التسجيل والاكتشاف

جدار حماية لا يحجب شيئًا ولا يسجّل شيئًا هو نصف دفاع فقط. الاكتشاف هو النصف الآخر: ملاحظة متى يتصرف شيء ما على الجهاز بطريقة لا تتناسب. على جهاز Mac واحد، لا يتطلب هذا مركز عمليات أمنية، لكنه يتطلب معرفة كيف يبدو الاتصال الطبيعي جيدًا بما يكفي لملاحظة اتصال غير طبيعي.

ما الذي يستحق تسجيله

على حاسوب واحد، تعكس فئات التسجيل المفيدة ما يتتبعه مركز عمليات شبكية أكبر، لكن مصغَّرة: أي التطبيقات أجرت أي اتصالات، وإلى أي وجهات، ومتى؛ وأي التطبيقات عملت، وهل كانت موقَّعة من مطوّر معروف؛ والتغييرات في الإعدادات ذات الصلة بالأمان مثل جدار الحماية أو Gatekeeper. يحتفظ macOS نفسه بسجل موحَّد يغطي أحداث النظام والتطبيقات، يمكن الاطلاع عليه في تطبيق Console أو بالأمر log show، وتُسجَّل هناك أيضًا قرارات جدار حماية التطبيقات نفسه. ما يفتقده معظم الناس ليس التسجيل بالضبط، إذ يسجّل macOS بالفعل الكثير، بل عرضًا مقروءًا للاتصالات الصادرة تحديدًا، إذ يُرجَّح أن يظهر فيه الاختراق أولًا.

قراءة سجلات الاتصال: كيف يبدو الطبيعي

لا يكون سجل الاتصال مفيدًا إلا بمجرد أن تكون لديك فكرة تقريبية عمّا هو طبيعي لتطبيق معيّن: متصفح يجري اتصالات متكررة بنطاقات مختلفة كثيرة أمر متوقَّع؛ وتطبيق لتدوين الملاحظات يفعل الأمر نفسه ليس كذلك. التفاصيل الثلاثة التي تستحق الملاحظة لأي اتصال هي الوجهة (نطاق أو عنوان IP، ومن الأفضل معرفة من يشغّله)، والتوقيت (مرة واحدة، أو أحيانًا، أو على فترة ثابتة)، والتطبيق المسؤول عنه.

مؤشر: الإرسال الدوري (beaconing)

الإرسال الدوري (beaconing) هو اتصال صادر متكرر، ومضبوط التوقيت بدقة غالبًا، تستخدمه برامج للتواصل بشكل دوري مع خادم بعيد، أحيانًا لاستقبال مزيد من التعليمات. يصف إطار عمل ATT&CK من MITRE هذا النمط من حركة القيادة والتحكم على مستوى التطبيق بأنه شيء يبحث عنه المدافعون تحديدًا عبر «فواصل زمنية شبيهة بالإرسال الدوري»: توقيت منتظم لا ينتجه تطبيق عادي يقوده المستخدم، والذي يتصل عند استخدامه ويبقى هادئًا في غير ذلك. تطبيق واحد يتصل بهدوء بالعنوان نفسه كل بضع دقائق، على مدار الساعة، سواء كنت تستخدمه أم لا، هو النمط الذي يستحق التحقيق فيه لا تجاهله.

مؤشر: شذوذ DNS

يمر كل بحث عن اسم نطاق عبر DNS حتى قبل إجراء أي اتصال، وهو ما يجعل حركة بيانات DNS مكانًا مفيدًا للبحث عن غرابات: تطبيق يحلّل اسم نطاق طويلًا بشكل غير معتاد أو يبدو مولَّدًا عشوائيًا، أو دفعة من عمليات البحث إلى نطاقات لا تعرفها، أو استعلامات DNS بحجم وشكل لا يتطابقان مع التصفح الطبيعي. يصف شرح Cloudflare لتهريب البيانات عبر DNS (DNS tunneling) أحد أسباب حدوث ذلك: يمكن استخدام ترميز البيانات داخل استعلامات وردود DNS لنقل معلومات إلى داخل شبكة أو خارجها متجاوزةً ضوابط لا تفحص سوى حركة بيانات الويب العادية. لا تحتاج إلى تشخيص التقنية بالكامل بنفسك؛ ملاحظة أن نشاط DNS من تطبيق معيّن يبدو غير معتاد سبب كافٍ للنظر عن قرب أو طلب المساعدة.

مؤشر: الملفات التنفيذية غير الموقَّعة

من المتوقَّع أن يكون كل تطبيق Mac شرعي موقَّع الشيفرة، ومعظمها موثَّق أيضًا (متناوَل في مادة تحصين macOS في هذا الموقع). يمكنك التحقق مما إذا كان تطبيق محدد موقَّعًا من Terminal:

$ codesign -dv --verbose=4 /Applications/SomeApp.app
Executable=/Applications/SomeApp.app/Contents/MacOS/SomeApp
Identifier=com.example.someapp
...

تطبيق غير موقَّع على الإطلاق، أو معرِّفه لا يطابق ما تتوقعه لذلك التطبيق، يستحق التعامل معه بشك، خاصة إذا ظهر أيضًا في قائمة العمليات وهو يجري اتصالات شبكية لا يمكنك تفسيرها. هذا فحص للقراءة فقط: فهو يفحص توقيعًا، ولا يشغّل التطبيق أو يغيّره.

IDS/IPS، على نطاق شخصي

يراقب نظام اكتشاف التسلل (IDS) حركة البيانات ويطلق تنبيهًا عند أنماط مريبة؛ ويذهب نظام منع التسلل (IPS) أبعد من ذلك ويحجب حركة البيانات تلقائيًا. تقارن النسخ المؤسسية من هذه الأنظمة حركة البيانات مقابل مجموعات كبيرة ومُحدَّثة من توقيعات هجمات معروفة ونماذج سلوكية. على جهاز Mac واحد، يعمل جدار حماية خاص بكل تطبيق يُشير إلى وجهة جديدة أو غير معتادة ويترك لك القرار كنسخة خفيفة وشخصية من الفكرة نفسها: اكتشاف، مع خيار التصرف، على نطاق جهاز واحد لا شبكة كاملة.