Protokollierung und Erkennung

Eine Firewall, die nichts blockiert und nichts protokolliert, ist nur eine halbe Verteidigung. Erkennung ist die andere Hälfte: bemerken, wenn sich etwas auf dem Gerät auf eine Weise verhält, die nicht ins Bild passt. Auf einem Mac braucht das kein Sicherheitsoperationszentrum, aber es erfordert, gut genug zu wissen, wie eine normale Verbindung aussieht, um eine ungewöhnliche zu bemerken.

Was protokollierenswert ist

Auf einem einzelnen Computer spiegeln die nützlichen Protokollkategorien das, was ein größeres Netzwerkoperationszentrum verfolgen würde, nur herunterskaliert: welche Apps welche Verbindungen zu welchen Zielen und wann hergestellt haben; welche Apps liefen, und ob sie von einem bekannten Entwickler signiert waren; und Änderungen an sicherheitsrelevanten Einstellungen wie der Firewall oder Gatekeeper. macOS selbst führt ein einheitliches Protokoll, das System- und App-Ereignisse abdeckt, einsehbar in der App Konsole oder mit log show, und auch die Entscheidungen der Anwendungs-Firewall werden dort erfasst. Was den meisten Menschen fehlt, ist nicht Protokollierung als solche, da macOS bereits sehr viel protokolliert, sondern eine lesbare Ansicht speziell ausgehender Verbindungen, da dort sich eine Kompromittierung am ehesten zuerst zeigt.

Verbindungsprotokolle lesen: wie normal aussieht

Ein Verbindungsprotokoll ist erst nützlich, sobald Sie ein ungefähres Gefühl dafür haben, was für eine bestimmte App normal ist: Ein Browser, der häufig Verbindungen zu vielen verschiedenen Domains herstellt, ist erwartbar; eine Notiz-App, die dasselbe tut, nicht. Die drei bei jeder Verbindung beachtenswerten Details sind das Ziel (eine Domain oder IP-Adresse, idealerweise wer sie betreibt), der Zeitpunkt (einmalig, gelegentlich, oder in festem Intervall), und die dafür verantwortliche App.

Anzeichen: Beaconing

Beaconing ist eine wiederholte, oft präzise getaktete ausgehende Verbindung, mit der sich Software bei einem entfernten Server meldet, manchmal um weitere Anweisungen zu empfangen. MITREs ATT&CK-Framework beschreibt dieses Muster von Command-and-Control-Datenverkehr auf Anwendungsebene als etwas, wonach Verteidiger gezielt anhand „beaconartiger Intervalle“ suchen: regelmäßiges Timing, das eine normale, nutzergesteuerte App — die sich verbindet, wenn Sie sie nutzen, und sonst still bleibt — nicht erzeugen würde. Eine einzelne App, die still alle paar Minuten, rund um die Uhr, dieselbe Adresse kontaktiert, ob Sie sie nutzen oder nicht, ist die Art von Muster, die eine Untersuchung verdient, statt abgetan zu werden.

Anzeichen: DNS-Anomalien

Jede Domainnamensabfrage läuft über DNS, bevor überhaupt eine Verbindung hergestellt wird, was DNS-Datenverkehr zu einem nützlichen Ort macht, um nach Auffälligkeiten zu suchen: eine App, die einen ungewöhnlich langen oder zufällig aussehenden Domainnamen auflöst, ein Schwall von Abfragen zu unbekannten Domains, oder DNS-Abfragen in einem Umfang und Muster, das nicht zu normalem Surfen passt. Cloudflares Erklärung zu DNS-Tunneling beschreibt einen Grund dafür: Daten in DNS-Abfragen und -Antworten zu kodieren kann genutzt werden, um Informationen an Kontrollen vorbei in ein Netzwerk hinein oder heraus zu bewegen, die nur gewöhnlichen Webverkehr prüfen. Sie müssen die Technik nicht selbst vollständig diagnostizieren; zu bemerken, dass die DNS-Aktivität einer bestimmten App ungewöhnlich aussieht, ist Grund genug, genauer hinzusehen oder um Hilfe zu bitten.

Anzeichen: unsignierte Binärdateien

Von jeder legitimen Mac-App wird erwartet, dass sie codesigniert ist, und die meisten sind auch notarisiert (behandelt im macOS-Härtungskurs dieser Seite). Sie können über das Terminal prüfen, ob eine bestimmte App signiert ist:

$ codesign -dv --verbose=4 /Applications/SomeApp.app
Executable=/Applications/SomeApp.app/Contents/MacOS/SomeApp
Identifier=com.example.someapp
...

Eine App, die überhaupt nicht signiert ist, oder deren Kennung nicht dem entspricht, was Sie für diese App erwarten, ist mit Misstrauen zu behandeln, besonders wenn sie außerdem in der Prozessliste erscheint und Netzwerkverbindungen herstellt, die Sie sich nicht erklären können. Das ist eine schreibgeschützte Prüfung: Sie untersucht eine Signatur, führt die App nicht aus und ändert sie nicht.

IDS/IPS, im persönlichen Maßstab

Ein Intrusion-Detection-System (IDS) beobachtet Datenverkehr und schlägt bei verdächtigen Mustern Alarm; ein Intrusion-Prevention-System (IPS) geht weiter und blockiert den Datenverkehr automatisch. Unternehmensversionen davon vergleichen Datenverkehr mit großen, gepflegten Sammlungen bekannter Angriffssignaturen und Verhaltensmodellen. Auf einem Mac funktioniert eine App-Firewall, die ein neues oder ungewöhnliches Ziel markiert und Sie entscheiden lässt, als leichtgewichtige, persönliche Version derselben Idee: Erkennung, mit der Option zu handeln, im Maßstab eines Geräts statt eines ganzen Netzwerks.