DEX-Prüfungsdefinitionen für Mac

  • Freigeben Version: Xanadu
  • Aktualisiert 1. August 2024
  • 6 Minuten Lesedauer

    • Prüfungsdefinitionen für Mac sind vorgegebene Sätze von Regeln und Kriterien zur Bewertung der Leistung, Sicherheit und Compliance von Mac-Geräten. Diese Prüfungen können verschiedene Aspekte abdecken, zum Beispiel CPU-Auslastung, Speichernutzung, Akkudaten und Firewall-Status.

    Um in macOS-Systemen die gesamten Daten abzurufen, fügen Sie die folgenden Inhalte in /etc/sudoers ein.

    Für Agent Version 3.4.0 oder früher:
    _servicenow ALL=NOPASSWD: SETENV: /Library/Caches/servicenow/agent-client-collector/osquery/bin/osqueryi *, /usr/bin/mdls, /usr/bin/log, /bin/kill, /bin/launchctl
Defaults:_servicenow !requiretty
    Für Agent Version 3.4.1 oder höher:
    _servicenow ALL=NOPASSWD: SETENV: /Library/Application\ Support/servicenow/agent-client-collector/cache/osquery/bin/osqueryi *, /usr/bin/mdls, /usr/bin/log, /bin/kill, /bin/launchctl
 Defaults:_servicenow !requiretty
    Hinweis:
    Sie können die Prüfungsdefinitionen und die zugehörigen abrufbaren Daten konfigurieren. Einige der aufgeführten Prüfungsdefinitionen rufen möglicherweise Daten ab, die personenbezogene Daten enthalten oder als solche gelten.

    Prüfungsdefinitionen – Anwendung (Metriken)

