← До повного змісту CIS Google Chrome Benchmark

CIS Benchmark

CIS Benchmark • Google Chrome v3.0.0

4. Запобігання витоку даних (DLP)

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Запобігання витоку даних (DLP)».


Рекомендацій: 18


Google Chrome v3.0.0

4.1.1 Переконайтеся, що для параметра «Дозволити або заборонити захоплення екрана» встановлено значення «Вимкнено» (Автоматизовано)

Level 2 (L2) – High Security/Sensitive Data Environment (limited functionality)Автоматизовано

Оригінал: Ensure ‘Allow or deny screen capture’ is set to ‘Disabled’ (Automated)

Цей параметр контролює, чи може Google Chrome використовувати API показу екрана, зокрема веб-зустрічі, відео або спільне використання екрана. Рекомендований стан для цього параметра: вимкнено (0) ПРИМІТКА. Цей параметр не враховується (і сайту буде дозволено використовувати показ екрана API), якщо сайт відповідає шаблону походження в будь-якому з наведених нижче параметрів: ScreenCaptureAllowedByOrigins, WindowCaptureAllowedByOrigins, TabCaptureAllowedByOrigins, SameOriginTabCaptureAllowedByOrigins.

💡 Обґрунтування безпеки:

Дозвол API спільного доступу до екрана в Google Chrome потенційно може призвести до конфіденційних дані для спільного використання за допомогою знімків екрана.

⚠️ Вплив на робочий процес (Impact):

Користувачі не зможуть використовувати API, які підтримують веб-зустрічі (відео спільний доступ до екрана конференції), відео та знімок екрана. Це потенційно може спричинити перешкод для користувачів, які, можливо, використовували ці можливості в минулому.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:ScreenCaptureAllowed

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Allow or deny screen capture\Allow or deny screen capture

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити) Сторінка 227
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#ScreenCaptureAllowed

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 228 4.2 Content settings

Page 229 4.2.1 (L2) Ensure ‘Control use of the Serial API’ is set to ‘Enabled

4.2.2 Переконайтеся, що для параметра «Налаштування датчиків за замовчуванням» встановлено значення «Увімкнено: не дозволяти жодному сайту отримувати доступ до датчиків» (Автоматизовано)

Level 2Автоматизовано

Оригінал: Ensure ‘Default Sensors Setting’ is set to ‘Enabled: Do not allow any site to access sensors’ (Automated)

Цей параметр контролює доступ до веб-сайту та використання системних датчиків, таких як рух і світло. • Дозволити сайтам доступ до датчиків (1) • Заборонити жодному сайту доступ до датчиків (2) Рекомендований стан для цього параметра: заборонити жодному сайту отримувати доступ до датчиків (2) Рекомендований стан для цього параметра: увімкнено зі значенням Не дозволяти сайт для доступу до датчиків ПРИМІТКА. Якщо потрібен більш детальний контроль (для кожного веб-сайту), цей параметр можна використовувати в поєднання з налаштуваннями SensorsAllowedForUrls і SensorsBlockedForUrls. для Наприклад, SensorsAllowedForUrls можна використовувати, щоб дозволити сенсорам доступ до певних сайтів. Для отримання додаткової інформації перегляньте посилання нижче.

💡 Обґрунтування безпеки:

Заборона доступу до системних датчиків може завадити шкідливим сайтам використовувати їх датчики для профілювання користувачів (OpSec).

⚠️ Вплив на робочий процес (Impact):

Цей параметр також запобігатиме доступу законних сайтів до нього.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 2:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:DefaultSensorsSetting

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled: Не дозволяти жодному сайту отримувати доступ до датчиків:

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Content settings\Default sensors setting

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено зі значенням «Дозволити сайтам доступ до датчиків», але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#DefaultSensorsSetting
  2. https://chromeenterprise.google/policies/#SensorsAllowedForUrls
  3. https://chromeenterprise.google/policies/#SensorsBlockedForUrls

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

Page 233

4.2.3 Переконайтеся, що параметр «Дозволити буфер обміну для цих сайтів» налаштовано (Вручну)

Level 1Вручну

Оригінал: Ensure ‘Allow clipboard for these sites’ Is Configured (Manual)

Цей параметр дозволяє адміністраторам перераховувати певні сайти, які мають доступ до буфера обміну дозволи сайту. Примітка. Це не стосується використання комбінацій клавіш. Вони не закриті дозвіл сайту буфера обміну.

