用于MacOS检测工具的家庭环境

Question

最近，我被介绍给了各种用于MacOS的检测/搜索工具。下面列出了一些我感兴趣学习的工具，以扩展我的工具包并更好地学习Mac安全性。

• 谷歌圣诞老人
• XNUmon
• 小飞贼
• OSQuery

这些只是一些工具，正如你所看到的，大多数都是侦探。从一个进攻性的背景，建立一个家庭实验室是容易的。您有一台带有工具箱的攻击机器，以及用来练习“技能”的易受攻击的机器。

对我来说，练习防御性工具似乎更难，而且我无法在工作中使用这些工具。我如何在家里学习这些工具？有没有人在这个问题上有任何经验，并能分享一些关于解决方案的见解？

Answer 1

防御性实验室只不过是一个带有额外防御工具的进攻性实验室。一个好的方法是让实验室系统拥有这些防御工具，使用你的攻击工具攻击实验室系统，横向移动等等，然后使用防御工具来观察你是否能够发现和/或防止你的攻击。如果你把这种方法扩大到企业中的多个人，你就有了紫色团队的精髓。如果您没有任何想法，我发现米特雷的ATT&CK框架是一个非常有用的灵感来源，它还包括许多macOS TTP。

Answer 2

DetectionLab的目的是在macOS上运行，并使用Windows服务器和端点在Windows域演示Blue的操作。

然而，它使用osquery和规则专门针对事件响应使用osquery。osquery与操作系统无关，适用于Windows、Linux和macOS。该环境可以方便地支持macOS的演示。