← До повного змісту CIS Apple macOS 26 Tahoe Benchmark

CIS Benchmark

CIS BENCHMARK • MACOS 26 TAHOE

2.6.4-2.6.8 Системний захист: Gatekeeper, FileVault та Lockdown Mode

Базові механізми захисту ядра: перевірка сертифікатів Gatekeeper, обов’язкове шифрування дисків FileVault та режим Lockdown Mode.


Рекомендацій: 5


macOS 26 Tahoe v1.1.0

2.6.4 Переконайтеся, що ввімкнено обмеження відстеження реклами (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.6.4 Ensure Limit Ad Tracking Is Enabled (Automated)

Apple надає структуру, яка дозволяє рекламодавцям орієнтуватися на користувачів Apple і кінцевих користувачів з рекламою. Хоча багато людей вважають за краще бачити релевантну рекламу їх та їхні інтереси, детальна інформація, яка збирається, співвідноситься та доступні для рекламодавців у сховищах за допомогою інтелектуального аналізу даних часто бентежать. Це інформація є цінною як для рекламодавців, так і для зловмисників, і її використовували з іншими метадані для виявлення особи користувачів. Організації повинні керувати налаштуваннями реклами на комп’ютерах, а не дозволяти користувачам щоб налаштувати параметри. Інформація про Apple Слід обмежити відстеження реклами 10.15 і попередніми версіями.

💡 Обґрунтування безпеки:

Організації повинні керувати налаштуваннями конфіденційності користувачів на керованих пристроях, щоб узгодити їх організаційні політики та вимоги щодо захисту даних користувачів.

⚠️ Вплив на робочий процес (Impact):

Користувачі бачитимуть загальну рекламу, а не цільову рекламу. Apple попереджає, що це зменшить кількість релевантних оголошень.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб переконатися, що встановлено обмежене відстеження реклами:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Керування пристроєм
  4. Переконайтеся, що для встановленого профілю параметр allowApplePersonalizedAdvertising встановлений на 0
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
$.NSUserDefaults.alloc.initWithSuiteName('com.apple.applicationaccess').objectForKey('allowApplePersonalizedAdvertising').js
EOS
Очікуваний результат у Терміналі:
false

ℹ️ Примітка: Оскільки профільний метод встановлює загальносистемні параметри, аудит окремого користувача
та/або виправлення було видалено. Для відповідності потрібно встановити профіль для
цю рекомендацію. Ми включили індивідуальну інформацію про користувача в додаткову інформацію
інформаційний розділ лише для довідки.

⚙️ Виправлення (Remediation / Налаштування)
📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType – це com.apple.applicationaccess
  2. Ключ, який потрібно включити, це allowApplePersonalizedAdvertising
  3. Ключ повинен бути встановлений на
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

2.6.5 Переконайтеся, що Gatekeeper увімкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.6.5 Ensure Gatekeeper Is Enabled (Automated)

Gatekeeper — це програма від Apple, яка використовує білий список для обмеження завантажень програм від запуску. Він функціонує як елемент керування для обмеження неперевірених програм джерела від запуску без авторизації. В оновленні Gatekeeper у macOS 13 Ventura, Gatekeeper перевіряє кожну програму під час кожного запуску, а не лише на карантині програми.

💡 Обґрунтування безпеки:

Заборона непідписаного програмного забезпечення зменшить ризик неавторизованого або зловмисного програми від запуску в системі.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб переконатися, що Gatekeeper увімкнено:

  1. Відкрийте налаштування системи
  2. Виберіть Конфіденційність і безпека
  3. Переконайтеся, що для параметра «Дозволити завантаження програм» встановлено значення «App Store і визначені розробники»
  4. — АБО —
  5. Відкрийте налаштування системи
  6. Виберіть Загальні
  7. Виберіть Керування пристроєм
  8. Переконайтеся, що для встановленого профілю встановлено політику «Увімкнути».
  9. Переконайтеся, що встановлений профіль має параметр «Дозволити для визначених розробників».
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/sbin/spctl --status
Очікуваний результат у Терміналі:
assessments enabled

