← До повного змісту CIS Apple macOS 26 Tahoe Benchmark

CIS Benchmark

CIS BENCHMARK • MACOS 26 TAHOE

1. Встановлення оновлень ПЗ та системних патчів (Updates & Patches)

Рекомендації CIS щодо своєчасного встановлення системних оновлень macOS Tahoe, патчів безпеки Apple та оновлень додатків з App Store.


Рекомендацій: 6


macOS 26 Tahoe v1.1.0

1.1 Переконайтеся, що встановлено оновлення програмного забезпечення, надані Apple (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 1.1 Ensure Apple-provided Software Updates Are Installed (Automated)

Постачальники програмного забезпечення випускають патчі безпеки та оновлення програмного забезпечення для своїх продуктів коли виявлені вразливості безпеки. Немає простого способу завершити це дії без мережевого підключення до сховища програмного забезпечення Apple. Будь ласка, переконайтеся відповідний доступ для цього елемента керування. Ця перевірка стосується лише того, що надає Apple оновлення програмного забезпечення.

💡 Обґрунтування безпеки:

Важливо, щоб ці оновлення застосовувалися вчасно, щоб запобігти несанкціонованому осіб від використання виявлених вразливостей.

⚠️ Вплив на робочий процес (Impact):

Встановлення оновлень може заважати користувачам, особливо якщо потрібне перезавантаження. Основні оновлення потрібно застосовувати після створення організаційної політики виправлення. Це також рекомендується запускати оновлення та примусовий перезапуск під час простою системи, а не під час роботи активне використання.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб переконатися, що доступні оновлення програмного забезпечення відсутні:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Оновлення програмного забезпечення
  4. Виберіть «Показати оновлення», щоб переконатися, що немає оновлень програмного забезпечення
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/defaults read \
/Library/Preferences/com.apple.SoftwareUpdate LastFullSuccessfulDate \
/usr/bin/sudo /usr/bin/defaults read \
/Library/Preferences/com.apple.SoftwareUpdate RecommendedUpdates
Очікуваний результат:
Вихід міститиме дату останньої перевірки оновлення програмного забезпечення, наприклад 2025-09-05
13:28:46 +0000 і має бути протягом 30 днів.
Виконайте цю команду, щоб переконатися, що немає оновлень, які очікують на встановлення:
Вихідні дані відображатимуть будь-які оновлення, які очікують на встановлення, наприклад:
(
{
«Відображуване ім’я» = «macOS Tahoe 26.0.1»;
«Версія дисплея» = «26.0.1»;
Ідентифікатор = “MSU_UPDATE_25A362_patch_26.0.1_minor”;
MobileSoftwareUpdate = 1;
“Ключ продукту” = “MSU_UPDATE_25A362_patch_26.0.1_minor”;
}
)
Щоб бути сумісними, обидві команди повинні проходити.

ℹ️ Примітка: Комп’ютери, які раніше інсталювали попередню версію програмного забезпечення, не пройдуть цю перевірку
якщо під час аудиту доступні попередні випуски оновлень програмного забезпечення.

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб інсталювати всі доступні оновлення програмного забезпечення:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Оновлення програмного забезпечення
  4. Виберіть Оновити все
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/sbin/softwareupdate -l

ℹ️ Примітка: Якщо одне з перелічених оновлень програмного забезпечення включає дію: перезавантажте, ви повинні
додайте прапор -R, щоб примусово перезапустити систему. Якщо оновлення системи завершено, але ні
відбувається перезапуск, тоді система перебуває в невідомому стані, який потребує майбутнього перезавантаження. Це так
рекомендується запускати оновлення та примусовий перезапуск під час простою системи, а не під час роботи
активне використання.

