macOS 使用 log show 进行系统安全性日志审计-Mac OS-PHP中文网

macos unified logging 安全审计关键在聚焦四类高价值事件：认证活动、权限异常、可疑进程行为、系统完整性变动；需结合时间窗口、结构化输出、多字段关联等技巧提升效率，log show 并非开箱即用工具。

macos 的 unified logging 系统是安全审计的核心数据源，但 log show 本身不是“开箱即用”的安全审计工具——它需要明确目标、合理筛选和上下文判断。真正有效的安全性日志审计，关键不在“看全”，而在“看准”：聚焦认证行为、权限变更、进程异常、敏感操作四类高价值事件。

系统日志不会主动标记“这是攻击”，但会如实记录底层动作。以下是最具安全意义的查询方向：

登录与认证活动：包括本地图形登录、SSH 登录、sudo 提权、钥匙串访问等
示例命令：
log show --predicate 'subsystem == "com.apple.securityd" AND eventMessage contains "auth" OR eventMessage contains "login"' --last 24h
更精准可加：AND process IN {"sshd", "loginwindow", "securityd"}
权限与签名异常：未签名进程启动、TCC 权限被拒绝、代码签名验证失败
示例命令：
log show --predicate 'eventMessage contains "denied" AND (subsystem == "com.apple.TCC" OR subsystem == "com.apple.securityd")' --last 12h
补充查内核级签名失败：log show --predicate 'subsystem == "com.apple.kernel" AND eventMessage contains "signature"
可疑进程行为：后台进程读取敏感路径（如钥匙串、密钥文件）、调用危险 API（如 ptrace、task_for_pid）
示例命令：
log show --predicate 'eventMessage contains "/Library/Keychains/" OR eventMessage contains "ssh-agent" OR eventMessage contains "private key"' --last 7d
注意：这类关键词需结合进程名交叉验证，避免误报
系统完整性变动：SIP 相关警告、launchd 加载非标准守护进程、内核扩展加载尝试（尤其在 Catalina 及以后）
示例命令：
log show --predicate 'subsystem == "com.apple.launchd" AND eventMessage contains "load" OR eventMessage contains "start"' --last 48h | grep -i "com\|org\." | head -20
重点观察非苹果签名的 bundle ID（如 com.example.malware）

原始日志量大且混杂，直接 log show 易淹没关键信息。建议组合使用以下方法：

macos-suite-readonly

macOS 只读查询：Mail 未读、Calendar 日程、Notes 搜索、Stocks 行情（输出 JSON）。

下载

时间窗口必须具体：避免无限制查询（如 --last 30d），优先用 --start "2026-07-06 14:00:00" 锁定可疑时段；若不确定，先用 --last 1h 快速探查实时动态
输出结构化便于分析：添加 --json 参数导出为 JSON 格式，方便用 jq 过滤或导入 SIEM 工具
例如：log show --predicate 'subsystem == "com.apple.TCC"' --last 6h --json > tcc-audit.json
排除低价值干扰项：默认日志含大量 info/debug 级别条目，审计时建议加 --level info 或 --level error 限定严重等级，或用谓词排除：NOT (eventMessage contains "info" OR eventMessage contains "debug")
关联多字段缩小范围：单靠关键词易误判，应叠加进程名、子系统、用户 ID 等维度
例如查某用户 sudo 行为：log show --predicate 'process == "sudo" AND eventMessage contains "COMMAND" AND senderImageUUID == "xxx-xxx-xxx"'（UUID 可从 log stats 获取）

log show 能覆盖大部分用户态和系统服务事件，但以下场景它无法提供完整证据链：

文件级读写操作不记录路径：Unified Logging 不记录 open()/read() 具体文件名，仅记录挂载点或卷事件（如 com.apple.filesystems 子系统）。真要审计文件访问，需用 fs_usage -f filesys 实时抓取，或部署 Endpoint Security 类 EDR 工具
用户级日志不在 unified logging 中：~/Library/Logs/ 下的应用日志（如 VS Code、Docker）是明文文本，log show 查不到，需单独 grep -r "token\|password" ~/Library/Logs/
旧式 syslog 文件仍存在但已弃用：/var/log/system.log 等文件受 SIP 保护，普通用户不可读，且内容远不如 unified logging 丰富；除非调试遗留服务，否则无需优先查看
内核级隐蔽行为难捕获：Rootkit 或内核模块注入可能绕过用户态日志。此时需依赖第三方内存取证工具（如 Volatility + macOS 插件）或定期检查 kextstat 输出

不追求全量扫描，而是建立可持续的轻量检查习惯：

每天花 2 分钟运行：
log show --predicate 'eventMessage contains "failed" OR eventMessage contains "denied"' --last 1h --level error
快速确认有无认证失败或权限拒绝突增
每周执行一次 TCC 审计：
log show --predicate 'subsystem == "com.apple.TCC"' --last 7d --json | jq -r '.events[] | select(.eventMessage | contains("prompt") or contains("authorized")) | "\(.timestamp) \(.process) \(.eventMessage)"' | sort | uniq -c | sort -nr
识别高频请求权限的应用
发现异常后，立刻用 log stream --predicate 'process == "可疑进程名"' 实时跟踪其后续行为