FileVault加密状态需每月验证：系统设置中确认“已开启”且终端执行sudo fdesetup status返回“FileVault is On.”，同时检查恢复密钥是否安全备份，并核实Apple芯片Mac的启动安全性策略设为“完整”。
macOS 系统安全不是一次设置就一劳永逸的事，而是需要定期检查、动态调整的持续过程。尤其在系统版本更新、硬件更换、账户变动或威胁环境变化后，原有配置可能失效或暴露新风险。关键在于建立可重复、可验证、轻量化的日常维护节奏。
自动更新策略必须显式确认
后台安全改进、安全性配置更新和系统数据文件默认开启，但不同 macOS 版本开关路径不同，且可能被误关。每次系统大版本升级后（如从 Sequoia 升至 Tahoe），需手动核对：
- 进入「系统设置」→「通用」→「软件更新」→「自动更新」→「更多信息」，确认“安装系统数据文件和安全性更新”已启用
- 进入「系统设置」→「隐私与安全性」→「后台安全改进」，确保“自动安装”处于开启状态
- 若使用企业 MDM 管理，还需检查设备管理服务中是否强制启用了这些策略，避免本地设置被覆盖
FileVault 加密状态需定期验证
FileVault 默认在 Apple Silicon Mac 上启用，但加密状态可能因恢复模式操作、系统重装或管理员误操作而关闭。建议每月执行一次快速检查：
- 打开「系统设置」→「隐私与安全性」→「文件保险箱」，查看是否显示“已开启”及加密进度（应为100%）
- 终端运行
sudo fdesetup status，返回 “FileVault is On.” 才表示有效激活 - 确认恢复密钥是否已安全备份——若使用 iCloud 备份，检查 iCloud 设置中“iCloud 钥匙串”和“高级数据保护”是否开启；若使用个人恢复密钥，确保其离线存储且未丢失
启动安全性策略不可忽略
搭载 Apple 芯片的 Mac 支持独立配置每个启动磁盘的安全等级（完整/中等/宽松）。攻击者可能通过外接启动盘绕过登录密码或 FileVault，因此必须主动审查：
- 开机按住电源键进入启动选项界面，按住 Command+R 进入恢复模式
- 顶部菜单栏选择「实用工具」→「启动安全性实用工具」
- 输入管理员密码后，确认当前启动磁盘的“安全启动”设为“完整”，“允许启动介质”设为“仅允许已签名的启动项”
- 若设备用于开发或测试，需临时调低策略，事后务必恢复，避免长期处于宽松状态
账户与权限配置需按需精简
管理员权限是恶意软件横向移动的主要跳板。日常使用中应严格区分角色，防止权限泛滥：
- 主账户保持标准用户权限，仅在安装系统级软件、修改网络设置等必要操作时切换至管理员账户
- 禁用自动登录：「系统设置」→「用户与群组」→ 点击左下锁图标解锁 → 取消勾选“自动登录”
- 隐藏管理员账户（非删除）：终端执行
sudo dscl . -create /Users/username IsHidden 1，避免被脚本暴力枚举 - 定期审查登录项与辅助功能授权：「系统设置」→「通用」→「登录项」、「隐私与安全性」→「辅助功能」，移除不明来源条目
不复杂但容易忽略