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб увімкнути Gatekeeper, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Конфіденційність і безпека
  3. Установіть для параметра «Дозволити завантаження програм із» значення «App Store та ідентифіковані розробники»
📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType — com.apple.systempolicy.control
  2. Ключ, який потрібно включити, це AllowIdentifiedDevelopers
  3. Ключ повинен бути встановлений на
  4. Ключ, який також потрібно включити, це EnableAssessment
  5. Ключ повинен бути встановлений на
ℹ️ Примітка: У попередніх версіях macOS Gatekeeper можна було встановити за допомогою двійкового файлу. Це
було видалено в macOS 15 Sequoia.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 10.1
IG 1, 2, 3
Deploy and Maintain Anti-Malware Software Deploy and maintain anti-malware software on all enterprise assets.

CIS Controls V8: 10.2
IG 1, 2, 3
Configure Automatic Anti-Malware Signature Updates Configure automatic updates for anti-malware signature files on all enterprise assets.

CIS Controls V8: 10.5
IG 1, 2
Enable Anti-Exploitation Features Enable anti-exploitation features on enterprise assets and software, where possible, such as Microsoft® Data Execution Prevention (DEP), Windows® Defender Exploit Guard (WDEG), or Apple® System Integrity Protection (SIP) and Gatekeeper™.

CIS Controls V7: 8.2
IG 1, 2, 3
Ensure Anti-Malware Software and Signatures are Updated Ensure that the organization's anti-malware software updates its scanning engine and signature database on a regular basis.

CIS Controls V7: 8.4
IG 1, 2, 3
Configure Anti-Malware Scanning of Removable Devices Configure devices so that they automatically conduct an anti-malware scan of removable media when inserted or connected.

2.6.6 Переконайтеся, що FileVault увімкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.6.6 Ensure FileVault Is Enabled (Automated)

FileVault захищає дані системи, автоматично шифруючи її завантажувальний том і потрібен пароль або ключ відновлення для доступу до нього. FileVault слід використовувати зі збереженим ключем депонування, щоб гарантувати, що власник зможе розшифрувати їхні дані, якщо пароль втрачено. FileVault можна також увімкнути за допомогою командного рядка за допомогою команди fdesetup. до скористайтеся цією функцією, зверніться до блогу Der Flounder для отримання додаткової інформації (дивіться посилання нижче у розділі Посилання).

💡 Обґрунтування безпеки:

Шифрування конфіденційних даних мінімізує ймовірність отримання доступу неавторизованими користувачами до нього.

⚠️ Вплив на робочий процес (Impact):

Монтування зашифрованого тому FileVault з альтернативного джерела завантаження потребує дійсного пароль для його розшифровки. Apple також запровадила політику ескалації для невдач паролі. Щоб дізнатися більше про це, прочитайте тут: Коди доступу та паролі

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб переконатися, що FileVault увімкнено:

  1. Відкрийте налаштування системи
  2. Виберіть Конфіденційність і конфіденційність
  3. Переконайтеся, що FileVault повідомляє, що FileVault увімкнено для диска "<назва диска>"
  4. Виберіть Загальні
  5. Виберіть Керування пристроєм
  6. Переконайтеся, що для встановленого профілю FileVault Can't Disable встановлено значення True
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/fdesetup status
FileVault is On
/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
$.NSUserDefaults.alloc.initWithSuiteName('com.apple.MCX').objectForKey('dontAllowFDEDisable').js
EOS
Очікуваний результат у Терміналі:
true

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб увімкнути FileVault, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Безпека та конфіденційність
  3. Виберіть Увімкнути...
📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType — com.apple.MCX
  2. Ключ, який потрібно включити, це dontAllowFDEDisable
  3. Ключ повинен бути встановлений на
ℹ️ Примітка: Цей профіль необхідний для проходження аудиту.

