← До повного змісту CIS Apple macOS 26 Tahoe Benchmark

CIS Benchmark

CIS BENCHMARK • MACOS 26 TAHOE

2.3.3 Служби спільного доступу та віддаленого керування (Sharing Services)

Конфігурація служб File Sharing, Remote Login (SSH), Remote Management (ARD) та віддаленого Apple Events.


Рекомендацій: 11


macOS 26 Tahoe v1.1.0

2.3.3.1 Переконайтеся, що спільний доступ до екрана вимкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.3.3.1 Ensure Screen Sharing Is Disabled (Automated)

Спільний доступ до екрана дозволяє комп’ютеру підключатися до іншого комп’ютера в мережі та відобразити екран комп’ютера. Під час спільного використання екрана комп’ютера користувач може керувати тим, що відбувається на цьому комп’ютері, наприклад відкривати документи чи програми, відкривання, переміщення або закривання вікон і навіть вимикання комп’ютера. У той час як зріле адміністрування та управління не використовує графічні підключення для стандартне технічне обслуговування, більшість довідкових служб мають можливості, щоб допомогти користувачам у виконанні свою роботу, коли вони мають технічні проблеми та потребують підтримки. Довідкові служби використовують графіку віддалені інструменти, щоб зрозуміти, що бачить користувач, і допомогти йому повернутися до нього працювати. Для macOS деякі з цих віддалених можливостей можуть використовувати інструменти ОС Apple. контроль тому не призначено для заборони авторизованого використання своєчасного графічного перегляду персонал із засобами контролю автентифікації. Спільний доступ має бути ввімкнено лише у вузькому Windows, коли потрібна підтримка служби підтримки. Спільний доступ до екрана в macOS може дозволити використовувати незахищений протокол VNC. VNC – це a протокол відкритого тексту, який не слід використовувати в macOS.

💡 Обґрунтування безпеки:

Вимкнення спільного доступу до екрана зменшує ризик встановлення віддалених з’єднань без нього користувач консолі знає, що вони спільно використовують комп’ютер.

⚠️ Вплив на робочий процес (Impact):

Довідкові служби можуть вимагати періодичного використання графічного механізму підключення для допомоги користувачів. Будь-яка підтримка, яка покладається на власні компоненти macOS, не працюватиме, якщо a За необхідності використовується сценарійне рішення для ввімкнення та вимкнення спільного доступу.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте наведені нижче дії, щоб переконатися, що спільний доступ до екрана вимкнено:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Спільний доступ
  4. Переконайтеся, що функцію спільного доступу до екрана вимкнено
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /bin/launchctl list | /usr/bin/grep -E \
"com.apple.screensharing$"
Очікуваний результат:
Якщо службу вимкнено, вихід не буде. Якщо є вихід, то це a
знахідка.

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб вимкнути спільний доступ до екрана, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Спільний доступ
  4. Вимкніть спільний доступ до екрана
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /bin/launchctl disable system/com.apple.screensharing \
/usr/bin/sudo /bin/launchctl bootout system/com.apple.screensharing

📋 CIS Controls & Нормативні посилання
  1. https://support.apple.com/guide/mac-help/turn-screen-sharing-on-or-off-mh11848/mac
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

2.3.3.2 Переконайтеся, що спільний доступ до файлів вимкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.3.3.2 Ensure File Sharing Is Disabled (Automated)

Обмін файлами з робочої станції користувача створює додаткові ризики, наприклад: • Створюються відкриті порти, які можна досліджувати та атакувати • Паролі додаються до облікових записів користувачів для доступу, які можуть бути розкриті загрожувати іншим частинам організаційного середовища, включно з каталогом облікові записи • Підвищена складність ускладнює безпеку та може виявити додаткові вектори атаки Функція спільного доступу до файлів Apple використовує протокол SMB (Server Message Block) для обміну файлами з іншими комп’ютери, які можуть монтувати спільні ресурси SMB. Це стосується й інших комп’ютерів macOS. Apple попереджає, що передача збережених паролів SMB менш безпечна, і будь-хто з ними доступ до системи може отримати доступ до пароля для цього облікового запису. При обміні з SMB, кожен користувач, який отримує доступ до Mac, має ввімкнути SMB. Зберігання паролів, особливо копії дійсних паролів каталогу, знижує безпеку каталогу і не слід використовувати.

