O que é um canal oculto de armazenamento
Um canal oculto de armazenamento surge quando um recurso compartilhado transporta informações que nunca deveria transportar. O remetente altera uma característica observável do recurso, e o destinatário lê essa característica depois. Este par modificar-observar é a condição que define o conceito: sempre que um sujeito pode mudar uma propriedade de um objeto compartilhado e outro pode notar a mudança, existe um canal oculto desse tipo.
O conceito remonta às pesquisas de confinamento do início dos anos 1970 e tornou-se tema de avaliação formal em critérios de sistemas confiáveis, como o TCSEC dos EUA. Nada é enviado como dado. A mensagem existe apenas como a sequência de estados pelos quais passa o objeto compartilhado, por isso observar o tráfego sozinho não a revela. A tarefa de encontrar esses pares cabe à análise de canais ocultos.
Onde os dados se escondem: portadores típicos
Quase qualquer objeto compartilhado com estado observável e gravável pode servir de portador. Os esconderijos clássicos:
| Portador | O que pode ser gravado | Por que a verificação de conteúdo não o percebe |
|---|---|---|
| Nomes e extensões de arquivos | Bits codificados em uma sequência de nomes que variam nos caracteres | O conteúdo do arquivo permanece igual e parece comum |
| Atributos e metadados de arquivos | Carimbos de data e hora, sinalizadores de oculto e somente leitura, proprietário | Ferramentas de conteúdo não leem atributos |
| Fluxos de dados alternativos | Conteúdo oculto anexado a um arquivo no NTFS | Listagens comuns mostram apenas o arquivo principal |
| Campos de cabeçalho de protocolo | Identificador IP, números de sequência TCP, valores de TTL | Campos opcionais raramente são validados |
| Preenchimento e espaço não utilizado | Bytes não usados de pacotes, espaço livre do disco, bits menos significativos de mídias | O portador visível parece inalterado |
Canal de armazenamento versus canal temporal
As duas classes diferem em quem carrega o sinal. Um canal de armazenamento codifica a informação no estado de um objeto: algo é gravado, persiste por um breve período e é lido depois. Costuma ser encontrado por análise modificar-observar de recursos compartilhados. Um canal temporal oculto codifica a informação em quando os eventos ocorrem e em quanto tempo levam. Ele não grava nada em lugar algum e é encontrado por análise estatística de tempo.
Na prática, a fronteira se confunde. O tamanho de um pacote pode contar como armazenamento, e um padrão de rajadas pode contar como tempo. A divisão ainda orienta a busca: canais de armazenamento são procurados no estado de recursos compartilhados, e canais temporais nas estatísticas de comportamento.
Canais ocultos de armazenamento na prática
Incidentes e protótipos de pesquisa mostram a variedade de portadores:
| Cenário | Como os dados se movem |
|---|---|
| Ponto de troca em pasta compartilhada | Duas partes trocam dados por meio de nomes de arquivos que elas mesmas criam |
| Esteganografia em cabeçalhos | Bits ficam em campos opcionais, raramente validados, de IP, TCP ou ICMP |
| Esteganografia em arquivos de mídia | Os dados se escondem nos bits menos significativos de imagens, áudio ou vídeo |
| Preparação em fluxo | Dados anexados por um fluxo alternativo ficam ocultos das listagens |
Por que canais de armazenamento importam para o risco interno
Para um insider mal-intencionado, o atrativo é que a atividade do portador parece legítima. Criar, renomear e apagar arquivos em uma pasta autorizada parece inocente. Quando a informação está em nomes e atributos, a inspeção de conteúdo não tem o que examinar. O mesmo vale para a esteganografia: uma imagem em um serviço aprovado é, para um controle que não olha por dentro, apenas uma imagem.
Os canais de armazenamento invertem a pergunta do monitoramento. As defesas perguntam o que passou pelos canais autorizados. Um canal de armazenamento pergunta em que estado os objetos compartilhados foram deixados. Um registro de tráfego limpo prova apenas que nada passou pelos canais observados, por isso a exfiltração de dados pode passar por uma revisão baseada apenas em tráfego.
