macOS Security Protections
Gatekeeper
Gatekeeper genellikle Quarantine + Gatekeeper + XProtect kombinasyonunu ifade etmek için kullanılır; bu, kullanıcıların potansiyel olarak zararlı yazılımları çalıştırmalarını engellemeye çalışan 3 macOS güvenlik modülüdür.
Daha fazla bilgi için:
macOS Gatekeeper / Quarantine / XProtectSüreç Sınırlamaları
SIP - Sistem Bütünlüğü Koruması
macOS SIPSandbox
MacOS Sandbox, sandbox içinde çalışan uygulamaları uygulamanın çalıştığı Sandbox profilinde belirtilen izin verilen eylemlerle sınırlamaktadır. Bu, uygulamanın yalnızca beklenen kaynaklara erişmesini sağlamaya yardımcı olur.
macOS SandboxTCC - Şeffaflık, Onay ve Kontrol
TCC (Şeffaflık, Onay ve Kontrol) bir güvenlik çerçevesidir. Uygulamaların izinlerini yönetmek için tasarlanmıştır, özellikle de hassas özelliklere erişimlerini düzenleyerek. Bu, konum hizmetleri, kişiler, fotoğraflar, mikrofon, kamera, erişilebilirlik ve tam disk erişimi gibi unsurları içerir. TCC, uygulamaların bu özelliklere yalnızca açık kullanıcı onayı aldıktan sonra erişebileceğini garanti ederek, kişisel veriler üzerindeki gizliliği ve kontrolü artırır.
macOS TCCBaşlatma/Ortam Kısıtlamaları ve Güven Cache'i
macOS'taki başlatma kısıtlamaları, bir sürecin başlatılmasını düzenlemek için bir güvenlik özelliğidir; kimlerin bir süreci başlatabileceğini, nasıl ve nereden tanımlar. macOS Ventura'da tanıtılan bu özellikler, sistem ikili dosyalarını bir güven cache'i içinde kısıtlama kategorilerine ayırır. Her yürütülebilir ikili dosya, başlatma için belirli kurallara sahiptir; bunlar arasında kendisi, ebeveyni ve sorumlu kısıtlamaları bulunur. macOS Sonoma'da üçüncü taraf uygulamalara Ortam Kısıtlamaları olarak genişletilen bu özellikler, süreç başlatma koşullarını yöneterek potansiyel sistem istismarlarını azaltmaya yardımcı olur.
macOS Launch/Environment Constraints & Trust CacheMRT - Kötü Amaçlı Yazılım Kaldırma Aracı
Kötü Amaçlı Yazılım Kaldırma Aracı (MRT), macOS'un güvenlik altyapısının bir parçasıdır. Adından da anlaşılacağı gibi, MRT'nin ana işlevi bilinen kötü amaçlı yazılımları enfekte olmuş sistemlerden kaldırmaktır.
Bir Mac'te kötü amaçlı yazılım tespit edildiğinde (ya XProtect ya da başka bir yöntemle), MRT otomatik olarak kötü amaçlı yazılımı kaldırmak için kullanılabilir. MRT, arka planda sessizce çalışır ve genellikle sistem güncellendiğinde veya yeni bir kötü amaçlı yazılım tanımı indirildiğinde çalışır (MRT'nin kötü amaçlı yazılımı tespit etmek için kurallarının ikili dosyanın içinde olduğu görünmektedir).
Hem XProtect hem de MRT, macOS'un güvenlik önlemlerinin bir parçası olmasına rağmen, farklı işlevler yerine getirir:
XProtect, önleyici bir araçtır. Dosyaları indirildiği anda kontrol eder (belirli uygulamalar aracılığıyla) ve eğer bilinen kötü amaçlı yazılım türlerinden herhangi birini tespit ederse, dosyanın açılmasını engeller, böylece kötü amaçlı yazılımın sisteminizi ilk etapta enfekte etmesini önler.
MRT ise, reaktif bir araçtır. Kötü amaçlı yazılım bir sistemde tespit edildikten sonra çalışır ve amacı, sistemin temizlenmesi için zararlı yazılımı kaldırmaktır.
MRT uygulaması /Library/Apple/System/Library/CoreServices/MRT.app konumundadır.
Arka Plan Görevleri Yönetimi
macOS, artık bir aracın kod yürütmesini sürdürmek için bilinen bir tekniği kullandığında her seferinde kullanıcıyı uyarır (örneğin Giriş Öğeleri, Daemon'lar...), böylece kullanıcı hangi yazılımın sürdüğünü daha iyi bilir.
Bu, /System/Library/PrivateFrameworks/BackgroundTaskManagement.framework/Versions/A/Resources/backgroundtaskmanagementd konumundaki bir daemon ile çalışır ve /System/Library/PrivateFrameworks/BackgroundTaskManagement.framework/Support/BackgroundTaskManagementAgent.app konumundaki ajan ile.
backgroundtaskmanagementd'nin bir şeyin kalıcı bir klasöre yüklü olduğunu bilme şekli, FSEvents alarak ve bunlar için bazı işleyiciler oluşturarak gerçekleşir.
Ayrıca, Apple tarafından sıkça sürdürülen iyi bilinen uygulamaları içeren bir plist dosyası vardır; bu dosya /System/Library/PrivateFrameworks/BackgroundTaskManagement.framework/Versions/A/Resources/attributions.plist konumundadır.
Enumeration
Apple cli aracını kullanarak tüm yapılandırılmış arka plan öğelerini listelemek mümkündür:
Ayrıca, bu bilgiyi DumpBTM ile listelemek de mümkündür.
Bu bilgi /private/var/db/com.apple.backgroundtaskmanagement/BackgroundItems-v4.btm içinde saklanıyor ve Terminal FDA gerektiriyor.
BTM ile Oynama
Yeni bir kalıcılık bulunduğunda ES_EVENT_TYPE_NOTIFY_BTM_LAUNCH_ITEM_ADD türünde bir olay meydana gelir. Bu nedenle, bu olayın gönderilmesini önlemenin veya ajanın kullanıcıyı uyarmasını engellemenin herhangi bir yolu, bir saldırgana BTM'yi bypass etmesine yardımcı olacaktır.
Veritabanını sıfırlama: Aşağıdaki komut veritabanını sıfırlayacaktır (temelden yeniden inşa edilmesi gerekir), ancak bir sebepten dolayı, bunu çalıştırdıktan sonra sistem yeniden başlatılana kadar yeni bir kalıcılık uyarısı yapılmayacaktır.
root gereklidir.
Ajansı Durdur: Yeni tespitler bulunduğunda kullanıcının uyarılmaması için ajansa bir durdurma sinyali göndermek mümkündür.
Hata: Eğer kalıcılığı oluşturan süreç hemen ardından hızlıca mevcutsa, daemon hakkında bilgi almaya çalışacak, başarısız olacak ve yeni bir şeyin kalıcı olduğunu belirten olayı gönderemeyecek.
Referanslar ve BTM hakkında daha fazla bilgi:
Last updated