💡 Обґрунтування безпеки:

Якщо вимкнути спільний доступ до файлів, віддалена поверхня атаки та ризик несанкціонованого доступу файлів, що зберігаються в системі, зменшується.

⚠️ Вплив на робочий процес (Impact):

Спільний доступ до файлів можна використовувати для обміну документами з іншими користувачами, але на захищених серверах слід використовувати, а не кінцеві точки користувача. Увімкнення спільного доступу до файлів збільшує видимість і поверхню атаки системи без необхідності.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб переконатися, що спільний доступ до файлів вимкнено:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Спільний доступ
  4. Переконайтеся, що спільний доступ до файлів вимкнено
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /bin/launchctl list | grep -c "com.apple.smbd"
Очікуваний результат у Терміналі:
0

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб вимкнути спільний доступ до файлів, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Спільний доступ
  4. Вимкніть спільний доступ до файлів
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /bin/launchctl disable system/com.apple.smbd \
/usr/bin/sudo /bin/launchctl bootout system/com.apple.smbd

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V8: 5.4
IG 1, 2, 3
Restrict Administrator Privileges to Dedicated Administrator Accounts Restrict administrator privileges to dedicated administrator accounts on enterprise assets. Conduct general computing activities, such as internet browsing, email, and productivity suite use, from the user’s primary, non-privileged account.

CIS Controls V7: 4.3
IG 1, 2, 3
Ensure the Use of Dedicated Administrative Accounts Ensure that all users with administrative account access use a dedicated or secondary account for elevated activities. This account should only be used for administrative activities and not internet browsing, email, or similar activities.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

2.3.3.3 Переконайтеся, що спільний доступ до принтера вимкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.3.3.3 Ensure Printer Sharing Is Disabled (Automated)

Увімкнувши спільний доступ до принтера, комп’ютер налаштовується як сервер друку для прийому завдань друку з інших комп’ютерів. Слід використовувати виділені сервери друку або прямий IP-друк замість цього.

💡 Обґрунтування безпеки:

Вимкнення спільного доступу до принтера знижує ризик спроб зловмисників використати друк сервер, щоб отримати доступ до системи.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Щоб переконатися, що спільний доступ до принтера вимкнено, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Спільний доступ
  4. Переконайтеся, що спільний доступ до принтера вимкнено
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/sbin/cupsctl | grep -c "_share_printers=0"
Очікуваний результат у Терміналі:
1

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб вимкнути спільний доступ до принтера, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Спільний доступ
  4. Вимкніть спільний доступ до принтера
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/sbin/cupsctl --no-share-printers

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

2.3.3.4 Переконайтеся, що віддалений вхід вимкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.3.3.4 Ensure Remote Login Is Disabled (Automated)

Remote Login дозволяє інтерактивне термінальне підключення до комп’ютера.

💡 Обґрунтування безпеки:

Вимкнення віддаленого входу зменшує ризик неавторизованого доступу до систему через Secure Shell (SSH). Тоді як SSH є галузевим стандартом для підключення Сервери POSIX, тестування стосується клієнтів Apple macOS, а не серверів. macOS має доступний брандмауер на основі IP (pf, ipfw застаріло), тобто не ввімкнено або налаштовано. Більш детальну інформацію та посилання можна знайти в підрозділі Мережа. macOS більше не має вбудованої підтримки TCP Wrappers і не має сильного Brute- Примусове пом’якшення підбору пароля або часте оновлення OpenSSH від Apple. Оскільки більшість комп’ютерів macOS є мобільними робочими станціями, керуючи брандмауером на основі IP правила на мобільних пристроях можуть бути дуже ресурсомісткими. Усі ці фактори можуть бути частинами запуску захищеного сервера SSH.

