← До повного змісту CIS Apple macOS 26 Tahoe Benchmark

CIS Benchmark

CIS BENCHMARK • MACOS 26 TAHOE

6.3 Безпека веб-браузера Safari (Safari Security)

Заборона автозапуску завантажених безпечних файлів, захист від фішингу, шахрайських сайтів та блокування спливаючих вікон.


Рекомендацій: 10


macOS 26 Tahoe v1.1.0

6.3.1 Переконайтеся, що автоматичне відкриття безпечних файлів у Safari вимкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 6.3.1 Ensure Automatic Opening of Safe Files in Safari Is Disabled (Automated)

Safari автоматично запустить або виконає файли, які він вважає безпечними. Це може включати інсталятори та інші файли, які виконуються в операційній системі. Safari оцінює файл безпеки за допомогою списку типів файлів, який підтримує Apple. Список файлів містить текст, формати зображень, відео та архівів, які будуть працювати в контексті ОС, а не браузер.

💡 Обґрунтування безпеки:

Хакери скористалися цим параметром за допомогою атак з приводу. Ці напади відбуваються коли користувач відвідує законний веб-сайт, який був пошкоджений. Користувач несвідомо завантажує шкідливий файл, закриваючи заражене спливаюче вікно або наводячи курсор на a шкідливий банер. Зловмисник може створити шкідливий файл, який потрапить у сейф Safari список файлів, який буде завантажено та виконано без введення користувача.

⚠️ Вплив на робочий процес (Impact):

Apple вважає багато файлів, які автоматично виконує сама операційна система, «безпечними». Багато з цих файлів можуть бути зловмисними та запускатися локально без участі користувача знаючи, що було завантажено файл певного типу.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Щоб перевірити налаштування в графічному інтерфейсі:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Керування пристроєм
  4. Переконайтеся, що для встановленого профілю AutoOpenSafeDownloads встановлено 0
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/sbin/system_profiler SPConfigurationProfileDataType | \
/usr/bin/grep AutoOpenSafeDownloads | /usr/bin/tr -d ' '
Очікуваний результат у Терміналі:
AutoOpenSafeDownloads = 0;

⚙️ Виправлення (Remediation / Налаштування)
📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType — com.apple.Safari
  2. Ключ, який потрібно включити, це AutoOpenSafeDownloads
  3. Ключ повинен бути встановлений на:
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.1
IG 1, 2, 3
Ensure Use of Only Fully Supported Browsers and Email Clients Ensure only fully supported browsers and email clients are allowed to execute in the enterprise, only using the latest version of browsers and email clients provided through the vendor.

CIS Controls V8: 9.6
IG 1, 2
Block Unnecessary File Types Block unnecessary file types attempting to enter the enterprise’s email gateway.

CIS Controls V7: 7.1
IG 1, 2, 3
Ensure Use of Only Fully Supported Browsers and Email Clients Ensure that only fully supported web browsers and email clients are allowed to execute in the organization, ideally only using the latest version of the browsers and email clients provided by the vendor.

CIS Controls V7: 7.9
IG 1, 2
Block Unnecessary File Types Block all e-mail attachments entering the organization’s e-mail gateway if the file types are unnecessary for the organization’s business.

CIS Controls V7: 8.5
IG 1, 2, 3
Configure Devices Not To Auto-run Content Configure devices to not auto-run content from removable media.

6.3.2 Журнал аудиту та видалення елементів історії (Вручну)

• Рівень 2 (L2)Вручну

Оригінал: 6.3.2 Audit History and Remove History Items (Manual)

Організаційне керування історією перегляду веб-сторінок користувача є проблемою, на яку впливає багатогранність. Організації повинні вирішити, чи керувати історією браузера та скільки історії слід підтримувати.

💡 Обґрунтування безпеки:

Існують суперечливі проблеми щодо збереження історії браузера. Необмежене зберігання: • Споживає місце на диску • Віддають перевагу групам криміналістів на дисках • Користувач може шукати старі відвідані сторінки • Викликає деякі проблеми щодо конфіденційності користувачів • Має проблеми з безпекою щодо збереження старих посилань, які можуть бути застарілими або вести до скомпрометовані сторінки або сторінки зі змінами чи невідповідним вмістом Стара історія веб-переглядача стає несвіжою, і використання або неправильне використання даних може призвести до небажані результати. Результати пошукової системи зберігаються і часто надають багато актуальніша поточна інформація, ніж старі відомості про відвідування веб-сайту.

