運用 Mac 端點遙測功能，符合法規架構下的合規要求

Jamf 於今年稍早推出更新版的 Mac 端點遙測功能，為組織提供具實用價值且可執行的洞察，支援合規稽核、事件調查、威脅搜捕及 IT 營運管理。本文將聚焦治理與合規，說明 Jamf 遙測功能如何協助組織輕鬆組態與蒐集遙測資料，以滿足重要合規架構所需之資料要求。

什麼是 IT 治理與合規？

治理是一套制度（例如各類架構），用於訂定必要的條件與規範，涵蓋組態、功能及／或流程，其內容依循業界公認的標準制定，以達到最基本的資料安全層級。

合規則是在內外部治理標準架構下，透過導入控制措施、組態硬體／軟體並建立相關流程，確保資料安全、保護隱私，並維持隨時可接受稽核的狀態。

兩者相輔相成，且仰賴 Mac 端點遙測功能提供的可執行洞察，偵測異常、落實政策，並證明符合內外部規範要求。

為什麼 IT 治理與合規如此重要？

治理與合規對組織至關重要，能保護敏感資料、識別組織安全狀況的潛在缺口，降低財務或聲譽受損的風險。完善的治理可確保政策落實，將風險降至最低。合規則證明符合外部法規與內部標準，避免受罰或發生資安事件。

舉例來說：

• 防範內部威脅：透過記錄使用者活動與權限提升，可協助組織偵測並回應未經授權的操作，並符合如 NIST 800-53 與 ISO 27001 等法規架構的要求。
• 提升稽核就緒能力：記錄系統活動與組態變更，確保組織在面對 PCI DSS 與 HIPAA 稽核時，清楚呈現合規狀況。
• 降低資安事件影響：透過遙測追蹤異常並落實政策，協助組織及早偵測進階威脅，將營運中斷降至最低。

治理與合規不僅是義務，更是維持安全、高效營運的關鍵。

認識合規架構

全球各產業與地區適用多種常見資安架構，組織須遵循或致力達成合規。重要的是，Jamf 的端點遙測功能可為組織提供當前裝置健康狀態的洞察。這項關鍵資料可用於將安全組態對齊這些合規架構的要求。以下並非完整的架構清單，僅說明最常見的幾種。

法規合規架構

這類架構由法律或產業規範強制要求，組織通常須符合特定要求，以確保資料保護、隱私或營運完整性。因此，組織須符合這些架構的相關要求。

• 適用於美國聯邦政府部門的《行政命令 14028》(M-21-31)
• 適用於美國醫療保健及服務提供者的 HIPAA／HITRUST CSF
• 適用於支付作業流程的全球性架構 PCI DSS
• 適用於服務提供者的全球性架構 SOC

安全基本要求與基準

這類架構或要求提供規範性技術控制措施或最佳實務，常用於保護 IT 系統，作為達成整體合規目標的參考。這些架構視組織性質與產業而定，可能必須遵循，或可依需求採用。

• 適用於各產業的全球性基本要求 ISO 27001／27002
• 適用於美國政府與民間部門（但會影響其他國家）的 NIST SP 800-53
• 適用於美國政府、國防承包商及政府相關國防機構與企業（但會影響其他國家）的 NIST SP 800-171
• 適用於美國聯邦政府國家安全系統的 CNSSI 1253
• 適用於美國軍方與國防承包商的 DISA STIG
• 適用於各產業的全球基準 CIS 第 1 級與第 2 級

資安成熟度架構

這類架構著重透過循序漸進的建議，提升組織整體的網路安全狀況，同時強調韌性與應變能力。

• 適用於美國國防承包商的 CMMC 第 1 級與第 2 級
• 適用於澳洲各產業的 Essential 8
• 適用於澳洲政府與民間部門的 Australian ISM
• 適用於英國政府與民間部門的 Cyber Essentials
• 適用於歐盟關鍵基礎設施（如能源、電信與運輸）的 ENISA Framework

Jamf 的 Mac 端點遙測功能如何提供協助？

瞭解各類治理與合規架構後，下一個問題是：Jamf 的 Mac 端點遙測功能如何提供協助？Jamf 的 Mac 端點遙測功能包含多種遙測類型，資安團隊可依需求輕鬆組態並進行記錄。以下將說明常見合規要求、其重要性、對應各要求的架構，以及協助達成合規的遙測功能類別。

若需深入檢視建立遙測組態時應蒐集的資訊類別，請參閱我們的技術文件。

程序執行與可追溯性

程序執行與可追溯性包含擷取已執行程序的詳細資料，例如來源、父子關係（衍生關係）及程式碼完整性。程序執行記錄是偵測未授權程序、識別惡意軟體，以及還原攻擊過程的重要依據。對於需達成 NIST SP 800-53、EO 14028 (M-21-31)、PCI DSS 與 Essential 8 等合規目標的組織而言，將此類遙測資料納入記錄是符合各項架構的必要作法。

認證與存取

認證與存取包括記錄使用者的認證事件，像是登入、登出、認證失敗及遠端存取（例如 SSH 與螢幕共享）。組織需記錄成功與失敗的認證事件，以落實存取控制規範，追蹤未授權的嘗試，以利合規稽核。對於需達成 NIST SP 800-53、EO 14028 (M-21-31)、HIPAA、PCI DSS 與 Cyber Essentials 等合規目標的組織而言，將此類遙測資料納入記錄是必要作法。

