← До повного змісту CIS Apple macOS 26 Tahoe Benchmark

CIS Benchmark

CIS BENCHMARK • MACOS 26 TAHOE

2.2 Мережеві параметри та Брандмауер macOS (Network & Firewall)

Конфігурація вбудованого міжмережевого екрана (Application Firewall) та режимів невидимості Stealth Mode.


Рекомендацій: 2


macOS 26 Tahoe v1.1.0

2.2.1 Переконайтеся, що брандмауер увімкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.2.1 Ensure Firewall Is Enabled (Automated)

Брандмауер — це частина програмного забезпечення, яка блокує небажані вхідні підключення до системи. Брандмауер socketfilter використовується, коли брандмауер увімкнено в розділі Безпека та Панель налаштувань конфіденційності. Реєстрація потрібна для належного моніторингу доступу дозволено і заборонено. Журнали можна переглянути в macOS Unified Logs. До macOS 15.0 Sequoia існували додаткові кроки для ввімкнення журналювання брандмауера після ввімкнення брандмауера. Починаючи з macOS 15, журналювання вмикається автоматично без взаємодія з користувачем. Рекомендацію щодо журналювання видалено в macOS 15 еталонний показник і не буде включено надалі. Якщо ваша організація шукає більш детальну інформацію про безпеку мережі, вам знадобиться стороннє рішення.

💡 Обґрунтування безпеки:

Брандмауер мінімізує загрозу неавторизованого доступу до вашої системи під час підключення до мережі або Інтернету.

⚠️ Вплив на робочий процес (Impact):

Брандмауер може блокувати законний трафік. Для непідписаних програм знадобиться спеціальна обробка.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Щоб переконатися, що брандмауер увімкнено, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Мережа
  3. Переконайтеся, що брандмауер активний
  4. — АБО —
  5. Відкрийте налаштування системи
  6. Виберіть Загальні
  7. Виберіть Керування пристроєм
  8. Переконайтеся, що встановлений профіль має брандмауер увімкнено
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
$.NSUserDefaults.alloc.initWithSuiteName('com.apple.security.firewall').objectForKey('EnableFirewall').js
EOS
Очікуваний результат:
правда
Крім того, стан брандмауера можна перевірити за допомогою двійкового файлу. Виконайте наступне
команда, щоб перевірити, чи брандмауер увімкнено з двійковим кодом:
% /usr/bin/sudo /usr/libexec/ApplicationFirewall/socketfilterfw --
getglobalstate
Вихід буде або Брандмауер увімкнено. (Стан = 1) або брандмауер
включено. (Стан = 2), якщо брандмауер увімкнено. Якщо брандмауер вимкнено, вихід
брандмауер вимкнено. (Стан = 0)

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб увімкнути брандмауер, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Мережа
  3. Виберіть Брандмауер
  4. Увімкніть брандмауер
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/libexec/ApplicationFirewall/socketfilterfw  --

📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType — com.apple.security.firewall
  2. Ключ, який потрібно включити, це EnableFirewall
  3. Ключ повинен бути встановлений на
📋 CIS Controls & Нормативні посилання
  1. https://support.apple.com/guide/security/firewall-security-in-macos-seca0e83763f/web
  2. https://support.apple.com/guide/mac-help/block-connections-to-your-mac-with-a-firewall-mh34041/mac
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V8: 4.5
IG 1, 2, 3
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

CIS Controls V8: 13.1
IG 1, 2
Centralize Security Event Alerting Centralize security event alerting across enterprise assets for log correlation and analysis. Best practice implementation requires the use of a SIEM, which includes vendor-defined event correlation alerts. A log analytics platform configured with security-relevant correlation alerts also satisfies this Safeguard.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

CIS Controls V7: 9.4
IG 1, 2, 3
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

CIS Controls V7: 9.5
IG 1
Implement Application Firewalls Place application firewalls in front of any critical servers to verify and validate the traffic going to the server. Any unauthorized traffic should be blocked and logged.

2.2.2 Переконайтеся, що режим прихованого брандмауера ввімкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.2.2 Ensure Firewall Stealth Mode Is Enabled (Automated)

У режимі Stealth комп'ютер не реагуватиме на небажані зонди, падіння що трафік.

💡 Обґрунтування безпеки:

Прихований режим брандмауера мінімізує загрозу інструментів виявлення системи підключений до мережі або Інтернету.

⚠️ Вплив на робочий процес (Impact):

Традиційні інструменти виявлення мережі, такі як ping, не матимуть успіху. Інші мережеві інструменти, які вимірювання активності та схвалені програми працюватимуть належним чином. Цей елемент керування узгоджується з основним варіантом використання macOS ноутбука, який часто підключається до ненадійних мереж, де сегрегація хостів може не існувати. У цьому випадку використання, ховатися від інших ув'язнених є більш ніж бажаним. У випадках використання, де використання є лише в довірених локальних мережах зі статичними IP-адресами прихований режим може бути небажаним.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте наступні кроки, щоб перевірити, чи брандмауер увімкнув прихований режим:

  1. Відкрийте налаштування системи
  2. Виберіть Мережа
  3. Виберіть Брандмауер
  4. Виберіть параметр
  5. Переконайтеся, що ввімкнуто «Увімкнути прихований режим».
  6. — АБО —
  7. Відкрийте налаштування системи
  8. Виберіть Загальні
  9. Виберіть Керування пристроєм
  10. Переконайтеся, що для встановленого профілю ввімкнено режим Stealth Mode
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
$.NSUserDefaults.alloc.initWithSuiteName('com.apple.security.firewall').objectForKey('EnableStealthMode').js
EOS
Очікуваний результат:
правда
Також статус стелс-режиму можна перевірити за допомогою бінарника. Виконайте наступне
команда, щоб перевірити, чи брандмауер увімкнено з двійковим кодом:
% /usr/libexec/ApplicationFirewall/socketfilterfw --getstealthmode

Увімкнено прихований режим брандмауера

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб увімкнути прихований режим брандмауера, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Мережа
  3. Виберіть Брандмауер
  4. Виберіть Параметри...
  5. Встановіть Enabled stealth mode на enable
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/libexec/ApplicationFirewall/socketfilterfw --

📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType — com.apple.security.firewall
  2. Ключ, який потрібно включити, це EnableStealthMode
  3. Ключ повинен бути встановлений на
ℹ️ Примітка: Цей ключ має бути встановлено в тому самому профілі конфігурації, що й EnableFirewall
до . Якщо його встановлено у власному профілі конфігурації, він не вдасться.

📋 CIS Controls & Нормативні посилання
  1. http://support.apple.com/en-us/HT201642
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V8: 4.5
IG 1, 2, 3
Implement and Manage a Firewall on End-User Devices Implement and manage a host-based firewall or port-filtering tool on end-user devices, with a default-deny rule that drops all traffic except those services and ports that are explicitly allowed.

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

CIS Controls V7: 9.4
IG 1, 2, 3
Apply Host-based Firewalls or Port Filtering Apply host-based firewalls or port filtering tools on end systems, with a default- deny rule that drops all traffic except those services and ports that are explicitly allowed.

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


До повного змісту CIS Apple macOS Benchmark →