← До повного змісту CIS Apple iPadOS 26 Benchmark

CIS Benchmark

CIS Benchmark • Apple iPadOS 26 v1.0.0

4. Додаткові рекомендації з безпеки

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Додаткові рекомендації з безпеки».


Рекомендацій: 15


iPadOS 26 v1.0.0

4.1.1 Огляд керування спільним доступом і доступом (Вручну)

Level 1Вручну

Оригінал: Review Manage Sharing & Access (Manual)

Керування спільним доступом і доступом – це нова функція, доступна в iOS 16, яка дозволяє користувачам щоб переглянути за допомогою майстра те, що надається людям і програмам, щоб визначити, чи вони актуальні параметри адекватні або якщо певний доступ потрібно скасувати. Це також дозволяє користувачам переглянути налаштування, пов’язані з Apple ID користувача.

💡 Обґрунтування безпеки:

Регулярно переглядаючи те, що надається додаткам і людям, а також переглядаючи Налаштування Apple ID, користувачі можуть переконатися, що параметри спільного доступу точні та що їх Apple ID зберігається в безпеці.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

З пристрою:

  1. Натисніть Налаштування.
  2. Торкніться «Конфіденційність і безпека».
  3. Торкніться Перевірка безпеки.
  4. Торкніться «Керувати спільним доступом».
  5. Натисніть Продовжити.
  6. Виконайте 3 кроки, щоб переглянути налаштування.
  7. Торкніться Готово в кінці процедури.
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний інтерфейс (GUI / WebUI)

З пристрою:

  1. Натисніть Налаштування.
  2. Торкніться «Конфіденційність і безпека».
  3. Торкніться Перевірка безпеки.
  4. Торкніться «Керувати спільним доступом».
  5. Натисніть Продовжити.
  6. Скасуйте спільний доступ для будь-яких програм або людей, які не відповідають вимогам вашої організації
  7. Торкніться Готово в кінці процедури.
📋 CIS Controls & Нормативні посилання
  1. https://support.apple.com/en-lb/guide/personal-
  2. safety/ips16ea6f2fe/1.0/web/1.0#ips3a9e8e23f
  3. https://support.apple.com/en-lb/guide/personal-safety/welcome/web
CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

4.1.2 Ознайомтеся з аварійним скиданням (Вручну)

Level 1Вручну

Оригінал: Review Emergency Reset (Manual)

Екстрене скидання — це опція одним дотиком, яка захищає користувача, скасовуючи все в iOS пристрій ділиться з усіма людьми та програмами, зокрема інформацією про місцезнаходження, домашні дані, фотоальбоми тощо. Екстрене скидання також дозволяє користувачам видалити всі екстрені контакти та скинути їх Apple ID і пароль, щоб ніхто не міг увійти в свій обліковий запис.

💡 Обґрунтування безпеки:

Функція екстреного скидання призначена для людей, які зазнають або знаходяться під загрозою домашньої несправності зловживання, але це також корисно для всіх, хто коли-небудь ділився своїм місцезнаходженням або даними партнерів у минулому. Інструмент – це централізована інформаційна панель елементів керування, призначена для спрощення скидання дозволів конфіденційності, скасування доступу до місцезнаходження та перевірка обміну даними. Моніторинг смартфонів є поширеною тактикою в ситуаціях домашнього насильства, оскільки це використовує повсякденні інструменти, такі як iCloud або обмін геоданими. Відрізавши an доступу кривдника до пристрою можна зменшити ризики бути переслідованим або піддається.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний інтерфейс (GUI / WebUI)

Немає способу аудиту аварійного скидання, оскільки це стан, який не можна встановити.

    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    З пристрою:

    1. Натисніть Налаштування.
    2. Торкніться «Конфіденційність і безпека».
    3. Торкніться Перевірка безпеки.
    4. Торкніться «Аварійне скидання».
    5. Натисніть Почати аварійне скидання.
    6. Дотримуйтесь інструкцій на екрані, доки процедура не буде завершена.
    📋 CIS Controls & Нормативні посилання
    1. https://support.apple.com/en-lb/guide/personal-
    2. safety/ips16ea6f2fe/1.0/web/1.0#ips3a9e8e23f
    3. https://support.apple.com/en-lb/guide/personal-safety/welcome/web
    CIS Controls V8: 4.8
    IG 1, 2
    Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

    CIS Controls V7: 9.2
    IG 1, 2
    Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

    4.1.3 Переглянути режим блокування (ручний) (Вручну)

    Level 1Вручну

    Оригінал: Review Lockdown Mode (Manual)

    Режим блокування — це нова робоча модель, доступна з iOS. Це забезпечує високу рівень безпеки шляхом обмеження або вимкнення низки функцій пристрою. Режим блокування блокує більшість типів вкладень у повідомленнях, блокує виклики FaceTime від неконтактів, обмежує функції веб-перегляду, запобігає конфігураційним профілям встановлюється та інше, повний список доступний у нашій статті про блокування.

