O que é um canal encoberto
O conceito remonta ao início dos anos 1970, quando pesquisas sobre o problema do confinamento mostraram que um processo pode vazar informações mesmo quando está proibido de se comunicar. Butler Lampson formulou o problema em 1973, e no mesmo ano C. Lamb descreveu como os recursos compartilhados de um sistema podiam ser analisados justamente em busca desse tipo de vazamento.
Critérios posteriores para sistemas confiáveis, sobretudo o padrão americano TCSEC, transformaram a análise de canais encobertos em requisito formal para produtos de alta garantia.
Todo canal encoberto tem em comum o uso indevido de um recurso para uma finalidade que seus projetistas nunca pretenderam. O recurso é legítimo, como cabeçalhos de pacotes, relógios do sistema, filas de impressão ou resolução de nomes, e continua cumprindo sua função normal enquanto carrega uma carga oculta. Como o comportamento do portador é esperado, a transferência não chama atenção, a menos que alguém a procure de forma específica.
Canais de armazenamento vs. canais de temporização
A engenharia de segurança costuma dividir os canais encobertos em duas classes, conforme o recurso compartilhado que exploram.
No canal encoberto de armazenamento, um processo escreve em um local que outro lê, como o campo identificador de um pacote IP, o tamanho de uma consulta DNS, os atributos de um arquivo ou espaço não usado em um cabeçalho de protocolo. Cada estado gravado codifica um ou mais bits.
No canal encoberto de temporização, um processo modula quando ou por quanto tempo usa um recurso compartilhado, como os intervalos entre pacotes, os padrões de carga do processador ou a ordem dos eventos. O destinatário mede o tempo e decodifica a mensagem. Nada é gravado em lugar nenhum.
Na prática, a fronteira se confunde: o tamanho de um pacote pode ser visto como armazenamento, e padrões de rajadas como temporização. Ainda assim, a classificação define como um canal é encontrado na revisão de projeto e detectado em operação. Canais de armazenamento oferecem maior capacidade; os de temporização são mais lentos, mas ainda mais difíceis de distinguir do comportamento normal.
Tunelamento via DNS e ICMP
Os exemplos reais mais relevantes reaproveitam uma infraestrutura que firewalls quase nunca bloqueiam, porque a resolução de nomes e o diagnóstico básico são indispensáveis:
| Técnica | Recurso que reaproveita | Como oculta os dados |
|---|---|---|
| Tunelamento DNS | Consultas de resolução de nomes | Bytes codificados nos subdomínios de consultas ao servidor do atacante |
| Tunelamento ICMP | Pacotes de diagnóstico echo | Dados arbitrários no campo de carga útil de cada pacote echo |
| Manipulação de cabeçalhos | Campos dos cabeçalhos IP e TCP | Bits escondidos em números de sequência, flags ou bytes não usados |
| Modulação de temporização | Intervalos e rajadas de pacotes | Atrasos ou rajadas deliberados, detectáveis apenas estatisticamente |
Por que os canais encobertos importam para o risco interno
Para um insider malicioso, os canais encobertos resolvem o problema central do roubo de dados: os canais padrão são monitorados. E-mail, uploads na web, mensageiros e mídias removíveis podem ser inspecionados, então um insider que tira uma base de clientes sem ser notado precisa de um caminho que nenhuma regra de inspeção observa. O tunelamento por DNS ou ICMP oferece exatamente isso.
Canais encobertos também servem a atacantes externos: o tráfego de comando e controle, as atualizações de malware e a exfiltração de dados em etapas se disfarçam rotineiramente de protocolos permitidos. Para quem defende, a consequência é incômoda: um registro limpo dos canais padrão não prova que nenhum dado saiu, apenas que nenhum saiu pelos canais monitorados.
Monitorar os canais padrão mostra o que saiu por eles, mas não se mais alguma coisa saiu.
