Puntos clave
- Las extensiones de sistema de Mac mejoran la seguridad empresarial al sustituir las antiguas extensiones de kernel por componentes delimitados que se ejecutan en el espacio de usuario.
- Las extensiones de sistema de Mac influyen directamente en la postura de seguridad de endpoints, los marcos de cumplimiento y las políticas de gobernanza de dispositivos en entornos empresariales.
- Las extensiones de sistema habilitan funciones empresariales críticas (filtrado de red, protección de endpoints, compatibilidad con controladores) y, al mismo tiempo, mantienen una delimitación de privilegios más estricta para evitar riesgos de escalada.
- Una gobernanza eficaz exige gestión mediante MDM, flujos de preaprobación de extensiones, planificación de las actualizaciones del SO y visibilidad continua para auditar todos los Mac gestionados.
- Los equipos de TI que incorporan la supervisión de las extensiones de sistema de macOS a su estrategia de gestión de endpoints y cumplimiento ganan visibilidad, control sobre las extensiones y compatibilidad con las actualizaciones del SO.
Las extensiones de sistema de Mac son importantes para la seguridad empresarial y la gobernanza de dispositivos porque sustituyen el amplio acceso a nivel de kernel de las antiguas extensiones de kernel (kexts) por componentes delimitados que se ejecutan en el espacio de usuario y resultan más fáciles de auditar y controlar.
La propia documentación de Apple llama a las kexts «extensiones de sistema heredadas», así que es posible que veas los dos términos para referirse a lo mismo. Apple dejó obsoletas las kexts porque su acceso sin restricciones generaba riesgos de estabilidad y seguridad. Las extensiones de sistema conservan la misma capacidad de ampliación, pero limitan a qué puede acceder cada extensión, lo que reduce el alcance del daño que deben gestionar los equipos de TI.
Los profesionales de TI que trabajan en entornos empresariales necesitan saber por qué las extensiones de sistema son relevantes en esos entornos, desde la postura de seguridad hasta el cumplimiento y la gobernanza. Así podrán gestionar sus propias extensiones y tener claras las implicaciones y las buenas prácticas de uso de las extensiones de sistema de macOS.
¿Para qué sirven las extensiones de sistema de Mac?
Las extensiones de sistema de Mac son componentes que amplían la funcionalidad de macOS fuera del kernel. Normalmente están diseñadas para:
- Ejecutarse en el espacio de usuario: a diferencia de las extensiones de kernel, que tienen acceso total al kernel, las extensiones de sistema de Mac reducen el riesgo.
- Ofrecer servicios delimitados: por ejemplo, filtrado de red, marcos de seguridad de endpoints y compatibilidad con controladores.
- Interactuar con macOS mediante API definidas: Apple documentó estas API en la WWDC y en otras guías de plataforma.
Las extensiones de sistema de Mac aportan más estabilidad y seguridad al sistema. Lo consiguen limitando el acceso de la extensión al kernel, lo que reduce el alcance del daño si algo va mal.
Por qué Apple retiró las extensiones de kernel
Antes, las extensiones de kernel permitían un acceso amplio al kernel. Sin embargo, esto provocaba varios problemas, como:
- Un mayor riesgo de inestabilidad e incluso de que macOS se bloqueara por completo
- Permiso para hacer modificaciones profundas en el sistema, con los riesgos de seguridad que eso implica
- La aparición de una superficie de ataque para actores maliciosos en la capa con más privilegios
En cambio, las extensiones de sistema mantienen la capacidad de ampliación y reducen estos riesgos al funcionar en el espacio de usuario con privilegios controlados.
Qué implican las extensiones de sistema de macOS para la gobernanza empresarial
Para la gobernanza de TI a nivel empresarial, las extensiones de sistema de Mac son herramientas esenciales porque:
- La aplicación de políticas exige controles granulares: los equipos de TI de la empresa necesitan visibilidad sobre qué extensiones concretas se ejecutan, y lo logran mediante perfiles de gestión declarativa de dispositivos (DDM) que permiten a los dispositivos aplicar automáticamente un estado deseado en lugar de esperar un comando.
