← До повного змісту CIS Google Chrome Benchmark

CIS Benchmark

CIS Benchmark • Google Chrome v3.0.0

2. Зменшення поверхні атаки (ASR)

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Зменшення поверхні атаки (ASR)».


Рекомендацій: 44


Google Chrome v3.0.0

2.1.2 Переконайтеся, що для параметра «Перевизначення періоду перевірки автоматичного оновлення» встановлено будь-яке значення, крім «0» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Auto-update check period override’ is set to any value except ‘0’ (Automated)

Цей параметр політики налаштовує мінімальну кількість хвилин між автоматичними оновлення перевірок. Рекомендований стан для цього параметра: будь-яке значення, крім 0.

💡 Обґрунтування безпеки:

Автоматичні оновлення можуть допомогти гарантувати, що комп’ютери в середовищі будуть завжди мають найновіші критичні оновлення та можуть скоротити час роботи системи залишатиметься вразливим між оновленнями та виправленнями.

⚠️ Вплив на робочий процес (Impact):

Якщо для виправлення використовується стороння компанія, потрібен виняток із цієї рекомендації.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру, для якого має бути встановлено будь-яке значення, крім 0.

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\Software\Policies\Google\Update:AutoUpdateCheckPeriodMinut es

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача будь-яке значення, крім 0:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google\Google Update\Preferences\Auto-update check period override

Значення за замовчуванням: 1400 (10 годин) Додаткова інформація: Ms Edge 3.3.1 Сторінка 84 2.2 Параметри вмісту Сторінка 85

2.2.1 Переконайтеся, що для параметра «Контроль використання винятків незахищеного вмісту» встановлено значення «Увімкнено: не дозволяти жодному сайту завантажувати змішаний вміст» (Автоматизовано)

Level 2 (L2) – High Security/Sensitive Data Environment (limited functionality)Автоматизовано

Оригінал: Ensure ‘Control use of insecure content exceptions’ is set to ‘Enabled: Do not allow any site to load mixed content’ (Automated)

Налаштування визначає, чи можуть користувачі додавати винятки, щоб дозволити змішаний вміст для певного сайти. • Не дозволяти жодному сайту завантажувати змішаний вміст (2) • Дозволити користувачам додавати винятки, щоб дозволити змішаний вміст (3) Рекомендований стан для цього параметра: Увімкнено зі значенням Не дозволяти сайт для завантаження змішаного вмісту (2) ПРИМІТКА. Цю політику можна замінити для певних шаблонів URL-адрес за допомогою Політики InsecureContentAllowedForUrls і InsecureContentBlockedForUrls.

💡 Обґрунтування безпеки:

Дозвол змішаного (захищеного/незахищеного) вмісту на сайті може призвести до шкідливого вмісту завантажується. Змішаний вміст виникає, якщо початковий запит захищено через HTTPS, але Вміст HTTPS і HTTP згодом завантажується для відображення веб-сторінки. HTTPS вміст безпечний. Вміст HTTP небезпечний.

⚠️ Вплив на робочий процес (Impact):

Користувачі не зможуть змішувати вміст.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 2:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:DefaultInsecureContentSett ing

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled: Не дозволяти жодному сайту завантажувати змішаний вміст:

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google\Google Chrome\Content Settings\Control use of insecure content exceptions

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено: дозволити користувачам додавати винятки, щоб дозволити змішаний вміст, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#DefaultInsecureContentSetting

CIS Controls V8: 9.3
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce and update network-based URL filters to limit an enterprise asset from connecting to potentially malicious or unapproved websites. Example implementations include category-based filtering, reputation-based filtering, or through the use of block lists. Enforce filters for all enterprise assets.

CIS Controls V7: 7.5
IG 1, 2
Subscribe to URL-Categorization service Subscribe to URL categorization services to ensure that they are up-to-date with the most recent website category definitions available. Uncategorized sites shall be blocked by default.

Page 87 2.2.2 (L2) Ensure ‘Control use of the Web Bluetooth API’ is set to ‘Enabled

2.2.4 Переконайтеся, що для параметра «Налаштування сповіщень за замовчуванням» встановлено значення «Увімкнено: не дозволяти жодному сайту показувати сповіщення на робочому столі» (Автоматизовано)

Level 2Автоматизовано

Оригінал: Ensure ‘Default notification setting’ is set to ‘Enabled: Do not allow any site to show desktop notifications’ (Automated)

Google Chrome пропонує веб-сайтам можливість відображати сповіщення на робочому столі. Це push-повідомлення, які надсилаються оператором веб-сайту через інфраструктуру Google до Chrome. • Дозволити сайтам показувати сповіщення на робочому столі (1) • Не дозволяти жодному сайту показувати сповіщення на робочому столі (2) • Запитувати кожного разу, коли сайт хоче показати сповіщення на робочому столі (3) Рекомендований стан для цього параметра: увімкнено зі значенням Не дозволяти сайт для показу сповіщень на робочому столі (2)

💡 Обґрунтування безпеки:

Якщо оператор веб-сайту вирішить надсилати повідомлення в незашифрованому вигляді, сервери Google можуть надіслати обробити його як звичайний текст. Крім того, потенційно скомпрометовані або підроблені сповіщення може змусити користувачів натиснути зловмисне посилання.

⚠️ Вплив на робочий процес (Impact):

Якщо цей параметр увімкнено та встановлено значення «Не дозволяти жодному сайту показувати робочий стіл». сповіщення, сповіщення не будуть відображатися для будь-яких сайтів і користувача не будуть запитав.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 2:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:DefaultNotificationsSettin g

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled: Не дозволяти жодному сайту відображати сповіщення на робочому столі:

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google\Google Chrome\Content Settings\Default notification setting

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, із «Запитувати щоразу, коли сайт хоче показувати сповіщення на робочому столі»)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#DefaultNotificationsSetting
  2. https://www.google.com/chrome/privacy/whitepaper.html#notifications
  3. https://medium.com/@BackmaskSWE/push-messages-isnt-secure-enough-69121c683cc6

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 93

2.2.5 Переконайтеся, що «Дозволити доступ до локальних файлів до URL-адрес file:// на цих сайтах у засобі перегляду PDF» вимкнено (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Allow local file access to file:// URLs on these sites in the PDF Viewer’ Is Disabled (Automated)

Цей параметр дозволить зазначеним URL-адресам отримувати доступ до URL-адрес file:// у засобі перегляду PDF. за за замовчуванням усім доменам заблоковано доступ до URL-адрес file:// у засобі перегляду PDF

💡 Обґрунтування безпеки:

Блокування всіх доменів або обмеженого списку доменів для відкриття завантаженого PDF-файлу файл блокує можливість маскування шкідливого файлу під PDF. Це також може заблокувати невідомий або зловмисний код, що міститься в PDF-файлі, який запускатиметься негайно відкриття на вкладці браузера.

⚠️ Вплив на робочий процес (Impact):

Користувачі повинні будуть відкривати PDF-файли вручну в PDF Viewer або в програма для перегляду PDF файлів організації.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики не матиме значення реєстру (ключ не існуватиме), якщо для нього встановлено значення Disabled:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\PdfLocalFileAccessAllowedF orDomains\

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Content settings\Allow local file access to file:// URLs on these sites in the PDF Viewer

📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#PdfLocalFileAccessAllowedForDomain
  2. s

Page 94

CIS Controls V8: 14.6
IG 1, 2, 3
Train Workforce Members on Recognizing and Reporting Security Incidents Train workforce members to be able to recognize a potential incident and be able to report such an incident.

CIS Controls V7: 3.3
IG 1, 2
Protect Dedicated Assessment Accounts Use a dedicated account for authenticated vulnerability scans, which should not be used for any other administrative activities and should be tied to specific machines at specific IP addresses.

Page 95 2.3 Extensions

Page 96

2.3.1 Переконайтеся, що для параметра «Блокує встановлення зовнішніх розширень» встановлено значення «Увімкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Blocks external extensions from being installed’ is set to ‘Enabled’ (Automated)

Увімкнення цього параметра блокує зовнішні розширення (розширення, яке не встановлено з Chrome Web Store) від встановлення. Рекомендований стан для цього параметра: увімкнено (1)

💡 Обґрунтування безпеки:

Дозвол користувачам встановлювати розширення з інших місць (не з Веб-магазину Chrome) може призвести до встановлення шкідливих розширень.

⚠️ Вплив на робочий процес (Impact):

Користувачеві буде дозволено встановлювати лише розширення для веб-магазину Chrome.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 1:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:BlockExternalExtensions

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled:

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google\Google Chrome\Extensions\Blocks external extensions from being installed

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#BlockExternalExtensions
  2. https://developer.chrome.com/docs/extensions/mv2/external_extensions/

Page 97

CIS Controls V8: 9.4
IG 1, 2
Restrict Unnecessary or Unauthorized Browser and Email Client Extensions Restrict, either through uninstalling or disabling, any unauthorized or unnecessary browser or email client plugins, extensions, and add-on applications.

CIS Controls V7: 7.2
IG 1, 2
Disable Unnecessary or Unauthorized Browser or Email Client Plugins Uninstall or disable any unauthorized browser or email client plugins or add- on applications.

