Журналирование и обнаружение

Файрвол, который ничего не блокирует и ничего не журналирует, — это лишь половина защиты. Обнаружение — вторая половина: замечать, когда что-то на машине ведёт себя не так, как должно. На одном Mac для этого не нужен центр мониторинга безопасности, но нужно достаточно хорошо знать, как выглядит обычное подключение, чтобы заметить необычное.

Что стоит журналировать

На одном компьютере полезные категории журналов повторяют то, что отслеживал бы более крупный центр сетевых операций, только в уменьшенном масштабе: какие приложения устанавливали какие подключения, к каким адресам и когда; какие приложения запускались и были ли они подписаны известным разработчиком; изменения в связанных с безопасностью настройках, таких как файрвол или Gatekeeper. Сама macOS ведёт единый журнал, охватывающий системные события и события приложений, доступный для просмотра в приложении «Консоль» или командой log show, и решения самого Файрвола приложений тоже записываются туда. Большинству людей не хватает не журналирования как такового, поскольку macOS и так журналирует очень много, а именно удобочитаемого представления исходящих подключений, потому что именно в этом направлении компрометация, скорее всего, проявится в первую очередь.

Чтение журналов подключений: как выглядит норма

Журнал подключений полезен только тогда, когда у вас есть приблизительное представление о том, что нормально для данного приложения: браузер, часто подключающийся ко множеству разных доменов, — это ожидаемо; приложение для заметок, делающее то же самое, — нет. Три детали, на которые стоит обращать внимание для любого подключения, — это адрес назначения (домен или IP-адрес и, в идеале, кто им управляет), время (однократно, время от времени или через фиксированный интервал) и приложение, ответственное за него.

Признак: маячки (beaconing)

Маячок (beaconing) — это повторяющееся, часто точно рассчитанное по времени исходящее подключение, которое программа использует для «отметки» у удалённого сервера, иногда чтобы получить дальнейшие инструкции. Фреймворк ATT&CK от MITRE описывает этот паттерн трафика управления и контроля на уровне приложений как то, что защитники ищут именно по «интервалам, похожим на маячки» (beacon-like intervals): регулярному ритму, который обычное, управляемое пользователем приложение — подключающееся, когда вы им пользуетесь, и молчащее в остальное время — не создавало бы. Одно приложение, тихо подключающееся к одному и тому же адресу каждые несколько минут, круглосуточно, независимо от того, пользуетесь вы им или нет, — это паттерн, который стоит расследовать, а не игнорировать.

Признак: аномалии DNS

Каждый поиск доменного имени проходит через DNS ещё до того, как вообще устанавливается подключение, что делает DNS-трафик удобным местом для поиска странностей: приложение, разрешающее необычно длинное или выглядящее случайно сгенерированным доменное имя, всплеск запросов к незнакомым вам доменам, или DNS-запросы такого объёма и характера, которые не соответствуют обычному просмотру сайтов. Объяснение туннелирования DNS от Cloudflare описывает одну из причин, почему это происходит: кодирование данных внутри DNS-запросов и ответов можно использовать для перемещения информации внутрь сети или наружу из неё в обход средств контроля, которые проверяют только обычный веб-трафик. Вам не нужно самостоятельно полностью диагностировать технику; того, что вы заметили необычную активность DNS от конкретного приложения, уже достаточно, чтобы присмотреться внимательнее или попросить о помощи.

Признак: неподписанные исполняемые файлы

Ожидается, что каждое законное приложение для Mac подписано кодом, а большинство ещё и нотаризовано (это рассматривается в курсе «Защита macOS» на этом сайте). Проверить, подписано ли конкретное приложение, можно из Терминала:

$ codesign -dv --verbose=4 /Applications/SomeApp.app
Executable=/Applications/SomeApp.app/Contents/MacOS/SomeApp
Identifier=com.example.someapp
...

Приложение, которое вообще не подписано или чей идентификатор не соответствует ожидаемому для этого приложения, стоит воспринимать с подозрением, особенно если оно к тому же оказывается в списке процессов и устанавливает сетевые подключения, которые вы не можете объяснить. Эта проверка только для чтения: она изучает подпись, но не запускает и не изменяет приложение.

IDS/IPS в личном масштабе

Система обнаружения вторжений (IDS) наблюдает за трафиком и поднимает тревогу при подозрительных паттернах; система предотвращения вторжений (IPS) идёт дальше и автоматически блокирует такой трафик. Корпоративные версии этих систем сверяют трафик с обширными, постоянно обновляемыми наборами известных сигнатур атак и поведенческих моделей. На одном Mac файрвол уровня приложений, который отмечает новый или необычный адрес назначения и даёт вам решить, функционирует как облегчённая, персональная версия той же идеи: обнаружение с возможностью действовать, в масштабе одной машины, а не целой сети.