EDRApp.app）通过环境进行配置，而非手动编辑配置文件。它内嵌两个 Apple 系统扩展——ESensor（Endpoint Security 遥测）和 NetFilter（逐流网络归因）——它们的行为由已签名的应用 bundle 以及经由 MDM 下发的系统策略决定。运维人员唯一可调的部分是 转发器 LaunchDaemon，它读取三个环境变量，并将传感器的遥测通过出站 HTTPS 发送到你的 Hilt edr-collector。
这里没有 CLI 向导，也无需 csrutil disable：采集器运行在一台常规的、经过加固的 Mac 上，并启用了系统完整性保护（SIP）。有关原因，请参阅 系统要求。
Forwarder settings
转发器是唯一具有运行时配置的组件。它在安装时设定，并注入到com.hilt.edr.forwarder LaunchDaemon 中。在独立安装时，你将这些参数作为环境变量传给安装程序；在MDM 托管安装时，打包后的转发器已内置了目标地址。
EDR_COLLECTOR_URL 并非硬编码。若未设置，转发器默认使用 http://127.0.0.1:8080，该地址仅适用于本地测试。真实部署必须将其指向你账户的 edr-collector 摄取端点——例如边缘网络负载均衡器（NLB）的 DNS 名称。漫游的 Mac 通过公共互联网访问该端点；无需 VPN。Ingest behavior
转发器是一个”简单发送器”：它 tail 发现项文件、将事件成批打包，并用与 Linux DLP 代理相同的传输信封 POST 出去，并标记machine.host_type = "macos"，以便富化流程按平台路由和规范化。
只有遥测行（携带
hdr 信封的行）会被发送；零散的发现项或心跳行会被忽略，因此采集器绝不会拒绝某个批次。转发器在发现项文件旁持久化一个字节偏移量（findings.ndjson.offset），因此重启后可精确地从上次停止之处恢复——不会重复发送，也不会跳过启动时的突发数据。
Host identity
每个 macOS 事件都会打上主机身份的标记，以便在整个机群中进行关联并在仪表盘中呈现。与 Linux 采集器不同——那里你要通过DAG_NODE_ID 显式设置节点标签——macOS 采集器自动从 Mac 本身派生其可读名称。
host_id 是 edr-collector 使用的分区键（对 host_id 取 FNV-64a 哈希），因此某一台 Mac 始终落在同一个 Kafka 分区上，其事件保持有序。device_name 是逐事件字段，而非分区键——重命名 Mac 会更新显示名称，而不会扰乱事件顺序。
device_name 跟随 macOS 的 ComputerName，而非网络主机名。如果你在系统设置中重命名 Mac，新的事件会自动携带新名称；没有可覆盖它的代理设置。On-disk layout
独立.pkg 会将应用安装到 /Applications；系统扩展从 bundle 内部激活，转发器的工作文件则位于 Application Support 下。
系统扩展本身由 macOS（
systemextensionsctl）管理，而非由 LaunchDaemon 管理——一旦扩展获得批准，操作系统便会启动并监管它们。
MDM-delivered configuration
对于零接触机群，采集器的系统策略由 MDM 下发，而非手动配置。正是这些描述文件使静默、无提示的安装成为可能；它们将 macOS 配置为信任并预授权采集器，并且与转发器的EDR_COLLECTOR_URL 相互独立（在托管路径下，该地址已内置进打包后的转发器中）。完整流程请参阅 通过 MDM 部署。
- 系统扩展策略按 Team ID（
MVMB6LCP2A，Cybe Corporation）自动批准 ESensor 和 NetFilter 扩展，因此用户永远不会看到”扩展已被阻止”的提示。这要求 Mac 已完成 MDM 注册（UAMDM）；但不要求受监管。 - PPPC 描述文件为 ESensor 扩展预先授予完全磁盘访问权限（
SystemPolicyAllFiles = Allow），每个 Endpoint Security 客户端都需要该权限来读取受保护的路径。它必须经由 Mac 所注册的 MDM 下发；在 macOS 11 及更高版本上，每台通过设备注册（用户自助或 ADE）加入 MDM 的 Mac 都自动获得监管状态，并静默接受该授权。
Endpoint Security 客户端要正常工作，必须拥有完全磁盘访问权限。在独立安装时，用户需在 系统设置 > 隐私与安全性 > 完全磁盘访问权限 中手动授予——该条目显示为 ESensor（“Hilt EDR Sensor”），而非”EDRApp”。MDM PPPC 描述文件会自动授予同样的权限。
What the configuration does not control
macOS 采集器有意暴露一个很窄的配置面。以下各项在设计上是固定的，不是可配置项：- 没有入站监听器。 无需开放端口、无绑定地址、无回连。唯一的网络活动是转发器向
EDR_COLLECTOR_URL发出的出站 HTTPS POST。 - 没有 SIP 或开发者模式开关。 采集器在启用 SIP 的情况下运行，因为应用和扩展经过 Developer ID 签名、携带用于 Endpoint Security 授权项的内嵌配置描述文件、使用了 Hardened Runtime，并由 Apple 公证和装订（stapled）。没有任何需要关闭的东西。
- 没有需要加载的内核扩展。 采集器是纯用户空间的系统扩展，构建于 Apple 的现代框架之上。没有 kext、没有
kextload、也无需批准任何旧式 KEXT。 - 设备端没有采样或规则配置。 用户空间的事件过滤（主要是高频的
file_open事件，占比约 95%+）内置于传感器中，不可调。异常评分与严重性判定在下游的富化阶段进行；设备端唯一的强制措施是固定的 ESensor AUTH 自我保护集，它在内核中拒绝对采集器的篡改。 - 没有事件内容开关。 采集器仅捕获元数据——进程、文件和网络事件头，以及代码签名和应用归因字段。它从不捕获文件内容、数据包负载、内存或凭据。