# Иллюзия встроенной безопасности: закрываем пробелы, которые ОС оставляет открытыми

> Современная операционная система по умолчанию выполняет огромный объём работы по безопасности — и её собственная документация честно признаёт, что «по умолчанию» не значит «полностью».

HisnLabs Security & Research Team · Published 2026-07-20
Canonical: https://hisnlabs.com/ru/blog/illyuziya-vstroennoy-bezopasnosti

Каждая крупная операционная система стала значительно лучше останавливать вредоносный код ещё до того, как он запустится. В macOS Gatekeeper, нотаризация и XProtect проверяют файл до его открытия и могут позже отозвать одобрение; собственное руководство Apple по безопасности описывает это как реальную, работающую систему — и в то же время как многоуровневую защиту, а не единственную гарантию.

## Что негласно признаёт слово «многоуровневая»

Документация Apple отмечает, что основанные на сигнатурах правила XProtect можно расширять, чтобы ловить новые варианты — это другой способ сказать, что по-настоящему новая угроза может существовать какое-то время, прежде чем её покроет сигнатура. Это не недостаток, свойственный именно Apple; такова природа любой системы обнаружения, которая должна знать об угрозе, прежде чем сможет её заблокировать.

## Та часть, которую ни одна встроенная система не проверяет вовсе

Ни один из встроенных уровней Apple не изучает, что делает легитимное, уже одобренное приложение после запуска: с какими серверами оно общается, как часто, и изменилось ли это после того, как очередное обновление незаметно заменило код. Это не упущение — это просто другая задача, нацеленная на сетевое поведение во времени, а не на содержимое файла в момент его запуска.

## Что действительно помогает

- Встроенная защита и наблюдение на уровне сети отвечают на разные вопросы: «известно ли, что этот файл вредоносен» и «делает ли это приложение что-то, чего никогда раньше не делало».
- Известный, полностью обновлённый Mac не неуязвим — он хорошо защищён от тех угроз, для которых сигнатура уже существует.
- Этот пробел — не баг, о котором нужно сообщать; это сама причина существования второго уровня, основанного на поведении.

## Какое место здесь занимают FireAI и HisnLabs

Собственная документация Apple уже говорит об этом прямо, если читать её внимательно: эти уровни — стратегия эшелонированной защиты, а не обещание, что ничто не проскочит.

FireAI — это собственный продукт HisnLabs: ИИ-файрвол, работающий прямо на вашем Mac. Он показывает простым языком каждое соединение, которое устанавливают ваши приложения, и позволяет вам решать, что покидает ваш Mac, — его ИИ работает локально, поэтому ваш трафик никогда не отправляется ни нам, ни кому-либо ещё. Команда исследователей безопасности HisnLabs — это те, кто поддерживает точность этих решений: они каталогизируют, какие домены являются обычной телеметрией, а какие — реальным сервисом, отслеживают страну и сеть, стоящие за соединением, и обучают локальную модель (функцию FireAI Pilot) на реальных шаблонах трафика — и ничего из этого не покидает ваш Mac.

Вы можете прочитать о технических решениях, лежащих в его основе, или попробовать FireAI в течение 17 дней на странице [FireAI от HisnLabs](https://hisnlabs.com/fireai/ru/download).

## Sources

- [Apple Platform Security: Protecting against malware](https://support.apple.com/guide/security/protecting-against-malware-sec469d47bd8/web)