# 管理员账户与用户账户

创建的第一个账户是管理员账户。管理员可以更改系统级设置，并使用 [sudo](https://en.wikipedia.org/wiki/Sudo) 运行命令，sudo 会临时授予提升的权限。管理员运行的任何程序都可能获得同样的访问权限；sudo 也可能存在[漏洞](https://bogner.sh/2014/03/another-mac-os-x-sudo-password-bypass/)。

使用专用的标准账户进行日常常规工作，并仅使用管理员账户进行软件和系统的安装、配置和更新，被认为是一种[最佳实践](https://help.apple.com/machelp/mac/10.12/index.html#/mh11389)。

并不需要通过 macOS 登录界面登录管理员账户。当终端命令需要管理员权限时，系统会提示进行身份验证，随后终端继续使用这些权限。为此，Apple 提供了[建议](https://support.apple.com/102099)，用于隐藏管理员账户及其主目录。

## 注意事项

- 只有管理员才能在系统范围的 `/Applications` 目录中安装应用。访达和安装器在需要批准时，会要求标准用户输入管理员凭据。有些应用可以安装在 `~/Applications`；不需要管理员权限的应用应安装在用户目录中。App Store 应用仍安装在 `/Applications`，且无需额外身份验证。
- 标准用户通常无权使用 `sudo`。当需要管理员权限时，macOS 会提示输入管理员凭据，或者可以从管理员账户运行该任务。
- 系统设置和若干系统实用工具（例如 Wi-Fi 诊断）需要管理员权限才能获得完整功能。某些系统设置需要通过选择锁形图标来解锁。某些应用在打开时会直接提示身份验证，另一些则必须由管理员账户直接打开才能访问所有功能（例如控制台）。
- 一些第三方应用假定当前用户是管理员，因此无法在标准账户下运行。
- 更多注意事项请参阅 [issue 167](https://github.com/drduh/macOS-Security-and-Privacy-Guide/issues/167)。

## 设置

账户可以在系统设置中创建和管理。在现有系统上，通常更容易的方法是先创建第二个管理员账户，然后将原始账户从管理员账户更改为标准账户。新安装的系统应在设置完成后添加一个标准账户。

在系统设置中，可以从新的管理员账户降级某个账户。

另请参阅[这篇文章](https://superuser.com/a/395738)，了解 macOS 如何确定组成员身份。

# 固件

验证固件安全性是否设置为[完全安全性](https://support.apple.com/guide/mac-help/mchl768f7291/mac)，以防止系统被篡改。这是默认设置。

# FileVault

搭载 Apple silicon 的 Mac 默认使用硬件支持的存储加密。[FileVault](https://support.apple.com/guide/mac-help/protect-data-on-your-mac-with-filevault-mh11785/mac) 还要求授权用户的密码才能在重启后解锁启动卷。

在 Apple silicon 上，FileVault 授权还会保护[固件](https://support.apple.com/102384)，从而阻止从指定启动磁盘以外的任何设备启动、访问[恢复](https://support.apple.com/guide/mac-help/macos-recovery-a-mac-apple-silicon-mchl82829c17/15.0/mac/15.0#mchl5abfbb29)模式，以及使用设备固件更新 (DFU) 模式进行[恢复](https://support.apple.com/108900)。

FileVault 会提示设置恢复密钥；如果使用，应将其存储在安全的位置。FileVault 还提供使用 iCloud 恢复的选项。

确认 FileVault 状态：```bash
fdesetup status

### 隐身模式

攻击者经常扫描网络以识别目标系统。当启用[隐身模式](https://support.apple.com/guide/mac-help/use-stealth-mode-to-keep-your-mac-more-secure-mh17133/mac)时，系统不会对来自关闭端口的连接尝试发送响应，从而更难以被检测到。

启用隐身模式：```bash
sudo /usr/libexec/ApplicationFirewall/socketfilterfw --setstealthmode on

