Endpoint Securityの最新情報

ウイルス対策ソフトウェア、エンドポイントの検出と応答、macOS向けのデータ漏洩防止ソリューションなど、信頼性の高いエンドポイントセキュリティ製品を構築する方法をご覧ください。Endpoint Security APIの最新の拡張機能について解説します。多くのセキュリティイベントをサポートする方法やAppで高度なミューティング機能を使用する方法をご覧ください。また、コマンドラインからイントロスペクションを実行するスタンドアロンツールについても解説します。

リソース

関連ビデオ

WWDC20

Endpoint Security Appのビルド

WWDC19

System ExtensionとDriverKit

ダウンロード

♪ 落ち着いた雰囲気のヒップホップ音楽 ♪ ♪ こんにちは Danielです Security Engineering and Architecture team に所属しており Endpoint Securityの最新情報についてお話しします Endpoint Securityは Mac でセキュリティ製品を構築するための API です C API でサードパーティアンチウィルスエンドポイント検知および対応データ漏洩防止ソリューションに充実したセキュリティイベントストリームを提供します Endpoint Securityは廃止された Kauth KPI 非対応の MAC カーネルフレームワーク OpenBSM 監査証跡の代用として macOS Catalina で初めて導入されました Endpoint SecurityAPI でこの機能を利用可能にすることによりカーネル拡張子の作成が不要になりました Endpoint Securityの導入は大きな成功を収めましたこの機能を使用したセキュリティ製品に関して肯定的なフィードバックをいただいています Endpoint Securityの導入の詳細は2020年の「Endpoint Security Appのビルド」をご覧ください本セッションでは macOS Ventura に追加された新しいイベントミュート機能の改善新しいユーティリティ eslogger についてお話しします新しいイベントから始めましょう macOS Monterey では100件以上のイベントが Endpoint Securityでサポートされ今まではこれらのイベントはプロセスのフォーキングやファイルの開設などカーネル内で生じる重要なイベントに集中していました macOS Ventura ではユーザー空間で生じるセキュリティ関連のイベントを含むために一連の観察可能なイベントを拡大しています具体的に言うと認証ログインログアウト Gatekeeper のXProtect に可視性を追加新しい認証イベントはユーザが OS に認証を追加する状況に対応しますこれにはローカルのユーザアカウントのログインに加え管理者としての操作の認証など他の場所での認証が含まれますこのようなイベントは通常不審なアクセスパターンを観察したいセキュリティ製品により使用されます以前は認証イベントを観察したい場合廃止された OpenBSM監査証跡に依存する必要がありましたがもはや必要ありません同等の監査と比較すると新しいイベントは情報がより豊富で Apple Watchを使用した監査では利用不可だった自動解除への可視性を提供します同様にユーザセッションにも可視性が提供されますログインイベントは誰かまたは何かがコンソールでローカルシステムにログインするかリモートアクセスで対応されている方法を使いリモートでログインした際の状況に対応しますこれらのイベントで利用可能な内容は OpenBSM 監査証跡を大幅に超えますシステムのアクセスに対し企業フリートのラテラルムーブメントを含むより包括的な可視性を得ることができます Getekeeper の任務には既知のマルウェアの検知と阻止が含まれています macOS Ventura で開始することで Endpoint Securityはマルウェアの検知とマルウェアの阻止と削除を実行するための可視性を提供します以前この情報は体系的に利用不可でしたが Endpoint Security APIで利用可能になりましたこれらの追加機能があればほとんどの Endpoint Security顧客は OpenBSM 監査証跡に依存する必要がなくなります監査証跡は macOS Big Sur 以降廃止されており将来の macOS.では削除されます次はミュート機能について macOS Catalina 以降では監査トークンまたは実行可能イメージパスでミュートが対応されていますミュート機能はデッドロックハングウォッチドッグタイムアウトを防ぐために重要なツールでセキュリティに基づいた皆さんんのソリューションのパフォーマンスへの影響を管理するのにも重要です去年macOS Monterey においてデフォルトで実行可能な少量のセットに対して一部のイベントタイプをミュートすることで生じるシステムの不安定性に対処し始めましたミュートを解除することはできますがシステムの安定性を保つためにミュートにしてください macOS Ventura では目標パスにミュートを導入して機能を拡大しました実世界の多くのユースケースではメスのように精密なミュートが可能です特定のファイルパスをミュートしたり皆さんのAppが受信を好まないパスプレフィックスをミュートしたりできますこれはログファイルのイベントに興味がなく /var/logに目標パスがある場合にすべてのイベントをミュートする方法です２つ目の例ではes_mute_path_eventsを /dev/nullなど単一ファイルにミュートのみの書き込みイベントに使う方法ですさらにミュートロジックを反転させる可能性も採用しました特定のプロセスに基づいたイベント実行可能なパス目標パスを抑制する代わりに３つのミュートから選択でき興味のあるプロセスや実行可能パス目標パスを選択しミュートした一致しないイベントではなく一致したイベントのみを受信できます例えば特定の永続的な場所のみにファイルイベントを選択できます es_invert_mutingを使用し目標パスを反転する方法を説明します以前に存在した目標パスをミュート目標パスのプレフィックスがあるイベントのみを選択しますこれによりミュート戦略が向上し最終的にEndpoint Securityに基づいた製品ですばらしいユーザ体験を提供できることが期待されます最後に eslogger をご紹介します Native Client を書かずに Endpoint Securityを提供する機能に対するリクエストを多く受けました macOS Ventura 以降ではコマンドラインユーティリティを介してEndpoint Securityの力を利用できるようになります eslogger は特定のイベントのイベントストリームに入り JSON形式のイベントデータを標準の出力や統合ログインシステムに放出しますデータは Native Client が使用する C 表現のように構造されます esloggerはEndpoint Securityが Venturaでサポートする 80のすべての通知をサポートします eslogger がエンジニアだけでなく Endpoint Security クライアントに取り組む方や macOSでセキュリティ関連のイベントに対し可視性を必要とするセキュリティアナリストやその他のセキュリティ実践者に役立つことを願います

