4. Конфігурації мережевих інтерфейсів та протоколів
Вимкнення застарілих та вразливих мережевих протоколів і служб у macOS.
Рекомендацій: 3
macOS 26 Tahoe v1.1.0
4.1 Переконайтеся, що рекламні послуги Bonjour вимкнено (Автоматизовано)
Bonjour — це механізм автоматичного виявлення для пристроїв TCP/IP, який перераховує пристрої і послуги в локальній підмережі. DNS на macOS інтегровано з Bonjour і не слід вимикати, але рекламну службу Bonjour можна вимкнути.
Bonjour може спростити виявлення пристрою на внутрішньому шахрайському або скомпрометованому хості. Ан зловмисник може використовувати функцію багатоадресної адреси DNS Bonjour, щоб виявити вразливий або погано- налаштовану службу або додаткову інформацію для допомоги в цілеспрямованій атаці. Реалізація цього контроль відключає безперервну трансляцію “Я тут!” повідомлення. Типовий кінцевий користувач кінцеві точки не повинні рекламувати послуги іншим комп’ютерам. Цей параметр робить не перешкоджати комп’ютеру надсилати повідомлення про виявлення служби під час пошуку служби у внутрішній підмережі, якщо комп’ютер шукає принтер або сервер за допомогою виявлення служби. Щоб заблокувати весь трафік Bonjour, окрім дозволених пристроїв, pf або потрібен інший брандмауер.
Деякі програми можуть не працювати належним чином, якщо є реклама Bonjour (видима). вимкнено. У AirDrop вимкнення цієї функції видимості робить систему недоступний для отримання файлів у AirDrop у локальній мережі.
Щоб переконатися, що рекламу Bonjour вимкнено, виконайте такі дії:
- Відкрийте налаштування системи
- Виберіть Загальні
- Виберіть Керування пристроєм
- Переконайтеся, що для встановленого профілю NoMulticastAdvertisements встановлено значення 1
Виконайте команду в Терміналі для перевірки:
/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
$.NSUserDefaults.alloc.initWithSuiteName('com.apple.mDNSResponder').objectForKey('NoMulticastAdvertisements').js
EOStrueВиконайте команду в Терміналі для застосування налаштування:
/usr/bin/sudo /usr/bin/defaults write \
/Library/Preferences/com.apple.mDNSResponder.plist NoMulticastAdvertisements \
-bool trueСтворіть або оновіть профіль MDM із такими значеннями:
- Рядок PayloadType — com.apple.mDNSResponder
- Ключ, який потрібно включити, — NoMulticastAdvertisements
Усе, що виявляє Bonjour, уже доступне в мережі та, ймовірно, може бути виявлено за допомогою інструментів мережевого сканування. Перевага безпеки від вимкнення Bonjour з цієї причини є мінімальною. Тільки внутрішні – загальні
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2
IG 1, 2, 3
IG 1, 2
4.2 Переконайтеся, що сервер HTTP вимкнено (Автоматизовано)
Раніше macOS мала графічний інтерфейс для вбудованого веб-сервера Apache операційна система. Можна ввімкнути особистий веб-спільний доступ, щоб дозволити комусь на іншому комп’ютер для завантаження файлів або інформації з комп’ютера користувача. Особистий веб загальний доступ із кінцевої точки користувача довгий час вважався сумнівним, і Apple це так видалив цю можливість із графічного інтерфейсу користувача. Однак Apache все ще є частиною Operating Систему й можна легко ввімкнути для обміну файлами та забезпечення віддаленого підключення до комп'ютер кінцевого користувача. Веб-обмін має здійснюватися лише через надійні веб-сервери і відповідні хмарні сервіси.
Веб-обслуговування не повинно здійснюватися з робочого столу користувача. Виділені веб-сервери або слід використовувати відповідне хмарне сховище. Відкриті порти полегшують використання комп'ютер.
Веб-сервер є як точкою атаки для системи, так і засобом для несанкціонованих дій передачі файлів.
Виконайте команду в Терміналі для перевірки:
/usr/bin/sudo /bin/launchctl list | /usr/bin/grep -c "org.apache.httpd"0Виконайте команду в Терміналі для застосування налаштування:
/usr/bin/sudo /usr/sbin/apachectl stop \
/usr/bin/sudo /bin/launchctl unload -w \
/System/Library/LaunchDaemons/org.apache.httpd.plist📋 CIS Controls & Нормативні посилання
- https://www.stigviewer.com/stig/apple_macos_11_big_sur/2021-06-16/finding/V-230793
- https://httpd.apache.org/security/vulnerabilities_24.html
IG 1, 2, 3
IG 1, 2
IG 1, 2, 3
IG 1, 2
4.3 Переконайтеся, що сервер NFS вимкнено (Автоматизовано)
macOS може працювати як файловий сервер NFS. Можна ввімкнути спільне використання NFS, щоб дозволити комусь на іншому комп’ютері, щоб підключити спільні ресурси та отримати доступ до інформації користувача комп'ютер. Обмін файлами з кінцевої точки користувача довгий час вважався сумнівним, і Apple видалила цю можливість з GUI. NFSD все ще є частиною Operating Систему можна легко ввімкнути для експорту спільних ресурсів і забезпечення віддаленого підключення комп’ютер кінцевого користувача. Файл etc/exports містить список спільних каталогів NFS. Якщо файл існує, це ймовірно що спільне використання NFS було ввімкнено в минулому або може бути доступним періодично. Як ан додаткова перевірка перевіряє відсутність файлу /etc/exports.
Обслуговування файлів не повинно здійснюватися з робочого столу користувача. Слід використовувати виділені сервери. Відкриті порти полегшують експлуатацію комп'ютера.
Сервер nfs є як точкою атаки для системи, так і засобом для неавторизованого файлу перекази.
Виконайте команду в Терміналі для перевірки:
/usr/bin/sudo /sbin/nfsd status | /usr/bin/awk '/nfsd service/ { print \
/usr/bin/sudo /bin/cat /etc/exportsвимкнено
cat: /etc/exports: такого файлу чи каталогу немає
Виконайте команду в Терміналі для застосування налаштування:
/usr/bin/sudo /bin/launchctl disable system/com.apple.nfsd \
/usr/bin/sudo /bin/rm -rf /etc/exports📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2
IG 1, 2, 3
IG 1, 2
Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.