← До повного змісту CIS Apple macOS 26 Tahoe Benchmark

CIS Benchmark

CIS BENCHMARK • MACOS 26 TAHOE

2.11 Параметри екрана блокування та заставки (Lock Screen)

Таймаути блокування екрана (до 15 хв), негайний запит пароля при пробудженні та інформаційні банери.


Рекомендацій: 5


macOS 26 Tahoe v1.1.0

2.11.1 Переконайтеся, що інтервал бездіяльності становить 15 хвилин або менше, щоб екранну заставку було ввімкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.11.1 Ensure an Inactivity Interval of 15 Minutes Or Less for the Screen Saver Is Enabled (Automated)

Екранна заставка блокування є одним із стандартних засобів безпеки для обмеження доступу до a комп’ютера та поточного сеансу користувача, коли комп’ютер тимчасово не використовується або без нагляду. У macOS екранна заставка запускається після вибору значення в спадній внизу меню. 15 хвилин або менше є прийнятним значенням. Можна вибрати будь-яке значення через командний рядок або сценарій, але число, яке не відображається в GUI, може бути проблематично. 15 хвилин є стандартним для нових облікових записів.

💡 Обґрунтування безпеки:

Встановлення інтервалу неактивності для екранної заставки запобігає несанкціонованим особам перегляд системи, залишеної без нагляду протягом тривалого періоду часу.

⚠️ Вплив на робочий процес (Impact):

Якщо заставку не встановлено, користувачі можуть залишити комп’ютер доступним для несанкціонований доступ до інформації.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте наведені нижче дії, щоб переконатися, що екранну заставку налаштовано на активацію після 15 хвилин бездіяльності або менше:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Керування пристроєм
  4. Переконайтеся, що для встановленого профілю час простою встановлено на ≤900
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
function run() {
  let timeout =
ObjC.unwrap($.NSUserDefaults.alloc.initWithSuiteName('com.apple.screensaver')
\
.objectForKey('idleTime'))
  if ( timeout <= 900 ) {
    return("true")
  } else {
    return("false")
  }
}
EOS
Очікуваний результат у Терміналі:
true

⚙️ Виправлення (Remediation / Налаштування)
📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType — це com.apple.screensaver
  2. Ключ, який потрібно включити, це idleTime
  3. Ключ має бути <≤900>
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.3
IG 1, 2, 3
Configure Automatic Session Locking on Enterprise Assets Configure automatic session locking on enterprise assets after a defined period of inactivity. For general purpose operating systems, the period must not exceed 15 minutes. For mobile end-user devices, the period must not exceed 2 minutes.

CIS Controls V7: 16.11
IG 1, 2, 3
Lock Workstation Sessions After Inactivity Automatically lock workstation sessions after a standard period of inactivity.

2.11.2 Переконайтеся, що параметр «Запитувати пароль» після запуску заставки або вимкнення дисплея ввімкнено протягом 5 секунд або одразу (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.11.2 Ensure Require Password After Screen Saver Begins or Display Is Turned Off Is Enabled for 5 Seconds or Immediately (Automated)

Режими сну та екранної заставки – це режими низького споживання електроенергії споживання, коли система не використовується.

💡 Обґрунтування безпеки:

Запит на введення пароля під час пробудження з режиму сну або екранної заставки пом’якшує проблему загроза неавторизованого доступу до системи за відсутності користувача.

⚠️ Вплив на робочий процес (Impact):

Без блокування екрана будь-хто, хто має фізичний доступ до комп’ютера, був би увійшли в систему та можуть використовувати сеанс активного користувача.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте наведені нижче дії, щоб перевірити, чи потрібен пароль для виходу з режиму сну або заставки:

  1. Відкрийте налаштування системи
  2. Виберіть Екран блокування
  3. Переконайтеся, що для параметра Запитувати пароль після запуску заставки або вимкнення дисплея встановлено параметр Через 0 секунд або Через 5 секунд
  4. — АБО —
  5. Відкрийте налаштування системи
  6. Виберіть Загальні
  7. Виберіть Керування пристроєм
  8. Переконайтеся, що для встановленого профілю для параметра «Запитувати пароль» встановлено значення True
  9. Переконайтеся, що для того самого встановленого профілю для параметра Затримка запиту пароля встановлено значення <0,5>
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/sbin/sysadminctl -screenLock status

Очікуваний результат повинен містити screenLock delay is immediate або screenLock delay is 5 seconds (або менше).

