Análise de Canais Encobertos

A análise de canais encobertos encontra, mede e limita canais encobertos. Um canal encoberto é um caminho que usa recursos compartilhados, comportamento de protocolo ou tempo para mover informações sem violar nenhuma regra explícita. A pergunta central: os dados podem atravessar este sistema de uma forma que ninguém projetou e que ninguém está observando?

O canal e a sua análise são coisas diferentes. O canal é o fenômeno: o próprio caminho oculto. A análise é o método aplicado a ele. Ela lista onde as informações poderiam vazar, estima a largura de banda de cada caminho e leva os resultados a correções de projeto ou ao monitoramento. O canal é o objeto de estudo. A análise é o estudo.

A técnica fundamental é a Shared Resource Matrix, apresentada por Richard Kemmerer em 1983. Ela se apoia em uma observação. Um canal encoberto precisa de um recurso compartilhado, como memória, blocos de disco, tempo de processador, um lock ou um campo de cabeçalho, que um processo pode alterar e outro pode observar. O método se dirige principalmente aos canais de armazenamento encobertos, nos quais um processo grava um valor e outro o lê. Ele tem quatro etapas:

1. 1

   Enumeração de recursos

   Liste cada recurso compartilhado entre sujeitos de níveis de confiança diferentes, com seus atributos e as operações que cada sujeito pode executar.

2. 2

   Pares de modificação e observação

   Para cada atributo, registre quais sujeitos podem alterá-lo e quais podem ler ou inferir a mudança. Essa é a pré-condição de um canal de armazenamento.

3. 3

   Rastreamento de caminhos

   Acompanhe os pares candidatos que nenhum mecanismo legítimo do projeto intermedeia, para confirmar um fluxo real.

4. 4

   Estimativa de largura de banda

   Estime a taxa de dados alcançável de cada canal confirmado. Um canal que vaza alguns bits por hora é uma observação de documentação. Um que transporta kilobytes é uma falha de projeto a limitar.

Em redes em produção, o trabalho passa dos documentos de projeto para o comportamento observável. A análise de tráfego examina fluxos, tempo, volume e uso de protocolos em busca de sinais de que um canal legítimo carrega significado oculto. A detecção de anomalias acrescenta uma camada estatística. Ela sinaliza desvios persistentes do tráfego e da atividade de usuários normais, a mesma lógica da detecção de anomalias comportamentais aplicada à movimentação de dados. Canais encobertos imitam tráfego legítimo, então um único evento raramente prova algo. Um padrão persistente de volumes, destinos e horários marca um caminho candidato. Sinais típicos:

• Anomalias de entropia: aleatoriedade no conteúdo ou nos nomes de domínio muito acima do que o protocolo normalmente produz.
• Regularidade de tempo: intervalos entre requisições semelhantes a um metrônomo, quando a atividade real de pessoas ou aplicações seria irregular.
• Assimetria de volume: requisições mínimas respondidas com respostas substanciais, ou transferências além de qualquer uso autorizado do canal.

Três cenários aparecem com mais frequência na prática. Em programas de risco interno, a preocupação é a exfiltração de dados por canais que parecem aprovados:

O Anexet não faz análise formal de canais encobertos, mas sua console mostra a metade operacional do trabalho. A página de políticas de segurança lista regras estatísticas ao lado de regras baseadas em tesauros e impressões digitais e conta incidentes por status e por tipo de regra. O painel de estatísticas de rede mostra uma rajada curta de pacotes enviados sobre uma base plana: o tipo de desvio que as regras estatísticas foram feitas para detectar. As duas visões alimentam o fluxo de detecção de ameaças internas.

1 / 2

• 
• 

A completude está fora de alcance. Saber se um programa arbitrário pode vazar informações é indecidível no caso geral, então toda análise real fica limitada aos recursos enumerados e aos fluxos observados. Os objetivos honestos são encontrar os caminhos de maior largura de banda e reduzi-los a um nível aceitável, por meio de injeção de ruído, limitação de taxa ou segmentação. Cada uma dessas medidas troca desempenho por sigilo. Os canais encobertos de tempo são os mais difíceis de limitar, porque o sinal está no tempo, e não nos dados.

A disciplina tem duas metades. A análise formal é trabalho em tempo de projeto sobre os componentes internos de um sistema. O monitoramento operacional é trabalho em tempo de execução sobre tráfego e atividade reais, em busca de dados que se movem por caminhos não autorizados. Poucas organizações precisam da primeira. Quase todas se beneficiam da segunda, porque todas usam canais como e-mail, web, armazenamento em nuvem e mídias removíveis, que podem ser usados de formas não previstas.

Comece pelos dados cujo vazamento causaria mais dano e depois liste os canais que eles realmente usam. Essa lista é a base tanto da revisão de projeto quanto das regras de monitoramento.

Combine a revisão em tempo de projeto com o monitoramento em tempo de execução e atribua a cada achado um responsável e um prazo. Um relatório que ninguém segue não fecha nenhum canal.

Leitura adicional: Vazamento técnico de informações: o que é e como se proteger?.