ℹ️ Додаткова інженерна інформація (Additional Information):

FileVault може бути небажаним у віртуальній ОС. Поки гіпервізор і сховище файлів зашифровані, віртуальній ОС це не потрібно. Замість того, щоб перевіряти, чи ОС є віртуальною та чи передає контроль незалежно від шифрування хост-системи, буде виконано звичайну перевірку. Співробітники служби безпеки можуть оцінити комплексний контроль за межами ОС, що тестується. Частиною керування FileVault у корпоративному середовищі є забезпечення керування ключами, якщо технічному персоналу потрібно розшифрувати зашифровані томи. Більше інформації тут: https://derflounder.wordpress.com/2021/10/29/use-of-filevault-institutional-recovery-keys-no-longer-recommended-by-apple/

📋 CIS Controls & Нормативні посилання
  1. https://derflounder.wordpress.com/2015/02/02/managing-yosemites-filevault-2-with-fdesetup/
  2. https://derflounder.wordpress.com/2019/01/15/unlock-or-decrypt-your-filevault-encrypted-boot-drive-from-the-command-line-on-macos-mojave/
  3. https://derflounder.wordpress.com/2021/10/29/use-of-filevault-institutional-recovery-keys-no-longer-recommended-by-apple/
  4. https://support.apple.com/guide/security/passcodes-and-passwords-sec20230a10d/1/web/1
CIS Controls V8: 3.6
IG 1, 2, 3
Encrypt Data on End-User Devices Encrypt data on end-user devices containing sensitive data. Example implementations can include: Windows BitLocker®, Apple FileVault®, Linux® dm- crypt.

CIS Controls V8: 3.11
IG 1, 2
Encrypt Sensitive Data at Rest Encrypt sensitive data at rest on servers, applications, and databases containing sensitive data. Storage-layer encryption, also known as server-side encryption, meets the minimum requirement of this Safeguard. Additional encryption methods may include application-layer encryption, also known as client-side encryption, where access to the data storage device(s) does not permit access to the plain-text data.

CIS Controls V7: 13.6
IG 1, 2, 3
Encrypt the Hard Drive of All Mobile Devices. Utilize approved whole disk encryption software to encrypt the hard drive of all mobile devices.

CIS Controls V7: 14.8
IG 1
Encrypt Sensitive Information at Rest Encrypt all sensitive information at rest using a tool that requires a secondary authentication mechanism not integrated into the operating system, in order to access the information.

2.6.7 Режим суворого захисту (Lockdown Mode) аудиту (Вручну)

• Рівень 2 (L2)Вручну

Оригінал: 2.6.7 Audit Lockdown Mode (Manual)

Apple представила режим блокування як функцію безпеки у своїх випусках ОС 2022 року забезпечує додатковий захист безпеки, який Apple описує як екстремальний. Користувачі та організації, які підозрюють, що деякі користувачі є цілями складних атак, повинні розглянути за допомогою цього елемента керування. Коли ввімкнено режим блокування, певні надійні веб-сайти можна виключити Захист від блокування при необхідності.

💡 Обґрунтування безпеки:

Режим суворого захисту (Lockdown Mode) був розроблений Apple як агресивний підхід до звичайного атаковані функції ОС, де додаткові елементи керування можуть зменшити поверхню атаки. IT системи та пристрої, включно з їхніми користувачами, піддаються постійним спробам використання. Більшість цієї активності не є з боку досвідченого зловмисника, і її можна вважати фоновий шум для виправленого, загартованого пристрою. Просунуті зловмисники мають більше занепокоєння та аналіз ризиків, щоб зрозуміти цілі організації та використовувати режим блокування де це необхідно.