💡 Обґрунтування безпеки:

Налаштування цієї політики дозволяє вказаним URL-адресам мати доступ до сайту буфера обміну дозволи. Це дозволить вказаним сайтам мати доступ до даних у буфері обміну чого немає на інших сайтах. Рекомендовано встановити значення DefaultClipboardSetting вимкнено, тому цей список буде єдиним сайтом, який матиме доступ до буфера обміну даних.

⚠️ Вплив на робочий процес (Impact):

Виконання цієї рекомендації може призвести до того, що функції буфера обміну не працюватимуть однаково для кожного сайту.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру, яке слід налаштувати окремо для дозволених URL-адрес вашої організації:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ClipboardAllowedForUrls\<n umber> = <url> Example: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ClipboardAllowedForUrls\1 = https://www.example.com HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ClipboardAllowedForUrls\2 = [*.]example.edu HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ClipboardAllowedForUrls\3 = https://www.example.net

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача значення Enabled і встановіть Show для затверджених URL-адрес:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Content settings\Allow clipboard on these sites

Значення за замовчуванням: DefaultClipboardSetting застосовується до всіх сайтів
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#ClipboardAllowedForUrls
  2. https://chromeenterprise.google/policies/url-patterns/

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 235

4.2.4 Переконайтеся, що параметр «Блокувати буфер обміну на цих сайтах» налаштовано (Вручну)

Level 1Вручну

Оригінал: Ensure ‘Block clipboard on these sites’ Is Configured (Manual)

Цей параметр дозволяє адміністраторам додавати в список певні сайти, які не мають доступу до дозволи сайту буфера обміну. Примітка. Це не стосується використання комбінацій клавіш. Вони не закриті дозвіл сайту буфера обміну.

💡 Обґрунтування безпеки:

Зазначення URL-адрес, які не мають доступу до дозволів сайту буфера обміну, обмежує дані для сайтів, які мають доступ до даних у буфері обміну, і дозволяє мати більше сайтів доступу. Налаштування цієї політики забороняє певним URL-адресам мати доступ до сайту буфера обміну дозволи. Це обмежить доступ вказаних сайтів до даних у буфері обміну інші сайти роблять. DefaultClipboardSetting рекомендується вимкнути, тому це list буде резервною копією цієї політики, якщо її було ввімкнено, залишено за замовчуванням або видалено.

⚠️ Вплив на робочий процес (Impact):

Виконання цієї рекомендації може призвести до того, що функції буфера обміну не працюватимуть однаково для кожного сайту.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру, яке слід налаштувати окремо для заблокованих URL-адрес вашої організації:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ClipboardBlockedForUrls\<n umber> = <url> Example: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ClipboardBlockedForUrls\1 = https://www.example.com HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ClipboardBlockedForUrls\2 = [*.]example.edu HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\ClipboardBlockedForUrls3 = https://www.example.net

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача значення Enabled і встановіть Show для заблокованих URL-адрес:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Content settings\Block clipboard on these sites

📋 CIS Controls & Нормативні посилання

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 237

4.2.5 Переконайтеся, що «Налаштування буфера обміну за замовчуванням» увімкнено для «Заборонити дозволи» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Default clipboard setting’ Is ‘Enabled’ to ‘Deny Permissions’ (Automated)

Цей параметр керує параметрами за замовчуванням для доступу до буфера обміну із сайтів. Це може бути налаштований на: • Вимкнено (2): забороняє доступ до дозволу сайту буфера обміну будь-якому сайту • Увімкнено (3): сайти запитують у користувача дозвіл доступу до буфера обміну Якщо значення DefaultClipboardSetting не змінено порівняно з типовим, воно буде поводитися належним чином ніби він увімкнений. ClipboardAllowedForUrls або ClipboardBlockedForUrls замінять це налаштування для будь-якого сайту, який відповідає налаштованим шаблонам URL-адрес. Якщо це налаштування вимкнено, організаціям потрібно буде налаштувати ClipboardAllowedForUrls для будь-які URL-адреси, які вони хочуть зробити виключеними.

