随着OS X恶意软件越来越多地成为新闻（请参阅Flashback Trojan问题），我应该采取什么措施来提高Mac的安全性并减少对恶意软件的暴露？

到目前为止，我在做什么：

• 跟上OS X系统补丁
• 安装了防病毒软件包并及时了解相关更新
• 分隔了我的常规用户登录名和管理员登录名
• 保持第三方软件为最新（Firefox，Flash等）
• 研究，扫描并限制我下载的内容
• 使用adblocking和JS阻止浏览器扩展

我还有其他合理的措施可以提高机器的安全性吗？对于软件或安全性最佳做法的任何提示/建议，将不胜感激。

网页浏览

最大的潜在危险来自“互联网”。My Mac在其大部分运行时间都在线，而Web浏览器是Mac上最常用的应用程序之一。

因此，最重要的规则是：

• 仔细上网
• 不只是下载您发现的任何软件

浏览器选择

浏览器的选择，配置和扩展提供了用于配置安全性和隐私性的各种选项。

我喜欢使用Chrome，因为它以

• 严格的沙箱
• 更新本身，它的扩展和Flash插件自动
• 开放扩展设计

Safari的扩展设计受到更多限制，导致Safari 的JavaScriptBlocker不能像Chrome或Firefox的类似扩展那样起作用：例如，未阻止Web错误。

Chrome被认为非常安全。连续三年（2009年至2011年）在Pwn2Own黑客大赛中并未被利用。2012年是团队首次展示了在Chrome中使用零时差漏洞的情况。

德国联邦信息安全局（BSI）（类似于美国的NIST）建议使用Chrome，因为它具有沙盒技术和自动更新功能。

爪哇

Chrome默认已禁用Java，并在每次需要运行时询问您。您也可以为Safari禁用Java。大多数情况下，您都不会错过：

• Safari偏好设置→安全性→ 取消选中 启用Java
• 打开/Applications/Utilities/Java Preferences.app→ 取消选中 启用applet插件和Web Start应用程序

其他选择

• 系统偏好设置→常规→ 选中自动更新安全下载列表

手动打开Safari下载：

• Safari首选项→常规→ 下载后取消选中打开“安全”文件

Flash和PDF查看器

仅从官方网站下载Adobe Flash 。但是，您不再需要手动更新。Mac的最新Flash更新添加了自动更新。

在Safari中，您可以使用ClickToFlash扩展程序手动允许Flash在浏览器中运行。

您无需使用Adobe的PDF查看器。苹果的预览版也可以在Safari中使用。您可以在此处删除Adobe插件：

• /Library/Internet Plug-ins/AdobePDFViewer.plugin

密码

要创建密码，您可以使用OS X提供的密码助手。转到/Applications/Utilites/Keychain Access.app→单击左下角的加号→单击键符号。

广告屏蔽列表

该的Adblock和Adblock Plus的扩展提供名单，以提高您的隐私和安全。

• http://adblockplus.org/en/subscriptions

列表被命名为：

• EasyPrivacy：隐私保护
• 恶意软件域：恶意软件防护
• 反社会：阻止社会融合。

您的第一点（“保留OS X系统修补程序”）可能是最重要的。如果您跟踪OS X上的漏洞利用历史，则大多数漏洞来自：

• 爪哇
• 闪
• PDF文件
• 苹果浏览器
• 授予未知应用程序特权或单击未知链接

我不是安全专家，但是似乎限制您对这些内容的访问将大大降低您的访问量。

爪哇

如果不需要Java，则不应安装Java；如果需要，则应在使用Java时将其打开。

闪

Flash也是如此。如果您选择使用Safari，请抓住Chrome，然后切换到Chrome浏览器中使用Flash打开页面（仅需要Flash的页面）。Chrome有一个用于Flash的沙箱，被认为非常安全。

PDF文件

应用Apple的补丁程序（最终）应该使您免受任何PDF攻击。使用OS X的Preview来查看PDF而不是Adobe Acrobat也是一个好主意。

苹果浏览器

使浏览器保持最新状态并限制使用的扩展数量是一个好主意。Safari具有“下载后打开安全文件”选项。如果要调整安全性，最好将其关闭。Safari还包括恶意软件检测。最新的Chrome和Firefox也是不错的浏览器选择。

授予未知应用程序特权或单击未知链接

小心点击链接以及要求管理员特权的应用程序，还有助于阻止特洛伊木马和恶意软件做坏事。如果某服务已向您发送了有关您需要采取措施的电子邮件通知，那么您最好使用自己的书签来访问该网站，如果您怀疑该电子邮件的来源，则不要单击该电子邮件的链接。

许多不同的长密码

使用1Password之类的东西来生成和存储密码会有所帮助，因为这意味着您为每个服务使用不同的密码，而且它们可能是看似随机的字母和数字组成的庞大字符串。这是我刚刚生成的一个示例：lyLEnrFDnoDoBoS90PJZ。这样做还意味着您可以确保您的主计算机（和1Password）密码永远不会用于网站或Web服务。

