← До повного змісту CIS Apple macOS 26 Tahoe Benchmark

CIS Benchmark

CIS BENCHMARK • MACOS 26 TAHOE

5.2 Політики паролів та захист від підбору (Password Policy)

Вимоги до довжини пароля, складності символів, терміну дії та блокування облікового запису після невдалих спроб.


Рекомендацій: 8


macOS 26 Tahoe v1.1.0

5.2.1 Переконайтеся, що налаштовано поріг блокування облікового запису паролем (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 5.2.1 Ensure Password Account Lockout Threshold Is Configured (Automated)

Поріг блокування облікового запису визначає, скільки разів користувач може вводити неправильний пароль, перш ніж відбудеться блокування. Переконайтеся, що поріг блокування є частиною політики паролів на комп’ютері.

💡 Обґрунтування безпеки:

Функція блокування облікового запису пом’якшує атаки на систему шляхом підбору пароля.

⚠️ Вплив на робочий процес (Impact):

Кількість неправильних спроб входу в систему має бути досить малою, щоб мінімізувати їх можливість успішної атаки паролем, враховуючи щирі помилки, зроблені під час вхід звичайного користувача. Заблокований обліковий запис автоматично розблокується через кілька хвилин у разі введення неправильного пароля зупинка. Комп’ютер прийме дійсний пароль, якщо його запам’ятали або відновили.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте наведені нижче дії, щоб переконатися, що порогове значення облікового запису пароля менше або дорівнює 5, а час блокування більше або дорівнює 15:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Керування пристроєм
  4. Переконайтеся, що для встановленого профілю максимальна кількість невдалих спроб встановлена ​​на ≤ 5
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/pwpolicy -getaccountpolicies 2> /dev/null | \
/usr/bin/tail +2 | /usr/bin/xmllint --xpath \
'//dict/key[text()="policyAttributeMaximumFailedAuthentications"]/following-
Очікуваний результат:
sibling::integer[1]/text()’ –
Результат має бути ≤ 5

⚙️ Виправлення (Remediation / Налаштування)
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/bin/pwpolicy -n /Local/Default -setglobalpolicy \
"maxFailedLoginAttempts=" \
/usr/bin/sudo /usr/bin/pwpolicy -n /Local/Default -setglobalpolicy \
"maxFailedLoginAttempts=5"

📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType – це com.apple.mobiledevice.passwordpolicy
  2. Ключ, який потрібно включити, це maxFailedAttempts
  3. Ключ має бути
ℹ️ Примітка: Це лише пароль для входу та не впливає на час очікування FileVault.

📋 CIS Controls & Нормативні посилання
  1. CIS Password Policy – https://workbench.cisecurity.org/communities/113
  2. https://support.apple.com/guide/security/passcodes-and-passwords-sec20230a10d/web
CIS Controls V8: 6.2
IG 1, 2, 3
Establish an Access Revoking Process Establish and follow a process, preferably automated, for revoking access to enterprise assets, through disabling accounts immediately upon termination, rights revocation, or role change of a user. Disabling accounts, instead of deleting accounts, may be necessary to preserve audit trails.

CIS Controls V7: 16.7
IG 1, 2
Establish Process for Revoking Access Establish and follow an automated process for revoking system access by disabling accounts immediately upon termination or change of responsibilities of an employee or contractor . Disabling these accounts, instead of deleting accounts, allows preservation of audit trails.

5.2.2 Переконайтеся, що налаштовано мінімальну довжину пароля (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 5.2.2 Ensure Password Minimum Length Is Configured (Automated)

Мінімальна довжина пароля — це найменша кількість символів, яку може містити пароль відповідати вимогам системи. Переконайтеся, що пароль із мінімум 15 символів є частиною політики паролів на комп’ютер. Там, де конфіденційність зашифрованої інформації у FileVault викликає більше занепокоєння, Вимагати довший пароль або парольну фразу може бути достатньо, а не нав’язувати додаткові вимоги до складності, які можуть призвести до провалу.

💡 Обґрунтування безпеки:

Інформаційні системи, які не захищені надійними паролями, в тому числі паролі мінімальної довжини надають зловмисникам більше можливостей зламати пароль і отримати доступ до системи.