⚠️ Вплив на робочий процес (Impact):

Режим суворого захисту (Lockdown Mode) має бути належним чином перевірений на реальний вплив на користувачів використовувати. Як нова функція, недостатньо технічних звітів про вплив на користувачів.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте наступні кроки, щоб перевірити налаштування режиму блокування:

  1. Відкрийте налаштування системи
  2. Виберіть Конфіденційність і безпека
  3. Переконайтеся, що режим блокування встановлено відповідно до вимог вашої організації
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo -u  /usr/bin/defaults read .GlobalPreferences.plist
Очікуваний результат:
LDMGlobalEnabled 2>/dev/null
Коли режим блокування ввімкнено, він повертатиме 1, а коли вимкнено – 0. Якщо
Блокування ніколи не вмикалося, воно не поверне значення.

ℹ️ Примітка: Режим суворого захисту (Lockdown Mode) встановлюється для кожного локального користувача, тому ви повинні повторити кожен
локальний користувач, щоб перевірити налаштування.

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб установити режим блокування відповідно до вимог вашої організації, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Конфіденційність і безпека
  3. Установіть режим блокування відповідно до вимог вашої організації
📋 CIS Controls & Нормативні посилання
  1. https://support.apple.com/en-us/HT212650
  2. https://www.lifewire.com/use-lockdown-mode-on-mac-6454923
CIS Controls V8: 4.6
IG 1, 2, 3
Securely Manage Enterprise Assets and Software Securely manage enterprise assets and software. Example implementations include managing configuration through version-controlled-infrastructure-as-code and accessing administrative interfaces over secure network protocols, such as Secure Shell (SSH) and Hypertext Transfer Protocol Secure (HTTPS). Do not use insecure management protocols, such as Telnet (Teletype Network) and HTTP, unless operationally essential.

CIS Controls V7: 16.2
IG 1, 2
Configure Centralized Point of Authentication Configure access for all accounts through as few centralized points of authentication as possible, including network, security, and cloud systems.

2.6.8 Переконайтеся, що для доступу до загальносистемних параметрів потрібен пароль адміністратора (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.6.8 Ensure an Administrator Password Is Required to Access System-Wide Preferences (Automated)

Системні параметри контролюють налаштування системи та користувача на комп’ютері macOS. система Параметри дозволяють користувачеві налаштувати свій досвід роботи з комп’ютером дозволяючи системному адміністратору налаштовувати глобальні параметри безпеки. Деякі з налаштування має змінювати лише особа, відповідальна за комп’ютер.

💡 Обґрунтування безпеки:

Вимагаючи пароль для розблокування загальносистемних налаштувань системи, ризик користувача зміна конфігурацій, які впливають на всю систему, пом’якшується та потребує адміністратора користувач повторно автентифікується, щоб внести зміни.

⚠️ Вплив на робочий процес (Impact):

Користувачам потрібно буде ввести свій пароль, щоб розблокувати додаткові панелі налаштувань за замовчуванням розблоковано, як-от Мережа, Запуск і Принтери та сканери.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте наведені нижче дії, щоб переконатися, що для доступу до загальносистемних параметрів потрібен пароль адміністратора:

  1. Відкрийте налаштування системи
  2. Виберіть Конфіденційність і безпека
  3. Виберіть Додатково
  4. Перевірте, чи ввімкнено параметр «Вимагати пароль адміністратора для доступу до загальносистемних налаштувань».
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

authDBs=("system.preferences" "system.preferences.energysaver" \
"system.preferences.network" "system.preferences.printing" \
"system.preferences.sharing" "system.preferences.softwareupdate" \
"system.preferences.startupdisk" "system.preferences.timemachine") \
result="1" \
for section in ${authDBs[@]}; do \
if [[ $(/usr/bin/security -q authorizationdb read "$section" | \
/usr/bin/xmllint -xpath 'name(//*[contains(text(), "shared")]/following- \
/usr/bin/xmllint -xpath 'name(//*[contains(text(), "authenticate- \
/usr/bin/xmllint -xpath 'name(//*[contains(text(), "session-
Очікуваний результат:
sibling::*[1])' -) != "false" ]]; потім
результат="0"
фі
if [[ $(security -q authorizationdb read "$section" | /usr/bin/xmllint -
xpath '//*[contains(text(), "group")]/following-sibling::*[1]/text()' - ) !=
"адміністратор" ]]; потім
результат="0"
фі
if [[ $(/usr/bin/security -q authorizationdb read "$section" |
користувач")]/following-sibling::*[1])' -) != "true" ]]; тоді
результат="0"
фі
if [[ $(/usr/bin/security -q authorizationdb read "$section" |
власник")]/following-sibling::*[1])' -) != "false" ]]; потім
результат="0"
фі
зроблено
echo $результат

