當Mac升級到Catalina時，蘋果在硬碟裡施了點魔法|數位時代 BusinessNext

當Mac升級到Catalina時，蘋果在硬碟裡施了點魔法

macOS Catalina升級後出現的小問題，不少應用程式出現2個路徑，蘋果對mac的硬碟悄悄做了一些手腳。

當我升級macOS Catalina後，卻發現一件我煩心的事：

用Alfred搜尋時，不少應用程式都會重複出現。當我按照兩個應用程式顯示的路徑去查看，卻發現了讓我不解的現象：Macintosh HD/Applications路徑一直都是應用安裝的預設路徑，沒有問題。但這個System/volumes/Macintosh/Applications文件夾從何而來？

更加奇怪的是，仔細看顯示的路徑，從Macintosh HD盤符開始的路徑，居然又回到Macintosh HD，彷彿是陷入了自我循環。

想弄清這兩個問題，就要回到在Catalina升級時，去看看硬碟裡發生的事情。

1

一切要從macOS的系統文件的安全性開始講起。

從El Capitan開始，Apple工程師給macOS加上了「系統完整性保護」技術。這就像給書櫃的某些抽屜加上了鎖，沒有鑰匙就拿不到裡面的文件，這樣系統文件就不會被輕易篡改。

不過有鎖就有鑰匙，只要獲得了root權限，惡意程式還是能讀寫系統文件。

到了Catalina，Apple工程師想了一個更徹底的辦法：那就是將所有系統文件從原本的文件系統中分離出來，組成獨立的文件系統，並且把這個文件系統從設計上設定為只能讀取，不能寫入。

就好像買了一個新書櫃專門用來放重要文件，而且這個書櫃壓根就沒有可以打開的地方，這樣系統文件就很難被惡意修改。

具體要如何實現呢？首先要感謝macOS High Sierra中開始使用的新文件系統——APFS，它可以輕鬆地在一塊磁碟中創建多個邏輯捲。

在安裝Catalina時，會在磁碟中新建一個Macintosh HD邏輯捲，並且將原來的邏輯捲改名為Macintosh HD Data。新建的Macintosh HD邏輯捲就是專用來存放系統文件的「書櫃」，整個邏輯捲都是只讀的。Macintosh HD Data就像之前一樣，讓用戶自由地讀寫數據、安裝應用。

創建好Macintosh HD之後，Macintosh HD Data中的系統文件就會被剪切到系統卷Macintosh HD，組成獨立的文件系統。

至此，透過分離系統文件到獨立邏輯捲的操作就完成了。無論程序在Macintosh HD Data邏輯捲對文件系統做什麼，都不會影響Macintosh HD中的系統文件。

在一塊硬碟上設置兩個文件系統，實現了Apple工程師們想要系統安全性。不過如果就此結束，可就苦了用戶和開發者們了。

2

一塊磁碟同時存在兩個邏輯捲、兩套文件系統會造成什麼問題呢？

對於用戶來說，會明顯感受到文件系統的不統一。最明顯的是在Finder中，如果不加以處理，你應該會同時看到Macintosh HD Data與Macintosh HD。而且就像Windows上的不同分區，找起文件來會比單一邏輯捲麻煩得多。

而對開發者來說，問題就嚴重的多。現在所有系統文件都會被移到了Macintosh HD中，而第三方應用只能待在Macintosh HD Data。不少應用程式會依賴系統程序和文件，如果開發者不加以適配，按照原來設定好的路徑就會找不到系統文件，應用就無法使用了。這種純粹因為Apple引起的「技術債」，開發這可不會樂意花自己的時間去還。

為了讓用戶和程式將這兩個原本獨立的文件系統，當作一個統一的文件系統來使用，Apple用「卷組」和「firmlink」這兩項技術，來了一場障眼法表演。

為了解決兩個邏輯捲的顯示問題，Apple工程師引入了「卷組」這一概念，一個卷組由一個系統卷（Macintosh HD）和一個數據卷（Macintosh HD Data）組成。數據卷會像一塊外置硬碟一樣，被掛載在 /System/Volumes 目錄下，這樣兩個文件系統就合成了一個文件系統。而在Finder邊欄中，只有Macintosh HD會顯示出來。這樣普通用戶就不會察覺到硬碟中存在著兩個邏輯捲，只有當你打開Disk Utility時，就會看到兩個邏輯捲。

