搜索

[10430] 2016-08-25_谷歌为MacOS打造开源恶意检测系统

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2016-08-25_谷歌为MacOS打造开源恶意检测系统 谷 歌 为 M a c   O S 打 造 开 源 恶 意 检 测 系 统 d a w n e r   F r e e B u f   2 0 1 6 - 0 8 - 2 5 谷 歌 最 近 正 致 力 于 打 造 一 款 针 对 谷 歌 最 近 正 致 力 于 打 造 一 款 针 对 M a c O S 的 恶 意 检 测 系 统 ， 目 前 它 已 经 在 的 恶 意 检 测 系 统 ， 目 前 它 已 经 在 G i t h u b 上 开 源 。 这 个 由 谷 歌 上 开 源 。 这 个 由 谷 歌 M a c i n t o s h   O p e r a t i o n s 团 团 队 开 发 的 项 目 名 叫 队 开 发 的 项 目 名 叫 S a n t a ， 现 在 已 经 更 新 到 了 ， 现 在 已 经 更 新 到 了 0 . 9 . 1 2 版 本 。 版 本 。 如 谷 歌 所 描 述 的 那 样 ， S a n t a 并 不 完 全 是 一 个 杀 毒 引 擎 。 它 会 通 过 黑 白 名 单 机 制 ， 对 M a c O S 的 进 程 进 行 控 制 。 当 前 版 本 S a n t a 的 G U I 界 面 ， 其 实 只 有 一 个 通 知 弹 窗 ， 而 且 是 在 它 阻 止 某 个 进 程 运 行 的 时 候 才 会 弹 出 来 。 这 个 恶 意 软 件 嗅 探 系 统 ， 会 扮 演 一 个 用 户 守 护 进 程 的 角 色 。 它 会 去 主 动 扫 描 新 出 现 的 进 程 ， 并 根 据 自 身 维 护 的 基 于 黑 白 名 单 的 S Q L i t e 数 据 库 ， 判 断 某 个 应 用 是 否 应 该 继 续 运 行 。 两 种 操 作 模 式 两 种 操 作 模 式 该 项 目 在 G i t h u b 的 文 档 中 ， 有 两 种 操 作 模 式 ： 监 控 （ 监 控 （ M O N I T O R ） 和 封 锁 （ ） 和 封 锁 （ L O C K D O W N ） ） 。 在 监 控 模 式 中 ， 该 系 统 会 借 助 黑 名 单 ， 告 诉 操 作 系 统 哪 些 应 用 是 不 能 运 行 的 。 在 封 锁 模 式 中 ， 它 会 告 诉 系 统 只 能 运 行 白 名 单 里 的 应 用 。 用 户 和 网 络 管 理 员 都 可 以 往 S a n t a 的 黑 名 单 里 ， 根 据 签 名 证 书 添 加 相 应 的 应 用 。 谷 歌 解 释 道 ： “ 这 样 ， 你 就 可 以 允 许 或 阻 止 拥 有 某 个 厂 商 签 名 的 所 有 程 序 。 只 有 当 某 程 序 的 签 名 校 验 通 过 之 后 ， S a n t a 才 能 将 它 加 入 白 名 单 。 不 过 你 需 要 注 意 一 点 ， 将 某 证 书 签 名 的 程 序 加 入 黑 名 单 后 ， 再 将 该 证 书 加 入 白 名 单 ， 两 边 的 规 则 都 会 生 效 。 当 然 ， 反 过 来 效 果 也 是 一 样 的 。 ” 另 外 ， S a n t a 自 带 有 防 篡 改 机 制 。 如 同 其 他 优 秀 的 安 全 产 品 一 样 ， S a n t a 会 记 录 自 身 执 行 过 的 操 作 。 当 然 ， 它 也 会 采 取 一 系 列 的 安 全 措 施 ， 保 证 恶 意 软 件 不 能 通 过 植 入 它 的 进 程 ， 来 到 达 躲 避 安 全 检 测 的 目 的 。 恶 意 软 件 或 许 会 通 过 修 改 S a n t a 的 黑 名 单 ， 来 阻 断 S a n t a 或 者 M a c O S 的 核 心 进 程 。 而 S a n t a 的 组 件 会 使 用 苹 果 X P C 服 务 的 A P I 进 行 相 互 验 证 ， 如 果 签 名 证 书 不 一 致 ， 是 不 会 进 行 通 信 的 。
F r e e B u f 小 科 普 小 科 普 苹 果 X P C 服 务 ： O S X 1 0 . 7 以 后 ， c o c o a 新 增 加 了 一 种 新 的 技 术 ， 就 是 X P C ， 它 的 实 现 不 再 通 过 对 象 间 的 直 接 连 接 ， 而 是 通 过 b l o c k 实 现 一 种 服 务 端 对 客 户 端 的 c o n n e c t i o n 。 这 两 者 之 间 的 通 信 都 是 通 过 使 用 x p c _ c o n n e c t i o n 发 送 消 息 实 现 。 X P C 的 出 现 是 为 了 将 程 序 分 成 不 同 的 几 个 子 程 序 ， 从 而 实 现 权 限 分 隔 ， 让 你 的 程 序 更 加 安 全 。 然 而 ， S a n t a 现 在 还 没 有 明 确 的 发 布 日 期 ， 但 是 大 家 都 可 以 安 装 它 的 试 用 版 本 试 用 版 本 。 * 参 考 来 源 ： S P ， F B 小 编 d a w n e r 编 译 ， 转 载 请 注 明 来 自 F r e e B u f （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理