Santa

سانتا هو نظام ترخيص للوصول إلى الملفات والثنائيات (binaries) لنظام macOS. يتكوّن من امتداد نظام يراقب عمليات التنفيذ والوصول إلى الملفات، ويتخذ القرارات بناءً على محتويات قاعدة بيانات محلية، ووكيل واجهة رسومية يُشعر المستخدم في حالة قرار الحظر، وخدمة خلفية لمزامنة الإعدادات مع خادم بعيد، وأداة سطر أوامر لإدارة النظام.

سُمّي بسانتا لأنه يتتبع الثنائيات "المشاغبة" أو "الجيدة".

الوثائق

توثيقات سانتا مخزنة في مجلد Docs وتُنشر على https://northpole.dev.

تشمل التوثيقات خيارات النشر، وتفاصيل حول كيفية عمل أجزاء سانتا، وتعليمات لتطوير سانتا نفسه.

الحصول على المساعدة

إذا كانت لديك أسئلة أو تحتاج مساعدة في البدء، فإن قناة #santa على slack الخاص بـ macadmins هي مكان رائع للبدء.

إذا كنت تعتقد أن لديك خطأ برمجيًا، فلا تتردد في الإبلاغ عن مشكلة وسنرد في أقرب وقت يمكننا.

إذا كنت تعتقد أنك وجدت ثغرة أمنية، فيرجى قراءة سياسة الأمان للإبلاغ عن الكشف.

الميزات

• أوضاع متعددة: في وضع المراقبة (MONITOR) الافتراضي، يُسمح لجميع الثنائيات باستثناء تلك المحددة كمحظورة بالعمل، مع تسجيلها وتدوينها في قاعدة بيانات الأحداث. في وضع الإغلاق (LOCKDOWN)، يُسمح فقط للثنائيات المدرجة بالعمل.

• تسجيل الأحداث: عندما يتم تحميل امتداد النظام، يتم تسجيل جميع عمليات إطلاق الثنائيات. وفي أي من الوضعين، يتم تخزين جميع الثنائيات غير المعروفة أو المرفوضة في قاعدة البيانات لتمكين التجميع لاحقًا.

• قواعد تستند إلى توقيع الكود، بمستويات تجاوز: بدلاً من الاعتماد على تجزئة (أو "بصمة") الثنائي، يمكن السماح/حظر الملفات القابلة للتنفيذ بناءً على توقيع الكود الخاص بها (عبر قواعد CDHash أو الشهادة أو TeamID أو SigningID). وبالتالي يمكنك السماح/حظر جميع الثنائيات الموقعة من ناشر معين أو جميع إصدارات ثنائي موقّع. تُطبَّق القواعد بترتيب الأكثر تحديدًا، مما يتيح لك السماح لجميع ثنائيات ناشر معين مع حظر معرف توقيع واحد محدد أو ثنائي محدد (أو العكس).

• قواعد تستند إلى المسار (عبر NSRegularExpression/ICU): يتيح ذلك ميزة مشابهة لتلك الموجودة في Managed Client (سابق ملفات التعريف الشخصية، والذي استخدم نفس آلية التنفيذ)، وهي قيود إطلاق التطبيقات عبر ثنائي mcxalr. يحمل هذا التنفيذ فائدة إضافية تتمثل في إمكانية الإعداد عبر regex، وعدم الاعتماد على LaunchServices. كما هو موضح في الويكي، عند تقييم القواعد يحمل هذا أدنى أولوية.

• قواعد شهادات آمنة ضد الفشل: لا يمكنك وضع قاعدة حظر من شأنها حظر الشهادة المستخدمة لتوقيع launchd، أي pid 1، وبالتالي جميع المكونات المستخدمة في macOS. لذلك يتم السماح تلقائيًا بالثنائيات الموجودة في كل تحديث لنظام التشغيل (وفي بعض الحالات إصدارات كاملة جديدة). لا يؤثر هذا على ثنائيات متجر تطبيقات Apple، التي تستخدم شهادات متنوعة تتغير بانتظام للتطبيقات الشائعة. وبالمثل، لا يمكنك حظر سانتا نفسه.

