Macを無料で守る!Objective-Seeのおすすめセキュリティツール8選

Macを狙うマルウェアの脅威が年々高まる中、セキュリティ対策ツールはもはや必須の存在となっています。とはいえ、適切なツールを選べば、Macをしっかり守りながら安心して使い続けることが可能です。本記事では、セキュリティ研究者Patrick Wardle氏が手がけるプロジェクト「Objective-See」が提供する無料ツール群を、目的別にご紹介します。

Objective-Seeは、Wardle氏が自身のMacを保護するために開発した一連のツールをベースとしたプロジェクトです。現在ではすべてのツールが無料で公開されており、研究・教育目的の既知Macマルウェアのリポジトリも運営しています。

それでは、各ツールの特徴と活用方法を見ていきましょう。

1. Do Not Disturb ― 物理アクセス攻撃を検知

できること: MacBookへの物理アクセス攻撃をアラートでお知らせします。

MacBookを持ち歩く機会が多い方や、職場でBYOD(持ち込みデバイス)制度を採用している環境では、物理アクセス攻撃がノートPCにとって最大の脅威になり得ます。コーヒーを買いに行く間、ノートPCを無防備に置きっぱなしにしていませんか?悪意のあるUSBデバイスや他のユーザーによる攻撃は、実際に起こり得るリスクです。

Do Not Disturbは常駐プロセスをインストールし、既知の「蓋を開けた」イベントをすべて記録します。アラートの送信やカスタムアクションの実行も設定可能です。専用のiOSアプリと組み合わせるとさらに効果的で、Webカメラで犯人の写真を撮影したり、Macを遠隔操作でシャットダウンしたりといった回避策も取れます。

アプリをインストールすれば、iOSアプリなしでも物理アクセスイベントのログを確認できます。視覚的なアラートなしで受動的にログを記録する「目立たない」モードや、メニューバーアイコンを非表示にする設定も用意されています。

ダウンロード: Do Not Disturb

2. KnockKnock ― 常駐型マルウェアの兆候をスキャン

できること: Mac内の常駐型マルウェアの兆候をスキャンします。

単純なマルウェアスキャナーにとどまらず、KnockKnockは永続化(常駐)するマルウェア――繰り返し自己インストールを行う悪意あるコード――の兆候を探します。これは通常、コンピュータの再起動時に発生します。オンライン検出サービス「VirusTotal」と連携しており、既知のマルウェアは赤くハイライト表示されます。

VirusTotalとの連携は便利ですが、このアプリはその他の常駐アプリケーションについてもレポートします。結果の大半は無害ですが、リストに目を通して不審なものがないか確認する絶好の機会となります。プラグイン、ブラウザ拡張、起動項目・ログイン項目、カーネル拡張など、さまざまな種類の常駐インストーラーを検出できる点も魅力です。

ダウンロード: KnockKnock

3. TaskExplorer ― 実行中プロセスをセキュリティ視点で調査

できること: Appleのアクティビティモニタをセキュリティ重視に特化させたようなツールです。

TaskExplorerはMac標準のアクティビティモニタに非常によく似ていますが、VirusTotalとの統合が大きな違いです。現在実行中の既知の悪意あるプロセスに自動的にフラグを立ててくれるほか、見慣れないプロセスはVirusTotalのサーバーへ送信して分析してもらうことも可能です。

実行中のプロセスのコード署名状況を素早く確認できるだけでなく、読み込まれたダイナミックライブラリ、ネットワーク接続の詳細、特定のタスクが現在使用中のファイルなども閲覧できます。KnockKnockと似ていますが、こちらは実行を担うコードではなく、すでに起動済みのプロセスに焦点を当てているのが特徴です。

ダウンロード: TaskExplorer

4. BlockBlock ― マルウェアのインストールをリアルタイムで阻止

できること: マルウェアのインストーラーを検出し、ブロックを試みます。

KnockKnockがマルウェアの原因となるインストーラーを事後的に探すのに対し、BlockBlockはインストール自体を未然に阻止しようとします。バックグラウンドで常時動作し、一般的な永続化の場所を監視。不審なものを検出すると即座にアラートを表示します。

ご想像の通り、BlockBlockもVirusTotalと統合されています。既知のマルウェアにはフラグが立ちますが、多くの検出結果は日常的な操作を行う正規アプリです。検出されたインストールをブロックするかどうかはユーザーが判断できます。また、インストーラーがApple署名か、サードパーティ署名か、それとも完全に未署名かについても報告してくれます。

