XProtect

最常見的原因是背景掃描。XProtect Remediator每隔幾小時會執行一次快速掃描，另外還有較長的每日和每週掃描，這些會等到Mac接上電源才執行。掃描期間，你可能會看到XProtect、XProtectPluginService，以及名稱是XProtectRemediator加上惡意軟體名稱的程序（例如XProtectRemediatorAdload或XProtectRemediatorPirrit）排在CPU和磁碟列表前面。每一個只會尋找一個惡意軟體家族，並會自行結束。

新規則會帶來第二輪較短的檢查。特徵碼更新安裝後，XProtect會依新規則重新檢查App，所以更新後它的CPU用量可能會升高一陣子。一次安裝或更新好幾個App時，也會出現規模較小的相同情況，因為每個有變更的App都會被重新檢查。

讓掃描完成。不要結束XProtect程序，也不要找方法停用它們：macOS會再次啟動它們，而且移除你Mac上惡意軟體的正是它們。如果掃描老是在不方便的時候進行，就在你不用Mac時讓它保持喚醒並接上電源一段時間，讓較長的掃描能夠完成。

保持它的更新開啟。打開「系統設定」→「一般」→「軟體更新」，按一下「自動更新」旁的「資訊」按鈕，確認「安裝系統資料檔案和安全性更新」已開啟。在macOS Sequoia和更早版本中，這個設定叫做「安裝安全性回應和系統檔案」。新的XProtect規則就是這樣送到你的Mac上。

活動監視器能顯示XProtect正在工作，「終端機」或「系統資訊」則能告訴你它的規則是哪個版本。

1. 打開活動監視器，按一下「CPU」標籤頁，選擇「顯示方式」→「所有程序」，然後在搜尋欄位中輸入xprotect。通常你會看到xprotectd、XprotectService和XProtectBridgeService。掃描期間，XProtect、XProtectPluginService和XProtectRemediator程序也會加入。
2. 想查看每個程序從哪裡執行，就打開「終端機」並執行ps -axo user,comm | grep -i xprotect。Apple的程序會從/usr/libexec、/Library/Apple/System/Library/CoreServices/XProtect.app或/System/Library/PrivateFrameworks/XprotectFramework.framework執行。
3. 在macOS Sequoia及以後版本上，執行xprotect version。它會顯示已安裝的XProtect規則版本及安裝日期。
4. 執行sudo xprotect check並輸入密碼，就能看到Apple發布的最新版本。如果比你的版本新，sudo xprotect update會立即安裝。
5. 在任何較新的macOS上，按住Option，選擇蘋果選單→「系統資訊」，然後按一下「軟體」底下的「安裝」。名稱為XProtectPlistConfigData、XProtectPayloads或XProtectCloudKitUpdate的更新就是XProtect的。在「終端機」中，system_profiler SPInstallHistoryDataType | grep -A4 XProtect會顯示同樣的列表。

正常：XProtect的程序一天中時有時無，大部分時間用量很少。如果同一個程序每天都連續好幾個小時排在CPU列表前面，就重新開機（這會結束卡住的掃描），並確定它的更新已開啟，這樣Apple推出的修正才會送到你這裡。

XProtect在以下時候會比平常忙，而且每一種都會自行結束：

• 排程掃描：每隔幾小時一次快速掃描，Mac接上電源時還有較長的每日與每週掃描。
• 新規則安裝後的幾個小時，它會依新規則重新檢查App。
• 第一次打開下載或更新過的App時，App會在打開前先接受檢查。
• 一次安裝或更新很多App時，因為每個有變動的App都會再檢查一次。

XProtect在App打開時發現已知的惡意軟體，會阻擋它、把它移到垃圾桶，並在Finder中顯示提示。清空垃圾桶，也不要再從同一個地方下載這個App。XProtect Remediator在掃描中發現惡意軟體時，會不經詢問直接移除。

XProtect不會自己重新開機，而有些移除要等重新開機後才會完成。如果你看過提示，方便時就重新開機一次。

如果某個你沒有親自下載的App一再觸發提示，表示Mac上有東西在反覆重新抓取它。到「系統設定」→「一般」→「登入項目與延伸功能」中找出你不認得的項目，並移除它們所屬的App。