⚠️ Вплив на робочий процес (Impact):

Короткі паролі можна легко атакувати.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб переконатися, що порогове значення облікового запису пароля більше або дорівнює 15:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Керування пристроєм
  4. Переконайтеся, що мінімальна довжина пароля встановленого профілю становить ≥ 15
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/pwpolicy -getaccountpolicies | /usr/bin/grep -e \
"policyAttributePassword matches" | /usr/bin/grep -e "[0-9][0-9]" | \
/usr/bin/cut -b 46-53 | /usr/bin/cut -d',' -f1 | /usr/bin/cut -d'{' -f2
Очікуваний результат у Терміналі:
Значення у виводі має бути: ≥ 15

⚙️ Виправлення (Remediation / Налаштування)
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/bin/pwpolicy -n /Local/Default -setglobalpolicy \
"minChars=" \
/usr/bin/sudo /usr/bin/pwpolicy -n /Local/Default -setglobalpolicy \
"minChars=15"

📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType – це com.apple.mobiledevice.passwordpolicy
  2. Ключ, який потрібно включити, це minLength
  3. Для ключа має бути
ℹ️ Примітка: Метод профілю є кращим методом встановлення політики паролів, оскільки –
setglobalpolicy у pwpolicy застаріло та, ймовірно, буде видалено в майбутньому
випуск macOS.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 5.2
IG 1, 2, 3
Use Unique Passwords Use unique passwords for all enterprise assets. Best practice implementation includes, at a minimum, an 8-character password for accounts using MFA and a 14-character password for accounts not using MFA.

CIS Controls V7: 4.4
IG 1, 2
Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.

5.2.3 Переконайтеся, що налаштовано складний пароль, який має містити символи алфавіту (Вручну)

• Рівень 2 (L2)Вручну

Оригінал: 5.2.3 Ensure Complex Password Must Contain Alphabetic Characters Is Configured (Manual)

Складні паролі містять по одному символу кожного з наступних класів: англ великі літери, англійські малі літери, західні арабські цифри та не- буквено-цифрові символи. Переконайтеся, що символ алфавіту є частиною політики паролів на комп’ютері.

💡 Обґрунтування безпеки:

Чим складніший пароль, тим стійкішим він буде проти людей, які його шукають несанкціонований доступ до системи.

⚠️ Вплив на робочий процес (Impact):

Політика паролів має діяти, щоб зменшити ризик виявлення служб легко скомпрометувати через словникові атаки чи інші спроби соціальної інженерії.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте наступні кроки, щоб переконатися, що паролі мають містити принаймні 1 літеру:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Керування пристроєм
  4. Переконайтеся, що для встановленого профілю для параметра Requires Alphanumeric встановлено значення True
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

pref1=$(/usr/bin/sudo /usr/bin/pwpolicy -getaccountpolicies | /usr/bin/grep \
-e "Contain at least one number and one alphabetic character." | cut -b 13- \
/usr/bin/grep -A1 minimumLetters | /usr/bin/tail -1 | /usr/bin/cut -d'>' -f2 \
| /usr/bin/cut -d '<' -f1) && if [ "$pref1" = "Contain at least one number
Очікуваний результат:
68) && pref2=$(/usr/bin/sudo /usr/bin/pwpolicy -getaccountpolicies |
і один символ алфавіту" ]; потім луна "true"; elif [[ "$pref2" != "" &&
pref2 -ge 1 ]]; потім echo "true"; else echo "false"; фі
правда

⚙️ Виправлення (Remediation / Налаштування)
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/bin/pwpolicy -n /Local/Default -setglobalpolicy - \
/usr/bin/sudo /usr/bin/pwpolicy -n /Local/Default -setglobalpolicy \
"requiresAlpha=1"

📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType – це com.apple.mobiledevice.passwordpolicy
  2. Ключ, який потрібно включити, це requireAlphanumeric
  3. Ключ повинен бути встановлений на
ℹ️ Примітка: Метод профілю є кращим методом встановлення політики паролів, оскільки -
setglobalpolicy у pwpolicy застаріло та, ймовірно, буде видалено в майбутньому
випуск macOS.