Page 98

2.3.2 Переконайтеся, що для параметра «Налаштувати дозволені типи програм/розширень» встановлено значення «Увімкнено: розширення, розміщена_програма, програма_платформи, тема» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Configure allowed app/extension types’ is set to ‘Enabled: extension, hosted_app, platform_app, theme’ (Automated)

Увімкнення цього параметра дозволяє вказати, які типи програм/розширень дозволені. Вимкнено (0): відсутність обмежень щодо прийнятних типів розширень і програм. Рекомендований стан для цього параметра: увімкнено зі значеннями розширення, hosted_app, platform_app, тема.

💡 Обґрунтування безпеки:

Типи додатків або розширень, якими можна зловживати або які є застарілими, більше не будуть такими встановлено. ПРИМІТКА. Google скасував підтримку програм Chrome, яка включає типи hosted_app і platform_app. Повідомлення в блозі вказує, що ці типи вимагатимуть a налаштування буде активовано для подальшого використання до червня 2022 року.

⚠️ Вплив на робочий процес (Impact):

Вже встановлені розширення буде видалено, якщо їх тип і розширення заборонено сам по собі не в білому списку.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено як extension, hosted_app, platform_app, theme:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ExtensionAllowedTypes:

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled: extension, hosted_app, platform_app, theme:

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google\Google Chrome\Extensions\Configure allowed app/extension types

Значення за замовчуванням: Не встановлено (Те саме, що Вимкнено, але користувач може змінити) Сторінка 99
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#ExtensionAllowedTypes
  2. https://blog.chromium.org/2020/08/changes-to-chrome-app-support-timeline.html
  3. https://chromium.googlesource.com/chromium/src/+/HEAD/extensions/docs/exte
  4. nsion_and_app_types.md

CIS Controls V8: 9.4
IG 1, 2
Restrict Unnecessary or Unauthorized Browser and Email Client Extensions Restrict, either through uninstalling or disabling, any unauthorized or unnecessary browser or email client plugins, extensions, and add-on applications.

CIS Controls V7: 7.2
IG 1, 2
Disable Unnecessary or Unauthorized Browser or Email Client Plugins Uninstall or disable any unauthorized browser or email client plugins or add- on applications.

Page 100

2.3.3 Переконайтеся, що для параметра «Налаштувати список блокування встановлення розширення» встановлено значення «Увімкнено: *» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Configure extension installation blocklist’ is set to ‘Enabled: *’ (Automated)

Увімкнення цього параметра дозволяє вказати, які розширення користувачі НЕ можуть установлювати. Уже встановлені розширення буде видалено, якщо вони включені в список блокувань. Вимкнено (0): тоді користувач може встановити будь-яке розширення в Google Chrome. Рекомендований стан для цього параметра: увімкнено зі значенням * ПРИМІТКА. Chrome пропонує більш детальну конфігурацію на основі дозволів під назвою Параметри керування розширеннями, якщо блокування всіх розширень є занадто агресивним, що дає змогу організації детально ознайомитися з точними дозволами, які вони хочуть заблокувати вниз. Налаштування керування розширеннями вимагають більше координації та зусиль розуміти вимоги безпеки для блокування дозволів сайту та пристрою у всьому світі, а також для розгортання більшого обсягу управління ІТ. Благо б дозволити доступ до більшої кількості розширень для кінцевих користувачів. Перегляньте посилання в довідковому розділі ПРИМІТКА. Якщо очищення Chrome вимкнено, користувачі можуть захотіти налаштувати розширення заблокований список замість використання опції Керування розширеннями. Очищення Chrome може допомогти захистити від шкідливих розширень у поєднанні з Extension Management налаштування.

💡 Обґрунтування безпеки:

Це можна використовувати для блокування розширень, які потенційно можуть дозволити дистанційне керування систему через браузер. Якщо є розширення, необхідні для захисту браузера або для корпоративного використання їх можна ввімкнути, налаштувавши параметр Configure список дозволених установок розширення або параметр Параметри керування розширеннями.

⚠️ Вплив на робочий процес (Impact):

Будь-яке встановлене розширення буде видалено, якщо воно не вказано в білому списку розширень. Якщо організація використовує будь-які затверджені менеджери паролів, переконайтеся, що розширення додається до білого списку.

Сторінка 101

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення *:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ExtensionInstallBlocklist: 1

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача значення Enabled і значення * для ідентифікаторів розширень, встановлення яких користувачеві має бути заборонено:

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google\Google Chrome\Extensions\Configure extension installation blocklist

Значення за замовчуванням: Не налаштовано (те саме, що вимкнено, користувачі можуть змінювати)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#ExtensionInstallBlocklist

CIS Controls V8: 9.4
IG 1, 2
Restrict Unnecessary or Unauthorized Browser and Email Client Extensions Restrict, either through uninstalling or disabling, any unauthorized or unnecessary browser or email client plugins, extensions, and add-on applications.

CIS Controls V7: 7.2
IG 1, 2
Disable Unnecessary or Unauthorized Browser or Email Client Plugins Uninstall or disable any unauthorized browser or email client plugins or add- on applications.

Page 102

2.3.4 Переконайтеся, що «Налаштування розділення пам’яті третьої сторони за умовчанням» увімкнено та заблоковано (Автоматизовано)

Level 2Автоматизовано

Оригінал: Ensure ‘Default third-party storage partitioning setting’ Is Enabled and Blocked (Automated)

Цей параметр блокуватиме будь-якому сайту доступ до сеансу зберігання з будь-якого іншого сайту. Це заблокує сторонні трекери, вбудовані на кількох сайтах, від відстеження a користувачів на сайтах, які вони відвідують. Блокування стороннього доступу до агента користувача не буде дозволяють сайтам отримувати дані про користувача з даних з іншого сайту. Його можна налаштувати на: • Увімкнено (1): дозволити ввімкнути розділення сховища сторонніх розробників. • Вимкнено (2): заблокувати ввімкнення розділення сховища сторонніх розробників.

💡 Обґрунтування безпеки:

Щоб встановити це значення, потрібно, щоб стан агента користувача вводився більш ніж одним ключем походження або сайт. Він також може захистити від часових атак на конфіденційність веб-сайту.

⚠️ Вплив на робочий процес (Impact):

Застосування цього правила може спричинити проблеми з сайтами, які вони регулярно відвідують вже надати доступ третім особам.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру, яке слід налаштувати окремо для дозволених URL-адрес вашої організації:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\DefaultThirdPartyStoragePa rtitioningSetting:2

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача значення Enabled: Block third-party partitioning partitioning from being enabled.:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Content settings\Default third-party storage partitioning setting

Значення за замовчуванням: Не налаштовано Сторінка 103
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#DefaultThirdPartyStoragePartitioningS
  2. etting
  3. https://privacycg.github.io/storage-partitioning/

CIS Controls V8: 14.6
IG 1, 2, 3
Train Workforce Members on Recognizing and Reporting Security Incidents Train workforce members to be able to recognize a potential incident and be able to report such an incident.

CIS Controls V7: 3.3
IG 1, 2
Protect Dedicated Assessment Accounts Use a dedicated account for authenticated vulnerability scans, which should not be used for any other administrative activities and should be tied to specific machines at specific IP addresses.

Page 104

2.3.5 Переконайтеся, що налаштовано параметр «Блокувати розподіл сховища сторонніх розробників для цих джерел» (Вручну)

Level 1Вручну

Оригінал: Ensure ‘Block third-party storage partitioning for these origins’ Is Configured (Manual)

Цей параметр заблокує певним сайтам, вибраним вашою організацією, доступ до сховища сесії з будь-якого іншого сайту. Це дозволить організації блокувати сторонні трекери які вбудовано в кілька сайтів, щоб відстежувати користувачів на сайтах, які вони відвідують. Це також дозволить блокувати доступ сторонніх осіб до агента користувача та виводити дані про користувача з даних з іншого сайту. Налаштування рекомендації рівня 2 DefaultThirdPartyStoragePartitioningSetting заблокує всі сайти, а не лише цей список ThirdPartyStoragePartitioningBlockedForOrigins

💡 Обґрунтування безпеки:

Якщо ваша організація не хоче блокувати доступ користувача до всіх сторонніх сайтів агента, ви можете налаштувати підібраний список сайтів для блокування.

