macOS 管理 macOS 系统安全校验的配置参数详情

macOS 系统安全校验由启动链、内核层、应用层和系统服务多机制协同实现；关键参数包括Startup Security Utility（控制固件信任策略）、SIP（保护系统路径只读）、Gatekeeper（验证签名与公证）及第三方安全组件策略（如Defender篡改防护）。

macOS 系统安全校验不是靠单个开关控制，而是由多个底层机制协同运作，各自负责不同环节的信任验证。关键参数分散在启动链、内核层、应用层和系统服务中，需按阶段理解其作用与配置方式。

启动安全性实用工具（Startup Security Utility）

这是硬件级入口防线，仅适用于 Apple 芯片或 T2 芯片 Mac，直接控制固件信任策略：

1. 安全启动模式：默认“完整安全性”，强制校验启动卷的签名与 Apple 最新完整性数据；可降为“中等安全性”（允许未公证但已签名的系统）或“无安全性”（禁用校验，不推荐）
2. 允许的启动介质：可限制仅从内置 SSD 或已认证外部 SSD 启动，禁用 USB/SD 卡等通用启动路径
3. 固件密码：启用后，恢复模式、目标磁盘模式、启动磁盘切换均需输入该密码；Apple 芯片设备需在恢复环境中通过“启动安全性实用工具”设置

系统完整性保护（SIP）状态与配置

SIP 是运行时核心防护，默认启用，不可完全关闭（即使使用 csrutil disable），且自 Ventura 起对 kext 加载有额外约束：

1. 关键路径如 /System、/usr、/bin、/sbin 保持只读，root 权限也无法写入
2. 可通过终端命令 csrutil status 查看当前状态；修改需重启进入恢复环境执行 csrutil enable/disable
3. 注意：禁用 SIP 并不绕过 Gatekeeper 或公证要求，kext 仍需 Developer ID 签名 + Apple 公证 + 用户手动授权

Gatekeeper 与代码签名验证参数

Gatekeeper 控制应用首次运行前的校验逻辑，其行为由系统策略与文件属性共同决定：

1. 签名有效性检查依赖 codesign -dv --verbose=4 /path/to/app，重点观察 Authority 字段是否含 Apple 根证书或有效开发证书
2. 公证状态由 spctl --assess --type execute /path/to/app 返回结果判断，“accepted” 表示通过 Apple 公证服务
3. 应用隔离属性（quarantine）由 xattr -l /path/to/app 查看，批量清除用 sudo xattr -rd com.apple.quarantine /path，但仅建议用于可信本地路径

第三方安全组件的强制策略参数

如 Microsoft Defender for Endpoint，其篡改防护（Tamper Protection）提供细粒度控制：

1. 支持三种模式：Disabled（关闭）、Audit（仅记录操作）、Block（阻止所有篡改）
2. 命令行配置：sudo mdatp config tamper-protection enforcement-level --value block
3. MDM 策略（如 Intune/Jamf）下发的设置优先于本地命令，且会覆盖 Microsoft Defender 门户中的配置