    💡 Обґрунтування безпеки:

    Режим блокування призначений для користувачів, на яких можуть здійснюватися складні кібератаки (таких як активісти, журналісти та інші) і як такі потребують додаткового рівня безпеки.

    ⚠️ Вплив на робочий процес (Impact):

    Режим блокування не для пересічного користувача, а для окремих осіб, які працюють у дуже специфічні та ризиковані обставини. Коли ввімкнено режим блокування, пристрій не працює як зазвичай — певні програми, веб-сайти та функції суворо обмежені для безпека та деякі можливості можуть бути взагалі недоступними.

    🔍 Аудит (перевірка налаштувань)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    З пристрою:

    1. Натисніть Налаштування.
    2. Торкніться «Конфіденційність і безпека».
    3. У розділі «Безпека» перевірте стан режиму блокування.
    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    З пристрою:

    1. Натисніть Налаштування.
    2. Торкніться «Конфіденційність і безпека».
    3. Натисніть Режим блокування.
    4. Торкніться «Увімкнути режим блокування».
    5. Торкніться «Увімкнути режим блокування».
    6. Натисніть Увімкнути та перезапустити.
    7. Введіть пароль пристрою.
    📋 CIS Controls & Нормативні посилання
    1. https://support.apple.com/en-us/HT212650
    2. https://techcrunch.com/2023/04/18/apple-lockdown-mode-iphone-nso-
    3. pegasus/?guccounter=1
    CIS Controls V8: 4.8
    IG 1, 2
    Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

    CIS Controls V7: 9.2
    IG 1, 2
    Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

    4.1.4 Переконайтеся, що «Звіт про конфіденційність програми» ввімкнено (Вручну)

    Level 1Вручну

    Оригінал: Ensure “App Privacy Report” is enabled (Manual)

    Звіт про конфіденційність програми – це інструмент, який надає інформацію про те, як часто програми отримують доступ до вашого дані, такі як місцезнаходження, камера, мікрофон тощо. Інструмент також повертається інформацію про мережеву активність кожної програми та веб-сайту, а також веб-домени, до яких найчастіше звертаються всі програми.

    💡 Обґрунтування безпеки:

    Регулярно використовуючи звіт про конфіденційність додатка, користувачі можуть отримати повну картину того, як це зробити програми поводяться та як вони використовують свої дані.

    🔍 Аудит (перевірка налаштувань)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    З пристрою:

    1. Натисніть Налаштування.
    2. Торкніться «Конфіденційність і безпека».
    3. Натисніть Звіт про конфіденційність додатка.
    4. Перевірте статус звіту про конфіденційність програми.
    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    З пристрою:

    1. Натисніть Налаштування.
    2. Торкніться «Конфіденційність і безпека».
    3. Торкніться служб, які потрібно вимкнути або змінити
    4. Налаштуйте будь-які/всі програми відповідно до вимог вашої організації
    📋 CIS Controls & Нормативні посилання
    1. https://support.apple.com/en-us/HT212958
    CIS Controls V8: 4.8
    IG 1, 2
    Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

    CIS Controls V7: 9.2
    IG 1, 2
    Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

    4.1.5 Перегляньте Airprint (Вручну)

    Level 1Вручну

    Оригінал: Review Airprint (Manual)

    Ця рекомендація стосується Apple AirPrint, функції для друку без інсталяції драйвери для конкретного принтера.

    💡 Обґрунтування безпеки:

    AirPrint не застосовує керовані межі для принтерів. Це дозволяє пристрою підключатися до будь-якого AirPrint-сумісного принтера, що може призвести до витоку даних.

    ⚠️ Вплив на робочий процес (Impact):

    Кінцеві користувачі можуть відчувати незручності, вимикаючи AirPrint на своїх персональних пристроях можливо, вони вже використовують принтери, сумісні з Airprint, у своїх домівках.

