GamePlan、Appleのパックマン向けゲームロジックエンジンでMacを守る

2019年3月のRSAカンファレンスで、DigitaのチーフリサーチオフィサーであるPatrick Wardle氏は、意外な中核を持つMacセキュリティツール「GamePlan」を発表した。その中核とは、ビデオゲームのロジックを動かすフレームワークであるAppleのGameplayKitだ。「パックマンでは、デフォルトでゴーストがパックマンを追いかけます。これが一つのルールです。パックマンがパワーエサを食べると、ゴーストは逃げ出します。これもまた別のルールです」とWardle氏はWIREDに語った。「そこで私たちは、Appleが難しい作業をすべてやってくれていることに気づきました。同社のゲームロジックエンジンは、システム上のイベントを非常に効率的に処理し、警告を出力するのにも使えるのです」。

GamePlanは、USBの挿入、画面キャプチャ、ウェブカメラへのアクセス、署名されていないダウンロード済みプログラムによって作成されたファイルといった、macOS自身が持つ指標を一元化されたストリームに集約し、ルールによる評価を可能にする。他のルールの上に構築されたルールも含まれる。例えば「署名されていないプログラムが永続化し、ユーザーが非アクティブの時にウェブカメラへアクセスしたら警告する」といったものだ。コンテキストがノイズを排除する。開発者のノートPCからUSBへコピーされたファイルは警告を出さないが、人事のノートPCからの場合は出す。Appleのアップデータによって変更されたOSコンポーネントは通過するが、信頼できないプログラムによって変更された場合は警告する。ルールはパック単位で提供され、ユーザーが独自のルールを書くこともできる。

このツールは偽陰性よりも偽陽性に傾き、動作を行うのではなく通知のみを行う。ほぼすべての社内MacでGamePlanを運用していたArea 1 SecurityのCSO、Blake Darché氏は、適切な数の通知を生成し、冗長すぎる場合も調整が容易だと述べ、「クラウドと機械学習にすべての焦点を置くのではなく」Mac自体でより多くのことを行うことを称賛した。ファイアウォールやディスク暗号化の状態といった基本事項のコンプライアンスチェッカーとしても機能する。

GameplayKitはすでにゲームキャラクター向けに「イベントを評価し、アクションを導き出す」問題を解決している。同じルールエンジンは、パックマンのゴーストの代わりにセキュリティテレメトリを処理できる。

Appleはすでにゲームの挙動向けに高速で汎用的なルール評価エンジンを構築していた。それを転用することで、さらにもう一つのイベント処理パイプラインを構築せずに済んだ。

シグネチャではなくルールを用いることで、同じエンジンがサンプルの照合ではなく不審な動作の監視によって未知のマルウェアを検知できる。

誰が、どのマシンで、どのような状態かといったコンテキストに基づくルールは、監視を悩ませるアラート疲れの問題である誤警告を抑制する。

OS自身の指標を用いることで、検知をMac上にローカルに保ち、クラウドへの往復を不要にする。

エンジンを構築する前に、プラットフォームがすでに別の名前でエンジンを提供していないか確認すること。ゲームAIとイベント対応型セキュリティは同じルール問題である。

Digitaは顧客向けにルールパックをあらかじめ用意し、脅威の出現に応じて新しいルールを書くことを計画していた。Wardle氏はすでに、単純なイベント情報から「Evil Maid」攻撃を検知する実験を行っていた。Area 1 Securityは、2019年3月の報道時点でGamePlanを全社規模で試験運用し続けていた。