GamePlan protege Macs com o motor de lógica de jogo Pac-Man da Apple

Na conferência RSA, em março de 2019, o diretor de pesquisa da Digita, Patrick Wardle, apresentou o GamePlan, uma ferramenta de segurança para Mac com um núcleo improvável: o GameplayKit da Apple, o framework que impulsiona a lógica de videogames. "No PacMan, por padrão, os fantasmas estão caçando o PacMan, então isso é uma regra. Se o PacMan come uma pílula de poder, os fantasmas fogem. Isso é outra regra", disse Wardle à WIRED. "Então percebemos que a Apple já fez todo o trabalho pesado por nós. Seu motor de lógica de jogo também pode ser usado para processar eventos em um sistema com muita eficiência e emitir um alerta."

O GamePlan coleta os próprios indicadores do macOS — inserção de USB, capturas de tela, acesso à webcam, arquivos criados por programas baixados não assinados — em um fluxo centralizado e permite que regras os avaliem, incluindo regras construídas sobre outras regras: "se um programa não assinado persiste e acessa a webcam quando o usuário não está ativo, alerte". O contexto elimina o ruído: arquivos copiados para USB a partir de um laptop de desenvolvedor não geram alerta, a partir de um laptop de RH geram; um componente do sistema operacional modificado pelo atualizador da Apple passa, modificado por um programa não confiável, alerta. As regras vêm em pacotes, e os usuários podem escrever as suas próprias.

A ferramenta erra mais para falsos positivos do que para falsos negativos e apenas notifica, em vez de agir. Blake Darché, CSO da Area 1 Security, que estava executando o GamePlan em quase todos os Macs da empresa, disse que ele gera uma quantidade razoável de notificações e é fácil de ajustar quando fica muito verboso, e elogiou fazer mais no próprio Mac "em vez de colocar todo o foco em nuvem e aprendizado de máquina". Também funciona como verificador de conformidade para itens básicos, como status de firewall e de criptografia de disco.

O GameplayKit já resolve "avaliar eventos, gerar uma ação" para personagens de jogos; o mesmo motor de regras pode processar telemetria de segurança em vez de fantasmas do Pac-Man.

A Apple já havia construído um motor rápido e genérico de avaliação de regras para o comportamento de jogos; reaproveitá-lo evitou construir mais um pipeline de processamento de eventos.

Regras em vez de assinaturas significam que o mesmo motor pode detectar malware desconhecido observando ações suspeitas em vez de comparar amostras.

Regras contextuais — quem, qual máquina, qual estado — suprimem falsos alarmes, o problema de fadiga de alertas que assola o monitoramento.

Usar os próprios indicadores do sistema operacional mantém a detecção local no Mac, sem ida e volta à nuvem.

Antes de construir um motor, verifique se a plataforma já traz um com outro nome: IA de jogos e segurança de resposta a eventos são o mesmo problema de regras.

A Digita planejava pré-popular pacotes de regras para clientes e escrever novas regras à medida que as ameaças surgissem; Wardle já havia experimentado detectar ataques "Evil Maid" a partir de informações simples de eventos. A Area 1 Security continuava testando o GamePlan em toda a frota até o relatório de março de 2019.