{"id":78514,"date":"2020-04-20T01:42:32","date_gmt":"2020-04-19T23:42:32","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/kak-zashhishhat-proczessy-i-rasshireniya-yadra-v-macos"},"modified":"2020-04-20T01:42:32","modified_gmt":"2020-04-19T23:42:32","slug":"kak-zashhishhat-proczessy-i-rasshireniya-yadra-v-macos","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/kak-zashhishhat-proczessy-i-rasshireniya-yadra-v-macos","title":{"rendered":"Wie man Prozesse und Kernel-Erweiterungen in macOS sch\u00fctzt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Hallo, Habr! Heute m\u00f6chte ich dar\u00fcber sprechen, wie man Prozesse in macOS vor Angriffen von Hackern sch\u00fctzen kann. Dies ist beispielsweise n\u00fctzlich f\u00fcr Antivirensoftware oder Backup-Systeme, vor allem angesichts der Tatsache, dass es unter macOS mehrere M\u00f6glichkeiten gibt, einen Prozess \"zu beenden\". Lesen Sie mehr dazu und zu den Schutzmethoden im Folgenden.<\/p>\n

\"Wie<\/a><\/noindex>
\n<\/a><\/noindex><\/p>\n

Klassischer Weg, um einen Prozess zu beenden<\/h3>\n

\nDer allgemein bekannte Weg, um einen Prozess zu beenden, ist das Senden eines SIGKILL-Signals an den Prozess. Dies kann \u00fcber bash mit den Befehlen \"kill -SIGKILL PID\" oder \"pkill -9 NAME\" zum Beenden des Prozesses aufgerufen werden. Der Befehl \"kill\" ist seit den Anf\u00e4ngen von UNIX bekannt und in macOS sowie anderen UNIX-\u00e4hnlichen Systemen verf\u00fcgbar.<\/p>\n

Wie auch in UNIX-\u00e4hnlichen Systemen erm\u00f6glicht es macOS, alle Signale an einen Prozess abzufangen, mit zwei Ausnahmen \u2014 SIGKILL und SIGSTOP. In diesem Artikel liegt der Fokus haupts\u00e4chlich auf dem Signal SIGKILL, da es das Signal ist, das den Prozess beendet.<\/p>\n

Spezifika von macOS
\n<\/h3>\n

\nIn macOS ruft der Systemaufruf kill im XNU-Kernel die Funktion psignal(SIGKILL,…) auf. Lassen Sie uns untersuchen, welche weiteren Benutzeraktionen im Userspace die Funktion psignal ausl\u00f6sen k\u00f6nnen. Wir werden die Aufrufe der Funktion psignal in den internen Mechanismen des Kernels ausschlie\u00dfen (obwohl diese ebenfalls nicht trivial sein k\u00f6nnen, lassen wir sie f\u00fcr einen anderen Artikel \ud83d\ude42 \u2013 \u00dcberpr\u00fcfung der Signatur, Speicherm\u00e4ngel, Behandlung von exit\/terminate, Verletzung des Dateischutzes usw.). <\/p>\n

Beginnen wir mit einem \u00dcberblick \u00fcber die Funktion und den entsprechenden Systemaufruf. terminate_with_payload<\/a><\/noindex>. Es ist ersichtlich, dass neben dem klassischen Aufruf kill ein alternativer Ansatz existiert, der spezifisch f\u00fcr das Betriebssystem macOS ist und in BSD nicht vorkommt. Die Prinzipien der beiden Systemaufrufe sind ebenfalls \u00e4hnlich. Sie stellen direkte Aufrufe der Kernfunktion psignal dar. Zudem sollten wir beachten, dass vor dem Beenden des Prozesses die \u201ecansignal\u201c-\u00dcberpr\u00fcfung erfolgt \u2013 ob der Prozess einem anderen Prozess ein Signal senden kann. Das System erlaubt es keinem Anwendung, Systemprozesse abzut\u00f6ten.<\/p>\n