    🔍 Аудит (перевірка налаштувань)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    З профілю конфігурації:

    1. Відкрийте конфігуратор Apple.
    2. Відкрийте профіль конфігурації.
    3. На лівій панелі вікна натисніть вкладку Обмеження.
    4. На правій панелі вікна переконайтеся, що на вкладці Функціональні можливості знято прапорець Дозволити AirPrint (лише контрольований). Або з пристрою:
    5. Натисніть Налаштування.
    6. Натисніть Загальні.
    7. Торкніться VPN і керування пристроями.
    8. Торкніться <_Назва профілю_>.
    9. Торкніться Обмеження.
    10. Відображається Confirm AirPrint is not allowed.
    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    Виконайте такі дії в графічному інтерфейсі:

    1. Відкрийте конфігуратор Apple.
    2. Відкрийте профіль конфігурації.
    3. На лівій панелі вікна натисніть вкладку Обмеження.
    4. На правій панелі вікна на вкладці «Функція» зніміть прапорець «Дозволити AirPrint (лише для контрольованих пристроїв»).
    5. Розгорніть профіль конфігурації.
    📋 CIS Controls & Нормативні посилання
    CIS Controls V8: 4.1
    IG 1, 2, 3
    Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

    CIS Controls V8: 4.8
    IG 1, 2
    Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

    CIS Controls V7: 5.1
    IG 1, 2, 3
    Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

    CIS Controls V7: 9.2
    IG 1, 2
    Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

    4.1.6 Переконайтеся, що «Захист від викраденого пристрою» ввімкнено (Вручну)

    Level 1Вручну

    Оригінал: Ensure “Stolen Device Protection” Is Enabled (Manual)

    З випуском iOS і iPadOS 17.3 Apple додала можливість обмежувати, коли a пароль можна скинути. Увімкнення цієї функції захистить користувача, якщо його телефон викрадуть злодій отримав пароль користувача. Якщо пароль зламано, iCloud користувача облікові дані можна скинути або змінити, надаючи доступ до AppleID користувача. Щоб отримати доступ до важливих місць, дотримуйтесь цього посібника: Видаліть важливі місцезнаходження на iPhone. Щоб дізнатися більше про те, що дозволяє доступ до AppleID: Де я можу використовувати свій Apple ID?

    💡 Обґрунтування безпеки:

    Вимагання від користувача перебувати у значному місці для скидання пароля може перешкодити (або перешкоджання) захоплення особи користувача через iCloud у разі викрадення пристрою.

    ⚠️ Вплив на робочий процес (Impact):

    Це може спричинити проблему для користувача, якщо він намагається змінити свій пароль за межами їх значного місця розташування.

    🔍 Аудит (перевірка налаштувань)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    З пристрою:

    1. Натисніть Налаштування
    2. Торкніться Face ID & Passcode
    3. Введіть пароль
    4. Торкніться Захист від викраденого пристрою.
    5. Переконайтеся, що захист від викраденого пристрою ввімкнено.
    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    З пристрою:

    1. Натисніть Налаштування
    2. Торкніться Face ID & Passcode
    3. Введіть пароль
    4. Торкніться Захист від викраденого пристрою
    5. Увімкнути захист від викраденого пристрою
    📋 CIS Controls & Нормативні посилання
    1. https://9to5mac.com/2024/01/22/turn-on-iphone-stolen-device-protection/
    2. https://tidbits.com/2024/01/25/turn-on-stolen-device-protection-in-ios-17-3/
    3. https://news.ycombinator.com/item?id=34936015
    CIS Controls V8: 5.2
    IG 1, 2, 3
    Use Unique Passwords Use unique passwords for all enterprise assets. Best practice implementation includes, at a minimum, an 8-character password for accounts using MFA and a 14-character password for accounts not using MFA.

    CIS Controls V7: 4.4
    IG 1, 2
    Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.

    4.2 Переконайтеся, що пристрій явно не зламано або скомпрометовано (Вручну)

    Level 1Вручну

    Оригінал: Ensure device is not obviously jailbroken or compromised (Manual)

    Ця рекомендація стосується перевірки пристрою на наявність найбільш загальний індикатор втечі з в’язниці.

    💡 Обґрунтування безпеки:

    Apple накладає певні обмеження на те, які програми можна встановлювати на пристрої. Далі, жодна програма не може отримати доступ до інформації та даних на пристрої чи іншій програмі без них отримання дозволу. Це обмежує потенційний ризик несанкціонованого доступу з боку через обмежені права адміністратора, надані Apple. Зламана iOS пристрої, як ненавмисно у випадку зловмисника, так і добровільно зламаних пристроїв, може обійти наведені вище обмеження та, роблячи це, може бути виконано довільний код, скомпрометувати вимоги профілю конфігурації або відкрити пристрій для експлойти, які інакше неможливі.

    🔍 Аудит (перевірка налаштувань)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    Способи зламу пристрою можуть змінюватися з часом, тому може виявитися важко виявити зламаний пристрій. Однак є деякі індикатори, які є підозрілими та можуть означати, що пристрій iOS більше не справжній.