⚠️ Вплив на робочий процес (Impact):

Якщо стара історія веб-перегляду недоступна, вона не буде доступна авторизованим або неавторизованих користувачів. Деяким користувачам може бути корисною стара і навіть застаріла інформація.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб перевірити, як довго зберігається історія в Safari:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Керування пристроєм
  4. Переконайтеся, що встановлений профіль має параметр HistoryAgeInDaysLimit, встановлений відповідно до вимог вашої організації
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/sbin/system_profiler SPConfigurationProfileDataType | \
/usr/bin/grep HistoryAgeInDaysLimit | /usr/bin/tr -d ' '
Очікуваний результат:
Результатом буде HistoryAgeInDaysLimit =, а потім ваші організації
вимоги.

⚙️ Виправлення (Remediation / Налаштування)
📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType — com.apple.Safari
  2. Ключ, який потрібно включити, це HistoryAgeInDaysLimit
  3. Ключ повинен бути встановлений на: <1,7,14,31,365,36500>
ℹ️ Примітка: Встановлення ключа plist на значення, яке не представлене графічним інтерфейсом користувача, може спричинити
питань.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.1
IG 1, 2, 3
Ensure Use of Only Fully Supported Browsers and Email Clients Ensure only fully supported browsers and email clients are allowed to execute in the enterprise, only using the latest version of browsers and email clients provided through the vendor.

CIS Controls V7: 7.1
IG 1, 2, 3
Ensure Use of Only Fully Supported Browsers and Email Clients Ensure that only fully supported web browsers and email clients are allowed to execute in the organization, ideally only using the latest version of the browsers and email clients provided by the vendor.

6.3.3 Переконайтеся, що в Safari ввімкнено попередження про відвідування шахрайського веб-сайту (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 6.3.3 Ensure Warn When Visiting A Fraudulent Website in Safari Is Enabled (Automated)

Apple використовує Google Safe Browsing API для перевірки шахрайських веб-сайтів і звітування їх користувачеві, який намагається відвідати один із них.

💡 Обґрунтування безпеки:

Зловмисники використовують створені веб-сторінки, щоб користувачі соціальних інженерів завантажували небажаний вміст. Попередження користувачів перед завантаженням вмісту покращує безпеку.

⚠️ Вплив на робочий процес (Impact):

Одного разу скомпрометовані веб-сайти, які розміщують зловмисне програмне забезпечення, можуть бути оброблені та залишатися в службі бази даних, хоча широкого звіту про цей ризик немає.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб переконатися, що попередження під час відвідування шахрайського сайту ввімкнено в Safari:

  1. Відкрийте Системні налаштування
  2. Виберіть Загальні
  3. Виберіть Керування пристроєм
  4. Переконайтеся, що для параметра WarnAboutFraudulentWebsites для встановленого профілю встановлено значення 1
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/sbin/system_profiler SPConfigurationProfileDataType | \
/usr/bin/grep WarnAboutFraudulentWebsites | /usr/bin/tr -d ' '
Очікуваний результат у Терміналі:
WarnAboutFraudulentWebsites = 1;

⚙️ Виправлення (Remediation / Налаштування)
📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType — com.apple.Safari
  2. Ключ, який потрібно включити, це WarnAboutFraudulentWebsites
  3. Ключ повинен бути встановлений на:
📋 CIS Controls & Нормативні посилання
  1. https://support.apple.com/guide/safari/security-ibrw1074/16.0/mac/12.0
CIS Controls V8: 9.1
IG 1, 2, 3
Ensure Use of Only Fully Supported Browsers and Email Clients Ensure only fully supported browsers and email clients are allowed to execute in the enterprise, only using the latest version of browsers and email clients provided through the vendor.

CIS Controls V8: 9.3
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce and update network-based URL filters to limit an enterprise asset from connecting to potentially malicious or unapproved websites. Example implementations include category-based filtering, reputation-based filtering, or through the use of block lists. Enforce filters for all enterprise assets.

