← До повного змісту CIS Apple macOS 26 Tahoe Benchmark

CIS Benchmark

CIS BENCHMARK • MACOS 26 TAHOE

2.6.1-2.6.2 Служби геолокації та повний доступ до диска (Location & TCC)

Обмеження доступу до геопозиції пристрою та аудит надання привілеїв Full Disk Access додаткам.


Рекомендацій: 4


macOS 26 Tahoe v1.1.0

2.6.1.1 Переконайтеся, що служби визначення місцезнаходження ввімкнено (Автоматизовано)

• Рівень 2 (L2)Автоматизовано

Оригінал: 2.6.1.1 Ensure Location Services Is Enabled (Automated)

macOS використовує інформацію про місцезнаходження, зібрану через локальні мережі Wi-Fi, щоб увімкнути програми для надання відповідної інформації користувачам. З перевіркою операційної системи місцезнаходження, користувачам не потрібно змінювати час або часовий пояс. Комп’ютер буде змінювати їх залежно від місця розташування користувача. Для них не потрібно вказувати своє місцезнаходження погода чи час у дорозі, і вони отримуватимуть сповіщення про час у дорозі до зустрічей і зустрічі, де надається інформація про місцезнаходження. Служби визначення місцезнаходження спрощують деякі процеси з мобільними комп’ютерами, наприклад активи управління та управління часом або журналом. У деяких випадках важливо, щоб комп’ютер не міг звітувати його точне місцезнаходження. Хоча загальним випадком використання є ввімкнення служб визначення місцезнаходження, це має бути не допускається, якщо фізичне розташування комп’ютера та користувача не має бути загальнодоступним знання.

💡 Обґрунтування безпеки:

Служби визначення місцезнаходження корисні в більшості випадків використання та можуть спростити журнал і час управління, коли комп’ютери змінюють часові пояси.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Щоб переконатися, що служби визначення місцезнаходження ввімкнено, виконайте наведені нижче дії.

  1. Відкрийте налаштування системи
  2. Виберіть Конфіденційність і безпека
  3. Виберіть Служби визначення місцезнаходження
  4. Переконайтеся, що служби локації ввімкнено
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /bin/launchctl list | /usr/bin/grep -c com.apple.locationd
1
/usr/bin/sudo -u _locationd /usr/bin/osascript -l JavaScript << EOS
$.NSUserDefaults.alloc.initWithSuiteName('com.apple.locationd').objectForKey(
'LocationServicesEnabled').js
EOS
Очікуваний результат у Терміналі:
true

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб увімкнути Служби визначення місцезнаходження, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Конфіденційність і безпека
  3. Виберіть Служби визначення місцезнаходження
  4. Увімкніть служби визначення місцезнаходження
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /bin/launchctl load -w \
/System/Library/LaunchDaemons/com.apple.locationd.plist \
/usr/bin/sudo /usr/bin/defaults write \
/var/db/locationd/Library/Preferences/ByHost/com.apple.locationd \
/usr/bin/sudo /usr/bin/killall locationd

ℹ️ Примітка: У деяких випадках організації можуть не захотіти, щоб служби визначення місцезнаходження запускалися. до
вимкніть служби розташування, виконайте команду: /usr/bin/sudo /usr/bin/defaults
напишіть /var/db/locationd/Library/Preferences/ByHost/com.apple.locationd
LocationServicesEnabled -bool false

📋 CIS Controls & Нормативні посилання
  1. https://support.apple.com/en-us/HT204690
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

2.6.1.2 Переконайтеся, що «Показувати піктограму розташування в Центрі керування, коли системні служби запитують ваше місцезнаходження» ввімкнено (Автоматизовано)

• Рівень 2 (L2)Автоматизовано

Оригінал: 2.6.1.2 Ensure 'Show Location Icon in Control Center when System Services Request Your Location' Is Enabled (Automated)

Цей параметр дає користувачеві зрозуміти поточний статус розташування Служби та програми, які їх використовують.

💡 Обґрунтування безпеки:

Apple повністю інтегрувала служби визначення місцезнаходження в macOS. Коли програми користувача отримують доступ розташування поряд із Центром керування на панелі меню відображається стрілка, щоб надати користувачам індикація, коли здійснюється доступ до їх місцезнаходження. За замовчуванням системні служби люблять час зони, погода, час у дорозі, геолокація, «Знайти мій Mac» і рекламні служби не вказує на доступ до місцезнаходження. Увімкнення «Показувати піктограму розташування на панелі меню, коли системні служби запитують ваш розташування» показуватиме стрілку в центрі керування під час системної служби отримує доступ до місцезнаходження. Хоча вказівка на те, що було отримано доступ до місцезнаходження, Control Центр лише скаже, що до нього звернулися «Системні служби», а не особа обслуговування. Перегляд системних налаштувань > Служби визначення місцезнаходження > Системні служби > Подробиці… покаже, які саме системні служби останнього отримували доступ до Служб визначення місцезнаходження 24 години. Інструменти сторонніх розробників відображатимуться окремо, коли вони отримають доступ до геоданих послуги.

