Jamf Protect Analytics (解析)のテストと分析SuspiciousCurlCommand - Jamf Protect 評価ガイド

Jamf Protect 評価ガイド
Solution
Application
Content Type
テクニカル資料
Utilities & Services
ft:locale
ja-JP

以下のステップに従って、SuspiciousCurlCommand の Analytics のテストを行ってください。

Requirements

仮想マシンを使用している場合、このシミュレーションの最後に戻すために使うスナップショットを作成してください。

このスレッドのシミュレーションを実行するには、Python 3 が必要です。追加情報については、Python 3 のインストール を参照してください。

  1. Terminal を開いて、規定の順序でこれらのコマンドを実行してください。
    # create testing scripting code
echo "display alert \"Hello World\" message \"A curl commands output was passed directly
 to osascript for in-memory execution.\"" > /tmp/FOO

# start a local python HTTP server for download simulation
python3 -m http.server 80 --directory /tmp
  2. File (ファイル) > New Window (新しいウィンドウ) を選択することにより、2 つ目の新しい Terminal ウィンドウを開き、次のコマンドをそこで実行してください。
    # use the curl utility to download 
curl http://127.0.0.1/FOO | osascript
    テストのステップを完了した後には、SuspiciousCurlCommand というタイトルの新しいアラートが Jamf Protect Cloud で利用可能になるはずです。
  3. SuspiciousCurlCommand のアラートを開いて、確認します。このアラートの分析する際の最も興味深いデータは以下の通りです:

    • Summary (サマリー) > Curl Command (Curl コマンド): これには、データがダウンロードされた URL と IP アドレスが両方とも含まれ、コマンドの目的も示されます。

    • Processes (プロセス): プロセスツリーの最初のプロセスは、ダウンロードされたデータが受け渡されるインタープリターです。

    実世界のシナリオで、このアラートの調査は、ダウンロードが curl コマンドで行われた場所を調査し、一旦ダウンロードされたらデータがどのように使用されるのか、スクリプトインタープリターに受け渡されたかを調査することから始まるでしょう。

  4. 仮想マシンのスナップショットがこのテストシナリオを完了する前に作成された場合、一番簡単なクリーンアップ方法はそのスナップショットが作成された時点に戻すことです。それ以外の場合には、次のステップに従ってください。
  5. 画面上の AppleScript のポップアップウィンドウを終了します。
  6. 手動か、CMD + W のショートカットを使用して、最初の Termnal ウィンドウを閉じます。
  7. Terminal でこのコマンドを実行して、FOO テストファイルを削除します。
    # remove the testing file
rm /tmp/FOO