XProtect

흔한 이유는 백그라운드 검사입니다. XProtect Remediator는 몇 시간마다 짧은 검사를 하고, Mac이 전원에 연결될 때까지 기다렸다가 더 긴 일간 및 주간 검사를 합니다. 검사 중에는 XProtect, XProtectPluginService, 그리고 XProtectRemediatorAdload나 XProtectRemediatorPirrit처럼 XProtectRemediator 뒤에 악성 코드 이름이 붙은 프로세스가 CPU와 디스크 목록 위쪽에 보일 수 있습니다. 각각 한 계열의 악성 코드를 찾으며 저절로 끝납니다.

새 규칙이 들어오면 또 다른, 더 짧은 검사가 시작됩니다. 시그니처 업데이트가 설치되면 XProtect가 새 규칙으로 앱을 다시 확인하므로, 업데이트 후 한동안 CPU가 올라갈 수 있습니다. 여러 앱을 한꺼번에 설치하거나 업데이트할 때도 규모는 작지만 같은 일이 생깁니다. 바뀐 앱마다 다시 확인하기 때문입니다.

검사가 끝나게 두세요. XProtect 프로세스를 종료하거나 끄는 방법을 찾지 마세요. macOS가 다시 시작하며, Mac에서 악성 코드를 제거하는 것이 바로 이 프로세스들입니다. 검사가 계속 곤란한 때에 걸린다면, 쓰지 않을 때 한동안 Mac을 깨어 있게 두고 전원에 연결해 더 긴 검사가 끝날 수 있게 하세요.

업데이트를 켜 두세요. 시스템 설정 → 일반 → 소프트웨어 업데이트를 열고 자동 업데이트 옆의 정보 버튼을 클릭한 다음, 시스템 데이터 파일 및 보안 업데이트 설치가 켜져 있는지 확인하세요. macOS Sequoia 이하에서는 이 설정의 이름이 보안 대응 및 시스템 파일 설치입니다. 새 XProtect 규칙은 이 설정을 통해 Mac에 도착합니다.

활성 상태 보기는 XProtect가 일하는 모습을 보여 주고, 터미널이나 시스템 정보는 규칙이 어느 버전인지 알려 줍니다.

1. 활성 상태 보기를 열고 CPU 탭을 클릭한 다음, 보기 → 모든 프로세스를 선택하고 검색 필드에 xprotect를 입력합니다. 보통 xprotectd, XprotectService, XProtectBridgeService가 보입니다. 검사 중에는 XProtect, XProtectPluginService, XProtectRemediator 프로세스도 함께 나타납니다.
2. 각각이 어디에서 실행되는지 보려면 터미널을 열고 ps -axo user,comm | grep -i xprotect 명령을 실행합니다. Apple의 프로세스는 /usr/libexec, /Library/Apple/System/Library/CoreServices/XProtect.app, 또는 /System/Library/PrivateFrameworks/XprotectFramework.framework에서 실행됩니다.
3. macOS Sequoia 이상에서는 xprotect version 명령을 실행합니다. 설치된 XProtect 규칙의 버전과 설치 날짜가 출력됩니다.
4. Apple이 배포한 최신 버전을 보려면 sudo xprotect check 명령을 실행하고 암호를 입력합니다. 그 버전이 내 버전보다 높으면 sudo xprotect update 명령으로 지금 설치할 수 있습니다.
5. 최근 macOS라면 어느 버전에서든 Option 키를 누른 채 Apple 메뉴 → 시스템 정보를 선택하고, 소프트웨어 아래의 설치를 클릭합니다. XProtectPlistConfigData, XProtectPayloads, XProtectCloudKitUpdate라는 이름의 업데이트가 XProtect의 것입니다. 터미널에서는 system_profiler SPInstallHistoryDataType | grep -A4 XProtect 명령이 같은 목록을 출력합니다.

정상: XProtect의 프로세스는 하루 동안 나타났다 사라지며 대부분의 시간에는 조금만 씁니다. 같은 프로세스가 매일 몇 시간씩 CPU 목록 위쪽에 머문다면, Mac을 재시동해 멈춘 검사를 끝내고, Apple이 내놓는 수정 사항이 도착하도록 업데이트가 켜져 있는지 확인하세요.

XProtect는 다음과 같은 때에 평소보다 바쁘며, 모두 저절로 끝납니다.

• 예약된 검사: 몇 시간마다 짧은 검사가 있고, Mac이 전원에 연결되어 있을 때 더 긴 일간 및 주간 검사가 있습니다.
• 새 규칙이 설치된 뒤 몇 시간 동안, 새 규칙으로 앱을 다시 확인할 때.
• 다운로드하거나 업데이트한 앱을 처음 실행할 때. 열리기 전에 확인을 거칩니다.
• 여러 앱을 한꺼번에 설치하거나 업데이트할 때. 바뀐 앱마다 다시 확인합니다.

XProtect는 앱이 열릴 때 알려진 악성 코드를 찾으면 이를 차단하고 휴지통으로 옮긴 뒤 Finder에 경고를 표시합니다. 휴지통을 비우고, 같은 곳에서 그 앱을 다시 다운로드하지 마세요. XProtect Remediator는 검사 중에 찾은 악성 코드를 묻지 않고 제거합니다.

XProtect는 Mac을 스스로 재시동하지 않으며, 일부 제거는 재시동한 뒤에야 끝납니다. 경고를 봤다면 가능할 때 재시동하세요.

직접 다운로드하지 않은 앱에 대한 경고가 계속 다시 뜬다면 Mac의 무언가가 그 앱을 다시 받아 오고 있다는 뜻입니다. 시스템 설정 → 일반 → 로그인 항목 및 확장 프로그램에서 모르는 항목을 찾아, 그 항목이 속한 앱을 제거하세요.