northpolesec/santamacOS के लिए एक बाइनरी और फ़ाइल एक्सेस प्राधिकरण प्रणाली।
Santa macOS के लिए एक बाइनरी और फ़ाइल एक्सेस प्राधिकरण प्रणाली है। इसमें एक सिस्टम एक्सटेंशन शामिल है जो निष्पादन और फ़ाइल एक्सेस की निगरानी करता है, और एक स्थानीय डेटाबेस की सामग्री के आधार पर निर्णय लेता है; एक GUI एजेंट जो ब्लॉक निर्णय की स्थिति में उपयोगकर्ता को सूचित करता है; एक बैकग्राउंड सेवा जो कॉन्फ़िगरेशन को रिमोट सर्वर के साथ सिंक्रनाइज़ करती है; और एक कमांड-लाइन उपयोगिता जो सिस्टम का प्रबंधन करती है।
इसे Santa इसलिए नाम दिया गया है क्योंकि यह उन बाइनरी पर नज़र रखता है जो शरारती हैं या अच्छी हैं।
Santa के दस्तावेज़ दस्तावेज़ निर्देशिका में संग्रहीत हैं और https://northpole.dev पर प्रकाशित होते हैं।
दस्तावेज़ों में तैनाती के विकल्प, Santa के हिस्सों के काम करने के विवरण और Santa को स्वयं विकसित करने के निर्देश शामिल हैं।
यदि आपके पास प्रश्न हैं या शुरू करने में सहायता चाहिए, तो macadmins स्लैक पर #santa चैनल शुरू करने के लिए एक बेहतरीन जगह है।
यदि आपको लगता है कि आपके पास एक बग है, तो बेझिझक एक समस्या दर्ज करें और हम जितनी जल्दी हो सके उत्तर देंगे।
यदि आपको लगता है कि आपको एक भेद्यता मिली है, तो कृपया प्रकटीकरण रिपोर्टिंग के लिए सुरक्षा नीति पढ़ें।
एकाधिक मोड: डिफ़ॉल्ट MONITOR मोड में, ब्लॉक किए गए के रूप में चिह्नित बाइनरी को छोड़कर सभी बाइनरी को चलने की अनुमति होगी, जबकि उन्हें लॉग और रिकॉर्ड किया जाता है। LOCKDOWN मोड में, केवल सूचीबद्ध बाइनरी को चलने की अनुमति है।
इवेंट लॉगिंग: जब सिस्टम एक्सटेंशन लोड होता है, तो सभी बाइनरी लॉन्च लॉग किए जाते हैं। किसी भी मोड में, सभी अज्ञात या अस्वीकृत बाइनरी को बाद में एकत्रीकरण सक्षम करने के लिए डेटाबेस में संग्रहीत किया जाता है।
कोड हस्ताक्षर-आधारित नियम, ओवरराइड स्तरों के साथ: बाइनरी के हैश (या 'फ़िंगरप्रिंट') पर भरोसा करने के बजाय, निष्पादन योग्य को उनके कोड हस्ताक्षर द्वारा अनुमति/ब्लॉक किया जा सकता है (CDHash, Certificate, TeamID या SigningID नियमों के माध्यम से)। इसलिए आप किसी प्रकाशक द्वारा हस्ताक्षरित सभी बाइनरी या किसी हस्ताक्षरित बाइनरी के सभी संस्करणों को अनुमति/ब्लॉक कर सकते हैं। नियम सबसे विशिष्ट क्रम में लागू होते हैं, जो आपको किसी विशेष प्रकाशक की सभी बाइनरी को अनुमति देने की अनुमति देता है, जबकि एक विशिष्ट signing ID या बाइनरी को ब्लॉक करता है (या इसके विपरीत)।
पाथ-आधारित नियम (NSRegularExpression/ICU के माध्यम से): यह Managed Client (कॉन्फ़िगरेशन प्रोफ़ाइलों का अग्रदूत, जो समान कार्यान्वयन तंत्र का उपयोग करता था) में पाए जाने वाले फीचर के समान एक सुविधा प्रदान करता है, mcxalr बाइनरी के माध्यम से एप्लिकेशन लॉन्च प्रतिबंध। यह कार्यान्वयन regex के माध्यम से कॉन्फ़िगर करने योग्य होने और LaunchServices पर निर्भर न होने का अतिरिक्त लाभ रखता है। जैसा कि विकी में विस्तृत है, नियमों का मूल्यांकन करते समय इसकी सबसे कम प्राथमिकता होती है।
