GamePlan 借助苹果的吃豆人游戏逻辑引擎保护 Mac

在 2019 年 3 月的 RSA 大会上，Digita 首席研究官 Patrick Wardle 展示了 GamePlan，一款 Mac 安全工具，其核心出人意料：苹果的 GameplayKit，即驱动电子游戏逻辑的框架。Wardle 对《连线》杂志说：“在《吃豆人》里，默认情况下幽灵会追捕吃豆人，这就是一条规则。如果吃豆人吃下能量豆，幽灵就会逃跑。这又是一条规则。所以我们意识到，苹果已经替我们完成了所有困难的工作。它的游戏逻辑引擎也可以用来非常高效地处理系统上的事件，并发出警告。”

GamePlan 将 macOS 自身的各类指标——USB 插入、屏幕截图、摄像头访问、由未签名下载程序创建的文件——收集到一个集中式数据流中，并让规则对其进行评估，包括建立在其他规则之上的规则：“如果一个未签名程序实现了持久化，并在用户不活跃时访问摄像头，就发出警报。”上下文能消除噪音：从开发者笔记本电脑复制到 USB 的文件不会触发警报，而从人力资源笔记本电脑复制则会；被苹果更新程序修改的操作系统组件会通过，被不受信任程序修改则会触发警报。规则以规则包形式发布，用户也可以编写自己的规则。

该工具宁可误报也不漏报，并且只发出通知而不采取行动。Area 1 Security 的首席安全官 Blake Darché 表示，该公司几乎在所有公司 Mac 上都运行了 GamePlan，它产生的通知数量合理，当通知过于频繁时也很容易调整；他还称赞在 Mac 本身上做更多事情，“而不是把所有重点都放在云端和机器学习上”。它还可以作为合规检查器，检查防火墙和磁盘加密状态等基本项目。

GameplayKit 已经为游戏角色解决了“评估事件、产生动作”的问题；同一个规则引擎可以处理安全遥测数据，而不是吃豆人里的幽灵。

苹果已经为游戏行为构建了一个快速、通用的规则评估引擎；改造复用它，避免了再构建一条事件处理流水线。

基于规则而非签名，意味着同一个引擎可以通过观察可疑行为来捕获未知恶意软件，而不是匹配样本。

上下文规则——谁、哪台机器、什么状态——可以抑制误报，也就是困扰监控的警报疲劳问题。

使用操作系统自身的指标，使检测保留在 Mac 本地，无需往返云端。

在构建引擎之前，先检查平台是否已经以另一个名称提供了这样的引擎：游戏 AI 和事件响应安全是同一个规则问题。

Digita 计划为客户预置规则包，并随着威胁出现编写新规则；Wardle 已经尝试过根据简单事件信息检测“邪恶女佣”攻击。截至 2019 年 3 月的报道，Area 1 Security 仍在全公司范围内试用 GamePlan。