⚠️ Вплив на робочий процес (Impact):

Користувачам може бути надано видимість налаштувань, які вони не можуть контролювати, якщо організації контролюють Служби локації в усьому світі відповідно до політики.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте наведені нижче дії, щоб перевірити налаштування піктограми служб визначення місцезнаходження на панелі меню:

  1. Відкрийте налаштування системи
  2. Виберіть Конфіденційність і безпека
  3. Виберіть Служби визначення місцезнаходження
  4. Виберіть Деталі...
  5. Перевірте. Показати піктограму розташування на панелі меню, коли запит системних служб для вашого розташування встановлено на True
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
$.NSUserDefaults.alloc.initWithSuiteName('com.apple.locationmenu').objectForKey('ShowSystemServices').js
EOS
Очікуваний результат у Терміналі:
true

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Виконайте такі кроки, щоб установити, чи буде піктограма служб визначення місцезнаходження на панелі меню:

  1. Відкрийте налаштування системи
  2. Виберіть Конфіденційність і безпека
  3. Виберіть Служби визначення місцезнаходження
  4. Виберіть Деталі...
  5. Увімкніть «Показувати значок розташування на панелі меню, коли системні служби запитують ваше місцезнаходження».
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/bin/defaults write \
/Library/Preferences/com.apple.locationmenu.plist ShowSystemServices -bool

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

2.6.1.3 Аудит доступу до служб визначення місцезнаходження (Вручну)

• Рівень 2 (L2)Вручну

Оригінал: 2.6.1.3 Audit Location Services Access (Manual)

macOS використовує інформацію про місцезнаходження, зібрану через локальні мережі Wi-Fi, щоб увімкнути програми для надання відповідної інформації користувачам. Хоча Служби визначення місцезнаходження можуть бути дуже корисно, можливо, небажано дозволяти всім програмам, які можуть використовувати геодані Служби для використання вашого місцезнаходження для запитів в Інтернеті з метою надання персоналізованого вмісту на основі вашого поточного місцезнаходження. Переконайтеся, що програми, які можуть використовувати Служби визначення місцезнаходження, авторизовані та надайте це інформація про взаємодію програми із зовнішніми системами. Apple пропонує відгуки у системних налаштуваннях і може бути ввімкнено для надання інформації на панелі меню коли використовуються Служби визначення місцезнаходження. Safari може забороняти доступ із веб-сайтів або запитувати доступ. Програми, які підтримують Служби визначення місцезнаходження, можна окремо контролювати в конфіденційності на вкладці «Безпека та конфіденційність» у розділі «Системні налаштування». Необхідно оцінити доступ, щоб переконатися, що елементи керування конфіденційністю відповідають очікуванням.

💡 Обґрунтування безпеки:

Контроль конфіденційності слід контролювати для належних налаштувань.

⚠️ Вплив на робочий процес (Impact):

Багато функцій macOS покладаються на Служби визначення місцезнаходження для отримання спеціальної інформації. Користувачі очікують їхній часовий пояс і погода відповідають тому, де вони знаходяться, без ручного керування втручання. Додатку Find my Mac потрібно знати, де насправді знаходиться ваш Mac. Де Можливо, толерантність між конфіденційністю розташування та зручністю краще залишити користувача, коли саме місцезнаходження не є чутливим. Якщо місцезнаходження закладу не є публічним, інформацію про місцезнаходження потрібно суворо контролювати.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі кроки, щоб перевірити, які програми ввімкнено для Служб визначення місцезнаходження:

  1. Відкрийте налаштування системи
  2. Виберіть Конфіденційність і безпека
  3. Виберіть Служби визначення місцезнаходження
  4. Переконайтеся, що програми, яким дозволено доступ до Служб локації, налаштовані відповідно до вимог вашої організації. Виконайте такі дії, щоб перевірити, які веб-сайти можуть запитувати доступ до служб локації:
  5. Відкрийте Safari
  6. Виберіть Safari на панелі меню
  7. Виберіть Налаштування
  8. Виберіть Веб-сайти
  9. Виберіть Розташування
  10. Переконайтеся, що під час відвідування інших веб-сайтів встановлено вимоги вашої організації
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/defaults read /var/db/locationd/clients.plist
Очікуваний результат у Терміналі:

Переконайтеся, що всі перелічені додатки мають авторизований дозвіл на доступ до інформації про місцезнаходження.