    1. На пристрої встановлені підозрілі програми.
    2. Високе використання даних.
    3. Пристрій гарячий або перегрівається.
    4. Високий розряд акумулятора.
    5. Низька загальна продуктивність.
    6. Нерозпізнані дзвінки/повідомлення. Для зламаних пристроїв можна виконати наведені нижче додаткові перевірки:
    7. На головному екрані проведіть пальцем униз, щоб відкрити Spotlight.
    8. Введіть Cydia, Sileo та checkra1n.
    9. Підтверджуйте кожного разу, що результати Spotlight не повертають жодної з наведених вище програм.
    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    Відновіть iOS до завідомо справного стану з надійного комп’ютера:

    1. Відкрийте iTunes.
    2. Підключіть пристрій iOS до комп’ютера за допомогою кабелю USB.
    3. Виберіть свій пристрій iOS в iTunes.
    4. Виберіть Відновити iPhone/iPad.
    5. Після відновлення налаштуйте як новий пристрій або відновіть із завідомо справної резервної копії.
    📋 CIS Controls & Нормативні посилання
    CIS Controls V8: 2.2
    IG 1, 2, 3
    Ensure Authorized Software is Currently Supported Ensure that only currently supported software is designated as authorized in the software inventory for enterprise assets. If software is unsupported, yet necessary for the fulfillment of the enterprise’s mission, document an exception detailing mitigating controls and residual risk acceptance. For any unsupported software without an exception documentation, designate as unauthorized. Review the software list to verify software support at least monthly, or more frequently.

    CIS Controls V7: 2.2
    IG 1, 2, 3
    Ensure Software is Supported by Vendor Ensure that only software applications or operating systems currently supported by the software’s vendor are added to the organization’s authorized software inventory. Unsupported software should be tagged as unsupported in the inventory system.

    4.3 Переконайтеся, що для параметра «Встановити оновлення iOS» для «Автоматичних оновлень» встановлено значення «Увімкнено» (Вручну)

    Level 1Вручну

    Оригінал: Ensure “Install iOS Updates” of “Automatic Updates” is set to “Enabled” (Manual)

    Ця рекомендація стосується автоматичного встановлення оновлень операційної системи.

    💡 Обґрунтування безпеки:

    Оновлення системи можуть виправляти вразливості програмного забезпечення, тому важливо, щоб пристрої оновлюються.

    ⚠️ Вплив на робочий процес (Impact):

    За наведених нижче обставин автоматичні оновлення слід залишати вимкненими: • Якщо організація використовує інструменти сторонніх розробників для керування оновленнями програмного забезпечення пристрої Apple, • Якщо в організації є суворий процес керування виправленнями, який передбачає тестування оновлення програмного забезпечення на пілотних пристроях перед повним розгортанням.

    🔍 Аудит (перевірка налаштувань)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    З пристрою:

    1. Натисніть Налаштування.
    2. Натисніть Загальні.
    3. Торкніться Оновлення програмного забезпечення
    4. Торкніться «Автоматичні оновлення».
    5. Переконайтеся, що ввімкнено параметри «Завантажити оновлення iOS» і «Встановити оновлення iOS».
    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    З пристрою:

    1. Натисніть Налаштування.
    2. Натисніть Загальні.
    3. Торкніться Оновлення програмного забезпечення
    4. Торкніться «Автоматичні оновлення».
    5. Увімкніть Завантажувати оновлення iOS і Встановлювати оновлення iOS.
    📋 CIS Controls & Нормативні посилання
    CIS Controls V8: 7.3
    IG 1, 2, 3
    Perform Automated Operating System Patch Management Perform operating system updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.

    CIS Controls V7: 3.4
    IG 1, 2, 3
    Deploy Automated Operating System Patch Management Tools Deploy automated software update tools in order to ensure that the operating systems are running the most recent security updates provided by the software vendor.

    4.4 Переконайтеся, що «Оновлення програмного забезпечення» повертає «Ваше програмне забезпечення оновлено». (Інструкція) (Вручну)

    Level 1Вручну

    Оригінал: Ensure “Software Update” returns “Your software is up to date.” (Manual)

    Ця рекомендація стосується оновлення та оновлення операційної системи a даний пристрій.

    💡 Обґрунтування безпеки:

    Оновлена операційна система забезпечує найкращий захист від виконання шкідливого коду.

