# 管理者アカウントとユーザーアカウント

最初に作成されるアカウントは管理者アカウントです。管理者はシステム全体の設定を変更でき、[sudo](https://en.wikipedia.org/wiki/Sudo) を使用してコマンドを実行できます。sudo は一時的に昇格した権限を付与します。管理者が実行するプログラムも同じ権限を取得する可能性があります。また、sudo には[脆弱性](https://bogner.sh/2014/03/another-mac-os-x-sudo-password-bypass/)が存在する場合もあります。

通常の日常業務には専用の標準アカウントを使用し、管理者アカウントはソフトウェアやシステムのインストール、構成、更新にのみ使用することが[ベストプラクティス](https://help.apple.com/machelp/mac/10.12/index.html#/mh11389)と考えられています。

macOS のログイン画面で管理者アカウントにログインする必要は必ずしもありません。ターミナルコマンドに管理者権限が必要な場合、システムは認証を求め、ターミナルはその権限を使い続けます。そのために、Apple は管理者アカウントとそのホームディレクトリを非表示にするための[推奨事項](https://support.apple.com/102099)を提供しています。

## 注意事項

- システム全体の `/Applications` ディレクトリにアプリケーションをインストールできるのは管理者のみです。Finder とインストーラは、承認が必要な場合に標準ユーザーに管理者の資格情報の入力を求めます。一部のアプリケーションは `~/Applications` にインストールできます。管理者アクセスを必要としないアプリケーションはユーザーディレクトリにインストールする必要があります。App Store のアプリケーションは引き続き `/Applications` にインストールされ、追加の認証は不要です。
- 標準ユーザーは通常、`sudo` を使用する権限がありません。管理者権限が必要な場合、macOS は管理者の資格情報を求めるか、管理者アカウントからタスクを実行できます。
- システム設定といくつかのシステムユーティリティ（例：Wi-Fi 診断）は、完全な機能のために管理者権限を必要とします。一部のシステム設定は、ロックアイコンを選択してロックを解除する必要があります。一部のアプリケーションは、開いたときに認証を求めるだけで、すべての機能にアクセスするには管理者アカウントから直接開く必要があるものもあります（例：コンソール）。
- 一部のサードパーティアプリケーションは、現在のユーザーが管理者であることを前提としており、標準アカウントでは動作しません。
- 追加の考慮事項については、[issue 167](https://github.com/drduh/macOS-Security-and-Privacy-Guide/issues/167) を参照してください。

## セットアップ

アカウントはシステム設定で作成および管理できます。既存のシステムでは、通常、2 つ目の管理者アカウントを作成し、元のアカウントを管理者アカウントから標準アカウントに変更する方が簡単です。新しくインストールしたシステムでは、セットアップ後に標準アカウントを追加する必要があります。

アカウントの降格は、システム設定の新しい管理者アカウントから行えます。

macOS がグループメンバーシップを決定する方法の詳細については、[この投稿](https://superuser.com/a/395738)も参照してください。

# ファームウェア

システムへの改ざんを防ぐために、ファームウェアセキュリティが[フルセキュリティ](https://support.apple.com/guide/mac-help/mchl768f7291/mac)に設定されていることを確認してください。これはデフォルト設定です。

# FileVault

Apple シリコン Mac は、デフォルトでハードウェアバックアップされたストレージ暗号化を使用します。[FileVault](https://support.apple.com/guide/mac-help/protect-data-on-your-mac-with-filevault-mh11785/mac) はさらに、再起動後に起動ボリュームのロックを解除するために、承認されたユーザーのパスワードを要求します。

Apple シリコンでは、FileVault の承認は[ファームウェア](https://support.apple.com/102384)も保護します。これにより、指定された起動ディスク以外からの起動、[リカバリ](https://support.apple.com/guide/mac-help/macos-recovery-a-mac-apple-silicon-mchl82829c17/15.0/mac/15.0#mchl5abfbb29)へのアクセス、およびデバイスファームウェアアップデート（DFU）モードによる[復元](https://support.apple.com/108900)が防止されます。

FileVault はリカバリキーの設定を求めます。使用する場合は、安全な場所に保管してください。FileVault はリカバリに iCloud を使用するオプションも提供します。

