Spotlight, es una herramienta fantástica. Tomó algunos años, pero ahora uso las herramientas de línea de comandos y es increíble. Sin embargo, hoy, descubrí que Spotlight no indexa / Sistema (!) Me gustaría que Spotlight indexara todo y de esa manera puedo improvisar una ingeniosa solución IDS.
¿Cómo puedo indexar cada cosa en mi disco? Consultar la última hora modificada ayudaría mucho en seguridad.
EDITAR: Simplemente como referencia.
mdutil -pEsa -i (on|off) volume ...
Utility to manage Spotlight indexes.
-p Publish metadata.
-i (on|off) Turn indexing on or off.
-E Erase and rebuild index.
-s Print indexing status.
-a Apply command to all volumes.
-v Display verbose information.
NOTE: Run as owner for network homes, otherwise run as root.
EDITAR: Tras una investigación más profunda, la herramienta que quería era radmind
Respuestas:
De una gran cantidad de investigación, y mirando a mi alrededor, tengo algunos datos sobre este tema:
Por defecto, Spotlight no indexará ciertas carpetas:
Para agregar una ruta de archivo a Spotlight, puede ejecutar
tiene la información sobre eso.
Ahora, dado que busco un IDS de hombre pobre de todas estas cosas, este deseo es impulsado por el conocimiento de que Spotlight indexa mi disco todo el tiempo, que es lo que sucedería de todos modos con otros IDS basados en host. Hubo algunas consideraciones y otras herramientas para involucrar.
Consideraciones:
Spotlight solo te mostrará lo que tu usuario debería ver
Eso es lo que dice la documentación. Puedo ver cosas que instalé como root, pero no puedo ver a mi otro usuario. Sin embargo, puedo ver / usr / usr / libexec y el árbol / System. Eso servirá.
Los archivos y carpetas ocultos no aparecen en la búsqueda
Esto será bueno cuando la RIAA escanee remotamente sus discos en busca de música sin las credenciales adecuadas (confíe en sus sentimientos, sabe que esto es cierto), pero no es la mejor noticia en este caso.
Para concluir, hay muchas cosas que hacer para usar esta herramienta de manera efectiva. El secreto es que Apple firma todo digitalmente.
te contaré sobre
que no debería devolver nada si el archivo no se modifica. Tenga en cuenta que esto no es una suma de verificación sino un certificado digital de Apple, por lo que solo un gran dinero permitirá que esto sea falso.
Por supuesto, quería decir que será bastante seguro y fácilmente detectable si se cambia un programa binario.
No detendrá todo, pero me permitirá ladrar periódicamente
"¿Algo cambió?" , ejecute una búsqueda destacada en el atributo "kMDItemKind", canalice a través de codeign -v y vea si algo cambió, o busque el tiempo de modificación o lo que sea.
Para abordar la declaración de usuario anterior, puedo verificar si tengo el mismo reflector (he copiado el código de señal en mi medio de recuperación). El reflector intacto significa que puedo confiar en que haga sus tareas habituales. Usar mdimport -r / path es una mejor idea, ya que se cerrará si se ejecuta como root.
Ciertamente hay una cuestión de seguridad aquí, pero como se mencionó anteriormente, Spotlight indexa un montón de cosas y le muestra lo que debe ver. Tu hermanita no podrá encontrar tu colección de desnudos artísticos de finales de 1990, ni podrás encontrar sus secretos, pero root debería poder verlo todo. Hay un sistema directo de autorizaciones en OS X que rige qué derecho puede tener un programa, pero como esto es prácticamente desconocido para la mayoría, simplemente ingresan una contraseña cuando aparece un cuadro para autenticar algo que han descargado, y se instala como raíz. Un cierto software de motores de búsqueda hace exactamente esto. Demonios, el sistema es en realidad más seguro que antes, ejecuté el antiguo importador de Python, y falló, ¡porque me pidió mi contraseña de administrador e intentó ejecutar mdimport -r como root! Tuve que ejecutarlo yo mismo.
(Oh, es muy agradable con los archivos de Python, realmente encantador)
Espero que esto ayude a alguien más.
fuente