這種程度的障眼法瞞得過普通用戶，卻瞞不過應用程式。一方面前文所說的文件路徑的問題沒有被解決，另一方面應用程式文件數量巨大，而且需要頻繁讀取，簡單的直接掛載在/System/Volumes目錄下，不加以處理的話，會極大地消耗電腦的硬體資源。

為了填這個坑，Apple工程師引入了firmlink技術。

firmlink是什麼呢？用Apple工程師自己的原話說，它就是數據卷與系統卷之間的「雙向蟲洞」。聽上去很複雜，其實從實際效果去看的話，是很容易理解的。

既然我們是想讓兩個系統看上去像一個完整的文件系統，那我們給數據卷中的文件在系統卷中創建一個替身，結合系統文件和替身，不就得到了一個完整且單一的文件系統了嗎？

這個數據卷中的文件在系統卷中的替身，就是firmlink。例如 /Users 是Macintosh HD Data中的文件夾，但它在系統卷的根目錄下有一個firmlink。所以你在硬碟的根目錄中看到的/Users，真實的目錄地址其實是 /System/Volumes/Data/Users/ 。如果你想知道自己Mac為哪些文件創建了firmlink，可以打開 /usr/share/firmlinks 查看。

當然firmlink的厲害之處，在於應用程序可以透過它，遍歷整個系統卷的文件系統。例如程序可以從數據卷中的/System/Volumes/Data/Users/用户名/Desktop，直接透過 /System/Users/用户名/Desktop 的路徑回到系統卷中，這樣就大大減少了不必要的資源消耗。而且從應用程式的視角去看，系統文件一直存在於它原來的位置。這樣一來，開發者完全不需要因為新的文件系統做任何適配。

利用firmlink，無論是在Finder，還是實際的文件目錄中，不管是用戶還是應用程序，都被Apple的障眼法瞞了過去，將系統捲和數據卷的文件系統當成統一的文件系統。

知道了firmlink和卷組的存在，我們終於能解釋文章開頭的問題。

3

首先，系統中並不存在兩個重複的應用程式。數據卷Macintosh HD Data負責第三方應用的安裝，所以System/volumes/Macintosh/Applications才是應用的真實目錄，而Macintosh HD/Applications只是它的firmlink。解決辦法也很簡單，在Alfred中輸入reload命令，Alfred就會恢復正常。

而Macintosh HD邏輯捲在Finder中出現自我循環的現象，其實只是Finder施加的一點小魔法。

前文解釋過，Macintosh HD Data被掛載在了系統卷的/System/Volumes目錄中，所以這個目錄中的Macintosh HD，其實是Macintosh HD Data，只不過為了避免使用者因為不熟悉這個名字，對其誤操作（對數據卷內的文件用戶是可以寫入和刪除的！），同時也讓文件系統看上去完整，Finder將它顯示成了Macintosh HD。不信？用Terminal或者其他終端查看下，就能看到 /System/Volumes 目錄下文件夾的真實名字。

忙活了半天，Apple工程師終於可以安心，再也不會被客服追著問：這裡有Mac用戶誤刪了系統文件，要怎麼修復啊？

這項技術這麼好，用在iOS行不行啊？行啊！而且實際上，iOS上的系統文件早就被放在單獨的系統卷中保護起來了。

這下誰是Apple的親兒子，一目了然了。

參考目錄
- What's New in Apple File Systems - WWDC 2019 - Videos - Apple Developer

本文授權轉載自：少數派

兆勤科技祭出雙軌策略，助攻中小企業資安升級

根據統計，2024年的目標式勒索資安事件，高達90%是以中小企業為攻擊目標，顯見，資安防護不再是大型企業才需要關注的課題，中小企業的資安需求同樣迫切且不容忽視。

「然而，中小企業因為缺乏資安專業人才及預算有限，不易做好資安管理，再加上近年來網路攻擊手法多變且複雜，更加深應對威脅的難度，」兆勤科技總經理蔡明見一語道出中小企業的資安挑戰。為此，兆勤科技祭出「簡化管理、強化服務能量」的雙軌策略，持續精進雲端網路安全解決方案，讓中小企業能夠以最少資源完成資安佈署工作。

在簡化管理上，兆勤科技以Nebula雲端管理平台為核心，透過以下3大機制，達到簡化管理負擔的目標。首先，在Nebula平台導入雲地共融技術，讓雲地兩端的安全策略及網路設定可以同步，突破傳統網路設備管理模式只能本地或雲端二選一的限制，也為企業網路管理提供更多彈性，企業可以先採用本地管理，待習慣雲端操作時，再一鍵轉移到雲端，無需重新配置、也不需更換設備，大幅降低轉型門檻，打造跨平台的一致性防護。

