GatekeeperBlockedRevoked のテストと分析 - Jamf Protect 評価ガイド

以下のステップに従って、GatekeeperBlockedRevoked の Analytics のテストを行ってください。

Warning:

仮想マシンのスナップショットを使用することだけで、この検出のテストを行ってください。

Requirements

github (https://github.com/objective-see/Malware/raw/main/Proton.zip) の Objective-See's macOS Malware Collection (Objective-See の macOS マルウェア収集) から Proton をダウンロードします。

ダウンロードされたファイルを開きます。プロンプトが表示されたら、以下のパスワードを入力します。infect3d
以下のフォルダを開きます。Proton/Proton.C.
Elmedia Player.dmg をダブルクリックしてください。
Elmedia Player.app をデスクトップにドラッグしてください。
Elmedia Player.app をデスクトップで開いてください。
仮想マシンで、macOS のポップアップウィンドウが表示され、ユーザが促されることを確認してください。
テストのシミュレーションを完了した後には、GatekeeperBlockedRevoked というタイトルの新しいアラートが Jamf Protect Cloud の中にあるはずです。
Note:
macOS 10.14 以前では、XProtectDetection のエントリが表示されます。macOS 10.15 以降では、GatekeeperBlockedRevoked のエントリが表示されます。アプリケーションが、Apple が明示的に取り消している開発者 ID で署名されているため、このアラートがトリガーされました。
GatekeeperBlockedRevoked のアラートを開いて、確認します。このアラートの分析する際の最も興味深いデータは以下の通りです:
- 概要 (Summary) > Gatekeeper イベントの詳細 (Gatekeeper Event Details) > メッセージ (Message)：何のアプリケーションが Gatekeeper によりブロックされたかについて情報を提供します。
- プロセス (Processes) > 署名情報 (Signing Info)：アプリケーションの署名情報について情報を提供します。
実世界のシナリオで、このアラートの調査は、ブロックされたアプリケーションを確認することから始まるでしょう。それを認識し、プロセスの signingInfo のフィールドを確認できるかを特定することにより、開発者により適切に署名されているかを特定してください。Gatekeeper は、アプリケーションをブロックすることを選択した理由について、正確な詳細を常に提供するわけではありません。
仮想マシンのスナップショットがこのテストシナリオを完了する前に作成された場合、一番簡単なクリーンアップ方法はそのスナップショットが作成された時点に戻すことです。それ以外の場合には、ダウンロード済みのファイルと抽出済みのコンテンツを削除してください。