# macOS-三级等保现场测评命令单 LLMS index: [llms.txt](/wikis/llms.txt) --- > 示例版本：macOS Ventura 13 > 说明：Apple 官方支持文档可直接支撑“远程登录”使用 SSH 或 SFTP；“软件更新”用于检查系统更新；macOS 内置应用防火墙支持 Block all incoming connections、自动允许签名软件和 stealth mode 等配置。 ## 系统版本核查 ```bash sw_vers ``` - 预期现象：应显示 ProductName、ProductVersion、BuildVersion 等字段。
示例输出（节选）
ProductName:		macOS
ProductVersion:		13.5.2
BuildVersion:		22G91
```bash system_profiler SPSoftwareDataType ``` - 预期现象：应显示 System Version、Kernel Version、Boot Volume、Secure Virtual Memory 等软件信息。
示例输出（节选）
Software:

    System Software Overview:

      System Version: macOS 13.5.2 (22G91)
      Kernel Version: Darwin 22.6.0
      Boot Volume: Macintosh HD
      Secure Virtual Memory: Enabled
```bash uname -a ``` - 预期现象：应显示 Darwin 内核版本、主机名、架构等信息。
示例输出（节选）
Darwin demo-mac 22.6.0 Darwin Kernel Version 22.6.0: Wed Jul 26 21:31:31 PDT 2023; root:xnu-8796.141.3~1/RELEASE_X86_64 x86_64
## 网络配置核查 ```bash ifconfig ``` - 预期现象：应显示网络接口、IPv4/IPv6、MAC 地址等信息。
示例输出（节选）
en0: flags=8863<UP,BROADCAST,SMART,RUNNING,SIMPLEX,MULTICAST> mtu 1500
	ether a1:b2:c3:d4:e5:f6
	inet 192.168.1.10 netmask 0xffffff00 broadcast 192.168.1.255
	inet6 fe80::1234:5678:90ab:cdef%en0 prefixlen 64 secured scopeid 0x6
	media: autoselect
	status: active
```bash networksetup -listallnetworkservices ``` - 预期现象：应列出当前配置的网络服务名称。
示例输出（节选）
An asterisk (*) denotes that a network service is disabled.
Wi-Fi
Thunderbolt Ethernet
```bash scutil --dns ``` - 预期现象：应显示当前 DNS 解析器配置。
示例输出（节选）
DNS configuration

resolver #1
  nameserver[0] : 192.168.1.1
  nameserver[1] : 192.168.1.2
  if_index : 6 (en0)
## 账户与口令策略核查 ```bash dscl . list /Users ``` - 预期现象：应列出本地用户对象。
示例输出（节选）
daemon
nobody
root
admin
devuser
```bash dscl . -read /Users/root ``` - 预期现象：应显示 root 账户属性；若未启用 root，仍可用于核查账户对象信息。
示例输出（节选）
AppleMetaNodeLocation: /Local/Default
GeneratedUID: FFFFEEEE-DDDD-CCCC-BBBB-AAAA00000000
NFSHomeDirectory: /var/root
RecordName: root
UniqueID: 0
UserShell: /bin/sh
```bash pwpolicy -getaccountpolicies ``` - 预期现象：已配置账户口令策略时应输出策略 XML/plist；未配置时可能为空。
示例输出（节选）
Getting global account policies

+-------------------------------------------------------------------------------+
policyCategoryPasswordContent:
        policyIdentifier: maxFailedLoginAttempts
        policyContent: policyAttributeCurrentFailedAttempts < 5 ...
