> ## Documentation Index
> Fetch the complete documentation index at: https://hilt.ai/docs/llms.txt
> Use this file to discover all available pages before exploring further.

# 设备端检测与响应

> macOS 采集器内的设备端检测引擎：规则族、分级与内核内响应。

macOS 采集器内嵌设备端检测引擎，在事件发生时于本机评估内核事件。本节说明引擎关注什么，以及发现如何进入控制台。

原始遥测见 [事件覆盖](https://hilt.ai/docs/zh/macos-collector/event-coverage.md)。相关控制台中心页见 [恶意软件](https://hilt.ai/docs/zh/dashboard/malware.md)、[采集器](https://hilt.ai/docs/zh/dashboard/collectors.md)（凭据 / 文件标签）、[网络](https://hilt.ai/docs/zh/dashboard/networks.md) 与 [总览](https://hilt.ai/docs/zh/dashboard/overview.md)。

***

## 检测发生在哪里

检测在 **端点上、ESensor 内部** 运行，在事件离开 Mac 之前完成。引擎位于 Apple Endpoint Security 的 AUTH 路径上，因此可以 **在内核中拒绝操作**，而不仅是事后报告。每条被评估的事件都携带代码签名信任与应用归属 — 规则对 *谁在行动* 打分，而不只是 *发生了什么*。

***

## 规则族

| 族 | 监视内容 | 延伸阅读 |
| - | - | - |
| **Tamper（篡改）** | Gatekeeper 隔离标记移除、配置描述文件变更、针对 agent 的攻击 | [篡改](https://hilt.ai/docs/zh/macos-collector/detections/tamper.md) |
| **Persistence（持久化）** | Launch agents、daemons、login items | [持久化](https://hilt.ai/docs/zh/macos-collector/detections/persistence.md) |
| **Credential & privacy** | 钥匙串、浏览器存储、TCC、摄像头/麦克风 | [凭据](https://hilt.ai/docs/zh/dashboard/credentials.md) |
| **Data movement** | 可移动介质写入、异常出站 | [文件](https://hilt.ai/docs/zh/dashboard/files.md)、[网络](https://hilt.ai/docs/zh/dashboard/networks.md) |

***

## agent 如何响应

| 状态 | 含义 |
| - | - |
| `blocked` | 内核中已拒绝 |
| `alerted` | 操作已完成；升高严重度的发现待审阅 |
| `logged` | 记录用于上下文与关联 |

严重度随行动者的代码签名判定缩放。采集器保护自身应用 bundle 与扩展 — 未授权的 kill/delete/rename 会在内核中被拒绝并作为 blocked 篡改发现上报。

***

## 共享发现布局

发现通常包含：**发生了什么 · 负责进程 · 触及了什么 · 为何重要 · 证据 · 建议操作**，以及严重度/状态与负责应用的信任判定。

***

## 内核基础（为何 macOS 行看起来不同）

每条 Endpoint Security 事件可携带：

* **代码签名身份** — platform、Developer ID、ad hoc、unsigned/invalid
* **应用归属** — 拥有应用，而不仅是 `comm`

因此持久化与篡改的严重度可由 *谁* 行动驱动。细节见 [事件数据模型](https://hilt.ai/docs/zh/macos-collector/event-data-model.md)。

***

## 从发现到仪表盘

发现使用与遥测相同的认证摄取路径。在 [恶意软件](https://hilt.ai/docs/zh/dashboard/malware.md) 审阅，并在 [日志](https://hilt.ai/docs/zh/dashboard/logs.md)（macOS 范围）深潜证据。

> [!NOTE]
>
> 检测规则随采集器发布并版本化。agent 头上的策略版本记录 Mac 正在运行的规则集。


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.