XProtectDetection のテストと分析 - Jamf Protect 評価ガイド

以下のステップに従って、XProtectDetection の Analytics のテストを行ってください。

Warning:

仮想マシンのスナップショットを使用することだけで、この検出のテストを行ってください。

Requirements

仮想マシンで、Objective-See's macOS Malware Collection (Objective-See の macOS マルウェア収集) (https://github.com/objective-see/Malware/raw/main/Gimmick.zip) から Gimmick をダウンロードします。このファイルには、Gimmick マルウェアの XProtect 検出をトリガーする実行ファイルが含まれています。

ダウンロードされた zip ファイルを開き、抽出します。
プロンプトが表示されたら、以下のパスワードを入力します。infect3d
ダブルクリックすることにより、抽出された実行ファイルを実行します。
悪意のあるコンテンツについてアドバイスを行う XProtect のポップアップウィンドウが表示されたことを確認します。
ゴミ箱を選択するか、キャンセルします。
テストのシミュレーションを完了した後には、XProtectDetection というタイトルの新しいアラートが Jamf Protect Cloud の中にあるはずです。
XProtectDetection のアラートを開いて、確認します。このアラートの分析する際の最も興味深いデータは以下の通りです:
- 概要 (Summary) > XProtectSignatureName：このマルウェアを特定するために使用されるスレッド署名に Apple により割り当てられるスレッドの名前。
- 概要 (Summary) > TimeStamp：マルウェアの検出と隔離が行われた時間。
- 概要 (Summary) > OriginURL：ユーザがダウンロードを開始したページのオリジンの URL (常に利用できるわけではありません)。
- 概要 (Summary) > DataURL：マルウェアがダウンロードされた本当の URL。
- 概要 (Summary) > AgentBundleIdentifier：ダウンロードを完了したアプリケーション。この場合は Safari ブラウザです。
- 概要 (Summary) > UserAction：XProtect のポップアップウィンドウが提示された際にユーザが起こすアクション。
実世界のシナリオで、このアラートの調査は、テストのマルウェアあるいは正当なマルウェアであるかを理解するために、悪意のあるプログラムのファイルパスを特定し、ファイルがどこからのものかを特定することから始まるでしょう。
仮想マシンのスナップショットがこのテストシナリオを完了する前に作成された場合、一番簡単なクリーンアップ方法はそのスナップショットが作成された時点に戻すことです。それ以外の場合には、ダウンロード済みのファイルと抽出済みのコンテンツを削除してください。
1. テストの実行ファイルをダブルクリックする際は、XProtect のポップアップウィンドウで「Move to Trash (ゴミ箱へ移動)」を選択して、削除します。
2. ゴミ箱を空にして、テストの実行ファイルが完全に削除されていることを確認します。