Tunnel ICMP de commande

Définition

Le tunnel ICMP de commande désigne une technique d'exfiltration de données ou de communication de commande et contrôle encapsulant du trafic arbitraire à l'intérieur de paquets du protocole Internet Control Message Protocol, normalement utilisé pour des messages de diagnostic réseau comme les requêtes ping, et fréquemment autorisé sans inspection approfondie par des pare-feux configurés pour bloquer le trafic sortant sur la plupart des ports mais laissant passer ce protocole considéré à tort comme peu risqué. En dissimulant des données dans le champ de charge utile optionnel des paquets ICMP echo request et reply, un attaquant peut établir un canal de communication bidirectionnel discret entre un implant installé sur le réseau interne et un serveur de commande externe, contournant les contrôles de filtrage sortant qui ne couvrent généralement que les protocoles applicatifs classiques comme HTTP ou DNS. Ce canal reste à débit très limité, le rendant peu adapté à l'exfiltration de volumes importants mais parfaitement suffisant pour transmettre des commandes et de petites quantités de résultats de manière furtive et prolongée dans le temps. Pour les équipes défensives, la contre-mesure repose sur l'inspection approfondie du trafic ICMP plutôt qu'une simple autorisation par défaut, la limitation stricte de la taille de charge utile autorisée conforme aux besoins légitimes de diagnostic, et la journalisation des volumes anormaux de trafic ICMP sortant vers des destinations externes.