เครื่องมือความปลอดภัยเป็นความจำเป็นในยุคที่ภัยคุกคามมัลแวร์ Mac เพิ่มขึ้น ขอโชคดีที่คุณสามารถปกป้องตัวเองและได้ความปลอดใจด้วยเครื่องมือที่เหมาะสม เช่น โบนัสฟรีของ Objective-See
โปรเจกต์นี้เป็นลูกความคิดของ Patrick Wardle นักวิจัยความปลอดภัยที่สร้างเครื่องมือหลายตัวเพื่อรักษาความปลอดภัยคอมพิวเตอร์ตัวเอง ต่อมาเขาเผยแพร่ทั้งหมดฟรี และดูแลที่เก็บมัลแวร์ Mac ที่รู้จักเพื่อการวิจัยและการศึกษา
มาาดูรายการเครื่องมือและวิธีใช้เพื่อปกป้อง Mac ของคุณให้ดีขึ้น
1. Do Not Disturb
ทำอะไร: แจ้งเตือนเกี่ยวกับการโจมตีทางกายภาพ (physical access attacks) บน MacBook
หากคุณเดินทางพร้อม MacBook หรือที่ทำงานสนับสนุนนโยบาย "นำอุปกรณ์ของคุณมาใช้เอง" (BYOD) การโจมตีทางกายภาพอาจเป็นภัยคุกคามใหญ่ที่สุดของแล็ปท็อป หลายคนทิ้งแล็ปท็อปไว้ไม่ได้ดูเพื่อไปหยิบกาแฟโดยไม่คิดถึงภัยคุกคามจริงจากอุปกรณ์ USB ร้ายแรงและผู้ใช้คนอื่น
Do Not Disturb ติดตั้งกระบวนการเปิดใช้งานถาวร (persistent launch process) ที่บันทึกเหตุการณ์ "เปิดฝา" (lid open) ที่รู้จักทั้งหมด พร้อมตัวเลือกส่งการแจ้งเตือนหรือรันการดำเนินการกำหนดเอง ทำงานได้ดีที่สุดเมื่อจับคู่กับแอป iOS ปั่นจับคู่ ทำให้คุณสามารถดำเนินการหลบหลีกได้ เช่น ถ่ายภาพผู้กระทำผ่านเว็บแคม หรือปิด Mac แบบระยะไกล
เมื่อติดตั้งแอปแล้ว คุณสามารถดูบันทึกเหตุการณ์การเข้าถึงทางกายภาพได้ ไม่ต้องใช้แอป iOS ปั่นจับคู่ ยังมีการตั้งค่าสำหรับรันแอป "อย่างนิวน" (invisibly) ด้วย passive logging (ไม่มีการแจ้งเตือนที่มองเห็น) และการซ่อนไอคอนแถบเมนู
ดาวน์โหลด: Do Not Disturb
2. KnockKnock
ทำอะไร: สแกน Mac หาเครื่องหมายของมัลแวร์ที่คงอยู่ (persistent malware)
มากกว่าแค่แมนเวอร์สแกนมัลแวร์พื้นฐาน KnockKnock มองหาเครื่องหมายของมัลแวร์ที่คงอยู่ — รหัสร้ายที่ติดตั้งตัวเองซ้ำๆ สิ่งนี้มักเกิดเมื่อคอมพิวเตอร์รีสตาร์ท KnockKnock ผสานรวมกับเครื่องมือตรวจจับออนไลน์ VirusTotal ดังนั้น มัลแวร์ที่รู้จักจะถูกไฮไลท์สีแดงเมื่อตรวจพบ
แม้การผสาน VirusTotal จะดี แตแอปยังรายงานแอปพลิเคชันที่ติดตั้งอย่างคงอยู่อื่นๆ ผลลัพธ์ส่วนใหญ่จะเป็น良性 (benign) แต่มันให้โอกาสคุณมองดูรายการและดูว่ามีอะไรผิดปกติหรือไม่ แอปตรวจจับติดตั้งคงอยู่หลากหลายประเภท รวมถึงปลั๊กอิน, ส่วนขยายเบราว์เซอร์, launch และ login items, และ kernel extensions
