Maak kennis met Beacon by Jamf Threat Labs

Bij ‘threat hunting’, of het opsporen van bedreigingen, worden proactief actieve of eerdere inbreuken op een systeem opgespoord met behulp van cyberinformatie. Het is een belangrijk element van cyberverdediging en de implementatie ervan vereist specifieke vaardigheden, personeel, hulpmiddelen en kennis. Aangezien aanvallers hun tactieken, technieken en procedures (TTP's) voortdurend verder ontwikkelen om de specifieke kenmerken van elk platform uit te buiten, hebben beveiligingsteams resources, inzicht en informatie nodig die specifiek op hun platform(s) zijn afgestemd.

Zonder goede platformkennis worden die eindpunten onvoldoende bewaakt.

Met het toenemende gebruik van Macs neemt ook de belangstelling van cybercriminelen toe. Mac-specifieke TTP’s, malwarevarianten en verspreidingsmethoden blijven zich verder ontwikkelen, parallel aan de beveiligingsframeworks van macOS. Het unieke karakter van macOS leidt tot een paradox: steeds meer medewerkers willen een Mac gebruiken, maar niet alle organisaties beschikken over de interne expertise om op een doeltreffende manier bedreigingen op te sporen die specifiek zijn voor dit systeem.

En ook al zijn mogelijk de juiste beveiligingsinstrumenten en -beleidsregels voor eindpunten geïmplementeerd, dan nog kan het blauwe team te weinig resources hebben. Daardoor hebben organisaties moeite om effectieve threat-huntingprogramma’s voor de Mac op te zetten, te schalen, te herhalen en de effecten ervan te meten.

Beacon by Jamf Threat Labs lost dit probleem op

Beacon by Jamf Threat Labs is een threat-huntingservice die is ontworpen om organisaties te helpen bedreigingen voor hun macOS-omgeving op te sporen, te analyseren en aan te pakken. Met deze oplossing van Jamf Threat Labs kunnen beveiligingsteams de ontwikkelingen in het dreigingslandschap voorblijven en een beter inzicht krijgen in hun macOS-beveiligingsstatus.

Waarom threat hunting op de Mac anders is

Bij Jamf begrijpen we dat de Mac anders is, en juist daarom zijn we er zo gek op. Het besturingssysteem, de gebruikerservaring, de modellen voor systeemintegriteit en meer: allemaal aspecten waarop de Mac zich onderscheidt van andere platforms.

En dat geldt ook voor de bedreigingen die op de Mac zijn gericht.

Het gedrag van aanvallers en de TTP's die tegen macOS worden ingezet, verschillen aanzienlijk van het gedrag en de TTP's die zijn gericht op andere omgevingen. Aanvallers maken bijvoorbeeld misbruik van de eigen mechanismen van Apple, zoals AppleScript, om persistentie te creëren, bevoegdheden te verhogen en detectie te ontwijken.

Bij threat hunting gaat het er niet alleen om te weten wat er verdacht uitziet, maar ook om te begrijpen waarom bepaald macOS-gedrag wordt gezien als afwijkend. Naast kennis over de TTP’s van aanvallers vereist effectieve threat hunting ook telemetrie die is gebaseerd op de eindpuntbeveiligings-API van Apple. Dit is het framework dat beveiligingstools diepgaand, betrouwbaar en realtime inzicht in gebeurtenissen geeft. Wanneer kennis over bedreigingen en regels voor threat hunting niet speciaal voor Mac-omgevingen zijn ontwikkeld, kunnen deze bedreigingen volledig onopgemerkt blijven.

Beacon by Jamf Threat Labs uitgelegd

Beacon by Jamf Threat Labs is een threat-huntingservice die inzicht en praktische maatregelen voor threat hunting biedt, speciaal afgestemd op macOS.

Het team achter de service

Het Mac-team van Jamf Threat Labs bestaat uit beveiligingsonderzoekers, analisten en detectie-ingenieurs. Het team is een en al Apple: ze schrijven boeken over threat hunting, leveren bijdragen aan het macOS Security Compliance Project en geven lezingen op beveiligingsconferenties. Doordat ze zich volledig op de Mac richten, kunnen ze zich concentreren op de specifieke bedreigingen en unieke threat-huntingbehoeften van Macs, de TTP’s van bedreigingsactoren en het gedrag van aanvallers.

Voorbeelden zijn:

• Aanvallen op de toeleveringsketen waarbij pakketten met trojans worden gebruikt.
• Uitvoering van schadelijke code in VSCode- of Xcode-projecten.
• Social-engineeringcampagnes van ClickFix gericht op macOS-gebruikers.
• Backdoor-malware van de Noord-Koreaanse regering verspreid via nepvacatures.
• En nog veel meer in het steeds veranderende dreigingslandschap van macOS.