💡 Обґрунтування безпеки:

У буфері обміну зберігаються дані, текст і зображення, які є спільними для всіх програм. Ан організація вимкне доступ до буфера обміну, щоб заборонити сайтам читати вміст буфер обміну під час відвідування.

⚠️ Вплив на робочий процес (Impact):

Якщо заборонити сайтам доступ до дозволу буфера обміну, це може спричинити проблеми з форматування або доступ до необхідних зображень у буфері обміну.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 2:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:DefaultClipboardSetting

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled: Не дозволяти жодному сайту використовувати дозвіл сайту буфера обміну:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Content settings\Default clipboard setting

Значення за замовчуванням: Дозволити доступ до буфера обміну
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#DefaultClipboardSetting

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 239

4.2.6 Переконайтеся, що «Налаштування дозволів керування вікнами за замовчуванням» має значення «Увімкнено» для «Заборонити дозвіл» (Автоматизовано)

Level 2Автоматизовано

Оригінал: Ensure ‘Default Window Management permissions setting’ Is ‘Enabled’ to ‘Deny Permission’ (Automated)

Цей параметр може автоматично забороняти доступ до дозволів керування вікном сайти. Його можна налаштувати на: • Вимкнено (2): заборонено доступ до дозволу керування вікном будь-який сайт • Увімкнено (3): сайт повинен запитувати користувача щоразу, коли він хоче отримати доступ до вікна Дозвіл управління. Якщо значення параметра DefaultWindowManagementSetting не змінено зі стандартного, воно зміниться вести себе так, ніби він увімкнений. WindowManagementAllowedForUrls або WindowManagementBlockedForUrls замінить це налаштування для будь-якого сайту, який відповідає налаштовані шаблони URL-адрес.

💡 Обґрунтування безпеки:

Відмова в доступі до керування вікнами може заблокувати шахрайським сайтам можливість відкривати додаткові вікна браузера. Заблокувавши додаткові вікна, організація може зупинитися випадки відкриття шкідливих сайтів у місцях, про які користувач не знає.

⚠️ Вплив на робочий процес (Impact):

Вимкнення цього позбавить користувача можливості вирішувати, які сайти отримувати доступ до дозволу керування вікнами та може вплинути на роботу організації потрібні URL-адреси.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 2:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:DefaultWindowManagementSet ting

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача значення «Увімкнено» та за замовчуванням забороняє дозвіл на керування вікнами на всіх сайтах:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Content settings\Default Window Management permission setting

Значення за замовчуванням: Надати дозвіл на керування вікнами
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#DefaultWindowManagementSetting

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 241

4.2.7 Переконайтеся, що «Дозволити дозвіл керування вікнами на цих сайтах» налаштовано (Вручну)

Level 2Вручну

Оригінал: Ensure ‘Allow Window Management permission on these sites’ Is Configured (Manual)

Цей параметр може автоматично надавати доступ до дозволів на керування вікнами для конкретні сайти. Якщо значення WindowManagementAllowedForUrls не змінено за замовчуванням, воно зміниться дотримуйтеся конфігурації DefaultWindowManagementSetting.

💡 Обґрунтування безпеки:

Дозвол лише певним сайтам мати доступ до керування вікнами дозволить лише дозволені сайти, щоб переглянути інформацію про екрани пристрою, відкрити додатковий браузер вікна із зазначенням розташування та розміру вікна.

⚠️ Вплив на робочий процес (Impact):

Виконання цієї рекомендації може призвести до того, що відвідані сайти не відображатимуться належним чином.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру, яке слід налаштувати окремо для дозволених URL-адрес вашої організації:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\WindowManagementAllowedFor Urls\<number> = <url> Example: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\WindowManagementAllowedFor Urls\1 = https://www.example.com HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\WindowManagementAllowedFor Urls\2 = [*.]example.edu HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\WindowManagementAllowedFor Urls\3 = https://www.example.net

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача значення Enabled і встановіть Show для затверджених URL-адрес:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Content settings\Allow Window Management permission on these sites

📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#WindowManagementAllowedForUrls

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 243

4.2.8 Переконайтеся, що «Блокувати дозвіл керування вікнами на цих сайтах» налаштовано (Вручну)

Level 2Вручну

Оригінал: Ensure ‘Block Window Management permission on these sites’ Is Configured (Manual)

Цей параметр може автоматично забороняти доступ до дозволів керування вікном для конкретні сайти. Його можна налаштувати на: Якщо значення WindowManagementBlockedForUrls не змінено за замовчуванням, воно зміниться дотримуйтеся конфігурації DefaultWindowManagementSetting.