    🔍 Аудит (перевірка налаштувань)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    З пристрою:

    1. Натисніть Налаштування.
    2. Натисніть Загальні.
    3. Торкніться Оновлення програмного забезпечення.
    4. Переконайтеся, що iOS оновлена. повертається.
    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    З пристрою:

    1. Натисніть Налаштування.
    2. Натисніть Загальні.
    3. Торкніться Оновлення програмного забезпечення.
    4. Натисніть «Встановити» або «Завантажити та встановити», а потім дозвольте пристрою завершити встановлення.
    📋 CIS Controls & Нормативні посилання
    CIS Controls V8: 7.3
    IG 1, 2, 3
    Perform Automated Operating System Patch Management Perform operating system updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.

    CIS Controls V8: 7.4
    IG 1, 2, 3
    Perform Automated Application Patch Management Perform application updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.

    CIS Controls V7: 3.4
    IG 1, 2, 3
    Deploy Automated Operating System Patch Management Tools Deploy automated software update tools in order to ensure that the operating systems are running the most recent security updates provided by the software vendor.

    CIS Controls V7: 3.5
    IG 1, 2, 3
    Deploy Automated Software Patch Management Tools Deploy automated software update tools in order to ensure that third-party software on all systems is running the most recent security updates provided by the software vendor.

    4.5 Перегляньте налаштування «iCloud Private Relay» (Вручну)

    Level 1Вручну

    Оригінал: Review “iCloud Private Relay” settings (Manual)

    iCloud Private Relay — це послуга, яку Apple пропонує як частину передплати iCloud+. Це дозволяє користувачам iOS 15, iPadOS 15, macOS Monterey або новіших версій iOS, iPadOS, і macOS для більш конфіденційного перегляду веб-сторінок, приховуючи фактичну IP-адресу користувача. Служба використовує багатопрохідну архітектуру, за допомогою якої надсилаються запити користувача через два окремі інтернет-ретранслятори, якими керують різні організації, які замінюють ретранслятори користувача оригінальна IP-адреса. IP-адресу користувача бачить провайдер мережі та перший ретранслятор, який є керується Apple. Записи DNS зашифровані, тому жодна сторона не може їх побачити адреса веб-сайту, який користувач намагається відвідати. Друге реле, яким керує сторонній контент-провайдер, генерує тимчасову IP-адресу, розшифровує ім’я веб-сайт і підключається до сайту. Роблячи так, жодна сторона, включаючи Apple, може переглядати або збирати деталі веб-перегляду користувача або незашифровану активність у програми.

    💡 Обґрунтування безпеки:

    Під час перегляду веб-сторінок інформація, що міститься у веб-трафіку, наприклад записи DNS та IP-адресу, можуть бачити постачальник послуг мережі та будь-які відвідані веб-сайти. Це інформація може бути використана для визначення особи користувача та створення його профілю місцезнаходження та історія веб-перегляду. Приховування цієї інформації запобігає відстеженню та профілюванню користувачів, що призводить до підвищений рівень конфіденційності під час перегляду веб-сторінок.

    ⚠️ Вплив на робочий процес (Impact):

    iCloud Private Relay захищає з’єднання лише на загальнодоступних інтернет-серверах, інструктуючи пристрій, щоб спробувати отримати доступ до серверів безпосередньо через локальну мережу. Деякі сутності або однак підприємствам може знадобитися перевірити весь мережевий трафік відповідно до політики. У цьому у цьому випадку можна заблокувати доступ до Private Relay. Чи має бути iCloud Private Relay заблоковано, користувач отримає сповіщення про те, що йому потрібно вимкнути функцію або вибрати іншу мережу. У цьому сценарії користувачі все одно зможуть користуватися службою, коли вони не підключені до своєї корпоративної мережі. Найшвидший і найнадійніший спосіб зробити це — повернути негативну відповідь від DNS-розпізнавач мережі, що запобігає розпізнаванню DNS для mask.icloud.com і mask- Імена хостів h2.icloud.com, необхідні для трафіку приватної ретрансляції.