FileVault の状態を確認します。```bash
fdesetup status

### ステルスモード

攻撃者はしばしばネットワークをスキャンして標的とするシステムを特定します。[ステルスモード](https://support.apple.com/guide/mac-help/use-stealth-mode-to-keep-your-mac-more-secure-mh17133/mac) が有効な場合、クローズされたポートへの接続試行に対して応答が送信されず、システムを検出しにくくなります。

ステルスモードを有効にする:```bash
sudo /usr/libexec/ApplicationFirewall/socketfilterfw --setstealthmode on

### ファイアウォールの再読み込み

`socketfilterfw` で設定を変更した後、新しい設定を適用するためにファイアウォールサービスを再読み込みします:```bash
sudo pkill -HUP socketfilterfw

または、[system profiler](https://ss64.com/mac/system_profiler.html) を使用する:```bash
system_profiler SPFirewallDataType

## サードパーティ製ファイアウォール

[Little Snitch](https://www.obdev.at/products/littlesnitch/index.html)、[Radio Silence](https://radiosilenceapp.com/)、[LuLu](https://objective-see.com/products/lulu.html) などのアプリケーションは、使いやすさとセキュリティのバランスを提供します。

これらのプログラムは、受信接続と送信接続の両方を監視してブロックできます。ただし、クローズドソースの[システム拡張機能](https://support.apple.com/HT210999)が必要な場合があります。

許可またはブロックのプロンプトが頻繁に表示されて煩わしい場合は、接続を一時的に許可しながら記録します（Little Snitchの[サイレント許可モード](https://help.obdev.at/littlesnitch6/concepts-opmodes)）。設定を確認して、ネットワークアクティビティを理解し制御してください。

## パケットフィルタ

macOSには、コマンドラインから設定するパケットフィルタリングファイアウォールである [pf](https://en.wikipedia.org/wiki/PF_(firewall)) も含まれています。これは強力ですが、組み込みのアプリケーションファイアウォールよりもかなり複雑です。

pfは、[Murus](https://www.murusfirewall.com/) などのグラフィカルアプリケーションでも制御できます。

pfファイアウォールについては、多くの[書籍](https://nostarch.com/book-of-pf-4e)や[ガイド](https://www.openbsd.org/faq/pf/)で解説されています。次の例は、基本的なポリシーを設定する方法を示しています。

### pf設定の例

次のルールを `pf.rules` というファイルに追加します。```console
# Define interface
wifi = "en0"

# Global options
set block-policy drop
set skip on lo0
set state-policy if-bound
set ruleset-optimization basic

# Normalize
scrub in on $wifi all fragment reassemble

# Define tables
table <blocklist> persist

# Deny and log blocked traffic
block log all
block quick from no-route to any
antispoof quick for $wifi

# Enforce blocklist
block log quick on $wifi from <blocklist> to any
block log quick on $wifi from any to <blocklist>

# Allow DHCP
pass out on $wifi proto udp from any port 68 to any port 67 keep state
pass in  on $wifi proto udp from any port 67 to any port 68 keep state

# Allow outbound TCP
pass out on $wifi proto tcp from ($wifi) to any flags S/SA keep state

# Allow outbound UDP
pass out on $wifi proto udp from ($wifi) to any keep state

# Allow outbound ICMP (ping)
pass out on $wifi proto icmp from ($wifi) to any keep state

返されたネットワークのリストをブロックリストに追加します:```bash
sudo pfctl -t blocklist -T add $(whois -h whois.radb.net '!gAS32934' | sed -n '2p')

ネットワークトラフィックがそれらのアドレスにブロックされていることを確認します（DNSリクエストは引き続き機能します）：```console
$ dig a +short facebook.com
157.240.2.35

$ curl --connect-timeout 5 -I https://facebook.com/
*   Trying 157.240.2.35...
* TCP_NODELAY set
* Connection timed out after 5002 milliseconds
* Closing connection 0
curl: (28) Connection timed out after 5002 milliseconds

$ sudo tcpdump -tqni pflog0 'host 157.240.2.35'
IP 192.168.1.1.62771 > 157.240.2.35.443: tcp 0
IP 192.168.1.1.62771 > 157.240.2.35.443: tcp 0
IP 192.168.1.1.62771 > 157.240.2.35.443: tcp 0

