Встроенные средства защиты и их проверка

macOS поставляется с несколькими уже включёнными средствами защиты. Самое полезное, что вы можете с ними сделать, — не настраивать их дальше, а время от времени проверять, что их незаметно не отключили. Каждая команда в этом уроке только для чтения: ни одна из них ничего не меняет.

Стоит объяснить, зачем вообще нужна такая проверка, если эти средства защиты включены по умолчанию. Иногда установщики программ просят разрешения изменить настройки безопасности в рамках собственной установки, член семьи или коллега, устраняя какую-то проблему, может что-то отключить и забыть включить обратно, а Mac, настроенный много лет назад, может попросту предшествовать настройке, которая теперь стоит по умолчанию для новых установок. Ничто из этого маловероятно, но проверки ниже занимают пару секунд и ничего не меняют, так что пропускать их особого смысла нет.

Защита целостности системы (SIP)

SIP не позволяет даже учётной записи root/администратора изменять защищённые части системы: основные папки, такие как /System, /usr, /bin и /sbin, а также встроенные приложения Apple. Apple поясняет, что их «может изменять только процесс, подписанный Apple и обладающий соответствующими правами», что не даёт опасному программному обеспечению с правами администратора незаметно переписать операционную систему у вас под ногами. Стороннее программное обеспечение по-прежнему может писать в /Applications, /Library и /usr/local. Проверить состояние SIP можно так:

$ csrutil status
System Integrity Protection status: enabled.

Отключение SIP требует загрузки в recoveryOS и намеренного выполнения команды csrutil disable; само по себе оно никогда не отключается. Этот курс не будет разбирать этот процесс, поскольку для Mac с одним пользователем редко находится веская причина так поступать, а отключение убирает защиту, которую опасному программному обеспечению иначе очень трудно обойти.

Gatekeeper и нотаризация

Gatekeeper проверяет приложения перед их первым запуском. Apple описывает эту технологию как «предназначенную для того, чтобы на вашем Mac запускалось только заслуживающее доверия программное обеспечение», проверяя, что приложение подписано идентифицированным разработчиком или загружено из App Store. Начиная с macOS Catalina, большинство программ, распространяемых вне App Store, также должны пройти нотаризацию: их отправляют в Apple и проверяют на известное опасное содержимое, прежде чем Gatekeeper позволит пользователю их открыть, а Apple может позже отозвать эту нотаризацию, если опасное программное обеспечение всё же будет обнаружено. Проверить, активна ли система оценки, на которую опирается Gatekeeper, можно так:

$ spctl --status
assessments enabled

XProtect

Там, где Gatekeeper проверяет программу перед первым запуском, XProtect продолжает проверку и после. Руководство Apple по безопасности платформы описывает её как встроенную технологию для обнаружения и удаления опасного программного обеспечения по сигнатурам, которая сканирует приложения при запуске, при изменении файлов и обновляет свои сигнатуры независимо от полных обновлений macOS. Gatekeeper, нотаризация и XProtect работают как последовательные уровни защиты: первые два стараются вообще не пустить опасное программное обеспечение на Mac, а XProtect ловит то, что всё же проскользнуло.

Режим блокировки

Режим блокировки — это защита другого рода: не фоновая проверка, а осознанный, заметный обмен удобства на защиту. Apple описывает его как «необязательную, крайнюю меру защиты, предназначенную для очень небольшого числа людей, которые… могут стать личной целью одних из самых изощрённых цифровых угроз», и прямо указывает, что «большинство людей никогда не становятся целью атак такого рода». Во включённом состоянии он блокирует большинство типов вложений в сообщениях и предпросмотр ссылок, ограничивает сложные веб-технологии в Safari, блокирует звонки FaceTime от неизвестных контактов и требует разблокировки устройства перед подключением любого аксессуара. Находится он в Системных настройках → Конфиденциальность и безопасность → Режим блокировки, и о нём стоит знать, не обязательно им пользуясь: он создан для людей, которые пришли к конкретному выводу, что могут быть целью такого рода, а не как общий шаг по усилению защиты.

Поддержание всего в актуальном состоянии

Ничто из перечисленного выше не имеет значения, если Mac работает на старом программном обеспечении с известными, уже исправленными слабыми местами. Системные настройки → Основные → Обновление ПО — основной способ поддерживать macOS в актуальном состоянии, и его можно настроить на автоматическую установку обновлений. Из Терминала можно проверить, что доступно, ничего не устанавливая:

$ softwareupdate --list
Software Update found the following new or updated software:
* Label: macOS 26.1-26A123
	Title: macOS 26.1, Version: 26.1, Size: 11728377KiB, Recommended: YES, Action: restart