    Тільки внутрішні – загальні

    🔍 Аудит (перевірка налаштувань)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    З пристрою:

    1. Натисніть Налаштування.
    2. Торкніться <_Ім’я користувача_>, де внизу відображаються Apple ID, iCloud, iTunes і App Store.
    3. Торкніться iCloud.
    4. Натисніть Private Relay.
    5. Переконайтеся, що приватну ретрансляцію ввімкнено.
    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    З пристрою:

    1. Натисніть Налаштування.
    2. Торкніться <_Ім’я користувача_>, де внизу відображаються Apple ID, iCloud, iTunes і App Store.
    3. Торкніться iCloud.
    4. Натисніть Private Relay.
    5. Увімкнути приватну ретрансляцію.
    📋 CIS Controls & Нормативні посилання
    1. https://www.apple.com/privacy/docs/iCloud_Private_Relay_Overview_Dec2021.
    2. PDF
    CIS Controls V8: 4.1
    IG 1, 2, 3
    Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

    CIS Controls V8: 4.8
    IG 1, 2
    Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

    CIS Controls V7: 5.1
    IG 1, 2, 3
    Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

    CIS Controls V7: 9.2
    IG 1, 2
    Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

    4.6 Перегляньте налаштування «Захист конфіденційності пошти» (Вручну)

    Level 1Вручну

    Оригінал: Review “Mail Privacy Protection” settings (Manual)

    Mail Privacy Protection допомагає захистити конфіденційність користувачів, запобігаючи відправникам електронної пошти вивчення інформації про діяльність, якою вони займаються за допомогою програми Mail. Якщо ввімкнено, ця функція приховує IP-адреси користувачів.

    💡 Обґрунтування безпеки:

    Увімкнувши конфіденційність пошти, відправники не можуть створити профіль активності користувача в Інтернеті або визначити їх розташування. Така функція також не дозволяє відправникам бачити, чи є у користувачів відкрили електронний лист, який вони надіслали. Приховування IP-адрес користувачів запобігає відстеженню та профілюванню користувачів, що призводить до підвищений рівень конфіденційності під час використання програми Mail.

    ⚠️ Вплив на робочий процес (Impact):

    Від деяких організацій або підприємств може вимагатися перевірка всього мережевого трафіку відповідно до політики. в у цьому випадку можна заблокувати доступ до Mail Privacy Protection. Найшвидший і самий надійним способом зробити це є повернення негативної відповіді від DNS-розпізнавача мережі, запобігання розпізнаванню DNS для імен хостів mask.icloud.com і mask-h2.icloud.com необхідні для трафіку Mail Privacy Protection. У цьому сценарії користувачі все одно зможуть користуватися службою, коли вони не підключені до своєї корпоративної мережі.

    🔍 Аудит (перевірка налаштувань)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    З пристрою:

    1. Натисніть Налаштування.
    2. Натисніть Пошта.
    3. Натисніть Захист конфіденційності.
    4. Переконайтеся, що ввімкнено захист поштової активності.
    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    З пристрою:

    1. Натисніть Налаштування.
    2. Натисніть Пошта.
    3. Натисніть Захист конфіденційності.
    4. Увімкнути захист поштової діяльності.
    📋 CIS Controls & Нормативні посилання
    CIS Controls V8: 4.1
    IG 1, 2, 3
    Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

    CIS Controls V8: 4.8
    IG 1, 2
    Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

    CIS Controls V7: 5.1
    IG 1, 2, 3
    Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

    CIS Controls V7: 9.2
    IG 1, 2
    Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

    4.7 Переконайтеся, що для параметра «Автоматичні завантаження» в розділі «Оновлення програм» встановлено значення «Увімкнено» (Вручну)

    Level 1Вручну

    Оригінал: Ensure “Automatic Downloads” of “App Updates” is set to “Enabled” (Manual)

    Ця рекомендація стосується автоматичного встановлення оновлень програми.

    💡 Обґрунтування безпеки:

    Оновлення програми можуть виправляти вразливості програмного забезпечення.

    🔍 Аудит (перевірка налаштувань)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    З пристрою:

    1. Натисніть Налаштування.
    2. Торкніться App Store.
    3. Переконайтеся, що в розділі АВТОМАТИЧНЕ ЗАВАНТАЖЕННЯ ввімкнено оновлення програм.
    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    З пристрою:

    1. Натисніть Налаштування.
    2. Торкніться iTunes & App Store.
    3. У розділі АВТОМАТИЧНЕ ЗАВАНТАЖЕННЯ ввімкніть Оновлення програм.
    📋 CIS Controls & Нормативні посилання
    CIS Controls V8: 7.4
    IG 1, 2, 3
    Perform Automated Application Patch Management Perform application updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.

    CIS Controls V7: 3.5
    IG 1, 2, 3
    Deploy Automated Software Patch Management Tools Deploy automated software update tools in order to ensure that third-party software on all systems is running the most recent security updates provided by the software vendor.

    4.8 Переконайтеся, що для функції «Знайти мій iPhone/iPad» встановлено значення «Увімкнено» на пристроях кінцевих користувачів (Автоматизовано)

    Level 1Автоматизовано

    Оригінал: Ensure “Find My iPhone/iPad” is set to “Enabled” on end user-owned devices (Automated)

    Ця рекомендація стосується віддаленого визначення місцезнаходження, блокування та стирання пристрою кінцевий користувач.