ℹ️ Додаткова інженерна інформація (Additional Information):

Примітка. Спільнота macOS CIS вирішила не вимагати додаткових налаштувань складності пароля (рекомендації 5.3–5.6). Через це ми залишили рекомендації щодо складності як оцінку вручну. Оскільки у великому світі macOS є велика кількість адміністраторів, які потребують цих налаштувань, ми додаємо як вказівки щодо правильного налаштування, так і зонди для перевірки CIS-CAT.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 5.2
IG 1, 2, 3
Use Unique Passwords Use unique passwords for all enterprise assets. Best practice implementation includes, at a minimum, an 8-character password for accounts using MFA and a 14-character password for accounts not using MFA.

CIS Controls V7: 4.4
IG 1, 2
Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.

5.2.4 Переконайтеся, що налаштовано складний пароль, який має містити цифрові символи (Вручну)

• Рівень 2 (L2)Вручну

Оригінал: 5.2.4 Ensure Complex Password Must Contain Numeric Character Is Configured (Manual)

Складні паролі містять по одному символу кожного з наступних класів: англ великі літери, англійські малі літери, західні арабські цифри та не- буквено-цифрові символи. Переконайтеся, що число або числове значення є частиною політики паролів на комп’ютері.

💡 Обґрунтування безпеки:

Чим складніший пароль, тим стійкішим він буде проти людей, які його шукають несанкціонований доступ до системи.

⚠️ Вплив на робочий процес (Impact):

Політика паролів має діяти, щоб зменшити ризик виявлення служб легко скомпрометувати через словникові атаки чи інші спроби соціальної інженерії.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте наступні дії, щоб переконатися, що паролі мають містити принаймні 1 цифровий символ:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Керування пристроєм
  4. Переконайтеся, що для встановленого профілю для параметра Requires Alphanumeric встановлено значення True
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

pref1=$(/usr/bin/sudo /usr/bin/pwpolicy -getaccountpolicies | /usr/bin/grep \
-e "Contain at least one number and one alphabetic character." | cut -b 13- \
/usr/bin/grep -A1 minimumNumericCharacters | /usr/bin/tail -1 | /usr/bin/cut \
-d'>' -f2 | /usr/bin/cut -d '<' -f1) && if [ "$pref1" = "Contain at least one
Очікуваний результат:
68) && pref2=$(/usr/bin/sudo /usr/bin/pwpolicy -getaccountpolicies |
число та один символ алфавіту" ]; потім echo "true"; elif [[ "$pref2" !=
"" && pref2 -ge 1 ]]; потім echo "true"; else echo "false"; фі
правда

⚙️ Виправлення (Remediation / Налаштування)
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/bin/pwpolicy -n /Local/Default -setglobalpolicy - \
/usr/bin/sudo /usr/bin/pwpolicy -n /Local/Default -setglobalpolicy \
"requiresNumeric=2"

📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType – це com.apple.mobiledevice.passwordpolicy
  2. Ключ, який потрібно включити, це requireAlphanumeric
  3. Ключ повинен бути встановлений на
ℹ️ Примітка: Метод профілю є кращим методом встановлення політики паролів, оскільки -
setglobalpolicy у pwpolicy застаріло та, ймовірно, буде видалено в майбутньому
випуск macOS.

ℹ️ Додаткова інженерна інформація (Additional Information):

Примітка. Спільнота macOS CIS вирішила не вимагати додаткових налаштувань складності пароля (рекомендації 5.3–5.6). Через це ми залишили рекомендації щодо складності як оцінку вручну. Оскільки у великому світі macOS є велика кількість адміністраторів, які потребують цих налаштувань, ми додаємо як вказівки щодо правильного налаштування, так і зонди для перевірки CIS-CAT.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 5.2
IG 1, 2, 3
Use Unique Passwords Use unique passwords for all enterprise assets. Best practice implementation includes, at a minimum, an 8-character password for accounts using MFA and a 14-character password for accounts not using MFA.

CIS Controls V7: 4.4
IG 1, 2
Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.