CIS Controls V7: 7.1
IG 1, 2, 3
Ensure Use of Only Fully Supported Browsers and Email Clients Ensure that only fully supported web browsers and email clients are allowed to execute in the organization, ideally only using the latest version of the browsers and email clients provided by the vendor.

CIS Controls V7: 7.4
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce network-based URL filters that limit a system’s ability to connect to websites not approved by the organization. This filtering shall be enforced for each of the organization’s systems, whether they are physically at an organization’s facilities or not.

6.3.4 Переконайтеся, що ввімкнено функцію «Запобігання міжсайтовому відстеженню в Safari». (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 6.3.4 Ensure Prevent Cross-site Tracking in Safari Is Enabled (Automated)

Існує велика мережа груп, які збирають, використовують і продають дані користувачів. Використовується один метод збирати дані користувачів – це платити та надавати вміст і послуги власникам веб-сайтів. разом Завдяки такій «допомозі» власники сайтів також надсилають відвідувачам файли cookie для відстеження. У багатьох випадках допомога дозволяє власнику вмісту підтримувати сайт у належному стані. Файли cookie для відстеження дозволяють інформаційні брокери для відстеження веб-користувачів на відвідуваних сайтах. Для кращої конфіденційності та забезпечувати певний опір брокерам даних, запобігати перехресному відстеженню.

💡 Обґрунтування безпеки:

Перехресне відстеження дозволяє брокерам даних стежити за вами в Інтернеті, щоб увімкнути їх бізнес-модель продажу персональних даних. Користувачі повинні захищати свої дані, а не передати його маркетинговим компаніям.

⚠️ Вплив на робочий процес (Impact):

Маркетингові компанії не зможуть націлити вас так ефективно.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб перевірити, чи ввімкнено запобігання міжсайтовому відстеженню в Safari:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Керування пристроєм
  4. Переконайтеся, що для встановленого профілю BlockStoragePolicy встановлено значення 2
  5. Переконайтеся, що для встановленого профілю WebKitPreferences.storageBlockingPolicy встановлено значення 1
  6. Переконайтеся, що встановлений профіль також має значення 1 для WebKitStorageBlockingPolicy
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/sbin/system_profiler SPConfigurationProfileDataType | \
/usr/bin/grep BlockStoragePolicy | /usr/bin/tr -d ' ' \
/usr/bin/sudo /usr/sbin/system_profiler SPConfigurationProfileDataType | \
/usr/bin/grep WebKitPreferences.storageBlockingPolicy | /usr/bin/tr -d ' ' \
/usr/bin/sudo /usr/sbin/system_profiler SPConfigurationProfileDataType | \
/usr/bin/grep WebKitStorageBlockingPolicy | /usr/bin/tr -d ' '
Очікуваний результат:
BlockStoragePolicy = 2;
WebKitPreferences.storageBlockingPolicy = 1;
WebKitStorageBlockingPolicy = 1;

⚙️ Виправлення (Remediation / Налаштування)
📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType — com.apple.Safari
  2. Ключ, який потрібно включити, це BlockStoragePolicy
  3. Ключ повинен бути встановлений на: 2
  4. Ключ, який також потрібно включити, це WebKitPreferences.storageBlockingPolicy
  5. Ключ повинен бути встановлений на: 1
  6. Ключ, який також потрібно включити, це WebKitStorageBlockingPolicy
  7. Ключ повинен бути встановлений на: 1
📋 CIS Controls & Нормативні посилання
  1. https://support.apple.com/guide/safari/prevent-cross-site-tracking-sfri40732/mac
CIS Controls V8: 9.1
IG 1, 2, 3
Ensure Use of Only Fully Supported Browsers and Email Clients Ensure only fully supported browsers and email clients are allowed to execute in the enterprise, only using the latest version of browsers and email clients provided through the vendor.

CIS Controls V7: 7.1
IG 1, 2, 3
Ensure Use of Only Fully Supported Browsers and Email Clients Ensure that only fully supported web browsers and email clients are allowed to execute in the organization, ideally only using the latest version of the browsers and email clients provided by the vendor.

6.3.5 Аудит приховати IP-адресу в налаштуваннях Safari (Вручну)

• Рівень 2 (L2)Вручну

Оригінал: 6.3.5 Audit Hide IP Address in Safari Setting (Manual)

Загальнодоступні (маршрутизовані) IP-адреси можна використовувати для відстеження людей до їх поточного місцезнаходження, включаючи домашню та робочу адреси. Хоча для завантаження потрібна дійсна IP-адреса сайт, дійсну адресу не потрібно надавати відомим трекерам, а слід бути прихованим.

