システム整合性保護
デフォルトでSIPによって保護されるディレクトリは次の通り。
/System
/sbin
/bin
/usr
/Applications
/usrは /usr/localサブディレクトリを除いて保護される。/Applicationsは、カレンダー、写真、Safari、ターミナル、コンソール、App Store、Notesなど、macOSがプリインストールされているアプリに対して保護されている。
システム整合性保護は、システムパーティション外からのみ(全部または一部)無効にすることができる。 そのために、Appleは、“macOS 復元”システム内のターミナル.app、またはブート可能なmacOSインストールディスクから実行できるコマンドcsrutilを提供する。このユーティリティは、ブート引数をデバイスのNVRAMに追加する。 そうして、デバイス上のEl Capitan以降のmacOSのすべてのインストールされたシステムに設定が適用できる 。macOSをインストールすると、インストーラはフラグが付けられたシステムディレクトリ内の未知のコンポーネントを/Library/SystemMigration/History/Migration-[some UUID]/QuarantineRoot/へ移動する。システムディレクトリへの書き込みを禁止することにより、システムファイルとディレクトリのアクセス許可は、Appleソフトウェアの更新中にのみ自動的に維持される。 その結果、ディスクユーティリティと対応するコマンドdiskutilでアクセス許可の修復は利用できない 。
システム整合性保護のメカニズム
システムファイルとディレクトリの内容とファイルシステムパーミッションの保護;
コードインジェクション、ランタイムアタッチ(デバッグのような)およびDTraceに対するプロセスの保護;
署名されていないカーネル拡張( "kexts")に対する保護
システム整合性保護は、システムファイルやシステムディレクトリを保護するフラグを立てる。これらの追加、 拡張ファイル属性 は、/System/Library/rootless.conf に、ファイルまたはディレクトリを加えることにより設定される。 中には、保護されたディレクトリ: システムでは、 /bin、/sbin、/usr、/usr/localがある 。シンボリックリンクから /etc、/tmp、/var、/private/etc、/private/tmp、 /private/var も保護されるが、ターゲットのディレクトリ自体は保護されていない。