Każdy produkt, który nazywa siebie „zaawansowanym wykrywaniem zagrożeń” dla Maca, opiera się na niewielkiej liczbie mechanizmów, w większości udokumentowanych przez Apple. Wiedza o tym, na którym mechanizmie polega dana funkcja, mówi, co naprawdę jest ona w stanie zobaczyć, a na co jest ślepa. Ten artykuł omawia te warstwy po kolei: czym jest sygnatura, co sprawdza notaryzacja, co framework Endpoint Security firmy Apple udostępnia oprogramowaniu zabezpieczającemu, co w praktyce oznacza analiza behawioralna oraz co model obserwujący połączenia sieciowe może, a czego nie może ocenić.
W skrócie: żadna pojedyncza warstwa nie widzi wszystkiego. Skaner plików nigdy nie widzi połączenia. Monitor sieci nigdy nie widzi pliku. Produkty, które uczciwie mówią o tej granicy, są bardziej użyteczne niż te, które ją zacierają.
Warstwa pierwsza: sygnatury (XProtect)
Najstarszą techniką wykrywania jest sygnatura: wzorzec pasujący do znanego, szkodliwego programu. Na Macu to zadanie należy do XProtect. Przewodnik Apple po bezpieczeństwie platformy, na stronie Ochrona przed złośliwym oprogramowaniem, opisuje XProtect jako narzędzie oparte na sygnaturach i podaje, że działa ono w trzech momentach: przy pierwszym uruchomieniu aplikacji, gdy aplikacja została zmieniona na dysku oraz gdy aktualizowane są sygnatury XProtect.
Apple otwarcie mówi o zasięgu tego podejścia. Ta sama strona zaznacza, że reguły XProtect są „bardziej ogólne niż konkretny skrót pliku, więc mogą znaleźć warianty, których Apple nie widziało”, i opisuje mechanizm naprawczy, który usuwa infekcje po fakcie. Czego sygnatura z założenia nie potrafi, to dopasować się do czegoś, dla czego nikt jeszcze nie napisał reguły. To właśnie ta luka, którą każda kolejna warstwa próbuje zawęzić.
Warstwa druga: notaryzacja i Gatekeeper
Druga warstwa działa, zanim aplikacja otworzy się po raz pierwszy. Strona Apple o Gatekeeperze i ochronie w czasie działania wyjaśnia, że Gatekeeper sprawdza, czy pobrana aplikacja pochodzi od zidentyfikowanego dewelopera, została notaryzowana przez Apple i nie została zmodyfikowana, oraz że przed otwarciem pobranego oprogramowania prosi użytkownika o zgodę. Sama notaryzacja to skan, który Apple wykonuje na oprogramowaniu podpisanym certyfikatem Developer ID przed jego dystrybucją; przewodnik Apple dodaje, że dla oprogramowania uznanego później za szkodliwe firma może wystawić bilet unieważnienia, nawet jeśli wcześniej zostało zatwierdzone.
Ta warstwa to kontrola przy drzwiach. Odpowiada na pytanie: „czy wiemy, kto to zbudował, i czy Apple znalazło w tym coś ewidentnie niewłaściwego?”. Nie śledzi aplikacji, gdy ta jest już w środku. Aplikacja, która przeszła przez drzwi, a potem zachowuje się źle, albo aplikacja, której zachowanie zmienia się po aktualizacji, od tej chwili znajduje się poza zasięgiem wzroku Gatekeepera.
Warstwa trzecia: framework Endpoint Security
Produkty wykrywające innych firm na Macu, kategoria zwykle nazywana EDR (endpoint detection and response), są w dużej mierze zbudowane na jednym API Apple: frameworku Endpoint Security. Apple wprowadziło go w macOS 10.15, aby oprogramowanie zabezpieczające mogło odbierać strumień zdarzeń systemowych z przestrzeni użytkownika (uruchomienie procesu, otwarcie lub zapis pliku, utworzenie zadania) zamiast ładować rozszerzenie jądra, które Apple stopniowo wycofuje.
