GamePlan, 애플의 팩맨 게임 로직 엔진으로 맥을 지키다

2019년 3월 RSA 콘퍼런스에서 디지타의 최고 연구 책임자 패트릭 워들은 예상 밖의 핵심을 가진 맥 보안 도구 GamePlan을 발표했다. 바로 비디오 게임 로직을 구동하는 프레임워크인 애플의 GameplayKit이다. 워들은 WIRED에 이렇게 말했다. '팩맨에서는 기본적으로 유령들이 팩맨을 쫓아다니죠. 그래서 그게 하나의 규칙입니다. 팩맨이 파워 펠릿을 먹으면 유령들이 도망갑니다. 그게 또 다른 규칙이고요. 그래서 우리는 애플이 어려운 일을 다 해놓았다는 걸 깨달았습니다. 그 게임 로직 엔진은 시스템의 이벤트를 매우 효율적으로 처리하고 경고를 내놓는 데에도 쓸 수 있습니다.'

GamePlan은 macOS 자체의 지표들, 즉 USB 삽입, 화면 캡처, 웹캠 접근, 서명되지 않은 다운로드 프로그램이 만든 파일 등을 중앙화된 스트림으로 모으고 규칙이 이를 평가하도록 한다. 다른 규칙 위에 세워진 규칙도 포함된다. '서명되지 않은 프로그램이 지속되고 사용자가 비활성 상태일 때 웹캠에 접근하면 경고.' 맥락이 잡음을 없앤다. 개발자 노트북에서 USB로 복사된 파일은 경고를 부르지 않지만 인사 노트북에서 복사된 파일은 부른다. 애플의 업데이터가 수정한 OS 구성 요소는 통과하지만 신뢰할 수 없는 프로그램이 수정하면 경고한다. 규칙은 팩 단위로 배포되며 사용자가 직접 작성할 수도 있다.

이 도구는 거짓 음성보다 거짓 양성 쪽으로 기울며 조치를 취하기보다는 알림만 한다. 거의 모든 회사 맥에서 GamePlan을 운용하던 에어리어 1 시큐리티의 최고 보안 책임자 블레이크 다르셰는 합리적인 수의 알림을 생성하며 너무 장황할 때 조정하기 쉽다고 말했고, '클라우드와 머신러닝에만 모든 초점을 두는 대신' 맥 자체에서 더 많은 일을 하는 것을 칭찬했다. 방화벽과 디스크 암호화 상태 같은 기본 사항을 위한 규정 준수 검사기로도 작동한다.

GameplayKit은 이미 게임 캐릭터를 위해 '이벤트를 평가하고 행동을 도출'하는 문제를 해결한다. 같은 규칙 엔진이 팩맨 유령 대신 보안 텔레메트리를 처리할 수 있다.

애플은 이미 게임 행동을 위한 빠르고 범용적인 규칙 평가 엔진을 만들어 두었다. 이를 용도 변경함으로써 또 하나의 이벤트 처리 파이프라인을 새로 구축하는 일을 피했다.

시그니처 대신 규칙을 쓰면 같은 엔진이 샘플을 대조하는 대신 의심스러운 행동을 지켜봄으로써 알려지지 않은 악성코드를 잡을 수 있다.

맥락적 규칙, 즉 누가, 어느 기계에서, 어떤 상태인지를 따지는 규칙은 모니터링을 괴롭히는 경고 피로 문제인 거짓 경보를 억제한다.

OS 자체의 지표를 사용하면 탐지가 맥 안에서 로컬로 이루어지며 클라우드 왕복이 없다.

엔진을 만들기 전에 플랫폼이 이미 다른 이름으로 엔진을 제공하고 있는지 확인하라. 게임 AI와 이벤트 대응 보안은 같은 규칙 문제다.

디지타는 고객을 위해 규칙 팩을 미리 채우고 위협이 나타남에 따라 새 규칙을 작성할 계획이었다. 워들은 이미 단순한 이벤트 정보로 '이블 메이드' 공격을 탐지하는 실험을 해둔 상태였다. 에어리어 1 시큐리티는 2019년 3월 보도 시점까지 전사적으로 GamePlan을 계속 시험 운용했다.