ESFang

Questo è uno strumento progettato per il consumo modulare degli eventi EndpointSecurity Framework (ESF) dall'ambiente macOS. È il mio tentativo di superare una serie di problemi riscontrati con gli strumenti esistenti, tra cui la perdita silenziosa di dati, il consumo rigido dei tipi di evento, la mancanza di supporto per tipi di dati alternativi e il sovraccarico dell'handler di accesso ai file.

Questo strumento si basa fortemente sull'eccellente lavoro svolto da Chris Ross, Omark-Ikram e dal team di Objective-See per i loro strumenti ProcessMonitor, Appmon e EndpointSecurityDemo. La mia comprensione di base e l'applicabilità dell'ingestione dei dati ESF sono state notevolmente migliorate e avviate dall'esame dei loro lavori, che hanno fatto gran parte del lavoro pesante per rendere possibile questo sviluppo. Questo strumento ha tentato di estrapolare i migliori elementi di questi strumenti ed espanderli al fine di consentire un'azione di consumo ESF caso per caso in base alle esigenze degli investigatori.

Gli strumenti esistenti, inclusi strumenti più raffinati come Crescendo di FireEye, incorrono in una serie di problemi associati a ESF stesso che, nei test, sembrano legati al modo in cui il client ESF ingerisce i dati dal sottosistema. Il problema principale riscontrato è stata la perdita silenziosa di dati. Nei test, quando venivano ingeriti numerosi tipi di evento, i risultati confrontati con l'ingestione di un singolo tipo di evento mostravano una disparità nei dati accumulati. Nei test, eventi critici legati ad attività dannose non erano presenti nel set di dati acquisito che invece era presente nell'ingestione di un singolo tipo di evento.

Lo scopo principale di questo strumento era triplice:

• Creare uno strumento che evitasse il problema della perdita silenziosa di dati
• Consentire la specifica caso per caso della raccolta degli eventi
• Essere espandibile e integrabile nei sistemi di monitoraggio

A tal fine, lo strumento consente all'utente di specificare quali tipi di evento desidera raccogliere durante le operazioni tra i 51 tipi di evento NOTIFY disponibili (i tipi di evento AUTH sono stati omessi per questo strumento). Ciò significa che i ricercatori possono indirizzare specifici tipi di evento legati a specifiche operazioni che desiderano monitorare, oltre a contribuire a ridurre la perdita silenziosa di dati associata diminuendo il numero complessivo di tipi di evento raccolti dal client.

L'output dei dati è distribuito in file di log per singolo tipo di evento, che a loro volta sono raggruppati in file per genere di evento come processi, file, socket, ecc. Tutti i log sono scritti in JSON per una facile ingestione e possono essere ampliati dagli utenti modificando il codice sorgente per raccogliere campi aggiuntivi descritti nella documentazione dei tipi di evento fornita da Apple.