💡 Обґрунтування безпеки:

Визначення URL-адрес, які не мають доступу до обмежень дозволів керування вікнами дані для сайтів, які мають доступ до даних у буфері обміну, і дозволяє більше сайтів мати доступ.

⚠️ Вплив на робочий процес (Impact):

Виконання цієї рекомендації може призвести до того, що відвідані сайти не відображатимуться належним чином.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру, яке слід налаштувати окремо для дозволених URL-адрес вашої організації:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\WindowManagementBlockedFor Urls\<number> = <url> Example: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\WindowManagementBlockedFor Urls\1 = https://www.example.com HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\WindowManagementBlockedFor Urls\2 = [*.]example.edu HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\WindowManagementBlockedFor Urls\3 = https://www.example.net

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача значення Enabled і встановіть Show для заблокованих URL-адрес:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Content settings\Block Window Management permission on these sites

📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#WindowManagementBlockedForUrls

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 245

4.3 Переконайтеся, що для параметра «Дозволити виклик діалогових вікон вибору файлів» встановлено значення «Вимкнено» (Автоматизовано)

Level 2Автоматизовано

Оригінал: Ensure ‘Allow invocation of file selection dialogs’ is set to ‘Disabled’ (Automated)

Цей параметр надає доступ до локальних файлів, дозволяючи діалогові вікна вибору файлів у Google Chrome. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Дозвіл користувачам імпортувати вибране, завантажувати файли та зберігати посилання може мати потенціал ризики безпеці, дозволяючи завантажувати дані на зовнішні сайти або завантажувати шкідливі файли. Якщо не дозволити діалогове вікно вибору файлу, кінцевий користувач не буде запит на завантаження/завантаження, запобігаючи викраденню даних і можливій системі зараження шкідливими програмами.

⚠️ Вплив на робочий процес (Impact):

Якщо вимкнути цей параметр, користувачі більше не отримуватимуть запити під час виконання дій що запустить діалогове вікно вибору файлу. Натомість передбачається діалогове вікно вибору файлу користувач натиснув «Скасувати». Оскільки це не типова поведінка, вплив на користувача буде помітно, і користувач не зможе завантажувати та завантажувати файли.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:AllowFileSelectionDialogs

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію через GP, встановіть для наступного шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Allow invocation of file selection dialogs

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити) Сторінка 246
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#AllowFileSelectionDialogs

CIS Controls V8: 2.7
IG 1
Allowlist Authorized Scripts Use technical controls, such as digital signatures and version control, to ensure that only authorized scripts, such as specific .ps1, .py, etc., files, are allowed to execute. Block unauthorized scripts from executing. Reassess bi-annually, or more frequently.

CIS Controls V7: 2.5
IG 1
Integrate Software and Hardware Asset Inventories The software inventory system should be tied into the hardware asset inventory so all devices and associated software are tracked from a single location.

Page 247

4.4 Переконайтеся, що для параметра «Дозволити або заборонити захоплення звуку» встановлено значення «Вимкнено» (Автоматизовано)

Level 2Автоматизовано

Оригінал: Ensure ‘Allow or deny audio capture’ is set to ‘Disabled’ (Automated)

Цей параметр дозволяє адміністраторам встановлювати, чи запитувати кінцевого користувача про доступ до пристрої захоплення звуку. • Вимкнено (0): вимикає підказки, а запис звуку працюватиме лише для URL-адрес налаштовано в списку AudioCaptureAllowedUrls. • Увімкнено (1): за винятком URL-адрес, установлених у списку AudioCaptureAllowedUrls, користувачі отримують запит на доступ до запису звуку. ПРИМІТКА. Параметр впливає на весь аудіовхід (не лише на вбудований мікрофон). Рекомендований стан для цього параметра: вимкнено

💡 Обґрунтування безпеки:

Кінцевий користувач, який має можливість дозволити або заборонити запис аудіо для веб-сайтів у Google Chrome може відкрити організацію для зловмисного сайту, який може захопити власність інформацію через браузер. Обмежуючи або забороняючи запис аудіо, він видаляє на розсуд кінцевого користувача, залишаючи на розсуд організації, яким сайтам дозволено це використовувати здатність.