5.2.5 Переконайтеся, що складний пароль має містити спеціальні символи (Вручну)

• Рівень 2 (L2)Вручну

Оригінал: 5.2.5 Ensure Complex Password Must Contain Special Character Is Configured (Manual)

Складні паролі містять по одному символу кожного з наступних класів: англ великі літери, англійські малі літери, західні арабські цифри та не- буквено-цифрові символи. Переконайтеся, що спеціальний символ є частиною політики паролів на комп'ютері.

💡 Обґрунтування безпеки:

Чим складніший пароль, тим стійкішим він буде проти людей, які його шукають несанкціонований доступ до системи.

⚠️ Вплив на робочий процес (Impact):

Політика паролів має діяти, щоб зменшити ризик виявлення служб легко скомпрометувати через словникові атаки чи інші спроби соціальної інженерії.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте наступні кроки, щоб переконатися, що паролі повинні містити принаймні 1 спеціальний символ:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Керування пристроєм
  4. Переконайтеся, що мінімальна комплексна довжина встановленого профілю встановлена ​​на ≥ 1
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

pref1=$(/usr/bin/sudo  /usr/bin/pwpolicy -getaccountpolicies | \
/usr/bin/grep -e "policyAttributePassword matches '(.*[^a-zA-Z0-9].*){1,}'" | \
cut -b 12-67) && pref2=$(/usr/bin/sudo /usr/bin/pwpolicy -getaccountpolicies \
| /usr/bin/grep -A1 minimumSymbols | /usr/bin/tail -1 | /usr/bin/cut -d'>' -
Очікуваний результат:
f2 | /usr/bin/cut -d '<' -f1) && if [ "$pref1" = "policyAttributePassword відповідає '(.*[^a-zA-Z0-9].*){1,}'" ]; потім echo "true"; elif [[ "$pref2" != "" && pref2 -ge 1 ]]; потім echo "true"; else echo "false"; фі правда

⚙️ Виправлення (Remediation / Налаштування)
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/bin/pwpolicy -n /Local/Default -setglobalpolicy - \
/usr/bin/sudo /usr/bin/pwpolicy -n /Local/Default -setglobalpolicy \
"requiresSymbol=1"

📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType – це com.apple.mobiledevice.passwordpolicy
  2. Ключ, який потрібно включити, це minComplexChars
  3. Ключ повинен бути встановлений на
ℹ️ Примітка: Метод профілю є кращим методом встановлення політики паролів, оскільки -
setglobalpolicy у pwpolicy застаріло та, ймовірно, буде видалено в майбутньому
випуск macOS.

ℹ️ Додаткова інженерна інформація (Additional Information):

Примітка. Спільнота macOS CIS вирішила не вимагати додаткових налаштувань складності пароля (рекомендації 5.3–5.6). Через це ми залишили рекомендації щодо складності як оцінку вручну. Оскільки у великому світі macOS є велика кількість адміністраторів, які потребують цих налаштувань, ми додаємо як вказівки щодо правильного налаштування, так і зонди для перевірки CIS-CAT.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 5.2
IG 1, 2, 3
Use Unique Passwords Use unique passwords for all enterprise assets. Best practice implementation includes, at a minimum, an 8-character password for accounts using MFA and a 14-character password for accounts not using MFA.

CIS Controls V7: 4.4
IG 1, 2
Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.

5.2.6 Переконайтеся, що налаштовано складний пароль, який має містити символи у верхньому та нижньому регістрах (Вручну)

• Рівень 2 (L2)Вручну

Оригінал: 5.2.6 Ensure Complex Password Must Contain Uppercase and Lowercase Characters Is Configured (Manual)

Складні паролі містять по одному символу кожного з наступних класів: англ великі літери, англійські малі літери, західні арабські цифри та не- буквено-цифрові символи. Переконайтеся, що і великі, і малі літери є частиною політики паролів на комп'ютер.

💡 Обґрунтування безпеки:

Чим складніший пароль, тим стійкішим він буде проти людей, які його шукають несанкціонований доступ до системи.

⚠️ Вплив на робочий процес (Impact):

Політика паролів має діяти, щоб зменшити ризик виявлення служб легко скомпрометувати через словникові атаки чи інші спроби соціальної інженерії.