To warstwa, która widzi drzewa procesów: który proces uruchomił który, z jakimi argumentami, dotykając jakich plików. To także warstwa, w której zwykle mieszka „analiza behawioralna”. Wykrywanie behawioralne polega na porównywaniu tego, co robi proces, ze znanymi technikami atakujących, a nie ze znanym plikiem. Publicznym punktem odniesienia dla tych technik jest macierz MITRE ATT&CK dla macOS, która kataloguje taktyki od pierwszego dostępu i utrwalania po dowodzenie i kontrolę oraz eksfiltrację, każdą rozbitą na konkretne, obserwowalne techniki.
Analiza behawioralna ma realny koszt: aplikacja, która w uzasadniony sposób zapisuje agenty uruchamiania, czyta pęk kluczy albo uruchamia polecenia powłoki, wygląda w samym strumieniu zdarzeń bardzo podobnie do takiej, która robi to w złych zamiarach. Każdy dostawca EDR inaczej dostraja ten kompromis i żaden nie publikuje dość szczegółów, by osoba z zewnątrz mogła je porównać. Z pewnością można powiedzieć tyle, że ta warstwa wymaga albo płatnego produktu, albo sporej wiedzy, by ją prowadzić. Osobom prywatnym fundacja non profit Objective-See Foundation udostępnia darmowe, otwartoźródłowe narzędzia zbudowane na tych samych frameworkach Apple, takie jak TaskExplorer do przeglądania działających procesów i KnockKnock do wypisywania tego, co ma się uruchamiać automatycznie.
Warstwa czwarta: pamięć i zawartość plików
Jeszcze poniżej warstwy Endpoint Security znajdują się dwa rodzaje analizy: dogłębne badanie zawartości pliku (analiza statyczna, czyli to, co robi skaner antywirusowy) oraz badanie pamięci działającego procesu. To jedyne sposoby, by dowiedzieć się, co program naprawdę zawiera, i są one domeną narzędzi antywirusowych i śledczych. Warto powiedzieć to wprost, bo teksty marketingowe często sugerują co innego: zapora sieciowa, w tym FireAI, nie robi nic z tych rzeczy. FireAI nie skanuje plików, nie czyta pamięci procesów i nie jest antywirusem.
Warstwa piąta: sieć
Ostatnia warstwa to ta, do której pozostałe nie sięgają. Niemal wszystko, co atakujący chce zrobić po umieszczeniu kodu na Macu, wymaga sieci: pobrać drugi etap, zameldować się na serwerze sterującym, wysłać skradzione dane. W macierzy ATT&CK te kroki mają własne kolumny, dowodzenie i kontrolę oraz eksfiltrację, właśnie dlatego, że stanowią odrębną, obserwowalną fazę.
Warstwa sieciowa widzi inny zestaw faktów niż warstwy powyżej. Dla każdego nowego połączenia wychodzącego wie, który podpisany plik binarny je otworzył, zna hosta docelowego, adres IP i port, protokół, to, czy połączenie jest szyfrowane, oraz jego czas. To wystarczy, by oceniający, człowiek lub model, mógł wydać kilka użytecznych osądów:
- Reputacja celu: czy host lub adres IP znajduje się na publicznej liście blokowania, takiej jak abuse.ch, Spamhaus, Phishing Army lub OpenPhish, albo czy jest węzłem wyjściowym Tora? Źródła informacji o zagrożeniach to sprawdzenie w liście, nie zgadywanie, i można je stosować lokalnie, nie wysyłając ruchu nigdzie.
- Plik binarny widziany po raz pierwszy: czy to pierwszy raz, gdy ten podpis kodu w ogóle otworzył połączenie na tym Macu? Świeżo zainstalowane, niepodpisane narzędzie, które natychmiast łączy się z nieznanym adresem IP, to inne ryzyko niż Safari łączące się z CDN.
- Dziwne porty i protokoły: edytor tekstu rozmawiający na porcie 4444, aplikacja używająca surowych adresów IP zamiast nazw hostów albo połączenie z krajem, w którym aplikacja nie ma nic do roboty.
- Dane logowania w zwykłym HTTP: jeśli połączenie jest nieszyfrowane, jego zawartość da się odczytać na Macu, zanim opuści komputer, a numer karty, hasło czy klucz API wędrujący otwartym tekstem można zatrzymać dokładnie w tym momencie.