static int\nterminate_with_payload_internal(struct proc *cur_proc, int target_pid, uint32_t reason_namespace,\n\t\t\t\tuint64_t reason_code, user_addr_t payload, uint32_t payload_size,\n\t\t\t\tuser_addr_t reason_string, uint64_t reason_flags)\n{\n...\n\ttarget_proc = proc_find(target_pid);\n...\n\tif (!cansignal(cur_proc, cur_cred, target_proc, SIGKILL)) {\n\t\tproc_rele(target_proc);\n\t\treturn EPERM;\n\t}\n...\n\tif (target_pid == cur_proc->p_pid) {\n\t\t\/*\n\t\t * psignal_thread_with_reason() setzt ein SIGKILL auf den angegebenen Thread oder\n\t\t * gibt zur\u00fcck, wenn der Thread und\/oder die Aufgabe bereits beendet werden. In jedem Fall wird der\n\t\t * aktuelle Thread nicht zu Benutzerraum zur\u00fcckkehren.\n\t\t *\/\n\t\tpsignal_thread_with_reason(target_proc, current_thread(), SIGKILL, signal_reason);\n\t} else {\n\t\tpsignal_with_reason(target_proc, SIGKILL, signal_reason);\n\t}\n...\n}\n<\/code><\/pre>\n
<\/p>\n
launchd<\/h3>\n
\nDer Standardweg zum Erstellen von Daemons beim Systemstart und zur Kontrolle ihrer Lebensdauer ist launchd. Ich m\u00f6chte darauf hinweisen, dass die Quellcodes f\u00fcr eine \u00e4ltere Version von launchctl vor macOS 10.10 angegeben sind; die Codebeispiele dienen lediglich zur Veranschaulichung. Das moderne launchctl sendet Signale an launchd \u00fcber XPC, die Logik von launchctl wurde in dieses System \u00fcbertragen.<\/p>\n
Betrachten wir, wie die Beendigung von Anwendungen tats\u00e4chlich erfolgt. Bevor das SIGTERM-Signal gesendet wird, wird versucht, die Anwendung mit dem Systemaufruf \u201eproc_terminate\u201c zu stoppen.<\/p>\n
...\n\terror = proc_terminate(j->p, &sig);\n\tif (error) {\n\t\tjob_log(j, LOG_ERR | LOG_CONSOLE, \"Konnte den Job nicht beenden: %d: %s\", error, strerror(error));\n\t\tjob_log(j, LOG_NOTICE | LOG_CONSOLE, \"Fallback-Option zur Beendigung des Jobs wird verwendet...\");\n\t\terror = kill2(j->p, SIGTERM);\n\t\tif (error) {\n\t\t\tjob_log(j, LOG_ERR, \"Konnte das Signal an den Job nicht senden: %d: %s\", error, strerror(error));\n\t\t} \n...\n<\/code><\/pre>\n
\nTrotz seines Namens kann proc_terminate unter der Haube nicht nur psignal mit SIGTERM senden, sondern auch SIGKILL.<\/p>\n
Indirekte T\u00f6tung \u2014 Ressourcenbeschr\u00e4nkung<\/h3>\n
\nEin interessanterer Fall ist in einem anderen Systemaufruf zu sehen process_policy<\/a><\/noindex>. Die Standardnutzung dieses Systemaufrufs sind Einschr\u00e4nkungen der Ressourcen von Anwendungen, zum Beispiel f\u00fcr den Indexer eine Begrenzung der Quoten f\u00fcr CPU-Zeit und Speicher, um zu verhindern, dass das System erheblich durch Datei-Caching verlangsamt wird. Wenn eine Anwendung die Ressourcenbeschr\u00e4nkung erreicht hat, wie aus der Funktion proc_apply_resource_actions ersichtlich ist, wird dem Prozess das Signal SIGKILL gesendet.<\/p>\n
Obwohl dieser Systemaufruf potenziell die T\u00f6tung eines Prozesses durchf\u00fchren kann, hat das System nicht angemessen die Rechte des Prozesses \u00fcberpr\u00fcft, der den Systemaufruf t\u00e4tigt. Tats\u00e4chlich gab es eine \u00dcberpr\u00fcfung existiert.<\/a><\/noindex>, aber es reicht aus, das alternative Flag PROC_POLICY_ACTION_SET zu verwenden, um diese Bedingung zu umgehen.<\/p>\n
Damit kann, wenn die CPU-Nutzung des Prozesses (zum Beispiel die Ausf\u00fchrung von nur 1 ns) \u201eeingeschr\u00e4nkt\u201c wird, jeder Prozess im System beendet werden. Ein Angreifer k\u00f6nnte somit jeden Prozess im System, einschlie\u00dflich des Antivirenprogramms, beenden. Auch der Effekt, der beim T\u00f6ten des Prozesses mit pid 1 (launchctl) auftritt, ist interessant \u2014 ein Kernel-Panik bei dem Versuch, das SIGKILL-Signal zu verarbeiten \ud83d\ude42.<\/p>\n
