← До повного змісту CIS Apple macOS 26 Tahoe Benchmark

CIS Benchmark

CIS BENCHMARK • MACOS 26 TAHOE

5.3 Шифрування внутрішніх та зовнішніх носіїв APFS (Disk Encryption)

Вимоги до обов’язкового шифрування системних та зовнішніх томів APFS та HFS+.

Рекомендацій: 3

macOS 26 Tahoe v1.1.0

5.3.1 Переконайтеся, що всі томи APFS внутрішньої пам’яті користувача зашифровано (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

            Оригінал: 5.3.1 Ensure all internal user storage APFS volumes are encrypted (Automated)
        

Apple розробила структуру APFS (файлова система Apple) переважно для флеш-пам’яті та державні диски. Ця файлова структура вперше була доступна в 10.12, а потім стала за замовчуванням у 10.13. Комп’ютери macOS зазвичай мають кілька томів, створених у рамках форматування APFS, включаючи передзавантаження, відновлення та віртуальну пам’ять (VM), а також традиційні диски користувача. Усі томи APFS, які не мають певних ролей і не потребують шифрування, повинні бути зашифрованими. «Рольові» диски включають диски Preboot, Recovery і VM. Диски користувача позначені із “(Немає певної ролі)” за замовчуванням.

💡 Обґрунтування безпеки:

Щоб захистити дані користувача від втрати або підробки томів, необхідно переносити дані зашифрований.

⚠️ Вплив на робочий процес (Impact):

Хоча FileVault захищає завантажувальний том, дані можуть бути скопійовані в інше приєднане сховище і зменшити захист, який забезпечує FileVault. Переконайтеся, що всі томи користувача зашифровані для захисту даних.

🔍 Аудит (перевірка налаштувань)

💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

diskutil list internal | grep 'APFS Volume' | awk '{print $NF}' | xargs -n1 \
diskutil info | grep -E "Volume Name|FileVault" | sed '/Preboot/{N;d;}' | sed \
'/Recovery/{N;d;}' | sed '/VM/{N;d;}' \
diskutil list internal | grep 'APFS Volume' | awk '{print $NF}' | xargs -n1 \
diskutil info | grep -E "Volume Name|FileVault" | sed '/Preboot/{N;d;}' | sed \
'/Recovery/{N;d;}' | sed '/VM/{N;d;}' \
Volume Name:               Macintosh HD \
FileVault:                 Yes \
Volume Name:               Macintosh HD - Data \
FileVault:                 Yes

Очікуваний результат:

Вихідні дані відображатимуть усі внутрішні розділи та чи вони зашифровані.
приклад:

⚙️ Виправлення (Remediation / Налаштування)

ℹ️ Примітка: Диски, зашифровані APFS, будуть описані як «FileVault», незалежно від того, чи є вони завантажувальними
тому чи немає в списку додатків.

ℹ️ Додаткова інженерна інформація (Additional Information):

Щоб дізнатися, чи всі внутрішні томи зашифровані, за винятком необхідних системі macOS томів без даних, виконайте команду:

diskutil list internal | grep 'APFS Volume' | awk '{print $NF}' | xargs -n1
diskutil info | grep -E "Volume Name|FileVault" | sed '/Preboot/{N;d;}' | sed

‘/Відновлення/{N;d;}’ | sed ‘/VM/{N;d;}’ Назва тому: Macintosh HD FileVault: Так Назва тому: Macintosh HD – Data FileVault: Так

diskutil list internal | grep 'APFS Volume' | awk '{print $NF}' | xargs -n1
diskutil info | grep -E "Volume Name|FileVault" | sed '/Preboot/{N;d;}' | sed

‘/Відновлення/{N;d;}’ | sed ‘/VM/{N;d;}’ | grep -c “Назва тому:”

diskutil list internal | grep 'APFS Volume' | awk '{print $NF}' | xargs -n1
diskutil info | grep -E "Volume Name|FileVault" | sed '/Preboot/{N;d;}' | sed

‘/Відновлення/{N;d;}’ | sed ‘/VM/{N;d;}’ | grep -c “FileVault: так”

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 3.6
IG 1, 2, 3

Encrypt Data on End-User Devices Encrypt data on end-user devices containing sensitive data. Example implementations can include: Windows BitLocker®, Apple FileVault®, Linux® dm- crypt.