🔍 Аудит (перевірка налаштувань)
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

pref=$(/usr/bin/sudo /usr/bin/pwpolicy -getaccountpolicies | /usr/bin/grep \
-A1 minimumMixedCaseCharacters | /usr/bin/tail -1 | /usr/bin/cut -d'>' -f2 | \
/usr/bin/cut -d '<' -f1) && if [[ "$pref" != "" && pref -ge 1 ]]; then echo \
"true"; else echo "false"; fi
Очікуваний результат у Терміналі:
true

⚙️ Виправлення (Remediation / Налаштування)
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/bin/pwpolicy -n /Local/Default -setglobalpolicy \
"requiresMixedCase=" \
/usr/bin/sudo /usr/bin/pwpolicy -n /Local/Default -setglobalpolicy \
"requiresMixedCase=1"

ℹ️ Додаткова інженерна інформація (Additional Information):

Примітка. Спільнота macOS CIS вирішила не вимагати додаткових налаштувань складності пароля (рекомендації 5.3–5.6). Через це ми залишили рекомендації щодо складності як оцінку вручну. Оскільки у великому світі macOS є велика кількість адміністраторів, які потребують цих налаштувань, ми додаємо як вказівки щодо правильного налаштування, так і зонди для перевірки CIS-CAT.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 5.2
IG 1, 2, 3
Use Unique Passwords Use unique passwords for all enterprise assets. Best practice implementation includes, at a minimum, an 8-character password for accounts using MFA and a 14-character password for accounts not using MFA.

CIS Controls V7: 4.4
IG 1, 2
Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.

5.2.7 Переконайтеся, що вік пароля налаштовано (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 5.2.7 Ensure Password Age Is Configured (Automated)

З часом паролі можуть бути захоплені третіми особами через помилки, фішинг атаки, порушення третьою стороною або просто атаки грубої сили. Щоб зменшити ризик уразливості та зменшення стимулів до повторного використання паролів (паролі, які не є змушені періодично змінюватися, як правило, ніколи не змінюються), користувачі повинні скинути налаштування паролі періодично. Цей контроль використовує 365 днів як прийнятне значення. Деякі організації можуть бути більш-менш обмежувальними. Цей контроль в основному існує для пом’якшення проти повторного використання пароля пароля облікового запису macOS в інших сферах, які можуть бути більш схильні до компромісів. Зловмисники використовують розкриту інформацію для атаки інші рахунки.

💡 Обґрунтування безпеки:

Паролі слід періодично змінювати, щоб зменшити ризик.

⚠️ Вплив на робочий процес (Impact):

Необхідні зміни пароля призведуть до того, що деякі заблоковані комп’ютери потребуватимуть адміністратора допомогу.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте наведені нижче дії, щоб переконатися, що термін дії паролів закінчується щонайбільше через 365 днів:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Керування пристроєм
  4. Переконайтеся, що встановлений профіль має максимальний вік (дні) ≤ 365
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

pref1=$(/usr/bin/sudo /usr/bin/pwpolicy -getaccountpolicies | /usr/bin/grep \
-A1 policyAttributeExpiresEveryNDays | /usr/bin/tail -1 | /usr/bin/cut -d'>' \
-f2 | /usr/bin/cut -d '<' -f1) && pref2=$(/usr/bin/sudo /usr/bin/pwpolicy - \
/usr/bin/tail -1 | /usr/bin/cut -d'>' -f2 | /usr/bin/cut -d '<' -f1) && if [[ \
"$pref1" != "" && pref1 -le 365 ]]; then echo "true"; elif [[ "$pref2" != ""
Очікуваний результат:
getaccountpolicies | /usr/bin/grep -A1 policyAttributeDaysUntilExpiration |
&& pref2 -le 365 ]]; потім echo "true"; else echo "false"; фі
правда

⚙️ Виправлення (Remediation / Налаштування)
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/bin/pwpolicy -n /Local/Default -setglobalpolicy \
"maxMinutesUntilChangePassword=" \
/usr/bin/sudo /usr/bin/pwpolicy -n /Local/Default -setglobalpolicy \
"maxMinutesUntilChangePassword=43200"

📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType – це com.apple.mobiledevice.passwordpolicy
  2. Ключ, який потрібно включити, це maxPINAgeInDays
  3. Для ключа має бути
ℹ️ Примітка: Метод профілю є кращим методом встановлення політики паролів, оскільки -
setglobalpolicy у pwpolicy застаріло та, ймовірно, буде видалено в майбутньому
випуск macOS.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 5.3
IG 1, 2, 3
Disable Dormant Accounts Delete or disable any dormant accounts after a period of 45 days of inactivity, where supported.