\"Wie
\n<\/p>\n
Wie l\u00f6st man das Problem?<\/h3>\n
\nDer direkteste Weg, das T\u00f6ten eines Prozesses zu verhindern, besteht darin, den Funktionszeiger in der Systemaufruftabelle zu ersetzen. Leider ist dieser Ansatz aus vielen Gr\u00fcnden nicht trivial.<\/p>\n
Erstens ist das Symbol, das f\u00fcr die Position von sysent im Speicher verantwortlich ist, nicht nur ein privates Symbol des XNU-Kernels, sondern kann auch in den Kernel-Symbolen nicht gefunden werden. Es m\u00fcssen heuristische Suchmethoden verwendet werden, wie beispielsweise das dynamische Disassemblieren der Funktion und das Suchen des Zeigers darin.<\/p>\n
Zweitens h\u00e4ngt die Struktur der Eintr\u00e4ge in der Tabelle von den Flags ab, mit denen der Kernel kompiliert wurde. Wenn das FLAG CONFIG_REQUIRES_U32_MUNGING deklariert ist, wird die Gr\u00f6\u00dfe der Struktur ge\u00e4ndert \u2013 ein zus\u00e4tzliches Feld wird hinzugef\u00fcgt. sy_arg_munge32<\/a><\/noindex>. Es ist erforderlich, eine zus\u00e4tzliche \u00dcberpr\u00fcfung durchzuf\u00fchren, mit welchem Flag der Kernel kompiliert wurde, zum Beispiel durch den Abgleich der Funktionszeiger mit bekannten.<\/p>\n
struct sysent {         \/* system call table *\/\n        sy_call_t       *sy_call;       \/* implementing function *\/\n#if CONFIG_REQUIRES_U32_MUNGING || (__arm__ && (__BIGGEST_ALIGNMENT__ > 4))\n        sy_munge_t      *sy_arg_munge32; \/* system call arguments munger for 32-bit process *\/\n#endif\n        int32_t         sy_return_type; \/* system call return types *\/\n        int16_t         sy_narg;        \/* number of args *\/\n        uint16_t        sy_arg_bytes;   \/* Total size of arguments in bytes for\n                                         * 32-bit system calls\n                                         *\/\n};\n<\/code><\/pre>\n
\nGl\u00fccklicherweise bietet Apple in den modernen Versionen von macOS eine neue API zur Arbeit mit Prozessen an. Die Endpoint Security API erm\u00f6glicht es Clients, viele Anfragen an andere Prozesse zu autorisieren. So k\u00f6nnen alle Signale an Prozesse, einschlie\u00dflich des Signals SIGKILL, mit der oben genannten API blockiert werden.<\/p>\n
#include <bsm\/libbsm.h>\n#include <EndpointSecurity\/EndpointSecurity.h>\n#include <unistd.h>\n\nint main(int argc, const char * argv[]) {\n    es_client_t* cli = nullptr;\n    {\n        auto res = es_new_client(&cli, ^(es_client_t * client, const es_message_t * message) {\n            switch (message->event_type) {\n                case ES_EVENT_TYPE_AUTH_SIGNAL:\n                {\n                    auto& msg = message->event.signal;\n                    auto target = msg.target;\n                    auto& token = target->audit_token;\n                    auto pid = audit_token_to_pid(token);\n                    printf("signal '%d' sent to pid '%d'n", msg.sig, pid);\n                    es_respond_auth_result(client, message, pid == getpid() ? ES_AUTH_RESULT_DENY : ES_AUTH_RESULT_ALLOW, false);\n                }\n                    break;\n                default:\n                    break;\n            }\n        });\n    }\n\n    {\n        es_event_type_t evs[] = { ES_EVENT_TYPE_AUTH_SIGNAL };\n        es_subscribe(cli, evs, sizeof(evs) \/ sizeof(*evs));\n    }\n\n    printf("%dn", getpid());\n    sleep(60); \/\/ could be replaced with other waiting primitive\n\n    es_unsubscribe_all(cli);\n    es_delete_client(cli);\n\n    return 0;\n}\n<\/code><\/pre>\n
