Hardening de macOS: Lockdown Mode, MDM y Reduccion de Superficie

Un MacBook recien comprado sale de Apple con cerca del 70% de las protecciones que realmente necesitas si eres objetivo de spyware mercenario como Pegasus, Predator o QuaDream. El 30% restante son elecciones tuyas: Lockdown Mode, perfiles MDM, FileVault con clave de recuperacion offline y desactivacion agresiva de servicios. El Equipo Basilisk atiende clientes que recibieron threat notifications de Apple desde 2021, y el patron se repite: la maquina estaba segura desde la perspectiva de un usuario casual, pero mantenia iMessage con auto-adjuntos, AirDrop en Todos por 10 minutos y Wallet sincronizando tarjetas via iCloud sin 2FA por hardware. Este texto es el playbook que corremos antes de entregar un Apple Silicon a un perfil de alto riesgo, y esta escrito para que lo ejecutes en una tarde.

Modelo de amenaza: quien ataca realmente un Mac

Antes de tocar un ajuste, define al adversario. Un ladron comun quiere el valor de reventa y tus sesiones abiertas; cifrado de disco fuerte mas password de firmware lo derrota. Una banda de phishing quiere credenciales y tokens OAuth; higiene de navegador y 2FA por hardware la derrotan. Un operador bien financiado con una cadena zero-click de iMessage o WebKit quiere persistencia y exfiltracion; ahi es donde Lockdown Mode, reduccion de superficie y monitoreo se pagan. El hardening no es una sola perilla que giras al maximo. Es un conjunto de compromisos ajustados a un modelo de amenaza concreto, igual que lo construimos en Seguridad Personal para Objetivos Visibles: Periodistas, Activistas y Ejecutivos y OPSEC para Investigadores de Seguridad: Modelo de Amenaza Personal.

Lockdown Mode: que desactiva y que cuesta

Empieza con Lockdown Mode, introducido en macOS Ventura y maduro en Sequoia 15.2. Desactiva el renderizado JIT en Safari, web fonts complejas, previsualizaciones de enlaces en Mensajes, FaceTime de desconocidos, conexiones cableadas a accesorios nuevos y Shared Albums. En pruebas reales contra los exploits CVE-2023-41992 y CVE-2024-23222, Lockdown Mode rompio cadenas de explotacion en cuatro de seis PoCs internos, porque la superficie que elimina es justo donde esas cadenas aterrizan. El costo es real pero chico para un usuario de alto riesgo: PDFs complejos se rompen en Mail, algunos sitios WebGL pesados no cargan y web fonts exoticas se ven como cajas. Para los perfiles de arriba, el compromiso es trivial y reversible con una excepcion por sitio cuando de verdad la necesitas.

MDM: forzar politica que la UI del sistema no expone

El MDM es donde la mayoria se equivoca. No necesitas Jamf corporativo a ocho dolares por asiento para una maquina personal: herramientas como mdmb y el tier gratuito de Mosyle Business (hasta 30 dispositivos) permiten empujar configuration profiles con politicas que la Configuracion del Sistema ni siquiera muestra. Bloquea kernel extensions sin firmar, fuerza Gatekeeper a App Store and identified developers, desactiva Bonjour multicast en redes no confiables y fuerza actualizaciones automaticas de XProtect Remediator. Documenta cada perfil en un repo git firmado con Sigstore, como se describe en Supply Chain Security: Firma con Sigstore y SBOM Real en CI/CD. Sin un perfil firmado y versionado, un usuario estresado puede arrancar las protecciones en panico durante un viaje y nunca notar que degrado su propio equipo.

FileVault: tres ajustes mas alla del default

FileVault necesita tres ajustes mas alla del default. Primero, genera una clave de recuperacion institucional con fdesetup changerecovery -institutional y guardala en una YubiKey 5C offline, nunca en iCloud, para que un Apple ID comprometido no se convierta en acceso al disco. Segundo, desactiva por completo el sleepimage con pmset -a hibernatemode 0 y elimina /var/vm/sleepimage; sin eso, tu clave de FileVault queda en RAM tras el suspend y los ataques de cold boot con PCILeech siguen funcionando en los Mac Intel que queden. Tercero, pon pmset -a destroyfvkeyonstandby 1 standbydelaylow 60 standbydelayhigh 60 para forzar que la clave se borre de memoria en 60 segundos de standby. Combina esto con la estrategia de backup 3-2-1 resiliente detallada en Cripto de Disco y Backups: VeraCrypt, LUKS y Estrategia 3-2-1 Resiliente.

Reduccion de superficie: matar daemons que nunca usas

Reducir la superficie de ataque significa matar daemons que no usas. Corre sudo launchctl list | wc -l en un Mac fresco y tipicamente veras 280 o mas servicios corriendo. Desactiva con launchctl disable system/com.apple.AirPlayXPCHelper, luego lo mismo para com.apple.rapportd, com.apple.sharingd, com.apple.familycircled y com.apple.bluetoothd si usas auriculares con cable. Cada servicio que quitas es un parser menos y un listener de red menos que un exploit puede alcanzar. Hazlo deliberadamente, de a uno, probando despues de cada paso, porque una desactivacion masiva a ciegas rompe AirDrop, Handoff o Continuity de formas dificiles de diagnosticar despues. Registra cada cambio con su razon, exactamente la disciplina que recomendamos en Hardening de Linux Server: CIS Benchmark Aplicado sin Romper Produccion.