```bash sysadminctl -secureTokenStatus 用户名 ``` - 预期现象：应显示指定用户是否具有 Secure Token。
示例输出（节选）
Secure token is ENABLED for user devuser
```bash cat /etc/pam.d/authorization ``` - 预期现象：应显示本地认证相关 PAM 配置。
示例输出（节选）
auth       optional       pam_kanji.so
auth       optional       pam_cknso.so
auth       required       pam_opendirectory.so use_first_pass
account    required       pam_opendirectory.so
## 远程接入服务核查 ```bash systemsetup -getremotelogin ``` - 预期现象：应显示 Remote Login: On 或 Off。Apple 官方说明远程登录使用 SSH 或 SFTP。
示例输出（节选）
Remote Login: On
```bash systemsetup -getremoteappleevents ``` - 预期现象：应显示 Remote Apple Events: On 或 Off。
示例输出（节选）
Remote Apple Events: Off
```bash lsof -iTCP -sTCP:LISTEN -n -P ``` - 预期现象：应显示当前监听端口及对应进程。
示例输出（节选）
COMMAND   PID USER   FD   TYPE             DEVICE SIZE/OFF NODE NAME
launchd     1 root    8u  IPv4 0xa1b2c3d4e5f6      0t0  TCP *:22 (LISTEN)
rapportd  512 user    4u  IPv4 0xf6e5d4c3b2a1      0t0  TCP *:59241 (LISTEN)
```bash launchctl list | grep ssh ``` - 预期现象：启用 SSH 时通常可见 sshd 相关服务或进程标识。
示例输出（节选）
-	0	com.openssh.sshd
## 远程连接协议与算法核查 ```bash cat /etc/ssh/sshd_config ``` - 预期现象：应显示 SSH 服务端配置，可核查认证、访问控制和算法参数。
示例输出（节选）
#Port 22
#AddressFamily any
#ListenAddress 0.0.0.0
#PermitRootLogin prohibit-password
#MaxAuthTries 6
#PubkeyAuthentication yes
Subsystem	sftp	internal-sftp
```bash sshd -T | egrep 'ciphers|macs|kexalgorithms|hostkeyalgorithms|pubkeyacceptedalgorithms' ``` - 预期现象：应输出 SSH 服务端当前生效的算法配置。
示例输出（节选）
ciphers chacha20-poly1305@openssh.com,aes128-gcm@openssh.com,aes256-gcm@openssh.com,aes128-ctr,aes256-ctr
macs umac-64-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com
kexalgorithms curve25519-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512
hostkeyalgorithms ssh-ed25519,rsa-sha2-512,rsa-sha2-256
pubkeyacceptedalgorithms ssh-ed25519,rsa-sha2-512,rsa-sha2-256
```bash ssh -Q cipher ``` - 预期现象：应列出本机 OpenSSH 支持的对称加密算法。
示例输出（节选）
chacha20-poly1305@openssh.com
aes128-gcm@openssh.com
aes256-gcm@openssh.com
aes128-ctr
aes256-ctr
```bash ssh -Q mac ``` - 预期现象：应列出本机 OpenSSH 支持的 MAC 算法。
示例输出（节选）
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com
umac-64-etm@openssh.com
umac-128-etm@openssh.com
```bash ssh -Q kex ``` - 预期现象：应列出本机 OpenSSH 支持的密钥交换算法。
示例输出（节选）
curve25519-sha256
curve25519-sha256@libssh.org
ecdh-sha2-nistp256
diffie-hellman-group14-sha256
diffie-hellman-group16-sha512
```bash ssh -Q key ``` - 预期现象：应列出本机 OpenSSH 支持的主机密钥/公钥算法。
示例输出（节选）
ssh-ed25519
ssh-ed25519-cert-v01@openssh.com
rsa-sha2-512
rsa-sha2-256
ssh-rsa
```bash ssh -V ``` - 预期现象：应输出 OpenSSH 版本号。
示例输出（节选）
OpenSSH_9.0p1, LibreSSL 3.3.6
## 安全审计核查 ```bash ls -l /var/audit ``` - 预期现象：启用 BSM 审计时应显示审计日志目录及文件。
示例输出（节选）
total 24
drwx------  3 root  wheel     96 Aug 20 09:00 .
drwxr-xr-x  6 root  wheel    192 Aug 20 09:00 ..
-rw-r-----  1 root  wheel   8192 Aug 21 17:32 20260821093000.not_terminated.demo-mac
```bash praudit /var/audit/current ``` - 预期现象：当前审计日志文件存在时应输出可读审计记录；文件不存在时需结合现场确认审计状态。
示例输出（节选）
header,133,11,user authentication,0,Fri Aug 21 17:32:01 2026, + 120 msec
subject,devuser,root,wheel,devuser,501,99,,0,0,192.168.1.10
return,success,0
trailer,133
```bash log show --last 1d ``` - 预期现象：应输出最近一天统一日志；输出通常较长。
示例输出（节选）
Timestamp                       Thread     Type        Activity             PID
2026-08-21 09:00:12.345001+0800 0x1a2b     Default     0x0                  111   launchd: Bootstrapping com.apple.sshd
2026-08-21 09:00:13.456002+0800 0x3c4d     Default     0x0                  222   sshd: Server listening on 0.0.0.0 port 22.
```bash last ``` - 预期现象：应显示登录记录。
示例输出（节选）
devuser   pts/1        192.168.1.55     Fri Aug 21 16:02   still logged in
devuser   console      Fri Aug 21 09:00   still logged in
reboot    ~            Fri Aug 21 08:58
shutdown  ~            Thu Aug 20 19:30
## 边界防护核查 ```bash /usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate ``` - 预期现象：应显示应用防火墙开关状态。
示例输出（节选）
Firewall is enabled. (State = 1)
```bash /usr/libexec/ApplicationFirewall/socketfilterfw --getblockall ``` - 预期现象：应显示是否启用 Block all incoming connections。
示例输出（节选）
Block all incoming connections is disabled
```bash /usr/libexec/ApplicationFirewall/socketfilterfw --getstealthmode ``` - 预期现象：应显示 stealth mode 是否启用。
示例输出（节选）
Stealth mode enabled
```bash pfctl -s info ``` - 预期现象：启用 PF 时应显示包过滤器状态信息。
示例输出（节选）
Status: Enabled for 5 days 03:12, Debug: Urgent
State Table                          Total             Rate
  current entries                        4
Searches                         18234567         41.15/s
Matches                             23451          0.05/s
Invalid Packets                         0          0.00/s
```bash pfctl -sr ``` - 预期现象：存在 PF 规则时应输出规则集。
示例输出（节选）
scrub-anchor "com.apple/*" all fragment reassemble
block drop in log proto tcp from any to any port = 23
pass out on en0 all
## 系统完整性与本地安全增强核查 ```bash csrutil status ``` - 预期现象：应显示 System Integrity Protection status: enabled 或 disabled。
示例输出（节选）
System Integrity Protection status: enabled.