Como isso aparece na Anexet
Os agentes da Anexet interceptam o tráfego em nível de protocolo, então as sessões HTTP, FTP, SMTP, IMAP e POP3 ficam visíveis no endpoint. No console, cada protocolo tem sua chave e seu filtro de portas, e as estatísticas mostram as sessões TCP e os pacotes interceptados ao longo do tempo. Combine isso com o monitoramento de tráfego web e o sistema DLP da Anexet para ligar o contexto de navegação ao conteúdo de cada transferência.
1 / 2
Detecção e mitigação
Detectar canais encobertos é mais difícil do que vigiar canais padrão, porque a atividade do portador é legítima. A eliminação total raramente é possível. A meta realista é reduzir a capacidade do canal encoberto abaixo do que um atacante precisa e aumentar as chances de notar uma tentativa.
Os programas práticos combinam as camadas da tabela abaixo:
| Camada | O que faz | Quando se aplica |
|---|---|---|
| Análise em nível de projeto | Identifica possíveis canais encobertos em recursos compartilhados antes da implantação | Antes da implantação |
| Restrição de saída | Permite só os protocolos necessários e os servidores de nomes aprovados, e limita o ICMP de saída | Configuração de rede |
| Linha de base do tráfego e detecção de anomalias | Sinaliza rótulos de consulta longos, entropia incomum e volumes anômalos | Em operação |
| Limitação de taxa | Limita o volume de tráfego, tornando grandes exfiltrações impraticavelmente lentas | Em operação |
| Visibilidade no endpoint | Processos, conexões e atividade do usuário dão contexto às anomalias sutis | Em operação |
Por onde começar
Comece pelos canais que a empresa deixa abertos por padrão, como DNS e ICMP de saída, e depois acrescente contexto comportamental para que o uso incomum deles aponte para um usuário. A análise de canais encobertos pertence à revisão de projeto, e o monitoramento mantém as chances a favor de quem defende na operação.
Leitura adicional: Vazamento técnico de informações: o que é e como se proteger?.
Canais ocultos não podem ser descartados por completo, mas podem ser tornados lentos, caros e visíveis.
Anexet TeamComo a Anexet resolve isto
A Anexet não afirma detectar todo canal encoberto. A análise formal de canais encobertos é uma disciplina de nível de projeto, e canais de temporização ocultos não podem ser totalmente descartados por nenhum produto de monitoramento. O que a Anexet oferece é visibilidade no endpoint sobre os canais onde transferências ocultas costumam se esconder, para que atividades incomuns ali se tornem observáveis.
Os agentes de endpoint interceptam o tráfego de protocolos de rede (HTTP/HTTPS, FTP, SMTP, IMAP, POP3), registram a atividade web e os destinos de URL, e aplicam análise de conteúdo a tudo que passa pelos canais padrão. Dados sensíveis são capturados enquanto ainda estão em um caminho visível, antes de desaparecerem em um túnel. A arquitetura on-premise mantém o tráfego, o conteúdo e os registros dentro da própria infraestrutura da organização.
Interceptação de tráfego de rede
Os agentes interceptam o tráfego em nível de protocolo, incluindo HTTP/HTTPS, FTP, SMTP, IMAP e POP3. Um servidor opcional de tráfego de rede acrescenta a interceptação centralizada de tráfego espelhado, com filtros de IP e MAC.
Visibilidade da atividade na web
Destinos de URL, uploads e sessões de webmail são registrados no endpoint, exatamente o contexto em que as ferramentas de tunelamento por DNS e pela web precisam operar.
Análise de conteúdo
Tesauros de segurança (170 dicionários prontos), bancos de hash e impressões digitais identificam quando arquivos sensíveis são movidos ou transformados, sinalizando a preparação de uma exfiltração enquanto ela ainda usa um canal padrão.
Contexto comportamental
O monitoramento da atividade dos usuários e a pontuação de risco associam anomalias de rede ao usuário que as gerou. Tráfego externo incomum em horário incomum tem mais peso quando pode ser atribuído a alguém.
Monitoramento de tráfego web
Saiba mais