⚠️ Вплив на робочий процес (Impact):

Якщо вимкнути цей параметр, користувачі не отримуватимуть запити щодо аудіопристроїв під час використання веб-сайти, яким може знадобитися цей доступ, наприклад система веб-конференцій. Якщо є сайти, доступ до яких буде дозволено, конфігурація Знадобиться налаштування AudioCaptureAllowedUrls.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:AudioCaptureAllowed

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Allow or deny audio capture

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#AudioCaptureAllowed

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 249

4.5 Переконайтеся, що для параметра «Дозволити або заборонити захоплення відео» встановлено значення «Вимкнено» (Автоматизовано)

Level 2Автоматизовано

Оригінал: Ensure ‘Allow or deny video capture’ is set to ‘Disabled’ (Automated)

Цей параметр дозволяє адміністраторам встановлювати, чи запитувати кінцевого користувача про доступ до пристрої відеозахоплення. • Вимкнено (0): вимикає підказки, а запис відео працюватиме лише для URL-адрес налаштовано у списку VideoCaptureAllowedUrls. • Увімкнено (1): за винятком URL-адрес, установлених у списку VideoCaptureAllowedUrls, користувачам буде запропоновано надати доступ до запису відео. ПРИМІТКА. Параметр впливає на весь відеовхід (не лише на вбудовану камеру). Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Кінцевий користувач, який має можливість дозволити або заборонити запис відео для веб-сайтів у Google Chrome може відкрити організацію для зловмисного сайту, який може захопити власність інформацію через браузер. Обмежуючи або забороняючи захоплення відео, він видаляє на розсуд кінцевого користувача, залишаючи на розсуд організації, яким сайтам дозволено це використовувати здатність.

⚠️ Вплив на робочий процес (Impact):

Якщо вимкнути цей параметр, користувачі не отримуватимуть запити щодо відеопристроїв під час використання веб-сайти, яким може знадобитися цей доступ, наприклад система веб-конференцій. Якщо є сайти, доступ до яких буде дозволено, конфігурація Знадобиться налаштування VideoCaptureAllowedUrls.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:VideoCaptureAllowed

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Allow or deny video capture

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#VideoCaptureAllowed
  2. https://chromeenterprise.google/policies/#VideoCaptureAllowedUrls

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 251

4.6 Переконайтеся, що для параметра «Дозволити відгук користувача» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Allow user feedback’ is set to ‘Disabled’ (Automated)

Цей параметр визначає, чи можуть користувачі використовувати функцію зворотного зв’язку Chrome для надсилати відгуки, пропозиції та опитування в Google, а також звіти про проблеми. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Дані не повинні передаватись стороннім постачальникам у керованому підприємстві середовище.

⚠️ Вплив на робочий процес (Impact):

Користувачі не зможуть надсилати відгуки в Google.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:UserFeedbackAllowed

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Allow user feedback

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#UserFeedbackAllowed

Page 252

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 253

4.7 Переконайтеся, що для параметра «Керує режимом DNS-over-HTTPS» встановлено значення «Увімкнено: DNS-over-HTTPS без незахищеного резервного доступу» (Автоматизовано)

Level 2Автоматизовано

Оригінал: Ensure ‘Controls the mode of DNS-over-HTTPS’ is set to ‘Enabled: DNS-over-HTTPS without insecure fallback’ (Automated)

Це керує режимом розпізнавача DNS-поверх HTTPS. Зверніть увагу, що це налаштування лише встановить режим за замовчуванням для кожного запиту. Режим може бути замінений для спеціального типи запитів, наприклад запити на визначення імені хоста сервера DNS-over-HTTPS. • Вимкнути DNS-over-HTTPS (вимк.) • Увімкнути DNS-over-HTTPS із незахищеним резервним варіантом (автоматично) – Увімкнути DNS- спочатку надсилає запити через HTTPS, якщо сервер DNS через HTTPS доступний і може повернення до надсилання небезпечних запитів у разі помилки. • Увімкнути DNS-over-HTTPS без незахищеного резервного варіанту (захищено) – надсилати лише DNS- запити через HTTPS і не вдасться вирішити через помилку. Рекомендований стан для цього параметра: Увімкнено зі значенням Увімкнути DNS-over- HTTPS без незахищеного резервного варіанту (захищений) Примітка. Під час увімкнення цієї політики рекомендується також налаштувати Політика DnsOverHttpsTemplates, щоб налаштувати шаблони URI. Ви можете дізнатися більше інформацію на сайті корпоративної політики DnsOverHttpsTemplates.

