GamePlan: Eine Game-Engine wird zum Virenscanner

Wardle hat ja schon so Einiges für die Mac-Community und ihre Sicherheit getan. Dieser neue Ansatz aber könnte einfache Sicherheitsprobleme auf dem Mac beheben - und das mit Game-Logik. Auf der RSA-Sicherheitskonferenz gab Wardle bekannt, wie ungeschützt auch Apple-User auf dem Mac eigentlich sind, und was man dagegen tun könne.

Zuerst entwickelten er und seine Kollegen das MonitorKit, das in mehrere macOs-Prozesse eingebunden ist, die Systemereignisse erfasst und bei Bedarf Alarm schlägt. Modifikation von Software wie Verschlüsselung von Daten oder simulierte Klicks, Keylogging, Downloads oder auch Veränderung der Hardware, wie das Einstecken von USB-Sticks wird so erkannt. Geplant ist auch, die Funktion auf Mikrophon und Kamera zu erweitern. Die Software ist nebenbei auch Open-Source und auf github erhältlich.

Nun brauchte man eine Engine, die die gesammelten Daten anhand von Regeln sortieren kann, und nun kommt Apples Framework ins Spiel. Wardle erkannte, dass eine Game Engine, so wie diese, ebenfalls Ereignisse empfängt, Regeln auf sie anwendet und ein Ergebnis generiert - die perfekte Plattform zur Anwendung seines Analysekits. Die Systemaufrufe und Warnungen von MonitorKit konnten mithilfe der Logiksteuerung GKRuleSystem um Regeln erweitert und verknüpft werden, ohne eine neue Engine dafür zu bauen, was die Einbindung relativ einfach macht. Admins können das Tool auch um ihre eigenen Regeln erweitern, um zum Beispiel Missbrauch von Superuser-Rechten, das Einloggen vor Feierabend und sogar das Einlegen einer CD zu erfassen. Obwohl in iOS-Kreisen das MonitorKit noch nicht so bekannt ist, meint Patrick Wardle, dass dieses und ein Set aus Regeln in der Theorie auch auf anderen Engines mit guten API’s funktionieren könne, die Umsetzung ist wohl fraglich. Im Verlauf des Jahres soll der GamePlan auch für Firmennutzung angeboten werden, der Endnutzer ist davon allerdings noch weit entfernt. Und inwieweit die strengen Entwickler-Richtlinien von Apple die Verbreitung des Tools schon vorher verhindern, bleibt abzuwarten.