Detecci%C3%B3n_APT

Ilustración 89. Cabecera IP
Una de las técnicas que demuestran la posibilidad de crear un Covert Channel
consiste en utilizar el campo Identification de la cabecera (IPID) para transmitir
información.
Este campo de la cabecera tiene un tamaño de 16 bits y su uso para la
fragmentación y en el reensamblado posterior está bien definido. Por el contrario
cuando los paquetes no se fragmentan este campo se puede interpretar como se
considere. Es esta flexibilidad o indefinición del valor, cuando el paquete no va
fragmentado, lo que posibilita que este campo se pueda utilizar para realizar un
Covert Channel.
En el documento ‘Covert Data Storage Channel Using IP Packet’ 242 realizado por
Jonathan S. Thyer, se muestra una prueba de concepto con la herramienta
Subrosa 243 , donde se envían paquetes de conexión del protocolo TCP de tipo
TCP/SYN, desde el cliente al servidor. El servidor ante estos paquetes devuelve
paquetes de TCP/RST. En esa comunicación se aprecia como el campo
Identification (IPID) va variando y cómo se está transmitiendo el mensaje de
manera unidireccional. Un ejemplo de uso de este Covert Channel con la
herramienta Subrosa se expone a continuación.
242 Cover data storage channel ip packet headers
http://www.sans.org/reading_room/whitepapers/covert/covert-data-storage-channel-ip-packet-headers_2093
243 Packetheader
http://www.packetheader.net/
162