\n\u00c4hnlich kann im Kernel eine MAC-Policy registriert werden, die eine Schutzmethode gegen Signale (Policy proc_check_signal) bereitstellt, allerdings wird die API nicht offiziell unterst\u00fctzt.<\/p>\n
Schutz des Kernel-Extensions<\/h3>\n
\nNeben dem Prozessschutz im System ist auch der Schutz der Kernel-Erweiterung (kext) zwingend erforderlich. macOS bietet Entwicklern ein Framework f\u00fcr eine bequeme Entwicklung von IOKit-Ger\u00e4tetreibern. Zus\u00e4tzlich zu den Werkzeugen f\u00fcr die Ger\u00e4teverwaltung erm\u00f6glicht IOKit Methoden zum Stapeln von Treibern (Driver Stacking) mittels Instanzen von C++-Klassen. Eine Anwendung im Userspace kann eine registrierte Klasseninstanz \u201efinden\u201c, um eine Verbindung zwischen Kernel und Userspace herzustellen.<\/p>\n
Zur Ermittlung der Anzahl der Klasseninstanzen im System gibt es das Tool ioclasscount.<\/p>\n
my_kext_ioservice = 1\nmy_kext_iouserclient = 1\n<\/code><\/pre>\n
\nJede Kernel-Erweiterung, die sich im Treiberstapel registrieren m\u00f6chte, muss eine Klasse deklarieren, die von IOService abgeleitet ist, zum Beispiel my_kext_ioservice in diesem Fall. Die Verbindung von Benutzeranwendungen f\u00fchrt zur Erstellung einer neuen Klasseninstanz, die von IOUserClient abgeleitet ist, im Beispiel my_kext_iouserclient.<\/p>\n
Beim Versuch, den Treiber aus dem System zu entladen (Befehl kextunload) wird die virtuelle Funktion \u201ebool terminate(IOOptionBits options)\u201c aufgerufen. Es reicht aus, false beim Aufruf der Funktion terminate zur\u00fcckzugeben, um kextunload zu verhindern.<\/p>\n
bool Kext::terminate(IOOptionBits options)\n{\n\n  if (!IsUnloadAllowed)\n  {\n    \/\/ Entladen ist nicht erlaubt, false zur\u00fcckgeben\n    return false;\n  }\n\n  return super::terminate(options);\n}\n\n<\/code><\/pre>\n
\nDas Flag IsUnloadAllowed kann bei der Ladezeit von IOUserClient gesetzt werden. Bei einer Entladebeschr\u00e4nkung gibt der Befehl kextunload die folgende Ausgabe zur\u00fcck:<\/p>\n
admin@admins-Mac drivermanager % sudo kextunload .\/test.kext\nPasswort:\n(kernel) Kann kext my.kext.test nicht entfernen; Dienste konnten nicht beendet werden - 0xe00002c7.\nEntladen von my.kext.test fehlgeschlagen - (iokit\/common) nicht unterst\u00fctzte Funktion.\n<\/code><\/pre>\n
\nEin \u00e4hnlicher Schutz muss auch f\u00fcr IOUserClient durchgef\u00fchrt werden. Instanzen von Klassen k\u00f6nnen mit der Userspace-Funktion IOKitLib \u201eIOCatalogueTerminate(mach_port_t, uint32_t flag, io_name_t description);\u201c entladen werden. Es kann false beim Aufruf des Befehls \u201eterminate\u201c zur\u00fcckgegeben werden, solange die Userspace-Anwendung nicht \u201estirbt\u201c, d.h. solange die Funktion \u201eclientDied\u201c nicht aufgerufen wird.<\/p>\n
Dateischutz<\/h3>\n
