mac-security-audit

name

mac-security-audit

description

Run a comprehensive READ-ONLY macOS security audit and triage the findings. Checks open/listening ports and external exposure, firewall + stealth, SSH and remote access (Screen Sharing, ARD), VPN/tunnels (Tailscale, WireGuard, reverse SSH), persistence (LaunchAgents/Daemons, cron, login hooks, shell rc, BTM / background items, system & network extensions, kext, authorization plugins), trusted root certificates (MITM vector), running process locations & code signatures, plaintext secrets (.env/.netrc/.aws/shell history — paths only), SSH key hygiene + authorized_keys, users/admins/autologin, login history, recent files, browser extensions, TCC privacy permissions (Accessibility, Input Monitoring, Screen Recording, Full Disk Access), and leaked API tokens in AI agent session logs (Claude Code / Codex / Cursor / Windsurf), OS update status, code signatures of installed apps, app provenance (quarantine), backups (Time Machine) and screen-lock settings, browser saved-password counts, IDE extensions (VS Code/Cursor/Windsurf), an outbound connection map (beaconing/C2), keychains, privilege-escalation vectors (sudoers, world-writable PATH, DYLD), and sharing services. Produces a Markdown report and explains what is normal vs suspicious; never changes anything without explicit confirmation. Use when asked to audit Mac security, check for suspicious processes / open ports / outside access, review what is exposed, or "проверить безопасность мака / открытые порты / доступ снаружи".

macOS Security Audit

Аудит безопасности macOS: запуск read-only сбора + осмысленный разбор находок.

Шаги

1. Запусти ядро — скрипт mac-security-audit.sh лежит рядом с этим SKILL.md, в директории скилла (ничего не меняет в системе):

   bash "<директория-этого-скилла>/mac-security-audit.sh"
   

   Скрипт пишет Markdown-отчёт на Рабочий стол и выводит путь в конце.

2. Прочитай отчёт и проведи триаж по docs/CHECKS.md. Для каждой секции — что норма, что требует внимания. Интерпретируй, не пересказывай сырой вывод.

3. Sudo / TCC. Часть проверок (pf, список профилей конфигурации) требует sudo, а TCC.db — Full Disk Access у терминала. Если sudo недоступен (неинтерактивно) или нет FDA — дай пользователю точные команды для запуска в его терминале; не пытайся обойти защиту.

Правила безопасности (соблюдать строго)

• Скрипт только читает — не добавляй в него изменяющих команд.
• Ничего деструктивного без явного подтверждения пользователя.
• Перед фиксом объясни: что меняется, что может сломаться, как откатить (откаты в docs/CHECKS.md).
• Перед удалением сертификатов/ключей — бэкап.
• Не запрашивай и не логируй пароли/passphrase.
• Не публикуй отчёт — в нём приватные данные. Делиться можно только скриптом.

Формат ответа

Сводка (критичных/предупреждений) → разбор по приоритету (🔴→🟡→🟢) с рисками простым языком и фиксами → чек-лист ручных действий (sudo/GUI/TCC) в конце.

Полный справочник «норма / подозрительно / фикс с откатом» — в docs/CHECKS.md.