内置防御和验证

macOS 附带了多种已开启的防御功能。您可以对它们做的最有用的事情不是进一步配置它们，而是偶尔检查一下是否没有任何东西悄悄地关闭它们。本课程中的每个命令都是只读的：它们都不会更改设置。

值得明确的是，如果这些防御措施默认启用，那么检查为什么很重要。软件安装程序有时会在安装过程中要求获得更改安全设置的权限，家庭成员或同事在解决问题时可能会关闭某些功能并忘记重新打开它，而几年前设置的 Mac 可能只是早于现在新安装的默认设置。这些都是不可能的，但是下面的检查需要几秒钟并且不会改变任何内容，因此没有理由跳过它们。

系统完整性保护 (SIP)

SIP 甚至限制 root/管理员帐户修改系统的受保护部分：/System、/usr、/bin 和 /sbin 等核心文件夹以及 Apple 的内置应用程序。苹果解释说，这些“只能通过苹果签名并具有适当权利的进程进行修改”，这可以阻止具有管理员访问权限的有害软件悄悄地重写您下面的操作系统。第三方软件仍然可以写入/Applications、/Library 和/usr/local。检查其状态：

$ csrutil status
System Integrity Protection status: enabled.

关闭 SIP 需要启动到 recoveryOS 并故意运行 csrutil disable；它永远不会自行关闭。本课程不会介绍该过程，因为单用户 Mac 很少有充分的理由这样做，而且这样做会消除有害软件很难绕过的保护。

看门人和公证

Gatekeeper 在应用程序被允许首次运行之前对其进行检查。苹果将​​其描述为“旨在确保只有受信任的软件在您的 Mac 上运行”的技术，通过验证应用程序是否由已识别的开发人员签名或从 App Store 下载。自 macOS Catalina 以来，大多数在 App Store 之外分发的软件也必须经过公证：提交给 Apple 并扫描已知的恶意内容，然后 Gatekeeper 才会允许用户打开它，如果发现恶意软件，Apple 可以稍后撤销该公证。检查Gatekeeper依赖的评估系统是否处于活动状态：

$ spctl --status
assessments enabled

XP保护

Gatekeeper 在软件首次运行前对其进行检查，而 XProtect 在软件运行后继续进行检查。苹果的平台安全指南将其描述为基于签名的检测和删除有害软件的内置技术，该技术会在应用程序启动时、文件更改时扫描应用程序，并独立于完整的 macOS 更新来更新其签名。 Gatekeeper、公证和 XProtect 分层工作：前两者首先尝试将有害软件排除在 Mac 之外，而 XProtect 会捕获漏掉的软件。

锁定模式

锁定模式是一种不同类型的防御：不是背景调查，而是一种故意的、可见的便利交易以换取保护。苹果将​​其描述为“一种可选的极端保护，专为极少数人而设计，他们可能会成为一些最复杂的数字威胁的个人目标”，并明确表示“大多数人永远不会成为这种性质的攻击的目标”。打开后，它会阻止大多数消息附件类型和链接预览，限制 Safari 中的复杂 Web 技术，阻止来自未知联系人的 FaceTime 通话，并要求在附件连接到设备之前先解锁设备。它可以在系统设置→隐私和安全→锁定模式中找到，值得了解而不是一定使用：它是为那些已经得出结论的人构建的，特别是，他们可能是此类目标，而不是作为一般的强化步骤。

保持最新状态

如果 Mac 运行的是已知且已修复弱点的旧软件，那么上述一切都不重要。系统设置 → 常规 → 软件更新是保持 macOS 最新状态的主要方式，可以设置为自动安装更新。从终端，您可以检查可用的内容而无需安装任何内容：

$ softwareupdate --list
Software Update found the following new or updated software:
* Label: macOS 26.1-26A123
	Title: macOS 26.1, Version: 26.1, Size: 11728377KiB, Recommended: YES, Action: restart