le modifiche di cui ha bisogno un canale di archiviazione basato su file (una raffica di rinomine, un cambio di attributo, un nome strano) lasciano una traccia invece di passare inosservate.
L'agente endpoint audita le operazioni sui file della postazione di lavoro e sulle condivisioni di rete a cui l'utente si collega. Tutto resta on-premise: gli eventi catturati e le copie shadow restano nell'infrastruttura dell'organizzazione stessa.
Audit delle operazioni sui file
creazione, lettura, scrittura, eliminazione, rinomina, esecuzione e modifiche ai permessi vengono registrate con nome del file, dimensione, processo, utente e timestamp, la superficie dove operano i canali di archiviazione basati su file.
Copie shadow
dove il contenuto conta, una copia del file viene conservata, così i dati predisposti dentro il contenuto o i flussi possono essere esaminati a posteriori.
Visibilità delle condivisioni di rete
le cartelle condivise, il punto d'incontro classico delle consegne occulte, sono coperte dallo stesso audit invece di restare incustodite.
Restrizione di canali e dispositivi
i controlli su dispositivi rimovibili, stampa e trasferimenti restringono le vie da cui lo stato predisposto può uscire.
Attribuzione
ogni evento registrato lega il cambiamento a un utente, un host e un momento, trasformando un'anomalia strana in qualcosa che un team di sicurezza può investigare.
Audit delle operazioni sui file
Scopri di più