> [!IMPORTANT]
> システムサービスは [SIP](https://github.com/drduh/macOS-Security-and-Privacy-Guide#system-integrity-protection) によって保護されています。SIP を無効にしてシステムサービスを変更すると、セキュリティが損なわれ、システムが不安定になる可能性があります。

サービスのステータスを表示するには：```bash
find /var/db/com.apple.xpc.launchd \
  -type f -print -exec defaults read {} \; 2>/dev/null

> [!NOTE]
> IPv6はAレコードではなくAAAAレコードを使用します: `::1 example.com` エントリを含めることでIPv6接続をブロックします。

多くのドメインリストがオンラインで入手できます。`/etc/hosts` に追加する前に、各エントリが `0`、`0.0.0.0`、または `127.0.0.1` で始まることを確認し、`127.0.0.1 localhost` エントリを保持してください。

一般的なホストリストには以下があります:
- [StevenBlack/hosts](https://github.com/StevenBlack/hosts)
- [Sinfonietta/hostfiles](https://github.com/Sinfonietta/hostfiles)
- [someonewhocares.org](https://someonewhocares.org/hosts/zero/hosts)

ホストファイルにリストをダウンロードして追加するには、[tee](https://man7.org/linux/man-pages/man1/tee.1.html) コマンドを使用します:```bash
curl https://raw.githubusercontent.com/StevenBlack/hosts/master/hosts |
  sudo tee -a /etc/hosts

DNSCryptをDnsmasqと一緒に使用する場合、次のコマンドを実行してDNSCrypt設定ファイルを特定します：```bash
brew info dnscrypt-proxy | grep dnscrypt-proxy.toml | head -1

DNSCrypt を開始:```bash
sudo brew services restart dnscrypt-proxy

さらに、これらのpfルールは、ループバックインターフェイス外のポート53への通常のDNSトラフィックをブロックし、[DNSリーク](https://dnsleaktest.com/)のリスクを低減します:```console
block drop quick on !lo0 proto udp from any to any port = 53
block drop quick on !lo0 proto tcp from any to any port = 53

[drduh/config/dnsmasq.conf](https://github.com/drduh/config/blob/main/dnsmasq.conf) またはデフォルトの設定ファイルをダウンロードして編集します。

特定の宛先をブロックするために追加できるドメインリストの例については、[drduh/config/domains](https://github.com/drduh/config/tree/main/domains) を参照してください。

プログラムをインストールして起動します（[特権ポート](https://unix.stackexchange.com/questions/16564/why-are-the-first-1024-ports-restricted-to-the-root-user-only) 53にバインドするには sudo が必要です）：```bash
sudo brew services start dnsmasq

Dnsmasq が設定されていることを確認してください:```console
$ scutil --dns | head
DNS configuration

resolver #1
  search domain[0] : whatever
  nameserver[0] : 127.0.0.1
  flags    : Request A records, Request AAAA records
  reach    : 0x00030002 (Reachable,Local Address,Directly Reachable Address)

$ networksetup -getdnsservers "Wi-Fi"
127.0.0.1

また、**ログイン**、**ローカル項目**、**システム**キーチェーン内に、ユーザー、管理者、VPNクライアント、セキュリティ製品、またはモバイルデバイス管理アプリケーションによって追加された可能性のある証明書も確認してください。

選択した証明書を無効にするには、その信頼設定を**信頼しない**に変更し、確認のためにウィンドウを閉じます。これにより、詐欺的な証明書を使用して暗号化トラフィックを[サイレントに傍受](https://en.wikipedia.org/wiki/DigiNotar#Issuance_of_fraudulent_certificates)する[MITM](https://wikipedia.org/wiki/Man-in-the-middle_attack)攻撃のリスクを軽減できる可能性があります。

> [!WARNING]
> 証明機関の信頼設定を削除または変更すると、Webサイト、ソフトウェアアップデート、エンタープライズネットワーク、VPN、キャプティブポータル、その他のサービスが壊れる可能性があります。

現在のトラストストア情報については、Appleの[利用可能な信頼済み証明書](https://support.apple.com/103723)および[ブロック済み証明書](https://support.apple.com/103247#blocked)のリストを参照してください。

# Privoxy

Webトラフィックをフィルタリングするためのローカルプロキシとして[Privoxy](https://www.privoxy.org/)の使用を検討してください。

Homebrewを使用してPrivoxyをインストールして起動します:```bash
brew install privoxy
brew services start privoxy

システムの**HTTPS**プロキシを設定します:```bash
sudo networksetup -setsecurewebproxy "Wi-Fi" 127.0.0.1 8118

ほとんどのWebトラフィックは暗号化されていますが、Privoxyはホスト名でリクエストをフィルタリングできます。たとえば、次のルールは、.net、github.com、およびAppleドメインへのトラフィックを除くすべてのトラフィックをブロックします。```console
{ +block{all} }
.

