Ukryty kanał magazynowania

Ukryty kanał magazynowania powstaje, gdy wspólny zasób przenosi informację, której nie miał przenosić. Nadawca zmienia obserwowalną cechę zasobu, a odbiorca odczytuje ją z powrotem. Ta para modyfikacja-obserwacja jest warunkiem koniecznym: wszędzie tam, gdzie jeden podmiot może zmienić cechę wspólnego obiektu, a inny ją zauważyć, istnieje ukryty kanał tego typu.

Pojęcie sięga badań nad izolacją z wczesnych lat siedemdziesiątych i stało się tematem formalnej oceny w kryteriach systemów zaufanych, takich jak amerykański TCSEC. Nic nie jest wysyłane jako dane. Wiadomość istnieje wyłącznie jako ciąg stanów, przez które przechodzi wspólny obiekt, dlatego sama analiza ruchu jej nie ujawnia. Wyszukiwaniem takich par zajmuje się analiza ukrytych kanałów.

Prawie każdy wspólny obiekt z obserwowalnym, zapisywalnym stanem może służyć jako nośnik. Klasyczne miejsca ukrycia:

Obie klasy różnią się tym, co niesie sygnał. Kanał magazynowania koduje informację w stanie obiektu: coś zostaje zapisane, na krótko się utrzymuje i zostaje odczytane później. Zwykle wykrywa się go analizą modyfikacja-obserwacja wspólnych zasobów. Kanał czasowy koduje informację w tym, kiedy zdarzenia zachodzą i jak długo trwają. Nigdzie nic nie zapisuje, a wykrywa się go statystyczną analizą czasu.

W praktyce granica się zaciera. Długość pakietu może zostać potraktowana jak magazynowanie, a wzorzec serii jak czas. Podział nadal wskazuje kierunek poszukiwań: kanały magazynowania szuka się w stanie wspólnych zasobów, a kanały czasowe w statystyce zachowań.

Incydenty i prototypy badawcze pokazują zakres nośników:

Dla złośliwego pracownika atrakcyjne jest to, że działania nośnika wyglądają na uprawnione. Tworzenie, zmiana nazw i usuwanie plików na autoryzowanym udziale wydaje się niewinne. Gdy informacja żyje w nazwach i atrybutach, kontrola treści nie ma czego sprawdzać. To samo dotyczy steganografii: obraz w zatwierdzonej usłudze jest dla kontroli, która nie zagląda do środka, zwykłym obrazem.

Kanały magazynowania odwracają pytanie monitoringu. Obrona pyta, co przeszło przez dozwolone kanały. Kanał magazynowania pyta, w jakim stanie zostawiono wspólne obiekty. Czysty dziennik ruchu dowodzi tylko tego, że nic nie przeszło przez obserwowane kanały, dlatego eksfiltracja danych może przejść przegląd oparty wyłącznie na ruchu.

W konsoli Anexet audyt operacji na plikach ustawia się osobno dla każdego profilu agenta, włączając lub wyłączając każdą operację. Panel udziałów sieciowych dokłada do audytu kopie cieniowe i kontrolę zapisu, więc seria zmian nazw albo dziwny plik na udziale zostawia ślad. To część monitorowania przesyłania plików i udziałów sieciowych.

1 / 2

• 
• 

Ponieważ nośnik jest prawidłowym obiektem wykonującym prawidłową pracę, wykrywanie nie może opierać się wyłącznie na blokowaniu. Całkowite wyeliminowanie jest rzadko osiągalne. Przyjętym celem jest obniżenie przepustowości kanału poniżej tego, czego potrzebuje atakujący, oraz uczynienie koniecznych zmian stanu widocznymi. Trzy środki to zapewniają, a drugi opiera się na kontroli integralności plików:

1. 1

   Analiza na etapie projektowania

   Analiza wspólnych zasobów metodą Shared Resource Matrix wypisuje pary modyfikacja-obserwacja i potwierdza kanały magazynowania przed wdrożeniem.

2. 2

   Monitoring stanu

   Kontrola integralności plików i monitoring świadomy metadanych zgłaszają zmiany atrybutów, znaczników czasu, nazw i strumieni bez uzasadnienia biznesowego. Losowo wyglądające nazwy sugerują zakodowane dane.

3. 3

   Limity wyjścia i szybkości

   Ograniczenie dostępnych usług i protokołów oraz limity zmian stanu lub transferów na użytkownika usuwają ścieżki zbierania danych i ograniczają przepustowość.

Zacznij od udziałów i nośników wymiennych, na których leżą dane najbardziej warte ochrony, a potem włącz operacje, których potrzebuje kanał magazynowania: tworzenie, zmiany nazw, zmiany atrybutów i zapisy. Polityki pisane dla wszystkich plików naraz kończą blokowaniem pracy i zostają wyłączone.

Czytaj dalej: Techniczny wyciek informacji: czym jest i jak się chronić?.