ℹ️ Примітка: Кожен аудит і виправлення включають sudo перед усіма командами. Це ан
виняток, оскільки authdb є змінною, і використання sudo викликає помилку у виводі.

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Виконайте наведені нижче дії, щоб переконатися, що для доступу до загальносистемних параметрів потрібен пароль адміністратора:

  1. Відкрийте налаштування системи
  2. Виберіть Конфіденційність і безпека
  3. Виберіть Додатково
  4. Увімкніть параметр «Вимагати пароль адміністратора для доступу до загальносистемних налаштувань».
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

authDBs=("system.preferences" "system.preferences.energysaver" \
"system.preferences.network" "system.preferences.printing" \
"system.preferences.sharing" "system.preferences.softwareupdate" \
"system.preferences.startupdisk" "system.preferences.timemachine") \
for section in ${authDBs[@]}; do \
/usr/bin/security -q authorizationdb read "$section" > \
"/tmp/$section.plist" \
class_key_value=$(usr/libexec/PlistBuddy -c "Print :class" \
"/tmp/$section.plist" 2>&1) \
if [[ "$class_key_value" == *"Does Not Exist"* ]]; then \
/usr/libexec/PlistBuddy -c "Add :class string user" \
"/tmp/$section.plist" \
else \
/usr/libexec/PlistBuddy -c "Set :class user" "/tmp/$section.plist" \
fi \
key_value=$(/usr/libexec/PlistBuddy -c "Print :shared" \
"/tmp/$section.plist" 2>&1) \
if [[ "$key_value" == *"Does Not Exist"* ]]; then \
/usr/libexec/PlistBuddy -c "Add :shared bool false" \
"/tmp/$section.plist" \
else \
/usr/libexec/PlistBuddy -c "Set :shared false" "/tmp/$section.plist" \
fi \
auth_user_key=$(/usr/libexec/PlistBuddy -c "Print :authenticate-user" \
"/tmp/$section.plist" 2>&1) \
if [[ "$auth_user_key" == *"Does Not Exist"* ]]; then \
/usr/libexec/PlistBuddy -c "Add :authenticate-user bool true" \
"/tmp/$section.plist" \
else \
/usr/libexec/PlistBuddy -c "Set :authenticate-user true" \
"/tmp/$section.plist" \
fi \
session_owner_key=$(/usr/libexec/PlistBuddy -c "Print :session-owner" \
"/tmp/$section.plist" 2>&1) \
if [[ "$session_owner_key" == *"Does Not Exist"* ]]; then \
/usr/libexec/PlistBuddy -c "Add :session-owner bool false" \
"/tmp/$section.plist" \
else \
/usr/libexec/PlistBuddy -c "Set :session-owner false" \
"/tmp/$section.plist" \
fi \
group_key=$(usr/libexec/PlistBuddy -c "Print :group" \
"/tmp/$section.plist" 2>&1) \
if [[ "$group_key" == *"Does Not Exist"* ]]; then \
/usr/libexec/PlistBuddy -c "Add :group string admin" \
"/tmp/$section.plist" \
else \
/usr/libexec/PlistBuddy -c "Set :group admin" "/tmp/$section.plist" \
fi \
/usr/bin/security -q authorizationdb write "$section" < \
"/tmp/$section.plist" \
done

ℹ️ Примітка: Кожен аудит і виправлення включають sudo перед усіма командами. Це ан
виняток, оскільки authdb є змінною, і використання sudo викликає помилку у виводі.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


До повного змісту CIS Apple macOS Benchmark →