La analítica GatekeeperBlockedRevoked detectará cuándo Gatekeeper bloquea la ejecución de un programa cuyo código está firmado por un certificado de desarrollador revocado específicamente por Apple.
La tecnología Gatekeeper es una de las prestaciones de seguridad nativas más importantes de macOS. Por omisión, Gatekeeper impide que el software que no sea de confianza se ejecute en el Mac de un usuario final. Cuando un usuario ejecuta una app, plug-in o paquete de instalador nuevo que no procede de App Store, Gatekeeper se asegura de que el software no incluya contenido malicioso conocido, esté firmado por un desarrollador de confianza y no haya sido manipulado.
Los usuarios finales son alertados mediante una ventana emergente, pero Jamf Protect también registra la actividad de Gatekeeper para ofrecer a los equipos de Seguridad de la Información más visibilidad fuera de la terminal.
Existe más información sobre Gatekeeper en la guía Seguridad de las plataformas de Apple.
Jamf Protect ofrece tres alertas de analíticas de eventos de Gatekeeper que representan distintos tipos de eventos de Gatekeeper.
- GatekeeperBlockedUnsignedOrUnknown
- Gatekeeper impidió la ejecución de una aplicación no firmada, no válida o desconocida. Un usuario intentó ejecutar un programa que Gatekeeper de macOS identificó expresamente como no firmado, no válido o desconocido.
- GatekeeperBlockedSigned
- Gatekeeper impidió la ejecución de una aplicación firmada. Esto suele ocurrir cuando Gatekeeper pide a un usuario que permita o confirme la ejecución de una aplicación, y el usuario hace clic en «No permitir» o Cancelar.
- GatekeeperBlockedRevoked
- Gatekeeper impidió que se ejecutara una aplicación que estaba firmada con un ID de desarrollador que fue revocado explícitamente por Apple. En otras palabras, se impidió que se ejecutara una aplicación con una firma no válida conocida.