    DEX stellt die folgenden Prüfungsdefinitionen bereit, auf die nur zugegriffen werden kann, wenn die Anwendung ausgeführt wird. Ausnahmen sind os.mac.check-app-version, os.mac.check-app-is-installed, os.mac.check-app-last-access-time und os.mac.check-app-last-updated. Auf diese Prüfungsdefinitionen kann auch dann zugegriffen werden, wenn die Anwendung nicht ausgeführt wird. In den Parametern der Prüfungsdefinition:
    • appName = Anwendungsname. Beispiel: Webex.
    • appSysId = Sys-ID der Anwendung.
    • primaryProcess = Auflistung der primären Prozesse für die Anwendung mit dem Pipeline-Symbol ( | ) als Trennzeichen. Der erste Prozess, der auf dem Endpunktgerät vorhanden ist, erhält Priorität. Beispiel 1: Webex.app. Beispiel 2: Microsoft Teams.app | Microsoft Teams Classic.app.
      Hinweis:
      Wenn der primäre Prozess für die Anwendung Teams auf einem Endpunktgerät Microsoft Teams.app ist, während er auf einem anderen Endpunktgerät Microsoft Teams classic.app ist, erhält bei der Bestimmung der Priorität anhand der Prozessverfügbarkeit der Prozess Vorrang, der zuerst auf dem Endpunktgerät vorhanden ist.
    • secondaryProcesses = Auflistung der sekundären Prozesse für die Anwendung mit dem Pipeline-Symbol ( | ) als Trennzeichen. Beispiel: Cisco WebEx Start.app | webexmtaV2.app.
    Name der Prüfungsdefinition Parameter der Prüfungsdefinition Beschreibung
    os.mac.check-app-cpu-usage
    • --appName=<Anwendungsname>
    • --primaryProcess=<Name des primären Prozesses>
    • --secondaryProcesses=<Auflistung der sekundären Prozesse für die Anwendung mit dem Pipeline-Symbol als Trennzeichen>
    • --appSysId=<Sys-ID der Anwendung>
    		 Prüft die Menge der von der Anwendung beanspruchten CPU-Ressourcen.
    os.mac.check-app-memory-usage
    • --appName=<Anwendungsname>
    • --primaryProcess=<Name des primären Prozesses>
    • --secondaryProcesses=<Auflistung der sekundären Prozesse für die Anwendung mit dem Pipeline-Symbol als Trennzeichen>
    • --appSysId=<Sys-ID der Anwendung>
    		 Prüft die Menge der von der Anwendung beanspruchten Arbeitsspeicherressourcen.
    os.mac.check-app-listening-ports
    • --appName=<Anwendungsname>
    • --primaryProcess=<Name des primären Prozesses>
    • --secondaryProcesses=<Auflistung der sekundären Prozesse für die Anwendung mit dem Pipeline-Symbol als Trennzeichen>
    • --appSysId=<Sys-ID der Anwendung>
    		 Ruft die offenen Portnummern ab, über die eingehender Netzwerkdatenverkehr die Anwendung erreichen kann.
    os.mac.check-app-last-updated
    • --appName=<Anwendungsname>
    • --primaryProcess=<Name des primären Prozesses>
    • --secondaryProcesses=<Auflistung der sekundären Prozesse für die Anwendung mit dem Pipeline-Symbol als Trennzeichen>
    • --appSysId=<Sys-ID der Anwendung>
    		 Prüft Uhrzeit und Datum der letzten Installation eines Anwendungs-Updates.
    Hinweis:
    Für diese Prüfungsdefinition muss die Anwendung nicht ausgeführt werden.
    os.mac.check-app-version
    • --appName=<Anwendungsname>
    • --primaryProcess=<Name des primären Prozesses>
    • --secondaryProcesses=<Auflistung der sekundären Prozesse für die Anwendung mit dem Pipeline-Symbol als Trennzeichen>
    • --appSysId=<Sys-ID der Anwendung>
    		 Ruft die Versionsnummer der Anwendung ab.
    Hinweis:
    • Für diese Prüfungsdefinition muss die Anwendung nicht ausgeführt werden.
    • Wenn eine Anwendung keine Version hat, gibt die Prüfungsdefinition für sie die Zeichenfolge „unversioned“ zurück.
    os.mac.check-app-is-installed
    • --appName=<Anwendungsname>
    • --primaryProcess=<Name des primären Prozesses>
    • --secondaryProcesses=<Auflistung der sekundären Prozesse für die Anwendung mit dem Pipeline-Symbol als Trennzeichen>
    • --appSysId=<Sys-ID der Anwendung>
    		 Prüft, ob die Anwendung auf dem Gerät installiert ist oder nicht.
    Hinweis:
    Für diese Prüfungsdefinition muss die Anwendung nicht ausgeführt werden.
    os.mac.check-app-is-running
    • --appName=<Anwendungsname>
    • --primaryProcess=<Name des primären Prozesses>
    • --secondaryProcesses=<Auflistung der sekundären Prozesse für die Anwendung mit dem Pipeline-Symbol als Trennzeichen>
    • --appSysId=<Sys-ID der Anwendung>
    		 Prüft, ob die Anwendung gerade ausgeführt wird oder nicht.
    os.mac.check-app-uptime
    • --appName=<Anwendungsname>
    • --primaryProcess=<Name des primären Prozesses>
    • --secondaryProcesses=<Auflistung der sekundären Prozesse für die Anwendung mit dem Pipeline-Symbol als Trennzeichen>
    • --appSysId=<Sys-ID der Anwendung>
    		 Prüft die Betriebszeit der betreffenden Anwendung.
    os.mac.check-app-last-access-time
    • --appName=<Anwendungsname>
    • --primaryProcess=<Name des primären Prozesses>
    • --secondaryProcesses=<Auflistung der sekundären Prozesse für die Anwendung mit dem Pipeline-Symbol als Trennzeichen>
    • --appSysId=<Sys-ID der Anwendung>
    		 Prüft, wann die Anwendung zuletzt ausgeführt wurde.
    Hinweis:
    • Für diese Prüfungsdefinition muss die Anwendung nicht ausgeführt werden.
    • Wenn der Benutzer die Anwendung in den letzten 7 Tagen nicht ausgeführt hat, ist die letzte Zugriffszeit leer.
    os.mac.check-app-io-usage-read
    • --appName=<Anwendungsname>
    • --primaryProcess=<Name des primären Prozesses>
    • --secondaryProcesses=<Auflistung der sekundären Prozesse für die Anwendung mit dem Pipeline-Symbol als Trennzeichen>
    • --appSysId=<Sys-ID der Anwendung>
    		 Prüft die Verwendung von E/A-Lesevorgängen (Eingabe/Ausgabe) durch die Anwendung.
    os.mac.check-app-io-usage-write
    • --appName=<Anwendungsname>
    • --primaryProcess=<Name des primären Prozesses>
    • --secondaryProcesses=<Auflistung der sekundären Prozesse für die Anwendung mit dem Pipeline-Symbol als Trennzeichen>
    • --appSysId=<Sys-ID der Anwendung>
    		 Prüft die Verwendung von E/A-Schreibvorgängen (Eingabe/Ausgabe) durch die Anwendung.
    os.mac.check-app-domain-network-latency
    • --appName=<Anwendungsname>
    • --primaryProcess=<Name des primären Prozesses>
    • --secondaryProcesses=<Auflistung der sekundären Prozesse für die Anwendung mit dem Pipeline-Symbol als Trennzeichen>
    • --appSysId=<Sys-ID der Anwendung>
    • --domain=<Domäne der Anwendung>
    		 Ruft die Netzwerklatenz der Anwendungsdomäne ab.