⚠️ Вплив на робочий процес (Impact):

Сервер SSH, вбудований у macOS, не можна вмикати на комп’ютері стандартного користувача, особливо той, який змінює розташування та IP-адреси. Стандартний користувач, який запускає локальні програми, включно з електронною поштою, веб-браузером і інструментами продуктивності, не слід використовувати той самий пристрій, що й сервер. Існують набори інструментів керування підприємством, які використовують SSH. Якщо вони використовуються, комп’ютер має бути заблоковано, щоб відповідати лише на відомі, довірені IP-адреси та відповідні облікові записи служб адміністратора. Для комп’ютерів macOS, які використовуються для виконання спеціальних функцій, існує декілька параметри посилення SSH-сервера для захисту від несанкціонованого доступу, в тому числі атаки грубою силою. Є кілька основних критеріїв, які необхідно враховувати: • Не відкривайте SSH-сервер для доступу до Інтернету без засобів контролю Атаки грубої сили SSH. Це особливо важливо для систем, пов’язаних з Середовища каталогу. Чудово мати засоби керування для захисту системи, але якщо вони спрацьовують після того, як користувач уже заблоковано доступ до свого облікового запису, це не так оптимальний. Якщо авторизація відбувається після автентифікації, обліковий запис каталогу користувачів, які навіть не використовують систему, можна заблокувати. • Не використовуйте пари ключів SSH, якщо немає інформації про безпеку клієнта система, яка автентифікуватиметься на сервері за допомогою закритого ключа. Якщо зловмисник потрапить доступ до віддаленої системи та можуть знайти ключ, їм може не знадобитися a пароль або реєстратор ключів для доступу до сервера SSH. • Докладні інструкції щодо посилення безпеки SSH-сервера, якщо це необхідно, доступні в CIS Linux Benchmarks, але це виходить за межі цього тесту.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб переконатися, що віддалений вхід вимкнено:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Спільний доступ
  4. Переконайтеся, що віддалений вхід вимкнено
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/sbin/systemsetup -getremotelogin \
/usr/bin/sudo /bin/launchctl print-disabled system | /usr/bin/grep -c \
'"com.openssh.sshd" => disabled' \
/usr/bin/sudo /bin/launchctl list | /usr/bin/grep -c "com.openssh.sshd"
Очікуваний результат:
Віддалений вхід: вимкнено
1
0

ℹ️ Примітка: Раніше аудит проводився лише за допомогою системних налаштувань, але після тестування це було так
виявив, що послугу все ще можна ввімкнути через термінал. Йдучи вперед
аудит перевірить налаштування системи, якщо послугу вимкнено, і чи ні
працює на момент аудиту.

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб вимкнути віддалений вхід, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Спільний доступ
  4. Вимкніть віддалений вхід
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/sbin/systemsetup -setremotelogin off

ℹ️ Примітка: Ця команда вимкне службу, а також вчасно припинить її роботу.

ℹ️ Додаткова інженерна інформація (Additional Information): 
man sshd_config

Тільки внутрішні – загальні

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

2.3.3.5 Переконайтеся, що віддалене керування вимкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.3.3.5 Ensure Remote Management Is Disabled (Automated)

Віддалене керування — це клієнтська частина Apple Remote Desktop (ARD). Дистанційний Управління може використовуватися віддаленими адміністраторами для перегляду поточного екрана, інсталяції програмного забезпечення, звітування та керування клієнтськими комп’ютерами Mac. Параметри спільного доступу до екрана у віддаленому керуванні ідентичні параметрам екрана Розділ спільного доступу. Фактично можна налаштувати лише один із двох. Якщо віддалене керування використовується, зверніться до розділу «Спільний доступ до екрана» вище щодо питань щодо спільного використання екрана. Віддалене керування слід увімкнути лише тоді, коли є каталог для керування облікові записи з доступом. Комп’ютери будуть доступні через порт 5900 на macOS Система може приймати підключення від ненадійних хостів залежно від конфігурація, яка є головною проблемою для мобільних систем. Як і з іншим обміном параметри, відкритий порт навіть для авторизованих функцій керування може бути атакований, і як несанкціонований доступ, так і вразливості відмови в обслуговуванні можуть бути використані. Якщо потрібне віддалене керування, брандмауер pf має обмежувати доступ лише до відомих, довірені консолі керування. Дистанційне керування не слід використовувати в усьому Інтернет без використання VPN-тунелю.