{ -block }
.apple.
.github.com
.net

追加の Privoxy の例については、[drduh/config/privoxy/config](https://github.com/drduh/config/blob/main/privoxy/config) と [drduh/config/privoxy/user.action](https://github.com/drduh/config/blob/main/privoxy/user.action) を参照してください。Privoxy は、フィルタールールを編集した後に再起動する**必要はありません**。

トラフィックがブロックまたはリダイレクトされていることを確認するには、[curl](https://en.wikipedia.org/wiki/CURL) を使用するか、ブラウザで <http://p.p> の Privoxy インターフェースを開いてください:```console
$ ALL_PROXY=127.0.0.1:8118 curl example.com -IL | head
HTTP/1.1 403 Request blocked by Privoxy
Content-Length: 9001
Content-Type: text/html
Cache-Control: no-cache
Pragma: no-cache

$ ALL_PROXY=127.0.0.1:8118 curl github.com -IL | head
HTTP/1.1 302 Local Redirect from Privoxy
Location: https://github.com/
Content-Length: 0

HTTP/1.1 200 Connection established

HTTP/2 200
content-type: text/html; charset=utf-8

出力に `Good signature from "Tor Browser Developers (signing key) <[email protected]>"` が表示されていることを確認してください。キーが個人検証されておらず、信頼できるキーリングに追加されていないため、警告が表示されるのは想定どおりです。

詳細については、[Tor Browser の署名を検証するにはどうすればよいですか?](https://support.torproject.org/tbb/how-to-verify-signature/) を参照してください。

Tor Browser のインストールを完了するには、ディスクイメージを開いて Applications フォルダにドラッグするか、次のコマンドを使用します:```bash
hdiutil mount tor-browser-macos-15.0.17.dmg
cp -r /Volumes/Tor\ Browser/Tor\ Browser.app/ ~/Applications/

`codesign` コマンドを使用して、アプリケーションのコード署名を調べることもできます:```console
$ codesign -dvv ~/Applications/Tor\ Browser.app
Executable=/Users/user1/Applications/Tor Browser.app/Contents/MacOS/firefox
Identifier=org.torproject.torbrowser
Format=app bundle with Mach-O universal (x86_64 arm64)
CodeDirectory v=20500 size=805 flags=0x10000(runtime) hashes=14+7 location=embedded
Signature size=9054
Authority=Developer ID Application: The Tor Project, Inc (MADPSAYN6T)
Authority=Developer ID Certification Authority
Authority=Apple Root CA
Timestamp=Jun 28, 2026 at 14:01:57
Notarization Ticket=stapled
Info.plist entries=27
TeamIdentifier=MADPSAYN6T
Runtime Version=15.5.0
Sealed Resources version=2 rules=13 files=208
Internal requirements count=1 size=188

Tor Browserは、トラフィックを識別またはブロックしにくくするための、[プラガブル・トランスポート](https://support.torproject.org/tor-browser/circumvention/)と呼ばれる特別な接続方法を使用できます。これは、[リレー](https://support.torproject.org/relays/)を設定するか、既存の[ブリッジ](https://bridges.torproject.org/)を使用することで実現できます。

Torネットワークは[匿名性](https://www.privateinternetaccess.com/blog/2013/10/how-does-privacy-differ-from-anonymity-and-why-are-both-important/)を提供しますが、これは必ずしもプライバシーと同じではありません。このネットワークは、トラフィック分析と関連付けが可能なグローバルな観察者に対して防御するものではありません。また、[Seeking Anonymity in an Internet Panopticon](https://bford.info/pub/net/panopticon-cacm.pdf)と[Traffic Correlation on Tor by Realistic Adversaries](https://www.ohmygodel.com/publications/usersrouted-ccs13.pdf)も参照してください。