⚠️ Вплив на робочий процес (Impact):

Це може призвести до того, що взаємодія з користувачем може відрізнятися від дозволених до заблокованих сайтів.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру, яке слід налаштувати окремо для дозволених URL-адрес вашої організації:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ThirdPartyStoragePartition ingBlockedForOrigins\<number> = <url> Example: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ThirdPartyStoragePartition ingBlockedForOrigins\1 = https://www.example.com HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ThirdPartyStoragePartition ingBlockedForOrigins\2 = [*.]example.edu HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ThirdPartyStoragePartition ingBlockedForOrigins\3 = https://www.example.net

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача значення Enabled і встановіть Show для затверджених URL-адрес:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Content settings\Block third-party storage partitioning for these origins

📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#ThirdPartyStoragePartitioningBlockedF
  2. orOrigins
  3. https://groups.google.com/a/chromium.org/g/blink-dev/c/24hK6DKJnqY?pli=1

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 106

2.3.6 Переконайтеся, що для параметра «Доступність розширення маніфесту керування v2» встановлено значення «Лише примусово» (Автоматизовано)

Level 2Автоматизовано

Оригінал: Ensure ‘Control Manifest v2 extension availability’ Is Set to Forced Only (Automated)

Цей параметр політики контролює налаштування керування розширеннями для Google Chrome, зокрема розширення v2. Цей параметр політики припиняється, оскільки Google розробляє Маніфест v3, але це розгортання наразі відкладено. Політику можна налаштувати так: • За замовчуванням (0): поведінка браузера за замовчуванням • Вимкнено (1): маніфест v2 вимкнено • Увімкнено (2): маніфест v2 увімкнено • Лише примусове (3): Маніфест v2 увімкнено лише для примусових розширень

💡 Обґрунтування безпеки:

Встановлення цього параметра на «Лише примусове» не дозволить користувачам встановлювати будь-які додаткові розширення v2, і всі існуючі непримусові розширення версії 2 буде вимкнено.

⚠️ Вплив на робочий процес (Impact):

Для користувачів, які регулярно використовують розширення, їх набір буде заблоковано, що зміниться їхній досвід користувача.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 3:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:ExtensionManifestV2Availab ility

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled: Manifest v2 увімкнено лише для примусових розширень:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Extensions\Control Manifest v2 extension availability

📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#ExtensionManifestV2Availability

Page 107

CIS Controls V8: 7.2
IG 1, 2, 3
Establish and Maintain a Remediation Process Establish and maintain a risk-based remediation strategy documented in a remediation process, with monthly, or more frequent, reviews.

CIS Controls V7: 9.4
IG 1, 2, 3
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

Page 108

2.3.7 Переконайтеся, що «Контролювати доступність розширень, неопублікованих у Веб-магазині Chrome» вимкнено (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Control availability of extensions unpublished on the Chrome Web Store’ Is Disabled (Automated)

Ця політика вимикає будь-які розширення в Google Chrome, завантажені з Веб-магазин Chrome і наразі скасовано публікацію. Політику можна налаштувати так: • Увімкнено (0): дозволити неопубліковані розширення • Вимкнено (1): Вимкнути неопубліковані розширення Якщо значення для ExtensionUnpublishedAvailability не змінено за замовчуванням, воно поводитиметься так, як увімкнено. Примітка. Розширення поза магазином, наприклад розпаковані розширення, встановлені за допомогою розробника і розширення, установлені за допомогою перемикача командного рядка, ігноруються. Сила- встановлені розширення, розміщені на власному хості, ігноруються. Усі закріплені версії розширення є також проігноровано.

💡 Обґрунтування безпеки:

Вимкнення неопублікованих розширень призведе до втрати можливості запускати будь-які розширення, які є більше не оновлюється чи виправляється.

⚠️ Вплив на робочий процес (Impact):

Це може вимкнути розширення, якими зазвичай користуються користувачі вашої організації.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 1:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:ExtensionUnpublishedAvaila bility

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача значення Enabled: Вимкнути неопубліковані розширення:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google Chrome\Extensions\Control availability of extensions unpublished on the Chrome Web Store

Значення за замовчуванням: Дозволити неопубліковані розширення
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#ExtensionUnpublishedAvailability

CIS Controls V8: 7.2
IG 1, 2, 3
Establish and Maintain a Remediation Process Establish and maintain a risk-based remediation strategy documented in a remediation process, with monthly, or more frequent, reviews.

CIS Controls V7: 9.4
IG 1, 2, 3
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

Page 110 2.4 HTTP authentication

Page 111

2.4.1 Переконайтеся, що для параметра «Підтримувані схеми автентифікації» встановлено значення «Увімкнено: ntlm, узгодження» (Автоматизовано)

Level 2Автоматизовано

Оригінал: Ensure ‘Supported authentication schemes’ is set to ‘Enabled: ntlm, negotiate’ (Automated)

Визначає, які схеми автентифікації HTTP підтримуються Google Chrome. Вимкнено (0): Дозволяє всі підтримувані схеми автентифікації. Рекомендований стан для цього параметра: увімкнено зі значенням ntlm, узгоджувати

💡 Обґрунтування безпеки:

Можливі значення: «основний», «дайджест», «ntlm» і «узгодити». Базовий і Дайджест автентифікація не забезпечує достатньої безпеки та може призвести до підтвердження користувача паролі у відкритому вигляді або мінімальний захист (інтегрована автентифікація підтримується для тільки для переговорів і викликів ntlm).

⚠️ Вплив на робочий процес (Impact):

Якщо деяким застарілим програмам або веб-сайтам потрібна незахищена автентифікація механізмів вони не працюватимуть належним чином.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру, для якого має бути встановлено значення ntlm, погодьтеся:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:AuthSchemes

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача значення Enabled: ntlm, negotiate:

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google\Google Chrome\HTTP Authentication\Supported authentication schemes

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#AuthSchemes

Page 112

CIS Controls V8: 3.10
IG 1
Encrypt Sensitive Data in Transit Encrypt sensitive data in transit. Example implementations can include

2.5.1 Переконайтеся, що для параметра «Налаштувати власний список заблокованих повідомлень» встановлено значення «Увімкнено: *» (Автоматизовано)

Level 2Автоматизовано

Оригінал: Ensure ‘Configure native messaging blocklist’ is set to ‘Enabled: *’ (Automated)

Дозволяє вказати, які рідні хости обміну повідомленнями не слід завантажувати. Вимкнено (0): Google Chrome завантажуватиме всі встановлені власні хости обміну повідомленнями. Рекомендований стан для цього параметра: увімкнено зі значенням * ПРИМІТКА. З цим потрібно поводитися обережно. Якщо розширення ввімкнено, але не може зв’язуватися зі своїм серверним кодом, він може поводитися дивним чином, що призводить до квитки до служби підтримки + навантаження підтримки.

💡 Обґрунтування безпеки:

Для узгодженості з політикою плагінів і розширень має бути нативний обмін повідомленнями за замовчуванням включено в список блокувань, що потребує явного адміністративного схвалення заявок дозволений список. Прикладом програми, яка використовує власний обмін повідомленнями, є 1Password менеджер паролів.

⚠️ Вплив на робочий процес (Impact):

Значення “*” у списку блокувань означає, що всі внутрішні хости обміну повідомленнями включено до списку блокувань, якщо вони не є явно зазначені в білому списку.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення *:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\NativeMessagingBlocklist:1

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача значення Enabled і значення * у значення Names of the zabranjenих власних хостів обміну повідомленнями.

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google Chrome\Native Messaging\Configure native messaging blocklist

Значення за замовчуванням: Не встановлено (Те саме, що Вимкнено, користувачі можуть змінювати) Сторінка 115
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#NativeMessagingBlocklist

CIS Controls V8: 9.4
IG 1, 2
Restrict Unnecessary or Unauthorized Browser and Email Client Extensions Restrict, either through uninstalling or disabling, any unauthorized or unnecessary browser or email client plugins, extensions, and add-on applications.

CIS Controls V7: 7.2
IG 1, 2
Disable Unnecessary or Unauthorized Browser or Email Client Plugins Uninstall or disable any unauthorized browser or email client plugins or add- on applications.

Page 116 2.6 Password manager

Page 117

2.6.1 Переконайтеся, що параметр «Увімкнути збереження паролів у менеджері паролів» явно налаштовано (Вручну)

Level 1Вручну

Оригінал: Ensure ‘Enable saving passwords to the password manager’ is Explicitly Configured (Manual)

Google Chrome має вбудований менеджер паролів для зберігання паролів користувачів. Chrome використовуватиме локальну автентифікацію, щоб дозволити користувачам отримати доступ до цих паролів. Рекомендований стан для цього параметра: явно встановлено значення Enabled (1) або Disabled (0) виходячи з потреб організації. ПРИМІТКА. Якщо ви вирішите Увімкнути це налаштування, перегляньте розділ Вимкнути синхронізацію даних із Google і переконайтеся, що це налаштування налаштовано відповідно до організаційних вимоги.

💡 Обґрунтування безпеки:

Менеджер паролів Google Chrome увімкнено за умовчанням і для кожної організації повинні переглянути та визначити, чи хочуть вони дозволити користувачам зберігати паролі в Браузер. Якщо замість вбудованої опції Chrome використовується інше рішення, то Організація повинна налаштувати параметр на Вимкнено.

⚠️ Вплив на робочий процес (Impact):

Організаційно залежний.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0 або 1 (залежить від організації):

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:PasswordManagerEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, налаштуйте такий параметр відповідно до організаційних вимог:

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google\Google Chrome\Password manager\Enable saving passwords to the password manager

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити) Сторінка 118
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#PasswordManagerEnabled
  2. https://www.ncsc.gov.uk/blog-post/what-does-ncsc-think-password-managers
  3. https://pages.nist.gov/800-63-3/sp800-63b.html

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 119 2.7 Printing

Page 120

2.7.1 Переконайтеся, що для параметра «Увімкнути проксі-сервер Google Cloud Print» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable Google Cloud Print Proxy’ is set to ‘Disabled’ (Automated)

Цей параметр дозволяє Google Chrome працювати як проксі-сервер між Google Cloud Print і застарілих принтерів, підключених до машини. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Якщо вимкнути цей параметр, користувачі не зможуть друкувати документи з некерованого режиму пристроїв до принтера організації.

