Detecci%C3%B3n_APT

Ilustración 92. Cabecera TCP
Una de las técnicas que demuestran esta posibilidad consiste en utilizar el campo
“Número de secuencia” (TCP ISN) de la cabecera.
Tal y como describió Rowland en su artículo ‘Covert Channels in the TCP/IP
Protocol Suite’ 245 es posible utilizar el número de secuencia inicial para transmitir
información de manera encubierta. Para ello describe diferentes métodos, como
puede ser generar el campo TCP ISN a partir del código ASCII del carácter que
queremos transmitir. El receptor recibirá un paquete TCP SYN y recogerá la
información enviada desde el origen.
Otro método descrito en el artículo de Rowland se corresponde con ‘The TCP
Acknowledge Sequence Number Field Bounc’. Este método consiste en enviar
también información en el número de secuencia inicial, pero esta vez utilizando un
servidor intermedio. Para ello lo que se hace es poner como dirección de origen el
servidor con el que se quiere comunicar y como destino el que va a hacer de
intermediario. Se envía un TCP SYN hacia el intermediario y éste responde con un
TCP/SYN ACK o TCP/RST con el número de secuencia más uno a la dirección IP que
viene forjada en el paquete y que será el receptor del mensaje. Para ver el
mensaje solo tiene que restar uno al número de secuencia y ya dispondrá del
código ASCII transmitido.
Estos son algunos de los ejemplos de cómo es posible manipular la cabecera TCP
para extraer información. A continuación se muestra un ejemplo donde un equipo
245 Covert Channel in the TCP/IP Protocol Suite
http://firstmonday.org/htbin/cgiwrap/bin/ojs/index.php/fm/article/view/528/449
165