### 重新加载防火墙

使用 `socketfilterfw` 更改设置后，重新加载防火墙服务以应用新配置：```bash
sudo pkill -HUP socketfilterfw

或者使用 [system profiler](https://ss64.com/mac/system_profiler.html)：```bash
system_profiler SPFirewallDataType

## 第三方防火墙

诸如 [Little Snitch](https://www.obdev.at/products/littlesnitch/index.html)、[Radio Silence](https://radiosilenceapp.com/) 和 [LuLu](https://objective-see.com/products/lulu.html) 等应用程序在易用性和安全性之间提供了平衡。

这些程序能够监控并阻止传入和传出连接。但是，它们可能需要闭源的[系统扩展](https://support.apple.com/HT210999)。

如果频繁的允许或阻止提示令人应接不暇，可以临时允许连接，同时记录它们（Little Snitch 中的 [Silent Allow 模式](https://help.obdev.at/littlesnitch6/concepts-opmodes)）。检查配置以了解并控制网络活动。

## 数据包过滤器

macOS 还包含 [pf](https://en.wikipedia.org/wiki/PF_(firewall))，这是一个从命令行配置的数据包过滤防火墙。它功能强大，但比内置的应用防火墙复杂得多。

pf 也可以通过图形应用程序（如 [Murus](https://www.murusfirewall.com/)）进行控制。

许多[书籍](https://nostarch.com/book-of-pf-4e)和[指南](https://www.openbsd.org/faq/pf/)都介绍了 pf 防火墙。以下示例展示了如何配置基本策略。

### pf 配置示例

将以下规则添加到名为 `pf.rules` 的文件中：```console
# Define interface
wifi = "en0"

# Global options
set block-policy drop
set skip on lo0
set state-policy if-bound
set ruleset-optimization basic

# Normalize
scrub in on $wifi all fragment reassemble

# Define tables
table <blocklist> persist

# Deny and log blocked traffic
block log all
block quick from no-route to any
antispoof quick for $wifi

# Enforce blocklist
block log quick on $wifi from <blocklist> to any
block log quick on $wifi from any to <blocklist>

# Allow DHCP
pass out on $wifi proto udp from any port 68 to any port 67 keep state
pass in  on $wifi proto udp from any port 67 to any port 68 keep state

# Allow outbound TCP
pass out on $wifi proto tcp from ($wifi) to any flags S/SA keep state

# Allow outbound UDP
pass out on $wifi proto udp from ($wifi) to any keep state

# Allow outbound ICMP (ping)
pass out on $wifi proto icmp from ($wifi) to any keep state

将返回的网络列表添加到阻止列表：```bash
sudo pfctl -t blocklist -T add $(whois -h whois.radb.net '!gAS32934' | sed -n '2p')

确认到这些地址的网络流量已被阻止（DNS 请求仍将正常工作）：```console
$ dig a +short facebook.com
157.240.2.35

$ curl --connect-timeout 5 -I https://facebook.com/
*   Trying 157.240.2.35...
* TCP_NODELAY set
* Connection timed out after 5002 milliseconds
* Closing connection 0
curl: (28) Connection timed out after 5002 milliseconds

$ sudo tcpdump -tqni pflog0 'host 157.240.2.35'
IP 192.168.1.1.62771 > 157.240.2.35.443: tcp 0
IP 192.168.1.1.62771 > 157.240.2.35.443: tcp 0
IP 192.168.1.1.62771 > 157.240.2.35.443: tcp 0

> [!IMPORTANT]
> 系统服务受 [SIP](https://github.com/drduh/macOS-Security-and-Privacy-Guide#system-integrity-protection) 保护；禁用 SIP 来修改系统服务可能会危及安全性并导致系统不稳定。

要查看服务的状态：```bash
find /var/db/com.apple.xpc.launchd \
  -type f -print -exec defaults read {} \; 2>/dev/null