其次，Nebula平台除了可以集中管理防火牆、交換器、無線AP等各個網路設備，設定介面亦相當簡單好操作，透過各種方式例如：事先預設基礎設定、掃描條碼即可將設備加入網路等，讓使用者即便不是專業IT人員，可以輕鬆完成設定、掌握整體網路狀態，大幅降低學習門檻與提高管理效率。

第三、Nebula平台可以自動接收韌體更新與漏洞修補程式，避免因人力不足而忽略系統維護與更新的風險。

在強化服務能量上，兆勤科技積極輔導經銷或通路夥伴建立服務能量，滿足中小企業對網路代管服務的需求。「這是能為中小企業、夥伴與兆勤創造3贏的做法，」蔡明見說明，藉由Nebula平台可以遠端管理的特性，使經銷或通路夥伴能夠一次管理上百個客戶的網路設備，並以訂閱制收取服務費用，成功由傳統硬體銷售轉型為網路代管服務提供者，同時也讓中小企業得以使用網路代管服務，近來，兆勤更推出pay-as-you-go金流方案，協助夥伴降低資金壓力，加速拓展服務市場。

黑貓資訊破除IT與資安斷層，強化內部防禦

合勤集團旗下專注於資安顧問及託管服務的黑貓資訊，自2017年由合勤投控公司資安部門分拆出來後，便聚焦在解決企業 IT 與資安協同作業的挑戰。「企業內網管理的盲點有很多，但IT與資安的協作斷層，是目前最常見也最迫切要解決的問題，」黑貓資訊總經理游政卿說。

IT與資安雖然密不可分，但實務上，企業通常將IT與資安劃分成2個團隊，且彼此的工作重點也不相同，IT 團隊專注資源調度、確保系統穩定與效能，資安團隊則忙於應對警報和威脅，這種分工模式不只讓攻擊者有機可乘，更會令IT團隊誤以為資安只會加重工作負擔。

「資安的價值，應該從協助IT部門解決問題開始，而不是增加負擔。」游政卿強調，因此，資安團隊首先要做的就是「與IT同在」，從理解IT團隊的需求、解決痛點到取得信任，雙方才能進一步協作，共同應對日益複雜的網路威脅。

以IT資產盤點為例，這是IT團隊相當重要又很耗時費力的工作，而資安團隊可以透過端點安全解決方案（EDR）進行資產盤點，先協助IT團隊掌握所有終端設備的型號、使用狀況與更新需求，再延伸到端點安全防護議題，如此不僅減輕IT負擔，也讓資安建置更具體有感。

除了IT與資安的協作斷層外，包括資產與風險能見度不足、過度依賴邊界防禦，忽略內部橫向移動的風險、以傳統基於特徵碼的靜態防禦機制為主，無法有效應對快速變化的動態威脅、對於第三方軟硬體與的安全把關不足等，亦是企業內網管理常見的盲點。

對此，黑貓資訊憑藉深厚技術底蘊，自主研發多元資安解決方案與服務。在解決方案端，推出在如同樂隊指揮家的智慧XDR防護平台，可協調整合多源資安日誌，並結合AI技術大幅提昇威脅偵測的精準度，亦有可部署於地端（On-premise）的SIEM 解決方案，滿足企業對資料落地、合規與客製化的需求。在服務端，不僅提供24 X7全年無休的MDR/SIEM/SOC 託管式監控服務，更同步提供滲透測試、弱點掃描、供應鏈風險檢測等服務。

值得一提的是，黑貓資訊目前正積極申請ISO 17025資通安全檢測實驗室認證，導入NIST SP 800-115測試流程，協助企業確保所導入的資安方案具備可驗證性與國際標準接軌能力。

在數位轉型成為企業生存關鍵的當下，資安已成為業務穩定與品牌信任的保證。合勤集團透過兆勤科技的雲地整合資安服務、黑貓資訊的智慧防護與專業服務，以及勤晁科技的高規安全方案「偕同出擊」，建構出一條完整而具彈性的資安防線，讓不同需求的客戶都能享有最合適與全面的資安保障，更有信心邁向AI新時代。

當Mac升級到Catalina時，蘋果在硬碟裡施了點魔法

1

2

3

資安齊發！合勤集團三品牌同台，展現整合防禦實力

兆勤科技祭出雙軌策略，助攻中小企業資安升級

黑貓資訊破除IT與資安斷層，強化內部防禦