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Виконайте наступні кроки, щоб вимкнути непотрібним програмам доступ до Служб визначення місцезнаходження:

  1. Відкрийте налаштування системи
  2. Виберіть Конфіденційність і безпека
  3. Виберіть Служби визначення місцезнаходження
  4. Налаштуйте будь-які програми, перелічені у списку, відповідно до вимог вашої організації. Виконайте такі кроки, щоб налаштувати веб-сайти на запит дозволу на доступ до Служб визначення місцезнаходження:
  5. Відкрийте Safari
  6. Виберіть Safari на панелі меню
  7. Виберіть Налаштування
  8. Виберіть Веб-сайти
  9. Виберіть Розташування
  10. Налаштуйте під час відвідування інших веб-сайтів відповідно до вимог вашої організації
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 2.3
IG 1, 2, 3
Address Unauthorized Software Ensure that unauthorized software is either removed from use on enterprise assets or receives a documented exception. Review monthly, or more frequently.

CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V7: 2.6
IG 1, 2, 3
Address unapproved software Ensure that unauthorized software is either removed or the inventory is updated in a timely manner

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

2.6.2.1 Аудит повного доступу до диска для програм (Вручну)

• Рівень 2 (L2)Вручну

Оригінал: 2.6.2.1 Audit Full Disk Access for Applications (Manual)

Починаючи з macOS 10.14 Mojave, Apple представила Transparency, Consent і Контроль (TCC) для підвищення конфіденційності користувачів, вимагаючи від програм отримання явного дозволу перед доступом до конфіденційних даних або функцій системи. Повний доступ до диска (Full Disk Access) (FDA) є конфіденційністю категорія, якою керує структура TCC (Прозорість, Згода та Контроль). Це контролює, чи програми можуть отримати доступ до певних захищених областей файлової системи, наприклад Пошта, Повідомлення, дані Safari та системні журнали.

💡 Обґрунтування безпеки:

Лише програми від перевірених розробників із законною робочою потребою, як-от інструменти моніторингу безпеки або керування системою — слід надати повний доступ до диска. Необхідно регулярно перевіряти доступ і надійність програм.

⚠️ Вплив на робочий процес (Impact):

Програми з повним доступом до диска можуть отримувати доступ до даних із певних захищених областей файлова система, як-от Пошта, Повідомлення, дані Safari та системні журнали.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб перевірити, які програми мають повний доступ до диска:

  1. Відкрийте налаштування системи
  2. Виберіть Конфіденційність і безпека
  3. Виберіть «Повний доступ до диска».
  4. Переконайтеся, що програми налаштовані відповідно до вимог вашої організації
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/sqlite3 /Library/Application\
Support/com.apple.TCC/TCC.db 'select client from access where auth_value and
Очікуваний результат:
service = "kTCCServiceSystemPolicyAllFiles"'
Результатом буде те, для яких програм увімкнено повний доступ до диска.

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб налаштувати повний доступ до диска для програм, які відповідають вимогам вашої організації:

  1. Відкрийте налаштування системи
  2. Виберіть Конфіденційність і безпека
  3. Виберіть «Повний доступ до диска».
  4. Налаштуйте будь-які перелічені програми відповідно до вимог вашої організації
  5. (Додатково) Виберіть +, щоб додати програми до списку, або -, щоб видалити їх
📋 CIS Controls & Нормативні посилання
  1. https://support.apple.com/guide/security/controlling-app-access-to-files-secddd1d86a6/web
  2. https://lapcatsoftware.com/articles/FullDiskAccess.html
  3. https://www.techrepublic.com/article/secure-mac-data-full-disk-access/
  4. https://support.intego.com/hc/en-us/articles/360016683471-Enable-Full-Disk-Access-in-macOS
  5. https://jumpcloud.com/support/grant-full-disk-access-permissions-to-the-jumpcloud-agent-for-macos
  6. https://docs.metallic.io/metallic/enabling_full_disk_access_for_macos.html
  7. https://knowledge.broadcom.com/external/article/176368/configuring-mdm-
  8. profiles-for-full-disk-a.html
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V8: 16.7
IG 1, 2
Use Standard Hardening Configuration Templates for Application Infrastructure Use standard, industry-recommended hardening configuration templates for application infrastructure components. This includes underlying servers, databases, and web servers, and applies to cloud containers, Platform as a Service (PaaS) components, and SaaS components. Do not allow in-house developed software to weaken configuration hardening.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


До повного змісту CIS Apple macOS Benchmark →