> [!NOTE]
> IPv6 使用 AAAA 记录而非 A 记录：通过包含 `::1 example.com` 条目来阻止 IPv6 连接。

网上有许多现成的域名列表。在将某个列表追加到 `/etc/hosts` 之前，请确保每个条目以 `0`、`0.0.0.0` 或 `127.0.0.1` 开头，并保留 `127.0.0.1 localhost` 条目。

常用的 hosts 列表包括：
- [StevenBlack/hosts](https://github.com/StevenBlack/hosts)
- [Sinfonietta/hostfiles](https://github.com/Sinfonietta/hostfiles)
- [someonewhocares.org](https://someonewhocares.org/hosts/zero/hosts)

如需下载列表并将其追加到 hosts 文件，请使用 [tee](https://man7.org/linux/man-pages/man1/tee.1.html) 命令：```bash
curl https://raw.githubusercontent.com/StevenBlack/hosts/master/hosts |
  sudo tee -a /etc/hosts

当将 DNSCrypt 与 Dnsmasq 配合使用时，通过运行以下命令找到 DNSCrypt 配置文件：```bash
brew info dnscrypt-proxy | grep dnscrypt-proxy.toml | head -1

启动 DNSCrypt:```bash
sudo brew services restart dnscrypt-proxy

此外，这些 pf 规则会阻止回环接口之外通往 53 端口的常规 DNS 流量，以降低 [DNS 泄露](https://dnsleaktest.com/) 的风险：```console
block drop quick on !lo0 proto udp from any to any port = 53
block drop quick on !lo0 proto tcp from any to any port = 53

下载并编辑 [drduh/config/dnsmasq.conf](https://github.com/drduh/config/blob/main/dnsmasq.conf) 或默认配置文件。

参见 [drduh/config/domains](https://github.com/drduh/config/tree/main/domains) 获取可添加以阻止特定目标的示例域名列表。

安装并启动该程序（需要 sudo 才能绑定到[特权端口](https://unix.stackexchange.com/questions/16564/why-are-the-first-1024-ports-restricted-to-the-root-user-only) 53）：```bash
sudo brew services start dnsmasq

确认 Dnsmasq 已配置：```console
$ scutil --dns | head
DNS configuration

resolver #1
  search domain[0] : whatever
  nameserver[0] : 127.0.0.1
  flags    : Request A records, Request AAAA records
  reach    : 0x00030002 (Reachable,Local Address,Directly Reachable Address)

$ networksetup -getdnsservers "Wi-Fi"
127.0.0.1

同时，请检查**登录**、**个人物品**和**系统**钥匙串中可能由用户、管理员、VPN 客户端、安全产品或移动设备管理应用程序添加的任何证书。

要禁用选定的证书，请将其信任设置修改为**永不信任**，然后关闭窗口以确认。这样做可以降低 [中间人攻击（MITM）](https://wikipedia.org/wiki/Man-in-the-middle_attack) 的风险，在这种攻击中，欺诈性证书会被用来[静默截获](https://en.wikipedia.org/wiki/DigiNotar#Issuance_of_fraudulent_certificates)加密流量。

> [!WARNING]
> 删除或修改证书颁发机构信任设置可能会破坏网站、软件更新、企业网络、VPN、强制门户和其他服务。

有关当前信任存储信息，请参阅 Apple 的[可用受信任证书](https://support.apple.com/103723)和[已阻止证书](https://support.apple.com/103247#blocked)列表。

# Privoxy

考虑使用 [Privoxy](https://www.privoxy.org/) 作为本地代理来过滤网络流量。

使用 Homebrew 安装并启动 Privoxy：```bash
brew install privoxy
brew services start privoxy

设置系统 **HTTPS** 代理：```bash
sudo networksetup -setsecurewebproxy "Wi-Fi" 127.0.0.1 8118

虽然大多数网络流量是加密的，但 Privoxy 可以根据主机名过滤请求。例如，以下规则会阻止所有流量，但 .net、github.com 和 Apple 域名的流量除外：```console
{ +block{all} }
.

