GamePlan protège les Macs avec le moteur de logique de jeu Pac-Man d'Apple

Lors de la conférence RSA en mars 2019, Patrick Wardle, directeur de la recherche chez Digita, a présenté GamePlan, un outil de sécurité pour Mac doté d'un cœur inattendu : GameplayKit d'Apple, le framework qui alimente la logique des jeux vidéo. « Dans PacMan, par défaut, les fantômes chassent PacMan, c'est donc une règle. Si PacMan mange une super pastille, les fantômes s'enfuient. C'est une autre règle », a déclaré Wardle à WIRED. « Nous avons donc réalisé qu'Apple avait fait tout le travail difficile pour nous. Son moteur de logique de jeu peut aussi servir à traiter très efficacement des événements sur un système et à émettre un avertissement. »

GamePlan collecte les indicateurs propres à macOS — insertion d'un périphérique USB, captures d'écran, accès à la webcam, fichiers créés par des programmes téléchargés non signés — dans un flux centralisé et permet à des règles de les évaluer, y compris des règles construites sur d'autres règles : « si un programme non signé persiste et accède à la webcam lorsque l'utilisateur est inactif, alerter ». Le contexte élimine le bruit : des fichiers copiés sur USB depuis un ordinateur portable de développeur ne déclenchent aucune alerte, depuis un ordinateur portable du service RH ils en déclenchent une ; un composant du système d'exploitation modifié par le programme de mise à jour d'Apple passe, modifié par un programme non fiable il déclenche une alerte. Les règles sont livrées par packs, et les utilisateurs peuvent écrire les leurs.

L'outil penche vers les faux positifs plutôt que vers les faux négatifs et se contente de notifier plutôt que d'agir. Blake Darché, CSO d'Area 1 Security, qui exécutait GamePlan sur presque tous les Macs de son entreprise, a déclaré qu'il génère un nombre raisonnable de notifications et qu'il est facile à ajuster lorsqu'il est trop bavard, et a salué le fait d'en faire davantage sur le Mac lui-même « au lieu de tout miser sur le cloud et l'apprentissage automatique ». Il sert aussi de vérificateur de conformité pour des éléments de base comme l'état du pare-feu et du chiffrement du disque.

GameplayKit résout déjà le problème « évaluer des événements, produire une action » pour les personnages de jeu ; le même moteur de règles peut traiter de la télémétrie de sécurité au lieu des fantômes de Pac-Man.

Apple avait déjà construit un moteur d'évaluation de règles rapide et général pour le comportement des jeux ; le détourner évitait de construire encore un autre pipeline de traitement d'événements.

Des règles plutôt que des signatures signifient que le même moteur peut attraper des logiciels malveillants inconnus en observant des actions suspectes plutôt qu'en comparant des échantillons.

Des règles contextuelles — qui, quelle machine, quel état — suppriment les fausses alertes, le problème de fatigue d'alerte qui gangrène la surveillance.

L'utilisation des indicateurs propres au système d'exploitation garde la détection locale sur le Mac, sans aller-retour vers le cloud.

Avant de construire un moteur, vérifiez si la plateforme en fournit déjà un sous un autre nom : l'IA de jeu et la sécurité par réponse à des événements relèvent du même problème de règles.

Digita prévoyait de préremplir des packs de règles pour les clients et d'écrire de nouvelles règles à mesure que les menaces apparaissaient ; Wardle avait déjà expérimenté la détection d'attaques « Evil Maid » à partir de simples informations d'événements. Area 1 Security continuait d'essayer GamePlan à l'échelle de son parc au moment du rapport de mars 2019.