TCC_MODIFY イベントをテレメトリに追加
Jamf Protect テレメトリのシステム (System) カテゴリが更新され、TCC_MODIFY イベントによる TCC 認証データベースへの変更がサポートされるようになりました。Apple のエンドポイントセキュリティである、透明性の同意とコントロール (TCC) フレームワークは、macOS 上の機密情報へのアクセスを管理します。この新しいセキュリティイベントにより、TCC の変更イベント (作成、変更、削除) に対する可視性が向上します。これには、アプリケーションに付与された認証権限のタイプに関する情報と、TCC 権限更新の理由が含まれます。
更新されたテレメトリカテゴリが現在テレメトリ構成に含まれている場合、新しいイベントは自動的に収集されます。
既存の TCC 承認を持つイベントは、新しい TCC エンドポイントセキュリティアラートを作成しません。
TCC_MODIFY イベントを監視するユースケースには、以下のようなものがあります。
プライバシー権限の変更の監査
不審なアクティビティの検出
ポリシーとコンプライアンスの適用
カスタムセキュリティワークフローの作成
PTY_CLOSE および PTY_GRANT イベントをテレメトリに追加
Jamf Protect テレメトリのアクセスと認証 (Access and authentication) カテゴリが更新され、2つの新しいテレメトリ擬似ターミナルイベント PTY_CLOSE および PTY_GRANT が追加されました。擬似ターミナルイベントは、制御された環境におけるコマンドラインプロセスとのユーザインタラクションを可能にします。PTY_CLOSE は擬似ターミナルセッションの終了を示します。PTY_GRANT は、ユーザまたはプロセスへの擬似ターミナルアクセスの許可を示します。
更新されたテレメトリカテゴリが現在テレメトリ構成に含まれている場合、新しいイベントは自動的に収集されます。
擬似ターミナルイベントを監視するユースケースには、以下のようなものがあります。
SSH セッションの検出とロギング
リバースシェルまたはリモートコントロールツールの検出
注：リモート IP アドレスからの bash の EXEC に続く新しい
PTY_OPENイベントは、リバースシェルを示している可能性があります。ターミナルベースのマルウェアの監視
高コンプライアンス環境におけるユーザアクティビティの監査