XProtect：你的 Mac 已经自带的杀毒功能。
每台 Mac 都带着 XProtect，这是 Apple 内置的、针对已知恶意软件的防护。它在后台默默工作，也正因为这样，你很少看到它查了什么。这里说清楚它做什么、管不到什么，以及怎么确认它是最新的。
免费 · macOS 13 及以上 · Apple 芯片与 Intel
XProtect 做什么
认出已知的恶意软件
XProtect 使用 Apple 为已发现的恶意软件编写的特征规则（YARA），并按自己的节奏更新，和 macOS 系统更新分开进行。
在 App 运行时检查
App 第一次打开、App 被改动过，以及特征规则更新之后，它都会检查。发现已知恶意软件时，macOS 会阻止它运行，并提示你移到废纸篓。
清除部分感染
较新的 macOS 还会在后台查找它认识的恶意软件，并把它清除。
和 Gatekeeper、公证一起工作
Gatekeeper 和公证检查 App 由谁签名、是否经过 Apple 扫描；XProtect 负责找出 Apple 已经知道的恶意软件。
XProtect 管不到的地方
- 它只认识 Apple 知道的东西。新出现的恶意软件，或者改动到能绕过规则的变种，在 Apple 加入对应特征之前都可能正常运行。
- 更新要靠一个设置。XProtect 的规则通过「安全响应和系统文件」下发；如果在软件更新的自动更新选项里关掉了「安装安全响应和系统文件」，它可能就跟不上了。
- 你看不到它在工作：没有 XProtect 窗口，没有扫描按钮，也没有它检查了什么的报告。
怎么确认 XProtect 是最新的
- 按住 Option 键，点按苹果菜单 →「系统信息」，再打开「软件」→「安装」，查看名称以 XProtect 开头的最近更新记录。
- 也可以在「终端」里运行 system_profiler SPInstallHistoryDataType，在输出里找 XProtect 的条目。
- 在「系统设置」→「通用」→「软件更新」里，点按「自动更新」旁边的信息按钮，确认「安装安全响应和系统文件」已经打开。
OpenNavo 的系统体检会读出 XProtect 的版本和上次更新时间，超过 30 天没有更新时提醒你，并检查安全响应是否会自动安装。
OpenNavo 能补上什么
OpenNavo 不能取代 XProtect，它补上的是 XProtect 不会告诉你的那些检查：
用 ClamAV 扫描病毒
用开源引擎 ClamAV 做快速、全盘和定时扫描，通过 OpenNavo 安装的 App 装之前也会先扫描。
开机启动项
列出所有会自己启动的程序，标出签名和所属 App；有新的出现会提醒你。
签名体检
检查已安装 App 的签名和公证；开发者签名突然变了，会提醒你。
目录里的其他 Mac 安全 App
下面这些 App 也收录在 OpenNavo 的目录里，可以对照着了解。它们由各自的开发者发布，与 OpenNavo 没有合作关系。
常见问题
只靠 XProtect 够吗？
XProtect 能阻止 Apple 有特征的恶意软件，而且会自己更新，所以请保持它开启并及时更新。但它认不出 Apple 还没收录的东西，也不会告诉你查了什么。再加一个扫描工具，再看看开机启动项，可以补上它不做的检查。
能关掉 XProtect 吗？
「系统设置」里没有关闭它的选项。它是 macOS 的一部分，和系统的其他部分一起受到保护。
XProtect 在 Mac 的什么位置？
它的规则放在系统目录 /Library/Apple/System/Library/CoreServices/XProtect.bundle 里，受 macOS 保护，不能随意改动。你不需要打开它，上面的更新记录就能看出它最近一次是什么时候更新的。
XProtect 和 ClamAV 有什么不同？
两者都靠已知恶意软件的特征比对文件，但彼此独立：XProtect 用 Apple 自己的规则，自动运行；ClamAV 是开源引擎，有自己的病毒库，在你扫描时运行。OpenNavo 用 ClamAV 扫描，同时显示 XProtect 的状态。
