Apple Computer sind wunderbare (:= sehr, sehr gut entwickelte) Geräte. Dies gilt sowohl für Hardware als auch Software. Ich bevorzuge noch immer mein 15” Retina, Trackpad und Tastatur gegenüber dem 30” Dell Desktop. Einer der Gründe, warum ich mich mit macOS so wohl fühle, abgesehen von den hübschen grafischen Apps, ist der Einsatz eines BSD::MachOS im Hintergrund. Und selbst wenn Apple einen Haufen Software drum herum entwickelt hat, kann es immer noch -irgendwo- gefunden werden. Für mich ist das Ausarbeiten eines Interface mittels plumb stets ein Moment der Freude.

Manchmal frage ich mich aber, was eigentlich genau auf meinem Mac vorgeht. Speziell bin ich stetig auf der Suche nach (schnellen) Antworten zu den folgenden Fragen:

• Irgendetwas neues in meinen Startup-Sequenzen?
• Irgendwo etwas wie ein Rootkit auf dem System?
• Wenn ich mich mit einem öffentlichen Netz verbinde, bin ich noch immer sinnvoll sicher?
• Was sind die ausgehenden Verbindungen meines Systems?
• Wie kann ich ein spezifisches Kommando nutzen, ohne auf man oder ddgo im Internet zurückgreifen zu müssen?

Es gibt eine Vielzahl an Möglichkeiten, um diese Aufgabe zu bewerkstelligen. Da ich jedoch gut und gerne ein neues Terminal benutze, bevorzuge ich eine Zusammenfassung auf dem Welcome Screen. Dementsprechend habe ich Code kopiert/modifiziert/geschrieben und in meinem .bash_profile abgelegt. Dieser Code kann auf meinem GitHub Repository gefunden werden.

Terminal Welcome Message

Die einfachen Prüfungen, die beim Starten einer Bash – oder ad-hoc mit der Hilfe eines Alias – ausgeführt werden:

• Gatekeeper Status-Check
• Kernel Extension zur Prüfung der installierten Extensions
• Anzahl Applications, die durch ALF zugelassen/geblockt sind
• Änderungen in der Startup-Sequenz innerhalb der vergangenen 10 Tage
• Anzahl der Einträge in /etc/hosts zur Blockierung von Verbindungen mit geblacklisteten Hosts
• Anzahl der Listener
• Anzahl der pf Rules (pass/block/log)
• Resultate von rkhunter und Lynis Scans (der Report wird einmal täglich generiert, an dieser Stelle werden nur die Resultate mit grep dargestellt)

Weitere Details zu den einzelnen Controls finden sich in den Kommentaren der einzelnen Skripte.

Dadurch sehe ich mich in der Lage, einen schnellen Überblick über das System verschaffen zu können. Zwar nicht in allen Details, aber genug, um die wichtigsten Einstellungen im Auge behalten zu können.

pf

ALF ist eine sehr einfach zu nutzende Firewall, die schnell aufzeigen kann, welchen Gefahren man ausgesetzt ist. Falls man jedoch ein Mehr an Kontrolle über den Datenverkehr haben möchte, muss man auf andere Lösungen zurückgreifen. Ich habe Little Snitch, später hat macOS (Lion) pf eingeführt und ich habe mich um Tools bemüht, um eine Konfiguration vornehmen zu können. Dazu gehören IceFloor und Murus.

pf gewährt granulare Kontrolle über den Netzwerkverkehr, jedoch wird es wie eine Programmiersprache genutzt und erfordert deshalb eine gewisse Einarbeitungszeit. Falls Sie sich an pf versuchen wollen, fokussieren Sie sich vorerst auf eine Nutzung ohne GUI-Tools. Erst nachdem man sich mit der pf-Config vertraut gemacht hat, sollte man auf das GUI wechseln. Bedenken Sie zudem, dass wir es hier mit einem Client (Laptop) zu tun haben und nicht mit einem Server – Dementsprechend ist zusätzlicher Aufwand erforderlich, um eine nutzungsgerechte Installation vornehmen zu können.

