Een beveiligingsanalist ontving een tip dat gevoelige bedrijfseigen informatie openbaar was gelekt. De analist bekijkt de PCAP en merkt verkeer op tussen een interne server en een externe host dat het volgende bevat: ... 12:47:22.327233 PPPoE [ses 0x8122] IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto IPv6 (41), length 331) 10.5.1.1 > 52.165.16.154: IP6 (hlim E3, next-header TCP (6) paylcad length: 271) 2001:67c:2158:a019::ace.53104 > 2001:0:5ef5:79fd:380c:dddd:a601:24fa.13788: Flags [P.], cksum 0xd7ee (correct), seq 97:348, ack 102, win 16444, length 251 ... Welke van de volgende werd hoogstwaarschijnlijk gebruikt om de gegevens te exfiltreren?

Encapsulatie is het meest waarschijnlijk. De PCAP toont een IPv4-pakket (10.5.1.1 52.165.16.154) dat een IPv6-pakket (2001:67c:2158:a019::ace.53104 2001:0:5ef5:79fd:380c:dddd:a601:24fa.13788) inkapselt. Dit is te zien aan "proto IPv6 (41)" binnen het IPv4-header en de daaropvolgende IPv6-adressen. Dit duidt op tunneling, een vorm van encapsulatie, die vaak wordt gebruikt om data te exfiltreren door deze te verbergen in legitiem ogend verkeer. MAC-adres spoofing verandert het bron-MAC-adres, maar verbergt geen data in een ander protocol. Steganografie verbergt data in bestanden of afbeeldingen, niet direct in netwerkpakketheaders op deze manier. Gebroken encryptie zou de inhoud leesbaar maken, maar verklaart niet de dubbele protocolheaders. Sniffing via een on-path positie is een methode om verkeer te onderscheppen, niet om data te exfiltreren.