詳細については、[Torプロトコル仕様](https://spec.torproject.org/tor-spec/)を参照してください。

また、[Invisible Internet Project (I2P)](https://geti2p.net/en/about/intro)とその[Torとの比較](https://geti2p.net/en/comparison/tor)も参照してください。

# VPN

文書化された最新のプロトコルと十分に監査済みのクライアントを備えたVPNプロバイダーまたはセルフホスト型セットアップを選択してください。[PPTP](https://en.wikipedia.org/wiki/Point-to-Point_Tunneling_Protocol#Security)のような古いプロトコルは避け、[OpenVPN](https://en.wikipedia.org/wiki/OpenVPN)または[WireGuard](https://www.wireguard.com/)を[Linux VM上で](https://github.com/mrash/Wireguard-macOS-LinuxVM)、または[クロスプラットフォームツール](https://www.wireguard.com/xplatform/)のセットを介して使用してください。

一部のVPNクライアントは、接続が中断または切断されたときに、次に利用可能なネットワークインターフェースを介してトラフィックを送信する場合があります。VPN経由でのみトラフィックを許可する方法の例については、[scy/8122924](https://gist.github.com/scy/8122924)を参照してください。

仮想マシン([hwdsl2/setup-ipsec-vpn](https://github.com/hwdsl2/setup-ipsec-vpn))またはDockerコンテナ([hwdsl2/docker-ipsec-vpn-server](https://github.com/hwdsl2/docker-ipsec-vpn-server))上で[IPsec](https://en.wikipedia.org/wiki/Ipsec) VPNをセットアップするためのガイドを参照してください。

VPNプロバイダーの地理的な位置を考慮することは価値があるかもしれません。さらなる議論については、[issue 114](https://github.com/drduh/macOS-Security-and-Privacy-Guide/issues/114)を参照してください。

また、macOS内蔵のVPN L2TP/IPsecと[IKEv2](https://en.wikipedia.org/wiki/IKEv2)クライアントに関するこの[技術概要](https://blog.timac.org/2018/0717-macos-vpn-architecture/)も参照してください。

# PGP/GPG

PGPは、特に電子メールにおけるデータの暗号化と署名のための標準規格です。鍵を正しく交換および検証した通信者間のメッセージ内容を保護できますが、電子メールの受信者や件名などのメタデータは保護しません。

GPG（GNU Privacy Guard）は、PGP標準に準拠したGPLライセンスのオープンソースプログラムです。ソフトウェア署名を検証し、[対称鍵暗号](https://en.wikipedia.org/wiki/Symmetric-key_algorithm)または[公開鍵](https://en.wikipedia.org/wiki/Public-key_cryptography)を使用してファイルを暗号化できます。

GnuPGはHomebrewでインストール（`brew install gnupg`）するか、[GPG Suite](https://gpgtools.org/)をインストールしてください。

推奨設定を使用するには、[gpg.conf](https://github.com/drduh/YubiKey-Guide/blob/main/config/gpg.conf)をダウンロードしてください:```bash
curl -o ~/.gnupg/gpg.conf \
  https://raw.githubusercontent.com/drduh/YubiKey-Guide/main/config/gpg.conf

App Sandbox を有効にすると、出力は次のようになります:```console
[Key] com.apple.security.app-sandbox
[Value]
    [Bool] true

App Store のソフトウェアは App Sandbox を使用する必要があります。Google Chrome などのアプリケーションは独自の [sandbox](https://chromium.googlesource.com/chromium/src/+/HEAD/docs/design/sandbox.md) を使用しており、App Sandbox を使用しない場合もあります。

> [!NOTE]
> サンドボックス化はアプリケーションのデフォルトのアクセスを制限しますが、エンタイトルメントとユーザーが付与した権限によってアクセスを拡張できます。

## Hardened Runtime

アプリケーションが [Hardened Runtime](https://developer.apple.com/documentation/security/hardened_runtime) を使用しているか確認します:```bash
codesign --display --verbose /path/to/application.app

**アクティビティモニタ**には「制限」列を表示するオプションがあり、プログラムがmacOSの[動的リンカ](https://pewpewthespells.com/blog/blocking_code_injection_on_ios_and_os_x.html)を介したコードインジェクションを制限されていることを示します。