CIS Controls V7: 16.9
IG 1, 2, 3
Disable Dormant Accounts Automatically disable dormant accounts after a set period of inactivity.

5.2.8 Переконайтеся, що для історії паролів встановлено принаймні 24 (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 5.2.8 Ensure Password History Is Set to at least 24 (Automated)

З часом паролі можуть бути захоплені третіми особами через помилки, фішинг атаки, порушення третьою стороною або просто атаки грубої сили. Щоб зменшити ризик уразливості та зменшення стимулів до повторного використання паролів (паролі, які не є змушені періодично змінюватися, як правило, ніколи не змінюються), користувачі повинні скинути налаштування паролі періодично. Цей елемент керування гарантує, що попередні паролі не будуть використані повторно негайно, зберігаючи історію хешів попередніх паролів. Переконайтеся, що пароль перевірка історії є частиною політики паролів на комп’ютері. Цей контроль перевіряє чи новий пароль відрізняється від попереднього 24. Остання інструкція NIST на основі дослідження експлойтів, на яке посилається в цьому розділі, деталізується, як один із найбільших Ризики — це розкриття пароля, а не злом пароля. Паролі повинні бути змінено на нове унікальне значення кожного разу, коли пароль міг бути відкритий будь-хто, крім власника рахунку. Зловмисники тримають наполегливий контроль на основі передбачуваних шаблонів зміни паролів і суттєво інших шаблонів слід використовувати у разі витоку.

💡 Обґрунтування безпеки:

Старі паролі не можна повторно використовувати.

⚠️ Вплив на робочий процес (Impact):

Необхідні зміни пароля призведуть до того, що деякі заблоковані комп’ютери потребуватимуть адміністратора допомогу.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте наступні дії, щоб переконатися, що пароль не збігається принаймні з останніми 24 паролями:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Керування пристроєм
  4. Переконайтеся, що для встановленого профілю встановлено значення Max History Kept ≥ 24
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

pref=$(/usr/bin/sudo /usr/bin/pwpolicy -getaccountpolicies | /usr/bin/grep \
-A1 policyAttributePasswordHistoryDepth | /usr/bin/tail -1 | /usr/bin/cut -
Очікуваний результат:
d'>' -f2 | /usr/bin/cut -d '<' -f1) && if [[ "$pref" != "" && pref -ge 1 ]]; потім echo "true"; else echo "false"; фі правда

⚙️ Виправлення (Remediation / Налаштування)
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo /usr/bin/pwpolicy -n /Local/Default -setglobalpolicy \
"usingHistory=" \
/usr/bin/sudo /usr/bin/pwpolicy -n /Local/Default -setglobalpolicy \
"usingHistory=24"

📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType – це com.apple.mobiledevice.passwordpolicy
  2. Ключ, який потрібно включити, це pinHistory
  3. Для ключа має бути
ℹ️ Примітка: Метод профілю є кращим методом встановлення політики паролів, оскільки -
setglobalpolicy у pwpolicy застаріло та, ймовірно, буде видалено в майбутньому
випуск macOS.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 5.2
IG 1, 2, 3
Use Unique Passwords Use unique passwords for all enterprise assets. Best practice implementation includes, at a minimum, an 8-character password for accounts using MFA and a 14-character password for accounts not using MFA.

CIS Controls V7: 4.4
IG 1, 2
Use Unique Passwords Where multi-factor authentication is not supported (such as local administrator, root, or service accounts), accounts will use passwords that are unique to that system.

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


До повного змісту CIS Apple macOS Benchmark →