приклад:
% /usr/bin/sudo /usr/sbin/softwareupdate -l

Інструмент оновлення програмного забезпечення

Пошук доступного програмного забезпечення
Оновлення програмного забезпечення виявило таке нове або оновлене програмне забезпечення:
* Мітка: ProVideoFormats-2.2.7

Назва: Pro Video Formats, Версія: 2.2.7, Розмір: 9693 КБ, Рекомендовано:
ТАК,
* Мітка: інструменти командного рядка для Xcode-15.0

Назва: Інструменти командного рядка для Xcode, версія: 15.0, розмір: 721962 КБ,
Рекомендовано: ТАК,

% /usr/bin/sudo /usr/sbin/softwareupdate -i ‘ProVideoFormats-2.2.7’

Інструмент оновлення програмного забезпечення

Пошук доступного програмного забезпечення
Спроба вийти з програм: (
“com.apple.Compressor”
)
Очікування, поки користувач закриє відповідні програми
Успішно закрийте всі програми

Завантажені професійні формати відео
Встановлення Pro Video Formats
Готово з професійними відеоформатами
Готово.
У наведеному вище прикладі, якщо потрібен був перезапуск, команда для виправлення буде
/usr/bin/sudo /usr/sbin/softwareupdate -i ‘ProVideoFormats-2.2.7’ -R

ℹ️ Додаткова інженерна інформація (Additional Information):

Якщо оновлення програмного забезпечення раніше не запускалося в системі (графічний інтерфейс або в терміналі), можливо, потрібно буде прийняти ліцензійну угоду кінцевого користувача під час запуску softwareupdate -i. Якщо це необхідно, додайте опцію –agree-to-license. Тільки внутрішні – загальні

📋 CIS Controls & Нормативні посилання
  1. https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-40r4.pdf
CIS Controls V8: 7.3
IG 1, 2, 3
Perform Automated Operating System Patch Management Perform operating system updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.

CIS Controls V8: 7.4
IG 1, 2, 3
Perform Automated Application Patch Management Perform application updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.

CIS Controls V7: 3.4
IG 1, 2, 3
Deploy Automated Operating System Patch Management Tools Deploy automated software update tools in order to ensure that the operating systems are running the most recent security updates provided by the software vendor.

CIS Controls V7: 3.5
IG 1, 2, 3
Deploy Automated Software Patch Management Tools Deploy automated software update tools in order to ensure that third-party software on all systems is running the most recent security updates provided by the software vendor.

1.2 Увімкніть параметр «Завантажувати нові оновлення, коли вони доступні». (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 1.2 Ensure Download New Updates When Available Is Enabled (Automated)

У графічному інтерфейсі користувача «Установити оновлення macOS» і «Установити оновлення програми з App Store» залежать від того, чи вибрано «Завантажувати нові оновлення, коли вони доступні».

💡 Обґрунтування безпеки:

Важливо, щоб система завантажувала найновіші оновлення, щоб вони могли бути застосовується.

⚠️ Вплив на робочий процес (Impact):

Якщо «Завантажувати нові оновлення, коли вони доступні» не вибрано, оновлення можуть не виконуватися своєчасно, і система буде наражатися на додатковий ризик.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Щоб перевірити налаштування в графічному інтерфейсі:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Оновлення програмного забезпечення
  4. Виберіть i
  5. Переконайтеся, що ввімкнено параметр Завантажувати нові оновлення, коли вони доступні
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
$.NSUserDefaults.alloc.initWithSuiteName('com.apple.SoftwareUpdate').objectForKey('AutomaticDownload').js
EOS
Очікуваний результат у Терміналі:
true

ℹ️ Примітка: Якщо під час налаштування системи було вибрано автоматичні оновлення, цей параметр може не відображатися
залишили артефакт, який можна перевірити. Будь ласка, вимкніть перевірку та знову ввімкніть, коли GUI
не відображає перевірених результатів.

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб застосувати налаштування в графічному інтерфейсі:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Оновлення програмного забезпечення
  4. Виберіть i
  5. Увімкніть параметр Завантажувати нові оновлення, коли вони доступні
  6. Виберіть Готово
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/bin/defaults write \
/Library/Preferences/com.apple.SoftwareUpdate AutomaticDownload -bool true

📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType – це com.apple.SoftwareUpdate
  2. Ключ, який потрібно включити, це AutomaticDownload
  3. Ключ повинен бути встановлений на
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 7.3
IG 1, 2, 3
Perform Automated Operating System Patch Management Perform operating system updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.

CIS Controls V8: 7.4
IG 1, 2, 3
Perform Automated Application Patch Management Perform application updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.

CIS Controls V7: 3.4
IG 1, 2, 3
Deploy Automated Operating System Patch Management Tools Deploy automated software update tools in order to ensure that the operating systems are running the most recent security updates provided by the software vendor.