Hardened Runtimeは、配布アプリの公証を受けるための前提条件です。

## アンチウイルス

ファイルやアプリケーションをスキャンするには、[VirusTotal](https://www.virustotal.com/gui/home/upload)へのアップロードを検討してください。ただし、これにより公開表示されることに注意してください。

macOSには[XProtect](https://support.apple.com/guide/security/protecting-against-malware-sec469d47bd8)と呼ばれるウイルス対策ソフトウェアが組み込まれており、バックグラウンドで実行され、マルウェア検出に使用するシグネチャを自動的に更新します。マルウェアが検出された場合、XProtectはそれを削除して隔離しようとします。

XProtectの更新状況を確認：```bash
xprotect version

# System Integrity Protection

System Integrity Protection が有効になっていることを確認するには、`csrutil status` コマンドを使用します。このコマンドは `System Integrity Protection status: enabled.` を返すはずです。それ以外の場合は、[リカバリモード](https://support.apple.com/102518) を使用して [SIP を有効化](https://developer.apple.com/documentation/security/disabling_and_enabling_system_integrity_protection) してください。

# メタデータとアーティファクト

macOS はファイルにメタデータ（[APFS 拡張属性](https://en.wikipedia.org/wiki/Extended_file_attributes#macOS)）を付加します。

一部のメタデータ属性は、[`mdls`](https://ss64.com/mac/mdls.html) コマンドと [`xattr`](https://ss64.com/mac/xattr.html) コマンドで表示および削除できます。設定（`plist`）ファイルは、[`defaults`](https://ss64.com/mac/defaults.html) コマンドで読み取りおよび変更できます。

システムおよびアプリケーションのメタデータは、次の場所にあります：

- `~/Library/Preferences/`
- `~/Library/Containers/<APP>/Data/Library/Preferences`
- `/Library/Preferences`

Bluetooth 情報：

- `/Library/Preferences/com.apple.Bluetooth.plist`

プリンタジョブのキャッシュ：

- `/var/spool/cups`

以前接続した iOS デバイス：

- `/Users/$USER/Library/Preferences/com.apple.iPod.plist`
- `/Library/Preferences/com.apple.iPod.plist`

Finder の環境設定：

- `~/Library/Preferences/com.apple.finder.plist`
- `~/Library/Preferences/com.apple.sidebarlists.plist`

診断データ：

- `/var/db/CoreDuet`
- `/var/db/diagnostics`
- `/var/db/systemstats`
- `/var/db/uuidtext`
- `/var/log/DiagnosticMessages`

スペルと言語の候補：

- `~/Library/LanguageModeling`
- `~/Library/Spelling`
- `~/Library/Suggestions`

アプリケーションの状態：

- `~/Library/Saved\ Application\ State`
- `~/Library/Containers/<APPNAME>/Data/Library/Saved\ Application\ State`

自動保存メタデータ：

- `~/Library/Containers/<APP>/Data/Library/Autosave\ Information`
- `~/Library/Autosave\ Information`

Siri の分析：

- `~/Library/Assistant/SiriAnalytics.db`

QuickTime Player の履歴：

- `~/Library/Containers/com.apple.QuickTimePlayerX/Data/Library/Preferences/com.apple.QuickTimePlayerX.plist`

その他のメタデータ：

- `~/Library/Containers/com.apple.appstore/Data/Library/Preferences/com.apple.commerce.knownclients.plist`
- `~/Library/Preferences/com.apple.commerce.plist`
- `~/Library/Preferences/com.apple.QuickTimePlayerX.plist`

# 認証

[Passwords](https://support.apple.com/guide/passwords/the-passwords-app-mchl901b1b95/mac) アプリは [安全な認証情報](https://support.apple.com/guide/security/automatic-strong-passwords-secc84c811c4/web) を作成します。また、[パスキー](https://fidoalliance.org/passkeys/) に対応しています。パスキーは、互換性のあるサービスで使用するとフィッシングに耐性を持つように設計された認証情報です。

[KeePassXC](https://keepassxc.org/) は、検討に値するオープンソースのクロスプラットフォーム対応パスワードマネージャーです。互換性のあるハードウェアトークンによる強力な認証と、認証情報を自動入力するブラウザ拡張機能をサポートしています。

覚えやすいパスワードは [Diceware](https://secure.research.vt.edu/diceware/) で作成できます。

オンラインアカウントで [多要素認証](https://en.wikipedia.org/wiki/Multi-factor_authentication) を有効にしてください。対応サービスでは、ハードウェアトークンやパスキーなど、フィッシング耐性のある認証を優先してください。認証アプリは SMS コードよりも望ましいですが、パスワードのみの認証よりは、どのような MFA でも優れています。

