Angreppsyta och en härdande baslinje

Att härda en dator betyder inte att den blir okrossbar. Det innebär att ta bort dörrarna och fönstren som ingen använder, så att de som finns kvar är lättare att se. Den här kursen går igenom den processen för en enda Mac som används av en person: ingen flotta av servrar, ingen IT-avdelning, bara inställningarna och kontrollerna som vem som helst kan göra själv.

Vad "attackyta" betyder

En dators attackyta är allt på den som kan nås eller missbrukas: varje konto som kan logga in, varje tjänst som lyssnar efter en nätverksanslutning, varje app som kan köras, varje port som lämnas öppen. Var och en är en liten satsning på att ingenting någonsin kommer att gå fel med den. En hårdnande baslinje är den uppsättning ändringar som minskar antalet satsningar du gör, utan att låtsas att de återstående är riskfria.

macOS startar redan från en rimligt stark position: nya Mac-datorer krypterar lagring som standard, kod måste signeras för att köras och systemintegritetsskydd stoppar till och med ett administratörskonto från att tyst skriva om kärnsystemfiler. De kommande fyra lektionerna tar upp de delar du fortfarande kan förbättra: hur disken är krypterad och hur maskinen startar, vem som har ett konto och vad de kan göra, vilka tjänster och portar som är öppna och hur man verifierar de försvar som redan är inbyggda.

Designprinciper bakom inställningarna

De individuella inställningarna i denna kurs tjänar alla en liten uppsättning underliggande idéer. Minsta privilegium innebär att ge ett konto, eller en mjukvara, bara den åtkomst det behöver, aldrig mer "om det skulle vara användbart senare." Processisolering och domänseparation innebär att en apps misstag inte ska spillas in i en annans: en komprometterad webbläsarflik ska inte kunna läsa din e-postklients filer. Privilegerade och icke-privilegierade tillstånd är skillnaden mellan ett administratörskonto och ett standardkonto, och mellan en process som körs som root och en som körs som en vanlig användare. Ingen av dessa idéer är specifik för macOS; de är samma principer som alla moderna operativsystem är uppbyggda kring, och varje inställning i resten av den här kursen är verkligen en av dem som tillämpas på en specifik skärm eller kommando.

Varför ordning spelar roll

Some changes protect you even if you never do anything else; andra spelar bara roll när grunderna är på plats. A sensible baseline does the high-value, low-effort changes first.

1. Kryptera disken (FileVault) så att data skyddas även om Mac-datorn tappas bort, blir stulen eller beslagtagen medan den är avstängd.
2. Håll macOS och appar uppdaterade, eftersom de flesta korrigeringar för kända svagheter kommer som programuppdateringar, inte nya inställningar.
3. Separata konton och privilegier: använd ett standardkonto från dag till dag, behåll administratörsåtkomst när det faktiskt behövs.
4. Stäng av tjänster och portar som du inte använder: fildelning, skärmdelning och fjärrinloggning är vanliga standardinställningar som lämnas på utan anledning.
5. Kontrollera. macOS levereras med försvar som redan är aktivt; kontrollera att de fortfarande är enligt ett schema med de skrivskyddade kommandon som behandlas i den här kursen.

Kostnader och vad den här kursen inte kommer att berätta för dig att göra

Var och en av dessa ändringar har en kostnad: en krypterad disk behöver en återställningsnyckel lagrad någonstans säkert; ett standardkonto innebär att man skriver ett lösenord oftare; en stängd port kan vara en port du faktiskt behövde för en skrivare eller en backup-enhet. Härdning är en serie av avvägningar, och den rätta avvägningen beror på vad maskinen är till för och vem som kan rikta in sig på den.

Den här kursen föreslår aldrig att du stänger av systemintegritetsskydd, gatekeeper eller diskkryptering som Apple silicon Mac-datorer tillämpar som standard. Vissa härdningsguider skrivna för avancerade användare inkluderar sådana steg, eller skicka skript och tredje parts regellistor för att importera till en lågnivåbrandvägg. De riktar sig till personer som är villiga att acceptera risken för en trasig uppdatering eller ett svårare att diagnostisera fel; vägledningen i den här kursen är medvetet snävare, och varje inställning kontrolleras mot Apples egen dokumentation innan den inkluderas.