{ -block }
.apple.
.github.com
.net

参见 [drduh/config/privoxy/config](https://github.com/drduh/config/blob/main/privoxy/config) 和 [drduh/config/privoxy/user.action](https://github.com/drduh/config/blob/main/privoxy/user.action) 以获取更多 Privoxy 示例。编辑过滤规则后，Privoxy **不需要**重启。

要验证流量是否被阻止或重定向，请在浏览器中使用 [curl](https://en.wikipedia.org/wiki/CURL) 或打开 Privoxy 界面 <http://p.p>：```console
$ ALL_PROXY=127.0.0.1:8118 curl example.com -IL | head
HTTP/1.1 403 Request blocked by Privoxy
Content-Length: 9001
Content-Type: text/html
Cache-Control: no-cache
Pragma: no-cache

$ ALL_PROXY=127.0.0.1:8118 curl github.com -IL | head
HTTP/1.1 302 Local Redirect from Privoxy
Location: https://github.com/
Content-Length: 0

HTTP/1.1 200 Connection established

HTTP/2 200
content-type: text/html; charset=utf-8

确保输出中出现 `Good signature from "Tor Browser Developers (signing key) <[email protected]>"`。出现此警告是正常的，因为该密钥尚未经过个人验证并添加到受信任的密钥环。

更多信息请参阅[如何验证 Tor Browser 的签名？](https://support.torproject.org/tbb/how-to-verify-signature/)。

要完成 Tor Browser 的安装，请打开磁盘映像并将其拖到应用程序文件夹，或使用命令：```bash
hdiutil mount tor-browser-macos-15.0.17.dmg
cp -r /Volumes/Tor\ Browser/Tor\ Browser.app/ ~/Applications/

命令 `codesign` 也可用于检查应用程序的代码签名：```console
$ codesign -dvv ~/Applications/Tor\ Browser.app
Executable=/Users/user1/Applications/Tor Browser.app/Contents/MacOS/firefox
Identifier=org.torproject.torbrowser
Format=app bundle with Mach-O universal (x86_64 arm64)
CodeDirectory v=20500 size=805 flags=0x10000(runtime) hashes=14+7 location=embedded
Signature size=9054
Authority=Developer ID Application: The Tor Project, Inc (MADPSAYN6T)
Authority=Developer ID Certification Authority
Authority=Apple Root CA
Timestamp=Jun 28, 2026 at 14:01:57
Notarization Ticket=stapled
Info.plist entries=27
TeamIdentifier=MADPSAYN6T
Runtime Version=15.5.0
Sealed Resources version=2 rules=13 files=208
Internal requirements count=1 size=188

Tor 浏览器可以使用称为[可插拔传输](https://support.torproject.org/tor-browser/circumvention/)的特殊连接方法，使流量更难以识别或阻止。这可以通过设置一个[中继](https://support.torproject.org/relays/)或使用现有的[网桥](https://bridges.torproject.org/)来实现。

Tor 网络提供[匿名性](https://www.privateinternetaccess.com/blog/2013/10/how-does-privacy-differ-from-anonymity-and-why-are-both-important/)，这不一定是隐私。该网络无法防御能够进行流量分析和关联的全局观察者。另请参阅[《在互联网全景监狱中寻求匿名》](https://bford.info/pub/net/panopticon-cacm.pdf)和[《现实对手对 Tor 的流量关联》](https://www.ohmygodel.com/publications/usersrouted-ccs13.pdf)。

更多信息请参阅[Tor 协议规范](https://spec.torproject.org/tor-spec/)。

另请参阅[隐形互联网项目（I2P）](https://geti2p.net/en/about/intro)及其[与 Tor 的对比](https://geti2p.net/en/comparison/tor)。