💡 Обґрунтування безпеки:

DNS через HTTPS (DOH) має декілька основних переваг: 1. Шифрування трафіку розпізнавання імен DNS допомагає приховати вашу онлайн-діяльність, оскільки DoH приховує запити на розпізнавання імен від Інтернет-провайдера та від будь-кого, хто його прослуховує на посередницькі мережі. 2. DoH також допомагає запобігти спуфінгу DNS і атакам типу “людина посередині” (MitM).

⚠️ Вплив на робочий процес (Impact):

Не всі постачальники DNS підтримують DOH, тому вибір обмежений. Крім того, підприємства іноді відстежувати запити DNS, щоб блокувати доступ до шкідливих або невідповідних сайтів. DNS моніторинг також іноді можна використовувати для виявлення шкідливих програм, які намагаються «зателефонувати додому». Оскільки DoH шифрує запити на розпізнавання імен, він може створити моніторинг безпеки сліпа пляма.

Сторінка 254

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути безпечним:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:DnsOverHttpsMode

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled: Enable DNS-over-HTTPS without insecure reserve:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Controls the mode of DNS-over-HTTPS

Значення за замовчуванням: Не налаштовано (те саме, що й увімкнути DNS-over-HTTPS із незахищеним резервним копіюванням (автоматично). Якщо налаштовано будь-яку політику через приєднання до домену чи активну політику з хмарним керуванням (або списками профілів), іноді вона повертається до вимкнення DNS-over-HTTPS, і користувачі не можуть її змінити.
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#DnsOverHttpsMode

CIS Controls V8: 3.10
IG 1
Encrypt Sensitive Data in Transit Encrypt sensitive data in transit. Example implementations can include

4.8 Переконайтеся, що для параметра «Увімкнути автозаповнення для адрес» встановлено значення «Вимкнено» (Автоматизовано)

Level 2Автоматизовано

Оригінал: Ensure ‘Enable AutoFill for addresses’ is set to ‘Disabled’ (Automated)

Chrome дозволяє користувачам автоматично заповнювати веб-форми збереженою інформацією, наприклад адресу або номер телефону. Якщо вимкнути цю функцію, користувачеві буде запропоновано ввести всі інформацію вручну. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Якщо зловмисник отримує доступ до комп’ютера користувача, де користувач зберіг адресу Дані автозаповнення, інформація може бути зібрана.

⚠️ Вплив на робочий процес (Impact):

Якщо цей параметр вимкнено, автозаповнення буде недоступним для користувачів.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:AutofillAddressEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Enable AutoFill for addresses

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#AutofillAddressEnabled

Page 256

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 257

4.9 Переконайтеся, що для параметра «Увімкнути автозаповнення для кредитних карток» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable AutoFill for credit cards’ is set to ‘Disabled’ (Automated)

Chrome дозволяє користувачам автоматично заповнювати веб-форми збереженими даними кредитної картки. Якщо вимкнути цю функцію, користувачеві буде запропоновано ввести всю інформацію вручну. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Якщо зловмисник отримує доступ до комп’ютера користувача, де користувач зберіг кредитну картку Дані автозаповнення, інформація може бути зібрана.

⚠️ Вплив на робочий процес (Impact):

Якщо цей параметр вимкнено, автозаповнення кредитної картки буде недоступним для користувачів.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:AutofillCreditCardEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Enable AutoFill for credit cards

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#AutofillCreditCardEnabled

Page 258

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 259

4.10 Переконайтеся, що для параметра «Імпортувати збережені паролі з браузера за умовчанням під час першого запуску» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Import saved passwords from default browser on first run’ is set to ‘Disabled’ (Automated)

Цей параметр визначає, чи можна імпортувати збережені паролі з веб-переглядача за умовчанням (увімкнено спочатку запустити, а потім вручну). Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

У Chrome паролі можна зберігати у вигляді звичайного тексту та відкривати, натиснувши «показати» кнопку поруч із полем пароля, перейшовши на сторінку chrome://settings/passwords/.