ดาวน์โหลด: KnockKnock
3. TaskExplorer
ทำอะไร: เหมือน Activity Monitor ของ Apple แต่เน้นความปลอดภัย พร้อมผสาน VirusTotal
TaskExplorer คล้ายกับแอป Activity Monitor ที่มาพร้อม Mac มาก แตแตกต่างที่ผสาน VirusTotal นั่นหมายถึงแอปจะตั้งธง (flag) กระบวนการ (processes) ที่รันอยู่และเป็นมัลแวร์ที่รู้จัก คุณสามารถส่งสิ่งที่ไม่รู้จักไปเซิร์ฟเวอร์ VirusTotal เพื่อวิเคราะห์
แอปสามารถดูสถานะการเซ็น (signing status) ของกระบวนการที่รันอยู่, ดูไลบรารีไดนามิกที่โหลดแล้ว, รายละเอียดการเชื่อมต่อเครือข่าย, และไฟล์ที่ใช้อยู่โดยงาน (task) ใดงานหนึ่ง คล้าย KnockKnock แต่เน้นที่กระบวนการที่เปิดใช้งานแล้ว มากกว่ารหัสที่รับผิดชอบการรัน
ดาวน์โหลด: TaskExplorer
4. BlockBlock
ทำอะไร: ค้นหาและพยายามบล็อกตัวติดตั้งมัลแวร์ (malware installers)
ในขณะที่ KnockKnock มองหาตัวติดตั้งที่รับผิดชอบมัลแวร์ BlockBlock พยายามปฏิเสธการติดตั้งตั้งแต่แรก มันทำได้โดยรันในพื้นหลังตลอดเวลา ตรวจสอบตำแหน่ง persistence ทั่วไป และแสดงการแจ้งเตือนเมื่อตรวจพบสิ่งน่าสงสัย
ตามคาด BlockBlock ผสาน VirusTotal ตั้งธงมัลแวร์ที่รู้จัก แต่มากมายของการตรวจจับ BlockBlock เป็นแอป合法 (legitimate) ที่ทำการดำเนินการปกติ BlockBlock ให้คุณเลือกบล็อกการติดตั้งที่ตรวจพบได้ แอปยังรายงานว่าตัวติดตั้งถูกเซ็นโดย Apple, 協力廠商, หรือไม่ได้เซ็นเลย (unsigned)
ดาวน์โหลด: BlockBlock
5. RansomWhere?
ทำอะไร: ตรวจสอบไฟล์ที่ถูกเข้ารหัสใหม่ (newly created encrypted files) เพื่อป้องกันการโจมตีแรนซัมแวร์ (ransomware)
แรนซัมแวร์เป็นมัลแวร์ประเภทเฉพาะที่ล็อกคุณนอกจากข้อมูล มักขอเงินเพื่อคืนไฟล์อย่างปลอดภลักษณะเฉพาะของมัลแวร์นี้คือการสร้างไฟล์เข้ารหัสโดยกระบวนการน่าสงสัย
RansomWhere? ตรวจสอบระบบหาเครื่องหมายของแรนซัมแวร์ บล็อกกระบวนการและพรอมป์ให้คุณเลือกอนุญาตหรือยุติภัยคุกคามที่เป็นไปได้ แอปตั้งธงกระบวนการที่ไม่น่าเชื่อถือที่สร้างไฟล์เข้ารหัสอย่างรวดเร็ว ในขณะที่ไว้ใจซอฟต์แวร์ที่ Apple เซ็น และซอฟต์แวร์ที่ติดตั้งก่อนดาวน์โหลดแอปอย่างชัดเจน
เหมือนแอป Objective-See อื่นๆ RansomWhere? ไม่ได้มองหามัลแวร์โดยเฉพาะ แต่มองหาการดำเนินการที่บ่งชี้มัลแวร์ แอปอาจตั้งธงกระบวนการ合法 ได้ แต่นักพัฒนาพยายามรักษา false positives ให้ต่ำสุด
ดาวน์โหลด: RansomWhere?
