MacNoise

MacNoise は実際の macOS テレメトリを生成します: ネットワーク接続、ファイル書き込み、プロセス生成、plist の変更、TCC プローブなど。EDR、SIEM、またはファイアウォールスタックを実行しているマシンに対して実行し、実際に何が発火するかを確認できます - ベンダーのデータシートが発火すると主張するものではなく。

動機と設計の背景については、リリースブログ記事を参照してください。

クイックスタート

# Build (add build-amd64 / build-arm64 to cross-compile for Darwin, or release for both)
make build

# List available modules
./macnoise list

# Run a single module
./macnoise run net_connect --param target=127.0.0.1 --param port=8080

# Preview without executing
./macnoise run svc_launch_agent --dry-run

# Run all network modules
./macnoise run --category network

# Run a scenario
./macnoise scenario configs/scenarios/edr_validation.yaml

# Emit structured JSONL output
./macnoise run --category file --format jsonl --output /tmp/events.jsonl

テレメトリカテゴリ

コマンド

macnoise run <module> [--param key=val ...]   Run a specific module
macnoise run --category <cat>                 Run all modules in a category
macnoise run --all                            Run all modules
macnoise list [--category <cat>]              List modules
macnoise info <module>                        Show module details, params, MITRE
macnoise scenario <file.yaml>                 Run a YAML scenario
macnoise categories                           List categories with counts
macnoise version                              Print version

グローバルフラグ

アーティファクトをそのまま残す

デフォルトでは、すべてのモジュールは終了時に自身を元に戻します。これは通常望ましい動作ですが、検知が インストール イベントしか見ないことを意味します。スタックが永続化自体を検知することを検証するには - ~/Library/LaunchAgents に存在する LaunchAgent、cron エントリ、変更されたシェルプロファイル - スキャンが実行される時点でアーティファクトがまだそこに存在している必要があります:

./macnoise run svc_launch_agent --no-cleanup

クリーンアップをスキップする各モジュールは自身の名前を示す行を出力し、監査ログは ok ではなく cleanup_result: skipped を記録するため、永続化を残した実行がクリーンアップした実行と誤認されることはありません。特定のモジュールが何を作成するかを確認するには macnoise info <module> を使用してください。

これらの削除はご自身の責任で行ってください。 フラグなしで同じモジュールを再実行すると、その実行が作成したものだけがクリーンアップされ、以前の --no-cleanup 実行が残したものはクリーンアップされません。

監査ログ

MacNoise は 2 つの別々のストリームを書き込みます。テレメトリイベント - EDR/SIEM が実際に見るもの - は stdout または --output に送られます。2 つ目のオプションのストリームは、MacNoise 自体が何を行ったかを記録します: どのモジュールが実行されたか、前提条件/クリーンアップの結果、MITRE マッピングを OCSF 1.7.0 JSONL で記録します。

./macnoise scenario configs/scenarios/amos_atomic_stealer.yaml --audit-log /tmp/audit.jsonl

すべてのテレメトリイベントは success とともに outcome を持ちます (スキーマ 1.1)。success は MacNoise が機能したかどうかを示し、outcome は試みたアクションに何が起こったかを示します:

拒否された TCC プローブや死んだ C2 へのビーコンは、このツールが生成するために存在するテレメトリであるため、これらは success: true のままで、outcome によって区別されます。error のみが success: false を設定します。監査ログでは同じ値が unmapped.outcome に現れます。OCSF の status は拒否されたアクションと壊れたツールを同一に記録するためです。

監査ログは追記モードで開かれるため、複数の実行からのレコードがバッチ分析用に 1 つのファイルに蓄積されます。モジュールを追加していて、新しいイベントタイプがどのように OCSF に分類されるかを知りたい場合は、CONTRIBUTING.md を参照してください。

モジュールリファレンス

モジュールのドキュメントは各カテゴリとともにあります:

シナリオ

シナリオはモジュールを順序付けられたシーケンスに連鎖させます - 単一の YAML ファイルで、多段階の侵入パターンを検知に対して再生します。

2 つの APT シナリオは、実際に文書化された侵入シーケンスをテクニックごとに追従します - 各 YAML ファイルはそれが構築された実際の脅威インテリジェンスを引用し、すべてのステップにそれが行使する MITRE テクニックを注釈付けしているので、ここでの再説明ではなく、完全な内訳についてはそこから始めてください。

まずドライラン:

./macnoise scenario configs/scenarios/<scenario>.yaml --dry-run

SIEM/EDR と相互参照: 各ステップのコメントは、それがトリガーすべきテクニックを明示しています。実際の実行後に一致するアラートがなければ、それはカバレッジのギャップです。

独自のシナリオを書く:

name: My Custom Scenario
steps:
  - module: net_connect
    params:
      target: "192.168.1.1"
      port: "443"
  - category: file
    params:
      base_dir: "/tmp/test"

コントリビューション

新しいモジュールの追加、コードスタイル、および完全な PR プロセスについては CONTRIBUTING.md を参照してください。

リリースは自動化されています - release-please があなたの Conventional Commit PR タイトルから直接新しいバージョンを切り出すので、feat: add net_tls module や fix: correct beacon jitter が PR タイトルと変更履歴エントリの両方になります。

免責事項

MacNoise は、あなたが所有する、またはテストする明示的な書面による許可を持つシステム上での 許可された セキュリティテスト、EDR 検証、および検知エンジニアリングを目的としています。作者は誤用に対して一切の責任を負いません。

AI コードポリシー

AI コードのコントリビューションは問題ありませんが、コードレビューは現在人間主導のプロセスになる予定であり、レビューできるコードの量には限りがあることに留意してください。PR は特定の修正または新しいテレメトリモジュールに限定してください。広範な変更を含む PR はクローズされる可能性が高いです。