फ़ेलसेफ सर्ट नियम: आप एक अस्वीकार नियम नहीं डाल सकते जो launchd, उर्फ pid 1, और इसलिए macOS में उपयोग किए जाने वाले सभी घटकों पर हस्ताक्षर करने के लिए उपयोग किए जाने वाले प्रमाणपत्र को ब्लॉक कर देगा। इसलिए प्रत्येक OS अपडेट में बाइनरी (और कुछ मामलों में पूरे नए संस्करण) स्वचालित रूप से अनुमत होते हैं। यह Apple के App Store की बाइनरी को प्रभावित नहीं करता है, जो विभिन्न प्रमाणपत्रों का उपयोग करते हैं जो सामान्य ऐप्स के लिए नियमित रूप से बदलते हैं। इसी तरह, आप Santa को स्वयं ब्लॉक नहीं कर सकते।
यूज़रलैंड घटक एक-दूसरे को सत्यापित करते हैं: प्रत्येक यूज़रलैंड घटक (डेमन, GUI एजेंट और कमांड-लाइन उपयोगिता) XPC का उपयोग करके एक-दूसरे के साथ संवाद करते हैं और किसी भी संचार को स्वीकार करने से पहले जांचते हैं कि उनके हस्ताक्षर प्रमाणपत्र समान हैं।
कैशिंग: अनुमत बाइनरी को कैश किया जाता है ताकि अनुरोध करने के लिए आवश्यक प्रोसेसिंग केवल तभी की जाए जब बाइनरी पहले से कैश न हो।
कोई भी एक प्रणाली या प्रक्रिया सभी हमलों को नहीं रोकेगी, या 100% सुरक्षा प्रदान नहीं करेगी। Santa को उपयोगकर्ताओं को खुद से बचाने में मदद करने के इरादे से लिखा गया है। लोग अक्सर मैलवेयर डाउनलोड करते हैं और उस पर भरोसा करते हैं, मैलवेयर को क्रेडेंशियल देते हैं, या अज्ञात सॉफ़्टवेयर को आपके सिस्टम के बारे में अधिक डेटा बाहर निकालने की अनुमति देते हैं। केंद्रीय रूप से प्रबंधित घटक के रूप में, Santa मशीनों के बड़े फ्लीट के बीच मैलवेयर के प्रसार को रोकने में मदद कर सकता है। स्वतंत्र रूप से, Santa आपके कंप्यूटर पर चल रही चीज़ों का विश्लेषण करने में सहायता कर सकता है।
Santa रक्षा-गहराई रणनीति का हिस्सा है, और आपको होस्ट की सुरक्षा उन अन्य तरीकों से जारी रखनी चाहिए जो आप उचित समझते हैं।
Santa केवल निष्पादन (execve और वेरिएंट) को ब्लॉक करता है, यह dlopen के साथ लोड की गई डायनेमिक लाइब्रेरी, डिस्क पर बदली गई लाइब्रेरी, या DYLD_INSERT_LIBRARIES का उपयोग करके लोड की गई लाइब्रेरी के खिलाफ सुरक्षा नहीं करता है। macOS के अन्य हिस्से आमतौर पर इन रास्तों से बचाव करेंगे, जब तक कि SIP सक्षम है।
स्क्रिप्ट: Santa वर्तमान में किसी भी ऐसे निष्पादन को अनदेखा करने के लिए लिखा गया है जो बाइनरी नहीं है। ऐसा इसलिए है क्योंकि प्रशासनिक लागत बनाम लाभ को तौलने के बाद, हमने पाया कि यह सार्थक नहीं था। इसके अतिरिक्त, कई एप्लिकेशन अस्थायी रूप से उत्पन्न स्क्रिप्ट का उपयोग करते हैं, जिन्हें हम संभवतः allowlist नहीं कर सकते हैं और ऐसा न करने से समस्याएँ उत्पन्न होंगी। यदि यह दूसरों के लिए उपयोगी होगा, तो हम इस पर फिर से विचार करने (या कम से कम इसे एक विकल्प बनाने) में खुश हैं।
Santa अपनी सेटिंग्स और नीतियों को एक प्रबंधन सर्वर के साथ सिंक्रनाइज़ कर सकता है, जिससे बहुत तेज़ी से कॉन्फ़िगरेशन परिवर्तन संभव होते हैं।
कई वाणिज्यिक और ओपन-सोर्स सर्वर उपलब्ध हैं:
वैकल्पिक रूप से, नियमों को स्थानीय रूप से StaticRules कॉन्फ़िगरेशन कुंजी या santactl rule कमांड का उपयोग करके कॉन्फ़िगर किया जा सकता है।
इस तरह का एक उपकरण स्क्रीनशॉट के लिए उपयुक्त नहीं है, इसलिए इसके बजाय यहाँ एक वीडियो है।
इस परियोजना में पैच का स्वागत है। कृपया CONTRIBUTING दस्तावेज़ देखें।
North Pole Security और North Pole Security Santa Google से संबद्ध नहीं हैं।
