Registrazione e rilevamento

Un firewall che non blocca nulla e non registra nulla è solo metà di una difesa. Il rilevamento è l’altra metà: accorgersi quando qualcosa sulla macchina si comporta in un modo che non torna. Su un solo Mac, questo non richiede un centro operativo di sicurezza, ma richiede di conoscere abbastanza bene com’è fatta una connessione normale da notarne una anomala.

Cosa vale la pena registrare

Su un singolo computer, le categorie di registro utili rispecchiano ciò che un centro operativo di rete più grande terrebbe traccia, solo su scala ridotta: quali app hanno fatto quali connessioni, verso quali destinazioni, e quando; quali app sono state eseguite, e se erano firmate da uno sviluppatore noto; e le modifiche alle impostazioni rilevanti per la sicurezza come il firewall o Gatekeeper. macOS stesso mantiene un registro unificato che copre eventi di sistema e delle app, visualizzabile nell’app Console o con log show, e anche le decisioni proprie del Firewall applicativo vengono registrate lì. Ciò che manca a molte persone non è esattamente la registrazione, poiché macOS registra già moltissimo, ma una vista leggibile delle connessioni in uscita in particolare, poiché quella è la direzione in cui una compromissione ha più probabilità di manifestarsi per prima.

Leggere i registri delle connessioni: com’è fatto il normale

Un registro delle connessioni è utile solo una volta che hai un’idea approssimativa di cosa sia normale per una data app: un browser che fa connessioni frequenti verso molti domini diversi è atteso; un’app per prendere appunti che fa lo stesso non lo è. I tre dettagli che vale la pena notare per qualsiasi connessione sono la destinazione (un dominio o indirizzo IP, e idealmente chi lo gestisce), la tempistica (una volta, occasionalmente, o a intervalli fissi), e l’app responsabile.

Indicatore: il beaconing

Il beaconing è una connessione in uscita ripetuta, spesso temporizzata con precisione, usata dal software per fare il check-in con un server remoto, a volte per ricevere ulteriori istruzioni. Il framework ATT&CK di MITRE descrive questo schema di traffico di comando e controllo a livello applicativo come qualcosa che i difensori cercano specificamente attraverso “intervalli simili a beacon”: una tempistica regolare che un’app normale guidata dall’utente, che si connette quando la usi e resta silenziosa altrimenti, non produrrebbe. Una singola app che si connette silenziosamente allo stesso indirizzo ogni pochi minuti, ininterrottamente, che tu la stia usando o meno, è il tipo di schema che vale la pena indagare invece di ignorare.

Indicatore: anomalie DNS

Ogni ricerca di nome di dominio passa attraverso il DNS prima ancora che venga fatta una connessione, il che rende il traffico DNS un luogo utile in cui cercare stranezze: un’app che risolve un nome di dominio insolitamente lungo o dall’aspetto generato casualmente, un’ondata di ricerche verso domini che non riconosci, o query DNS con un volume e una forma che non corrispondono alla normale navigazione. La spiegazione di Cloudflare sul tunneling DNS descrive un motivo per cui questo accade: codificare dati dentro query e risposte DNS può essere usato per far entrare o uscire informazioni oltre i controlli che ispezionano solo il traffico web ordinario. Non devi diagnosticare completamente tu stesso la tecnica; notare che l’attività DNS di una particolare app sembra insolita è motivo sufficiente per approfondire o chiedere aiuto.

Indicatore: binari non firmati

Ci si aspetta che ogni app legittima per Mac sia firmata con codice, e la maggior parte è anche notarizzata (trattato nel corso di irrobustimento di macOS di questo sito). Puoi controllare se un’app specifica è firmata dal Terminale:

$ codesign -dv --verbose=4 /Applications/SomeApp.app
Executable=/Applications/SomeApp.app/Contents/MacOS/SomeApp
Identifier=com.example.someapp
...

Un’app che non è affatto firmata, o il cui identificatore non corrisponde a quanto ti aspetteresti per quell’app, merita di essere trattata con sospetto, in particolare se compare anche nell’elenco dei processi facendo connessioni di rete che non riesci a spiegarti. Questo è un controllo di sola lettura: ispeziona una firma, non esegue né modifica l’app.

IDS/IPS, su scala personale

Un sistema di rilevamento delle intrusioni (IDS) osserva il traffico e solleva un avviso su schemi sospetti; un sistema di prevenzione delle intrusioni (IPS) va oltre e blocca automaticamente il traffico. Le versioni aziendali di questi confrontano il traffico con grandi insiemi mantenuti di firme di attacco note e modelli comportamentali. Su un solo Mac, un firewall per app che segnala una destinazione nuova o insolita e ti lascia decidere funziona come una versione leggera e personale della stessa idea: rilevamento, con l’opzione di agire, alla scala di una sola macchina invece che di un’intera rete.