2.10 Керування енергоспоживанням та вихід із режиму сну (Energy Saver)

2.10.1.1 Переконайтеся, що ОС не активна під час відновлення роботи з режиму очікування (Intel) (Вручну)

Щоб використовувати комп’ютер із повним дисковим шифруванням (FDE), macOS має зберегти ключі шифрування в пам’яті, щоб дозволити використання диска, який був FileVault захищений. Обсяг пам’яті розблоковано та працює так, ніби він не зашифрований. Коли система не використовується, том захищено за допомогою шифрування. Коли система перебуває в режимі сну та доступна для швидкого відновлення, ключі шифрування залишаються в Secure Enclave (якщо це пристрій Mac із мікросхемою безпеки T1, він залишається в пам’яті). https://www.helpnetsecurity.com/2018/08/20/laptop-sleep-security/ Системи Mac слід налаштувати на сплячий режим після сну протягом прийнятного для ризику періоду часу. Значення за замовчуванням для «затримки в режимі очікування» становить три години (10800 секунд). Це значення ймовірне підходить для більшості робочих столів. Якщо настільні комп’ютери Mac розгортаються без моніторингу, менше фізично захищені зони з конфіденційними даними, це значення можна змінити. The настільний комп’ютер мав би зберегти живлення, щоб запущена ОС або фізична оперативна пам’ять могли бути атаковані. MacBook слід налаштувати так, щоб затримка в режимі очікування становила 15 хвилин (900 секунд) або менше. Цей параметр має дозволити користувачам ноутбуків у більшості випадків залишатися в межах фізичної безпеки під час переходу до конференц-залу, аудиторії чи іншого внутрішнього приміщення без необхідно розблокувати шифрування. Коли користувач йде додому вночі, ноутбук автоматично перейти в сплячий режим через 15 хвилин і вимагати розблокування пароля FileVault перед входом назад у систему, коли вона відновиться. MacBook також слід перевести в режим глибокого сну, який вимикає живлення з оперативної пам’яті. Це припинить можливість атак холодного завантаження системи. Комп’ютери Mac із силіконовими чіпами Apple, а не чіпами Intel, не вимагають того самого конфігурації як Mac на базі Intel.

Щоб зменшити ризик втрати даних, систему слід вимкнути та заблокувати зашифровані дані їхати після визначеного часу. Ноутбуки повинні переходити в сплячий режим через 15 хвилин або менше після сну.

Ноутбуку знадобиться додатковий час, щоб відновити нормальну роботу, якщо він перебуває в режимі сну ніж сплячка. Встановлення hibernatemode на 25 вимкне функцію «завжди ввімкнено» Apple Silicon Macs.

2.10.1.2 Переконайтеся, що на пристроях Apple Silicon увімкнено режим сну та режим сну дисплея (Автоматизовано)

MacBook слід налаштувати так, щоб режим сну тривав 15 хвилин або менше, і дисплей повинен бути таким спати 10 хвилин або менше. Це налаштування має дозволити користувачам ноутбуків у більшості випадків залишатися у фізично охоронюваних зонах під час переходу до конференц-залу, аудиторії тощо внутрішнє розташування без розблокування шифрування. Коли користувач йде додому о вночі ноутбук автоматично перейде в режим сну через 15 хвилин і знову увійде в систему, коли це станеться резюме. Примітка. Якщо екранну заставку правильно налаштовано відповідно до тесту (15 хвилин або менше), тоді ця рекомендація також буде прийнята незалежно від сну та дисплеїв уві сні налаштування.

Ноутбуки повинні спати 15 хвилин або менше після сну.

Ноутбуку знадобиться додатковий час, щоб відновити нормальну роботу після сну.

2.10.2 Переконайтеся, що Power Nap вимкнено для Intel Mac (Автоматизовано)

Power Nap дозволяє системі залишатися в режимі низького енергоспоживання, особливо під час роботи від акумулятора живлення та періодично підключайтеся до раніше відомих мереж із збереженими обліковими даними для програм користувача, щоб дзвонити додому та отримувати оновлення. Для цієї можливості потрібен FileVault залишатися розблокованими, а використання раніше приєднаних мереж ґрунтуватись на прийнятті ризику на SSID без введення користувача. Цей елемент керування оновлено, щоб перевіряти стан акумулятора та живлення змінного струму. The наявність електричної розетки не зовсім співвідноситься з логічним і фізичним безпека пристрою або доступних мереж.

Вимкнення цієї функції знижує ризик того, що зловмисник віддалено виведе систему з режиму сну та отримання доступу. Використання Power Nap збільшує ризик порушення фізичної та логічної безпеки. Користувач повинен мати можливість розшифрувати FileVault і мати можливість завантажувати програми потрібен, коли комп’ютер активно використовується. Елемент керування для запобігання сплячому режиму комп’ютера скасовано для цієї версії Еталон. Змусити комп’ютер залишатися ввімкненим і споживати енергію у випадку керування поштовх суперечить більшості сучасних процесів управління. Тільки тримати комп’ютери прокидаються, якщо в закритих локальних мережах потрібні надсилання в неробочий час.

Power Nap існує для автоматичного оновлення додатків користувача, таких як електронна пошта та соціальні мережі клієнтів. Якщо Power Nap вимкнено, комп’ютер не вийде з режиму сну та не підключиться до відомого бездротові SSID періодично під час сну.

2.10.3 Переконайтеся, що функцію пробудження для доступу до мережі вимкнено (Автоматизовано)

Ця функція дозволяє комп’ютеру виконувати дії, коли користувач відсутній комп’ютер знаходиться в режимі енергозбереження. Ці інструменти вимагають, щоб FileVault залишався розблокованим і повністю приєднатися до відомих мереж. Ця функція macOS призначена для того, щоб дозволити комп’ютеру відновити діяльність за потреби, незалежно від засобів контролю фізичної безпеки. Ця функція дозволяє іншим користувачам мати доступ до спільних ресурсів вашого комп’ютера, наприклад спільні принтери або списки відтворення Apple Music, навіть коли комп’ютер перебуває в режимі сну режим. У закритій мережі, коли лише авторизовані пристрої могли розбудити комп’ютер, це може бути корисним для пробудження комп’ютерів, щоб виконати активну активність керування. Де мобільні робочі станції та агенти, швидше за все, пристрій зареєструється для отримання оновлюється, коли вже прокидається. Мобільні пристрої не повинні прослуховувати сигнали некерована мережа або якщо існують ненадійні пристрої, які можуть надсилати сигнали пробудження.

Вимкнення цієї функції знижує ризик того, що зловмисник віддалено виведе систему з режиму сну та отримання доступу.

Програми керування, як-от Apple Remote Desktop Administrator, використовують wake-on-LAN, щоб з’єднатися з комп’ютерами. Якщо вимкнено, такі програми управління не зможуть розбудити комп’ютер через локальну мережу. Якщо потрібна функція wake-on-LAN, не вимикайте її цю функцію. Елемент керування для запобігання сплячому режиму комп’ютера скасовано для цієї версії Еталон. Змусити комп’ютер залишатися ввімкненим і споживати енергію у випадку керування поштовх суперечить більшості сучасних процесів управління. Тільки тримати комп’ютери прокидаються, якщо в закритих локальних мережах потрібні надсилання в неробочий час. Вимкнення Wake для доступу до мережі також не дозволить Find My працювати, коли комп’ютер спить. Він також видасть таке попередження: «Ви не зможете знайти, заблокувати або стерти цей Mac, коли він сплячий, оскільки Wake для доступу до мережі вимкнено».