# VPN

请选择有据可查、使用现代协议且客户端经过良好审计的 VPN 提供商或自托管设置。避免使用诸如 [PPTP](https://en.wikipedia.org/wiki/Point-to-Point_Tunneling_Protocol#Security) 之类的过时协议，而应使用 [OpenVPN](https://en.wikipedia.org/wiki/OpenVPN) 或 [WireGuard](https://www.wireguard.com/) [部署在 Linux 虚拟机中](https://github.com/mrash/Wireguard-macOS-LinuxVM)，或通过一组[跨平台工具](https://www.wireguard.com/xplatform/)。

当连接被中断或断开时，某些 VPN 客户端可能会将流量发送到下一个可用的网络接口。有关如何仅允许流量通过 VPN 的示例，请参阅 [scy/8122924](https://gist.github.com/scy/8122924)。

参见在虚拟机（[hwdsl2/setup-ipsec-vpn](https://github.com/hwdsl2/setup-ipsec-vpn)）或 Docker 容器（[hwdsl2/docker-ipsec-vpn-server](https://github.com/hwdsl2/docker-ipsec-vpn-server)）上设置 [IPsec](https://en.wikipedia.org/wiki/Ipsec) VPN 的指南。

可能值得考虑 VPN 提供商的地理位置。更多讨论请参阅 [issue 114](https://github.com/drduh/macOS-Security-and-Privacy-Guide/issues/114)。

另请参阅这篇关于 macOS 内置 VPN L2TP/IPsec 和 [IKEv2](https://en.wikipedia.org/wiki/IKEv2) 客户端的[技术概述](https://blog.timac.org/2018/0717-macos-vpn-architecture/)。

# PGP/GPG

PGP 是用于加密和签名数据（尤其是电子邮件）的标准。它可以保护在正确交换和验证密钥的通信者之间的消息内容，但无法保护诸如电子邮件收件人和主题行之类的元数据。

GPG（GNU Privacy Guard）是一个符合 PGP 标准、采用 GPL 许可的开源程序。它可以验证软件签名，并可以[对称地](https://en.wikipedia.org/wiki/Symmetric-key_algorithm)或使用[公钥](https://en.wikipedia.org/wiki/Public-key_cryptography)加密文件。

使用 Homebrew 安装 GnuPG（`brew install gnupg`），或安装 [GPG Suite](https://gpgtools.org/)。

下载 [gpg.conf](https://github.com/drduh/YubiKey-Guide/blob/main/config/gpg.conf) 以使用推荐设置：```bash
curl -o ~/.gnupg/gpg.conf \
  https://raw.githubusercontent.com/drduh/YubiKey-Guide/main/config/gpg.conf

启用 App Sandbox 后，输出应为:```console
[Key] com.apple.security.app-sandbox
[Value]
    [Bool] true

App Store 软件必须使用 App Sandbox。诸如 Google Chrome 等应用程序使用自己的 [sandbox](https://chromium.googlesource.com/chromium/src/+/HEAD/docs/design/sandbox.md)，可能不会使用 App Sandbox。

> [!NOTE]
> 沙盒会限制应用程序的默认访问权限，但 entitlements 和用户授予的权限可以扩大访问范围。

## Hardened Runtime

检查应用程序是否使用 [Hardened Runtime](https://developer.apple.com/documentation/security/hardened_runtime)：```bash
codesign --display --verbose /path/to/application.app

**活动监视器**有一个选项可以显示“受限”列，指示某个程序是否被限制通过 macOS 的 [动态链接器](https://pewpewthespells.com/blog/blocking_code_injection_on_ios_and_os_x.html) 注入代码。

强化运行时是分发应用获得公证的先决条件。

## 防病毒

要扫描文件和应用程序，可以考虑将其上传到 [VirusTotal](https://www.virustotal.com/gui/home/upload)，但请注意这会使它们公开可见。

macOS 包含名为 [XProtect](https://support.apple.com/guide/security/protecting-against-malware-sec469d47bd8) 的内置防病毒软件，它在后台运行并自动更新用于检测恶意软件的签名。如果检测到恶意软件，XProtect 会尝试将其移除并隔离。