[YubiKey](https://www.yubico.com/products/) は人気のあるハードウェア認証トークンです。暗号化、署名、認証タスク用の鍵も保存できます - [drduh/YubiKey-Guide](https://github.com/drduh/YubiKey-Guide) を参照してください。

GnuPG はパスワードやその他の暗号化ファイルの管理にも使用できます - [drduh/Purse](https://github.com/drduh/Purse) と [drduh/pwd.sh](https://github.com/drduh/pwd.sh) を参照してください。

# バックアップ

ファイルを外部メディアやオンラインサービスにバックアップする前に、ローカルで暗号化してください。

[3-2-1 バックアップモデル](https://www.cisa.gov/sites/default/files/publications/data_backup_options.pdf) に従ってください。重要なデータのコピーを 3 つ保持し、少なくとも 2 種類の異なるメディアに保存し、少なくとも 1 つは別の物理的な場所に保管します。

## Time Machine

[Time Machine](https://support.apple.com/104984) は macOS でバックアップを処理するための組み込みツールです。外付けドライブまたはネットワークストレージを使用して、[暗号化された](https://support.apple.com/guide/mac-help/keep-your-time-machine-backup-disk-secure-mh21241) バックアップを作成してください。

## GnuPG

[GnuPG](https://www.gnupg.org/) はパスワードまたは公開鍵とともに使用でき、秘密鍵は [YubiKey](https://github.com/drduh/YubiKey-Guide) に保存されます。

パスワードを使用してディレクトリを圧縮および暗号化する：```bash
tar zcvf - ~/Downloads |
  gpg -c > ~/Downloads/backup-$(date +%F-%H%M%S).tar.gz.gpg

## Disk Utility

暗号化ボリュームは、[ディスクユーティリティ](https://support.apple.com/guide/disk-utility/toc) または `hdiutil` を使用して作成できます:```bash
hdiutil create ~/Downloads/encrypted.dmg -encryption -size 50M -volname "secretStuff"
hdiutil mount ~/Downloads/encrypted.dmg
cp -v ~/Documents/passwords.txt /Volumes/secretStuff
hdiutil eject /Volumes/secretStuff

または、SSH接続を[SOCKSプロキシ](https://www.mikeash.com/ssh_socks.html)として使用するには:```bash
ssh -NCD 3000 [email protected]

パスワード認証を無効にし、SSHサーバー設定のさらなる[堅牢化](https://stribika.github.io/2015/01/04/secure-secure-shell.html)を検討してください。推奨オプションについては [drduh/config/sshd_config](https://github.com/drduh/config/blob/main/sshd_config) を参照してください。

SSHサーバーが稼働していることを確認してください:```bash
sudo lsof -Pni TCP:22

JSON配列として出力:```bash
log show --last 5m --style json

サブシステムでメッセージをフィルタリングします。例えば `com.apple.SoftwareUpdate` から：```bash
log show --last 1h --style json \
  --predicate 'subsystem == "com.apple.SoftwareUpdate"'

大文字と小文字を区別しないメッセージフィルタリング:```bash
log show --last 1h --predicate 'eventMessage CONTAINS[c] "error"'

ログをアーカイブにエクスポートします。これはConsoleで開くことができます:```bash
log collect --last 1h --output ~/Downloads/logs-$(date +%F-%H%M).logarchive

さまざまなネットワーク関連データ構造の内容を一覧表示します:```bash
sudo netstat -n -p tcp
sudo netstat -n -p udp | sort | uniq

HTTPの監視:```bash
/Applications/Wireshark.app/Contents/MacOS/tshark -i en0 \
  -Y "http.request or http.response" -Tfields \
  -e ip.dst \
  -e http.request.full_uri \
  -e http.request.method \
  -e http.response.code \
  -e http.response.phrase \
  -Eseparator=/s

# その他

## スクリーンセーバー

スクリーンセーバーが起動したらすぐに画面をロックするように設定します：```bash
defaults write com.apple.screensaver askForPassword -int 1
defaults write com.apple.screensaver askForPasswordDelay -int 0

