← До повного змісту CIS Apple macOS 26 Tahoe Benchmark

CIS Benchmark

CIS BENCHMARK • MACOS 26 TAHOE

2.13 Безпека облікових записів та гостьового входу (Users & Groups)

Повне вимкнення Guest Account, заборона доступу гостей до спільних папок та вимкнення автоматичного входу.


Рекомендацій: 3


macOS 26 Tahoe v1.1.0

2.13.1 Переконайтеся, що обліковий запис гостя вимкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.13.1 Ensure Guest Account Is Disabled (Automated)

Гостьовий обліковий запис дозволяє користувачам отримувати доступ до системи без необхідності створення обліковий запис або пароль. Гостьові користувачі не можуть і не можуть змінювати налаштування дистанційний вхід в систему. Усі файли, кеші та паролі, створені гостем видаляються після виходу з системи.

💡 Обґрунтування безпеки:

Вимкнення облікового запису гостя знижує ризик того, що ненадійний користувач виконує базові дії розвідка та, можливо, використання атак на підвищення привілеїв, щоб взяти під контроль система.

⚠️ Вплив на робочий процес (Impact):

Користувач-гость може використовувати цей доступ для отримання додаткової інформації про систему і, можливо, зможе використовувати вразливі місця підвищення привілеїв для встановлення більшого доступу.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб переконатися, що гостьовий обліковий запис недоступний:

  1. Відкрийте налаштування системи
  2. Виберіть Користувачі та групи
  3. Виберіть i поруч із гостем
  4. Переконайтеся, що параметр «Дозволити гостям входити на цей комп’ютер» вимкнено
  5. — АБО —
  6. Відкрийте налаштування системи
  7. Виберіть Загальні
  8. Виберіть Керування пристроєм
  9. Переконайтеся, що для встановленого профілю для параметра «Вимкнути обліковий запис гостя» встановлено значення «Правда».
  10. Переконайтеся, що встановлений профіль для параметра «Увімкнути гостьовий обліковий запис» встановлено значення «Хибне».
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
function run() {
  let pref1 =
ObjC.unwrap($.NSUserDefaults.alloc.initWithSuiteName('com.apple.MCX').objectForKey('DisableGuestAccount'))
  let pref2 =
ObjC.unwrap($.NSUserDefaults.alloc.initWithSuiteName('com.apple.MCX').objectForKey('EnableGuestAccount'))
  let pref3 =
ObjC.unwrap($.NSUserDefaults.alloc.initWithSuiteName('com.apple.loginwindow')
\
  .objectForKey('GuestEnabled'))
  if (( pref1 == 1 && pref2 == 0 ) || ( pref3 == 0 )) {
    return("true")
  } else {
    return("false")
  }
}
EOS
Очікуваний результат у Терміналі:
true

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб вимкнути доступність гостьового облікового запису, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Користувачі та групи
  3. Виберіть i поруч із гостем
  4. Вимкніть параметр «Дозволити гостям входити на цей комп’ютер».
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/bin/defaults write \
/Library/Preferences/com.apple.loginwindow GuestEnabled -bool false

📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType — com.apple.MCX
  2. Ключ, який потрібно включити, це DisableGuestAccount
  3. Ключ повинен бути встановлений на
  4. Ключ, який потрібно включити, — EnableGuestAccount
  5. Ключ повинен бути встановлений на
ℹ️ Додаткова інженерна інформація (Additional Information):

За замовчуванням обліковий запис гостя ввімкнено для доступу до служб спільного доступу, але йому заборонено ввійти на комп’ютер. Для облікового запису гостя не потрібен пароль, якщо його включено для входу в комп’ютер. Тільки внутрішні – загальні

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 5.2
IG 1, 2, 3
Use Unique Passwords Use unique passwords for all enterprise assets. Best practice implementation includes, at a minimum, an 8-character password for accounts using MFA and a 14- character password for accounts not using MFA.

CIS Controls V8: 6.2
IG 1, 2, 3
Establish an Access Revoking Process Establish and follow a process, preferably automated, for revoking access to enterprise assets, through disabling accounts immediately upon termination, rights revocation, or role change of a user. Disabling accounts, instead of deleting accounts, may be necessary to preserve audit trails.

CIS Controls V8: 6.8
IG 1
Define and Maintain Role-Based Access Control Define and maintain role-based access control, through determining and documenting the access rights necessary for each role within the enterprise to successfully carry out its assigned duties. Perform access control reviews of enterprise assets to validate that all privileges are authorized, on a recurring schedule at a minimum annually, or more frequently.

