GamePlan 以 Apple 的 Pac-Man 遊戲邏輯引擎守護 Mac

在 2019 年 3 月的 RSA 大會上，Digita 首席研究長 Patrick Wardle 發表了 GamePlan，這是一款 Mac 安全工具，其核心出人意料：Apple 的 GameplayKit，也就是驅動電玩邏輯的框架。「在 PacMan 裡，預設情況下鬼魂會追捕 PacMan，所以那是一條規則。如果 PacMan 吃掉能量球，鬼魂就會逃跑。那是另一條規則，」Wardle 告訴《WIRED》。「所以我們意識到，Apple 已經替我們完成了所有困難的工作。它的遊戲邏輯引擎也可以用來非常有效率地處理系統上的事件，並吐出警告。」

GamePlan 將 macOS 自身的指標——USB 插入、螢幕擷取、網路攝影機存取、由未簽章下載程式建立的檔案——收集成集中式串流，並讓規則對其進行評估，包括建立在其他規則之上的規則：「若未簽章程式常駐，且在使用者非活躍時存取網路攝影機，就發出警示。」情境能消除雜訊：從開發者筆電複製到 USB 的檔案不會觸發警示，從人資筆電複製的則會；由 Apple 更新程式修改的作業系統元件會通過，由不受信任程式修改的則會警示。規則以套件形式提供，使用者也可以自行撰寫。

這款工具寧可誤報也不願漏報，而且只會通知、不會採取行動。Area 1 Security 資安長 Blake Darché 表示，該公司幾乎所有公司 Mac 都執行 GamePlan，它產生的通知數量合理，而且在過於冗長時很容易調整；他也讚揚在 Mac 本身做更多事，「而不是把所有焦點都放在雲端和機器學習上」。它也可作為合規檢查工具，檢查防火牆與磁碟加密狀態等基本項目。

GameplayKit 早已為遊戲角色解決了「評估事件、產生動作」的問題；同一個規則引擎可以處理安全遙測，而不是 Pac-Man 的鬼魂。

Apple 早已為遊戲行為打造了快速、通用的規則評估引擎；將其改作他用，避免了再建一條事件處理管線。

以規則取代特徵碼，意味著同一個引擎可以透過觀察可疑動作來捕捉未知惡意軟體，而不是比對樣本。

情境化規則——誰、哪台機器、什麼狀態——能抑制誤報，也就是困擾監控的警示疲勞問題。

使用作業系統自身的指標，讓偵測留在 Mac 本機，不必往返雲端。

在打造引擎之前，先確認平台是否已以不同名稱提供了一個：遊戲 AI 與事件回應安全是同一種規則問題。

Digita 計畫為客戶預先填充規則套件，並在威脅出現時撰寫新規則；Wardle 已經實驗過從簡單事件資訊偵測「Evil Maid」攻擊。截至 2019 年 3 月的報導，Area 1 Security 仍在全公司範圍試用 GamePlan。