Скрытые каналы - невидимый враг вашей сети 👋 Приветствую в мире цифровой безопасности! Если обычные утечки ищутся в содержимом пакетов, здесь всё уходит в сторону, данные прячутся не в payload, а в самом поведении сети. ⏺Передача без данных: В скрытом канале никто не «кладёт» секрет в пакет напрямую. Он кодируется в том, как идёт трафик - размеры пакетов, порядок, частота. Для системы это обычный HTTP или DNS, для принимающей стороны - уже битовый поток. ⏺Поля протоколов: Служебные значения часто никто не анализирует глубоко. IP ID, TTL, TCP options можно использовать как примитивное хранилище. Пакеты остаются валидными, поэтому спокойно проходят фильтры. ⏺Работа через время: Тайминги - один из самых практичных вариантов. Небольшие задержки между запросами превращаются в код. Снаружи это выглядит как нестабильная сеть или обычные «паузы» клиента. ⏺Кодирование через статистику: Более тихий вариант ф не отдельные пакеты, а распределение. Например, изменение частоты DNS-запросов или размеров ответов. В моменте всё ок, но на дистанции видно, что паттерн управляемый. ⏺Почему это не ловится «в лоб»: DPI и классические фильтры проверяют структуру и сигнатуры. Здесь нет ни того, ни другого, протокол не нарушен, данные легитимные. Отклонение только в метриках, которые обычно не триггерят алерты. ⏺ А где применяется: Такие каналы используют для передачи ключей, команд, телеметрии с имплантов. Плюс можно работать поверх уже разрешённых сервисов и не поднимать отдельный подозрительный трафик. ⏺Современные реализации: Сейчас каналы маскируются под поведение пользователя. Добавляются случайные задержки, смешивание с обычной активностью, имитация браузера. Поток выглядит «живым», а не машинным. ⏺Где это реально палится: Сигнатур тут нет, поэтому смотрят на аномалии. Повторяющиеся тайминги, странно ровные распределения, долгие сессии с маленьким, но стабильным трафиком. Без нормальной базы «как должно быть» такие вещи легко пропустить. Zeroday - https://max.ru/cybersec_academy