检查 XProtect 更新状态：```bash
xprotect version

# 系统完整性保护

要验证系统完整性保护是否已启用，请使用命令 `csrutil status`，其应返回：`System Integrity Protection status: enabled.` 否则，请使用[恢复模式](https://support.apple.com/102518)来[启用 SIP](https://developer.apple.com/documentation/security/disabling_and_enabling_system_integrity_protection)。

# 元数据和痕迹

macOS 会将元数据（[APFS 扩展属性](https://en.wikipedia.org/wiki/Extended_file_attributes#macOS)）附加到文件上。

某些元数据属性可以使用 [`mdls`](https://ss64.com/mac/mdls.html) 和 [`xattr`](https://ss64.com/mac/xattr.html) 命令查看和删除。偏好设置（`plist`）文件可以使用 [`defaults`](https://ss64.com/mac/defaults.html) 读取和修改。

系统和应用程序元数据可以在以下位置找到：

- `~/Library/Preferences/`
- `~/Library/Containers/<APP>/Data/Library/Preferences`
- `/Library/Preferences`

蓝牙信息：

- `/Library/Preferences/com.apple.Bluetooth.plist`

打印机任务缓存：

- `/var/spool/cups`

此前连接过的 iOS 设备：

- `/Users/$USER/Library/Preferences/com.apple.iPod.plist`
- `/Library/Preferences/com.apple.iPod.plist`

Finder 偏好设置：

- `~/Library/Preferences/com.apple.finder.plist`
- `~/Library/Preferences/com.apple.sidebarlists.plist`

诊断数据：

- `/var/db/CoreDuet`
- `/var/db/diagnostics`
- `/var/db/systemstats`
- `/var/db/uuidtext`
- `/var/log/DiagnosticMessages`

拼写和语言建议：

- `~/Library/LanguageModeling`
- `~/Library/Spelling`
- `~/Library/Suggestions`

应用程序状态：

- `~/Library/Saved\ Application\ State`
- `~/Library/Containers/<APPNAME>/Data/Library/Saved\ Application\ State`

自动保存元数据：

- `~/Library/Containers/<APP>/Data/Library/Autosave\ Information`
- `~/Library/Autosave\ Information`

Siri 分析数据：

- `~/Library/Assistant/SiriAnalytics.db`

QuickTime Player 历史记录：

- `~/Library/Containers/com.apple.QuickTimePlayerX/Data/Library/Preferences/com.apple.QuickTimePlayerX.plist`

杂项元数据：

- `~/Library/Containers/com.apple.appstore/Data/Library/Preferences/com.apple.commerce.knownclients.plist`
- `~/Library/Preferences/com.apple.commerce.plist`
- `~/Library/Preferences/com.apple.QuickTimePlayerX.plist`

# 身份验证

[Passwords](https://support.apple.com/guide/passwords/the-passwords-app-mchl901b1b95/mac) 应用会创建[安全凭据](https://support.apple.com/guide/security/automatic-strong-passwords-secc84c811c4/web)。它支持[通行密钥](https://fidoalliance.org/passkeys/)，这是一种在与兼容服务一起使用时旨在抵御网络钓鱼的凭据。

[KeePassXC](https://keepassxc.org/) 是一个值得考虑的开源跨平台密码管理器。它支持使用兼容的硬件令牌进行强身份验证，并提供浏览器扩展来自动输入凭据。

可以使用 [Diceware](https://secure.research.vt.edu/diceware/) 创建易记的密码。

确保在线账户已启用[多因素身份验证](https://en.wikipedia.org/wiki/Multi-factor_authentication)。优先选择抗网络钓鱼的身份验证，例如硬件令牌或与支持的服务一起使用的通行密钥。验证器应用优于短信验证码，但任何 MFA 都比仅使用密码的身份验证更好。