權限提升與系統管理操作

權限提升與系統管理操作包括監控使用者提升權限（如 sudo）或執行系統管理操作（如切換使用者、重大系統變更）相關事件。權限管理與追蹤對於偵測高權限濫用，並提供操作行為的鑑證洞察至關重要。對於需達成 NIST SP 800-53、EO 14028 (M-21-31)、PCI DSS 與 DISA STIG 等合規目標的組織而言，將此類遙測資料納入記錄是符合各項架構的必要作法。

使用者與群組管理

使用者與群組管理包括記錄使用者與群組組態變更，例如帳戶建立、刪除、修改及屬性變更（像是密碼）。組織通常需要掌握帳戶生命週期相關事件，以落實最小權限原則並防止未授權存取。對於需達成 NIST SP 800-53、EO 14028 (M-21-31)、ISO／IEC 27001 與 CMMC 等合規目標的組織而言，將此類遙測資料納入記錄是符合各項架構的必要作法。

持續性機制

持續性機制包括監控攻擊者為持續存取系統而建立或移除的相關技術，例如 LaunchAgents、LaunchDaemons 或其他系統層級的任務項目。這有助於偵測攻擊者隱蔽在 macOS 系統中且長期潛伏的據點。對於需達成 NIST SP 800-53、EO 14028 (M-21-31) 與 DISA STIG 等合規目標的組織而言，將此類遙測資料納入記錄是符合各項架構的必要作法。

卷宗掛載與裝置連線

卷宗掛載與裝置連線包括記錄卷宗掛載／卸載及外接裝置（如 USB、網路裝置）連線時的相關事件。這有助於組織蒐集裝置連線記錄，追蹤未授權硬體使用，並防止資料外洩或惡意軟體入侵。對於需達成 NIST SP 800-53、EO 14028 (M-21-31) 與 PCI DSS 等合規目標的組織而言，將此類遙測資料納入記錄是符合各項架構的必要作法。

內建安全性事件

內建安全性事件會擷取來自 macOS 安全性工具（如 XProtect）的相關事件，並回報惡意軟體偵測與防護措施的執行情形。這有助於組織提供主動防禦與威脅修復的證據，滿足惡意軟體防護要求。對於需達成 NIST SP 800-53、EO 14028 (M-21-31) 與 Cyber Essentials 等合規目標的組織而言，將此類遙測資料納入記錄是符合各項架構的必要作法。

系統組態變更

系統組態變更會監控系統設定變更，例如設定描述檔安裝、VPN 組態與及核心延伸功能。這有助於落實系統強化原則，找出未經授權的變更。對於需達成 NIST SP 800-53、EO 14028 (M-21-31) 與 DISA STIG 等合規目標的組織而言，將此類遙測資料納入記錄是符合各項架構的必要作法。

診斷與當機報告

診斷與當機報告會蒐集內建與第三方應用程式的診斷與當機記錄。這些記錄有助於找出穩定性問題、失敗的攻擊嘗試或應用程式組態錯誤。對於需達成 NIST SP 800-55、EO 14028 (M-21-31) 與 ISO/IEC 27001 等合規目標的組織而言，將此類遙測資料納入記錄是符合各項架構的必要作法。

應用程式效能與資源使用情形

應用程式效能與資源使用情形會記錄效能指標，例如 CPU 使用率、能源效率，以及各程序和／或應用程式消耗的資源。應用程式效能監控可協助偵測資源劫持等異常（例如加密劫持），並最佳化系統營運效率。對於需達成 NIST SP 800-53、ISO/IEC 27001 與 Essential 8 等合規目標的組織而言，將此類遙測資料納入記錄是符合各項架構的必要作法。

自訂記錄檔蒐集

自訂記錄檔蒐集能因應特定使用情境監控並回報系統與第三方的記錄檔。自訂記錄檔蒐集可讓組織監控特定工作流程或合規密切相關的流程，涵蓋預設遙測未包含的範圍。對於需達成 NIST SP 800-53、ISO/IEC 27001 與 Essential 8 等合規目標的組織而言，將此類遙測資料納入記錄是符合各項架構的必要作法。

Mac 端點遙測類別重點整理

Jamf 讓 IT 與資安團隊能輕鬆組態特定遙測類別。對於每種類別，管理員都可蒐集所需的特定遙測資料。前述類別包括哪些？

• 應用程式與程序記錄程序執行與衍生關係（父子關係），並追蹤程式碼簽章詳細資料以進行驗證
• 存取與認證擷取與可對應至使用者身分及相關程序的詳細記錄，包括權限提升嘗試與系統管理操作，確保可追溯性。
• 使用者與群組記錄所有使用者與群組組態變更（例如帳戶建立、群組異動），並可與其他遙測資料（像是權限提升）相對應。
• 持續性機制偵測新增或修改的持續性機制，協助掌握常見於 macOS 的攻擊手法。
• 硬體與卷宗追蹤外接卷宗的掛載與卸載，以及裝置連線情形，偵測是否出現未授權的硬體使用。
• Apple 安全性擷取 Mac 裝置內建安全性工具產生的事件。
• 系統記錄重大組態變更（例如組態描述檔安裝或核心延伸功能載入），協助組織驗證安全設定，找出異常變更。
• 診斷與當機報告擷取診斷報告與當機事件，並關聯至相關程序或使用者，以進行鑑證分析。
• 效能指標追蹤應用程式效率，協助組織維持營運效能與韌性

開始使用 Jamf 的 Mac 端點遙測功能

Mac 端點遙測功能支援多元使用情境，能協助組織全面掌握 Mac 環境。Jamf 的 Mac 端點遙測功能提供無與倫比的可見性，帶來更精準、可靠且可執行的洞察，滿足合規、資安與 IT 需求。