🔒 macOS 安全审计

基于 Bash 的 macOS 安全审计工具包，用于对照 CIS Benchmark 建议检查系统加固设置，并生成 JSON/HTML 报告。

作者：Bartłomiej Pogwizd · https://www.youtube.com/@pTech-pl

概述

该工具包包含两个脚本：

• auditMAC.sh — 运行完整的安全审计，并将结果输出到终端和 TSV 数据文件
• generate_reports.sh — 将 TSV 数据文件转换为 JSON 报告和带样式的 HTML 报告

截图

系统要求

• macOS 11 (Big Sur) 或更高版本 — 已在 macOS 15 Sequoia 上测试
• Bash 3.2+（macOS 预装）
• sudo 权限（多项检查需要）

使用方法

步骤 1 — 运行审计

chmod +x auditMAC.sh
./auditMAC.sh

该脚本将：

• 提示输入 sudo 密码（仅在本地使用，绝不被存储）
• 跨 10 个类别运行约 50 项安全检查
• 在终端中打印彩色结果
• 将原始结果保存到临时 TSV 文件（路径在结束时显示）
• 自动修复失败项，你需要用 y 或 n 确认（n 表示否）
• 显示自动修复摘要

步骤 2 — 生成报告

将文件（auditMAC.sh 和 generate_reports.sh）放在同一文件夹中 json 和 html 文件将显示在该文件夹中，它们会自动生成

这将在当前目录中生成两个文件：

• macos_security_report.json
• macos_security_report.html

检查内容

输出示例

========================================
macOS Security / Audit Report
Author: Bartłomiej Pogwizd / youtube.com/pTech
Version: 2.5
========================================

System Security
----------------------------------------
Firewall                       OK       Enabled
SIP                            OK       Enabled
FileVault                      FAIL     Disabled
Gatekeeper                     OK       Enabled
...

Security Score                 72/100
Risk Level:       Medium
Passed                         31
Warnings                       4
Failures                       8

状态图例：

安全评分

评分计算公式如下：

score = (passed × 100 + warnings × 50) / total_checks

CIS Benchmark 映射

HTML/JSON 报告中的每项检查都带有 CIS macOS Benchmark ID 标签（例如 2.1.1 对应防火墙，2.2.1 对应 FileVault）。这样可以方便地对照官方 CIS 文档，获取修复指导。

注意事项

• 该审计为只读 — 它从不修改任何系统设置
• sudo 仅用于需要提升权限的命令（例如 fdesetup、systemsetup、launchctl）
• 临时文件在 /tmp 下以 umask 077 创建，并在退出时始终清理，即使出错或按 Ctrl+C 也会清理
• 某些检查（例如 Touch ID）无法自动化，会被标记为 INFO，并附上手动验证说明

许可证

MIT — 可自由使用、修改和分享。

贡献

欢迎提交 Pull Request 和 Issue。如果某项检查在你的 macOS 版本上产生不正确的结果，请打开 Issue，并附上 sw_vers 的输出。