macOSのセキュリティアップデート： macOS 14 Sonomaでサイレントアップデートされたセキュリティデータファイル

AppleがmacOSユーザーのセキュリティ確保に力を入れていることは、セキュリティサービスの定期的なアップデートを見れば明らかです。

主要なセキュリティサービスの1つであるXProtectは、簡単にアップデートできるように設計されています。これは、XProtectのデータをデータボリューム上の別のファイルに保存することで実現されており、macOSのシステムをフルアップデートすることなく、シームレスにアップデートすることができます。

興味深いことに、Appleはこのようなアップデートを、ユーザーへのアナウンスや通知なしに、サイレントリリースします。

XProtect Remediator

最新バージョン: 112、2023年 9月 29日
このシステムの中で最も頻繁にアップデートされるコンポーネントは、XProtectPayloadsおよびXProtect Remediatorです。このサービスは通常1ヶ月サイクルで更新され、通常木曜日に更新が行われます。

XProtect Remediatorは、macOSのセキュリティフレームワークにおいて重要な役割を果たし、マルウェアの検出と修復に特化したツールを提供します。これらのツールは、/Library/Apple/System/Library/CoreServicesにあるデータボリュームのXProtect.app内に格納されています。

このツール群は、macOS 12.3で初めて導入されました。2022年6月17日までに、このスイートのバージョン62がmacOSのバージョンCatalina、Big Sur、Monterey、Venturaで利用可能になりました。

XProtectPlistConfigData

最新バージョン: 1.0 2172、2023年 9月 29日
XProtectシステムのもう一つの重要なコンポーネントはXProtectPlistConfigDataです。これにはXProtectが依存するホワイトリストとブラックリストが含まれています。これらのリストはデータボリュームのXProtect.bundle、特にContents/Resources/XProtect.meta.plist、Contents/Resources/XProtect.plist、Contents/Resources/XProtect.yaraに格納されています。

macOS Catalinaで追加された注目すべきものは、gk.dbというSQLiteデータベースファイルです。その正確な目的は謎のままですが、レガシーエンタイトルメントに関連していると考えられています。

Bastion：機密アクセスの監視

最新バージョン: 提供されていませんが、2023 年 9 月 29 日の XProtectPayloads 112 にバンドルされています。
Bastionは比較的新しい追加機能で、macOS Venturaで導入されました。このサービスは、ブラウザデータを含むフォルダなど、機密性の高い場所にアクセスするプロセスを監視し、ログに記録するように設計されています。

現在、これらのプロセスはログに記録されますが、ブロックされることはありません。BastionのルールはXProtect.app内、特にbastion.sbとBastionMeta.plistで定義されています。

その他の注目すべきコンポーネント

AppleKextExcludeList： Sonoma のセキュリティ規則の例外となるカーネル拡張の包括的なリストです。データボリュームの /Library/Apple/System/Library/Extensions/AppleKextExcludeList.kext に格納されています。
Core Services Application Configuration Data：アプリの例外のリストが含まれ、Systemボリュームにあります。
IncompatibleAppsList：サードパーティ製品の既知の互換性のないバージョンのリストです。
MRTConfigData：以前はAppleのMalware Removal Toolでしたが、現在はXProtect RemediatorのXProtectRemediatorMRTv3モジュールに置き換えられています。
Gatekeeper Configuration Data： Gatekeeper のセキュリティシステムのホワイトリストを提供する SQLite データベース。
CompatibilityNotificationData(互換性通知データ)：互換性がないことが通知されるサードパーティ製品のバージョンのリスト。