Réseau de niveau entreprise & protection anti-sabotage. Zéro friction pour l'utilisateur.
CoreFilter aide à sécuriser les flottes macOS grâce à une politique appliquée via une extension réseau et une configuration gérée—sans interface locale que les utilisateurs puissent contourner. Conçu pour un déploiement et une exploitation pilotés par MDM.
Filtrage réseau intelligent
Évaluez les flux sortants par rapport à votre jeu de règles—par identifiant de bundle, noms d'hôtes (FQDN), plages d'adresses IP et ports—sur l'instantané de politique en mémoire. Les verdicts sont calculés de façon synchrone sur le chemin chaud (sans E/S disque dans le chemin d'évaluation) pour garder des décisions réactives pendant que le démon et l'extension restent synchronisés via XPC.
Audit de niveau réglementaire & intégration SIEM
L'architecture traite l'audit comme une priorité : des événements structurés sont écrits dans un tampon mémoire avant les autres traitements transverses. Les lots peuvent être envoyés vers un point de terminaison SIEM HTTPS que vous configurez (par exemple des URL de type Splunk HEC). Les envois en échec sont remis en file dédiée afin qu'une panne ne fasse pas disparaître silencieusement la traçabilité.
Sécurité de point de terminaison & protection anti-sabotage
S'abonne au framework Endpoint Security d'Apple pour observer des événements tels que les tentatives de déchargement d'extension système, les suppressions sur des chemins sensibles et l'exécution de code inattendue. Les réactions prévues incluent le refus de l'action, l'émission d'enregistrements d'audit et le pilotage des flux de réinscription de l'extension—réduisant le risque de sabotage discret sur les Mac gérés.
Régulation du trafic selon l'état de conformité
Des signaux de conformité comme l'état FileVault, la référence de version du système et l'inscription MDM alimentent des contrôles d'état. Lorsque des violations sont détectées, le démon est conçu pour adopter une posture de régulation (instantané restrictif vers l'extension réseau). Remarque : le lien entre l'état de santé et la poussée effective de la régulation est encore en cours de finalisation dans le produit—considérez les délais d'application comme dépendants de la feuille de route pour votre pilote.
Déploiement MDM sans intervention locale
Pas d'assistant d'installation pour les utilisateurs finaux : les politiques et la configuration de l'application arrivent via Apple Managed App Configuration depuis Jamf Pro, Kandji, Microsoft Intune ou un UEM compatible. Une posture de politique en refus par défaut est recommandée dans le schéma de configuration pour que les nouvelles inscriptions ne s'ouvrent pas par inadvertance.
Foire Aux Questions
L’IT pousse l’application et la configuration gérée (Managed App Configuration) via votre MDM. Les utilisateurs ne passent pas par un assistant d’installation autonome ; la configuration est livrée par liaison radio aux côtés de vos flux de gestion macOS existants.
Les entrées structurées sont mises en tampon dans le démon et émises par lots vers le point de terminaison SIEM HTTPS que vous configurez dans le MDM (voir schéma de configuration). Si le point de terminaison est injoignable, les lots sont conservés pour nouvelle tentative plutôt que supprimés silencieusement.
Les événements Endpoint Security liés au sabotage sont destinés à être refusés lorsque la plateforme le permet, journalisés dans l’audit et associés à la logique de réinscription de l’extension. Le comportement exact dépend de la build du système et des droits—validez dans votre environnement pendant le pilote.
Des contrôles de santé planifiés et à la demande évaluent des signaux tels que FileVault, la version du système et l’inscription MDM. La conception prévoit de pousser un instantané de politique restrictif lorsque les violations persistent ; vérifiez la chaîne de bout en bout avec votre équipe avant de vous engager sur une date de mise en production.
Le plist de configuration est consommé depuis Managed App Configuration ; la documentation interne cite Jamf Pro, Kandji et Microsoft Intune comme vecteurs de diffusion. Tout UEM compatible avec le modèle de configuration d’application gérée d’Apple peut héberger la même charge utile.
Non. CoreFilter est positionné comme un service de plan de contrôle invisible : politique, télémétrie et signaux de remédiation sont pilotés par l’administrateur, ce qui limite le contournement occasionnel via une console locale.