    Prüfungsdefinitionen – Gerät (Metriken)

    DEX stellt die folgenden Arten von Prüfungsdefinitionen für das Gerät bereit.
    Name der Prüfungsdefinition Beschreibung
    os.mac.check-system-cpu-usage Prüft die CPU-Auslastung.
    os.mac.check-system-cpu-details Ruft den CPU-Namen, die Anzahl der physischen und logischen Kerne sowie Informationen zur Architektur ab.
    os.mac.check-system-memory-usage Prüft die Auslastung des Systemarbeitsspeichers.
    os.mac.check-system-last-access-time Prüft, wann das letzte Mal auf das aktuelle Gerät zugegriffen wurde.
    Hinweis:
    Diese Prüfungsdefinition funktioniert auf gesperrten und entsperrten Geräten.
    os.mac.check-system-uptime Prüft die seit dem letzten Systemstart verstrichene Zeit.
    os.mac.check-system-time Prüft die aktuelle Uhrzeit in Coordinated Universal Time (UTC) anhand des Unix-Zeitstempels.
    os.mac.check-system-device-crashs Ruft Detailinformationen über verschiedene Abstürze auf Ihrem Gerät ab.
    os.mac.check-system-device-details Ruft Typ, Modell und Seriennummer des Gehäuses ab.
    os.mac.check-system-device-events Ruft die Details von Ereignissen ab, die in dem angegebenen Zeitintervall auf dem Gerät aufgetreten sind. Ereignisse für Mac sind: letzter Start, Anwender angemeldet, Software installiert oder aktualisiert, Anwender hinzugefügt und Passwörter zurückgesetzt.
    os.mac.check-system-disk-details Ruft Datenträgerdetails ab, z. B. Speicherplatz insgesamt, belegter Speicherplatz und freier Speicherplatz in Byte.
    os.mac.check-system-disk-io-usage-read Ruft die Anzahl der pro Sekunde gelesenen Datenträger-Bytes ab.
    os.mac.check-system-disk-io-usage-write Ruft die Anzahl der pro Sekunde geschriebenen Datenträger-Bytes ab.
    os.mac.check-system-disk-usage Ruft den vom Datenträger beanspruchten Speicherplatz als Prozentsatz des Gesamtspeicherplatzes ab.
    os.mac.check-system-os-details Ruft Name, Version, Plattform, Architektur und Installationsdatum des Betriebssystems ab.
    os.mac.check-system-net-bytes-incoming Ruft für alle Netzwerkgeräte die Anzahl der pro Sekunde über das Netzwerk eingehenden Bytes ab.
    os.mac.check-system-net-bytes-outgoing Ruft für alle Netzwerkgeräte die Anzahl der pro Sekunde über das Netzwerk ausgehenden Bytes ab.
    os.mac.check-system-logged-in-users Ruft Detailinformationen zu den aktuell beim Gerät angemeldeten Benutzern ab.
    os.mac.check-system-session-details Ruft die Sitzungszeit der aktuell angemeldeten Benutzer in Minuten ab.
    os.mac.check-system-network-details Ruft Detailinformationen zum Netzwerk ab, zum Beispiel Ethernet, WLAN und andere relevante Angaben.
    os.mac.check-system-battery-details Ruft Informationen zum Akku ab, zum Beispiel den verbleibenden Akkuprozentsatz, die ausgelegte Spannung, die geschätzte Laufzeit und die maximale Kapazität des Akkus.
    Hinweis:
    Diese Prüfungsdefinition gilt nicht für virtuelle Computer (VMs) oder Desktops, da diese keine Akkus haben.
    os.mac.check-system-battery-charge-percentage Ruft den Ladestand in Prozent für die im Gerät vorhandenen Akkus ab.
    Hinweis:
    Diese Prüfungsdefinition gilt nicht für virtuelle Computer (VMs) oder Desktops, da diese keine Akkus haben.
    os.mac.check-system-firewall-enabled Prüft, ob die Firewall des Betriebssystems aktiv ist.
    os.mac.check-system-pending-updates Prüft den Status ausstehender Software-Updates.
    os.mac.check-system-admin-users Ruft alle Benutzeraccounts mit lokalen Administratorrechten ab.
    os.mac.check-system-reboot-details Ruft Detailinformationen zu Geräteneustarts ab.
    os.mac.check-system-os-setup-details Ruft das ungefähre Alter des Betriebssystems für das Gerät ab.