长密码需要很长时间才能破解暴力攻击。而且，为所有内容使用不同的密码意味着一项被盗用的服务不会为攻击者提供您用于其他服务的密码。

1Password有很多替代品，包括OS X的内置钥匙串（OS X免费提供）。

跟随Mac技术博客

如果所有其他方法都失败了，并且您容易受到某种攻击，那么您将希望尽快发现。很有可能这将是重大技术新闻，因此关注一些热门的Mac技术网站应在一天左右的时间内通知您该问题，您可以采取必要的措施。最近的Flashback木马已经是个大新闻。我发现了它，因为我关注了Daring Fireball和Macworld。（它使用Java漏洞，因此在这种情况下禁用或不安装Java可能会节省您的时间。）

那或多或少。我还喜欢在某种类型的VM中运行可能不安全的东西（我使用Parallels，但是为此，免费的VirtualBox可以很好地工作）；Parallels 7可以从Lion恢复映像自动安装虚拟Mac映像，这对于这种沙箱非常方便。（是的，在VM中运行Lion现在是合法的。）

使用常识。这是随时使用任何系统时最重要的事情。我已经使用Mac大约十年了。我从未安装过任何防火墙或病毒扫描程序，始终以管理员帐户的身份全职工作，始终下载并安装了各种应用程序，并且从未遇到过有关安全性的任何问题。

Mac上存在的大多数“恶意软件”甚至都不是严重的病毒，而是突然需要管理员密码的“照片”等。您可以通过安装各种保护软件来获得自己所希望的偏执狂，不敢下载诸如此类的东西，但这真的解决了什么吗？我对此表示严重怀疑。安装惹恼您的安全软件并不是购买Mac的目的，而是属于Windows Vista。

同样，此答案的底线是使用您的常识。考虑一下您要下载和安装的内容以及授予管理员的权限，但是不要为自己疯狂而过度保护自己。您可以安装最好的安全装置，但是只要您保持打开状态，这将无济于事。Mac OS X已经具有相当先进的安全系统，安装其他十个安全系统将无济于事。

您为适应这些“进步”而改变生活的时间越多，就越能影响自己。确保您现在受到某些恶意软件感染的风险较低，但是系统受到反病毒扫描的破坏，您的密码通常太长且令人讨厌输入，您因为使用了偏执狂而没有尝试太多新的应用程序，并且削弱了通过禁用Java进行Web浏览体验。

不要傻，有常识，只是放松一点。

…安装了防病毒软件包…JS阻止了浏览器扩展…

HTTP数据流

如果您发现一个信誉良好的反恶意软件产品，该产品具有可以访问HTTP数据流的扫描引擎，则可以采用不太严格的方法来阻止JavaScript。

可用性

我不知道这样的产品是否适用于OSX。

我目前的猜测是，面向企业的解决方案将比针对特定平台的面向消费者的解决方案更容易找到。

背景

恶意软件，但仅一天之内| 裸机安全性（2009-11-16）：

…任何能够访问HTTP数据流的扫描引擎都应该能够应付，因为它具有渲染时所需的所有相关上下文数据。

除了暴力破解外，解决此问题的唯一真实方法是使用“及时”检测（也称为按访问）…

为了回应微博帖子，SophosLabs写道：

…在访问扫描中，仅扫描磁盘上的文件，而不扫描浏览器的网络流量。

检测“网络错误”-是否不扫描浏览器的网络流量？（2010-11-10）得到了Sophos的更详细答复。关键点：

…几乎所有恶意代码的最终登陆站点都将在执行之前保存在永久存储中……

这就留下了与其他登陆网站有关的恶意代码的问题 -可能超出了开篇问题的范围。

摘要和审查

JW8，此时您的六个点似乎很平衡。也许在以后的审查中考虑数据流-威胁情况以及可供消费者使用的反恶意软件产品的范围可能会发生变化。

该问题已经包含一套基本的良好实践。

我想在这里补充两点：

选择一个安全的文件系统

在Case sensitive, Journaled文件系统上安装正在运行的MacOSX 。这样的文件系统不能容忍任何将一个名为/tmp/w0rm.log另一个名为的文件混淆的应用/tmp/W0rm.log。

然后，任何编写不当的应用程序和许多垃圾软件都将无法安装或无法在墙上运行。使用这样的sensitive文件系统，您可以避免和检测大多数这些危险的应用程序。

控制防火墙

通过命令防火墙，我的意思是这是防御武器。然后，这不仅是一项魔术功能，您必须打开它，所有不良的直接攻击都将被阻止。

阅读您的防火墙日志文件，类似于： /var/log/ipfw.log或，/var/log/appfirewall.log 然后根据您在那玩耍的猎物来决定采取的纠正措施：

• 分析与您甚至都不知道名称的服务器有关的所有未知连接；
• 检测并阻止不需要的端口扫描；
• 检测并关闭不需要的服务；
• 检测并关闭Mac的任何遥控器；
• 在您的无线网络或Internet的另一端（以慢速仅2 s的距离ping）中检测到不受欢迎的邻居。