## メディアプレイヤー

音楽ファイルやビデオファイルの再生には、内蔵メディアアプリケーションである [QuickTime Player](https://en.wikipedia.org/wiki/Quicktime_player) を使用します。これは [App Sandbox](https://developer.apple.com/documentation/security/app_sandbox/protecting_user_data_with_app_sandbox) と [Hardened Runtime](https://developer.apple.com/documentation/xcode/configuring-the-hardened-runtime) を利用し、基本システムの一部として [Signed System Volume](https://support.apple.com/guide/security/signed-system-volume-security-secd698747c9/web) の利点も受けられます。

## ファイルハンドラ

[既定のファイルハンドラ](https://support.apple.com/guide/mac-help/choose-an-app-to-open-a-file-on-mac-mh35597) を管理して、特定のファイルタイプを開く際のリスクを軽減します。

スクリプトファイルの既定のアプリを変更して、開いたときに実行せず内容を表示するようにします。

Finder で任意の .sh ファイルを見つけて選択し、右クリックして「情報を見る」を選ぶか、<kbd>Command</kbd> + <kbd>I</kbd> を押します。「このアプリケーションで開く」セクションで、ドロップダウンメニューから TextEdit を選択します。一覧にない場合は、「その他...」を選択し、アプリケーション > TextEdit.app を選択します。「すべて変更...」を選択し、「続ける」を選択して確認します。

## Finder オプション

Finder で隠しファイルとライブラリフォルダを表示する:```bash
defaults write com.apple.finder AppleShowAllFiles -bool true
chflags nohidden ~/Library

Do not default to saving documents to iCloud:```bash
defaults write NSGlobalDomain NSDocumentSaveNewDocumentsToCloud -bool false

再起動し、ファイル/ディレクトリを作成して、パーミッションを確認します（macOSのデフォルトでは「グループ/その他」の読み取りアクセスが許可されます）:```console
$ ls -ld umask*
drwx------@ 2 user1 staff  64 Jul 26 12:00 umask.dir
-rw-------@ 1 user1 staff  32 Jul 26 12:00 umask.txt

[Handoffを無効にする](https://support.apple.com/guide/mac-help/change-airdrop-handoff-settings-mchl6a407f99)機能と[Bluetooth](https://support.apple.com/guide/mac-help/turn-bluetooth-on-or-off-blth1008)機能。

## Sudoers

macOSの`/etc/sudoers`には次の行が含まれています:```bash
Defaults env_keep += "HOME MAIL"

# 関連ソフトウェア

ソフトウェア | カテゴリ | 説明
:-: | :-: | :-
[lynis](https://github.com/CISOfy/lynis) | 監査スキャナ | システム構成をチェックし、堅牢化の改善案を提案するクロスプラットフォームのセキュリティ監査ツール。
[zentral](https://github.com/zentralopensource/zentral) | 監視・構成管理プラットフォーム | macOSエンドポイント向けのフリート管理サーバー。インベントリ、イベント、監査、osqueryの結果を収集する。管理された環境に最適。
[osquery](https://github.com/osquery/osquery) | 監視エンジン | オペレーティングシステムの状態をSQLテーブルとして公開し、プロセス、ユーザー、起動項目、ネットワーク接続などを繰り返しチェックできるようにする。
[pareto-mac](https://github.com/paretoSecurity/pareto-mac) | 監査スキャナ | Macを一般的なベースラインセキュリティ推奨事項に照らしてチェックするメニューバーアプリ。

# 追加リソース

- [iCloudのセキュリティとプライバシーの概要](https://support.apple.com/102651)
- [EFF監視セルフディフェンスガイド](https://ssd.eff.org/)
- [beerisgood/macOS_Hardening](https://github.com/beerisgood/macOS_Hardening)
- [macOSリバースエンジニアリングブログ](https://reverse.put.as/)
- [リバースエンジニアリングリソース](http://samdmarshall.com/re.html)
- [Malwarebytesブログ](https://www.malwarebytes.com/blog)
- [Objective-Seeのブログ](https://objective-see.com/blog.html)
- [CISベンチマーク](https://www.cisecurity.org/benchmark/apple_os/)
- [Appleオープンソース](https://opensource.apple.com/)
- [iOS、macOSの未来、自由、セキュリティ、そしてますます敵対的なグローバル環境におけるプライバシー](https://gist.github.com/iosecure/357e724811fe04167332ef54e736670d)