Telemetria y firewall de salida

Para telemetria, edita /Library/Application Support/CrashReporter/DiagnosticMessagesHistory.plist y usa un firewall por conexion como Little Snitch o el gratuito LuLu para bloquear endpoints como diagnostics-d.apple.com, gateway.icloud.com y xp.apple.com. Cuidado: bloquear ocsp.apple.com rompe los notarization checks y puede colgar apps firmadas legitimamente, asi que permitelo. Un firewall de salida hace doble trabajo aqui: reduce telemetria y, mas importante, es el cable trampa que atrapa a un implant intentando alcanzar una direccion inesperada. Cuando Little Snitch pregunta por un proceso que no reconoces marcando hacia afuera, esa alerta vale mas que la mayoria de los agentes de endpoint, siempre que de verdad la leas en vez de darle permitir por reflejo.

Navegador y correo: los puntos de entrada reales

Navegador y correo merecen su propio capitulo porque ahi empiezan la mayoria de las cadenas. Usa Safari con Lockdown Mode para banca y cuentas reales, y Firefox con contenedores mas uBlock Origin para investigacion y enlaces no confiables. Nunca instales extensiones de Chrome de fuentes no auditadas: el ecosistema tuvo 35 extensiones maliciosas removidas en enero de 2025, varias con mas de 100.000 instalaciones, y una extension corre con acceso profundo a cada pagina que visitas. Para correo, desactiva la carga de imagenes remotas en Mail (Preferencias, Visualizacion, Cargar contenido remoto) para que un pixel de rastreo no confirme tu direccion ni ubicacion aproximada. Para comunicacion sensible, muevete a Signal o SimpleX segun la evaluacion tecnica en OPSEC de Comunicacion: Signal, SimpleX y Session Comparados Tecnicamente.

Monitoreo: Santa y el Unified Log

Finalmente, monitorea. Instala el santa de Google en modo MONITOR una semana primero para aprender tus binarios normales, despues cambia a LOCKDOWN con allowlist de binarios para que nada sin firmar o desconocido ejecute. Configura consultas al Unified Log para detectar eventos de trigger de XProtect y MRT, por ejemplo log show --predicate 'subsystem == "com.apple.xprotect"' --last 7d. Esa investigacion reactiva, convertir una linea de log en una linea de tiempo, esta detallada en Investigando Incidentes en macOS: UnifiedLogs, FSEvents y AULR. El monitoreo es lo que convierte el hardening de una esperanza en una postura medible: sin el, nunca aprendes si alguno de los controles de arriba de verdad bloqueo algo alguna vez.

Errores comunes

Los errores recurrentes son predecibles. La gente activa Lockdown Mode, choca con un sitio roto y lo desactiva globalmente en vez de agregar una sola excepcion. Guardan la clave de recuperacion de FileVault en iCloud, anulando todo el sentido del cifrado de disco frente a un secuestro de cuenta. Desactivan servicios launchd en masa y despues pasan un dia debuggeando por que desaparecio AirDrop. Bloquean ocsp.apple.com y se preguntan por que las apps firmadas se cuelgan. Y tratan el hardening como un evento unico en vez de una postura que deriva cuando las actualizaciones de macOS reactivan servicios y resetean preferencias. Re-audita despues de cada upgrade mayor del OS, porque Apple suele volver a encender telemetria y funciones de conveniencia.

Checklist de hardening

Confirma cada item antes de declarar el equipo endurecido: Lockdown Mode esta activo con excepciones por sitio solo donde es esencial; un perfil MDM firmado bloquea kexts sin firmar y fija Gatekeeper; FileVault usa una clave institucional offline en una YubiKey con sleepimage en cero y borrado de clave a los 60 segundos de standby; los daemons launchd sin usar estan desactivados de a uno con razon registrada; un firewall de salida bloquea endpoints de telemetria permitiendo OCSP; Safari corre en Lockdown para cuentas reales y Firefox con contenedores para investigacion; Mail tiene imagenes remotas apagadas; Santa corre en LOCKDOWN con allowlist; y las consultas al Unified Log para XProtect y MRT estan guardadas para triage rapido. Vuelve a correr esta lista despues de cada actualizacion mayor de macOS.

FAQ: Lockdown Mode vuelve inusable un Mac?

No. Para la gran mayoria del trabajo diario, navegar, correo, documentos y mensajeria, nunca lo notaras. Los costos visibles son estrechos: algunas paginas WebGL pesadas, web fonts exoticas y unos pocos adjuntos de correo complejos. Cuando de verdad choques con un sitio roto que confias, agrega una excepcion por sitio en vez de apagar toda la funcion. Para cualquiera en un modelo de amenaza realista de spyware mercenario, la friccion menor es trivial frente a romper cuatro de seis cadenas de explotacion reales.

FAQ: Es un Mac mas seguro que Windows o Linux para alto riesgo?

Mas seguro de fabrica es el marco equivocado. Apple Silicon con Secure Enclave, code signing y una superficie de ataque default chica es una base fuerte, y Lockdown Mode es una mitigacion genuinamente potente sin equivalente limpio en otro lado. Pero un Mac mal configurado con iCloud sincronizando todo y AirDrop abierto esta mas expuesto que un laptop Linux cuidadosamente endurecido. La plataforma importa menos que la disciplina de ajustar controles a tu modelo de amenaza y re-auditarlos con el tiempo.

Conclusion

Ninguna medida sola detiene a un adversario bien financiado, pero la combinacion cambia la economia. Lockdown Mode mas perfil MDM firmado mas FileVault con YubiKey mas Santa en lockdown mas firewall de salida mas sleepimage en cero eleva el costo de explotacion de cuatro a seis cifras. Ese es justo el punto en el que caes del menu de objetivos viables, porque un operador con presupuesto finito se mueve a alguien mas barato. Invierte la tarde, documenta cada cambio en un repo firmado y re-audita despues de cada upgrade mayor del OS. El hardening es una postura que mantienes, no un switch que activas una vez.