💡 Обґрунтування безпеки:

Віддалене керування слід увімкнути лише в надійних мережах із надійним користувачем елементи керування, наявні в системі каталогу. Мобільні пристрої без суворого контролю вразливі до експлуатації та моніторингу.

⚠️ Вплив на робочий процес (Impact):

Багато організацій використовують ARD для керування клієнтами.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб переконатися, що віддалене керування не ввімкнено:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Спільний доступ
  4. Переконайтеся, що віддалене керування не ввімкнено
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /bin/ps -ef | /usr/bin/grep -e ARDAgent
Очікуваний результат у Терміналі:
0  9233  8630   0  3:32pm ttys001    0:00.00 grep -e ARDAgent

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб вимкнути віддалене керування, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Спільний доступ
  4. Вимкніть віддалене керування
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo \
/System/Library/CoreServices/RemoteManagement/ARDAgent.app/Contents/Resources \
/kickstart -deactivate -stop

ℹ️ Додаткова інженерна інформація (Additional Information): 
/System/Library/CoreServices/RemoteManagement/ARDAgent.app/Contents/Re

sources/kickstart -help

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V8: 5.4
IG 1, 2, 3
Restrict Administrator Privileges to Dedicated Administrator Accounts Restrict administrator privileges to dedicated administrator accounts on enterprise assets. Conduct general computing activities, such as internet browsing, email, and productivity suite use, from the user’s primary, non-privileged account.

CIS Controls V7: 4.3
IG 1, 2, 3
Ensure the Use of Dedicated Administrative Accounts Ensure that all users with administrative account access use a dedicated or secondary account for elevated activities. This account should only be used for administrative activities and not internet browsing, email, or similar activities.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

CIS Controls V7: 14.3
IG 1, 2
Disable Workstation to Workstation Communication Disable all workstation to workstation communication to limit an attacker’s ability to move laterally and compromise neighboring systems, through technologies such as Private VLANs or microsegmentation.

2.3.3.6 Переконайтеся, що віддалені події Apple вимкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.3.3.6 Ensure Remote Apple Events Is Disabled (Automated)

Apple Events — це технологія, яка дозволяє одній програмі спілкуватися з іншою програми. Remote Apple Events дозволяє програмі на одному комп’ютері спілкуватися за допомогою програми на іншому комп’ютері.

💡 Обґрунтування безпеки:

Вимкнення віддалених подій Apple знижує ризик отримання неавторизованою програмою доступ до системи.

⚠️ Вплив на робочий процес (Impact):

Коли ввімкнено віддалені події Apple, програма AppleScript працює на іншому Mac може взаємодіяти з локальним комп’ютером.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб переконатися, що віддалені події Apple не ввімкнено:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Спільний доступ
  4. Переконайтеся, що Remote Apple Events вимкнено
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/sbin/systemsetup -getremoteappleevents
Очікуваний результат у Терміналі:
Remote Apple Events: Off

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб вимкнути віддалені події Apple, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Спільний доступ
  4. Вимкніть віддалені події Apple
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/sbin/systemsetup -setremoteappleevents off

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

2.3.3.7 Переконайтеся, що спільний доступ до Інтернету вимкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.3.3.7 Ensure Internet Sharing Is Disabled (Automated)

Спільний доступ до Інтернету використовує процес natd з відкритим кодом для спільного доступу до Інтернету з іншими комп’ютерами та пристроями в локальній мережі. Це дозволяє Mac працювати як маршрутизатора та поділіться з’єднанням з іншими, можливо, неавторизованими пристроями.

💡 Обґрунтування безпеки:

Вимкнення спільного доступу до Інтернету зменшує поверхню віддаленої атаки системи.

⚠️ Вплив на робочий процес (Impact):

Спільний доступ до Інтернету дозволяє комп’ютеру функціонувати як маршрутизатор і використовувати інші комп’ютери це для доступу. Це може викрити як сам комп’ютер, так і мережі, до яких він має доступ до неприйнятного доступу з несанкціонованих пристроїв.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте наступні кроки, щоб переконатися, що спільний доступ до Інтернету вимкнено:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Спільний доступ
  4. Переконайтеся, що спільний доступ до Інтернету вимкнено
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/defaults read /Library/Preferences/SystemConfiguration/com.apple.nat >nul 2>&1 | grep -c "Enabled = 1;"

Очікуваний результат: 0 (служба вимкнена).