CIS Controls V7: 3.5
IG 1, 2, 3
Deploy Automated Software Patch Management Tools Deploy automated software update tools in order to ensure that third-party software on all systems is running the most recent security updates provided by the software vendor.

1.3 Переконайтеся, що встановлення оновлень macOS увімкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 1.3 Ensure Install of macOS Updates Is Enabled (Automated)

Переконайтеся, що оновлення macOS встановлено після того, як вони будуть доступні від Apple. Це налаштування дозволяє автоматично встановлювати оновлення macOS. Деякі середовища будуть хочуть затверджувати та тестувати оновлення перед їх доставкою. Це найкраща практика для тестування спочатку там, де оновлення можуть і призвели до збоїв у роботі. Автоматичні оновлення слід вимкнути там, де зміни жорстко контролюються та є зріле тестування та процеси затвердження. Автоматичне оновлення не слід вимикати просто для того, щоб дозволити адміністратор, щоб зв’язатися з користувачами, щоб перевірити встановлення. Надійний, повторюваний процес із залученням агента виправлення або інструмента віддаленого керування повинен бути встановлений раніше автоматичне оновлення вимкнено.

💡 Обґрунтування безпеки:

Патчі потрібно застосовувати своєчасно, щоб зменшити ризик появи вразливостей експлуатовані.

⚠️ Вплив на робочий процес (Impact):

Невиправлене програмне забезпечення може бути використано.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб переконатися, що оновлення macOS налаштовано на автоматичне оновлення:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Оновлення програмного забезпечення
  4. Виберіть i
  5. Переконайтеся, що ввімкнено параметр «Встановлювати оновлення macOS».
  6. — АБО —
  7. Відкрийте налаштування системи
  8. Виберіть Загальні
  9. Виберіть Керування пристроєм
  10. Переконайтеся, що встановлений профіль має значення «Автоматична інсталяція оновлень macOS».
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
$.NSUserDefaults.alloc.initWithSuiteName('com.apple.SoftwareUpdate').objectForKey('AutomaticallyInstallMacOSUpdates').js
EOS
Очікуваний результат у Терміналі:
true

ℹ️ Примітка: Якщо під час налаштування системи було вибрано автоматичні оновлення, цей параметр може не відображатися
залишили артефакт, який можна перевірити. Будь ласка, вимкніть перевірку та знову ввімкніть, коли GUI
не відображає перевірених результатів.

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб увімкнути автоматичний запуск оновлень macOS, виконайте наведені нижче дії.

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Оновлення програмного забезпечення
  4. Виберіть i
  5. Увімкніть установку оновлень macOS
  6. Виберіть Готово
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/bin/defaults write \
/Library/Preferences/com.apple.SoftwareUpdate

📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType – це com.apple.SoftwareUpdate
  2. Ключ, який потрібно включити, це AutomaticallyInstallMacOSUpdates
  3. Ключ повинен бути встановлений на
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 7.3
IG 1, 2, 3
Perform Automated Operating System Patch Management Perform operating system updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.

CIS Controls V8: 7.4
IG 1, 2, 3
Perform Automated Application Patch Management Perform application updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.

CIS Controls V7: 3.4
IG 1, 2, 3
Deploy Automated Operating System Patch Management Tools Deploy automated software update tools in order to ensure that the operating systems are running the most recent security updates provided by the software vendor.

CIS Controls V7: 3.5
IG 1, 2, 3
Deploy Automated Software Patch Management Tools Deploy automated software update tools in order to ensure that third-party software on all systems is running the most recent security updates provided by the software vendor.

1.4 Переконайтеся, що ввімкнено встановлення оновлень програми з App Store (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 1.4 Ensure Install Application Updates from the App Store Is Enabled (Automated)

Переконайтеся, що оновлення програми встановлено після того, як вони будуть доступні в Apple. Ці оновлення не вимагають перезавантаження або прав адміністратора для кінцевих користувачів.

💡 Обґрунтування безпеки:

Патчі потрібно застосовувати своєчасно, щоб зменшити ризик появи вразливостей експлуатовані.

