攻击面和强化基线

强化计算机并不意味着使其牢不可破。这意味着拆除没人使用的门窗，这样剩下的门窗就更容易观察。本课程将介绍一个人使用一台 Mac 的流程：没有服务器群，没有 IT 部门，只有任何人都可以自己完成的设置和检查。

“攻击面”是什么意思

计算机的攻击面是其上可能被访问或滥用的所有内容：每个可以登录的帐户、每个侦听网络连接的服务、每个可以运行的应用程序、每个保持开放的端口。每一个都是一个小赌注，赌它永远不会出问题。强化基线是一组改变，可以减少您所进行的投注数量，而不假装剩余的投注是无风险的。

macOS 已经从一个相当强大的位置开始：最近的 Mac 默认加密存储，代码必须签名才能运行，系统完整性保护甚至可以阻止管理员帐户默默地重写核心系统文件。接下来的四节课涵盖了您仍然可以改进的部分：磁盘如何加密以及机器如何启动，谁拥有帐户以及他们可以做什么，哪些服务和端口是开放的，以及如何验证已经内置的防御措施。

设置背后的设计原则

本课程中的各个设置都服务于一小部分基本思想。最低权限意味着仅向帐户或软件提供其所需的访问权限，而“以防万一以后有用”则不再提供更多权限。进程隔离和域分离意味着防止一个应用程序的错误蔓延到另一个应用程序的错误：受感染的浏览器选项卡不应该能够读取您的电子邮件客户端的文件。特权和非特权状态是管理员帐户和标准帐户之间的区别，也是以 root 身份运行的进程和以普通用户身份运行的进程之间的区别。这些想法都不是 macOS 特有的；它们与任何现代操作系统构建的原则相同，并且本课程其余部分中的每个设置实际上都是应用于特定屏幕或命令的其中之一。

为什么顺序很重要

即使您不做任何其他事情，某些更改也会保护您；其他的只有在基础知识到位后才重要。合理的基线首先进行高价值、省力的改变。

1. 加密磁盘 (FileVault)，以便即使 Mac 在关闭时丢失、被盗或被扣押，数据也能受到保护。
2. 保持 macOS 和应用程序更新，因为大多数已知缺陷的修复都是通过软件更新而不是新设置来实现的。
3. 单独的帐户和权限：日常使用标准帐户，在实际需要时保留管理员访问权限。
4. 关闭不使用的服务和端口：文件共享、屏幕共享和远程登录是常见的默认设置，无缘无故地保持打开状态。
5. 核实。 macOS 出厂时已启用防御功能；检查它们是否仍然按计划使用本课程中介绍的只读命令。

成本，以及本课程不会告诉您做什么

每一项更改都会产生成本：加密磁盘需要将恢复密钥存储在安全的地方；标准帐户意味着更频繁地输入密码；关闭的端口可能是您实际需要的打印机或备份驱动器。强化是一系列的权衡，正确的权衡取决于机器的用途以及目标是谁。

本课程绝不会建议关闭 Apple Silicon Mac 默认应用的系统完整性保护、Gatekeeper 或磁盘加密。一些为高级用户编写的强化指南包括类似的步骤，或者提供脚本和第三方规则列表以导入到低级别防火墙中。它们针对的是那些愿意接受更新失败或难以诊断的故障的风险的人；本课程中的指导故意缩小范围，并且每个设置在包含之前都会根据 Apple 自己的文档进行检查。