⚠️ Вплив на робочий процес (Impact):

Якщо цей параметр вимкнено, користувачі не можуть увімкнути проксі, і машина не буде дозволено ділитися своїми локальними принтерами з Google Cloud Print.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:CloudPrintProxyEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google\Google Chrome\Printing\Enable Google Cloud Print Proxy

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#CloudPrintProxyEnabled

Page 121

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

Page 122 2.8 Remote access (Chrome Remote Desktop) This section has recommendations specifically for configuring Chrome Remote Desktop.

Page 123

2.8.1 Переконайтеся, що для параметра «Дозволити підключення віддаленого доступу до цієї машини» встановлено значення «Вимкнено» (Вручну)

Level 1Вручну

Оригінал: Ensure ‘Allow remote access connections to this machine’ is set to ‘Disabled’ (Manual)

Це налаштування для віддаленого робочого столу Chrome. Якщо цей параметр вимкнено, пульт дистанційного керування службу хосту доступу не можна запустити або налаштувати для прийому вхідних з’єднань. • Вимкнено (0): Заборонити підключення віддаленого доступу до цієї машини • Увімкнено (1): Дозволити підключення віддаленого доступу до цієї машини Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Слід використовувати лише затверджені системи віддаленого доступу. ПРИМІТКА. Якщо Chrome Remote Desktop схвалено та вимагається для використання, тоді це налаштування можна ігнорувати.

⚠️ Вплив на робочий процес (Impact):

Це налаштування вимкне віддалений робочий стіл Chrome. Загалом, Chrome Remote Desktop не використовується більшістю компаній, тому його вимкнення не матиме жодного впливу.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:RemoteAccessHostAllowRemot eAccessConnections

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Remote Access\Allow remote access connections to this machine

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити) Сторінка 124
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#RemoteAccessHostAllowRemoteAcces
  2. sConnections
  3. https://remotedesktop.google.com/?pli=1

CIS Controls V8: 13.5
IG 1
Manage Access Control for Remote Assets Manage access control for assets remotely connecting to enterprise resources. Determine amount of access to enterprise resources based on

2.8.2 Переконайтеся, що для параметра «Дозволити віддаленим користувачам взаємодіяти з підвищеними вікнами в сеансах віддаленої допомоги» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Allow remote users to interact with elevated windows in remote assistance sessions’ is set to ‘Disabled’ (Automated)

Google Chrome можна налаштувати на запуск хоста віддаленої допомоги в процесі з дозволи uiAccess. Це дозволяє віддаленим користувачам взаємодіяти з увімкненими підвищеними вікнами робочий стіл локального користувача. Якщо цей параметр вимкнено, хост віддаленої допомоги працюватиме в контексті користувача. Крім того, віддалені користувачі не можуть взаємодіяти з підвищеними вікнами на робочому столі. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Віддалені користувачі не можуть підвищувати привілеї.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:RemoteAccessHostAllowUiAcc essForRemoteAssistance

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google\Google Chrome\Remote access\Allow remote users to interact with elevated windows in remote assistance sessions

Значення за замовчуванням: Не встановлено (Те саме, що Вимкнено, але користувач може змінити) Сторінка 126
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#RemoteAccessHostAllowUiAccessFor
  2. RemoteAssistance

CIS Controls V8: 13.5
IG 1
Manage Access Control for Remote Assets Manage access control for assets remotely connecting to enterprise resources. Determine amount of access to enterprise resources based on

2.8.3 Переконайтеся, що для параметра «Налаштувати необхідні доменні імена для клієнтів віддаленого доступу» встановлено значення «Увімкнено», а домен визначено (Вручну)

Level 1Вручну

Оригінал: Ensure ‘Configure the required domain names for remote access clients’ is set to ‘Enabled’ with a domain defined (Manual)

Chrome дозволяє конфігурувати список доменів, яким дозволено доступ до система користувача. Якщо ввімкнено, віддалені системи можуть підключатися, лише якщо вони є одним із указані домени в списку. Встановлення порожнього списку (вимкнено) дозволяє віддаленим системам з будь-якого домену підключитися до системи цього користувача. Рекомендований стан для цього параметра: увімкнено (1) і встановлено принаймні один домен ПРИМІТКА. Список доменів залежить від організації.

💡 Обґрунтування безпеки:

Підключення віддаленої допомоги має бути обмежено.

⚠️ Вплив на робочий процес (Impact):

Якщо цей параметр увімкнено, лише системи з указаних доменів можуть підключатися до система користувача.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей шлях реєстру не існуватиме, якщо для нього встановлено значення Disabled:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\RemoteAccessHostClientDoma inList

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача значення Enabled і введіть домен(и) організації (наприклад, nodomain.local):

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google\Google Chrome\Remote access\Configure the required domain names for remote access clients

Значення за замовчуванням: Не встановлено (Те саме, що Вимкнено, але користувач може змінити) Сторінка 128
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#RemoteAccessHostClientDomainList

CIS Controls V8: 13.5
IG 1
Manage Access Control for Remote Assets Manage access control for assets remotely connecting to enterprise resources. Determine amount of access to enterprise resources based on

2.8.4 Переконайтеся, що для параметра «Увімкнути блокування хостів віддаленого доступу» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable curtaining of remote access hosts’ is set to ‘Disabled’ (Automated)

Цей параметр дозволяє фізично присутнім на головній машині бачити, що таке користувач виконується під час віддаленого підключення. Якщо цей параметр вимкнено, фізичні пристрої введення та виведення хоста ввімкнено, поки a виконується віддалене підключення. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Якщо триває віддалений сеанс, користувач, фізично присутній на головній машині, повинен мати можливість бачити, що робить віддалений користувач.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:RemoteAccessHostRequireCur tain

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google\Google Chrome\Remote access\Enable curtaining of remote access hosts

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#RemoteAccessHostRequireCurtain

Page 130

CIS Controls V8: 13.5
IG 1
Manage Access Control for Remote Assets Manage access control for assets remotely connecting to enterprise resources. Determine amount of access to enterprise resources based on

2.8.5 Переконайтеся, що для параметра «Увімкнути обхід брандмауера з хоста віддаленого доступу» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable firewall traversal from remote access host’ is set to ‘Disabled’ (Automated)

Chrome дозволяє використовувати сервери STUN, які дозволяють віддаленим клієнтам знаходити і підключитися до машини, навіть якщо вони розділені брандмауером. Вимкнувши це у поєднанні з фільтрацією вихідних з’єднань UDP, машина буде лише дозволити підключення з машин у локальній мережі. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Якщо цей параметр увімкнено, віддалені клієнти можуть знаходити ці машини та підключатися до них навіть якщо вони розділені брандмауером.

⚠️ Вплив на робочий процес (Impact):

Якщо цей параметр вимкнено, а вихідні з’єднання UDP фільтруються брандмауером, це машина дозволятиме підключення лише з клієнтських машин у локальній мережі.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:RemoteAccessHostFirewallTr aversal

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google\Google Chrome\Remote access\Enable firewall traversal from remote access host

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#RemoteAccessHostFirewallTraversal

Page 132

CIS Controls V8: 13.5
IG 1
Manage Access Control for Remote Assets Manage access control for assets remotely connecting to enterprise resources. Determine amount of access to enterprise resources based on

2.8.6 Переконайтеся, що для параметра «Увімкнути або вимкнути автентифікацію без PIN-коду для хостів віддаленого доступу» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable or disable PIN-less authentication for remote access hosts’ is set to ‘Disabled’ (Automated)

Chrome дозволяє користувачеві відмовитися від використання автентифікації за допомогою PIN-коду та замість цього об’єднувати клієнтів і хостів під час підключення. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Якщо цей параметр увімкнено, користувачі можуть об’єднати клієнтів і хостів під час з’єднання, усуває необхідність кожного разу вводити PIN-код.

⚠️ Вплив на робочий процес (Impact):

Якщо цей параметр вимкнено, користувачам потрібно буде щоразу вводити PIN-код.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:RemoteAccessHostAllowClien tPairing

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google\Google Chrome\Remote access\Enable or disable PIN-less authentication for remote access hosts

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#RemoteAccessHostAllowClientPairing

Page 134

CIS Controls V8: 13.5
IG 1
Manage Access Control for Remote Assets Manage access control for assets remotely connecting to enterprise resources. Determine amount of access to enterprise resources based on

2.8.7 Переконайтеся, що для параметра «Увімкнути використання серверів ретрансляції хостом віддаленого доступу» встановлено значення «Вимкнено». (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable the use of relay servers by the remote access host’ is set to ‘Disabled’. (Automated)

Google Chrome дозволяє використовувати сервери ретрансляції, коли клієнти намагаються підключитися до нього машина, а пряме підключення недоступне. • Вимкнути (0): використання серверів ретрансляції хостом віддаленого доступу заборонено • Увімкнено (1): використання серверів ретрансляції хостом віддаленого доступу дозволено Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Сервери ретрансляції не повинні використовуватися для обходу обмежень брандмауера.

