什么事Sinter工具

這篇文章主要介紹“什么事Sinter工具”，在日常操作中，相信很多人在什么事Sinter工具問題上存在疑惑，小編查閱了各式資料，整理出簡單好用的操作方法，希望對大家解答”什么事Sinter工具”的疑惑有所幫助！接下來，請跟著小編一起來學習吧！

Sinter

Sinter是一款針對macOS v10.15及其以上版本的100%用戶模式終端安全代理，該工具基于Swift語言開發，使用了用戶模式EndpointSecurity API來訂閱和接收來自macOS內核的授權回調，這里主要針對的是安全相關的事件類型。Sinter的當前版本支持允許/拒絕進程執行，在將來的版本中，我們打算支持其他類型的事件，比如說文件操作、套接字和內核事件等等。

功能介紹

• 通過代碼目錄哈希來允許或拒絕進程執行；

• “監控器模式”支持跟蹤和記錄所有的進程執行事件（拒絕所有未知程序、拒絕所有未簽名程序、拒絕所有無效簽名程序）；

• 接受來自Santa同步服務器的允許/拒絕規則；

• 支持來自本地或同步服務器的JSON格式配置拒絕規則；

• 在本地文件系統以結構化JSON格式記錄日志；

其他特性

• 未使用內核擴展；

• 不支持遺留macOS系統（14及之前版本）；

• 未使用任何內存不安全的代碼；

• 有限的第三方庫依賴；

• 并非反惡意軟件或反病毒產品，不包含特征數據庫；

• 僅使用規則來拒絕你不想要執行的進程或程序；

工具下載&安裝

廣大研究人員可以使用該項目Releases頁面中提供的pkg安裝工具來下載和安裝最新版本的Sinter。

安裝好Sinter之后，你還需要為Sinter.app提供完整的磁盤訪問權限。這里可以打開系統設置->安全->隱私->完整磁盤訪問，勾選Sinter.app即可。如果使用了DMD，你還可以在終端自動啟用該權限，整個過程也不需要涉及用戶交互。

工具配置

Sinter需要在/etc/sinter/config.json中生成一個配置文件，下面給出的的配置文件源碼樣例:

{

  "Sinter": {

    "decision_manager": "local",

    "logger": "filesystem",

 

    "allow_unsigned_programs": "true",

    "allow_invalid_programs": "true",

    "allow_unknown_programs": "true",

    "allow_expired_auth_requests": "true",

    "allow_misplaced_applications": "true",

 

    "config_update_interval": 600,

 

    "allowed_application_directories": [

      "/bin",

      "/usr/bin",

      "/usr/local/bin",

      "/Applications",

      "/System",

      "/usr/sbin",

      "/usr/libexec",

    ],

  },

  

  "FilesystemLogger": {

    "log_file_path": "/var/log/sinter.log",

  },

 

  "RemoteDecisionManager": {

    "server_url": "https://server_address:port",

    "machine_identifier": "identifier",

  },

 

  "LocalDecisionManager": {

    "rule_database_path": "/etc/sinter/rules.json",

  }

}

啟用UI通知

1、安裝通知服務器，PKG安裝器將會自動完成這部分組件的安裝：

sudo /Applications/Sinter.app/Contents/MacOS/Sinter --install-notification-server

2、使用下列命令開啟代理：

/Applications/Sinter.app/Contents/MacOS/Sinter --start-notification-server

規則格式

規則數據庫以JSON格式編寫，下面給出的樣例數據庫允許來自cmake.okg的CMake應用程序Bundle運行：

{

  "rules": [

    {

      "rule_type": "BINARY",

      "policy": "ALLOWLIST",

      "sha256": "BDD0AF132D89EA4810566B3E1E0D1E48BAC6CF18D0C787054BB62A4938683039",

      "custom_msg": "CMake"

    }

  ]

}

Sinter目前僅支持BINARY規則，這里可以使用ALLOWLIST或DENYLIST策略。代碼目錄哈希值可以從codesign工具的輸出獲取，比如說codesign -dvvv /Applications/CMake.app。需要注意的是，即使命令行工具能夠獲取完整的SHA256哈希，Kernel/EndpointSecurity API仍然只能獲取前20字節的哈希。

到此，關于“什么事Sinter工具”的學習就結束了，希望能夠解決大家的疑惑。理論與實踐的搭配能更好的幫助大家學習，快去試試吧！若想繼續學習更多相關知識，請繼續關注億速云網站，小編會繼續努力為大家帶來更多實用的文章！