⚠️ Вплив на робочий процес (Impact):

Якщо цей параметр вимкнено, збережені паролі з інших браузерів не імпортуються.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:ImportSavedPasswords

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Import saved passwords from default browser on first run

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#ImportSavedPasswords

Page 260

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 261

4.11 Переконайтеся, що для параметра «Список типів, які слід виключити з синхронізації» встановлено значення «Увімкнено: паролі» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘List of types that should be excluded from synchronization’ is set to ‘Enabled: passwords’ (Automated)

Цей параметр дозволяє вказати типи даних, які будуть обмежені/виключені з завантаження даних до служби синхронізації Google Chrome. Рекомендований стан для цього параметра: увімкнено з таким текстовим значенням паролі (з урахуванням регістру) ПРИМІТКА. Окрім паролів, можна включити й інші параметри залежно від організації потреби.

💡 Обґрунтування безпеки:

Зберігання та обмін інформацією може призвести до розкриття конфіденційної інформації, зокрема але не обмежуючись паролем користувача та інформацією для входу. Дозволити цю синхронізацію також може потенційно дозволити кінцевому користувачеві отримувати корпоративні дані, які були синхронізовані у хмару на персональну машину.

⚠️ Вплив на робочий процес (Impact):

Дані пароля не будуть синхронізовані з синхронізацією Google Chrome обслуговування.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується наступним розташуванням реєстру, яке має бути встановлено для паролів:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\SyncTypesListDisabled:1

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача значення Enabled: паролі (з урахуванням регістру):

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\List of types that should be excluded from synchronization

Значення за замовчуванням: Не встановлено (Те саме, що Вимкнено, але користувач може змінити) Сторінка 262
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#SyncTypesListDisabled

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 263

4.12 Переконайтеся, що для параметра «Дозволити або заборонити захоплення екрана» встановлено значення «Вимкнено» (Автоматизовано)

Level 2Автоматизовано

Оригінал: Ensure ‘Allow or deny screen capture’ is set to ‘Disabled’ (Automated)

Якщо ввімкнено або не налаштовано (за замовчуванням), веб-сторінка може використовувати API для показу екрана (наприклад, getDisplayMedia() або API розширення Desktop Capture), щоб запропонувати користувачеві вибрати a вкладку, вікно або робочий стіл для захоплення.

💡 Обґрунтування безпеки:

Кінцевий користувач, який має можливість дозволити або заборонити знімок екрана для веб-сайтів у Google Chrome може відкрити організацію для зловмисного сайту, який може захопити власність інформацію через браузер. Обмежуючи або забороняючи захоплення екрана, він видаляє на розсуд кінцевого користувача, залишаючи на розсуд організації, які сайти дозволено використовувати цю здатність.

⚠️ Вплив на робочий процес (Impact):

Якщо цю політику вимкнено, будь-які виклики API спільного доступу до екрана завершаться з помилкою. Це політика не розглядається (і сайту буде дозволено використовувати API показу екрана), якщо сайт відповідає шаблону походження в будь-якій із наведених нижче політик: ScreenCaptureAllowedByOrigins, WindowCaptureAllowedByOrigins, TabCaptureAllowedByOrigins, SameOriginTabCaptureAllowedByOrigins.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:ScreenCaptureAllowed

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Allow or deny screen capture\Allow or deny screen capture

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити) Сторінка 264
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#ScreenCaptureAllowed
  2. https://chromeenterprise.google/policies/#SameOriginTabCaptureAllowedByOrigi
  3. ns
  4. https://chromeenterprise.google/policies/#ScreenCaptureAllowedByOrigins
  5. https://chromeenterprise.google/policies/#TabCaptureAllowedByOrigins
  6. https://chromeenterprise.google/policies/#WindowCaptureAllowedByOrigins

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 265 5 Forensics (Post Incident) This section contains recommendations to help in post-incident forensics and analysis. Organizations should review these settings and any potential impacts to ensure they make sense within their environment.

Page 266

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


До повного змісту CIS Google Chrome Benchmark →