Або перевірте профіль MDM на автоматичне вимкнення спільного доступу до Інтернету:

/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
$.NSUserDefaults.alloc.initWithSuiteName('com.apple.MCX').objectForKey('forceInternetSharingOff').js
EOS

Очікуваний результат: true.

Очікуваний результат у Терміналі:
true

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб вимкнути спільний доступ до Інтернету, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Спільний доступ
  4. Вимкніть спільний доступ до Інтернету
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

usr/bin/sudo /usr/bin/defaults write \
/Library/Preferences/SystemConfiguration/com.apple.nat NAT -dict Enabled -int

📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType — com.apple.MCX
  2. Ключ, який потрібно включити, це forceInternetSharingOff
  3. Ключ повинен бути встановлений на
ℹ️ Примітка: Використання термінального методу не буде відображено в графічному інтерфейсі користувача, але вимкне
базова служба.

📋 CIS Controls & Нормативні посилання
  1. STIGID AOSX-12-001270
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

2.3.3.8 Переконайтеся, що кешування вмісту вимкнено (Автоматизовано)

• Рівень 2 (L2)Автоматизовано

Оригінал: 2.3.3.8 Ensure Content Caching Is Disabled (Automated)

Починаючи з macOS 10.13, Apple представила службу, яка полегшує розгортання даних від Apple, включаючи оновлення програмного забезпечення, де існують обмеження пропускної здатності Інтернет і менше обмежень або більша пропускна здатність існує в локальній підмережі. Це можливість може бути дуже цінною для організацій, які загальмували і, можливо, обмежене підключення до Інтернету. У неоднорідних корпоративних мережах з кількома підмережі, ефективність цієї можливості визначатиметься кількістю Mac були в кожній підмережі в той час, коли були доступні нові великі оновлення. Ця можливість вимагає використання клієнтів mac OS як вузлів P2P для оновленої Apple вміст. Якщо немає бізнес-вимог щодо керування оперативним Інтернетом підключення та пропускної здатності, кінцеві точки користувача не повинні зберігати вміст і діяти як a кластер для надання даних. Типи вмісту, які підтримуються функцією кешування вмісту в macOS

💡 Обґрунтування безпеки:

Основним варіантом використання комп’ютерів Mac є мобільні кінцеві точки користувача. P2P обмін служби не слід вмикати на ноутбуках, які використовують ненадійні мережі. Зміст Кешування може дозволити комп’ютеру бути сервером для локальних вузлів у ненадійній мережі. Хоча, звичайно, існують логічні засоби контролю, які можна використати для зменшення ризику, вони додають складність управління. Оскільки цінність послуги полягає в конкретних випадках використання, організації з описаним вище сценарієм використання можуть прийняти ризик за необхідності.

⚠️ Вплив на робочий процес (Impact):

Цей параметр негативно вплине на використання пропускної здатності між локальними підмережами та мережею Інтернет.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб переконатися, що кешування вмісту вимкнено:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Спільний доступ
  4. Переконайтеся, що кешування вмісту вимкнено
  5. — АБО —
  6. Відкрийте налаштування системи
  7. Виберіть Загальні
  8. Виберіть Керування пристроєм
  9. Переконайтеся, що встановлений профіль має значення False для дозволу кешування вмісту
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
function run() {
  let pref1 =
ObjC.unwrap($.NSUserDefaults.alloc.initWithSuiteName('com.apple.AssetCache').objectForKey('Activated'))
  let pref2 =
ObjC.unwrap($.NSUserDefaults.alloc.initWithSuiteName('com.apple.applicationaccess').objectForKey('allowContentCaching'))
  if ( ( pref1 == 0 ) || ( pref2 == 0 ) ) {
    return("true")
  } else {
    return("false")
  }
}
EOS
Очікуваний результат у Терміналі:
true

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб вимкнути кешування вмісту, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Спільний доступ
  4. Вимкніть кешування вмісту
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/bin/AssetCacheManagerUtil deactivate

📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType – це com.apple.applicationaccess
  2. Ключ, який потрібно включити, це allowContentCaching
  3. Ключ повинен бути встановлений на
📋 CIS Controls & Нормативні посилання
  1. https://support.apple.com/guide/mac-help/about-content-caching-mchl9388ba1b/
  2. https://support.apple.com/guide/mac-help/set-up-content-caching-on-mac-mchl3b6c3720/
CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

2.3.3.9 Переконайтеся, що спільний доступ до мультимедійних даних вимкнено (Автоматизовано)

• Рівень 2 (L2)Автоматизовано

Оригінал: 2.3.3.9 Ensure Media Sharing Is Disabled (Automated)

Починаючи з macOS 10.15, Apple надала елемент керування, який дозволяє користувачеві ділитися Apple завантажила вміст на всіх пристроях Apple, які ввійшли за допомогою того самого Apple Обліковий запис. Це дозволяє користувачам ділитися завантаженими фільмами, музикою чи телешоу з іншими керовані пристрої macOS, iOS і iPadOS, а також фотографії з Apple TV. Завдяки цій можливості користувачі-гость також можуть використовувати медіафайли, завантажені на комп’ютер. Рекомендовано не використовувати комп’ютер як сервер, а використовувати Хмарне сховище Apple для завантаження та використання збереженого там вмісту збережений в Apple використовується на кількох пристроях. https://support.apple.com/guide/mac-help/set-up-media-sharing-on-mac- mchlp13371337/mac Примітка. У macOS 15.0 Sequoia Apple додала підтримуваний ключ профілю для обміну медіафайлами який замінює ключі в тестах попередніх версій.

💡 Обґрунтування безпеки:

Вимкнення спільного використання медіафайлів зменшує поверхню віддаленої атаки системи.

⚠️ Вплив на робочий процес (Impact):

Спільний доступ до мультимедійних файлів дає змогу попередньо завантаженому вмісту на Mac бути доступним іншим Пристрої Apple в одній мережі. Якщо залишити це вимкненим, користувачі пристроїв змушені транслювати або завантажувати вміст з кожного авторизованого Apple пристрою. Цей обмін може навіть дозволити неавторизованим пристроям у тій самій мережі отримати доступ до медіа.

🔍 Аудит (перевірка налаштувань)
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
function run() {
  let pref1 =
ObjC.unwrap($.NSUserDefaults.alloc.initWithSuiteName('com.apple.applicationaccess').objectForKey('allowMediaSharing'))
  let pref2 =
ObjC.unwrap($.NSUserDefaults.alloc.initWithSuiteName('com.apple.applicationaccess').objectForKey('allowMediaSharingModification'))
  if ( pref1 == 0 && pref2 == 0 ) {
    return("true")
  } else {
    return("false")
  }
}
EOS
Очікуваний результат у Терміналі:
true

ℹ️ Примітка: Якщо користувач увімкнув спільний доступ до медіафайлів під час встановлення профілю, він не вимкнеться
обмін медіафайлами, але натомість заблокує його як увімкнений. Щоб переконатися, що жоден користувач не має медіа
перед встановленням профілю ввімкнути спільний доступ, запустіть наступну команду для кожного користувача
в системі:
% /usr/bin/sudo -u <ім'я користувача> /usr/bin/defaults читання
com.apple.amp.mediasharingd home-sharing-enabled

⚙️ Виправлення (Remediation / Налаштування)
📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType – це com.apple.applicationaccess
  2. Ключ, який потрібно включити, це allowMediaSharing
  3. Ключ повинен бути встановлений на
  4. Ключ, який також потрібно включити, це allowMediaSharingModification
  5. Ключ повинен бути встановлений на
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

2.3.3.10 Переконайтеся, що Bluetooth Sharing вимкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 2.3.3.10 Ensure Bluetooth Sharing Is Disabled (Automated)