ダウンロード: BlockBlock

5. RansomWhere? ― ランサムウェア攻撃を未然に防ぐ

できること: 新たに作成される暗号化ファイルを監視し、ランサムウェア攻撃を防止します。

ランサムウェアは、データへのアクセスを遮断し、ファイルの返還と引き換えに金銭を要求する特殊なマルウェアです。この種のマルウェアの大きな特徴は、不審なプロセスによって暗号化ファイルが次々と生成されることにあります。

RansomWhere?はシステム上のランサムウェアの既知の兆候を監視し、該当プロセスをブロックした上で、脅威を許可するか終了するかをユーザーに選択させます。短時間に大量の暗号化ファイルを作成する信頼できないプロセスにフラグを立てる一方、Apple署名のソフトウェアや、アプリ導入前にインストール済みのソフトウェアは明示的に信頼します。

他のObjective-See製アプリと同様、RansomWhere?はマルウェアそのものではなく、マルウェアを示唆する挙動を検出します。正規のプロセスがフラグされる可能性もありますが、開発者は誤検知を最小限に抑えるよう努めています。

ダウンロード: RansomWhere?

6. OverSight ― カメラ・マイクの不正使用を監視

できること: マイクやカメラが起動したときにアラートを表示します。

Objective-Seeの中でも最もシンプルなアプリの一つで、MacのマイクやWebカメラがオンになると通知してくれます。ユーザーの映像を録画・配信しようとするMacマルウェアの実例が実際に確認されているため、多くのユーザーが予防策としてWebカメラにカバーを付けているほどです。

OverSightはWebカメラやマイクのイベントを監視・報告します。アラートにはプロセス名とプロセス識別子が含まれ、「許可」または「ブロック」を選択可能です。安全なアプリをホワイトリストに登録すれば、毎回承認する手間も省けます。

特に興味深いのは、正当なカメラ・マイク要求に便乗しようとする二次プロセスの検出を試みる点です。完璧ではありませんが、何もないよりはるかに良いと言えるでしょう。

ダウンロード: OverSight

7. KextViewr ― カーネル拡張を一覧表示

できること: 現在ロードされているカーネル拡張の一覧を表示します。

カーネル拡張(kext)はmacOSにおいて最高権限を持つため、信頼できないモジュールが動いていないかを確認することが極めて重要です。KextViewrは、現在ロードされているすべてのkextと、その署名状況、インストール先のパス、そして最も重要なVirusTotalとのハッシュ照合結果を表示します。

#apple、#nonapple、#signed、#unsigned、#flagged のハッシュタグを使えば、表示を簡単にフィルタリングできます。シンプルイズベストなツールです。

ダウンロード: KextViewr

8. What's Your Sign ― アプリの署名状況をワンクリックで確認

できること: アプリの署名状況を確認し、その信頼性を判断します。

未署名のアプリがすべて危険というわけではありません。多くのオープンソースプロジェクトやフリーウェアは、開発者がライセンス費用を負担できないため未署名のまま公開されています。とはいえ、セキュリティの観点では、署名付きアプリの方が未署名アプリよりも信頼できるのは事実です。

What's Your Signを導入すると、右クリックメニューに「Signing Info」という新しい項目が追加されます。クリックすれば、そのアプリがApple署名か、サードパーティ署名か、未署名かがひと目でわかります。いたってシンプルな仕組みです。

ダウンロード: What's Your Sign

その他の便利なObjective-Seeツール

上記のツールに加えて、Objective-Seeには特定のユーザーにとって興味深いツールがいくつかあります。

• Lockdown: El Capitan向けに開発され、既知の脆弱性のあるサービスをロックダウンすることで、Macの露出面(攻撃対象領域)を素早く制限できます。現在はHigh Sierraでは動作しません。
• Ostiarius: 同じくEl Capitan向けで、マルウェアがGatekeeperを回避できるセキュリティホールを塞ぐためのアプリです。macOS Sierra以降ではAppleがこの問題を修正したため不要になりました(El Capitanからアップグレードできない環境では有用かもしれません)。
• dylib Hijack Scanner: Objective-See初のツールで、El Capitan向けに最終更新されました。同様の機能は前述のTaskExplorerにも含まれています。

セキュリティツールはマルウェア感染の予防と検出に大きく役立ちますが、少しの常識も感染回避に驚くべき効果を発揮します。管理者パスワードを求めるプロセスには常に疑いを持ち、Gatekeeperの回避を必要とする未署名アプリには注意を払い、システム整合性保護(SIP)は常に有効のままにしておきましょう。