6. OverSight
ทำอะไร: แจ้งเตือนเมื่อไมโครโฟนหรือกล้องของคุณทำงาน
เป็นหนึ่งในแอป Objective-See ที่เรียบง่ายที่สุด OverSight แจ้งเตือนเมื่อไมโครโฟนหรือเว็บแคมของ Mac เปิดใช้งาน มีตัวอย่างมัลแวร์ Mac ที่พยายามบันทึกหรือสตรีมผู้ใช้ ซึ่งเป็นเหตุผลที่หลายคนปิดเว็บแคมเพื่อป้องกัน
OverSight ตรวจสอบและรายงานเหตุการณ์เว็บแคมหรือไมโครโฟน การแจ้งเตือนรวมชื่อกระบวนการและตัวระบุกระบวนการ พร้อมพรอมป์ Allow หรือ Block คุณยังสามารถ whitelist แอปที่ปลอดภเพื่อไม่ต้องอนุมัติทุกครั้ง
น่าสนใจที่สุด แอปพยายามตรวจจับกระบวนการรอง (secondary processes) ที่พยายาม "ขับขี่" (piggyback) บนคำขอเว็บแคมหรือไมโครโฟนที่合法 มันไม่ได้สมบูรณ์แบบ แต่ดีกว่าไม่มีอะไร
ดาวน์โหลด: OverSight
7. KextViewr
ทำอะไร: แสดงรายการ kernel extensions (kexts) ที่โหลดอยู่
Kernel extensions (รู้จักว่า "kexts") ได้รับสิทธิ์สูงสุดใน macOS จึงสำคัญที่คุณไม่ควรมีโมดูลที่ไม่น่าเชื่อถือทำงาน KextViewr แสดง kexts ที่โหลดอยู่ทั้งหมด พร้อมสถานะการเซ็น, พาธไปยังไฟล์ติดตั้ง, และสำคัญที่สุด ผลลัพธ์จากแฮชที่ cross-referenced กับ VirusTotal
คุณสามารถกรองกระบวนการเหล่านี้ได้ด้วยแฮชแท็กต่อไปนี้: #apple, #nonapple, #signed, #unsigned, และ #flagged ไม่มีอะไรมากกว่านี้แล้ว!
ดาวน์โหลด: KextViewr
8. What's Your Sign
ทำอะไร: ตรวจสอบสถานะการเซ็นของแอปเพื่อตัดสินใจความน่าเชื่อถือ
ไม่ใช่ทุกแอป unsigned ที่อันตราย โปรเจกต์โอเพนซอร์สและฟรีบี้หลายตัวไม่ได้เซ็น เนื่องจากนักพัฒนาขาดทุนขอใบอนุญาตนักพัฒนา ด้วยความคิดนี้ แอปที่เซ็นแล้ว น่าเชื่อถือกว่า (จากมุมมองความปลอดภัย) แอปที่ไม่ได้เซ็น
What's Your Sign เพิ่มตัวเลือกคลิกขวาใหม่ชื่อ Signing Info คลิกแล้วคุณจะรู้ว่าแอปถูกเซ็นโดย Apple, 協力廠商, หรือไม่ได้เซ็นเลย นั่นคือทั้งหมดแล้ว
ดาวน์โหลด: What's Your Sign
เครื่องมือ Objective-See อื่นๆ ที่มีประโยชน์สำหรับผู้ใช้ Mac
นอกจากเครื่องมือที่นี่แล้ว Objective-See มีเครื่องมืออื่นๆ อีกนิดหน่อยที่ผู้ใช้บางคนอาจสนใจ:
- Lockdown: เขียนสำหรับ El Capitan ให้วิธีจำกัด "พื้นที่ผิวโจมตี" (exposed surface area) ของ Mac ด้วยการล็อกดาวน์บริการที่โจมตีได้ทราบ ปัจจุบันไม่ทำงานกับ High Sierra
- Ostiarius: อีกแอปสำหรับ El Capitan หมายถึงปิดช่องโหว่ความปลอดภัยที่อนุญาตให้มัลแวร์ข้าม Gatekeeper ตั้งแต่ macOS Sierra ขึ้นไป Apple แก้ปัญหานี้แล้ว Ostiarius จึงไม่จำเป็น (อาจมีประโยชน์หากคุณอัปเกรด Mac ผ่าน El Capitan ไม่ได้)
- dylib Hijack Scanner: เครื่องมือแรกของ Objective-See อัปเดตล่าสุดสำหรับ El Capitan ฟังก์ชันคล้ายกันเป็นส่วนหนึ่งของ TaskExplorer ข้างต้น
เครื่องมือความปลอดภัยช่วยป้องกันและตรวจจับการติดมัลแวร์ แต่พักอาศัย常识 (common sense) นิดหน่อยก็ทำได้เยอะมากในการหลีกเลี่ยงการติดเชื้อ กดต้องสงสัยทุกกระบวนการที่ขอรหัสผ่านแอดมิน, แอป unsigned ที่ต้องข้าม Gatekeeper, และปล่อยให้ System Integrity Protection เปิดอยู่ตลอดเวลา