    💡 Обґрунтування безпеки:

    Можливість дистанційно знаходити, блокувати та стерти пристрій допомагає пом’якшити вплив викрадення та втрати пристрою, а також ймовірність остаточної втрати. Це рекомендовано лише для власних пристроїв користувачів (BYOD). Інституційні пристрої не повинні бути видалені кінцевими користувачами.

    ⚠️ Вплив на робочий процес (Impact):

    Докази можуть бути знищені, якщо кінцевий користувач виконає стирання.

    🔍 Аудит (перевірка налаштувань)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    З пристрою:

    1. Натисніть Налаштування.
    2. Торкніться <_Ім’я користувача_>, де внизу відображаються Apple ID, iCloud, iTunes і App Store.
    3. Торкніться «Знайти».
    4. Перевірте, чи ввімкнено «Знайти мій iPhone», «Знайти мою мережу» та «Надіслати останнє місцезнаходження».
    ⚙️ Виправлення (Remediation / Налаштування)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    З пристрою:

    1. Натисніть Налаштування.
    2. Торкніться <_Ім’я користувача_>, де внизу відображаються Apple ID, iCloud, iTunes і App Store.
    3. Торкніться «Знайти».
    4. Увімкніть «Знайти мій iPhone», «Знайти мою мережу» та «Надіслати останнє місцезнаходження».
    📋 CIS Controls & Нормативні посилання
    CIS Controls V8: 3.13
    IG 1
    Deploy a Data Loss Prevention Solution Implement an automated tool, such as a host-based Data Loss Prevention (DLP) tool to identify all sensitive data stored, processed, or transmitted through enterprise assets, including those located onsite or at a remote service provider, and update the enterprise’s sensitive data inventory.

    CIS Controls V7: 14.5
    IG 1
    Utilize an Active Discovery Tool to Identify Sensitive Data Utilize an active discovery tool to identify all sensitive information stored, processed, or transmitted by the organization’s technology systems, including those located onsite or at a remote service provider and update the organization’s sensitive information inventory.

    4.9 Переконайтеся, що найновіша архітектура пристрою iOS використовується цінними цілями (Вручну)

    Level 1Вручну

    Оригінал: Ensure the latest iOS device architecture is used by high- value targets (Manual)

    Ця рекомендація стосується фізичних пристроїв, які використовуються цінними цілями.

    💡 Обґрунтування безпеки:

    Експлойти фізичної безпеки проти пристроїв iOS рідко демонструються протягом двох років випуску базової архітектури. Для користувачів, чиї фізичні пристрої iOS може бути націленим, доцільно використовувати останню випущену архітектуру.

    🔍 Аудит (перевірка налаштувань)
    🖥️ Графічний інтерфейс (GUI / WebUI)

    Переконайтеся, що пристрій (пристрої), розгорнуті для цілей високої вартості, мають архітектуру останнього покоління.

      ⚙️ Виправлення (Remediation / Налаштування)
      🖥️ Графічний інтерфейс (GUI / WebUI)

      Замініть пристрій (пристрої). На момент публікації останні архітектури пристроїв iOS: • iPhone 13 і iPhone 13 Mini з процесором Apple A15 Bionic • iPhone 13 Pro і iPhone 13 Pro Max з процесором Apple A15 Bionic • iPad Mini 8.3″ з процесором Apple A15 Bionic • iPad 10.2″ з процесором Apple A13 Bionic • iPad Air 10.9″ з процесором Apple A14 Bionic • iPad Pro 11″ і 12.9″ з використанням процесора Apple M1. Загальна додаткова інформація. Для iPhone див.: https://support.apple.com/en-us/HT201471. Термін “важливі цілі” використовується для позначення користувачів, які можуть зіткнутися з проблемою Приклади атаки фізичного рівня: • Політики • Журналісти • Активісти • Цивільний урядовий чи військовий персонал • Керівники підприємств • Заможні особи.