Dokładnie to robi ocena Private AI w FireAI. Mały model działający na urządzeniu (opcjonalne pobranie o rozmiarze 1,5 GB) przygląda się każdemu połączeniu z nieznanej aplikacji, korzystając dokładnie z faktów wymienionych powyżej, i albo je blokuje, albo oznacza, albo przepuszcza, z uzasadnieniem w zwykłym języku, które możesz przeczytać i cofnąć. Osąd zapada na Macu; ruch nigdy nie jest wysyłany do HisnLabs ani nikogo innego w celu analizy.
Ograniczenia są równie konkretne. Oceniający ruch sieciowy nie widzi zawartości plików, więc nie powie, że pobrany plik jest wrogi, zanim ten się uruchomi. Nie widzi pamięci, więc nie wykryje wstrzykniętego ładunku w zaufanym procesie, a jeśli wrogi kod ukryje się za podpisaną, dozwoloną aplikacją, jego ruch dziedziczy uprawnienia tej aplikacji. Nie potrafi odszyfrować TLS, więc dla szyfrowanego połączenia ocenia cel i wzorzec, a nie zawartość. A źródło reputacji zna tylko te cele, które ktoś już zgłosił.
Warstwy razem
Odczytany jako stos, obraz jest spójny. Notaryzacja i Gatekeeper decydują, czy kod wejdzie do środka. XProtect usuwa to, co już wiadomo, że jest szkodliwe. Narzędzia oparte na Endpoint Security obserwują, co robią procesy. Antywirus i narzędzia śledcze czytają zawartość plików i pamięć. Warstwa sieciowa pilnuje tego, co wychodzi. Każda odpowiada na pytanie, na które inne nie potrafią, a użyteczny test dla każdego hasła o „zaawansowanym wykrywaniu” brzmi po prostu: którą z tych warstw to jest i co ta warstwa widzi?
To wyjaśnia też, dlaczego te warstwy ze sobą nie konkurują. Produkt EDR i zapora działająca per aplikacja mogą pracować na tym samym Macu i nigdy nie patrzeć na ten sam fakt: jeden czyta drzewo procesów, drugi tabelę połączeń. Firma, która już płaci za wykrywanie na punktach końcowych, niewiele zyska na drugim monitorze procesów, ale może zyskać bardzo dużo na możliwości powiedzenia, per aplikacja i per cel, co wolno wypuścić na zewnątrz. Użytkownik domowy bez żadnego EDR dostaje z samej warstwy sieciowej ten jeden sygnał, którego warstwy Apple nigdy nie pokazują.
Dla większości posiadaczy Maca praktyczna kombinacja to wbudowane warstwy Apple, utrzymywane w aktualnym stanie, plus wgląd w tę jedną fazę, której Apple nie pokazuje: które aplikacje łączą się z czym. To węższa obietnica niż „zatrzymuje każde zagrożenie”, i to ta, której naprawdę da się dotrzymać.
Jaką rolę odgrywają FireAI i HisnLabs
FireAI is the network layer of that stack and nothing more: it does not scan files or read memory, but it is the one place every app’s outbound connection has to pass through, reviewed on your Mac by a model that explains what it saw.
FireAI to własny produkt HisnLabs: zapora sieciowa z AI działająca bezpośrednio na Macu. Pokazuje prostym językiem każde połączenie nawiązywane przez twoje aplikacje i pozwala ci decydować, co opuszcza twojego Maca — jej AI działa lokalnie, więc twój ruch nigdy nie jest wysyłany do nas ani do nikogo innego. Zespół badań nad bezpieczeństwem HisnLabs dba o to, by te decyzje pozostały trafne: kataloguje, które domeny to zwykła telemetria, a które prawdziwa usługa, śledzi kraj i sieć stojące za połączeniem oraz trenuje lokalny model (funkcję Autopilot) na rzeczywistych wzorcach ruchu — a nic z tego nie opuszcza twojego Maca.
Możesz przeczytać o decyzjach technicznych, które za tym stoją, albo wypróbować FireAI przez 17 dni na FireAI od HisnLabs.