Analiza kanałów ukrytych

Analiza kanałów ukrytych wykrywa, mierzy i ogranicza kanały ukryte. Kanał ukryty to ścieżka, która wykorzystuje wspólne zasoby, zachowanie protokołu lub czas, by przenosić informacje bez łamania jakiejkolwiek jawnej reguły. Kluczowe pytanie brzmi: czy dane mogą przepłynąć przez ten system w sposób, którego nikt nie zaprojektował i którego nikt nie obserwuje?

Kanał i jego analiza to dwie różne rzeczy. Kanał to zjawisko: sama ukryta ścieżka. Analiza to metoda zastosowana do tej ścieżki. Wskazuje miejsca, przez które informacja mogłaby wyciekać, szacuje przepustowość każdej ścieżki i przekazuje wyniki do poprawek projektowych lub monitoringu. Kanał jest przedmiotem badania. Analiza jest samym badaniem.

Podstawową techniką jest Shared Resource Matrix, wprowadzona przez Richarda Kemmerera w 1983 roku. Opiera się na jednej obserwacji. Kanał ukryty potrzebuje wspólnego zasobu, takiego jak pamięć, bloki dysku, czas procesora, blokada czy pole nagłówka, który jeden proces może zmienić, a drugi zaobserwować. Metoda jest ukierunkowana przede wszystkim na kanały ukryte oparte na pamięci, w których jeden proces zapisuje wartość, a drugi ją odczytuje. Składa się z czterech etapów:

1. 1

   Wyliczenie zasobów

   Wypisz każdy zasób współdzielony między podmiotami o różnych poziomach zaufania, wraz z jego atrybutami i operacjami, jakie może wykonać każdy podmiot.

2. 2

   Pary modyfikacja i obserwacja

   Dla każdego atrybutu zapisz, które podmioty mogą go zmienić, a które mogą odczytać lub wywnioskować zmianę. To warunek wstępny kanału pamięciowego.

3. 3

   Śledzenie ścieżek

   Prześledź kandydackie pary, których żaden legalny mechanizm projektu nie pośredniczy, aby potwierdzić rzeczywisty przepływ.

4. 4

   Oszacowanie przepustowości

   Oszacuj osiągalną szybkość transmisji każdego potwierdzonego kanału. Kanał przekazujący kilka bitów na godzinę to notatka dokumentacyjna. Kanał przenoszący kilobajty to wada projektu do ograniczenia.

W sieciach produkcyjnych praca przesuwa się z dokumentów projektowych na zaobserwowane zachowanie. Analiza ruchu bada przepływy, czas, wolumen i użycie protokołów pod kątem oznak, że uprawniony kanał przenosi ukryty sens. Wykrywanie anomalii dodaje warstwę statystyczną. Oznacza trwałe odchylenia od normalnego ruchu i aktywności użytkowników, czyli tę samą logikę co wykrywanie anomalii zachowań, zastosowaną do przepływu danych. Kanały ukryte naśladują uprawniony ruch, więc pojedyncze zdarzenie rzadko cokolwiek dowodzi. Trwały wzorzec wolumenów, miejsc docelowych i harmonogramów wskazuje kandydacką ścieżkę. Typowe sygnały:

• Anomalie entropii: losowość w ładunku lub nazwach domen znacznie wyższa niż ta, którą zwykle generuje protokół.
• Regularność czasu: odstępy między żądaniami jak metronom, podczas gdy prawdziwa aktywność człowieka lub aplikacji byłaby nieregularna.
• Asymetria wolumenu: minimalne żądania, na które odpowiada znaczna odpowiedź, lub transfery wykraczające poza dozwolone użycie kanału.

W praktyce najczęściej spotyka się trzy sytuacje. W programach zarządzania ryzykiem wewnętrznym chodzi o eksfiltrację danych przez kanały, które wyglądają na zatwierdzone:

Anexet nie prowadzi formalnej analizy kanałów ukrytych, ale jego konsola pokazuje operacyjną połowę tej pracy. Strona Polityki bezpieczeństwa wymienia reguły statystyczne obok reguł opartych na tezaurusach i odciskach palca oraz zlicza incydenty według statusu i typu reguły. Panel statystyk ruchu sieciowego pokazuje krótki wybuch wysłanych pakietów na płaskim tle: takie odchylenie mają wykrywać reguły statystyczne. Oba widoki zasilają przepływ pracy wykrywania zagrożeń wewnętrznych.

1 / 2

• 
• 

Pełność jest poza zasięgiem. To, czy dowolny program może wyciekać informacje, jest w ogólnym przypadku nierozstrzygalne, więc każda realna analiza ogranicza się do wyliczonych zasobów i zaobserwowanych przepływów. Uczciwe cele to znalezienie ścieżek o najwyższej przepustowości i sprowadzenie ich do akceptowalnego poziomu przez zakłócanie szumem, ograniczanie szybkości lub segmentację. Każde z tych działań wymienia wydajność na tajność. Kanały ukryte oparte na czasie są najtrudniejsze do ograniczenia, bo ich sygnał tkwi w czasie, a nie w danych.

Dyscyplina ma dwie połowy. Analiza formalna to praca na etapie projektowania, na wnętrzu systemu. Monitoring operacyjny to praca w czasie działania, na rzeczywistym ruchu i aktywności, wyszukująca dane poruszające się ścieżkami, których nikt nie zatwierdził. Niewiele organizacji potrzebuje pierwszej. Prawie każda korzysta z drugiej, bo wszyscy używają kanałów takich jak poczta, sieć, chmura i nośniki wymienne, które można wykorzystać nie w tym celu, do którego powstały.

Zacznij od danych, których wyciek bolałby najbardziej, a potem wypisz kanały, którymi naprawdę się przemieszczają. Ta lista jest podstawą zarówno przeglądu projektu, jak i reguł monitoringu.

Połącz przegląd na etapie projektowania z monitoringiem w czasie działania i przypisz każdemu ustaleniu właściciela oraz termin. Raport, według którego nikt nie działa, nie zamyka żadnego kanału.

Czytaj dalej: Techniczny wyciek informacji: czym jest i jak się chronić?.