Crescendo: macOS 用のリアルタイム イベント ビューア

2017 年以前は、研究者は macOS 上のプロセスによって実行されるアクションを簡単に監視できず、低レベルのシステム コール データを生成するコーディング スクリプトに頼らなければなりませんでした。 FireEye は 2017 年にMonitor.appをリリースし、macOS に関するより高いレベルでの情報収集を可能にしました。単純化されたデータセットとDtraceのようなもので。私は何年にもわたって多くのバージョンの Monitor.app を作成し、ユーザーから非常に肯定的なフィードバックを受けてきました。しかし最近、ユーザーは macOS Catalina (10.15) で動作しないことに気付きました…

もともと、Monitor.app が提供する検査機能を提供するには、カーネル拡張機能が必要でした。残念ながら、カーネル拡張機能は特権モードで実行されており、システムの不安定性につながる可能性のあるソフトウェアのバグからほとんど保護されていません。つまり、カーネル拡張機能は絶対に必要な場合にのみ使用する必要があります。 Microsoft と Apple は、以前はカーネル コードを記述する必要があったことを達成するために、エンジニアにより多くのユーザーランドの代替手段を提供し始めました。

Catalina で、Apple はエンドポイント セキュリティ フレームワーク(ESF) をリリースし、内部のオペレーティング システム アーティファクトにアクセスするための堅牢で (さらに重要なことに) より安全な方法を提供しました。セキュリティ担当者として、アプリが仕事を完了するためにカーネル拡張機能を搭載しなければならない場合、私は大ファンではありません。これは正しい方向への動きだと思います。 10.15.4 の今後のリリースでは、これらの非推奨のカーネル プログラミング インターフェイス(KPI) のセットを使用するカーネル拡張機能が読み込まれると、Apple は警告をポップアップ表示します。

エンドポイント セキュリティ フレームワークを試してみるには、今が良い時期のように思えました。また、新しい言語を学ぶのが好きではないエンジニアがいるなら、すべてをSwiftで書いてみませんか?

クレッシェンドのご紹介

Crescendo は、ESF を使用してプロセスの実行とフォーク、ファイル イベント、共有マウント イベント、カーネル エクステンションのロード、および IPC イベント データを表示するmacOS 用のリアルタイム イベント ビューアです。 ESF は膨大な量のデータを提供しますが、その目的は、アナリストがマルウェアの一部を分析したり、プロセス (またはコンポーネント) がどのように機能するかを理解しようとする際に関心を持つであろうものを選択することでした.ユーザーへのイベントの消防ホースになることなく、適切な量のデータ。

クレッシェンドの機能の一部を次に示します。

• Endpoint Security Framework を使用したシステム拡張
• リアルタイム イベント ビューアーとイベント詳細ビューアー
• プロセス、PID、ユーザー名、またはイベント タイプによるイベントの簡単なフィルタリングの検索
• 署名されていないアプリと Apple 署名済みアプリのフィルター
• すべてのイベントを JSON にエクスポートする機能
• 署名されていないアプリが実行されたときのコンテキストの強調表示

Apple は、Crescendo のシステム拡張機能を有効にするための特別な設定を必要とする追加のセキュリティ機能をいくつか追加しました。開始するには、README のGetting Startedセクションに進んでください。この不便さは、将来のバージョンで修正されることを願っています。

ああ、もう 1 つ…

Crescendo は MIT ライセンスの下でオープンソースでリリースされています!これは、ESF を Swift インターフェイスでラップするすぐに使用できるフレームワークで構成され、ニュアンスの一部を取り除き、イベント データの単純なコールバックを提供します。このようにして、他の開発者はエンドポイント セキュリティ フレームワークのすべての内部詳細を理解する必要がなくなります。フレームワークを独自のアプリで使用する場合は、Apple から権利を取得する必要があります。

見たい機能がありませんか?プルリクエストを送信してください!

Crescendo Githubにアクセスして詳細を 確認し、最新リリースをダウンロードしてください。