CIS Controls V8: 3.11
IG 1, 2

Encrypt Sensitive Data at Rest Encrypt sensitive data at rest on servers, applications, and databases containing sensitive data. Storage-layer encryption, also known as server-side encryption, meets the minimum requirement of this Safeguard. Additional encryption methods may include application-layer encryption, also known as client-side encryption, where access to the data storage device(s) does not permit access to the plain-text data.

CIS Controls V7: 13.6
IG 1, 2, 3

Encrypt the Hard Drive of All Mobile Devices. Utilize approved whole disk encryption software to encrypt the hard drive of all mobile devices.

CIS Controls V7: 14.8
IG 1

Encrypt Sensitive Information at Rest Encrypt all sensitive information at rest using a tool that requires a secondary authentication mechanism not integrated into the operating system, in order to access the information.

5.3.2 Переконайтеся, що всі томи зовнішньої пам’яті користувача APFS і HFS+ зашифровано (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

            Оригінал: 5.3.2 Ensure all APFS and HFS+ external user storage volumes are encrypted (Automated)
        

Apple розробила структуру APFS (файлова система Apple) переважно для флеш-пам’яті та державні диски. Ця файлова структура вперше була доступна в 10.12, а потім стала за замовчуванням у 10.13. Apple представила CoreStorage з Mac OS X 10.7 Lion. Він використовується як типовий для форматування на томах macOS до macOS 10.13 High Sierra. Всі HFS і Томи CoreStorage мають бути зашифровані. CoreStorage застаріло замінено на APFS для шифрування томів.

💡 Обґрунтування безпеки:

Щоб захистити дані користувача від втрати або підробки томів, необхідно переносити дані зашифрований.

⚠️ Вплив на робочий процес (Impact):

🔍 Аудит (перевірка налаштувань)

💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

diskutil list external | grep 'APFS Volume' | awk '{print $NF}' | xargs -n1 \
diskutil info | grep -E "Volume Name|FileVault" \
diskutil list external | grep 'Apple_HFS' | awk '{print $NF}' | xargs -n1 \
diskutil info | grep -E "Volume Name|FileVault" \
diskutil list external | grep 'Logical Volume' | awk '{print $NF}' | xargs \
-n1 diskutil info | grep -E "Volume Name|FileVault" \
diskutil list external | grep 'APFS Volume' | awk '{print $NF}' | xargs -n1 diskutil info | \
grep -E "Volume Name|FileVault" \
diskutil list external | grep 'Apple_HFS' | awk '{print $NF}' | xargs -n1 diskutil info | \
grep -E "Volume Name|FileVault" \
diskutil list external | grep 'APFS Volume|Apple_HFS|Logical Volume' | awk '{print

Очікуваний результат:

Виконайте наступне для томів HFS+:
Виконайте наступне для всіх логічних томів HFS+:
Виходи відображатимуть будь-які зовнішні томи та чи вони зашифровані.
приклад:
Назва тому: External 1 FileVault: Так Назва тому: External 2 FileVault: Ні
Назва тому: External 3 FileVault: Так Назва тому: External 4 FileVault: Ні
$NF}’ | xargs -n1 diskutil info | grep -E “Назва тому|FileVault”
Назва тому: External 5 FileVault: Так Назва тому: External 6 FileVault: Ні
У наведеному вище прикладі “Зовнішній 1”, “Зовнішній 3” і “Зовнішній 5” є
зашифровано, а `External 2`, `External 4` і `External 6` – ні.
**

⚙️ Виправлення (Remediation / Налаштування)

ℹ️ Примітка: Рекомендується використовувати APFS замість HFS+, де це можливо. Якщо вам потрібно використовувати
зовнішній диск HFS+/CoreStorage з міркувань сумісності потрібно відформатувати
диск до MacOS Extended (Journaled) (або MacOS Extended (Case-Sensitive, Journaled)
якщо потрібен регістр).

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 3.6
IG 1, 2, 3

Encrypt Data on End-User Devices Encrypt data on end-user devices containing sensitive data. Example implementations can include: Windows BitLocker®, Apple FileVault®, Linux® dm- crypt.

CIS Controls V8: 3.11
IG 1, 2

CIS Controls V8: 14.8
IG 1, 2, 3

Train Workforce on the Dangers of Connecting to and Transmitting Enterprise Data Over Insecure Networks Train workforce members on the dangers of connecting to, and transmitting data over, insecure networks for enterprise activities. If the enterprise has remote workers, training must include guidance to ensure that all users securely configure their home network infrastructure.

CIS Controls V7: 13.6
IG 1, 2, 3

Encrypt the Hard Drive of All Mobile Devices. Utilize approved whole disk encryption software to encrypt the hard drive of all mobile devices.

5.3.3 Аудит підключених дисків FAT32 і ExFAT (Вручну)

• Рівень 2 (L2)Вручну

            Оригінал: 5.3.3 Audit Connected FAT32 and ExFAT Drives (Manual)
        

Незважаючи на те, що FAT32 і exFAT пропонують крос-платформну зручність, вони мають критичне значення прогалини безпеки. Ці формати не підтримують шифрування без сторонніх продуктів (на будь-яка платформа). Отже, FAT32 і exFAT слід зарезервувати виключно для тимчасові передачі неконфіденційних даних, під час будь-якого тривалого використання або конфіденційних даних сховище має використовувати APFS (зашифрований). Примітка. Хоча рекомендація щодо дисків FAT32 і ExFAT не автоматизована, ми включили перевірку сценарію в CIS-CAT, якщо ваша організація не хоче цього дозволяти будь-який формат, який буде використовуватися, і не має існуючого рішення.

💡 Обґрунтування безпеки:

Заборона пристроїв FAT32 і exFAT пов’язана з повною відсутністю власного доступу елементи керування та захист даних у стані спокою. На відміну від APFS або HFS+, які дозволяють гранулювати обмеження папок, FAT32 і exFAT працюють із ефективним станом дозволу «777», надання кожному користувачеві та процесу в системі повних привілеїв читання, запису та видалення без необхідності адміністративної ескалації. Це створює значну вразливість де шкідливі процеси можуть скомпрометувати дані мовчки. Крім того, ці диски не мають шифрування на рівні томів. Якщо пристрій втрачено або викрадено, він є негайним і повним порушенням даних, оскільки вміст доступний будь-кому людини на будь-якому пристрої. Хоча сторонні контейнери шифрування можна використовувати як a обхідний шлях, вони створюють непотрібну операційну складність і вищий ризик файлу пошкодження системи порівняно з рідними рішеннями безпеки macOS. Нарешті, ймовірно, що Диски FAT32 і ExFAT не підлягають жодному організаційному контролю.

⚠️ Вплив на робочий процес (Impact):

Якщо диски FAT32 і exFAT вимкнено, у користувачів можуть виникнути тимчасові збої у їхній здатності легко обмінюватися великими файлами з системами, відмінними від macOS, такими як Windows або Linux машини. Однак цей зсув ефективно усуває ризик випадкових даних гарантуючи, що все зовнішнє сховище відповідає обов’язковим вимогам організації стандарти шифрування та контролю доступу.

🔍 Аудит (перевірка налаштувань)

💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

diskutil list external | grep -E 'DOS_FAT_32|Microsoft Basic Data'

Очікуваний результат:

Будь-які підключені диски FAT32 або ExFAT мають відповідати існуючому пристрою вашої організації
політики для зовнішніх накопичувачів.

⚙️ Виправлення (Remediation / Налаштування)

ℹ️ Примітка: Знімний носій, як правило, форматується у FAT32 або ExFAT. Ті диски
як правило, використовуються додатковими пристроями не від Apple і не входять до сфери застосування
орієнтир. Якщо ваша організація використовує ці пристрої, знімне сховище має використовуватися
підключатися лише під час імпорту даних на ваш пристрій Apple. Після імпорту ті
диск(и) слід негайно витягти, а потім від’єднати від комп’ютера.

ℹ️ Додаткова інженерна інформація (Additional Information):

Також можна налаштувати профіль, щоб заборонити використання незашифрованих зовнішніх дисків. Ось інструкції для цього профілю: Метод профілю: створіть або відредагуйте профіль конфігурації з такою інформацією: 1. Рядок PayloadType — com.apple.applicationaccess 2. Ключ, який потрібно включити, — allowUnencryptedExternalDrive 3. Для ключа має бути встановлено значення <false/>

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 3.6
IG 1, 2, 3

Encrypt Data on End-User Devices Encrypt data on end-user devices containing sensitive data. Example implementations can include: Windows BitLocker®, Apple FileVault®, Linux® dm- crypt.

CIS Controls V8: 3.11
IG 1, 2

CIS Controls V7: 13.6
IG 1, 2, 3

Encrypt the Hard Drive of All Mobile Devices. Utilize approved whole disk encryption software to encrypt the hard drive of all mobile devices.

CIS Controls V7: 14.8
IG 1

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.

До повного змісту CIS Apple macOS Benchmark →