Gatekeeper et SIP : socle de conformité macOS

Sur macOS, deux mécanismes natifs constituent la première ligne de défense de tout Mac géré : Gatekeeper, qui contrôle l'origine des applications lancées, et System Integrity Protection (SIP), qui protège les fichiers et processus système même du compte administrateur. Trop souvent, on cherche à empiler des outils tiers coûteux en oubliant que ce socle est déjà présent, activé par défaut et gratuit. L'inclure explicitement dans votre baseline de conformité évite bien des incidents et donne une preuve tangible de maîtrise aux auditeurs ISO 27001 ou NIS2.

Ce que font Gatekeeper et SIP

Ces deux mécanismes agissent à des moments différents de la vie d'un logiciel, et c'est leur complémentarité qui fait leur force. Comprendre le rôle de chacun vous aide à expliquer clairement pourquoi ils doivent rester actifs.

Gatekeeper : le contrôle à l'exécution

Gatekeeper vérifie la signature et la notarisation des applications avant leur première exécution. Une app téléchargée hors de l'App Store doit être signée par un développeur identifié et notarisée par Apple, faute de quoi macOS bloque son lancement par défaut. C'est un rempart efficace contre les maliciels distribués sous forme d'applications piégées.

SIP : la protection du système lui-même

SIP, actif par défaut depuis OS X El Capitan, empêche la modification des répertoires système protégés (/System, /usr, /bin) et de processus critiques, même par le compte root. Résultat : un maliciel qui obtiendrait des droits administrateur ne peut pas pour autant altérer le cœur du système ni installer un rootkit persistant.

• Gatekeeper bloque les apps non signées ou non notarisées par Apple.
• SIP protège /System, /usr et les processus critiques du compte root.
• Ensemble, ils limitent fortement l'installation de logiciels malveillants persistants.
• Ce sont des exigences naturelles pour ISO 27001 (contrôle A.8) et NIS2.

Vérifier l'état via une politique de conformité

Intune permet de définir une politique de conformité macOS qui exige, entre autres, que Gatekeeper et le pare-feu système soient actifs. Le principe est simple : l'appareil s'auto-évalue, remonte son état, et un Mac non conforme peut être signalé puis se voir refuser l'accès aux ressources via l'accès conditionnel.

1. 1Créer une politique de conformité macOS dédiée dans Intune.
2. 2Exiger l'activation de Gatekeeper (apps depuis l'App Store et développeurs identifiés).
3. 3Contrôler l'état du pare-feu système et du chiffrement FileVault.
4. 4Fixer une action et une période de grâce en cas de non-conformité.
5. 5Coupler la politique avec l'accès conditionnel pour bloquer les postes non conformes.

Erreurs fréquentes à éviter

Le principal risque ne vient pas de la configuration initiale mais des dérogations mal gérées. Un développeur qui désactive SIP pour déboguer, puis oublie de le réactiver, laisse un poste durablement affaibli.

• Désactiver SIP pour un besoin ponctuel et ne jamais le réactiver.
• Autoriser globalement les apps de développeurs non identifiés au lieu d'exceptions ciblées.
• Négliger les mises à jour macOS, ce qui prive des dernières règles de notarisation.
• Considérer un Mac SIP désactivé comme conforme parce qu'il fonctionne normalement.
• Oublier de coupler la conformité à l'accès conditionnel, la rendant purement informative.

Bonnes pratiques

Ne désactivez jamais SIP en production, même temporairement, sans procédure encadrée : un poste avec SIP désactivé doit être considéré comme non conforme et traité comme tel. Documentez les rares exceptions, limitez-les dans le temps et surveillez-les. Gardez macOS à jour pour bénéficier des dernières règles de notarisation, et intégrez la vérification de FileVault au même profil pour couvrir chiffrement, exécution et intégrité en un seul contrôle cohérent.

Un Mac dont SIP est désactivé n'est plus un Mac de confiance : traitez-le comme tel.

Un exemple concret

Prenez le cas d'un poste de développeur qui, pour installer un outil peu commun, désactive temporairement SIP puis autorise une application non signée. Le besoin technique était réel, mais le poste reste ensuite dans cet état affaibli pendant des semaines : plus aucune protection n'empêche un maliciel obtenant les droits root de s'installer durablement dans les répertoires système. Sans baseline de conformité, personne ne s'en aperçoit. Avec une politique qui exige SIP actif et Gatekeeper en mode développeurs identifiés, ce Mac serait immédiatement marqué non conforme, notifié à l'utilisateur, et privé d'accès aux ressources sensibles jusqu'à remise en état.

Ce scénario illustre pourquoi la vérification continue prime sur le réglage initial. Un poste correctement configuré au déploiement peut dériver à tout moment ; seule une évaluation permanente, couplée à l'accès conditionnel, garantit que l'état de sécurité reste conforme dans la durée et fournit une trace exploitable en audit.

Combiner le socle natif et l'EDR

Gatekeeper et SIP forment le socle, mais ils ne remplacent pas une solution de détection et de réponse. Le premier filtre l'origine des apps, le second protège le système ; aucun des deux n'analyse en continu les comportements ni ne répond aux incidents. Pour une couverture complète, associez cette baseline à Microsoft Defender for Endpoint, dont le niveau de risque peut lui aussi alimenter la conformité. Vous obtenez alors une défense en profondeur cohérente, où chaque couche joue un rôle distinct et vérifiable.

• Gatekeeper : contrôle de l'origine des applications à l'exécution.
• SIP : protection de l'intégrité du système, même face au compte root.
• FileVault : chiffrement du disque pour protéger les données au repos.
• Pare-feu système : filtrage des connexions entrantes.
• Defender for Endpoint : détection avancée, investigation et réponse.

Réunir ces éléments dans une même baseline évite les angles morts et facilite la production de preuves lors d'un audit ISO 27001 ou NIS2, chaque contrôle étant documenté et vérifié en continu.

Comment AuPoint vous aide

AuPoint transforme ces exigences en une baseline de conformité macOS prête à l'emploi, en langage clair et sans script. Vous vérifiez Gatekeeper, SIP, le pare-feu et le chiffrement FileVault en continu, avec un aperçu d'impact avant activation et une remédiation guidée pour les postes en écart. Chaque contrôle est relié à vos objectifs de conformité, ce qui vous permet d'alimenter vos règles d'accès conditionnel et de produire des preuves ISO 27001 et NIS2 en toute sérénité.

Questions fréquentes

Peut-on savoir à distance si SIP est désactivé ?

L'état de SIP est une propriété de l'appareil que les mécanismes de conformité et de sécurité peuvent évaluer. Un poste dont l'intégrité système est compromise doit être marqué non conforme, puis remédié avant de retrouver l'accès aux ressources.

Gatekeeper suffit-il à remplacer un antivirus ?

Non. Gatekeeper filtre l'origine des apps à l'exécution, mais il ne détecte pas les menaces déjà présentes ni les comportements malveillants en cours. Il se complète avec une solution EDR comme Microsoft Defender for Endpoint pour une couverture complète.

Faut-il imposer uniquement l'App Store ?

Pas nécessairement. Le réglage recommandé autorise l'App Store et les développeurs identifiés, ce qui couvre la plupart des applications métier légitimes tout en bloquant les logiciels non signés.

Envie de faire de Gatekeeper et SIP un socle vérifié en continu, sans PowerShell ? Avec AuPoint, déployez votre baseline de conformité macOS en quelques clics et alimentez sereinement votre accès conditionnel.