Bluetooth Sharing дозволяє обмінюватися файлами з пристроями з підтримкою Bluetooth. Це налаштування вимикає лише отримання файлів і вимагає, щоб обидва пристрої були з’єднані в пару через Bluetooth, а також приймається приймачем. Цей параметр не вимикає можливість надсилати файли з пристрою на інший сполучений пристрій Bluetooth. Для з’єднання Bluetooth потрібне лише діалогове вікно підтвердження на будь-якому пристрої, який намагається створити пару. Це вимагає, щоб панель Bluetooth у налаштуваннях системи була відкрита для будь-якої macOS пристрій можна виявити. Хоча він дає код підтвердження, він не вимагає на будь-якому пристрої, щоб ввести код, але просто прийміть діалогове вікно (на будь-якому пристрої). При цьому точці, два пристрої з’єднані в пару, і файли можна обмінюватися через Bluetooth. Отримувати файли через програму обміну файлами Bluetooth, користувач має прийняти файл(и) через діалогове вікно. Користувачам слід створювати пару лише з відомими надійними пристроями Bluetooth.

💡 Обґрунтування безпеки:

Вимкнення Bluetooth Sharing мінімізує ризик використання зловмисником Bluetooth для віддалено атакувати систему.

⚠️ Вплив на робочий процес (Impact):

Існує загальне очікування, що периферійні пристрої Bluetooth використовуватимуться більшістю користувачів у Екосистема Apple. Вимкнення спільного доступу не має впливати на використання Bluetooth периферійні пристрої.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб переконатися, що спільний доступ через Bluetooth вимкнено:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Спільний доступ
  4. Переконайтеся, що Bluetooth Sharing вимкнено
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo -u  /usr/bin/defaults -currentHost read \
/usr/bin/sudo -u firstuser /usr/bin/defaults -currentHost read
Очікуваний результат:
com.apple.Bluetooth PrefKeyServicesEnabled
0
com.apple.Bluetooth PrefKeyServicesEnabled
0

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб вимкнути спільний доступ через Bluetooth, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Спільний доступ
  4. Вимкніть Bluetooth Sharing
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo -u  /usr/bin/defaults -currentHost write \
/usr/bin/sudo -u firstuser /usr/bin/defaults -currentHost write

ℹ️ Додаткова інженерна інформація (Additional Information):

Оскільки ми не надаємо рекомендації на основі DLP, цю рекомендацію переміщено до ручного налаштування. Для суворішого контролю Bluetooth ваша організація повинна використовувати ваше програмне забезпечення безпеки для контролю або моніторингу з’єднання Bluetooth, а також програми обміну файлами Bluetooth. Тільки внутрішні – загальні

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 3.3
IG 1, 2, 3
Configure Data Access Control Lists Configure data access control lists based on a user’s need to know. Apply data access control lists, also known as access permissions, to local and remote file systems, databases, and applications.

CIS Controls V8: 4.1
IG 1, 2, 3
Establish and Maintain a Secure Configuration Process Establish and maintain a secure configuration process for enterprise assets (end-user devices, including portable and mobile, non-computing/IoT devices, and servers) and software (operating systems and applications). Review and update documentation annually, or when significant enterprise changes occur that could impact this Safeguard.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

CIS Controls V7: 5.1
IG 1, 2, 3
Establish Secure Configurations Maintain documented, standard security configuration standards for all authorized operating systems and software.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

CIS Controls V7: 14.6
IG 1, 2, 3
Protect Information through Access Control Lists Protect all information stored on systems with file system, network share, claims, application, or database specific access control lists. These controls will enforce the principle that only authorized individuals should have access to the information based on their need to access the information as a part of their responsibilities.

2.3.3.11 Переконайтеся, що ім’я комп’ютера не містить ідентифікаційної інформації або захищеної організаційної інформації (Вручну)

• Рівень 2 (L2)Вручну

Оригінал: 2.3.3.11 Ensure Computer Name Does Not Contain PII or Protected Organizational Information (Manual)

