Registro y detección

Un firewall que no bloquea ni registra nada es sólo la mitad de la defensa. La detección es la otra mitad: notar cuando algo en la máquina se comporta de una manera que no encaja. En una Mac, esto no requiere un centro de operaciones de seguridad, pero sí requiere saber lo suficientemente bien cómo es una conexión normal como para detectar una anormal.

¿Qué vale la pena registrar?

En una sola computadora, las útiles categorías de registro reflejan lo que rastrearía un centro de operaciones de red más grande, pero reducido: qué aplicaciones realizaron qué conexiones, a qué destinos y cuándo; qué aplicaciones se ejecutaron y si estaban firmadas por un desarrollador conocido; y cambios en configuraciones relevantes para la seguridad, como el firewall o Gatekeeper. El propio macOS mantiene un registro unificado que cubre los eventos del sistema y de la aplicación, visible en la aplicación de la consola o con log show, y las propias decisiones del Firewall de aplicaciones también se registran allí. Lo que a la mayoría de la gente le falta no es registrar exactamente, ya que macOS ya registra mucho, sino una vista legible de las conexiones salientes específicamente, ya que esa es la dirección en la que es más probable que aparezca un compromiso primero.

Lectura de registros de conexión: cómo se ve lo normal

Un registro de conexión sólo es útil una vez que se tiene una idea aproximada de lo que es normal para una aplicación determinada: se espera que un navegador realice conexiones frecuentes a muchos dominios diferentes; una aplicación para tomar notas que hace lo mismo no lo es. Los tres detalles que vale la pena tener en cuenta para cualquier conexión son el destino (un dominio o dirección IP, e idealmente quién lo opera), el momento (una vez, ocasionalmente o en un intervalo fijo) y la aplicación responsable de ello.

Indicador: balizamiento

La baliza es una conexión saliente repetida, a menudo sincronizada con precisión, utilizada por el software para registrarse con un servidor remoto, a veces para recibir más instrucciones. El marco ATT&CK de MITRE describe este patrón de tráfico de comando y control en la capa de aplicación como algo que los defensores buscan específicamente a través de “intervalos similares a balizas”: tiempos regulares que una aplicación normal impulsada por el usuario, que se conecta cuando la usa y permanece silenciosa de otra manera, no produciría. Una sola aplicación que se conecta silenciosamente a la misma dirección cada pocos minutos, las 24 horas del día, ya sea que la estés usando o no, es el tipo de patrón que vale la pena investigar en lugar de descartar.

Indicador: anomalías DNS

Cada búsqueda de nombre de dominio pasa a través de DNS incluso antes de que se establezca una conexión, lo que hace que el tráfico de DNS sea un lugar útil para buscar rarezas: una aplicación que resuelve un nombre de dominio inusualmente largo o que parece generado aleatoriamente, una ráfaga de búsquedas de dominios que no reconoce o consultas de DNS en un volumen y forma que no coincide con la navegación normal. La explicación de Cloudflare sobre el túnel DNS describe una de las razones por las que esto sucede: la codificación de datos dentro de consultas y respuestas de DNS se puede utilizar para mover información dentro o fuera de una red más allá de los controles que solo inspeccionan el tráfico web ordinario. No es necesario que usted mismo diagnostique completamente la técnica; notar que la actividad DNS de una aplicación en particular parece inusual es motivo suficiente para mirar más de cerca o pedir ayuda.

Indicador: binarios sin firmar

Se espera que todas las aplicaciones legítimas de Mac estén firmadas con un código y la mayoría también esté certificada ante notario (lo que se explica en el curso de fortalecimiento de macOS de este sitio). Puedes comprobar si una aplicación específica está firmada desde la Terminal:

$ codesign -dv --verbose=4 /Applications/SomeApp.app
Executable=/Applications/SomeApp.app/Contents/MacOS/SomeApp
Identifier=com.example.someapp
...

Vale la pena tratar con sospecha una aplicación que no está firmada en absoluto, o cuyo identificador no coincide con lo esperado para esa aplicación, especialmente si también aparece en la lista de procesos que realizan conexiones de red que no puede explicar. Esta es una verificación de solo lectura: inspecciona una firma, no ejecuta ni cambia la aplicación.

IDS/IPS, a escala personal

Un sistema de detección de intrusiones (IDS) vigila el tráfico y genera una alerta sobre patrones sospechosos; un sistema de prevención de intrusiones (IPS) va más allá y bloquea el tráfico automáticamente. Las versiones empresariales de estos comparan el tráfico con conjuntos grandes y mantenidos de firmas de ataques y modelos de comportamiento conocidos. En una Mac, un firewall por aplicación que señala un destino nuevo o inusual y le permite decidir funciona como una versión ligera y personal de la misma idea: detección, con la opción de actuar, a escala de una máquina en lugar de a toda una red.