CIS Controls V7: 4.4
IG 1, 2
Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.

2.13.2 Переконайтеся, що гостьовий доступ до спільних папок вимкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.13.2 Ensure Guest Access to Shared Folders Is Disabled (Automated)

Якщо дозволити гостям підключатися до спільних папок, користувачі зможуть отримати доступ до вибраних спільних папок папки та їх вміст з різних комп’ютерів у мережі.

💡 Обґрунтування безпеки:

Якщо заборонити гостям підключатися до спільних папок, це зменшить ризик ненадійного користувача проведення базової розвідки та, можливо, використання атак ескалації привілеїв контроль системи.

⚠️ Вплив на робочий процес (Impact):

Неавторизовані користувачі можуть отримати доступ до спільних файлів у системі.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб переконатися, що гості не можуть підключитися до спільних папок:

  1. Відкрийте налаштування системи
  2. Виберіть Користувачі та групи
  3. Виберіть i поруч із гостем
  4. Переконайтеся, що параметр «Дозволити гостям підключатися до спільних папок» вимкнено
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/sbin/sysadminctl -smbGuestAccess status
Очікуваний результат у Терміналі:
У виводі має бути зазначено: SMB guest access disabled.

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Виконайте наведені нижче дії, щоб більше не дозволяти гостьовим користувачам доступ до спільних папок:

  1. Відкрийте налаштування системи
  2. Виберіть Користувачі та групи
  3. Виберіть i поруч із гостем
  4. Вимкніть параметр «Дозволити гостям підключатися до спільних папок».
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/sbin/sysadminctl -smbGuestAccess off

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

2.13.3 Переконайтеся, що автоматичний вхід вимкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.13.3 Ensure Automatic Login Is Disabled (Automated)

Функція автоматичного входу зберігає облікові дані користувача для доступу до системи та обходить екран входу. Натомість система автоматично завантажується на екран робочого столу користувача.

💡 Обґрунтування безпеки:

Вимкнення автоматичного входу зменшує ймовірність проникнення неавторизованої особи доступ до системи.

⚠️ Вплив на робочий процес (Impact):

Якщо автоматичний вхід не вимкнено, неавторизований користувач може отримати доступ до системи без надання облікових даних.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте наступні кроки, щоб переконатися, що автоматичний вхід не ввімкнено:

  1. Відкрийте налаштування системи
  2. Виберіть Користувачі та групи
  3. Переконайтеся, що для параметра Автоматичний вхід як... встановлено значення Вимк
  4. — АБО —
  5. Відкрийте налаштування системи
  6. Виберіть Загальні
  7. Виберіть Керування пристроєм
  8. Переконайтеся, що для встановленого профілю для параметра «Вимкнути автоматичний вхід» встановлено значення «Правда».
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
function run() {
  let pref1 =
ObjC.unwrap($.NSUserDefaults.alloc.initWithSuiteName('com.apple.loginwindow')
\
  .objectForKey('com.apple.login.mcx.DisableAutoLoginClient'))
  let pref2 =
ObjC.unwrap($.NSUserDefaults.alloc.initWithSuiteName('com.apple.loginwindow')
\
  .objectForKey('autoLoginUser'))
  if ( pref1 == 1 || pref2 == null ) {
    return("true")
  } else {
    return("false")
  }
}
EOS
Очікуваний результат у Терміналі:
true

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб вимкнути автоматичний вхід, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Користувачі та групи
  3. Установіть для параметра Автоматичний вхід як... значення Вимк
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/bin/defaults delete \
/Library/Preferences/com.apple.loginwindow autoLoginUser

📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType – це com.apple.loginwindow
  2. Ключ, який потрібно включити, це com.apple.login.mcx.DisableAutoLoginClient
  3. Ключ повинен бути встановлений на
ℹ️ Примітка: Якщо профіль увімкнено і користувач налаштований на автоматичний вхід, профіль буде приймати
прецедент. У цьому випадку також має бути графічний або термінальний метод виправлення
застосовується у разі видалення профілю.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.7
IG 1, 2, 3
Manage Default Accounts on Enterprise Assets and Software Manage default accounts on enterprise assets and software, such as root, administrator, and other pre-configured vendor accounts. Example implementations can include: disabling default accounts or making them unusable.

CIS Controls V7: 4.2
IG 1, 2, 3
Change Default Passwords Before deploying any new asset, change all default passwords to have values consistent with administrative level accounts.

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


До повного змісту CIS Apple macOS Benchmark →