GamePlan protege los Mac con el motor de lógica de juego Pac-Man de Apple

En la conferencia RSA de marzo de 2019, Patrick Wardle, director de investigación de Digita, presentó GamePlan, una herramienta de seguridad para Mac con un núcleo insólito: GameplayKit de Apple, el framework que impulsa la lógica de los videojuegos. «En PacMan, por defecto los fantasmas persiguen a PacMan, así que esa es una regla. Si PacMan se come una píldora de poder, los fantasmas huyen. Esa es otra regla», dijo Wardle a WIRED. «Así que nos dimos cuenta de que Apple ya había hecho todo el trabajo duro por nosotros. Su motor de lógica de juego también puede usarse para procesar eventos en un sistema de forma muy eficiente y emitir una advertencia».

GamePlan recopila los propios indicadores de macOS —inserción de USB, capturas de pantalla, acceso a la webcam, archivos creados por programas descargados sin firma— en un flujo centralizado y permite que las reglas los evalúen, incluidas reglas construidas sobre otras reglas: «si un programa sin firma persiste y accede a la webcam cuando el usuario no está activo, alertar». El contexto elimina el ruido: los archivos copiados a USB desde un portátil de desarrollador no generan alerta, desde un portátil de RR. HH. sí; un componente del sistema operativo modificado por el actualizador de Apple pasa, modificado por un programa no confiable genera alerta. Las reglas se distribuyen en paquetes y los usuarios pueden escribir las suyas propias.

La herramienta se inclina por los falsos positivos antes que por los falsos negativos y solo notifica en lugar de actuar. Blake Darché, CSO de Area 1 Security, que ejecutaba GamePlan en casi todos los Mac de su empresa, dijo que genera una cantidad razonable de notificaciones y que es fácil de ajustar cuando es demasiado verbosa, y elogió hacer más en el propio Mac «en lugar de poner todo el foco en la nube y el aprendizaje automático». También funciona como verificador de cumplimiento para aspectos básicos como el estado del firewall y del cifrado de disco.

GameplayKit ya resuelve «evaluar eventos, generar una acción» para los personajes de los juegos; el mismo motor de reglas puede procesar telemetría de seguridad en lugar de fantasmas de Pac-Man.

Apple ya había construido un motor de evaluación de reglas rápido y general para el comportamiento de los juegos; reutilizarlo evitó construir otra canalización de procesamiento de eventos.

Las reglas en lugar de las firmas significan que el mismo motor puede detectar malware desconocido observando acciones sospechosas en lugar de comparar muestras.

Las reglas contextuales —quién, qué máquina, qué estado— suprimen las falsas alarmas, el problema de la fatiga de alertas que afecta a la monitorización.

Usar los propios indicadores del sistema operativo mantiene la detección local en el Mac, sin ida y vuelta a la nube.

Antes de construir un motor, comprueba si la plataforma ya incluye uno con otro nombre: la IA de los juegos y la seguridad de respuesta a eventos son el mismo problema de reglas.

Digita planeaba precargar paquetes de reglas para los clientes y escribir nuevas reglas a medida que surgieran las amenazas; Wardle ya había experimentado con la detección de ataques «Evil Maid» a partir de información simple de eventos. Area 1 Security seguía probando GamePlan en toda su flota según el informe de marzo de 2019.