Het onderzoek van Jamf Threat Labs wordt bij Jamf op verschillende manieren toegepast:

• Het is de basisvoeding voor de beveiligingsmodules van Jamf. Zo heeft Jamf Threat Labs in 2025 meer dan 26 duizend malwaresamples aan onze database toegevoegd en meer dan 230 YARA-regels.
• In onderzoeksartikelen en papers waarin vondsten worden beschreven, zoals een nieuwe ClickFix-techniek, wordt niet Terminal maar Script Editor op macOS gebruikt, en wordt een diepgaande analyse gemaakt van een nieuwe macOS-infostealer, genaamd DigitStealer

Met Beacon kan datzelfde Jamf Threat Labs-team nu rechtstreeks je macOS-omgeving beveiligen.

Doorlopend en achteraf opsporen

Het team spoort nieuwe, Apple-specifieke aanvalstechnieken, aanwijzingen van aantasting (IoC's of Indicators of Compromise) en verborgen malware op. Alle opsporingsprocessen worden aangestuurd door opsporingsregels die zijn opgesteld door Jamf Threat Labs en zijn verder afgestemd om de detectie van nieuwe malware, verdacht gedrag en veranderende TTP’s te verbeteren. Deze regels zijn de weerslag van het onderzoek en de praktische expertise van een team dat zich uitsluitend bezighoudt met Mac-beveiliging.

Maar de service gaat nog verder (en zelfs terug in de tijd): met retro-hunting wordt je telemetrie tot een jaar terug doorzocht, waardoor eventuele indicatoren van bedreigingen die op het moment van de eerste opname nog niet bekend waren alsnog aan het licht komen.

Operationele controle die je team sterker maakt

Een gebruikelijke zorg bij beveiligingsservices is het verlies van controle. Jij kent jouw bedrijf, wij kennen Mac. Wanneer er bedreigingen worden vastgesteld, krijgt je team stapsgewijze instructies voor het verhelpen daarvan, afgestemd op de eisen van jouw organisatie en jouw werkomgeving. Je werkt samen met Jamf Threat Labs om de juiste aanpak voor jouw situatie te implementeren. Jij houdt de touwtjes in handen. Jij implementeert het beleid. De analyse en het advies van Jamf Threat Labs ondersteunen je beslissing.

Maandelijkse beveiligingsrapporten op maat

Elke maand ontvang je een beveiligingsrapport op maat met informatie over de beveiligingsstatus van je organisatie, geblokkeerde Mac-malware, opkomende bedreigingen die relevant zijn voor jouw omgeving, en nog veel meer. Dit beveiligingsrapport is een zorgvuldig samengesteld overzicht dat je leidinggevenden op de hoogte houdt, gesprekken over je beveiligingsstatus ondersteunt en een gedocumenteerd overzicht biedt van ontdekkingen voor je beveiligingsprogramma. Het rapport bevat:

• Resultaten van threat-huntingcases: een duidelijk beeld van de bevindingen van Jamf Threat Labs, zowel kwaadaardige als niet-kwaadaardige cases. Elke case wordt handmatig gescreend en geanalyseerd door ons threat-huntingteam, met behulp van detectieregels op maat die zijn ontworpen om echte macOS-bedreigingen aan het licht te brengen.
• Overzicht van eindpunten waar de meeste waarschuwingen worden gegeven, om de prioriteit te bepalen bij het verhelpen van problemen en om apparaten te identificeren die mogelijk een grondiger forensisch onderzoek vereisen.
• Overzicht van gedragsdetecties (verdachte patronen, afwijkende procesactiviteit en mogelijke aanwijzingen van aantasting). Door Jamf opgestelde regels die schadelijk gedrag hebben geblokkeerd, en bekende malwarehandtekeningen die zijn gedetecteerd en geblokkeerd.

Zichtbaarheid op basis van de eindpuntbeveiligings-API van Apple

Jamf Threat Labs maakt gebruik van de Mac-telemetrie van Jamf, dat native is gebouwd op basis van de eindpuntbeveiligings-API van Apple, om inzicht te krijgen in de activiteit op de eindpunten. Deze telemetrie is gebaseerd op Apple-API’s, en biedt daardoor een diepgaander, nauwkeuriger en vollediger inzicht in macOS. Het heeft inzicht in systeem-, gebruikers-, netwerk- en applicatieactiviteiten en biedt daarmee de macOS-specifieke kennis over bedreigingen die nodig is om afwijkende activiteiten en gedrag van aanvallers aan het licht te brengen. Wanneer aanvallers proberen misbruik te maken van een Mac of wanneer er een afwijking is, wordt dit door de telemetrie geregistreerd.

Beacon by Jamf Threat Labs implementeren

Het Professional Services-team van Jamf configureert je telemetrie. Daardoor heb je vanaf dag één het juiste inzicht, worden gegevens naar de juiste plek gestuurd en kan Jamf Threat Labs onmiddellijk beginnen met het opsporen van actieve bedreigingen.

Aan de slag met Beacon by Jamf Threat Labs

Of je nu je beveiligingsprogramma voor de Mac helemaal vanaf de grond opbouwt of een bestaand programma wilt aanpassen, je vindt de benodigde expertise, het inzicht en de operationele ondersteuning om dit te realiseren bij Beacon.

Beacon by Jamf Threat Labs is momenteel beschikbaar voor alle Jamf-klanten met Jamf for Mac of Jamf for Mac Hi-Ed. Neem contact op met ons of met je Jamf-contactpersoon voor meer informatie.