Аналитик по безопасности получил информацию об утечке конфиденциальной проприетарной информации в публичный доступ. Аналитик просматривает PCAP и замечает трафик между внутренним сервером и внешним хостом, который включает следующее: ... 12:47:22.327233 PPPoE [ses 0x8122] IP (tos 0x0, ttl 64, id 0, offset 0, flags [DF], proto IPv6 (41), length 331) 10.5.1.1 > 52.165.16.154: IP6 (hlim E3, next-header TCP (6) paylcad length: 271) 2001:67c:2158:a019::ace.53104 > 2001:0:5ef5:79fd:380c:dddd:a601:24fa.13788: Flags [P.], cksum 0xd7ee (correct), seq 97:348, ack 102, win 16444, length 251 ... Что из перечисленного, скорее всего, использовалось для эксфильтрации данных?

Правильный ответ — инкапсуляция. PCAP показывает, что IPv6-трафик инкапсулирован в IPv4-пакеты (proto IPv6 (41) внутри IP-заголовка IPv4), а затем этот IPv4-трафик инкапсулирован в PPPoE. Это многоуровневая инкапсуляция, которая часто используется для обхода систем обнаружения вторжений (IDS) или межсетевых экранов, поскольку они могут не проверять глубоко вложенные протоколы. Злоумышленники используют инкапсуляцию для сокрытия эксфильтрации данных. Подмена MAC-адреса не видна в сетевом трафике на этом уровне. Стеганография скрывает данные внутри других данных (например, изображения), что не показано. Нарушенное шифрование не относится к методу передачи, а скорее к слабости шифрования, которая не очевидна из заголовков пакетов. Сниффинг через позицию on-path — это метод перехвата, а не метод эксфильтрации данных.