⚠️ Вплив на робочий процес (Impact):

Якщо цей параметр вимкнено, віддалені клієнти не можуть використовувати сервери ретрансляції для підключення до нього машина. ПРИМІТКА. Вимкнення не вимикає віддалений доступ, а лише дозволяє підключення з тієї самої мережі (не обхід NAT або реле).

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:RemoteAccessHostAllowRelay edConnection

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google\Google Chrome\Remote access\Enable the use of relay servers by the remote access host

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити) Сторінка 136
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#RemoteAccessHostAllowRelayedConn
  2. ection

CIS Controls V8: 13.5
IG 1
Manage Access Control for Remote Assets Manage access control for assets remotely connecting to enterprise resources. Determine amount of access to enterprise resources based on

2.9.1 Переконайтеся, що «Увімкнути власні набори» вимкнено (Вручну)

Level 1Вручну

Оригінал: Ensure ‘Enable First-Party Sets’ Is Disabled (Manual)

Ця політика контролює доступ до власних наборів. Основні набори – це спосіб для сайтів декларувати відносини один з одним і дозволяти обмежений міжсайтовий доступ до файлів cookie для конкретні, орієнтовані на користувача цілі. Його можна налаштувати на: • Вимкнено (0): Вимкніть основні набори для всіх постраждалих користувачів • Увімкнено (1): увімкнути власні набори для всіх зачеплених користувачів

💡 Обґрунтування безпеки:

Налаштування цієї політики не дозволить сайтам декларувати зв’язки, які їм це дозволяють отримати доступ до міжсайтових файлів cookie.

⚠️ Вплив на робочий процес (Impact):

Це може спричинити неочікувану поведінку під час переходу користувача між афілійованими сайтами.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:FirstPartySetsEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію через GP, встановіть для наступного шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Content settings\Enable Firty-Party Sets

Значення за замовчуванням: Увімкнено
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#FirstPartySetsEnabled

Page 139

CIS Controls V8: 8.3
IG 1, 2, 3
Ensure Adequate Audit Log Storage Ensure that logging destinations maintain adequate storage to comply with the enterprise’s audit log management process.

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 140 2.10 Microsoft Active Directory Management Settings

Page 141

2.10.1 Переконайтеся, що опцію «Дозволити автоматичний вхід до постачальників хмарної ідентифікації Microsoft» увімкнено (Вручну)

Level 1Вручну

Оригінал: Ensure ‘Allow automatic sign-in to Microsoft cloud identity providers’ Is Enabled (Manual)

Цей параметр політики дозволяє обліковим записам, які підтримуються постачальником хмарних ідентифікаторів Microsoft® (тобто Microsoft Azure Active Directory або постачальник ідентифікаційних даних облікового запису споживача Microsoft) можна автоматично ввійти у веб-ресурси, використовуючи цей ідентифікатор. Його можна налаштувати будь-якому: • Вимкнено (0): Вимкнути хмарну автентифікацію Microsoft® • Увімкнено (1): увімкнути хмарну автентифікацію Microsoft® Якщо значення CloudAPAuthEnabled не змінено порівняно зі стандартним, воно діятиме так само вимкнено.

💡 Обґрунтування безпеки:

Увімкнення цього параметра політики дозволяє користувачам використовувати Microsoft Cloud Authentication для будь-яких сайт, який вимагає CA (хмарна автентифікація) і не потребує розширення.

⚠️ Вплив на робочий процес (Impact):

Це не повинно впливати на користувача.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 1:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:CloudAPAuthEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача значення Enabled: Enable Microsoft® cloud authentication:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Microsoft® Active Directory® management settings\Allow automatic sign- in to Microsoft® cloud identity providers

Значення за замовчуванням: Не встановлено (вимкнено) Сторінка 142
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#CloudAPAuthEnabled

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 143

2.11 Переконайтеся, що для параметра «Дозволити обмеження завантаження» встановлено значення «Увімкнено: блокувати шкідливі завантаження» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Allow download restrictions’ is set to ‘Enabled: Block malicious downloads’ (Automated)

Google Chrome може блокувати певні типи завантажень і не дозволяє користувачам обходити попередження безпеки, залежно від класифікації Безпечного перегляду. • Без особливих обмежень. За замовчуванням. (0, вимкнено) (за замовчуванням) • Блокуйте шкідливі завантаження та небезпечні типи файлів. (1) • Блокуйте шкідливі завантаження, незвичайні або небажані завантаження та небезпечні типи файлів. (2) • Блокувати всі завантаження. (3) • Блокуйте шкідливі завантаження. Рекомендовано. (4) Рекомендований стан для цього параметра: увімкнено зі значенням Блокувати зловмисні завантаження. Рекомендовано. (4) ПРИМІТКА. Ці обмеження також застосовуються до завантажень, ініційованих вмістом веб-сторінки як пункт меню Завантажити посилання…. Вони не стосуються завантаження поточного відображену сторінку або зберегти як PDF із параметрів друку.

💡 Обґрунтування безпеки:

Користувачам заборонено завантажувати шкідливі типи файлів, і вони не зможуть обійти попередження безпеки.

⚠️ Вплив на робочий процес (Impact):

Якщо цей параметр увімкнено, усі завантаження дозволені, за винятком тих, які містять Safe Попередження під час перегляду. Це завантаження, які були визначені як ризиковані або з небезпечне джерело глобальної системи безпечного перегляду Google.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 4:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:DownloadRestrictions

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача значення Увімкнено: Блокувати шкідливі завантаження. Рекомендовано:

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google\Google Chrome\Allow download restrictions

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#DownloadRestrictions
  2. https://developers.google.com/safe-browsing

CIS Controls V8: 8.3
IG 1, 2, 3
Ensure Adequate Audit Log Storage Ensure that logging destinations maintain adequate storage to comply with the enterprise’s audit log management process.

CIS Controls V7: 10.5
IG 1, 2, 3
Ensure Backups Have At least One Non- Continuously Addressable Destination Ensure that all backups have at least one backup destination that is not continuously addressable through operating system calls.

Page 145

2.12 Переконайтеся, що для параметра «Дозволити перехід зі сторінки попередження SSL» встановлено значення «Вимкнено» (Автоматизовано)

Level 2Автоматизовано

Оригінал: Ensure ‘Allow proceeding from the SSL warning page’ is set to ‘Disabled’ (Automated)

Цей параметр визначає, чи може користувач перейти до веб-сторінки, якщо вона недійсна Виникло попередження про сертифікат SSL. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Сайти, захищені SSL, завжди повинні розпізнаватися як дійсні у веб-браузері. Дозволяє користувачеві приймати рішення про те, чи є недійсним сертифікат може відкрити організацію для користувачів, які відвідують сайт, який інакше не є безпечні та/або шкідливі за своєю природою.

⚠️ Вплив на робочий процес (Impact):

Користувачі не зможуть клацнути мимо помилки недійсний сертифікат, щоб переглянути веб-сайт.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:SSLErrorOverrideAllowed

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Allow proceeding from the SSL warning page

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#SSLErrorOverrideAllowed

Page 146

CIS Controls V8: 9.3
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce and update network-based URL filters to limit an enterprise asset from connecting to potentially malicious or unapproved websites. Example implementations include category-based filtering, reputation-based filtering, or through the use of block lists. Enforce filters for all enterprise assets.

CIS Controls V7: 7.4
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce network-based URL filters that limit a system’s ability to connect to websites not approved by the organization. This filtering shall be enforced for each of the organization’s systems, whether they are physically at an organization’s facilities or not.

Page 147

2.13 Переконайтеся, що для параметра «Вимкнути перехід зі сторінки попередження безпечного перегляду» встановлено значення «Увімкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Disable proceeding from the Safe Browsing warning page’ is set to ‘Enabled’ (Automated)

Google надає службу безпечного перегляду. Він показує сторінку попередження, коли користувачі переходити на сайти, які позначені як потенційно шкідливі. Вимкнено (0): користувачі можуть перейти до позначеного сайту після попередження з’являється. Рекомендований стан для цього параметра: увімкнено (1)

💡 Обґрунтування безпеки:

Шкідливі веб-сторінки широко поширені в Інтернеті та є найбільш значущими загроза для користувача сьогодні. Користувачі не зможуть переходити до потенційно шкідливий веб-контент.

⚠️ Вплив на робочий процес (Impact):

Увімкнення цього параметра запобігає переходу користувачів зі сторінки попередження шкідливий сайт. У деяких випадках законні сайти можуть бути заблоковані, а користувачі – блокуватися заборонено доступ.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 1:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:DisableSafeBrowsingProceed Anyway

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled:

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google\Google Chrome\Safe Browsing settings\Disable proceeding from the Safe Browsing warning page

Значення за замовчуванням: Не встановлено (Те саме, що Вимкнено, але користувач може змінити) Сторінка 148
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#DisableSafeBrowsingProceedAnyway

CIS Controls V8: 9.3
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce and update network-based URL filters to limit an enterprise asset from connecting to potentially malicious or unapproved websites. Example implementations include category-based filtering, reputation-based filtering, or through the use of block lists. Enforce filters for all enterprise assets.

