# Gatekeeper, XProtect і нотаризація: що macOS справді ловить — а що пропускає

> Apple вбудовує в кожен Mac три реальні, задокументовані рівні захисту від шкідливих програм. Власний посібник Apple з безпеки чесно говорить і про те, що ці рівні не обіцяють упіймати.

HisnLabs Security & Research Team · Published 2026-08-26
Canonical: https://hisnlabs.com/uk/blog/mezhi-gatekeeper-xprotect

Варто знати, що macOS уже робить для вас, — простими словами, прямо з документації Apple з безпеки, — і, що не менш важливо, що сама Apple говорить про те, для чого ці системи не призначені.

## Три рівні

- Gatekeeper перевіряє перед першим відкриттям застосунку, чи підписаний він відомим розробником і, для застосунків не з App Store, чи пройшов він нотаризацію Apple.
- Нотаризація означає, що Apple перевірила застосунок на відомі шкідливі програми до його поширення і може пізніше відкликати це схвалення — Apple перевіряє відкликання у фоновому режимі набагато частіше, ніж запускаються звичайні оновлення ПЗ.
- XProtect використовує правила на основі сигнатур, які оновлюються незалежно від повних оновлень macOS, щоб виявляти й видаляти відомі шкідливі програми під час запуску застосунку, його зміни або появи нової сигнатури, — плюс рушій поведінкового аналізу, націлений на шкідливі програми, яких він ще не бачив.

## Чого, за словами самої Apple, ці системи не роблять

Власна документація Apple описує це як багаторівневий захист, а не гарантію: у ній прямо зазначено, що сигнатурні правила XProtect і далі можна розширювати, щоб ловити варіанти, — а це означає (і дослідники безпеки давно це підтверджують), що справді нова або змінена загроза може певний час діяти, перш ніж для неї з’явиться сигнатура.

Це не критика підходу Apple; будь-яка велика операційна система стикається з тим самим компромісом між негайним блокуванням відомих загроз і очікуванням підтвердження того, що нова загроза справді шкідлива, перш ніж її позначати. Це просто привід не вважати фразу «на моєму Mac є Gatekeeper і XProtect» кінцем розмови про те, що безпечно запускати.

Жодна з цих трьох систем не перевіряє, що робить легітимний, коректно підписаний і вже схвалений застосунок після відкриття — з якими серверами він зв’язується, в якій країні та як часто, і чи змінюється ця поведінка після того, як планове оновлення повністю замінить код. Це інше, доповнювальне завдання: безперервно спостерігати за поведінкою на рівні мережі, а не один раз звіряти файл зі списком до того, як він узагалі запуститься.

## Яке місце тут посідають FireAI та HisnLabs

Власна документація Apple прямо говорить, що ці рівні — не повний захист, і саме для цієї прогалини створено FireAI: не замінювати Gatekeeper і XProtect, а спостерігати за тим, що насправді залишає ваш Mac після того, як вони зробили свою частину роботи.

FireAI — це власний продукт HisnLabs: ШІ-фаєрвол, який працює безпосередньо на вашому Mac. Він показує простою мовою кожне з’єднання, яке встановлюють ваші застосунки, і дає вам вирішувати, що покидає ваш Mac, — його ШІ працює локально, тож ваш трафік ніколи не надсилається ні нам, ні будь-кому іншому. Команда дослідників безпеки HisnLabs — саме вона підтримує точність цих рішень: каталогізує, які домени є звичайною телеметрією, а які — справжнім сервісом, відстежує країну та мережу за з’єднанням і навчає локальну модель (функцію FireAI Pilot) на реальних шаблонах трафіку — і нічого з цього не покидає ваш Mac.

Ви можете почитати про технічні рішення, що лежать в його основі, або спробувати FireAI протягом 17 днів на сторінці [FireAI від HisnLabs](https://hisnlabs.com/fireai/uk/download).

## Sources

- [Apple Platform Security: Protecting against malware](https://support.apple.com/guide/security/protecting-against-malware-sec469d47bd8/web)