esloggerは OS に付属しすでに Endpoint Securityの資格がありますすべてのEndpoint Security クライアントと同様に eslogger はスーパーユーザーとして実行されユーザーはTerminal.appやSSHなどフルディスクアクセスのプロセスに対し権限を得る必要がありますまた Appで使用するものではありません出力はソフトウェアの更新で変更します Endpoint Security API がネイティブとしてインターフェースで接続するのと同じ性能特性や機能セットを提供するためのものではありません Appはネイティブとして接続しますそれではeslogger を使い新しいイベントを探索してみましょう openssh_login と_logout events を登録し SSH セッションの開始と終了に eslogger を使用してログし出力をファイルにリダイレクトします

別のタブではSSH を使用しローカルでログインとログアウトを行います

最初のタブに戻りeslogger を変換します

生の JSON 形式でイベントデータを見てみましょうお好みの方法でJSON データの作業方法があるかと思いますがここでは jq を使い詳細に調べます

情報がかなりあります Endpoint Securityイベントと興味のあるデータに絞り込みますそれらの放出プロセスの情報はすでにあります

どちらもSSHデーモンにより放出されていますまた例えば監査トークンを検証しイベントを放出したプロセスの PID を収集することもできます

最後にこれらのイベントでイベントに特定したフィールドを見てみましょうユーザアカウントへのSSH ログインとログアウトに成功していますこの方法でEndpoint Securityへの可視性を得られることに私は満足していますマルウェアの動作を監視し検知方法を試すのに役立ちます皆さんもセキュリティソリューションに新しいイベントや向上したミュート機能をご活用ください WWDC へのご参加ありがとうございます

4:29 - Target path muting

// Mute events operating on /var/log
es_mute_path(client, "/private/var/log", ES_MUTE_PATH_TYPE_TARGET_PREFIX)

// Mute write events to /dev/null
var events = [ ES_EVENT_TYPE_NOTIFY_WRITE ]
es_mute_path_events(client, "/dev/null", ES_MUTE_PATH_TYPE_TARGET_LITERAL,
                    &events, events.count)

5:08 - Mute inversion

// Invert muting for target paths
es_invert_muting(client, ES_MUTE_INVERSION_TYPE_TARGET_PATH)

// Select only events pertaining to /Library/LaunchDaemons
es_unmute_all_target_paths(client)
es_mute_path(client, "/Library/LaunchDaemons", ES_MUTE_PATH_TYPE_TARGET_PREFIX)

8:08 - Use eslogger to observe ssh login and logout events
```
sudo eslogger openssh_login openssh_logout >out.jsonl
```

特定のトピックをお探しの場合は、上にトピックを入力すると、関連するトピックにすばやく移動できます。