        ℹ️ Додаткова інженерна інформація (Additional Information):

        Apple надає наступний матеріал щодо ідентифікації апаратного забезпечення пристрою iOS. Для iPhone див.: https://support.apple.com/en-us/HT201296. Для iPad див.: https://support.apple.com/en-us/HT201471. Термін «високоцінні цілі» використовується для позначення користувачів, які можуть зазнати атаки на пристрої фізичного рівня. Приклади: • Політики • Журналісти • Активісти • Цивільний уряд або військовий персонал • Керівники підприємств • Заможні люди

        📋 CIS Controls & Нормативні посилання
        CIS Controls V8: 1.1
        IG 1
        Establish and Maintain Detailed Enterprise Asset Inventory Establish and maintain an accurate, detailed, and up-to-date inventory of all enterprise assets with the potential to store or process data, to include

        4.10 Переконайтеся, що обмін повідомленнями RCS увімкнено замість SMS/MMS, де це доступно (Автоматизовано)

        Level 1Автоматизовано

        Оригінал: Ensure RCS Messaging Is Enabled Instead of SMS/MMS Where Available (Automated)

        Apple додала новий стандарт обміну повідомленнями RCS (Rich Communication Services) в iOS 18. RCS — це сучасний галузевий стандартний протокол, призначений замінити застарілий Протоколи SMS (служба коротких повідомлень) і MMS (служба мультимедійних повідомлень). Це забезпечує більш багатий досвід обміну повідомленнями, подібний до Повідомлень або WhatsApp, включаючи: • Надсилання фотографій і відео високої роздільної здатності • Прочитати квитанції • Індикатори набору тексту • Повідомлення, надіслані через Wi-Fi та мобільні дані замість стільникової мережі У той час як повідомлення мають наскрізне шифрування (E2EE) у пристрої Apple між пристроями Apple обміну повідомленнями, поточна реалізація RCS для обміну повідомленнями з iOS на Android – ні E2EE. Повідомлення шифруються під час передавання (покращення безпеки порівняно зі старими SMS), a скомпрометований сервер або третя сторона (наприклад, телекомунікаційний оператор) потенційно може отримати доступ до незашифрований вміст повідомлення. RCS — це оновлення безпеки та функцій у порівнянні зі стародавнім SMS. Для поточного користувача iPhone, чат RCS з користувачем Android менш безпечний, ніж чат Messages з іншим користувачем користувач iPhone.

        💡 Обґрунтування безпеки:

        Увімкнення RCS – це безпосереднє оновлення безпеки та функцій замість покладення на десятиліттями старі, незахищений протокол SMS/MMS для розмов, не пов’язаних із повідомленнями. Примітка: під час надсилання повідомлення в Повідомленнях текстове поле попереджатиме користувача про який протокол використовується: • SMS – контакти в полі Кому: будуть синіми, якщо використовується iMessage, червоними, якщо використовується RCS, і зелений, якщо використовується SMS/MMS і буде за замовчуванням • RCS – усі контакти в полі Кому: будуть зеленими • iMessage – усі контакти в полі Кому: будуть синіми Буде використано найбільш безпечний загальний протокол.

        Тільки внутрішні – загальні

        ⚠️ Вплив на робочий процес (Impact):

        Увімкнення RCS дозволить пристроям iOS повідомляти користувачам Android, використовуючи більше безпечний протокол.

        🔍 Аудит (перевірка налаштувань)
        🖥️ Графічний інтерфейс (GUI / WebUI)

        З пристрою:

        1. Натисніть Налаштування.
        2. Натисніть Програми.
        3. Торкніться Повідомлення.
        4. Торкніться RCS Messaging.
        5. Переконайтеся, що RCS Messaging увімкнено.
        ⚙️ Виправлення (Remediation / Налаштування)
        🖥️ Графічний інтерфейс (GUI / WebUI)

        З пристрою:

        1. Натисніть Налаштування.
        2. Натисніть Програми.
        3. Торкніться Повідомлення.
        4. Торкніться RCS Messaging.
        5. Увімкнути обмін повідомленнями RCS.
        📋 CIS Controls & Нормативні посилання
        1. https://support.apple.com/en-us/122195
        2. https://support.apple.com/en-us/104972
        3. Additional Information:
        4. Not all countries and or carriers have RCS messaging available. Refer to Apple’s
        5. support pages, organized by geographic region, to find what carriers offer RCS in each
        6. country:
        7. •
        8. Wireless carrier support and features for iPhone in the United States and Canada
        9. •
        10. Wireless carrier support and features for iPhone in Europe
        11. •
        12. Wireless carrier support and features for iPhone in Asia-Pacific
        13. •
        14. Wireless carrier support and features for iPhone in Latin America and the
        15. Caribbean
        16. •
        17. Wireless carrier support and features for iPhone in Africa
        18. •
        19. Wireless carrier support and features for iPhone in the Middle East and India
        CIS Controls V8: 4.1
        IG 1, 2, 3
        Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

        CIS Controls V7: 5.1
        IG 1, 2, 3
        Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

        Потрібні інші розділи стандарту?

        Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


        До повного змісту CIS Apple iPadOS 26 Benchmark →