CIS Controls V7: 7.4
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce network-based URL filters that limit a system’s ability to connect to websites not approved by the organization. This filtering shall be enforced for each of the organization’s systems, whether they are physically at an organization’s facilities or not.

Page 149

2.14 Переконайтеся, що для параметра «Вимагати ізоляцію сайту для кожного сайту» встановлено значення «Увімкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Require Site Isolation for every site’ is set to ‘Enabled’ (Automated)

Цей параметр визначає, чи кожен веб-сайт завантажуватиметься у свій власний процес. Вимкнено (0): не вимикає ізоляцію сайту, але дозволяє користувачам вимкнути її. Рекомендований стан для цього параметра: увімкнено (1)

💡 Обґрунтування безпеки:

Chrome завантажуватиме кожен веб-сайт у власному процесі. Навіть якщо сайт обходить той самий- політики походження, додатковий захист допоможе запобігти крадіжці ваших даних сайтом інший сайт.

⚠️ Вплив на робочий процес (Impact):

Якщо політику ввімкнено, кожен сайт запускатиметься у власному процесі, який спричинить роботу системи використовувати більше пам’яті. Можливо, ви захочете подивитися на Увімкнути ізоляцію сайту для визначений параметр політики походження, щоб отримати найкраще з обох світів – ізоляції та обмеженості вплив на користувачів – за допомогою Увімкнути ізоляцію сайту для вказаних джерел зі списком сайтів, які ви хочете ізолювати.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 1:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:SitePerProcess

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled:

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google\Google Chrome\Require Site Isolation for every site

Значення за замовчуванням: Не встановлено (Те саме, що Вимкнено, але користувач може змінити) Сторінка 150
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#SitePerProcess
  2. https://www.chromium.org/Home/chromium-security/site-isolation

CIS Controls V8: 8.3
IG 1, 2, 3
Ensure Adequate Audit Log Storage Ensure that logging destinations maintain adequate storage to comply with the enterprise’s audit log management process.

CIS Controls V7: 10.5
IG 1, 2, 3
Ensure Backups Have At least One Non- Continuously Addressable Destination Ensure that all backups have at least one backup destination that is not continuously addressable through operating system calls.

Page 151

2.15 Переконайтеся, що для параметра «Примусово використовувати Google SafeSearch» встановлено значення «Увімкнено» (Автоматизовано)

Level 1 (L1) – Corporate/Enterprise Environment (general use)Автоматизовано

Оригінал: Ensure ‘Force Google SafeSearch’ is set to ‘Enabled’ (Automated)

Цей параметр забезпечує виконання результатів веб-пошуку за допомогою Google Безпечний пошук завжди активний. Вимкнено означає, що безпечний пошук у Пошуку Google ні примусово. Рекомендований стан для цього параметра: увімкнено (1)

💡 Обґрунтування безпеки:

Слід дозволити показ результатів пошуку сайтів, які можуть мати шкідливий вміст заборонено, щоб гарантувати, що користувачі випадково не відвідають сайти, які є більш схильними до шкідливий вміст, включаючи шпигунське програмне забезпечення, рекламне програмне забезпечення та віруси.

⚠️ Вплив на робочий процес (Impact):

Результати пошуку користувачів будуть відфільтровані, а також такий вміст, як текст для дорослих, відео та зображення не буде показано.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 1:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:ForceGoogleSafeSearch

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію через GP, установіть для наступного шляху інтерфейсу користувача значення Enabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Force Google SafeSearch

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#ForceGoogleSafeSearch

Page 152

CIS Controls V8: 9.3
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce and update network-based URL filters to limit an enterprise asset from connecting to potentially malicious or unapproved websites. Example implementations include category-based filtering, reputation-based filtering, or through the use of block lists. Enforce filters for all enterprise assets.

CIS Controls V7: 7.4
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce network-based URL filters that limit a system’s ability to connect to websites not approved by the organization. This filtering shall be enforced for each of the organization’s systems, whether they are physically at an organization’s facilities or not.

Page 153 2.16 (L1) Ensure ‘Notify a user that a browser relaunch or device restart is recommended or required’ is set to ‘Enabled

2.17 Переконайтеся, що для параметра «Параметри проксі» встановлено значення «Увімкнено» та не містить «ProxyMode»: «auto_detect» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Proxy settings’ is set to ‘Enabled’ and does not contain “ProxyMode”: “auto_detect” (Automated)

Google Chrome пропонує функцію автоматичного налаштування параметрів проксі-сервера виявлення за допомогою WPAD (Web Proxy Auto-Discovery Protocol). Це налаштування налаштовує налаштування проксі-сервера для Chrome і програм ARC, які ігнорують усі параметри, пов’язані з проксі-сервером задається з командного рядка. Вимкнено (0): дозволяє користувачам вибирати налаштування проксі. Рекомендований стан для цього параметра: увімкнено, а значення ProxyMode не встановлено для автоматичного визначення

💡 Обґрунтування безпеки:

Зловмисники можуть зловживати функцією автоматичного налаштування WPAD, щоб надати комп’ютерам a PAC-файл, який вказує на шахрайський веб-проксі під їхнім контролем.

⚠️ Вплив на робочий процес (Impact):

Якщо політику ввімкнено, конфігурацію проксі-сервера більше не буде виявлено за допомогою WPAD.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого НЕ слід встановлювати значення auto_detect:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:ProxyMode

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, переконайтеся, що для наступного шляху інтерфейсу користувача встановлено значення «Увімкнено», а для значення ProxyMode не встановлено значення auto_detect:

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google\Google Chrome\Proxy settings

Значення за замовчуванням: Не встановлено (Те саме, що Вимкнено, користувачі можуть змінювати) Сторінка 156
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#ProxySettings
  2. http://www.ptsecurity.com/download/wpad_weakness_en.pdf
  3. https://www.blackhat.com/us-16/briefings.html#crippling-https-with-unholy-pac

CIS Controls V8: 13.10
IG 1
Perform Application Layer Filtering Perform application layer filtering. Example implementations include a filtering proxy, application layer firewall, or gateway.

CIS Controls V7: 12.9
IG 1
Deploy Application Layer Filtering Proxy Server Ensure that all network traffic to or from the Internet passes through an authenticated application layer proxy that is configured to filter unauthorized connections.

Page 157

2.18 Переконайтеся, що для параметра «Вимагати онлайн-перевірки OCSP/CRL для локальних прив’язок довіри» встановлено значення «Увімкнено» (Автоматизовано)

Level 2Автоматизовано

Оригінал: Ensure ‘Require online OCSP/CRL checks for local trust anchors’ is set to ‘Enabled’ (Automated)

Google Chrome успішно виконує перевірку відкликання сертифікатів сервера перевіряються та підписуються локально встановленими сертифікатами ЦС. Якщо Google Chrome не працює щоб отримати інформацію про статус відкликання, такі сертифікати розглядатимуться як відкликані (‘твердий збій’). Вимкнено: Google Chrome використовує наявні налаштування онлайн-перевірки відкликання. Рекомендований стан для цього параметра: увімкнено (1)

💡 Обґрунтування безпеки:

Сертифікати завжди мають бути підтверджені.

⚠️ Вплив на робочий процес (Impact):

Для успішно перевірених сертифікатів сервера буде виконано перевірку відкликання і підписані локально встановленими сертифікатами ЦС. якщо сервер OCSP вийде з ладу, тоді це призведе до збою та завадить перегляду цих сайтів.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 1:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:RequireOnlineRevocationChe cksForLocalAnchors

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled:

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google\Google Chrome\Require online OCSP/CRL checks for local trust anchors

Значення за замовчуванням: Не встановлено (Те саме, що Вимкнено, користувачі можуть змінювати) Сторінка 158
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#RequireOnlineRevocationChecksForLo
  2. calAnchors

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 159

2.19 Переконайтеся, що для параметра «Установити період часу для сповіщень про оновлення» встановлено значення «Увімкнено: 86400000» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Set the time period for update notifications’ is set to ‘Enabled: 86400000’ (Automated)

Google Chrome дозволяє встановити період часу в мілісекундах, протягом якого перебувають користувачі повідомлено, що його потрібно перезапустити, щоб застосувати оновлення, що очікує на розгляд. Якщо не встановлено або вимкнено, використовується період за умовчанням у 604800000 мілісекунд (7 днів). Рекомендований стан для цього параметра: увімкнено зі значенням 86400000 (1 день)

💡 Обґрунтування безпеки:

Цей параметр є сповіщенням для кінцевого користувача про оновлення і що для завершення оновлення браузер потрібно перезапустити. Після оновлення організацією стає актуальним таке оновлення вступає в силу якомога швидше. Якщо ввімкнути це сповіщення, користувачі перезапустять браузер своєчасно.

⚠️ Вплив на робочий процес (Impact):

Після закінчення цього періоду користувачеві буде повторно повідомлено про необхідність оновлення до завершення перезапуску браузера.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру, яке має бути встановлено на 86400000.

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:RelaunchNotificationPeriod

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled: 5265C00 (86400000 у шістнадцятковій системі):

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google\Google Chrome\Set the time period for update notifications

Значення за замовчуванням: Не встановлено (Те саме, що Вимкнено, але користувач може змінити) Сторінка 160
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#RelaunchNotificationPeriod

CIS Controls V8: 7.4
IG 1, 2, 3
Perform Automated Application Patch Management Perform application updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.