\nZum Schutz von Dateien gen\u00fcgt die Verwendung der Kauth API, die den Zugriff auf Dateien einschr\u00e4nkt. Apple bietet Entwicklern Benachrichtigungen \u00fcber verschiedene Ereignisse im Scope an; f\u00fcr uns sind die Operationen KAUTH_VNODE_DELETE, KAUTH_VNODE_WRITE_DATA und KAUTH_VNODE_DELETE_CHILD von Bedeutung. Der Zugriff auf Dateien kann am einfachsten \u00fcber den Pfad eingeschr\u00e4nkt werden \u2013 wir verwenden die API \u201evn_getpath\u201c, um den Pfad zur Datei zu erhalten und vergleichen das Pr\u00e4fix des Pfades. Es sei bemerkt, dass zur Optimierung der Umbenennung von Ordnerpfaden mit Dateien das System nicht den Zugriff auf jede Datei autorisiert, sondern nur auf den Ordner, der umbenannt wurde. Es ist erforderlich, den \u00fcbergeordneten Pfad zu vergleichen und KAUTH_VNODE_DELETE f\u00fcr ihn zu beschr\u00e4nken.<\/p>\n
\"Wie
\n
\nEin Nachteil dieses Ansatzes kann die geringe Leistung bei zunehmender Zahl von Pr\u00e4fixen sein. Um zu verhindern, dass der Vergleich O(prefix*length) wird, wobei prefix die Anzahl der Pr\u00e4fixe und length die L\u00e4nge des Strings ist, kann ein deterministischer endlicher Automat (DEA) verwendet werden, der aus den Pr\u00e4fixen aufgebaut ist. <\/p>\n
Betrachten wir, wie ein DFA f\u00fcr diese Menge von Pr\u00e4fixen aufgebaut wird. Wir initialisieren die Zeiger am Anfang jedes Pr\u00e4fixes. Wenn alle Zeiger auf dasselbe Zeichen zeigen, erh\u00f6hen wir jeden Zeiger um ein Zeichen und merken uns, dass die L\u00e4nge der identischen Zeichenkette um eins gr\u00f6\u00dfer ist. Wenn es zwei Zeiger gibt, deren Zeichen unterschiedlich sind, teilen wir die Zeiger in Gruppen nach dem Zeichen, auf das sie zeigen, und wiederholen den Algorithmus f\u00fcr jede Gruppe.<\/p>\n
Im ersten Fall (wenn alle Zeichen unter den Zeigern identisch sind) erhalten wir einen Zustand des DFA, der nur einen \u00dcbergang \u00fcber die identische Zeichenkette hat. Im zweiten Fall erhalten wir eine \u00dcbergangstabelle von der Gr\u00f6\u00dfe 256 (Anzahl der Zeichen und maximale Anzahl der Gruppen) in die folgenden Zust\u00e4nde, die durch den rekursiven Aufruf der Funktion erzielt werden.<\/p>\n
Betrachten wir ein Beispiel. F\u00fcr die Menge der Pr\u00e4fixe (\"\/foo\/bar\/tmp\/\", \"\/var\/db\/foo\/\", \"\/foo\/bar\/aba\/\", \"foo\/bar\/aac\/\") kann der folgende DFA erstellt werden. Im Bild sind nur die \u00dcberg\u00e4nge zu anderen Zust\u00e4nden angegeben; andere \u00dcberg\u00e4nge werden nicht als endg\u00fcltig betrachtet.<\/p>\n
\"Wie
\n
\nBeim Durchlaufen der Zust\u00e4nde des DFA kann es 3 F\u00e4lle geben.<\/p>\n
    \n
  1. Der endg\u00fcltige Zustand wurde erreicht \u2014 der Pfad ist gesichert, Operationen wie KAUTH_VNODE_DELETE, KAUTH_VNODE_WRITE_DATA und KAUTH_VNODE_DELETE_CHILD sind eingeschr\u00e4nkt.<\/li>\n
  2. Der endg\u00fcltige Zustand wurde nicht erreicht, aber der Pfad \"endete\" (Null-Terminator erreicht) \u2014 der Pfad ist der \u00fcbergeordnete, es m\u00fcssen Einschr\u00e4nkungen f\u00fcr KAUTH_VNODE_DELETE gelten. Beachten Sie, dass wenn vnode ein Ordner ist, am Ende \u2018\/\u2019 hinzugef\u00fcgt werden muss, andernfalls k\u00f6nnte eine Einschr\u00e4nkung auf die Datei \u201c\/foor\/bar\/t\u201d angewendet werden, was nicht korrekt ist.<\/li>\n
  3. Der endg\u00fcltige Zustand wurde nicht erreicht, der Pfad ist nicht abgeschlossen. Keiner der Pr\u00e4fixe stimmt \u00fcberein, daher werden keine Einschr\u00e4nkungen eingef\u00fchrt.<\/li>\n<\/ol>\n
    <\/p>\n
    Fazit<\/h3>\n
