ExtendedAttributesActivity のカスタム Analytics を作成

このカスタム Analytics は、拡張属性、あるいはファイルからすべての com.apple.quarantine 拡張属性を消去するために使用される xattr バイナリのアクティビティについてレポートを作成するために使用できます。ファイルからすべての拡張属性、あるいはターゲットの拡張属性を消去するために使用される -c と -d のオプション (com.apple.quarantine) のある xattr バイナリの使用を監視することにより、この検出は機能します。

com.apple.quarantine の拡張属性は、悪意のあるコードに対する重要なチェックが必ず実行されるようにするための重要要素として機能します。ファイルがブラウザまたは macOS クライアントによりダウンロードされると、com.apple.quarantine のビットがファイルに添付され、これにより最初の起動時にユーザ確認のプロンプトと Gatekeeper のスキャンの両方がトリガーされます。

Requirements

Jamf Protect Web App 内の1つ以上の既存の Plan。

Jamf Protect で、解析 > すべての解析をクリックします。
画面上部のカスタム解析を作成をクリックします。
次のフィールドを入力します:
1. Analytic の名前 (Analytic Name) フィールドに ExtendedAttributesActivity と入力します。
2. レベル (Level) で、レベル - 0 (Level - 0) を選択します。
3. カテゴリ (Categories) で、表示 (Visibility) を選択します。
4. 重大度 (Severity) で、情報提供用 (Informational) を選択します。
  Note:
  情報提供用のアラートを Jamf Protect に送信していない場合は、重要度を「Informational (情報提供用)」から「Low (低)」に切り替えてください。
5. センサータイプ (Sensor Type) で、プロセスイベント表示 (Process Event View) を選択します。
6. クリックして </> テキストビューをフィルタ。テキストボックスに以下を入力してください。
```
$event.type == 1 AND $event.process.signingInfo.appid == "com.apple.xattr" AND $event.process.commandLine MATCHES "xattr\\s+(-[lrsvx]{0,5}\\s+){0,5}((.*\\s+)?-[lrsvx]{0,5}c[lrsvxc]{0,5}(\\s.*)?|-[rsvx]{0,4}d[rsvxd]{0,5}\\s+(-[lrsvxd]{0,5}\\s+){0,5}(\"|\')?com\\.apple\\.quarantine(\"|\')?\\s.+)"
```
残りのフィールドをデフォルトの選択内容のままにしてください。
保存をクリックして、カスタム Analytics が解析 > すべての解析 > カスタムに表示されるのを検証してください。
解析セット > 解析を作成をクリックします。
名前を入力して ExtendedAttributesActivity を選択し、保存をクリックします。
Jamf Protect で、Plan をクリックします。
Plan を選択し、編集をクリックします。
ExtendedAttributesActivity Analytic を含む Analytic セットを選択し、保存をクリックして展開します。

ExtendedAttributesActivity のカスタム Analytics を作成 - Jamf Protect 評価ガイド

Jamf Protect 評価ガイド