Агент для macOS¶

Системные требования;
Возможности macOS-агента;
Установка агента;
Установка агента из pkg-дистрибутива;
Удаление агента;
Логи агента;
Задание резервного сервера;
Блокировка компьютера;
Перехват загружаемых через браузер файлов.

Системные требования¶

RAM: от 2 ГБ.

Пропускная способность сетевого канала: не менее 200 Kbps.

Поддерживаемые версии macOS:

10.15(Catalina);
11.x(BigSur);
12.x(Monterey);
13.x(Ventura);
14.x(Sonoma).

Примечание

Поддержка версий 10.13(High Sierra) и 10.14(Mojave) прекращена. Агент запустится машинах под управлением 10.13(High Sierra) и 10.14(Mojave), но его функционал будет ограничен.

Возможности macOS-агента¶

создание скриншотов с заданным интервалом времени;
создание скриншотов по переключению окна или смене его заголовка;
учёт времени работы в приложениях;
кейлоггер;
отслеживание содержимого буфера обмена;
файловый мониторинг;
универсальный инсталлятор для Intel, M1 и М2;
обновление агента с сервера;
задание резервного сервера;
изменяемые имя и иконка сборки (по запросу в тех.поддержку);
блокировка компьютера;
перехват загружаемых через браузер файлов

Установка агента¶

Скачайте агент:

через веб-интерфейс сервера;

по ссылке.

Выдайте терминалу разрешение на доступ к жёсткому диску для запуска скрипта-установщика:

Разместите установочный файл на машине, действия которой будут отслеживаться.

Для этого в терминале из папки с агентом выполните команду:
sudo bash ./agent-macos.sh 10.0.0.1
Вместо 10.0.0.1 укажите IP-адрес своего сервера StaffCop.

В появившемся окне «StaffAgent нуждается в accessability» выдайте права агенту:

Предоставьте разрешение «Terminal» для установки агента:

В некоторых версиях macOS необходимо выдать права на «Запись экрана»:

Установка агента из pkg-дистрибутива¶

Скачайте pkg-дистрибутив.

Примечание

Если в имени дистрибутива не указан адрес сервера Staffcop, на который будут отправляться данные, укажите его.

Приведите имя файла к виду agent-macos[server_address].pkg. Здесь вместо server_address укажите IP-адрес своего сервера Staffcop.

Запустите файл.

Ошибка Can’t be opened because apple cannot check it for malicious software

В ходе установки агента, может возникнуть ошибка Can’t be opened because apple cannot check it for malicious software.
Эта ошибка возникает, когда macOS не может проверить производителя запускаемого ПО. Решить эту проблемы можно несколькими способами:

Способ 1. В разделе System Preferences - Security & Privacy выберите опцию Open Anyway.

Способ 2. Нажмите правой кнопкой мыши на значке приложения. Опция Open будет доступна, не смотря на предупреждение Can’t be opened because apple cannot check it for malicious software.

Выполняйте указания мастера установки.
При запросе введите логин и пароль администратора системы.
Предоставьте системе все необходимые разрешения.

После завершения установки:

проверьте на всех вкладках, что предоставлены все необходимые разрешения:
в веб-интерфейсе сервера Staffcop в Алертах и в разделе Панель управления - Компьютеры появится информация об установленном агенте.

Удаление агента¶

Чтобы удалить агент выполните команду:

bash ./agent-macos.sh uninstall

Логи агента¶

Чтобы прочитать логи агента:

cat /Library/Caches/com.atomsec.staff/staff.log
cat /Library/Caches/com.atomsec.staff/staff_filemon.log
cat /tmp/staff.err.log
cat /var/log/system.log | grep com.atomsec.staff

Задание резервного сервера¶

macOS-агенту можно задать один или несколько резервных серверов для передачи событий или обновления самого агента.

Задать резервные серверы можно двумя способами:

Через терминал:
```
sudo /Library/Application\ Support/.AtomSec/StaffAgent.app/Contents/MacOS/StaffAgent add_servers 1.1.1.1 555 https://2.2.2.2:888
```
Здесь приведён пример добавления двух резервных серверов: 1.1.1.1 с портом связи 555 и 2.2.2.2 с портом 888.

После добавления новых серверов, перезапустите агент, чтобы обновлённая конфигурация вступила в силу:
```
sudo /Library/Application\ Support/.AtomSec/StaffAgent.app/Contents/MacOS/StaffAgent restart
```
Вручную в конфигурационном файле:

2.1 Откройте конфигурационный файл /Library/Application\ Support/.AtomSec/StaffAgent.app/Contents/MacOS/config.

2.2 Добавьте адрес нового сервера и порт для подключения к нему в формате:
```
server2 = 1.1.1.1
port2 = 555
```

При недоступности основного сервера, агент автоматически переключится на резервный. В случае, если недоступен первый резервный сервер, агент переключится на следующий, указанный в списке.

Чтобы указать в качестве основного ранее добавленный сервер 1.1.1.1 с портом связи 555, используйте команду:

sudo /Library/Application\ Support/.AtomSec/StaffAgent.app/Contents/MacOS/StaffAgent 1.1.1.1 555 restart

Блокировка компьютера¶

Чтобы заблокировать компьютер:

В веб-интерфейсе сервера Staffcop перейдите в раздел Панель управление - Компьютеры.
Из списка компьютеров выберите необходимый.
В разделе Выберите действие выберите Заблокировать ПК.

Перехват загружаемых через браузер файлов¶

Начиная с версии Staffcop 5.3 для macOS-агентов доступен перехват загружаемых через браузеры файлов.

Чтобы активировать функцию:

В разделе Панель управления - Конфигурации компьютеров выберите необходимую конфигурацию.
В разделе конфигурации Файлы активируйте опцию Файловая активность и задайте Размер файла для теневого копирования.
В разделе конфигурации Интернет активируйте опцию История браузеров.
Готово!

При указанных выше настройках все файлы, загруженные через браузер и не превышающие максимальный размер файла для теневого копирования, будут перехвачены.