• مكونات بيئة المستخدم (Userland) تتحقق من بعضها البعض: يتواصل كل مكون من مكونات بيئة المستخدم (الخفي (daemon)، وكيل الواجهة الرسومية، وأداة سطر الأوامر) مع بعضها البعض باستخدام XPC ويتحققون من أن شهادات التوقيع الخاصة بهم متطابقة قبل قبول أي اتصال.

• التخزين المؤقت: يتم تخزين الثنائيات المسموح بها مؤقتًا بحيث لا تتم المعالجة المطلوبة لإنشاء طلب إلا إذا لم يكن الثنائي مخزنًا بالفعل.

النوايا والتوقعات

لا يوجد نظام أو عملية واحدة ستوقف جميع الهجمات، أو توفر أمانًا بنسبة 100%. كُتب سانتا بنية مساعدة المستخدمين على حماية أنفسهم من أنفسهم. غالبًا ما يقوم الأشخاص بتنزيل برمجيات خبيثة والثقة بها، مما يمنح البرمجيات الخبيثة بيانات اعتماد، أو يسمح لبرمجيات غير معروفة بإخراج المزيد من البيانات عن نظامك. وباعتباره مكونًا مُدارًا مركزيًا، يمكن لسانتا المساعدة في إيقاف انتشار البرمجيات الخبيثة بين أسطول كبير من الأجهزة. وبشكل مستقل، يمكن لسانتا المساعدة في تحليل ما يعمل على جهاز الكمبيوتر الخاص بك.

سانتا جزء من استراتيجية الدفاع المتعمق، ويجب عليك الاستمرار في حماية المضيفين بأي طرق أخرى تراها مناسبة.

المشكلات المعروفة

• يمنع سانتا التنفيذ فقط (execve وما يشابهه)، ولا يحمي من المكتبات الديناميكية التي يتم تحميلها عبر dlopen، أو المكتبات على القرص التي تم استبدالها، أو المكتبات المحملة باستخدام DYLD_INSERT_LIBRARIES. عادةً ما تحمي أجزاء أخرى من macOS من هذه السبل، طالما أن SIP مفعّل.

• البرامج النصية: سانتا مكتوب حاليًا لتجاهل أي تنفيذ ليس ثنائيًا. وذلك لأنه بعد الموازنة بين تكلفة الإدارة مقابل الفائدة، وجدنا أنه لا يستحق العناء. بالإضافة إلى ذلك، يستخدم عدد من التطبيقات برامج نصية مؤقتة مُولّدة، والتي لا يمكننا بأي حال إدراجها في القائمة البيضاء، وعدم القيام بذلك قد يسبب مشاكل. يسعدنا إعادة النظر في هذا الأمر (أو على الأقل جعله خيارًا) إذا كان مفيدًا للآخرين.

خوادم المزامنة

• يمكن لسانتا مزامنة إعداداته وسياساته مع خادم إدارة، مما يتيح تغييرات سريعة جدًا في الإعدادات.

  تتوفر العديد من الخوادم التجارية ومفتوحة المصدر:

  • Workshop - Workshop هو خادم المزامنة الرسمي المقدم من North Pole Security. إنه مكتمل الميزات، وسريع، وقابل للتوسع، وجاهز للمؤسسات.
  • Moroz - خادم golang بسيط يقدم قواعد ثابتة (hardcoded) من ملفات إعدادات بسيطة.
  • Rudolph - خدمة مزامنة بدون خادم (serverless) مبنية على AWS، وتتكون بشكل أساسي من مكونات API GW وDynamoDB وLambda لتقليل العبء التشغيلي. صُمم Rudolph ليكون سريعًا وسهل الاستخدام وفعّالًا من حيث التكلفة.
  • Zentral - خدمة مركزية تسحب البيانات من مصادر متعددة وتنشر الإعدادات إلى خدمات متعددة.

• بدلاً من ذلك، يمكن إعداد القواعد محليًا باستخدام مفتاح الإعداد StaticRules أو باستخدام أمر santactl rule.

لقطات الشاشة

أداة مثل سانتا لا تصلح حقًا للقطات الشاشة، لذلك إليك مقطع فيديو بدلاً من ذلك.

المساهمة

التصحيحات لهذا المشروع مرحب بها جدًا. يرجى الاطلاع على مستند المساهمة.

إخلاء المسؤولية

شركة North Pole Security ومنتج North Pole Security Santa غير مرتبطين بشركة Google.