Günlüğe kaydetme ve algılama

Hiçbir şeyi engellemeyen ve hiçbir şeyi günlüğe kaydetmeyen bir güvenlik duvarı, savunmanın yalnızca yarısıdır. Tespit diğer yarısıdır: makinedeki bir şeyin uymayan bir şekilde davrandığını fark etmek. Mac'te bu, bir güvenlik operasyon merkezi gerektirmez ancak normal bir bağlantının nasıl göründüğünü, anormal bir bağlantıyı fark edecek kadar iyi bilmeyi gerektirir.

Günlüğe kaydetmeye değer olan nedir

Tek bir bilgisayarda, kullanışlı günlük kategorileri, daha büyük bir ağ operasyon merkezinin izleyeceği verileri yalnızca küçültülmüş olarak yansıtır: hangi uygulamalar hangi bağlantıları, hangi hedeflere ve ne zaman yaptı; hangi uygulamaların çalıştığı ve bunların bilinen bir geliştirici tarafından imzalanıp imzalanmadığı; ve güvenlik duvarı veya Gatekeeper gibi güvenlikle ilgili ayarlarda yapılan değişiklikler. macOS'un kendisi, sistem ve uygulama olaylarını kapsayan, Konsol uygulamasında veya log show ile görüntülenebilen birleşik bir günlük tutar ve Uygulama Güvenlik Duvarının kendi kararları da buraya kaydedilir. Çoğu insanın kaçırdığı şey, tam olarak günlüğe kaydetme değil, çünkü macOS zaten çok sayıda günlüğe kaydediyor, ancak özellikle giden bağlantıların okunabilir bir görünümü, çünkü bu, bir uzlaşmanın ilk önce ortaya çıkma ihtimalinin en yüksek olduğu yön.

Bağlantı günlüklerini okuma: normalin nasıl göründüğü

Bağlantı günlüğü yalnızca belirli bir uygulama için neyin normal olduğuna dair kabaca bir fikriniz olduğunda kullanışlıdır: birçok farklı etki alanına sık sık bağlantı kuran bir tarayıcı beklenir; aynı şeyi yapan bir not alma uygulaması değildir. Herhangi bir bağlantı için dikkate değer üç ayrıntı, hedef (bir etki alanı veya IP adresi ve ideal olarak onu kimin işlettiği), zamanlama (bir kez, ara sıra veya sabit bir aralıklarla) ve bundan sorumlu olan uygulamadır.

Gösterge: işaret

Beaconing, yazılım tarafından uzaktaki bir sunucuya giriş yapmak, bazen daha fazla talimat almak için kullanılan, tekrarlanan, genellikle kesin olarak zamanlanmış, giden bir bağlantıdır. MITRE'nin ATT&CK çerçevesi, uygulama katmanındaki bu komuta ve kontrol trafiği modelini, savunucuların özellikle "işaret benzeri aralıklar" yoluyla aradığı bir şey olarak tanımlıyor: siz onu kullandığınızda bağlanan ve aksi takdirde sessiz kalan normal kullanıcı odaklı bir uygulamanın üretemeyeceği düzenli zamanlama. Kullansanız da kullanmasanız da, günün her saati, birkaç dakikada bir aynı adrese sessizce bağlanan tek bir uygulama, göz ardı edilmek yerine araştırmaya değer bir modeldir.

Gösterge: DNS anormallikleri

Her alan adı araması, bağlantı kurulmadan önce DNS'den geçer; bu da DNS trafiğini tuhaflıkları aramak için yararlı bir yer haline getirir: alışılmadık derecede uzun veya rastgele oluşturulmuş görünen bir alan adını çözümleyen bir uygulama, tanımadığınız alanlara yönelik bir dizi arama veya normal taramayla eşleşmeyen bir hacim ve şekildeki DNS sorguları. Cloudflare'in DNS tünelleme açıklaması bunun olmasının bir nedenini açıklıyor: DNS sorguları ve yanıtları içindeki verileri kodlamak, bilgileri yalnızca sıradan web trafiğini denetleyen kontrollerin ötesinde bir ağın içine veya dışına taşımak için kullanılabilir. Tekniği kendiniz tam olarak teşhis etmenize gerek yoktur; Belirli bir uygulamadaki DNS etkinliğinin olağandışı göründüğünü fark etmek, daha yakından bakmak veya yardım istemek için yeterli bir nedendir.

Gösterge: imzasız ikili dosyalar

Her meşru Mac uygulamasının kod imzalı olması beklenir ve çoğu da noter tasdiklidir (bu sitenin macOS güçlendirme kursunda ele alınmaktadır). Belirli bir uygulamanın imzalanıp imzalanmadığını Terminal'den kontrol edebilirsiniz:

$ codesign -dv --verbose=4 /Applications/SomeApp.app
Executable=/Applications/SomeApp.app/Contents/MacOS/SomeApp
Identifier=com.example.someapp
...

Hiç imzalanmamış veya tanımlayıcısı o uygulama için beklediğinizle eşleşmeyen bir uygulamaya şüpheyle yaklaşılmalıdır, özellikle de açıklayamayacağınız ağ bağlantıları yapan işlem listesinde de görünüyorsa. Bu salt okunur bir kontroldür: bir imzayı inceler, uygulamayı çalıştırmaz veya değiştirmez.

IDS/IPS, kişisel ölçekte

İzinsiz giriş tespit sistemi (IDS) trafiği izler ve şüpheli modeller konusunda uyarıda bulunur; İzinsiz giriş önleme sistemi (IPS) daha da ileri giderek trafiği otomatik olarak engeller. Bunların kurumsal sürümleri, trafiği büyük, korunan bilinen saldırı imzaları ve davranış modelleri kümeleriyle karşılaştırır. Mac'te, yeni veya sıra dışı bir hedefi işaretleyen ve karar vermenize olanak tanıyan uygulama başına bir güvenlik duvarı, aynı fikrin hafif, kişisel bir versiyonu olarak işlev görür: tüm ağ yerine tek bir makine ölçeğinde harekete geçme seçeneğiyle algılama.