[YubiKey](https://www.yubico.com/products/) 是一种流行的硬件身份验证令牌。它还可以存储用于加密、签名和身份验证任务的密钥——参见 [drduh/YubiKey-Guide](https://github.com/drduh/YubiKey-Guide)。

GnuPG 还可以管理密码和其他加密文件——参见 [drduh/Purse](https://github.com/drduh/Purse) 和 [drduh/pwd.sh](https://github.com/drduh/pwd.sh)。

# 备份

在将文件备份到外部介质或在线服务之前，先在本地对文件进行加密。

遵循 [3-2-1 备份模型](https://www.cisa.gov/sites/default/files/publications/data_backup_options.pdf)：保留三份重要数据的副本，将它们存储在至少两种不同类型的介质上，并至少保留一份副本在独立的物理位置。

## Time Machine

[Time Machine](https://support.apple.com/104984) 是 macOS 上处理备份的内置工具。使用外部驱动器或网络存储创建[加密](https://support.apple.com/guide/mac-help/keep-your-time-machine-backup-disk-secure-mh21241)备份。

## GnuPG

[GnuPG](https://www.gnupg.org/) 可以与密码或公钥一起使用，私钥存储在 [YubiKey](https://github.com/drduh/YubiKey-Guide) 上。

使用密码压缩并加密目录：```bash
tar zcvf - ~/Downloads |
  gpg -c > ~/Downloads/backup-$(date +%F-%H%M%S).tar.gz.gpg

## 磁盘工具

加密卷可以使用[磁盘工具](https://support.apple.com/guide/disk-utility/toc)或 `hdiutil` 创建：```bash
hdiutil create ~/Downloads/encrypted.dmg -encryption -size 50M -volname "secretStuff"
hdiutil mount ~/Downloads/encrypted.dmg
cp -v ~/Documents/passwords.txt /Volumes/secretStuff
hdiutil eject /Volumes/secretStuff

或者使用 SSH 连接作为 [SOCKS 代理](https://www.mikeash.com/ssh_socks.html)：```bash
ssh -NCD 3000 [email protected]

禁用密码认证，并考虑进一步[加固](https://stribika.github.io/2015/01/04/secure-secure-shell.html) SSH 服务器配置。参见 [drduh/config/sshd_config](https://github.com/drduh/config/blob/main/sshd_config) 获取推荐选项。

确认 SSH 服务器正在运行：```bash
sudo lsof -Pni TCP:22

输出为 JSON 数组：```bash
log show --last 5m --style json

按子系统过滤消息，例如来自 `com.apple.SoftwareUpdate`：```bash
log show --last 1h --style json \
  --predicate 'subsystem == "com.apple.SoftwareUpdate"'

不区分大小写的消息过滤：```bash
log show --last 1h --predicate 'eventMessage CONTAINS[c] "error"'

将日志导出到归档，可使用“控制台”打开：```bash
log collect --last 1h --output ~/Downloads/logs-$(date +%F-%H%M).logarchive

列出各种网络相关数据结构的内容：```bash
sudo netstat -n -p tcp
sudo netstat -n -p udp | sort | uniq

监控 HTTP:```bash
/Applications/Wireshark.app/Contents/MacOS/tshark -i en0 \
  -Y "http.request or http.response" -Tfields \
  -e ip.dst \
  -e http.request.full_uri \
  -e http.request.method \
  -e http.response.code \
  -e http.response.phrase \
  -Eseparator=/s

# 杂项

## 屏幕保护程序

设置屏幕保护程序启动时立即锁定屏幕：```bash
defaults write com.apple.screensaver askForPassword -int 1
defaults write com.apple.screensaver askForPasswordDelay -int 0