Якщо комп’ютер використовується в організації, яка призначає імена хостів, це гарна ідея змінити ім'я комп'ютера на ім'я хоста. Це скоріше найкраща практика, ніж a захід безпеки. Якщо ім’я хоста та ім’я комп’ютера збігаються, комп’ютер служба підтримки може легше відстежувати проблеми. Для організацій або користувачів, які самостійно керують своїми комп’ютерами, це важливо не використовувати конфіденційну чи особисту інформацію в іменах комп’ютерів. Ім'я комп'ютера яка використовує ненадійні мережі, буде щонайменше доступна відповідальній мережі команда цієї мережі. Наприклад, ваше ім’я в якості імені хоста може надати корисні знання для зловмисників, які контролюють мережу, до якої ви можете бути підключені. Приклади можливо неприйнятного вмісту в назвах комп’ютерів включають: • Імена облікових записів каталогу користувачів • Імена облікових записів каталогу комп’ютерів, де існують облікові записи машин • Контактні телефони • Фізичні місця розташування офісів або житлових приміщень • Особиста інформація, яка може бути доповнена даними Facebook для підтримки соціальних мереж інженерні атаки Стандартні шаблони іменування дозволяють уникнути зіткнень і зменшити ризик для користувачів комп’ютерів. У мобільних пристроях використання IP-відстеження DHCP має серйозні недоліки. Ім'я хосту або Відстеження імен комп’ютерів має набагато більше сенсу для тих організацій, які можуть реалізувати його. Якщо комп’ютер використовує різні імена для DNS «Ім’я комп’ютера». і каталогів, може бути складно керувати комп’ютерами Mac в активі Enterprise інвентар.

💡 Обґрунтування безпеки:

Частиною ІТ-безпеки є наявність видимості всіх пристроїв, для яких працює організація відповідальний. Без повної інвентаризації неможливо забезпечити всі заходи безпеки зустрічаються на всіх організаційних пристроях. Елементи керування деконфліктом імен macOS за замовчуванням можуть створювати проблеми для відповідних управління та відстеження, а також виявлення конфіденційності. За замовчуванням ім'я a Комп’ютер macOS походить від першого створеного користувача. Якщо користувач має декілька комп’ютери або зображення використовується без відповідної зміни імені, буде кілька комп’ютерів з іменами, отриманими від одного користувача для деконфлікту виявлення. Скільки має бути "MacBook Pro Рона Колвіна" і чи бракує якихось? Автоматичне перейменування локальної мережі, щоб уникнути зіткнень, також дозволяє перераховувати локальні імена комп'ютерів. Комп’ютери не повинні називатися іменами своїх користувачів, особливо на ненадійні мережі. З метою соціальної інженерії ім’я комп’ютера не повинно бути надайте повне ім’я користувача або ім’я, яке можна ідентифікувати, яке може бути використане для допомоги цільові атаки користувачів. Задокументований план для кращого увімкнення повної інвентаризації пристроїв без розголошення користувача або організаційна інформація є частиною зрілої безпеки.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Щоб перевірити ім’я комп’ютера, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Спільний доступ
  4. Переконайтеся, що ім’я хосту відповідає параметрам вашої організації
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Виконайте наступні кроки, щоб встановити ім’я комп’ютера:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Спільний доступ
  4. Виберіть Редагувати...
  5. Встановіть назву хоста відповідно до параметрів вашої організації
📋 CIS Controls & Нормативні посилання
  1. https://support.apple.com/en-ca/guide/mac-help/mchlp1177/mac
  2. https://uberagent.com/blog/choosing-macos-computer-names-wisely/
  3. https://support.apple.com/en-ca/guide/mac-help/mchlp2322/mac
CIS Controls V8: 1.1
IG 1, 2, 3
Establish and Maintain Detailed Enterprise Asset Inventory Establish and maintain an accurate, detailed, and up-to-date inventory of all enterprise assets with the potential to store or process data, to include: end-user devices (including portable and mobile), network devices, non-computing/IoT devices, and servers. Ensure the inventory records the network address (if static), hardware address, machine name, enterprise asset owner, department for each asset, and whether the asset has been approved to connect to the network. For mobile end-user devices, MDM type tools can support this process, where appropriate. This inventory includes assets connected to the infrastructure physically, virtually, remotely, and those within cloud environments. Additionally, it includes assets that are regularly connected to the enterprise’s network infrastructure, even if they are not under control of the enterprise. Review and update the inventory of all enterprise assets bi-annually, or more frequently.

CIS Controls V7: 9.1
IG 1, 2
Associate Active Ports, Services and Protocols to Asset Inventory Associate active ports, services and protocols to the hardware assets in the asset inventory.

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


До повного змісту CIS Apple macOS Benchmark →