Como isso aparece no Anexet
No console do Anexet, a auditoria de operações com arquivos é configurada por perfil de agente, com cada operação ligada ou desligada. O painel de compartilhamentos de rede acrescenta à auditoria as cópias de sombra e o controle de gravação, de modo que uma sequência de renomeações ou um arquivo estranho em um compartilhamento deixa registro. Isso faz parte do monitoramento de transferência de arquivos e compartilhamentos de rede.
1 / 2
Detecção e mitigação
Como o portador é um objeto legítimo fazendo trabalho legítimo, a detecção não pode depender apenas de bloqueio. A eliminação completa raramente é possível. A meta aceita é levar a largura de banda do canal abaixo do que o atacante precisa e tornar observáveis as mudanças de estado necessárias. Três medidas fazem isso, e a segunda depende da verificação de integridade de arquivos:
- 1
Análise em tempo de projeto
A análise de recursos compartilhados, com o método Shared Resource Matrix, lista os pares modificar-observar e confirma os canais de armazenamento antes da implantação.
- 2
Monitoramento de estado
A verificação de integridade de arquivos e o monitoramento com base em metadados sinalizam mudanças de atributos, carimbos de data e hora, nomes e fluxos sem motivo de negócio. Nomes com aparência aleatória sugerem dados codificados.
- 3
Limites de saída e de taxa
Limitar os serviços e protocolos acessíveis, e restringir mudanças de estado ou transferências por usuário, elimina os caminhos de coleta e limita a largura de banda.
Por onde começar
Comece pelas pastas compartilhadas e pelas mídias removíveis que guardam os dados mais valiosos e, depois, ative as operações de que um canal de armazenamento precisa: criação, renomeação, alteração de atributos e gravação. Políticas escritas para todos os arquivos de uma vez acabam bloqueando o trabalho e são desligadas.
Leitura adicional: Vazamento técnico de informações: o que é e como se proteger?.
Um canal que não deixa conteúdo para trás ainda deixa um rastro no estado do arquivo, e esse rastro é o que uma auditoria pode ler.
Anexet TeamComo a Anexet resolve isto
O Anexet não realiza análise formal de canais ocultos, e nenhum produto de endpoint pode prometer detectar toda transferência oculta. Um canal enterrado nas entranhas dos protocolos pertence à análise forense de rede. O que o Anexet reduz é a obscuridade da qual esses canais dependem onde tocam o endpoint: o estado dos arquivos. Operações em arquivos e compartilhamentos de rede são auditadas, então as mudanças que um canal de armazenamento baseado em arquivos precisa (uma rajada de renomeações, uma alteração de atributo, um nome estranho) deixam registro em vez de passar em silêncio.
O agente de endpoint audita operações de arquivos na estação de trabalho e nos compartilhamentos de rede aos quais o usuário se conecta. Tudo permanece on-premise: os eventos capturados e as cópias de sombra ficam dentro da infraestrutura da própria organização.
Auditoria de operações de arquivos
criar, ler, gravar, excluir, renomear, executar e alterar permissões são registrados com nome do arquivo, tamanho, processo, usuário e carimbo de data e hora, a superfície onde canais de armazenamento baseados em arquivos operam.
Cópias de sombra
onde o conteúdo importa, uma cópia do arquivo é preservada, então dados preparados dentro do conteúdo ou de fluxos podem ser examinados depois do fato.
Visibilidade de compartilhamentos de rede
pastas compartilhadas, o ponto de encontro clássico de entregas secretas, são cobertas pela mesma auditoria em vez de ficarem sem vigilância.
Restrição de canais e dispositivos
controles sobre dispositivos removíveis, impressão e transferências estreitam as rotas pelas quais o estado preparado pode sair.
Atribuição
cada evento registrado amarra a mudança a um usuário, host e momento, transformando uma anomalia estranha em algo que uma equipe de segurança pode investigar.
Auditoria de operações de arquivos
Saiba mais