    Prüfungsdefinitionen – Diagnoseaktionen

    DEX stellt die folgenden Arten von Prüfungsdefinitionen für Diagnoseaktionen bereit.
    Name der Prüfungsdefinition Parameter der Prüfungsdefinition Beschreibung
    os.mac.check-app-process-ids --process_name=<Prozessname> Ruft die Prozess-IDs (PIDs) der übergeordneten und aller untergeordneten Prozesse ab, die der Anwendung zugeordnet sind.
    os.mac.check-process-cpu N/V Ruft eine Liste aller laufenden Prozesse mit Prozentsatz der CPU-Auslastung, CPU-Zeit, Prozess-ID (PID), ID des übergeordneten Prozesses (Parent Process ID, PPID) und Namen ab.
    os.mac.check-process-memory N/V Ruft eine Liste aller laufenden Prozesse mit Arbeitsspeichernutzung in Kilobyte (KB), Prozess-ID (PID), ID des übergeordneten Prozesses (PPID) und Namen ab.
    os.mac.check-process-data N/V Ruft die CPU-Auslastung, Arbeitsspeichernutzung und Datenträgernutzung aller aktuell laufenden Prozesse ab.
    os.mac.check-process-disk N/V Ruft eine Liste aller laufenden Prozesse mit Datenträgernutzung in Byte, Prozess-ID (PID), ID des übergeordneten Prozesses (PPID) und Namen ab.
    os.mac.check-traceroute

    --url=<URL>

    --max_hops=<Standardwert ist 65>

    --timeout=<Standardwert ist 5>

    		 Ruft die IP-Adresse, den Domänennamen und die Umlaufzeit (Round-Trip Time, RTT) für jeden Netzwerk-Hop ab.
    os.mac.check-ping-test --url=<URL> Sendet eine Ping-Anforderung an die angegebene URL und gibt den Konnektivitätsstatus zurück, der angibt, ob die URL derzeit erreichbar ist oder nicht.

    Prüfungsdefinitionen – Korrekturaktionen

    DEX stellt die folgenden Arten von Prüfungsdefinitionen für Korrekturaktionen bereit.
    Name der Prüfungsdefinition Parameter der Prüfungsdefinition Beschreibung
    os.mac.action-kill-process

    --pid=<Prozess-ID>

    ODER

    --process_name =<Name der ausführbaren Datei>

    Hinweis:
    Die Prozess-ID hat Priorität gegenüber dem Anwendungsnamen.
    		 Beendet einen laufenden Prozess oder mehrere Prozesse, die durch ihre Prozess-ID (PID) oder den Namen der ausführbaren Datei (.app) angegeben werden.
    os.mac.action-restart-service --service_name=<Servicename> Startet protokollierte Benutzerservices neu, die einen Servicenamen als Systemeingabe annehmen.