قسمت دوم از مقاله قبل
خروج پنهانی داده: گیت‌وی PGW، بر اساس اطلاعات APN که در زمینه ارتباطی (Context) این تونل تعریف شده، ترافیک را به سمت اینترنت و نهایتاً سرور مهاجم مسیریابی می‌کند. این فرآیند از دید شبکه کاملاً یک عملیات استاندارد است.
این حمله به دلیل ماهیت Living off the Land- یعنی استفاده از پروتکل‌ها و ابزارهای موجود در خود شبکه - بسیار پنهانکار و کشف آن با روش‌های سنتی تقریباً غیرممکن است.
۳. راهکار کشف با استفاده از Zeek و تحلیل رفتاری
برای مقابله با چنین تهدیدی، نیازمند راهکاری هستیم که قادر به درک “رفتار” ترافیک باشد، نه فقط “محتوای” آن. چارچوب تحلیل شبکه Zeek ابزاری ایده‌آل برای این منظور است.
مراحل پیاده‌سازی راهکار:
استقرار سنسور Zeek: یک سنسور Zeek برای نظارت بر ترافیک در رابط‌های کلیدی هسته شبکه، به ویژه بین SGW و PGW، مستقر می‌شود. Zeek به صورت بومی پروتکل GTP را تحلیل (Parse) کرده و لاگ‌های دقیقی از تمام فعالیت‌های GTP-C و GTP-U تولید می‌کند (gtp.log, gtp_tunnels.log).
پروفایل‌سازی و ایجاد خط پایه (Baselining):
در یک بازه زمانی مشخص (مثلاً چند هفته)، لاگ‌های Zeek برای یادگیری رفتار “نرمال” شبکه تحلیل می‌شوند. اسکریپت‌های سفارشی Zeek برای استخراج و agregasi ویژگی‌های آماری زیر نوشته می‌شوند:
توزیع اندازه Payload: در حالت عادی، اندازه Payload بسته‌های GTP-U از یک توزیع مشخص پیروی می‌کند (مثلاً تعداد زیادی بسته کوچک برای وب‌گردی و DNS، و بسته‌های بزرگتر برای دانلود فایل یا ویدیو).
نرخ بسته‌ها بر اساس TEID: هر تونل (کاربر) الگوی ترافیکی خاص خود را دارد.
آنتروپی Payload: آنتروپی داده‌های عادی (مانند متن یا ترافیک وب) معمولاً در یک محدوده مشخص قرار دارد. داده‌های بسیار فشرده یا رمزگذاری شده آنتروپی بالاتری دارند.
طول عمر و حجم کل تونل‌ها: تونل‌ها معمولاً برای یک جلسه کاری کاربر فعال هستند و حجم مشخصی از داده را منتقل می‌کنند.
توسعه منطق کشف ناهنجاری (Anomaly Detection):
پس از ایجاد خط پایه، اسکریپت‌های Zeek برای شناسایی انحرافات از این رفتار نرمال توسعه می‌یابند. این اسکریپت‌ها به دنبال الگوهای مشکوک زیر هستند:
ناهنجاری در اندازه بسته: مشاهده تعداد زیادی بسته با اندازه Payload ثابت و بزرگ که با الگوهای عادی مطابقت ندارد. این می‌تواند نشانه انتقال یک فایل بزرگِ تکه‌تکه شده باشد.
ناهنجاری در نرخ ترافیک: یک تونل خاص که به طور ناگهانی شروع به ارسال داده با نرخ ثابت و بالا می‌کند، بدون آنکه درخواست متناظری از سوی کاربر وجود داشته باشد.
ناهنجاری در آنتروپی: مشاهده بسته‌هایی که Payload آن‌ها دارای آنتروپی بسیار بالا (نزدیک به حداکثر) است. این امر می‌تواند نشان‌دهنده خروج داده‌های از پیش فشرده یا رمزگذاری‌شده باشد.
