Logging og deteksjon

En brannmur som ikke blokkerer noe og logger ingenting er bare et halvt forsvar. Deteksjon er den andre halvdelen: å legge merke til når noe på maskinen oppfører seg på en måte som ikke passer. På én Mac krever dette ikke et sikkerhetsoperasjonssenter, men det krever at man vet hvordan en normal tilkobling ser ut godt nok til å legge merke til en unormal.

Hva er verdt å logge

På en enkelt datamaskin gjenspeiler de nyttige loggkategoriene hva et større nettverksoperasjonssenter vil spore, bare nedskalert: hvilke apper som opprettet hvilke tilkoblinger, til hvilke destinasjoner og når; hvilke apper som kjørte, og om de var signert av en kjent utvikler; og endringer i sikkerhetsrelevante innstillinger som brannmuren eller Gatekeeper. macOS selv holder en enhetlig logg som dekker system- og apphendelser, synlig i konsollappen eller med log show, og applikasjonsbrannmurens egne avgjørelser blir også registrert der. Det de fleste mangler er ikke logging nøyaktig, siden macOS allerede logger mye, men en lesbar visning av utgående tilkoblinger spesifikt, siden det er den retningen et kompromiss mest sannsynlig vil dukke opp i først.

Lese tilkoblingslogger: hvordan ser normalt ut

En tilkoblingslogg er bare nyttig når du har en grov følelse av hva som er normalt for en gitt app: Det forventes at en nettleser oppretter hyppige tilkoblinger til mange forskjellige domener; en notatapp som gjør det samme, er det ikke. De tre detaljene som er verdt å merke seg for enhver tilkobling er destinasjonen (et domene eller en IP-adresse, og ideelt sett hvem som driver det), tidspunktet (en gang, noen ganger eller på et fast intervall) og appen som er ansvarlig for det.

Indikator: beaconing

Beaconing er en gjentatt, ofte nøyaktig tidsbestemt, utgående tilkobling som brukes av programvare for å sjekke inn med en ekstern server, noen ganger for å motta ytterligere instruksjoner. MITREs ATT&CK-rammeverk beskriver dette mønsteret av kommando-og-kontroll-trafikk på applikasjonslag som noe forsvarere ser etter spesifikt gjennom "beacon-lignende intervaller": regelmessig timing som en vanlig brukerdrevet app, som kobler seg til når du bruker den og ellers holder seg stille, ikke ville produsere. En enkelt app som stille kobler til den samme adressen med noen få minutters mellomrom, døgnet rundt, uansett om du bruker den eller ikke, er den typen mønster som er verdt å undersøke i stedet for å avvise.

Indikator: DNS-avvik

Hvert domenenavnoppslag går gjennom DNS før en tilkobling i det hele tatt er opprettet, noe som gjør DNS-trafikk til et nyttig sted å lete etter rariteter: en app som løser et uvanlig langt eller tilfeldig generert domenenavn, en serie med oppslag til domener du ikke gjenkjenner, eller DNS-spørringer med et volum og en form som ikke samsvarer med normal surfing. Cloudflares forklaring av DNS-tunnelering beskriver én grunn til at dette skjer: koding av data i DNS-spørringer og svar kan brukes til å flytte informasjon inn eller ut av et nettverk tidligere kontroller som kun inspiserer vanlig nettrafikk. Du trenger ikke å diagnostisere teknikken fullt ut selv; å legge merke til at DNS-aktivitet fra en bestemt app ser uvanlig ut er nok grunn til å se nærmere eller be om hjelp.

Indikator: usignerte binærfiler

Hver legitim Mac-app forventes å være kodesignert, og de fleste er også notarisert (dekket i dette nettstedets macOS-herdingskurs). Du kan sjekke om en bestemt app er signert fra Terminal:

$ codesign -dv --verbose=4 /Applications/SomeApp.app
Executable=/Applications/SomeApp.app/Contents/MacOS/SomeApp
Identifier=com.example.someapp
...

En app som ikke er signert i det hele tatt, eller hvis identifikator ikke samsvarer med det du forventer for den appen, er verdt å behandle med mistenksomhet, spesielt hvis den også vises i prosesslisten som gjør nettverkstilkoblinger du ikke kan forklare. Dette er en skrivebeskyttet sjekk: den inspiserer en signatur, den kjører ikke eller endrer appen.

IDS/IPS, i personlig skala

Et inntrengningsdeteksjonssystem (IDS) overvåker trafikken og varsler om mistenkelige mønstre; et intrusion prevention system (IPS) går lenger og blokkerer trafikken automatisk. Enterprise-versjoner av disse sammenligner trafikk med store, vedlikeholdte sett med kjente angrepssignaturer og atferdsmodeller. På én Mac, en per-app brannmur som flagger en ny eller uvanlig destinasjon og lar deg bestemme fungerer som en lett, personlig versjon av den samme ideen: deteksjon, med mulighet til å handle, i skalaen til én maskin i stedet for et helt nettverk.