设备端检测与响应

macOS 采集器内嵌设备端检测引擎，在事件发生时于本机评估内核事件。本节说明引擎关注什么，以及发现如何进入控制台。 原始遥测见 事件覆盖。相关控制台中心页见 恶意软件、采集器（凭据 / 文件标签）、网络 与 总览。

---

检测发生在哪里

检测在 端点上、ESensor 内部 运行，在事件离开 Mac 之前完成。引擎位于 Apple Endpoint Security 的 AUTH 路径上，因此可以 在内核中拒绝操作，而不仅是事后报告。每条被评估的事件都携带代码签名信任与应用归属 — 规则对 谁在行动 打分，而不只是 发生了什么。

---

规则族

---

agent 如何响应

严重度随行动者的代码签名判定缩放。采集器保护自身应用 bundle 与扩展 — 未授权的 kill/delete/rename 会在内核中被拒绝并作为 blocked 篡改发现上报。

---

共享发现布局

发现通常包含：发生了什么 · 负责进程 · 触及了什么 · 为何重要 · 证据 · 建议操作，以及严重度/状态与负责应用的信任判定。

---

内核基础（为何 macOS 行看起来不同）

每条 Endpoint Security 事件可携带：

• 代码签名身份 — platform、Developer ID、ad hoc、unsigned/invalid
• 应用归属 — 拥有应用，而不仅是 comm

因此持久化与篡改的严重度可由 谁 行动驱动。细节见 事件数据模型。

---

从发现到仪表盘

发现使用与遥测相同的认证摄取路径。在 恶意软件 审阅，并在 日志（macOS 范围）深潜证据。