CIS Controls V7: 3.5
IG 1, 2, 3
Deploy Automated Software Patch Management Tools Deploy automated software update tools in order to ensure that third-party software on all systems is running the most recent security updates provided by the software vendor.

Page 161

2.20 Переконайтеся, що параметр «Дозволити запити веб-автентифікації на сайтах із пошкодженими сертифікатами TLS» вимкнено (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Allow Web Authentication requests on sites with broken TLS certificates’ Is Disabled (Automated)

Цей параметр політики контролює API WebAuthn і його взаємодію із сайтами, які мають a зламаний сертифікат TLS. Його можна налаштувати на: • Вимкнено (0): не дозволяти запити WebAuthn API на сайтах із несправним TLS сертифікати. • Увімкнено (1): дозволити запити WebAuthn API на сайтах із несправним TLS сертифікати. Якщо значення AllowWebAuthnWithBrokenTlsCerts не змінено за замовчуванням, воно буде вести себе як вимкнено.xempt.

💡 Обґрунтування безпеки:

Налаштування цієї політики заблокує можливість автентифікації на будь-якому веб-сайті, який не має дійсний сертифікат TLS, оскільки ідентичність сайту неможливо перевірити.

⚠️ Вплив на робочий процес (Impact):

Не повинно бути жодного впливу на користувача.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:AllowWebAuthnWithBrokenTls Certs

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію через GP, встановіть для наступного шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Allow Web Authentication requests on sites with broken TLS certificates

Значення за замовчуванням: Не встановлено (вимкнено) Сторінка 162
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#AllowWebAuthnWithBrokenTlsCerts

CIS Controls V8: 3.10
IG 1
Encrypt Sensitive Data in Transit Encrypt sensitive data in transit. Example implementations can include

2.21 Переконайтеся, що параметр «Дозволити звітування про дані, пов’язані з надійністю домену» вимкнено (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Allow reporting of domain reliability related data’ Is Disabled (Automated)

Цей параметр керує параметрами за замовчуванням для доступу до буфера обміну із сайтів. Це може бути налаштований на: • Вимкнено (0): ніколи не надсилати дані про надійність домену в Google • Увімкнено (1): дані про надійність домену можуть надсилатися в Google залежно від Політика Chrome User Metrics (UMA). Якщо значення DomainReliabilityAllowed не змінено за замовчуванням, воно буде відповідати як це ввімкнено.

💡 Обґрунтування безпеки:

Вимкнення цієї політики може зупинити будь-який випадковий витік даних.

⚠️ Вплив на робочий процес (Impact):

Це не повинно впливати на користувача.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:DomainReliabilityAllowed

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google Chrome\Allow reporting of domain reliability related data

Значення за замовчуванням: Не встановлено (увімкнено)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#DomainReliabilityAllowed

Page 164

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.1
IG 1, 2
Maintain Inventory of Administrative Accounts Use automated tools to inventory all administrative accounts, including domain and local accounts, to ensure that only authorized individuals have elevated privileges.

Page 165

2.22 Переконайтеся, що «Увімкнути TLS Encrypted ClientHello» увімкнено (Автоматизовано)

Level 2 (L2) – High Security/Sensitive Data Environment (limited functionality)Автоматизовано

Оригінал: Ensure ‘Enable TLS Encrypted ClientHello’ Is Enabled (Automated)

Цей параметр керує параметрами за замовчуванням для використання Encrypted ClientHello (ECH). ECH є розширення до TLS і шифрує початкове рукостискання з веб-сайтом, який може бути лише розшифровано цим веб-сайтом. Google Chrome може або не може використовувати ECH на основі 3 фактори: підтримка сервера, доступність запису HTTPS DNS або статус розгортання. Це може бути налаштований на: • Вимкнено (0): Вимкніть експеримент TLS Encrypted ClientHello • Увімкнено (1): увімкніть експеримент TLS Encrypted ClientHello Якщо значення EncryptedClientHelloEnabled не змінено за замовчуванням, воно зміниться поводитися так, як увімкнено.

💡 Обґрунтування безпеки:

Раніше всі рукостискання були відкритими і могли відкрити конфіденційну інформацію, наприклад назву веб-сайту, до якого ви підключаєтеся. Налаштування цієї політики дозволить Google Chrome для використання зашифрованого привітання або рукостискання з веб-сайтом, де це підтримується, таким чином не розкриваючи конфіденційну інформацію.

⚠️ Вплив на робочий процес (Impact):

Це не повинно впливати на користувача.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 1:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:EncryptedClientHelloEnable d

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Enable TLS Encrypted ClientHello

Значення за замовчуванням: Не встановлено (увімкнено)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#EncryptedClientHelloEnabled

CIS Controls V8: 3.10
IG 1
Encrypt Sensitive Data in Transit Encrypt sensitive data in transit. Example implementations can include

2.24 Переконайтеся, що параметр «Зберігати дані перегляду під час створення корпоративного профілю за замовчуванням» увімкнено (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Keep browsing data when creating enterprise profile by default’ Is Enabled (Automated)

Цей параметр керує збереженням наявних даних веб-переглядача, коли є корпоративний профіль створений. Його можна налаштувати на: • Вимкнено (0): не встановлюйте прапорець біля опції збереження наявних даних перегляду за замовчуванням • Увімкнено (1): позначте опцію збереження наявних даних веб-перегляду за замовчуванням Якщо значення для EnterpriseProfileCreationKeepBrowsingData не змінено з за замовчуванням, він поводитиметься так, ніби його ввімкнено. Примітка. На відміну від інших параметрів політики, користувач сам вирішує, зберігати чи ні будь-які існуючі дані перегляду під час створення профілю підприємства.

💡 Обґрунтування безпеки:

Налаштування цієї політики дає користувачеві можливість зберігати будь-які попередні дані веб-перегляду після налаштування профілю підприємства.

⚠️ Вплив на робочий процес (Impact):

Це не повинно вплинути на користувача.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 1:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:EnterpriseProfileCreationK eepBrowsingData

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Keep browsing data when creating enterprise profile by default

Значення за замовчуванням: Не встановлено (увімкнено) Сторінка 170
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#EnterpriseProfileCreationKeepBrowsin
  2. gData

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 171

2.25 Переконайтеся, що «Дозволити виклик API-інтерфейсів вибору файлів або каталогу без попереднього жесту користувача» вимкнено (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Allow file or directory picker APIs to be called without prior user gesture’ Is Disabled (Automated)

Цей параметр керує можливістю showOpenFilePicker(), showSaveFilePicker() і веб-інтерфейси showDirectoryPicker(), які можна викликати без взаємодії з користувачем. Якщо значення для FileOrDirectoryPickerWithoutGestureAllowedForOrigins не змінивши значення за замовчуванням, він поводитиметься так, ніби його вимкнено.

💡 Обґрунтування безпеки:

Налаштування цієї політики дозволить вибраним URL-адресам викликати showOpenFilePicker(), веб-інтерфейси API showSaveFilePicker() і showDirectoryPicker() без жодного користувача жест/взаємодія. З цієї причини цю політику встановлювати не потрібно.

⚠️ Вплив на робочий процес (Impact):

Вимкнення цієї політики не повинно вплинути на користувача.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке не повинно існувати:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\FileOrDirectoryPickerWitho utGestureAllowedForOrigins\<number> = <url>

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію через GP, встановіть для наступного шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Allow file or directory picker APIs to be called without prior user gesture

Значення за замовчуванням: Не встановлено (вимкнено)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#FileOrDirectoryPickerWithoutGestureAl
  2. lowedForOrigins

Page 172

CIS Controls V8: 7.2
IG 1, 2, 3
Establish and Maintain a Remediation Process Establish and maintain a risk-based remediation strategy documented in a remediation process, with monthly, or more frequent, reviews.

CIS Controls V7: 9.4
IG 1, 2, 3
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

Page 173

2.26 Переконайтеся, що «Увімкнути бічну панель пошуку Google» вимкнено (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable Google Search Side Panel’ Is Disabled (Automated)

Це налаштування керує бічною панеллю пошуку Google. Його можна налаштувати на: • Вимкнено (0): вимкнути бічну панель пошуку Google на всіх веб-сторінках • Увімкнено (1): увімкнути бічну панель пошуку Google на всіх веб-сторінках

💡 Обґрунтування безпеки:

Налаштування цієї політики не дозволить використовувати бічну панель пошуку Google на будь-яких веб-сторінках.

⚠️ Вплив на робочий процес (Impact):

Це не повинно вплинути на користувачів.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:GoogleSearchSidePanelEnabl ed

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Enable Google Search Side Panel

📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#GoogleSearchSidePanelEnabled

Page 174

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 175

2.27 Переконайтеся, що «список дозволених HTTP» правильно налаштовано (Вручну)

Level 1Вручну

Оригінал: Ensure ‘Http Allowlist’ Is Properly Configured (Manual)

Цей параметр дозволяє адміністраторам перелічувати конкретні сайти, які не будуть оновлюватися HTTPS і не відображатиме повідомлення про помилку, якщо ввімкнено режим HTTPS-First. Примітка: символи підстановки (*, [*] тощо) заборонені в списках URL-адрес.