## 媒体播放器

使用内置的媒体应用程序 [QuickTime Player](https://en.wikipedia.org/wiki/Quicktime_player) 播放音乐和视频文件。它采用 [App Sandbox](https://developer.apple.com/documentation/security/app_sandbox/protecting_user_data_with_app_sandbox)、[Hardened Runtime](https://developer.apple.com/documentation/xcode/configuring-the-hardened-runtime)，并作为基础系统的一部分受益于 [Signed System Volume](https://support.apple.com/guide/security/signed-system-volume-security-secd698747c9/web)。

## 文件处理程序

管理[默认文件处理程序](https://support.apple.com/guide/mac-help/choose-an-app-to-open-a-file-on-mac-mh35597)，以降低打开某些文件类型的风险。

更改脚本文件的默认应用程序，以便打开它们时显示其内容而不是执行它们。

在 Finder 中，定位并选择任意 .sh 文件，右键单击它并选择“显示简介”或按 <kbd>Command</kbd> + <kbd>I</kbd>。在“打开方式”部分，从下拉菜单中选择 TextEdit。如果未列出，请选择“其他...”和“应用程序 > TextEdit.app”。选择“全部更改...”，然后选择“继续”进行确认。

## Finder 选项

在 Finder 中显示隐藏文件和“资源库”文件夹：```bash
defaults write com.apple.finder AppleShowAllFiles -bool true
chflags nohidden ~/Library

请勿默认将文稿存储到 iCloud：```bash
defaults write NSGlobalDomain NSDocumentSaveNewDocumentsToCloud -bool false

重新启动，然后创建一个文件/目录并验证权限（macOS 默认允许 'group/other' 读取访问）：```console
$ ls -ld umask*
drwx------@ 2 user1 staff  64 Jul 26 12:00 umask.dir
-rw-------@ 1 user1 staff  32 Jul 26 12:00 umask.txt

[禁用 Handoff](https://support.apple.com/guide/mac-help/change-airdrop-handoff-settings-mchl6a407f99) 和 [蓝牙](https://support.apple.com/guide/mac-help/turn-bluetooth-on-or-off-blth1008) 功能。

## Sudoers

macOS 自带的 `/etc/sudoers` 中有这样一行：```bash
Defaults env_keep += "HOME MAIL"

# 相关软件

软件 | 类别 | 描述
:-: | :-: | :-
[lynis](https://github.com/CISOfy/lynis) | 审计扫描器 | 跨平台安全审计工具，检查系统配置并建议加固改进。
[zentral](https://github.com/zentralopensource/zentral) | 监控与配置平台 | 适用于 macOS 端点的设备群管理服务器；收集清单、事件、审计和 osquery 结果。最适合受管环境。
[osquery](https://github.com/osquery/osquery) | 监控引擎 | 将操作系统状态以 SQL 表形式呈现，支持对进程、用户、启动项、网络连接等进行可重复检查。
[pareto-mac](https://github.com/paretoSecurity/pareto-mac) | 审计扫描器 | 菜单栏应用，用于根据常见基线安全建议检查 Mac。

# 其他资源

- [iCloud 安全与隐私概览](https://support.apple.com/102651)
- [EFF 监控自卫指南](https://ssd.eff.org/)
- [beerisgood/macOS_Hardening](https://github.com/beerisgood/macOS_Hardening)
- [macOS 逆向工程博客](https://reverse.put.as/)
- [逆向工程资源](http://samdmarshall.com/re.html)
- [Malwarebytes 博客](https://www.malwarebytes.com/blog)
- [Objective-See 博客](https://objective-see.com/blog.html)
- [CIS 基准](https://www.cisecurity.org/benchmark/apple_os/)
- [Apple 开源](https://opensource.apple.com/)
- [iOS，macOS 的未来，以及日益充满敌意的全球环境中的自由、安全与隐私](https://gist.github.com/iosecure/357e724811fe04167332ef54e736670d)