⚠️ Вплив на робочий процес (Impact):

Невиправлене програмне забезпечення може бути використано.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб переконатися, що оновлення App Store встановлюються автоматично:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Оновлення програмного забезпечення
  4. Виберіть i
  5. Переконайтеся, що ввімкнено параметр «Встановлювати оновлення програми з App Store».
  6. — АБО —
  7. Відкрийте налаштування системи
  8. Виберіть Загальні
  9. Виберіть Керування пристроєм
  10. Переконайтеся, що для встановленого профілю для параметра Автоматична інсталяція оновлень програми встановлено значення True
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
function run() {
  let pref1 =
ObjC.unwrap($.NSUserDefaults.alloc.initWithSuiteName('com.apple.commerce').objectForKey('AutoUpdate'))
  let pref2 =
ObjC.unwrap($.NSUserDefaults.alloc.initWithSuiteName('com.apple.SoftwareUpdate').objectForKey('AutomaticallyInstallAppUpdates'))
  if ( pref1 == 1 || pref2 == 1 ) {
    return("true")
  } else {
    return("false")
  }
}
EOS
Очікуваний результат у Терміналі:
true

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб увімкнути автоматичне встановлення оновлень App Store, виконайте наведені нижче дії.

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Оновлення програмного забезпечення
  4. Виберіть i
  5. Увімкніть установку оновлень програми з App Store
  6. Виберіть Готово
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/bin/defaults write \
/Library/Preferences/com.apple.commerce AutoUpdate -bool TRUE

📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType – це com.apple.SoftwareUpdate
  2. Ключ, який потрібно включити, це AutomaticallyInstallAppUpdates
  3. Ключ повинен бути встановлений на
ℹ️ Примітка: Це виправлення потребує виходу та входу, щоб відобразити в графічному інтерфейсі користувача.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 7.3
IG 1, 2, 3
Perform Automated Operating System Patch Management Perform operating system updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.

CIS Controls V8: 7.4
IG 1, 2, 3
Perform Automated Application Patch Management Perform application updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.

CIS Controls V7: 3.4
IG 1, 2, 3
Deploy Automated Operating System Patch Management Tools Deploy automated software update tools in order to ensure that the operating systems are running the most recent security updates provided by the software vendor.

CIS Controls V7: 3.5
IG 1, 2, 3
Deploy Automated Software Patch Management Tools Deploy automated software update tools in order to ensure that third-party software on all systems is running the most recent security updates provided by the software vendor.

1.5 Переконайтеся, що відповіді безпеки встановлення та системні файли ввімкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 1.5 Ensure Install Security Responses and System Files Is Enabled (Automated)

Переконайтеся, що оновлення системи та безпеки встановлено після того, як вони стануть доступними з Яблуко. Цей параметр дозволяє оновлювати визначення для XProtect і Gatekeeper. З цим налаштування на місці, нове зловмисне та рекламне ПЗ, які Apple додала до списку зловмисних програм або ненадійне програмне забезпечення не виконуватиметься. Ці оновлення не потребують перезавантаження або кінцевого користувача права адміністратора. Apple запровадила функцію безпеки, яка дозволяє зменшити завантаження та встановлення оновлень безпеки, коли перезавантаження не потрібно. Ця функція лише доступний, коли останнє регулярне оновлення вже застосовано. Ця функція наголошує, що комп’ютер Mac повинен мати найновіші виправлення, щоб інструменти безпеки Apple могли використовуватися для швидкого виправлення, коли потрібна швидка реакція.

💡 Обґрунтування безпеки:

Патчі потрібно застосовувати своєчасно, щоб зменшити ризик появи вразливостей експлуатовані.

⚠️ Вплив на робочий процес (Impact):

Невиправлене програмне забезпечення може бути використано.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте наведені нижче дії, щоб переконатися, що файли системних даних і оновлення безпеки інсталюються автоматично:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Оновлення програмного забезпечення
  4. Виберіть i
  5. Переконайтеся, що ввімкнено функцію «Встановлення відповідей безпеки та системних файлів».
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
function run() {
  let pref1 =
ObjC.unwrap($.NSUserDefaults.alloc.initWithSuiteName('com.apple.SoftwareUpdate').objectForKey('ConfigDataInstall'))
  let pref2 =
ObjC.unwrap($.NSUserDefaults.alloc.initWithSuiteName('com.apple.SoftwareUpdate').objectForKey('CriticalUpdateInstall'))
  if ( pref1 == 1 && pref2 == 1 ) {
    return("true")
  } else {
    return("false")
  }
}
EOS
Очікуваний результат у Терміналі:
true

ℹ️ Примітка: Якщо під час налаштування системи було вибрано автоматичні оновлення, цей параметр може не відображатися
залишили артефакт, який можна перевірити. Будь ласка, вимкніть перевірку та знову ввімкніть, коли GUI
не відображає перевірених результатів.

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб увімкнути автоматичне встановлення файлів системних даних і оновлень безпеки:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Оновлення програмного забезпечення
  4. Виберіть i
  5. Увімкніть відповіді безпеки встановлення та системні файли
  6. Виберіть Готово
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

security updates: \
/usr/bin/sudo  /usr/bin/defaults write \
/Library/Preferences/com.apple.SoftwareUpdate ConfigDataInstall -bool true \
/usr/bin/sudo  /usr/bin/defaults write \
/Library/Preferences/com.apple.SoftwareUpdate CriticalUpdateInstall -bool

📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType – це com.apple.SoftwareUpdate
  2. Ключ, який потрібно включити, це ConfigDataInstall
  3. Ключ повинен бути встановлений на
  4. Ключ, який також потрібно включити, це CriticalUpdateInstall
  5. Ключ повинен бути встановлений на
📋 CIS Controls & Нормативні посилання
  1. https://eclecticlight.co/2021/10/27/silently-updated-security-data-files-in-monterey/
  2. https://support.apple.com/en-us/HT202491
  3. https://support.apple.com/guide/security/protecting-against-malware-sec469d47bd8/web
  4. https://support.apple.com/guide/deployment/rapid-security-responses-
  5. dep93ff7ea78/1/web/1.0
CIS Controls V8: 7.3
IG 1, 2, 3
Perform Automated Operating System Patch Management Perform operating system updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.

CIS Controls V8: 7.4
IG 1, 2, 3
Perform Automated Application Patch Management Perform application updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.

CIS Controls V8: 7.7
IG 1, 2
Remediate Detected Vulnerabilities Remediate detected vulnerabilities in software through processes and tooling on a monthly, or more frequent, basis, based on the remediation process.

CIS Controls V7: 3.4
IG 1, 2, 3
Deploy Automated Operating System Patch Management Tools Deploy automated software update tools in order to ensure that the operating systems are running the most recent security updates provided by the software vendor.

CIS Controls V7: 3.5
IG 1, 2, 3
Deploy Automated Software Patch Management Tools Deploy automated software update tools in order to ensure that third-party software on all systems is running the most recent security updates provided by the software vendor.

1.6 Переконайтеся, що відстрочка оновлення програмного забезпечення становить менше або дорівнює 30 дням (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 1.6 Ensure Software Update Deferment Is Less Than or Equal to 30 Days (Automated)

Apple надає можливість керувати оновленнями програмного забезпечення на пристроях Apple через управління мобільними пристроями. Частина цих можливостей дозволяє організаціям відкласти оновлення програмного забезпечення та можливість тестування. Багато організацій мають спеціалізоване програмне забезпечення і конфігурації, на які можуть негативно вплинути оновлення Apple. Якщо програмне забезпечення оновлення відкладено, їх не можна відкладати більше ніж на 30 днів. Цей контроль лише перевіряє, чи відкладені оновлення програмного забезпечення не відкладено більше ніж на 30 днів. Примітка. Компанія Apple не підтримує програмне забезпечення, яке буде видалено в майбутніх ОС випуск/оновлення. Профіль керування пристроєм Apple — SoftwareUpdate

💡 Обґрунтування безпеки:

Оновлення програмного забезпечення Apple майже завжди включають оновлення безпеки. Зловмисники оцінюють оновлення для створення коду експлойту для атаки на невиправлені системи. Чим довше a система залишається без виправлень, тим більша ймовірність експлойту існує в ній публічно повідомлені вразливості. Оновлення програмного забезпечення, які відкладено, стосуються саме оновлень ОС, а не будь-якого іншого основні оновлення (наприклад, оновлення з macOS 15.0 до macOS 26) або програми з App Store.

⚠️ Вплив на робочий процес (Impact):

Деяким організаціям може знадобитися більше 30 днів, щоб оцінити вплив програмного забезпечення оновлення.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Щоб перевірити налаштування в графічному інтерфейсі:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Керування пристроєм
  4. Переконайтеся, що для відкладеного оновлення програмного забезпечення (днів) установлено значення ≤ 30
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
$.NSUserDefaults.alloc.initWithSuiteName('com.apple.applicationaccess').objectForKey('enforcedSoftwareUpdateDelay').js
EOS
Очікуваний результат:
Якщо вихід є, він має бути ≤ 30.

ℹ️ Примітка: Якщо ваша організація не використовує мобільну конфігурацію відстрочки програмного забезпечення,
не буде виходу і пройде аудит.

⚙️ Виправлення (Remediation / Налаштування)
📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType – це com.apple.applicationaccess
  2. Ключ, який потрібно включити, це enforcedSoftwareUpdateDelay
  3. Ключ повинен бути встановлений на <1-30>
ℹ️ Примітка: Ключ enforcedSoftwareUpdateDelay призначений для всіх оновлень через програмне забезпечення
оновлення. Якщо вашій організації потрібно відкласти основні оновлення ОС на окремому
час, ніж незначні оновлення ОС (або оновлення App Store), див. Додаткову інформацію
розділ для розбивки того, які ключі використовувати.

ℹ️ Додаткова інженерна інформація (Additional Information):

Ключі для виконання оновлень за типом такі: 1. Рядок PayloadType — com.apple.applicationaccess 2. Ключ, який потрібно включити, — enforcedSoftwareUpdateDelay 3. Для ключа має бути встановлено значення <integer><1-30></integer> 4. Ключ, який потрібно включити, — це forceDelayedSoftwareUpdates 5. Для ключа має бути встановлено значення <true/> Примітка: ці У профілі конфігурації має бути 5 елементів, незалежно від того, яку конфігурацію ви використовуєте. Для незначних затримок оновлення: 6. Ключ, який потрібно включити, — це enforcedSoftwareUpdateMinorOSDeferredInstallDelay 7. Для ключа має бути встановлено значення <integer><1-30></integer> Для великих затримок оновлення ОС: 6. Ключ, який потрібно включити, — це enforcedSoftwareUpdateMajorOSDeferredInstallDelay 7. Для ключа має бути встановлено значення <integer><set для вашої організації вимоги></integer> 8. Ключ, який потрібно включити, це forceDelayedMajorSoftwareUpdates 9. Для ключа має бути встановлено значення <true/>. Примітка: Основний ключ відстрочки все ще показуватиме, що основні оновлення недоступні, якщо для PayloadScope файлу профілю мобільної конфігурації не встановлено значення user, а не system, тобто. <string>Користувач</string> Для затримок оновлення App Store: 10. Ключ, який потрібно включити, — це enforcedSoftwareUpdateNonOSDeferredInstallDelay 11. Для ключа має бути встановлено значення <integer><1-30></integer> 12. Ключ, який потрібно включити, — це forceDelayedAppSoftwareUpdates 13. Для ключа має бути встановлено значення <true/> Примітка: для кожного налаштування, яке вимагає ваша організація повинні бути включені в той самий профіль конфігурації. Якщо кожна клавіша встановлена ​​в окремих профілях, вона не працюватиме. Тільки внутрішні – загальні

📋 CIS Controls & Нормативні посилання
  1. https://support.apple.com/guide/deployment/about-software-updates-depc4c80847a/web
CIS Controls V8: 7.3
IG 1, 2, 3
Perform Automated Operating System Patch Management Perform operating system updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.

CIS Controls V8: 7.4
IG 1, 2, 3
Perform Automated Application Patch Management Perform application updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.

CIS Controls V7: 3.4
IG 1, 2, 3
Deploy Automated Operating System Patch Management Tools Deploy automated software update tools in order to ensure that the operating systems are running the most recent security updates provided by the software vendor.

CIS Controls V7: 3.5
IG 1, 2, 3
Deploy Automated Software Patch Management Tools Deploy automated software update tools in order to ensure that third-party software on all systems is running the most recent security updates provided by the software vendor.

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


До повного змісту CIS Apple macOS Benchmark →