رفتار غیرمعمول تونل: ایجاد تونلی که برای مدت بسیار طولانی فعال باقی می‌ماند و حجم عظیمی از داده را فقط در یک جهت (Uplink) ارسال می‌کند.
با ترکیب این هشدارها، سیستم می‌تواند با اطمینان بالایی یک فعالیت خروج داده را شناسایی کرده و به تیم مرکز عملیات امنیت (SOC) اطلاع‌رسانی کند.
۴. امکان‌سنجی حمله در شبکه‌های TDD-LTE و FDD-LTE
یک سوال مهم این است که آیا این حمله در انواع مختلف پیاده‌سازی LTE قابل اجراست یا خیر.
Frequency Division Duplex (FDD-LTE):
از دو باند فرکانسی مجزا برای ارسال (Uplink) و دریافت (Downlink) استفاده می‌کند.
Time Division Duplex (TDD-LTE):
از یک باند فرکانسی واحد استفاده کرده و با تخصیص بازه‌های زمانی (Time Slots) متفاوت، ترافیک ارسال و دریافت را مدیریت می‌کند.
نکته کلیدی این است که تفاوت بین FDD و TDD صرفاً در لایه فیزیکی (Physical Layer) شبکه است. معماری هسته شبکه (EPC) و پروتکل‌های لایه‌های بالاتر، از جمله GTP، در هر دو نوع شبکه یکسان هستند. تونل‌های GTP-U بین SGW و PGW فارغ از اینکه داده‌ها چگونه در لایه رادیویی منتقل می‌شوند، به همان شکل ایجاد و مدیریت می‌شوند.
بنابراین، حمله توصیف‌شده به طور کامل در هر دو نوع شبکه LTE (اعم از FDD و TDD) قابل پیاده‌سازی و اجرا است. راهکار دفاعی مبتنی بر تحلیل ترافیک GTP نیز برای هر دو شبکه به یک اندازه کارآمد و قابل استفاده است.
#آکادمی_روزبه
مرکز تخصصی CISSP
خروج پنهانی داده: گیت‌وی PGW، بر اساس اطلاعات APN که در زمینه ارتباطی (Context) این تونل تعریف شده، ترافیک را به سمت اینترنت و نهایتاً سرور مهاجم مسیریابی می‌کند. این فرآیند از دید شبکه کاملاً یک عملیات استاندارد است.
این حمله به دلیل ماهیت Living off the Land- یعنی استفاده از پروتکل‌ها و ابزارهای موجود در خود شبکه - بسیار پنهانکار و کشف آن با روش‌های سنتی تقریباً غیرممکن است.
۳. راهکار کشف با استفاده از Zeek و تحلیل رفتاری
برای مقابله با چنین تهدیدی، نیازمند راهکاری هستیم که قادر به درک “رفتار” ترافیک باشد، نه فقط “محتوای” آن. چارچوب تحلیل شبکه Zeek ابزاری ایده‌آل برای این منظور است.
مراحل پیاده‌سازی راهکار:
استقرار سنسور Zeek: یک سنسور Zeek برای نظارت بر ترافیک در رابط‌های کلیدی هسته شبکه، به ویژه بین SGW و PGW، مستقر می‌شود. Zeek به صورت بومی پروتکل GTP را تحلیل (Parse) کرده و لاگ‌های دقیقی از تمام فعالیت‌های GTP-C و GTP-U تولید می‌کند (gtp.log, gtp_tunnels.log).
پروفایل‌سازی و ایجاد خط پایه (Baselining):
در یک بازه زمانی مشخص (مثلاً چند هفته)، لاگ‌های Zeek برای یادگیری رفتار “نرمال” شبکه تحلیل می‌شوند. اسکریپت‌های سفارشی Zeek برای استخراج و agregasi ویژگی‌های آماری زیر نوشته می‌شوند:
توزیع اندازه Payload: در حالت عادی، اندازه Payload بسته‌های GTP-U از یک توزیع مشخص پیروی می‌کند (مثلاً تعداد زیادی بسته کوچک برای وب‌گردی و DNS، و بسته‌های بزرگتر برای دانلود فایل یا ویدیو).
نرخ بسته‌ها بر اساس TEID: هر تونل (کاربر) الگوی ترافیکی خاص خود را دارد.
آنتروپی Payload: آنتروپی داده‌های عادی (مانند متن یا ترافیک وب) معمولاً در یک محدوده مشخص قرار دارد. داده‌های بسیار فشرده یا رمزگذاری شده آنتروپی بالاتری دارند.
طول عمر و حجم کل تونل‌ها: تونل‌ها معمولاً برای یک جلسه کاری کاربر فعال هستند و حجم مشخصی از داده را منتقل می‌کنند.
توسعه منطق کشف ناهنجاری (Anomaly Detection):
پس از ایجاد خط پایه، اسکریپت‌های Zeek برای شناسایی انحرافات از این رفتار نرمال توسعه می‌یابند. این اسکریپت‌ها به دنبال الگوهای مشکوک زیر هستند:
ناهنجاری در اندازه بسته: مشاهده تعداد زیادی بسته با اندازه Payload ثابت و بزرگ که با الگوهای عادی مطابقت ندارد. این می‌تواند نشانه انتقال یک فایل بزرگِ تکه‌تکه شده باشد.
ناهنجاری در نرخ ترافیک: یک تونل خاص که به طور ناگهانی شروع به ارسال داده با نرخ ثابت و بالا می‌کند، بدون آنکه درخواست متناظری از سوی کاربر وجود داشته باشد.
ناهنجاری در آنتروپی: مشاهده بسته‌هایی که Payload آن‌ها دارای آنتروپی بسیار بالا (نزدیک به حداکثر) است. این امر می‌تواند نشان‌دهنده خروج داده‌های از پیش فشرده یا رمزگذاری‌شده باشد.
رفتار غیرمعمول تونل: ایجاد تونلی که برای مدت بسیار طولانی فعال باقی می‌ماند و حجم عظیمی از داده را فقط در یک جهت (Uplink) ارسال می‌کند.
با ترکیب این هشدارها، سیستم می‌تواند با اطمینان بالایی یک فعالیت خروج داده را شناسایی کرده و به تیم مرکز عملیات امنیت (SOC) اطلاع‌رسانی کند.
۴. امکان‌سنجی حمله در شبکه‌های TDD-LTE و FDD-LTE
یک سوال مهم این است که آیا این حمله در انواع مختلف پیاده‌سازی LTE قابل اجراست یا خیر.
Frequency Division Duplex (FDD-LTE):
از دو باند فرکانسی مجزا برای ارسال (Uplink) و دریافت (Downlink) استفاده می‌کند.
Time Division Duplex (TDD-LTE):
از یک باند فرکانسی واحد استفاده کرده و با تخصیص بازه‌های زمانی (Time Slots) متفاوت، ترافیک ارسال و دریافت را مدیریت می‌کند.
نکته کلیدی این است که تفاوت بین FDD و TDD صرفاً در لایه فیزیکی (Physical Layer) شبکه است. معماری هسته شبکه (EPC) و پروتکل‌های لایه‌های بالاتر، از جمله GTP، در هر دو نوع شبکه یکسان هستند. تونل‌های GTP-U بین SGW و PGW فارغ از اینکه داده‌ها چگونه در لایه رادیویی منتقل می‌شوند، به همان شکل ایجاد و مدیریت می‌شوند.
بنابراین، حمله توصیف‌شده به طور کامل در هر دو نوع شبکه LTE (اعم از FDD و TDD) قابل پیاده‌سازی و اجرا است. راهکار دفاعی مبتنی بر تحلیل ترافیک GTP نیز برای هر دو شبکه به یک اندازه کارآمد و قابل استفاده است.
#آکادمی_روزبه
مرکز تخصصی CISSP
Comments
Be the first to add a comment
Log in to comment