Або виконайте команду для перевірки профілю MDM щодо обов'язкового пароля після режиму сну чи заставки:

/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
function run() {
  let pref1 = ObjC.unwrap($.NSUserDefaults.alloc.initWithSuiteName('com.apple.screensaver').objectForKey('askForPassword'))
  let pref2 = ObjC.unwrap($.NSUserDefaults.alloc.initWithSuiteName('com.apple.screensaver').objectForKey('askForPasswordDelay'))
  if ( pref1 == 1 && pref2 <= 5 ) {
    return("true")
  } else {
    return("false")
  }
}
EOS

Очікуваний результат: true.

Очікуваний результат у Терміналі:
true

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб увімкнути пароль для розблокування після запуску заставки або після сну:

  1. Відкрийте налаштування системи
  2. Виберіть Екран блокування
  3. Встановіть параметр «Запитувати пароль після запуску заставки або вимкнення дисплея» через 0 секунд або через 5 секунд
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/sbin/sysadminctl -screenLock immediate -password \
/usr/bin/sudo /usr/sbin/sysadminctl -screenLock 5 seconds -password

📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType — це com.apple.screensaver
  2. Ключ, який потрібно включити, це askForPassword
  3. Ключ повинен бути встановлений на
  4. Ключ, який також слід включити, це askForPasswordDelay
  5. Ключ повинен бути встановлений на <0,5>
ℹ️ Додаткова інженерна інформація (Additional Information):

Це захищає систему лише під час роботи заставки. Примітка. Перевірка командного рядка в попередніх версіях тесту не працює належним чином. Використання профілю рекомендується як для впровадження, так і для аудиту в системі 10.13 або пізнішої версії. Тільки внутрішні – загальні

📋 CIS Controls & Нормативні посилання
  1. https://blog.kolide.com/screensaver-security-on-macos-10-13-is-broken-a385726e2ae2
  2. https://github.com/rtrouton/profiles/blob/master/SetDefaultScreensaver/SetDefaul
  3. tScreensaver.mobileconfig
CIS Controls V8: 4.7
IG 1, 2, 3
Manage Default Accounts on Enterprise Assets and Software Manage default accounts on enterprise assets and software, such as root, administrator, and other pre-configured vendor accounts. Example implementations can include: disabling default accounts or making them unusable.

CIS Controls V7: 4.2
IG 1, 2, 3
Change Default Passwords Before deploying any new asset, change all default passwords to have values consistent with administrative level accounts.

2.11.3 Переконайтеся, що спеціальне повідомлення для екрана входу ввімкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.11.3 Ensure a Custom Message for the Login Screen Is Enabled (Automated)

Попередження про доступ інформує користувача про те, що система зарезервована лише для авторизованого використання, і що використання системи може контролюватися.

💡 Обґрунтування безпеки:

Попередження про доступ може зменшити схильність випадкового зловмисника атакувати систему. Попередження про доступ також можуть допомогти в судовому переслідуванні зловмисника, довівши знання зловмисником приватного статусу системи, політики прийнятного використання та вимоги авторизації.

⚠️ Вплив на робочий процес (Impact):

Якщо користувачів не поінформовано про їхні обов’язки, можуть виникнути несхвалені дії. Користувачі, яким не дозволено доступ, можуть прийняти відсутність попереджувального банера як неявна згода на доступ.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб переконатися, що банер входу налаштовано:

  1. Відкрийте налаштування системи
  2. Виберіть Екран блокування
  3. Перевірка. Увімкнуто параметр «Показувати повідомлення під час блокування».
  4. Виберіть Встановити
  5. Переконайтеся, що відображене повідомлення налаштовано відповідно до необхідного для вашої організації тексту
  6. — АБО —
  7. Відкрийте налаштування системи
  8. Виберіть Загальні
  9. Виберіть Керування пристроєм
  10. Переконайтеся, що встановлений профіль має текст банера, налаштований на необхідний для вашої організації текст
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
$.NSUserDefaults.alloc.initWithSuiteName('com.apple.loginwindow').objectForKey('LoginwindowText').js
EOS
Очікуваний результат:
Результатом має бути повідомлення, налаштоване відповідно до необхідного тексту вашої організації.
приклад:
% /usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS $.NSUserDefaults.alloc.initWithSuiteName('com.apple.loginwindow').objectForKey('LoginwindowText').js EOS Тестове повідомлення Центру безпеки в Інтернеті

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Виконайте наведені нижче дії, щоб увімкнути банер для входу, налаштований на необхідний для вашої організації текст:

  1. Відкрийте налаштування системи
  2. Виберіть Екран блокування
  3. Увімкніть параметр «Показувати повідомлення під час блокування».
  4. Виберіть Встановити
  5. Вставте текст у поле Налаштування відображення повідомлення на екрані блокування, який відповідає вимогам вашої організації
  6. Виберіть Готово
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/bin/defaults write \
/Library/Preferences/com.apple.loginwindow LoginwindowText "" \
/usr/bin/sudo /usr/bin/defaults write \
/Library/Preferences/com.apple.loginwindow LoginwindowText "Center for

📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType – це com.apple.loginwindow
  2. Ключ, який потрібно включити, це LoginwindowText
  3. Ключ має бути встановлено на <потрібно вашій організації
  4. текст>
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

2.11.4 Переконайтеся, що вікно входу відображається як ім’я та пароль увімкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.11.4 Ensure Login Window Displays as Name and Password Is Enabled (Automated)

Вікно входу пропонує користувачу ввести облікові дані, перевіряє його авторизацію рівень, а потім дозволяє або забороняє доступ користувача до системи.

💡 Обґрунтування безпеки:

Запропонувати користувачеві ввести ім’я користувача та пароль вдвічі складніше щоб неавторизовані користувачі могли отримати доступ до системи, оскільки вони повинні виявити два атрибути.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте наступні дії, щоб переконатися, що вікно входу відображає ім’я та пароль:

  1. Відкрийте налаштування системи
  2. Виберіть Екран блокування
  3. Переконайтеся, що для вікна входу встановлено ім’я та пароль
  4. — АБО —
  5. Відкрийте налаштування системи
  6. Виберіть Загальні
  7. Виберіть Керування пристроєм
  8. Переконайтеся, що для встановленого профілю для параметра «Показати повне ім’я» встановлено значення «Правда».
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
$.NSUserDefaults.alloc.initWithSuiteName('com.apple.loginwindow').objectForKey('SHOWFULLNAME').js
EOS
Очікуваний результат у Терміналі:
true

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Виконайте наступні дії, щоб ім’я та пароль відображалися у вікні входу:

  1. Відкрийте налаштування системи
  2. Виберіть Екран блокування
  3. Установіть для параметра «Відображається вікно входу» значення Ім’я та Пароль
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/bin/defaults write \
/Library/Preferences/com.apple.loginwindow SHOWFULLNAME -bool true

📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType – це com.apple.loginwindow
  2. Ключ, який потрібно включити, це SHOWFULLNAME
  3. Ключ повинен бути встановлений на
ℹ️ Примітка: Графічний інтерфейс не відображатиме оновлені налаштування, доки поточний(і) користувач(и) не вийде(ють).

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

2.11.5 Переконайтеся, що параметр Показувати підказки пароля вимкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.11.5 Ensure Show Password Hints Is Disabled (Automated)

Підказки щодо пароля – це створений користувачем текст, який відображається, коли використовується неправильний пароль обліковий запис.

💡 Обґрунтування безпеки:

Підказки паролів полегшують неавторизованим особам доступ до систем відображення інформації, наданої користувачем, щоб допомогти запам’ятати пароль. Це інформація може включати сам пароль або іншу інформацію, яку можна легко отримати розрізняються з базовими знаннями кінцевого користувача.

⚠️ Вплив на робочий процес (Impact):

Користувач може встановити для підказки будь-яке значення, включаючи сам пароль або дозволені підказки тривіальні атаки соціальної інженерії.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб перевірити, чи відображаються підказки щодо пароля:

  1. Відкрийте налаштування системи
  2. Виберіть Екран блокування
  3. Переконайтеся, що параметр Показувати підказки пароля вимкнено
  4. — АБО —
  5. Відкрийте налаштування системи
  6. Виберіть Загальні
  7. Виберіть Керування пристроєм
  8. Переконайтеся, що для встановленого профілю встановлено значення 0
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
$.NSUserDefaults.alloc.initWithSuiteName('com.apple.loginwindow').objectForKey('RetriesUntilHint').js
EOS
Очікуваний результат у Терміналі:
0

ℹ️ Примітка: У macOS 26 Tahoe встановлення значення для ключа RetriesUntilHint (або plist)
відмінний від 0 призведе до появи піктограми підказки зі знаком питання у вікні входу.
Встановлення цього значення на 0 є єдиним остаточним способом гарантувати, що це не з’явиться.

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб вимкнути показ підказок пароля, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Екран блокування
  3. Вимкніть «Показувати підказки щодо пароля».
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/bin/defaults write \
/Library/Preferences/com.apple.loginwindow RetriesUntilHint -int 0

📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType – це com.apple.loginwindow
  2. Ключ, який потрібно включити, це RetriesUntilHint
  3. Ключ повинен бути встановлений на 0
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


До повного змісту CIS Apple macOS Benchmark →