- Los marcos de cumplimiento necesitan buenas herramientas de auditoría: distintas políticas de seguridad, como SOC 2 o ISO 27001, exigen visibilidad. Tienes que auditar todos los componentes que utilizas y que afectan a la integridad del sistema.
- Muchos proveedores externos dependen de las extensiones de sistema: los agentes de seguridad, los clientes VPN y los monitores de red suelen incluir sus propias extensiones, y conocer el perfil de privilegios y de comportamiento de cada proveedor es clave para gestionar el riesgo.
Límites de seguridad y delimitación de privilegios en las extensiones de sistema de Mac
Las extensiones de sistema tienen funciones concretas, entre las que pueden figurar:
- Filtrado de contenido de red
- Integración con marcos de seguridad de endpoints
- Mecanismos de sustitución de controladores
Cada extensión de sistema declara un entitlement específico e interactúa con macOS a través de canales cuidadosamente delimitados. Así se reduce el riesgo de una escalada de privilegios involuntaria y se limita el posible impacto de una actividad maliciosa.
Ciclo de vida y actualizaciones: qué tener en cuenta con las extensiones de sistema de macOS
El comportamiento de las extensiones de sistema está muy ligado a la versión de macOS que utilizas y a los modelos de permisos de privacidad vigentes. Los equipos de TI que trabajan en grandes entornos empresariales deberían planificar:
- Actualizaciones del SO: una versión importante de macOS, como el salto de macOS Tahoe (26) a macOS Golden Gate (27), puede cambiar el comportamiento de las extensiones de sistema o dejar obsoletas determinadas API.
- Solicitudes de permisos de privacidad: hay situaciones en las que se puede pedir a los usuarios que aprueben extensiones de sistema en tiempo de ejecución, así que necesitas un plan completo para orientar al usuario final.
- Frecuencia de revisión de políticas: Apple sigue evolucionando su marco de extensiones de sistema, por lo que debes estar al día y adaptarte a los cambios que afecten a tus flujos de trabajo o herramientas.
Ideas equivocadas habituales sobre las extensiones de sistema de Mac
| Idea equivocada | Realidad |
| Las extensiones de sistema de macOS son lo mismo que los controladores. | Las extensiones de sistema van más allá de los controladores. Son una capacidad de ampliación delimitada en el espacio de usuario que sustituye al peligroso acceso al kernel. |
| Cuantas más extensiones de sistema, mejor será la seguridad. | Cada extensión que utilizas amplía la superficie de ataque del dispositivo. Tu equipo de TI debe examinarlas y usarlas solo cuando sea necesario. |
| Permitir todas las extensiones de los proveedores en tu sistema es seguro. | Las extensiones, incluso con permisos delimitados, pueden debilitar la seguridad si no se examinan y autorizan como es debido. |
| Gestionar las extensiones de sistema de Mac es solo una tarea técnica. | Las extensiones de sistema son una decisión de gobernanza y de riesgo, además de una cuestión de configuración. |
Integraciones de NinjaOne para implementar extensiones de sistema de macOS
Las funciones de MDM para macOS de NinjaOne permiten a los administradores configurar y preaprobar extensiones de sistema, aplicar políticas mediante perfiles de gestión de dispositivos e integrar estos controles con los flujos de informes y cumplimiento.
Más capacidades del sistema con las extensiones de sistema de Mac
Entender las extensiones de sistema de macOS es imprescindible para los equipos de TI que trabajan con seguridad y gobernanza empresariales modernas. Representan el avance de Apple hacia una ampliación más segura, al sustituir las extensiones de kernel por componentes delimitados en el espacio de usuario que reducen el riesgo para el sistema. Las organizaciones que incorporan el conocimiento de las extensiones de sistema a sus marcos de políticas de endpoints refuerzan tanto su cumplimiento como su resiliencia operativa.
Artículos relacionados:
