3. Профілі конфігурації для корпоративних керованих пристроїв (Supervised)
Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Профілі конфігурації для корпоративних керованих пристроїв (Supervised)».
Рекомендацій: 52
iPadOS 26 v1.0.0
3.1.1 Переконайтеся, що для параметра «Контролює, коли профіль можна видалити» встановлено значення «Ніколи» (Автоматизовано)
Ця рекомендація стосується видалення певного профілю конфігурації. Як правило, реєстрація пристроїв у програмі керування мобільними пристроями (MDM) цього не робить дозволити користувачеві видалити будь-які керовані конфігурації.
У цьому розділі контрольного тесту рекомендації стосуються пристроїв, які належать установа. Видалення профілю конфігурації має бути на розсуд установа, а не кінцевий користувач, щоб запобігти ослабленню безпеки пристрою та розкриття своїх даних.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Загальні.
- На правій панелі вікна переконайтеся, що під заголовком «Безпека» для меню «Контроль, коли профіль можна видалити» встановлено значення «Ніколи». Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Підтвердити видалення профілю не відображається внизу екрана.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Загальні.
- На правій панелі вікна під заголовком «Безпека» встановіть для параметра «Керування, коли профіль можна видалити» значення «Ніколи».
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.2.1.1 Переконайтеся, що для параметра «Дозволити знімки екрана та запис екрана» встановлено значення «Вимкнено» (Вручну)
Ця рекомендація стосується обмеження скріншотів і записів екрана.
Конфіденційна інформація може відображатися через керовану програму ненавмисно зроблений знімок екрана або запис екрана в некерований простір або навмисно зловмисним інсайдером.
Знімки екрана будуть недоступні для вирішення проблем.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити знімки екрана та запис екрана. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Підтвердьте, що відображається повідомлення Зйомка екрана та запис заборонені.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити знімки екрана та запис екрана».
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.2.1.2 Переконайтеся, що для параметра «Дозволити голосовий набір, коли пристрій заблоковано» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується ініціювання телефонних дзвінків, коли пристрій заблоковано. Голос набір обробляється окремо від Siri.
Дозвіл на дзвінки із заблокованого пристрою може призвести до імітації пристрою власник.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити голосовий набір, коли пристрій заблоковано. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Підтвердити Голосовий набір під час блокування заборонено.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити голосовий набір, коли пристрій заблоковано.
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.2.1.3 Переконайтеся, що для параметра «Дозволити Siri, коли пристрій заблоковано» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується доступу до Siri, коли пристрій заблоковано.
Доступ до Siri на заблокованому пристрої може дозволити неавторизованим користувачам отримати доступ до інформації іншим чином недоступні для них, як-от обмін повідомленнями, контакти та багато іншого даних.
Кінцевий користувач повинен розблокувати пристрій перед взаємодією з Siri.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити Siri, коли пристрій заблоковано. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Підтвердити, що Siri заблоковано заборонено.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити Siri, коли пристрій заблоковано».
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.2.1.4 Переконайтеся, що для параметра «Дозволити резервне копіювання iCloud» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується дозволу резервного копіювання iCloud. Ця рекомендація не дозволяє навчальним закладам використовувати iCloud резервне копіювання з пристроями, виданими учням. Через це не рекомендуємо навчальні заклади дозволяють цю рекомендацію для цих пристроїв.
Резервні копії iCloud шифруються під час передавання та зберігання в інфраструктурі Apple, але немає захисту від відновлення резервної копії на некерованому пристрої. Це потенційно допускає витік даних. Настійно рекомендується використовувати резервні копії, оскільки вони дозволяють користувачеві створити копію даних, які можна відновити у разі збоїв, таких як збій апаратного чи програмного забезпечення, даних пошкодження, або подія, спричинена людиною, або випадкове видалення даних. Резервні копії дозволяють відновити дані з попереднього моменту, щоб полегшити відновлення з несподівана подія.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити резервне копіювання iCloud. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Відобразиться підтвердження резервного копіювання iCloud заборонено.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити резервне копіювання iCloud».
- Розгорніть профіль конфігурації. Додаткова інформація. Ця рекомендація стосується виключно корпоративних керованих пристроїв (Supervised). Якщо установа покладається на Bring Your Own Device (BYOD), ці пристрої не повинні містити конфіденційних матеріалів, необхідних для захисту на цьому рівні.
Ця рекомендація стосується виключно корпоративних керованих пристроїв (Supervised). Якщо установа покладається на Bring Your Own Device (BYOD), ці пристрої не повинні містити конфіденційних матеріалів, необхідних для захисту на цьому рівні.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2
3.2.1.5 Переконайтеся, що для параметра «Дозволити документи та дані iCloud» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується зберігання та синхронізації даних через iCloud із інституційні пристрої.
Інституційні пристрої часто підключаються до особистих облікових записів iCloud. Це є очікувано і нормально. Дані з інституційних пристроїв, однак, не повинні змішувати з особистими даними кінцевого користувача. Це створює потенційний шлях для даних витік.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити документи та дані iCloud. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Підтвердьте, що документи в хмарі заборонено.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити документи та дані iCloud».
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2
3.2.1.6 Перегляньте параметри «Дозволити iCloud Keychain» (Автоматизовано)
iCloud Keychain дозволяє використовувати паролі, пов’язані з обліковим записом Apple автентифікований користувач для свого облікового запису Apple. Якщо користувачі організації використовують персональні Облікові записи Apple із пристроями, що належать організації, які організації повинні переглядати чи зберігаються корпоративні паролі/ключі доступу/облікові записи в особистих даних користувачів Брелок iCloud. Щоб перевірити можливість збереження облікових даних підприємства, ви можете почати з використання платформи MDM вашої організації, щоб перевірити, які користувачі є увійшли у свої особисті облікові записи Apple і ввімкнули синхронізацію iCloud Keychain. Примітка: у попередніх версіях тесту ми заявляли, що iCloud Keychain є незашифрований. Apple оновила шифрування в iCloud Keychain, включивши наскрізне кінцеве шифрування як за стандартними, так і за розширеними параметрами захисту даних. Для перегляду докладніше про шифрування iCloud, а також про відмінності між стандартними даними захист і розширений захист даних, ви можете прочитати статтю служби підтримки Apple iCloud огляд безпеки даних.
Це нормально та очікувано, що кінцеві користувачі налаштовують свій особистий обліковий запис iCloud на пристрій, що належить установі. Через це вимкнення iCloud Keychain запобігає ОС- автоматизована передача облікових даних на пристрої поза межами організаційного контролю, таким чином зменшуючи ризик несанкціонованого використання цих облікових даних із неавторизованих пристроїв.
Тільки внутрішні – загальні
Перш ніж вимикати iCloud Keychain, слід переглянути кілька аспектів ризику: • На даний момент iCloud Keychain зберігає лише паролі. Де Мультифактор Використовуються профілі автентифікації, єдиного входу або пристроїв облікові дані не використовуватимуть синхронізацію iCloud Keychain. зрілий підприємства більше не повинні використовувати лише автентифікацію за паролем, а отже не повинні піддаватися ризику через використання iCloud Keychain. • iCloud Keychain синхронізує паролі користувачів. Мабуть, уже є користувачем знає ці паролі та періодично змінює їх. Вони також можуть використовувати паролі з неавторизованого пристрою без синхронізації iCloud. В ідеалі пристрій, виданий установою, має більший доступ, ніж неавторизований або публічного пристрою на сервер автентифікації. Якщо персональний пристрій не може логічно взаємодіяти зі службою автентифікації, то ризик синхронізації пароля також значно зменшується. • Блокування використання iCloud Keychain також блокує синхронізацію не- корпоративні облікові записи, які можуть знадобитися користувачеві для його звичайної роботи. Це також блокує використання надійних, унікальних пропозицій паролів, доступних від Яблуко.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити брелок iCloud. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Підтвердьте, що брелок iCloud заборонено.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити брелок iCloud».
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
- https://support.apple.com/en-us/102651
- Additional Information:
- This recommendation is not intended as advice against using the Keychain locally on an
- institutionally-owned device, nor is it intended to be taken as a recommendation to
- prevent iCloud Keychain from being used on end user-owned devices.
IG 1, 2, 3
IG 1, 2
IG 1, 2
IG 1, 2, 3
IG 1, 2
3.2.1.7 Переконайтеся, що для параметра «Дозволити керованим програмам зберігати дані в iCloud» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується керованих програм, які зберігають і синхронізують дані через iCloud.
Ця рекомендація спрямована на захист від витоку даних. Вона не дозволяє користувачеві встановлювати керовані організацією корпоративні додатки на персональний пристрій та запобігає синхронізації даних керованої програми з особистим некерованим додатком через iCloud.
Дані, створені на пристрої, можуть бути втрачені, якщо кінцевий користувач не передав їх іншому пристрій.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити керованим програмам зберігати дані в iCloud. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Підтвердьте, що хмарна синхронізація керованих програм заборонена.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити керованим програмам зберігати дані в iCloud».
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2
3.2.1.8 Переконайтеся, що для параметра «Дозволити доступ до USB-накопичувача в програмі Файли» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується запобігання програмі «Файли» доступу до носія USB.
Програма Files надає локальну файлову систему та інтерфейс для носія USB для iOS і Пристрої iPadOS. У середовищах із конфіденційними даними та суворим захистом від втрати даних політики, вимкнення використання носіїв USB із такими пристроями може зменшити ризик втрати даних витік.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити доступ до USB-накопичувача в програмі Файли. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Підтвердьте, що USB-накопичувачі недоступні в програмі Файли.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити доступ до USB-накопичувача в програмі Файли.
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2
3.2.1.9 Переконайтеся, що для параметра «Дозволити доступ до мережевого диска в програмі Файли» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується запобігання доступу програми Файли до мережі файлообмінники.
Програма Files надає локальну файлову систему та інтерфейс для мережевих спільних файлів для iOS і пристроїв iPadOS. У середовищах із конфіденційними даними та суворим захистом від втрати даних політики, вимкнення використання мережевих спільних файлів із такими пристроями може зменшити ризик витоку даних.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити доступ до мережевого диска в програмі Файли. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Підтвердьте, що мережеві диски недоступні в програмі Файли.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити доступ до мережевого диска в програмі Файли.
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1
3.2.1.10 Переконайтеся, що для параметра «Примусово створювати зашифровані резервні копії» встановлено значення «Увімкнено» (Автоматизовано)
Ця рекомендація стосується шифрування резервних копій iTunes для пристроїв iOS і iPadOS.
Доступ до даних, які безпечно зберігаються на пристрої iOS або iPadOS, може бути тривіальним з локального комп’ютера. Примусове шифрування резервних копій значно зменшує ймовірність скомпрометації конфіденційних даних, якщо є локальний хост-комп’ютер скомпрометовано.
Кінцеві користувачі повинні налаштувати пароль для зашифрованої резервної копії, складність якої не керується.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- Переконайтеся, що на правій панелі вікна на вкладці «Функціональність» встановлено прапорець «Примусово створювати зашифровані резервні копії». Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Відобразиться повідомлення Confirm Encrypted backups enforced.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці Функціональні можливості поставте прапорець біля пункту Примусово створювати зашифровані резервні копії.
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.2.1.11 Переконайтеся, що для параметра «Дозволити персоналізовану рекламу від Apple» встановлено значення «Вимкнено» (Вручну)
Apple надає структуру, яка дозволяє рекламодавцям орієнтуватися на користувачів Apple рекламні оголошення, релевантні їм та їхнім інтересам за допомогою унікального ідентифікатора. для така персоналізована реклама буде доставлена, однак детальна інформація є збираються, співвідносяться та надаються рекламодавцям. Ця інформація є цінною для як рекламодавців, так і зловмисників і використовувався з іншими метаданими для виявлення користувачів ідентичності.
Вимкнення використання унікального ідентифікатора допомагає перешкоджати відстеженню користувачів, що, у свою чергу підтримує захист даних користувача.
Користувачі бачитимуть загальну рекламу, а не цільову рекламу. Apple попереджає, що це зменшить кількість релевантних оголошень.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити персоналізовану рекламу від Apple. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Підтвердьте, що персоналізована реклама Apple заборонена.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити персоналізовану рекламу від Apple».
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2
IG 1, 2, 3
IG 1, 2
3.2.1.12 Переконайтеся, що для параметра «Дозволити видалення всього вмісту та налаштувань» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується функції відновлення заводських налаштувань iOS і iPadOS пристроїв.
Пристрій, що належить установі, не повинен дозволяти кінцевому користувачеві знищувати дані.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- Переконайтеся, що на правій панелі вікна на вкладці «Функціональність» знято прапорець «Дозволити стерти весь вміст і налаштування». Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Підтвердьте, що Видалити вміст і налаштування заборонено.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити стерти весь вміст і налаштування».
- Розгорніть профіль конфігурації.загальна додаткова інформація: Кінцевий користувач усе ще може використовувати службу Apple «Знайти мій iPhone/iPad», щоб виконати «Стерти весь вміст і налаштування». Це також встановлює блокування активації на пристрої. Блокування активації може бути заблоковано за допомогою рішення керування мобільними пристроями (MDM), але не через профіль конфігурації. Для отримання додаткової інформації див. https://support.apple.com/en-us/HT202804
Кінцевий користувач все ще може використовувати службу Apple «Знайти мій iPhone/iPad», щоб виконати «Стерти весь вміст і налаштування». Це також встановлює блокування активації на пристрої. Блокування активації може бути заблоковано за допомогою рішення керування мобільними пристроями (MDM), але не через профіль конфігурації. Для отримання додаткової інформації див. https://support.apple.com/en-us/HT202804
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.2.1.13 Переконайтеся, що для параметра «Дозволити користувачам приймати ненадійні сертифікати TLS» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується прийняття ненадійних сертифікатів TLS.
Пристрої iOS підтримують список довірених коренів сертифікатів TLS. Організація може додати власні сертифікати до списку за допомогою профілю конфігурації. Дозволити користувачам обходити що список і прийняття самопідписаних або іншим чином неперевірених сертифікатів може збільшити ймовірність інциденту.
Пристрій автоматично відхиляє ненадійні сертифікати HTTPS без запиту користувача.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити користувачам приймати ненадійні сертифікати TLS. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Підтвердити Встановлення ненадійних з’єднань TLS заборонено.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити користувачам приймати ненадійні сертифікати TLS».
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.2.1.14 Переконайтеся, що для параметра «Дозволити довіряти новим авторам корпоративних програм» встановлено значення «Вимкнено» (Вручну)
Ця рекомендація стосується дозволу встановлення програми кінцевим користувачам із за межами Apple App Store або розгортання Mobile Device Management (MDM).
Дозволити установку програм кінцевим користувачам за межами Apple App Store або Керування мобільними пристроями (MDM) може дозволити користувачеві встановити зловмисну програму.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити довіряти новим авторам корпоративних програм. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Підтвердити Дозволити довіряти новим авторам корпоративних програм заборонено.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити довіряти новим авторам корпоративних програм.
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.2.1.15 Переконайтеся, що для параметра «Дозволити встановлення профілів конфігурації» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується встановлення додаткових профілів конфігурації.
Ця рекомендація дозволяє установі переконатися, що лише профілі конфігурації вони надають, завантажуються на пристрій.
Деякі служби, як-от мережі точок доступу WiFi, можуть перешкоджати роботі блокування їхніх профілів конфігурації.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити встановлення профілів конфігурації. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Підтвердити Встановлення профілів конфігурації заборонено.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити встановлення профілів конфігурації.
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.2.1.16 Переконайтеся, що для параметра «Дозволити додавання конфігурацій VPN» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується додавання визначених користувачем конфігурацій VPN.
Ця рекомендація дозволяє установі переконатися, що лише конфігурації VPN вони надають, завантажуються на пристрій.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити додавання конфігурацій VPN. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Відображається підтвердження створення VPN заборонено.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити додавання конфігурацій VPN.
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2
IG 1, 2
3.2.1.17 Переконайтеся, що для параметра «Примусова автоматична дата й час» встановлено значення «Увімкнено» (Вручну)
На пристроях під керуванням iOS 12 і новіших версій можна автоматично встановити дату й час. Часовий пояс оновлюється лише тоді, коли пристрій може визначити своє місцезнаходження, наприклад, коли a пристрій має стільникове з’єднання або з’єднання Wi-Fi із увімкненими службами визначення місцезнаходження.
Правильні налаштування дати та часу потрібні для протоколів автентифікації, створення файлів, дати модифікації та записи журналу.
Якщо цей параметр увімкнено, користувачі не можуть вимкнути параметр «Установити автоматично» в розділі «Загальні» > Дата й час
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- Переконайтеся, що на правій панелі вікна на вкладці «Функціональність» встановлено прапорець «Примусово автоматично встановлювати дату й час». Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Відобразиться повідомлення «Підтвердити». Автоматичні дата й час застосовані.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці Функціональні можливості встановіть прапорець Примусово автоматично встановлювати дату й час.
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2
IG 1, 2
3.2.1.18 Переконайтеся, що для параметра «Дозволити зміну налаштувань програми мобільних даних» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується модифікації використання стільникових даних програмами.
Установі доцільно мати можливість дистанційного визначення місцезнаходження та видалення їхні пристрої. Примусова активність стільникових даних підтримує цю функцію.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- Переконайтеся, що на правій панелі вікна на вкладці «Функціональність» знято прапорець «Дозволити змінювати налаштування програми для передачі даних». Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Відображається підтвердження Змінення використання стільникових даних програми заборонено.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити змінювати налаштування програми для мобільних даних».
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.2.1.19 Переконайтеся, що для параметра «Дозволити аксесуари USB, коли пристрій заблоковано» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується дозволу USB-пристроям обмінюватися даними із заблокованим пристрій.
Розроблено фізичні атаки на пристрої iOS і iPadOS, які використовують довіра до фізично підключених аксесуарів. Це призвело до даних, що підтверджують концепцію вилучення та навіть комерційно доступне обладнання, призначене для виконання таких атак. Вимагаючи розблокування пристрою для видалення даних, цей елемент керування зменшує ймовірність успішного вилучення даних.
Кінцевий користувач не зможе підключити свій пристрій до аксесуара USB, поки пристрій заблоковано.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити USB-аксесуари, коли пристрій заблоковано. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Підтвердьте, що USB-аксесуари заблоковано дозволено НЕ відображається.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити аксесуари USB, коли пристрій заблоковано.
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2
3.2.1.20 Переконайтеся, що для параметра «Дозволити створення пари з хостами, які не належать до конфігуратора» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується дозволу обміну даними з головним комп’ютером.
З’єднання хостів – це процес, за допомогою якого пристрій iOS або iPadOS створює криптографічне перевірене з’єднання з довіреним хост-комп’ютером. Вимкнувши додавання нового хоста створення пар, різноманітні апаратні атаки на пристрій блокуються.
Кінцевий користувач не зможе синхронізувати мультимедійні дані з пристроєм і з нього.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- Переконайтеся, що на правій панелі вікна на вкладці Функціональні можливості знято прапорець Дозволити сполучення з хостами, які не є конфігуратором. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Відобразиться повідомлення Підтвердити, що сполучення з iTunes заборонено.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити сполучення з хостами, які не є конфігуратором».
- Розгорніть профіль конфігурації.загальна додаткова інформація: на хості Apple Configurator є дві важливі частини даних. Брелок для входу включатиме сертифікат ідентифікації хоста та може бути експортований. Пакети з ключами депонування, пов’язані з кожним пристроєм, можна буде знайти в /var/db/lockdown. Для безперервного керування пристроєм важливо створити резервну копію обох цих даних. Їх також можна скопіювати на інші комп’ютери Mac, щоб дозволити керування налаштованими пристроями.
There are two important pieces of data on the Apple Configurator host. Брелок для входу включатиме сертифікат ідентифікації хоста та може бути експортований. Пакети з ключами депонування, пов’язані з кожним пристроєм, можна буде знайти в /var/db/lockdown. Для безперервного керування пристроєм важливо створити резервну копію обох цих даних. Їх також можна скопіювати на інші комп’ютери Mac, щоб дозволити керування налаштованими пристроями.
📋 CIS Controls & Нормативні посилання
IG 1, 2
IG 1, 2
3.2.1.21 Переконайтеся, що для параметра «Дозволити документи з керованих джерел у некерованих місцях призначення» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується впровадження керованих програм Apple. Терміни «керований» і «некерований» стосуються класифікації додатків Кероване відкриття, функція, представлена в iOS 7. Кероване відкриття забезпечує дані контейнеризація. Інституційні програми позначаються як керовані. Додатки обрані кінцевим користувачем позначаються як некеровані.
Обмеження передачі даних із простору керованих установчих програм до простору користувача може запобігти витоку даних.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити документи з керованих джерел у некерованих цілях. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Підтвердьте Відкривання документів із керованих і некерованих програм заборонено.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити документи з керованих джерел у некерованих місцях призначення.
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.2.1.22 Переконайтеся, що для параметра «Дозволити документи з некерованих джерел у керованих місцях призначення» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується впровадження керованих програм Apple. Терміни «керований» і «некерований» стосуються створених класифікацій програм через функцію Managed Open In, представлену в iOS 7. Managed Open In забезпечує для контейнеризації даних. Інституційно забезпечені програми позначаються як керований. Програми, вибрані кінцевим користувачем, позначаються як некеровані.
Обмеження передачі даних із некерованого простору програми користувача до керованого інституційний простір обмежує інституційні ресурси від використання для особистого використання.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити документи з некерованих джерел у керованих місцях призначення. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Підтвердити Відображається повідомлення «Відкривати документи з некерованих до керованих програм заборонено».
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити документи з некерованих джерел у керованих місцях призначення.
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.2.1.23 Переконайтеся, що для параметра «Розглядати AirDrop як некерований пункт призначення» встановлено значення «Увімкнено» (Автоматизовано)
Ця рекомендація стосується AirDrop у контексті керованої програми Apple впровадження. Терміни «керований» і «некерований» стосуються створених класифікацій програм через функцію Managed Open In, представлену в iOS 7. Managed Open In забезпечує для контейнеризації даних. Інституційно забезпечені програми позначаються як керований. Програми, вибрані кінцевим користувачем, позначаються як некеровані.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- Переконайтеся, що на правій панелі вікна на вкладці Функціональні можливості встановлено прапорець Розглядати AirDrop як некерований пункт призначення. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Відобразиться повідомлення Підтвердити, що спільний доступ до керованих документів за допомогою AirDrop заборонено.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці Функціональні можливості встановіть прапорець «Вважати AirDrop некерованим місцем призначення».
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2
IG 1, 2
IG 1, 2, 3
IG 1
3.2.1.24 Переконайтеся, що для параметра «Дозволити передачу обслуговування» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується механізму обміну даними Apple Handoff.
Handoff не забезпечує дотримання меж керованих програм. Це дозволяє керувати дані програми, які потрібно перемістити в некерований простір програм на іншому пристрої, що може призвести до витоку даних.
Кінцеві користувачі можуть відчувати незручності, вимикаючи Handoff на своїх особистих пристроях.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити передачу. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Відобразиться повідомлення Confirm Handoff not allowed.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити передачу».
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.2.1.25 Переконайтеся, що для параметра «Дозволити надсилання діагностичних даних і даних про використання в Apple» встановлено значення «Вимкнено» (Вручну)
Apple надає механізм для надсилання їм діагностичних і аналітичних даних замовити допомогу у вдосконаленні платформи. Ця інформація, надіслана до Apple, може містити внутрішню інформацію організаційна інформація, яка не повинна розкриватися третім особам.
Організації повинні знати, чим ділиться з постачальниками та іншою стороною сторони, а також повинні повністю контролювати те, що розкривається.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити надсилання діагностичних даних і даних про використання до Apple. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Відображається підтвердження Діагностичне надсилання заборонено.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити надсилання діагностичних даних і даних про використання в Apple».
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2
IG 1, 2, 3
IG 1, 2
3.2.1.26 Переконайтеся, що для параметра «Вимагати автентифікації Touch ID/Face ID перед автозаповненням» встановлено значення «Увімкнено» (Автоматизовано)
Ця рекомендація стосується примусової повторної автентифікації під час кожної операції автозаповнення.
Неавторизований користувач може отримати доступ до пристрою, коли він розблокований. Це Рекомендація забезпечує поглиблений захист шляхом примусової повторної автентифікації раніше облікові дані будуть заповнені автозаповненням.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості встановлено прапорець Вимагати автентифікацію Touch ID / Face ID перед автозаповненням. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Підтвердьте автентифікацію перед застосуванням паролів автоматичного заповнення
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці Функціональні можливості встановіть прапорець Вимагати автентифікацію Touch ID / Face ID перед автозаповненням.
- Розгорніть профіль конфігурації.загальна додаткова інформація. Тест навмисно мовчить про дозвіл на використання локального Apple Keychain, відкладаючи на кожну установу можливість враховувати власні обставини та пов’язані з цим ризики.
Еталонний тест навмисно мовчить про дозвіл на використання локального Apple Keychain, відкладаючи на те, щоб кожна установа розглядала власні обставини та пов’язані з цим ризики.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.2.1.27 Переконайтеся, що для параметра «Примусове виявлення зап’ястя Apple Watch» встановлено значення «Увімкнено» (Автоматизовано)
Ця рекомендація стосується налаштування виявлення зап’ястя на сполучених Apple Watch.
Розпізнавання зап’ястя запобігає доступу до інформації знятим Apple Watch інакше недоступні.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- Переконайтеся, що на правій панелі вікна на вкладці «Функціональність» встановлено прапорець «Примусово розпізнавати зап’ястя Apple Watch». Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Відображається Підтвердити виявлення зап’ястя, застосоване на Apple Watch
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці Функціональні можливості встановіть прапорець Примусово розпізнавати зап’ястя Apple Watch.
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.2.1.28 Переконайтеся, що для параметра «Дозволити налаштування нових пристроїв поблизу» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується функції швидкого запуску Apple.
Ця рекомендація запобігає передачі пристрою, що належить установі конфігурації або вміст на інший пристрій.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити налаштування нових пристроїв поблизу. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Відобразиться повідомлення Confirm Proximity Setup to a new device is not allowed.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити налаштування нових пристроїв поблизу.
- Розгорніть профіль конфігурації. Додаткова інформація: Щоб отримати додаткові відомості про швидкий старт, див.
Щоб отримати додаткові відомості про швидкий початок роботи, див.
📋 CIS Controls & Нормативні посилання
IG 1
IG 1
3.2.1.29 Переконайтеся, що для параметра «Дозволити запити доступу до пароля на основі близькості» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується запобігання обміну паролями на основі близькості інституційні пристрої.
В організаційному контексті слід забезпечити доступ до систем і програм за роллю, при цьому облікові дані передаються лише через підтримувані облікові дані системи управління. Крім того, запити на обмін обліковими даними можуть бути використані через схему соціальної інженерії.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- Переконайтеся, що на правій панелі вікна на вкладці «Функціональність» знято прапорець «Дозволити запити доступу до пароля на основі близькості». Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Відображається повідомлення Підтвердьте, що запити пароля наближення заборонено.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити запити доступу до пароля на основі близькості».
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1
3.2.1.30 Переконайтеся, що для параметра «Дозволити спільний доступ до пароля (тільки під контролем)» встановлено значення «Вимкнено» (Вручну)
Ця рекомендація стосується спільного використання облікових даних між пристроями, наприклад через AirDrop.
Дозвіл спільного використання пароля може збільшити ймовірність інституційного зв’язку облікові дані переміщуються на пристрій, який не контролюється установою.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- Переконайтеся, що на правій панелі вікна на вкладці «Функціональність» знято прапорець «Дозволити спільний доступ до пароля (тільки контрольований»). Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Торкніться Обмеження.
- Відображається Confirm Password sharing is not allowed.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці Функціональні можливості зніміть прапорець Дозволити спільний доступ до пароля (тільки для контрольованих користувачів).
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1
3.2.1.31 Переконайтеся, що для параметра «Показувати центр керування на екрані блокування» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується відображення Центру керування на екрані блокування.
Якщо пристрій втрачено або викрадено, центр керування може бути використаний для ввімкнення літака режимі, таким чином запобігаючи місцезнаходження або видалення пристрою. Це змушує зловмисника вимкніть живлення пристрою, який потім скидає ключ шифрування в пам’яті. Це робить інші атаки, засновані на фізичному володінні, складніші.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець «Показувати центр керування на екрані блокування». Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Підтвердьте, що на заблокованому екрані відображається пункт «Центр керування не дозволено».
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці «Функція» зніміть прапорець «Показувати центр керування на екрані блокування».
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.2.1.32 Переконайтеся, що для параметра «Показувати центр сповіщень на екрані блокування» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується відображення Центру повідомлень на екрані блокування.
Повинен бути зв’язок між операційною системою та програмами для користувача контролюється, щоб запобігти витоку даних або використанню. Наприклад, якийсь двофакторний програми автентифікації нададуть можливість дозволити вхід із нового пристрою центр сповіщень на екрані блокування.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- Переконайтеся, що на правій панелі вікна на вкладці «Функціональність» знято прапорець «Показувати центр сповіщень на екрані блокування». Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Підтвердити Відображення сповіщень на екрані блокування заборонено
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці «Функція» зніміть прапорець «Показувати центр сповіщень на екрані блокування».
- Розгорніть профіль конфігурації.загальна додаткова інформація: налаштування сповіщень для кожної програми, описані далі в контрольному тесті, можна використовувати замість вимкнення Центру сповіщень на екрані блокування. Це слід робити, лише якщо є впевненість, що можна керувати всіма програмами, які створюють конфіденційні сповіщення.
Налаштування сповіщень для кожної програми, описані далі в контрольному тесті, можна використовувати замість вимкнення Центру сповіщень на екрані блокування. Це слід робити, лише якщо є впевненість, що можна керувати всіма програмами, які створюють конфіденційні сповіщення.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.2.2.1 Переконайтеся, що для параметра «Примусове попередження про шахрайство» встановлено значення «Увімкнено» (Автоматизовано)
Ця рекомендація стосується функції Safari, яка попереджає кінцевих користувачів про відвідування ймовірних шахрайських веб-сайтів.
Увімкнення попередження може допомогти користувачам уникнути випадкового відвідування відомого фішингового чи іншого сайту шахрайські сайти, охоплені цією функцією.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці «Програми» встановлено прапорець «Примусово попереджати про шахрайство». Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Підтвердьте, що Safari попередження про шахрайство виконано.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці «Програми» поставте прапорець «Примусово попереджати про шахрайство».
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.2.2.2 Переконайтеся, що для параметра «Приймати файли cookie» встановлено значення «З веб-сайтів, які я відвідую» або «Лише з поточного веб-сайту» (Автоматизовано)
Ця рекомендація стосується прийняття сторонніх файлів cookie.
Експлойт файлів cookie HEIST дозволяє отримувати дані з файлів cookie, які зберігаються на пристрої. Файли cookie часто відповідають неправильним методам кодування та часто містять властивості автентифікації. Обмеження прийому файлів cookie лише файлами з навмисно відвідуваних сайтів зменшує ймовірність експлуатації.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна переконайтеся, що на вкладці «Програми» для меню «Прийняти файли cookie» встановлено значення «З веб-сайтів, які я відвідую» або «Лише з поточного веб-сайту». Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Відобразиться повідомлення Confirm Cookie policy enforced.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Обмеження.
- На правій панелі вікна на вкладці Програми встановіть для меню Приймати файли cookie значення З веб-сайтів, які я відвідую, або Лише з поточного веб-сайту.
- Розгорніть профіль конфігурації.загальна додаткова інформація: із веб-сайтів, які я відвідую, приймає файли cookie з поточного домену та будь-якого іншого домену, який ви відвідали. З поточного веб-сайту приймає лише файли cookie з поточного домену.
From websites I visit accepts cookies from the current domain and any other domain you’ve visited. З поточного веб-сайту приймає лише файли cookie з поточного домену.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.3.1 Переконайтеся, що для параметра «Керовані веб-домени Safari» встановлено значення «Налаштовано» (Вручну)
Ця рекомендація стосується як Safari, так і Mobile Device Management (MDM) розгорнуті браузери, враховуватимуть певні шаблони URL для керованої програми лише пробіли.
Конфіденційні файли, доступні з веб-сайту, можуть бути завантажені в некерований простори програм за замовчуванням. Налаштувавши певні домени, які має Safari Вважаючи керованим, установа може підтримувати безпечну контейнеризацію своїх даних.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Домени.
- На правій панелі вікна переконайтеся, що в розділі Managed Safari Web Domains налаштовано кожен відповідний шаблон URL-адреси.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Домени.
- На правій панелі вікна в розділі «Керовані веб-домени Safari» введіть відповідні шаблони URL-адрес.
- Розгорніть профіль конфігурації. Додаткова інформація: для підвищення ефективності цю рекомендацію слід поєднати з чорним списком веб-браузерів, які не розгорнуті через MDM.
Для підвищення ефективності цю рекомендацію слід поєднати з чорним списком веб-браузерів, які не розгорнуті через MDM. Тільки внутрішні – загальні
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.4.1 Переконайтеся, що для параметра «Дозволити просте значення» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується вимог до пароля. Визначено простий пароль містить символи, що повторюються, або символи, що збільшуються/зменшуються (наприклад, 123 або CBA).
Прості паролі, такі як повторювані, зростаючі або спадні символи послідовності легко вгадуються. Запобігання вибору паролів, що містять такі послідовності збільшує складність пароля та зменшує легкість, з якою зловмисник може спробувати вгадати пароль, щоб отримати доступ до пристрою.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Пароль.
- На правій панелі вікна переконайтеся, що прапорець Дозволити просте значення знято. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Натисніть Пароль.
- Підтвердьте, що дозволені прості паролі відображається No.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Пароль.
- На правій панелі вікна зніміть прапорець Дозволити просте значення.
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2
3.4.2 Переконайтеся, що для параметра «Вимагати буквено-цифрове значення» встановлено значення «Увімкнено» (Вручну)
Паролі, встановлені користувачами, повинні містити принаймні одну букву та одну цифру.
Складні паролі є більш стійкими проти осіб, які хочуть до них отримати несанкціонований доступ система.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Пароль.
- Переконайтеся, що на правій панелі вікна встановлено прапорець Вимагати буквено-цифрове значення. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Натисніть Пароль.
- Confirm Require alphanumeric value displays Yes.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Пароль.
- На правій панелі вікна встановіть прапорець Вимагати буквено-цифрове значення.
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2
3.4.3 Переконайтеся, що для параметра «Мінімальна довжина пароля» встановлено значення «6» або більше (Автоматизовано)
Ця рекомендація стосується мінімальної довжини пароля.
Вимагання мінімальної довжини щонайменше шести символів забезпечує розумну гарантію проти атаки з паролем.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Пароль.
- На правій панелі вікна переконайтеся, що для параметра Мінімальна довжина пароля встановлено значення 6 або більше. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Натисніть Пароль.
- Підтвердити Мінімальна довжина відображає 6 або більше.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Пароль.
- На правій панелі вікна встановіть мінімальну довжину пароля на 6 або більше.
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2
3.4.4 Переконайтеся, що для параметра «Максимальне автоматичне блокування» встановлено значення «2 хвилини» або менше (Автоматизовано)
Ця рекомендація стосується максимальної кількості хвилин, які може залишитися на пристрої неактивний до автоматичного блокування. Примітка. Ця рекомендація стосується максимального автоматичного блокування, що відповідає інтерфейсу мову, але пристрої iOS і iPadOS вважають функцію автоматичного блокування рівною 2 хвилини.
Автоматичне блокування пристрою після короткого періоду бездіяльності зменшує ймовірність доступу зловмисника до пристрою без введення пароля.
Це не застосовується під час певних дій, наприклад перегляду фільмів.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Пароль.
- На правій панелі вікна переконайтеся, що максимальне автоблокування встановлено на 2 хвилини. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Натисніть Пароль.
- Підтвердьте, що максимальна бездіяльність відображається через 2 хвилини.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Пароль.
- На правій панелі вікна встановіть Максимальне автоблокування на 2.
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.4.5 Переконайтеся, що для параметра «Максимальний пільговий період для блокування пристрою» встановлено значення «Негайно» (Автоматизовано)
Ця рекомендація стосується часу, протягом якого пристрій можна розблокувати введення пароля після того, як цей пристрій було заблоковано. Пристрої з увімкненим TouchID не допускати пільгового періоду.
Налаштування максимального пільгового періоду для блокування пристрою на Негайне запобігає неавтентифікований доступ під час пробудження пристрою.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Пароль.
- На правій панелі вікна переконайтеся, що для параметра Максимальний пільговий період для блокування пристрою встановлено значення Негайно. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Натисніть Пароль.
- Негайно підтвердьте максимальний пільговий період.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Пароль.
- На правій панелі вікна встановіть Максимальний пільговий період для блокування пристрою на Негайно.
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.4.6 Переконайтеся, що для параметра «Максимальна кількість невдалих спроб» встановлено значення «6» (Автоматизовано)
Ця рекомендація стосується кількості спроб входу до автоматичного входу видалення криптографічного ключа пристрою.
Надмірна кількість спроб ввести неправильний пароль зазвичай свідчить про те, що власник програв фізичний контроль пристрою. У разі такого інциденту стирання шифрування ключ допоможе забезпечити конфіденційність інформації, що зберігається на пристрої.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Пароль.
- На правій панелі вікна переконайтеся, що Максимальна кількість невдалих спроб встановлено на 6. Або з пристрою:
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Торкніться <_Назва профілю_>.
- Торкніться Обмеження.
- Натисніть Пароль.
- Підтвердити Максимальна кількість невдалих спроб встановлено на 6.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Пароль.
- На правій панелі вікна встановіть максимальну кількість невдалих спроб на 6.
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.5.1 Переконайтеся, що для параметра «Вимкнути рандомізацію MAC-адрес асоціації» встановлено значення «Налаштовано» (Вручну)
Ця рекомендація стосується вимкнення рандомізації MAC за потреби.
Рандомізація MAC-адрес — це функція, доступна з iOS 14 і вмикається за замовчуванням. Хоча ця функція покращує конфіденційність для окремих осіб, використовуючи випадкові та різні адреси для кожної мережі Wi-Fi, це може призвести до проблем у деяких обставин, як-от адаптивні портали, списки контролю доступу на основі MAC-адрес тощо У деяких випадках може знадобитися вимкнути цю функцію. Це налаштування для кожної мережі можна вимкнути лише для певних мереж.
Це налаштування конфігурації для кожної мережі. Аудитор повинен буде визначити, яке рішення підходить для конкретної мережі. З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Wi-Fi.
- На правій панелі вікна виберіть відповідну конфігурацію Wi-Fi.
- Переконайтеся, що встановлено прапорець Вимкнути рандомізацію MAC-адрес асоціації. З пристрою:
- Натисніть Налаштування.
- Торкніться Wi-Fi.
- Торкніться відповідної мережі.
- Переконайтеся, що приватну адресу вимкнено.
Цю процедуру виправлення неможливо виконати за допомогою прапорця, її потрібно застосовувати для кожної мережі відповідно. З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Wi-Fi.
- На правій панелі вікна виберіть відповідну конфігурацію Wi-Fi.
- На правій панелі вікна встановіть прапорець «Вимкнути випадкову асоціацію MAC».
- Розгорніть профіль конфігурації. З пристрою:
- Натисніть Налаштування.
- Торкніться Wi-Fi.
- Торкніться відповідної мережі.
- Вимкніть опцію Приватна адреса.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.6.1 Переконайтеся, що «VPN» «Налаштовано» (Вручну)
Ця рекомендація стосується встановлення віртуальної приватної мережі (VPN) підключення за потреби.
Мережа, до якої підключається пристрій, надає важливі послуги, які можуть бути використаний зловмисником. Встановлення VPN зменшує пов’язані з цим ризики шифрування даних під час передачі та використання завідомо хороших мережевих служб, таких як DNS.
Цю процедуру аудиту неможливо виконати за допомогою перевірки прапорця. Як зазначено нижче, конфігурація VPN для кожної програми є кращим рішенням, але загальносистемна VPN також прийнятна. Аудитору потрібно буде визначити, яке рішення є доцільним і в якому обсязі для конкретного прикладного випадку VPN. З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку VPN.
- На правій панелі вікна введіть відповідну конфігурацію VPN.
- Розгорніть профіль конфігурації. З пристрою,
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN.
- Перевірте конфігурацію.
Цю процедуру виправлення неможливо виконати за допомогою прапорця. Як зазначено нижче, конфігурація VPN для кожної програми є кращим рішенням, але загальносистемна VPN також прийнятна. Необхідно визначити та впровадити відповідне рішення. З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку VPN.
- На правій панелі вікна введіть відповідну конфігурацію VPN.
- Розгорніть профіль конфігурації. З пристрою,
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN.
- Введіть відповідну конфігурацію VPN.
📋 CIS Controls & Нормативні посилання
- https://developer.apple.com/library/content/featuredarticles/iPhoneConfigurationP
- rofileRef/Introduction/Introduction.html#//apple_ref/doc/uid/TP40010206-CH1-
- SW37
- https://developer.apple.com/library/content/featuredarticles/iPhoneConfigurationP
- rofileRef/Introduction/Introduction.html#//apple_ref/doc/uid/TP40010206-CH1-
- SW27
IG 1
3.7.1 Переконайтеся, що для параметра «Дозволити користувачеві переміщувати повідомлення з цього облікового запису» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується того, чи можна перемістити повідомлення з інституційно налаштований обліковий запис електронної пошти на обліковий запис електронної пошти, налаштований кінцевим користувачем. Це також обмежує пересилання або відповідь з іншого облікового запису, ніж той, з якого надійшло повідомлення. Примітка. Ця рекомендація стосується лише облікових записів електронної пошти, налаштованих установою знаходиться на пристрої.
Дозвіл переміщення повідомлень із керованого облікового запису електронної пошти до некерованого обліковий запис електронної пошти може призвести до витоку даних.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Пошта.
- На правій панелі вікна переконайтеся, що прапорець Дозволити користувачу переміщувати повідомлення з цього облікового запису знято. З боку пристрою механізму аудиту немає.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку Пошта.
- На правій панелі вікна зніміть прапорець Дозволити користувачеві переміщувати повідомлення з цього облікового запису.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.7.2 Переконайтеся, що для параметра «Дозволити надсилання пошти» встановлено значення «Вимкнено» (Автоматизовано)
Ця рекомендація стосується того, чи можна завантажити вкладення повідомлення та доступ через службу Apple Mail Drop. ПРИМІТКА. Ця рекомендація стосується лише інституційно налаштованої пошти обліковий запис знаходиться на пристрої iOS.
Дозвіл на завантаження вкладених файлів у Mail Drop, що знаходиться поза контролем організації, представляє шлях викрадання даних.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку «Пошта».
- На правій панелі вікна переконайтеся, що прапорець «Дозволити надсилання пошти» знято. З боку пристрою механізму аудиту немає.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку «Пошта».
- На правій панелі вікна зніміть прапорець «Дозволити надсилання пошти».
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.8.1 Переконайтеся, що «Налаштування сповіщень» налаштовано для всіх «Керованих програм» (Вручну)
Ця рекомендація стосується налаштування параметрів сповіщень на основа заявки.
Сповіщення можуть містити конфіденційні дані або дозволяти виконувати привілейовані дії місце. Усі керовані програми мають містити чіткі налаштування сповіщень, щоб вирішити ці проблеми.
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна клацніть вкладку Сповіщення.
- На правій панелі вікна переконайтеся, що кожна керована програма містить запис конфігурації. Або з пристрою:
- Натисніть Налаштування.
- Торкніться Сповіщення.
- Переконайтеся, що керовані програми виділені сірим кольором, щоб вказати, що їхні налаштування сповіщень керовані.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна клацніть вкладку Сповіщення.
- На правій панелі вікна клацніть «Налаштувати» та/або клацніть «+», щоб додати налаштування сповіщень для кожної програми.
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.9.1 Переконайтеся, що повідомлення «Якщо втрачено, поверніться до…» має значення «Налаштовано» (Вручну)
Ця рекомендація стосується налаштування повідомлення на екрані блокування.
Повідомлення на екрані блокування дозволить чесному спостерігачу легше повернути втрачене пристрій. У цьому повідомленні не обов’язково вказувати ім’я власника, але має бути посилання на телефон номер або адресу електронної пошти для зв’язку (наприклад, довідкова служба організації).
З профілю конфігурації:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку «Повідомлення на екрані блокування».
- На правій панелі вікна переконайтеся, що повідомлення «Якщо втрачено, повернутися до…» налаштовано належним чином. Або з пристрою:
- Розбудіть пристрій.
- Переконайтеся, що на екрані блокування відображається відповідне повідомлення.
Виконайте такі дії в графічному інтерфейсі:
- Відкрийте конфігуратор Apple.
- Відкрийте профіль конфігурації.
- На лівій панелі вікна натисніть вкладку «Повідомлення на екрані блокування».
- На правій панелі вікна в полі повідомлення «Якщо втрачено, повернутися до…» налаштуйте відповідне повідомлення.
- Розгорніть профіль конфігурації.
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
3.10.1 Переконайтеся, що розширення зовнішньої розвідки вимкнено (Автоматизовано)
External Intelligence Extensions дозволяє Apple Intelligence взаємодіяти з 3 частина генеративних інструментів ШІ. Розширення зовнішнього інтелекту Apple представляє a розрахований ризик. Вони поширюють свою модель конфіденційності та безпеки на пристрої хмара з PCC (Private Cloud Compute), а потім ретельно інтегрується з третьою сторонній штучний інтелект, такий як ChatGPT, який наголошує на згоді користувача, мінімізації даних і сильному договірні зобов’язання. Внутрішня природа надсилання даних до зовнішньої служби означає, що певний ступінь довіри покладається на безпеку та дотримання третьою стороною угоди. Однак надсилання даних до зовнішньої служби становить додатковий ризик повинні бути переглянуті та прийняті в організаційному плані безпеки.
Хоча Apple доклала значних зусиль для розробки Apple Intelligence з конфіденційністю, Перший підхід, розширення зовнішньої розвідки створює законні ризики безпеці які можуть змусити особу чи організацію вимкнути його.
Користувач втратить можливість використовувати Apple Intelligence для створення абсолютно нового надсилайте текстові повідомлення або отримуйте доступ до більшої кількості ресурсів безпосередньо у своїх програмах. Ви не могли використовувати Siri або Writing Tools, щоб створити складний електронний лист з нуля або створити творчий матеріал вміст, який виходить за межі можливостей пристрою, але потребує використання окремого третього сторонні постачальники ШІ.
З пристрою,
- Натисніть Налаштування.
- Натисніть Загальні.
- Торкніться VPN і керування пристроями.
- Переконайтеся, що встановлений профіль конфігурації має профіль, інстальований з обмеженням Інтеграція зовнішнього інтелекту не дозволена.
- Переконайтеся, що в установленому профілі конфігурації також встановлено профіль із обмеженням. Вхід із зовнішніми розвідувальними інтеграціями заборонено.
- Створіть або відредагуйте профіль конфігурації з такою інформацією:
- 1. Рядок PayloadType — com.apple.applicationaccess
- 2. Ключ, який потрібно включити, це allowExternalIntelligenceIntegrations
- 3. Ключ повинен бути встановлений на
- 4. Другий ключ, який слід включити
- allowExternalIntelligenceIntegrationsSignIn
- 5. Ключ повинен бути встановлений на
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2
IG 1, 2
IG 1, 2, 3
IG 1, 2
3.10.2 Переконайтеся, що підсумовування нотаток вимкнено (Автоматизовано)
Функція підсумовування нотаток Apple Intelligence швидко згущує вміст усередині Додаток для нотаток. Це включає узагальнення написаного тексту, який ви виділили, або, зокрема, автоматичне створення підсумків із аудіозаписів, зроблених безпосередньо в Notes, як лекції чи зустрічі, допомагаючи вам осягнути ключову інформацію з першого погляду.
Для безпеки ваших аудіозаписів або нотаток доцільно вимкнути зведення нотаток містять дуже конфіденційну або конфіденційну інформацію. Тоді як Apple зазвичай зберігає ваші дані безпечно, якщо вимкнути цю функцію, цей конфіденційний вміст, особливо з транскрибований аудіо, завжди залишає ваш пристрій для будь-якої обробки штучним інтелектом, надаючи вам максимум контроль над вашими конфіденційними даними.
Якщо ви вимкнете функцію підсумовування нотаток Apple Intelligence, головний вплив буде таким користувач не отримуватиме автоматичні або на вимогу резюме ваших письмових нотаток чи аудіо записи.
Наразі немає спеціального способу перевірити, чи підсумовування нотаток вимкнено через Apple Configurator 2 або через графічний інтерфейс користувача.
- Створіть або відредагуйте профіль конфігурації з такою інформацією:
- 1. Рядок PayloadType — com.apple.applicationaccess
- 2. Ключ, який потрібно включити, це allowNotesTranscription
- 3. Ключ повинен бути встановлений на
- 4. Другий ключ, який потрібно включити, це allowNotesTranscriptionSummary
- 5. Ключ повинен бути встановлений на
- Тільки внутрішні – загальні
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2
IG 1, 2
IG 1, 2, 3
IG 1, 2
3.10.3 Переконайтеся, що зведення пошти вимкнено (Автоматизовано)
Функція підсумовування пошти Apple Intelligence використовує штучний інтелект для швидкого ущільнення довгих електронних листів або цілі ланцюжки електронних листів у кілька ключових речень або пунктів. Це автоматично відображається як короткий підсумок під електронними листами у вашій папці “Вхідні”, або ви можете вручну торкнутися a Кнопка «Підсумувати» у відкритому електронному листі, щоб отримати більш детальний огляд комплексу повідомлення та розмови, допомагаючи вам зрозуміти головне з першого погляду без читаючи все.
Якщо є занепокоєння щодо того, що ваш конфіденційний вміст електронної пошти, навіть якщо для узагальнення, може потенційно буде скеровано до цієї сторонньої служби (навіть із запитами згоди), або якщо ви хочемо уникнути будь-якої можливості обробки серверами Apple даних з дуже конфіденційних даних комунікацій (навіть у межах надійних гарантій PCC), вимкнення цієї функції гарантує вміст вашої електронної пошти обробляється через затверджені організаційні служби та на керованому пристроїв. Це надає пріоритет абсолютному контролю та мінімізує будь-який зовнішній ризик обробки для дуже конфіденційна інформація.
Користувач більше не бачитиме автоматичних коротких підсумків під електронними листами або матиме можливість генерувати їх на вимогу.
Наразі немає спеціального способу перевірити, чи підсумовування пошти вимкнено за допомогою Apple Configurator 2 або за допомогою графічного інтерфейсу користувача.
- Створіть або відредагуйте профіль конфігурації з такою інформацією:
- 1. Рядок PayloadType — com.apple.applicationaccess
- 2. Ключ, який потрібно включити, це allowMailSummary
- 3. Ключ повинен бути встановлений на
- Тільки внутрішні – загальні
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2
IG 1, 2
IG 1, 2, 3
IG 1, 2
3.10.4 Переконайтеся, що засоби запису вимкнено (Автоматизовано)
Інструменти Apple Intelligence Writing Tools — це набір інтегрованих функцій на основі ШІ iOS, iPadOS і macOS, що дозволяє користувачам покращувати свій текст за допомогою коректури помилки, переписування вмісту для коригування тону чи стилю, узагальнення довгих уривків у лаконічні форми, і навіть складання нового тексту з нуля. Хоча таких багато безпечно обробляти функції на пристрої, є можливість використовувати Apple приватна хмарна інфраструктура.
Основний аргумент безпеки для вимкнення інструментів запису Apple Intelligence обертається навколо неприйнятного ризику для третіх сторін і потенціалу для ненавмисний витік даних. Для окремих осіб або організацій, які займаються чутливими, конфіденційні чи регульовані дані, передбачувані ризики впливу третьої сторони, потенційні випадковий витік даних і проблеми з відповідністю часто переважують зручність переваги. Вимкнення цієї функції є раціональним і проактивним заходом безпеки.
Вимкнення інструментів запису Apple Intelligence означає, що ви можете зменшити зручність і ефективність для письма, що змушує вас виконувати ці завдання вручну. Однак це також посилює безпека та конфіденційність, запобігаючи потенційному надсиланню будь-якого тексту за межі пристрою.
Наразі немає спеціального способу перевірити, чи інструменти запису вимкнено через Apple Configurator 2 або через графічний інтерфейс.
- Створіть або відредагуйте профіль конфігурації з такою інформацією:
- 1. Рядок PayloadType — com.apple.applicationaccess
- 2. Ключ, який потрібно включити, це allowWritingTools
- 3. Ключ повинен бути встановлений на
- Тільки внутрішні – загальні
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2
IG 1, 2
IG 1, 2, 3
IG 1, 2
Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.
