Mac의 XProtect란 무엇이고 왜 CPU를 쓰나요
XProtect는 macOS에 내장된 백신입니다. Apple은 이를 서명 기반의 악성코드 탐지 및 제거로 설명하며, 최근의 모든 Mac에서 자체 아이콘이나 윈도우 없이 실행됩니다. 활성 상태 보기에서 XProtect, xprotectd, 또는 이름에 XProtectRemediator가 들어간 프로세스가 보이는 것은 정상이고, CPU가 잠깐 높아지는 것은 대개 앱을 검사하거나 예약된 검사를 실행하는 중이라는 뜻입니다. 그대로 두세요.
무엇을 언제 하나
Apple의 악성코드 방지 안내서는 세 부분을 설명합니다.
| 부분 | 하는 일 |
|---|---|
| 서명 탐지 | Apple이 업데이트하는 YARA 서명으로 앱을 검사 |
| 치료 엔진 | Apple의 업데이트를 받아 알려진 감염을 제거하고 주기적으로 계속 검사 |
| 행동 엔진 | 동작을 보고 알려지지 않은 악성코드를 탐지하며, 이 데이터가 서명을 개선함 |
Apple에 따르면 XProtect는 앱을 처음 실행할 때, 앱이 파일 시스템에서 바뀔 때, 서명이 업데이트될 때 알려진 악성 콘텐츠를 검사합니다. 기본적으로 macOS는 이 업데이트를 시스템 업데이트와 별도로 매일 확인합니다. 따라서 앱을 설치하거나 업데이트한 뒤, 서명이 업데이트된 뒤, 그리고 앱과 상관없이 가끔 활동이 있을 수 있습니다.
악성코드를 발견하면 Apple에 따르면 XProtect는 이를 차단하고 휴지통으로 옮긴 뒤 Finder에서 알려 줍니다. 처음부터 그렇게 설계되지 않았기 때문에 사용자가 검사를 시작하는 윈도우는 없습니다.
어디에 있나
Apple의 안내서에는 경로가 없습니다. 이 글을 확인한 Mac에서 각 부분은 다음 위치에 있습니다.
/Library/Apple/System/Library/CoreServices/XProtect.app
/usr/libexec/xprotectd
/var/protected/xprotect/XProtect.bundle
XProtect.app에는 제거하는 악성코드 계열마다 XProtectRemediator… 프로그램이 하나씩 들어 있고 XProtectRemediatorAdload 같은 이름이므로, 활성 상태 보기에 처음 보는 이름이 나올 수 있습니다. /Library/Apple에는 restricted 플래그가 있어 sudo를 써도 시스템 무결성 보호가 변경을 막습니다.
설치된 버전과 업데이트 기록을 확인하려면 다음을 실행합니다.
xprotect version
system_profiler SPInstallHistoryDataType | grep -A 4 XProtect
사용 중인 macOS에서 xprotect 명령을 찾을 수 없다면 훨씬 오래전부터 있던 두 번째 줄을 사용하세요.
CPU를 쓰고 있을 때
새 앱을 설치하거나 처음 열고 난 뒤 잠깐 치솟는 것은 예상되는 경우입니다. 전원에 연결한 채로 몇 분 기다려 주세요.
계속 높다면 다음과 같이 합니다.
- 활성 상태 보기를 열고 보기 › 모든 프로세스를 선택한 다음 % CPU로 정렬합니다. 정확한 이름과 일정한지 들쭉날쭉한지를 적어 둡니다.
- 그 파일이 정말 Apple의 것인지 확인합니다. 프로세스를 선택하고 i 버튼을 누른 다음 열린 파일 및 포트를 선택합니다. 프로그램이 위의 경로 중 하나 아래에 있어야 합니다.
- 하던 일을 마치고 재시동한 뒤 10분 동안 다시 지켜봅니다. 재시동하면 멈춘 검사가 끝나고, macOS가 다음 검사를 스스로 예약합니다.
- 대기 중인 macOS 업데이트를 시스템 설정 › 일반 › 소프트웨어 업데이트에서 설치합니다.
