Controles de la plataforma — Gatekeeper, XProtect, SIP y TCC, y lo que anotan

Tres controles trabajan juntos al abrir un programa descargado. Gatekeeper decide si un programa sin firma o sin respaldo puede arrancar. La notarización es el servicio de Apple que revisa software distribuido fuera de la tienda de aplicaciones y emite un comprobante que el desarrollador adjunta; Apple puede revocarlo si el programa resulta malicioso. XProtect es el antivirus integrado: detecta software malicioso conocido por firmas, revisa al primer arranque, cuando un archivo cambia y cuando se actualizan las firmas, y recibe actualizaciones automáticas.

Un archivo descargado por un programa que lo soporta lleva el atributo extendido com.apple.quarantine, que es lo que activa la revisión de Gatekeeper. Por eso la telemetría de descargas importa: dice si el archivo pasó por esa puerta.

La protección de integridad del sistema (SIP, System Integrity Protection) impide que incluso procesos con privilegios de administrador modifiquen archivos y carpetas protegidos del sistema. Su estado se consulta con la herramienta csrutil status, y según la documentación de Apple solo se desactiva arrancando en el modo de recuperación del equipo, con el usuario físicamente delante, y se reactiva igual.

Por eso un SIP deshabilitado en un equipo de oficina es un hallazgo en sí mismo: no es algo que ocurra por accidente durante el uso normal, sino una decisión de configuración que alguien tomó con acceso al equipo. Puede tener una razón de desarrollo; aun así hay que preguntarla.

Abre la consola. La tabla postura es el estado que reporta el agente de cada equipo. Ejecuta postura | where sip == "deshabilitado".

Si Gatekeeper bloquea un programa de un desarrollador no identificado, el usuario puede autorizarlo desde Configuración del Sistema, en Privacidad y seguridad, con el botón «Abrir de todos modos» y su contraseña. Apple advierte que esa es la forma más común de que un Mac se infecte. El marco de seguridad lo anota como evento NOTIFY_GATEKEEPER_USER_OVERRIDE.

La fila no dice que el programa sea malicioso; dice que una persona decidió ignorar un aviso para ese archivo concreto, a una hora concreta. Es un punto de anclaje: lo que ocurra en minutos posteriores con ese programa merece lectura.

Ejecuta eventos_controles para ver los tres eventos del día.

El control de transparencia, consentimiento y control (TCC) hace que una aplicación necesite permiso para tocar datos protegidos del usuario: documentos, descargas, escritorio, y el acceso total al disco. El usuario los concede en Privacidad y seguridad. En una empresa, la gestión de dispositivos puede entregarlos por perfil (carga útil de política de preferencias de privacidad, PPPC), y el marco de seguridad anota los cambios con NOTIFY_TCC_MODIFY.

Cada servicio protegido tiene un nombre estable en las políticas y en los eventos, y ese nombre dice qué parte de los datos se abrió. En la tabla de ejemplo, el detalle trae el servicio concedido. Ejecuta eventos_controles | where evento == "NOTIFY_TCC_MODIFY".

Cuando XProtect detecta software malicioso conocido lo bloquea, y el marco de seguridad lo anota como NOTIFY_XP_MALWARE_DETECTED. Ese evento sí trae un veredicto, porque viene de una firma: el nombre de la firma que coincidió. Es una de las pocas filas del Mac que puedes buscar directamente en un caso, y la que más se acerca a una confirmación.

Aun así, un bloqueo no es el final: queda saber cómo llegó el archivo y si algo más corrió antes.

Ejecuta eventos_controles | where evento == "NOTIFY_XP_MALWARE_DETECTED".