Detecci%C3%B3n_APT

Para detectar anomalías en el tráfico de red es necesario en primera instancia
definir unos indicadores y crear una base de información inicial del
comportamiento de ese protocolo y sus características en nuestra red, a partir de
la cual se pueda determinar qué es anómalo y qué no lo es. Los siguientes
indicadores estadísticos pueden ayudar a nuestra organización para la
identificación de un Covert Channel:
Medir la cantidad de paquetes en nuestra organización y definir unos
umbrales de alerta que puedan llevar al descubrimiento de un Covert
Channel. Por ejemplo, un aumento considerable y repentino de paquetes
ICMP en nuestra red de repente requiere una investigación para determinar
el origen de esta anomalía; pero para detectar esto es necesario conocer a
priori cual es la gráfica de paquetes ICMP habitual en nuestra organización.
Tal como estamos comentando sobre el protocolo ICMP, aplica para el resto
de protocolos; número de peticiones DNS, número de peticiones HTTP, etc.
Para la detección de Covert Channels en tráfico Web, en el año 2004, Kevin
258 Webtap
Borders y Atul Prakash definieron Webtap 258 que consiste en una serie de
indicadores, que permitan crearse un perfil base del protocolo HTTP y
alertar cuando algo no cumpla ese perfil:
o Tamaño habitual de las peticiones. Por regla general las peticiones
suelen tener un tamaño aproximado o un orden de magnitud similar,
por lo que detectar cambios en este tamaño debe considerarse una
anomalía y por tanto investigarlo. En el caso de HTTP el tamaño no es
muy grande por lo que ver peticiones HTTP muy grandes se considera
según Webtap como un indicador de anomalía.
o Rango horario de las peticiones. Una práctica habitual de los Covert
Channel es aprovechar rangos horarios donde no existe personal
examinando los sensores.
o Volumen de tráfico. El volumen de tráfico puede ser un indicador de
filtraciones de información hacia el exterior realizadas por un Covert
Channel.
http://www.gray-world.net/es/papers/Webtap.pdf
174