    \nZiel der entwickelten Sicherheitsl\u00f6sungen ist es, die Sicherheit der Benutzer und ihrer Daten zu erh\u00f6hen. Einerseits wird dieses Ziel durch die Entwicklung des Softwareprodukts Acronis erreicht, das die Schwachstellen schlie\u00dft, wo die Betriebssysteme anf\u00e4llig sind. Andererseits sollten auch die Sicherheitsaspekte nicht vernachl\u00e4ssigt werden, die auf der OS-Seite verbessert werden k\u00f6nnen, besonders da das Schlie\u00dfen solcher Schwachstellen unsere eigene Widerstandsf\u00e4higkeit als Produkt erh\u00f6ht. Eine Schwachstelle wurde dem Apple Product Security Team gemeldet und wurde in macOS 10.14.5 behoben (https:\/\/support.apple.com\/en-gb\/HT210119).<\/p>\n
    \"Wie
    \n
    \nAll dies kann nur erfolgen, wenn Ihr Tool offiziell im Kernel installiert wurde. Das bedeutet, dass es f\u00fcr externe und unerw\u00fcnschte Software keine solchen Schlupfl\u00f6cher gibt. Wie Sie sehen k\u00f6nnen, erfordert es jedoch auch M\u00fche, legitime Programme wie Antiviren- und Backup-Systeme zu sch\u00fctzen. Aber jetzt werden die neuen Produkte von Acronis f\u00fcr macOS \u00fcber zus\u00e4tzlichen Schutz gegen das Herunterladen aus dem System verf\u00fcgen.
    \n
    Quelle: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
    \u041f\u0440\u0438\u0432\u0435\u0442, \u0425\u0430\u0431\u0440! \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u043d\u0435 \u0445\u043e\u0442\u0435\u043b\u043e\u0441\u044c \u0431\u044b \u043f\u043e\u0433\u043e\u0432\u043e\u0440\u0438\u0442\u044c \u043e \u0442\u043e\u043c, \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b \u043e\u0442 \u043f\u043e\u0441\u044f\u0433\u0430\u0442\u0435\u043b\u044c\u0441\u0442\u0432 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u043e\u0432 \u0432 macOS. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u044d\u0442\u043e \u043f\u043e\u043b\u0435\u0437\u043d\u043e \u0434\u043b\u044f \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u0430 \u0438\u043b\u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0440\u0435\u0437\u0435\u0440\u0432\u043d\u043e\u0433\u043e \u043a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f, \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u0432 \u0441\u0432\u0435\u0442\u0435 \u0442\u043e\u0433\u043e \u0447\u0442\u043e \u043f\u043e\u0434 macOS \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u0441\u0440\u0430\u0437\u0443 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u043f\u043e\u0441\u043e\u0431\u043e\u0432 \u201c\u0443\u0431\u0438\u0442\u044c\u201d \u043f\u0440\u043e\u0446\u0435\u0441\u0441. \u041e\u0431 \u044d\u0442\u043e\u043c \u0438 \u043e \u043c\u0435\u0442\u043e\u0434\u0430\u0445 \u0437\u0430\u0449\u0438\u0442\u044b \u0447\u0438\u0442\u0430\u0439\u0442\u0435 \u043f\u043e\u0434 \u043a\u0430\u0442\u043e\u043c. \u041a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0441\u043f\u043e\u0441\u043e\u0431 \u201c\u0443\u0431\u0438\u0442\u044c\u201d \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0412\u0441\u0435\u043c \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0439 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":78515,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-78514","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Wie man Prozesse und Kernel-Erweiterungen in macOS sch\u00fctzt | ProHoster","description":"Hallo, Habr! Heute m\u00f6chte ich dar\u00fcber sprechen, wie man Prozesse in macOS vor \u00dcbergriffen von Angreifern sch\u00fctzen kann. Dies ist beispielsweise n\u00fctzlich f\u00fcr Antivirenprogramme oder Backup-Systeme, insbesondere weil es in macOS mehrere M\u00f6glichkeiten gibt, einen Prozess zu \"t\u00f6ten\". Lesen Sie weiter unten \u00fcber diese und weitere Schutzmethoden.