Ich greife auf pf zurück, um eine zusätzliche oder kurzfristige Firewall, besonders für die folgenden Situationen, bereitstellen zu können:

• Prüfung des ausgehenden Verkehrs
• Horchen nach verdächtigen/manuellen Paketen
• Blockieren aller öffentlicher Netze
• Notfall-Block (Emergency Block)

An dieser Stelle soll nun nicht diskutiert werden, die pf funktioniert. Stattdessen wollen wir einige Resultate besprochen. Wie im mittleren Terminal zu sehen ist, kann nun das Log durchgesehen und alle eingehenden/ausgehenden, zugelassenen/blockierten Verbindungen analysiert werden. Hierzu ist einfach der Aufruf der Aliase pf.logsnoop oder pf.lognav erforderlich. pf.lognav setzt die Installation von lnav voraus.

In besagtem Beispiel wurde hping genutzt, um ein Paket mit den gesetzten Flaggen FSR zu generieren. Es ist zu sehen, dass selbst wenn Rule 38 greift (FS), der Drop mit Rule 40 (FR) durchgesetzt wird: pf ist Last Match, falls keine zusätzlichen Optionen verwendet werden. Der Einsatz von pf erfordert, dass in den OpenBSD User Mode gewechselt wird.

Wenn man sich die beiden Aliase pf.lognav und pf.logsnoop genauer anschaut, dann sieht man, dass sie zur Darstellung der Pakete mit ph nicht ein Tail auf Log-Dateien vornehmen, sondern stattdessen ein Snooping von Pseudo-Devices.

Cheats

Und zum Schluss noch ein speziell nützliches Tool: cheat. Dieses kann eingesetzt werden, um Cheat-Sheets anzeigen zu lassen. Diese können wiederum selber erstellt und erweitert werden. Hierzu ist lediglich das Anlegen des my-cheat-file und der Aufruf von cheat my-cheat-file erforderlich – Dies ist vor allem dann besonders nützlich, wenn man nicht auf ddgo zurückgreifen kann.

Fazit

Sie wollen mit Ihrem macOS sicher bleiben? Befolgen Sie die durch Apple dokumentierten Sicherheitshinweise.

Sie wollen noch mehr Einsicht ins System und das Netzwerk? Benutzen Sie die Command Line Tools – Eine Vielzahl von diesen ist schon vorinstalliert.

Falls Sie mit pf rumspielen wollen, seien Sie vorsichtig: Schalten Sie Gatekeeper ja nicht ab. Denn ansonsten können falsche Dinge passieren. Sehr, sehr schnell und sehr, sehr falsch.

Über den Autor

Rocco Gagliardi ist seit den 1980er Jahren im Bereich der Informationstechnologie tätig. In den 1990er Jahren hat er sich ganz der Informationssicherheit verschrieben. Die Schwerpunkte seiner Arbeit liegen im Bereich Security Frameworks, Routing, Firewalling und Log Management.

Links

• http://article.gmane.org/gmane.linux.kernel/706950
• http://lnav.org
• http://rkhunter.sourceforge.net/
• http://www.hanynet.com/icefloor/index.html
• https://cisofy.com/lynis/
• https://developer.apple.com/library/archive/documentation/Darwin/Conceptual/KernelProgramming/Extend/Extend.html
• https://developer.apple.com/library/archive/documentation/MacOSX/Conceptual/BPSystemStartup/Chapters/CreatingLaunchdJobs.html#//apple_ref/doc/uid/10000172i-SW7-BCIEDDBJ
• https://duckduckgo.com
• https://github.com/StevenBlack/hosts
• https://github.com/jahendrie/cheat
• https://github.com/rccggl/macOS_settings
• https://man.openbsd.org/pflog
• https://murusfirewall.com/
• https://support.apple.com/en-us/HT201642
• https://support.apple.com/en-us/HT202491
• https://www.apple.com/macos/security/
• https://www.obdev.at/products/littlesnitch/compatibility-notes.html
• https://www.openbsd.org/faq/pf