- 대부분의 날 몇 시간씩 계속 실행된다면 본 것을 적어 Apple에 피드백을 보내세요. 시작된 무렵에 설치한 앱이 있다면 함께 적으세요. 파일이 계속 바뀌는 앱은 XProtect가 검사할 것을 늘립니다.
XProtect가 조용해진 뒤에도 느린 것은 다른 원인이므로, 목록을 읽는 방법은 Mac의 높은 CPU 사용량을 참고하세요.
이것만으로 충분한가
알려진 악성코드에 대해서는 실제 보호이며 Gatekeeper, 공증과 함께 작동합니다. 시스템 설정 › 일반 › 소프트웨어 업데이트 › 자동 업데이트 아래의 보안 대응 및 시스템 파일 설치를 켜 두세요. 서명 업데이트가 이를 통해 도착합니다. 하지만 완전한 보안 제품은 아니어서, 읽을 검사 기록도, 웹 필터링도, 직접 실행하는 검사 버튼도 없습니다. 서드파티 제품을 추가로 쓸지는 하는 일과 직장의 요구에 달려 있습니다. 하나를 제거하려는 경우 Mac에서 백신을 제거하는 방법에서 각각이 무엇을 남기는지 볼 수 있습니다.
하지 말아야 할 것
- 삭제하거나 비활성화하려고 하지 마세요. 폴더가 보호되어 있고, 이를 우회하는 안내는 시스템 무결성 보호를 끄라고 하는데 그 대가는 CPU 급등보다 훨씬 큽니다.
- 계속 반복해서 강제 종료하지 마세요. macOS가 필요할 때 실행하므로 작업이 미뤄질 뿐입니다.
- XProtect가 바이러스를 발견했다며 전화번호나 다운로드를 안내하는 팝업을 믿지 마세요. XProtect는 Finder에서 알리고 아무것도 요구하지 않습니다.
- 이름이 눈에 익다고 차단된 앱을 휴지통에서 도로 꺼내 유지하지 마세요. 개발자에게서 다시 다운로드하세요.
Mole은 어디에 쓰이나
Mole은 백신이 아닙니다. 악성코드를 검사하지 않으며 정리에 XProtect용 행도 없습니다. 상태는 이 프로세스들이 가장 바쁜 행에 들 때 보여 주고 하나의 앱 번들 폴더에서 실행되는 것은 한 행으로 묶으며, 행의 왜 실행 중인가요?는 실행 파일을 보여 주므로 터미널 없이도 경로를 확인할 수 있습니다. XProtect가 아닌 낯선 백그라운드 프로세스를 쫓고 있다면 앱의 시작 세그먼트에 서드파티 실행 항목이 나열되며, 끈질긴 애드웨어는 대개 그곳에 설치됩니다.
자주 묻는 질문
XProtect는 바이러스인가요?
아닙니다. macOS에 포함된 Apple의 백신입니다. 프로그램은 보호된 시스템 위치에 있으므로, 같은 이름의 프로세스가 다운로드 폴더 같은 다른 곳에서 실행된다면 의심해 볼 만합니다.
XProtect를 끌 수 있나요?
시스템 설정에서는 끌 수 없습니다. 켜 두세요. 우회하는 방법은 XProtect보다 훨씬 많은 것을 보호하는 시스템 무결성 보호를 약하게 만들 뿐입니다.
XProtectRemediator가 실행되는 이유는 무엇인가요?
알려진 특정 악성코드를 일정에 따라 찾아 제거하는 부분입니다. 그런 프로세스가 보인다고 Mac이 감염되었다는 뜻은 아닙니다. 정기적으로 실행되며 대부분 금방 끝납니다.
XProtect 버전은 어떻게 확인하나요?
터미널에서 xprotect version을 실행하거나, 업데이트 기록은 system_profiler SPInstallHistoryDataType | grep -A 4 XProtect로 확인하세요.
XProtect가 있으면 백신이 필요 없나요?
많은 사람에게는 Gatekeeper, 공증과 함께 알려진 악성코드를 잘 막아 줍니다. 검사 보고서나 직접 실행하는 검사는 제공하지 않으므로, 직장의 규칙이나 그런 기능이 필요하다면 다른 제품을 추가할 이유가 됩니다.