💡 Обґрунтування безпеки:

Налаштування цієї політики дозволяє організаціям підтримувати доступ до серверів, які не підтримують HTTPS без необхідності вимикати режим HTTPS-First або оновлення HTTPS.

⚠️ Вплив на робочий процес (Impact):

Це не повинно впливати на користувача.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру, яке слід налаштувати окремо для дозволених URL-адрес вашої організації:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\HttpAllowlist\<number> = <url> Example: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\HttpAllowlist\1 = www.example.com HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\HttpAllowlist\2 = [*.]example.edu HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\HttpAllowlist\3 = www.example.net

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача значення Enabled і встановіть Show для затверджених URL-адрес:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\HTTP Allowlist

📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#HttpAllowlist

Page 176

CIS Controls V8: 2.7
IG 1
Allowlist Authorized Scripts Use technical controls, such as digital signatures and version control, to ensure that only authorized scripts, such as specific .ps1, .py, etc., files, are allowed to execute. Block unauthorized scripts from executing. Reassess bi-annually, or more frequently.

CIS Controls V7: 2.5
IG 1
Integrate Software and Hardware Asset Inventories The software inventory system should be tied into the hardware asset inventory so all devices and associated software are tracked from a single location.

Page 177

2.28 Переконайтеся, що «Увімкнути автоматичне оновлення HTTPS» увімкнено (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable automatic HTTPS upgrades’ Is Enabled (Automated)

Цей параметр керує можливістю Google Chrome оновлювати HTTPS до HTTPS під час переходу на певні сайти. Його можна налаштувати на: • Вимкнено (0): Вимкнути оновлення HTTPS • Увімкнено (1): Оновлення HTTPS можуть застосовуватися залежно від запуску функції статус Якщо значення HttpsUpgradesEnabled не змінено порівняно зі стандартним, воно поводитиметься як якщо він увімкнений.

💡 Обґрунтування безпеки:

Якщо ввімкнути цей параметр, підключення до сайту буде оновлено з HTTP до HTTPS доступний, підтверджуючи ідентичність відвіданого сайту.

⚠️ Вплив на робочий процес (Impact):

Це не повинно вплинути на користувача. Примітка. Якщо є внутрішні сайти/сервери, які використовують лише HTTP, установіть їх у політиці HttpAllowlist

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 1:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:HttpsUpgradesEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Enable automatic HTTPS upgrades

Значення за замовчуванням: Не встановлено (увімкнено) Сторінка 178
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#HttpsUpgradesEnabled

CIS Controls V8: 3.5
IG 1, 2, 3
Securely Dispose of Data Securely dispose of data as outlined in the enterprise’s data management process. Ensure the disposal process and method are commensurate with the data sensitivity.

CIS Controls V7: 7.4
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce network-based URL filters that limit a system’s ability to connect to websites not approved by the organization. This filtering shall be enforced for each of the organization’s systems, whether they are physically at an organization’s facilities or not.

Page 179

2.29 Переконайтеся, що «Незахищені хеші в рукостисканнях TLS увімкнено» вимкнено (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Insecure Hashes in TLS Handshakes Enabled’ Is Disabled (Automated)

Цей параметр контролює здатність Google Chrome дозволяти застарілі або незахищені хеші під час рукостискання TLS. Його можна налаштувати на: • Вимкнено (0): не дозволяти незахищені хеші в рукостисканнях TLS • Увімкнено (1): дозволити незахищені хеші в рукостисканнях TLS Якщо значення для InsecureHashesInTLSHandshakesEnabled не змінено за умовчанням, він поводитиметься так, ніби він увімкнений.

💡 Обґрунтування безпеки:

Якщо це правило вимкнено, Google Chrome не зможе використовувати небезпечні хеші. Використання небезпечних або застарілих хешів може призвести до розкриття конфіденційних даних.

⚠️ Вплив на робочий процес (Impact):

Користувачам буде заблоковано відвідування сайтів, які не підтримують більш безпечні хеші.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:InsecureHashesInTLSHandsha kesEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Insecure Hashes in TLS Handshakes Enabled

Значення за замовчуванням: Скасувати (Дозволити) Сторінка 180
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#InsecureHashesInTLSHandshakesEna
  2. bled

CIS Controls V8: 3.10
IG 1
Encrypt Sensitive Data in Transit Encrypt sensitive data in transit. Example implementations can include

2.30 Переконайтеся, що опцію «Увімкнути контейнер програми рендерера» ввімкнено (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable Renderer App Container’ Is Enabled (Automated)

Цей параметр контролює здатність Google Chrome дозволяти Render App Container пісочниця для використання під час навігації до певних сайтів. Його можна налаштувати на: • Вимкнено (0): Вимкніть ізольоване програмне середовище Renderer App Container • Увімкнено (1): увімкніть ізольоване програмне середовище Renderer App Container Якщо значення для RendererAppContainerEnabled не змінено за замовчуванням, воно зміниться вести себе так, ніби він увімкнений.

💡 Обґрунтування безпеки:

Вимкнення цієї політики послабить пісочницю, яку Google Chrome використовує для процесу візуалізації та матиме шкідливий вплив на безпеку та стабільність браузер. Цю політику потрібно ввімкнути, щоб підтримувати безпеку та стабільність.

⚠️ Вплив на робочий процес (Impact):

Це вплине лише на користувачів, якщо всередині є стороннє програмне забезпечення процеси візуалізації.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 1:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:RendererAppContainerEnable d

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Enable Renderer App Container

Значення за замовчуванням: Не встановлено (увімкнено) Сторінка 182
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#RendererAppContainerEnabled

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 183

2.31 Переконайтеся, що «Увімкнути сувору перевірку типу MIME для робочих сценаріїв» увімкнено (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable strict MIME type checking for worker scripts’ Is Enabled (Automated)

Цей параметр керує можливістю Google Chrome оновлювати HTTPS до HTTPS під час переходу на певні сайти. Його можна налаштувати на: • Вимкнено (0): сценарії для використання робочими (веб-воркерами, сервісними працівниками тощо). слабка перевірка типу MIME. Робочі сценарії із застарілими типами MIME, наприклад text/ascii, буде працювати. • Увімкнено (1): сценарії для працівників (веб-воркери, сервіс-воркери тощо) потрібен тип JavaScript MIME, наприклад text/javascript. Робочі скрипти із застарілими типами MIME, як-от text/ascii, буде відхилено. Якщо значення для StrictMimetypeCheckForWorkerScriptsEnabled не змінено з за замовчуванням, він поводитиметься так, ніби його ввімкнено.

💡 Обґрунтування безпеки:

Налаштування цієї політики вимагатиме від робочих сценаріїв використання більш безпечного та суворого JavaScript Типи MIME та типи зі застарілими типами MIME будуть відхилені.

⚠️ Вплив на робочий процес (Impact):

Це не повинно вплинути на користувачів.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 1:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:StrictMimetypeCheckForWork erScriptsEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Enable strict MIME type checking for worker scripts

Значення за замовчуванням: Не встановлено (увімкнено) Сторінка 184
📋 CIS Controls & Нормативні посилання

2.32 Переконайтеся, що для параметра «Дозволити віддалене налагодження» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Allow remote debugging’ is set to ‘Disabled’ (Automated)

Цей параметр політики визначає, чи можуть користувачі використовувати віддалене налагодження. Ця функція дозволяє віддалено налагоджувати живий вміст на пристрої з Windows 10 або новішої версії з a Комп’ютер з Windows або macOS. Рекомендований стан для цього параметра: вимкнено.

💡 Обґрунтування безпеки:

Вимкнення віддаленого налагодження покращує безпеку та захищає програми від несанкціонований доступ. Деякі інструменти атаки можуть використовувати цю функцію для отримання інформації, або вставити шкідливий код.

⚠️ Вплив на робочий процес (Impact):

Користувачі не матимуть доступу до функції віддаленого налагодження в Google Chrome.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру, для якого має бути встановлено значення 0.

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\Software\Policies\Google\Chrome:RemoteDebuggingAllowed

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Allow remote debugging Note: This Group Policy path may not exist by default. It is provided by the Group Policy template google.admx/adml that can be downloaded from: Download Chrome Browser for Your Business - Chrome Enterprise

Значення за замовчуванням: Увімкнено. (Користувачі можуть використовувати віддалене налагодження, вказавши ключі командного рядка –remote-debug-port і — remote-debugging-pipe.) Сторінка 186 Додаткова інформація: я скопіював/налаштував це правило з MS Edge, правило 1.41
📋 CIS Controls & Нормативні посилання

CIS Controls V8: 7.2
IG 1, 2, 3
Establish and Maintain a Remediation Process Establish and maintain a risk-based remediation strategy documented in a remediation process, with monthly, or more frequent, reviews.

CIS Controls V8: 13.5
IG 1
Manage Access Control for Remote Assets Manage access control for assets remotely connecting to enterprise resources. Determine amount of access to enterprise resources based on

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


До повного змісту CIS Google Chrome Benchmark →