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/kak-zashhishhat-proczessy-i-rasshireniya-yadra-v-macos","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u0430\u043a \u0437\u0430\u0449\u0438\u0449\u0430\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b \u0438 \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u044f \u044f\u0434\u0440\u0430 \u0432 macOS | ProHoster","og:description":"\u041f\u0440\u0438\u0432\u0435\u0442, \u0425\u0430\u0431\u0440! \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u043d\u0435 \u0445\u043e\u0442\u0435\u043b\u043e\u0441\u044c \u0431\u044b \u043f\u043e\u0433\u043e\u0432\u043e\u0440\u0438\u0442\u044c \u043e \u0442\u043e\u043c, \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u044b \u043e\u0442 \u043f\u043e\u0441\u044f\u0433\u0430\u0442\u0435\u043b\u044c\u0441\u0442\u0432 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u043e\u0432 \u0432 macOS. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u044d\u0442\u043e \u043f\u043e\u043b\u0435\u0437\u043d\u043e \u0434\u043b\u044f \u0430\u043d\u0442\u0438\u0432\u0438\u0440\u0443\u0441\u0430 \u0438\u043b\u0438 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0440\u0435\u0437\u0435\u0440\u0432\u043d\u043e\u0433\u043e \u043a\u043e\u043f\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f, \u043e\u0441\u043e\u0431\u0435\u043d\u043d\u043e \u0432 \u0441\u0432\u0435\u0442\u0435 \u0442\u043e\u0433\u043e \u0447\u0442\u043e \u043f\u043e\u0434 macOS \u0441\u0443\u0449\u0435\u0441\u0442\u0432\u0443\u0435\u0442 \u0441\u0440\u0430\u0437\u0443 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u0441\u043f\u043e\u0441\u043e\u0431\u043e\u0432 \u201c\u0443\u0431\u0438\u0442\u044c\u201d \u043f\u0440\u043e\u0446\u0435\u0441\u0441. \u041e\u0431 \u044d\u0442\u043e\u043c \u0438 \u043e \u043c\u0435\u0442\u043e\u0434\u0430\u0445 \u0437\u0430\u0449\u0438\u0442\u044b \u0447\u0438\u0442\u0430\u0439\u0442\u0435 \u043f\u043e\u0434 \u043a\u0430\u0442\u043e\u043c. \u041a\u043b\u0430\u0441\u0441\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0441\u043f\u043e\u0441\u043e\u0431 \u201c\u0443\u0431\u0438\u0442\u044c\u201d \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0412\u0441\u0435\u043c \u0438\u0437\u0432\u0435\u0441\u0442\u043d\u044b\u0439","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/kak-zashhishhat-proczessy-i-rasshireniya-yadra-v-macos","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-04-19T23:42:32+00:00","article:modified_time":"2020-04-19T23:42:32+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"78514","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 16:56:36","updated":"2022-09-28 22:19:40"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/78514","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=78514"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/78514\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/78515"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=78514"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=78514"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=78514"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}