```bash spctl --status ``` - 预期现象：应显示 assessments enabled 或 disabled，用于核查 Gatekeeper 状态。
示例输出（节选）
assessments enabled
```bash fdesetup status ``` - 预期现象：应显示 FileVault 是否开启。
示例输出（节选）
FileVault is On.
## 最小安装与补丁核查 ```bash softwareupdate --list ``` - 预期现象：应列出可用更新；若无更新，通常会提示未发现新软件。
示例输出（节选）
Software Update found the following new or updated software:
   * Label: macOS Ventura 13.6-22G120
	Title: macOS Ventura 13.6, Size: 1832476KiB, Recommended: YES,
```bash softwareupdate --history ``` - 预期现象：应显示历史安装更新记录。
示例输出（节选）
Display Name                                    Version     Date                Source
macOS Ventura 13.5                              13.5        2026-07-28 10:12:34 Apple
Safari                                          16.6        2026-07-28 10:05:01 Apple
XProtectPlistDataUpdate                                     2026-08-18 04:30:00 Apple
```bash system_profiler SPApplicationsDataType ``` - 预期现象：应列出已安装应用信息；输出通常较长。
示例输出（节选）
    Terminal:
      Version: 2.13
      Obtained from: Identified Developer
      Last Modified: 2026/8/1, 09:30
      Kind: Intel
      Signed by: Software Signing, Apple Code Signing Certification Authority...
## 时间同步与计划任务核查 ```bash systemsetup -getusingnetworktime ``` - 预期现象：应显示是否使用网络时间同步。
示例输出（节选）
Network Time: On
```bash systemsetup -getnetworktimeserver ``` - 预期现象：应显示当前网络时间服务器。
示例输出（节选）
Network Time Server: time.internal.example.com
```bash systemsetup -gettimezone ``` - 预期现象：应显示当前时区。
示例输出（节选）
Time Zone: Asia/Shanghai
```bash crontab -l ``` - 预期现象：应显示当前用户计划任务；无任务时可能提示 no crontab。
示例输出（节选）
*/5 * * * * /usr/local/bin/healthcheck.sh >> ~/healthcheck.log 2>&1
```bash launchctl list ``` - 预期现象：应列出当前 launchd 管理的任务和服务；输出通常较长。
示例输出（节选）
PID	Status	Label
-	0	com.apple.coreservices.uiagent
512	0	com.apple.rapportd
-	78	com.openssh.ssh-agent
## 入侵防范核查 ```bash grep -E '^(PermitRootLogin|LoginGraceTime|MaxAuthTries|AllowUsers|DenyUsers|AllowGroups|DenyGroups)' /etc/ssh/sshd_config ``` - 预期现象：应能看到 SSH 暴力破解防护与访问控制相关参数。
示例输出（节选）
PermitRootLogin no
LoginGraceTime 30
MaxAuthTries 4
AllowUsers devuser audituser
```bash sshd -T | egrep 'permitrootlogin|logingracetime|maxauthtries|allowusers|denyusers|allowgroups|denygroups' ``` - 预期现象：应输出 SSH 服务端当前生效的对应参数值。
示例输出（节选）
permitrootlogin no
logingracetime 30
maxauthtries 4
allowusers devuser audituser
denyusers none
allowgroups none
denygroups none
```bash log show --predicate 'eventMessage contains "Failed password"' --last 1d ``` - 预期现象：如有 SSH 失败登录事件，应在统一日志中出现匹配记录；无事件时可能为空。
示例输出（节选）
2026-08-21 14:22:31.102004+0800 0x5e6f Default 0x0 333 sshd: Failed password for invalid user admin from 203.0.113.77 port 51234 ssh2
2026-08-21 14:22:38.210115+0800 0x5e70 Default 0x0 333 sshd: Failed password for invalid user admin from 203.0.113.77 port 51236 ssh2
## 安全基线与完整性核查 ```bash defaults read /Library/Preferences/com.apple.loginwindow LoginwindowText ``` - 预期现象：如配置了登录告警文本，应输出对应内容；未配置时可能报错或无输出。
示例输出（节选）
本系统仅限授权人员使用，操作将被审计。
```bash launchctl list | grep auditd ``` - 预期现象：启用审计时应显示 auditd 相关服务；未启用时可能无结果。
示例输出（节选）
245	0	com.apple.auditd