💡 Обґрунтування безпеки:

Трекери можуть співвідносити ваші відвідування через різні програми, включаючи веб-сайти та є загрозою вашій конфіденційності.

⚠️ Вплив на робочий процес (Impact):

Блокування адреси веб-сайту через iCloud Private Relay може запобігти деяким розшукам сторінок від завантаження, які використовують контроль доступу за геолокацією IP. Деякі організації використовують контроль доступу до IP-адрес (ACL). Якщо ваша організація або партнери використовують списки керування доступом для IP-адрес, веб-служби будуть недоступні, якщо Apple приховує IP-адресу.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте наступні кроки, щоб перевірити налаштування для приховування IP-адрес від трекерів у Safari:

  1. Відкрийте Safari
  2. Виберіть Safari на панелі меню
  3. Виберіть Налаштування
  4. Виберіть Конфіденційність
  5. Переконайтеся, що параметр Приховати IP-адресу від трекерів налаштовано відповідно до вимог вашої організації
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo -u  /usr/bin/defaults read \
/Users//Library/Containers/com.apple.Safari/Data/Library/Preference \
/usr/bin/sudo -u firstuser /usr/bin/defaults read \
/Users/firstuser/Library/Containers/com.apple.Safari/Data/Library/Preferences \
/com.apple.Safari WBSPrivacyProxyAvailabilityTraffic \
/usr/bin/sudo -u seconduser /usr/bin/defaults read \
/Users/seconduser/Library/Containers/com.apple.Safari/Data/Library/Preference
Очікуваний результат:
s/com.apple.Safari WBSPrivacyProxyAvailabilityTraffic
Результатом буде 33422560, якщо вимкнено приховувати IP-адресу від трекерів,
33422564, якщо ввімкнено в Trackers Only, або 33422572, якщо ввімкнено в Trackers і
Веб-сайти.
приклад:
130272
s/com.apple.Safari WBSPrivacyProxyAvailabilityTraffic
130276
У наведеному вище прикладі перший користувач вимкнув приховування IP-адреси від трекерів.
Seconduser увімкнув це.

ℹ️ Примітка: Щоб виконувати команди терміналу, терміналу потрібно надати повний доступ до диска
панель «Безпека та конфіденційність» у системних налаштуваннях.

⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Виконайте такі кроки, щоб налаштувати Safari, чи приховувати IP-адреси від трекерів:

  1. Відкрийте Safari
  2. Виберіть Safari на панелі меню
  3. Виберіть Налаштування
  4. Виберіть Конфіденційність
  5. Встановіть Hide IP address from trackers відповідно до вимог вашої організації
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для застосування налаштування:

/usr/bin/sudo -u  /usr/bin/defaults write \
/Users//Library/Containers/com.apple.Safari/Data/Library/Preference \
/usr/bin/sudo -u firstuser /usr/bin/defaults write \
/Users/firstuser/Library/Containers/com.apple.Safari/Data/Library/Preferences \
/com.apple.Safari WBSPrivacyProxyAvailabilityTraffic -int 33422560 \
/usr/bin/sudo -u seconduser /usr/bin/defaults write \
/Users/seconduser/Library/Containers/com.apple.Safari/Data/Library/Preference \
/usr/bin/sudo -u thirduser /usr/bin/defaults write \
/Users/thirduser/Library/Containers/com.apple.Safari/Data/Library/Preferences \
/com.apple.Safari WBSPrivacyProxyAvailabilityTraffic -int 33422572

ℹ️ Примітка: Щоб виконувати команди терміналу, терміналу потрібно надати повний доступ до диска
панель «Безпека та конфіденційність» у системних налаштуваннях.

📋 CIS Controls & Нормативні посилання
  1. https://support.apple.com/en-bn/guide/safari/sfri35610/16.0/mac/12.0
CIS Controls V8: 9.1
IG 1, 2, 3
Ensure Use of Only Fully Supported Browsers and Email Clients Ensure only fully supported browsers and email clients are allowed to execute in the enterprise, only using the latest version of browsers and email clients provided through the vendor.

CIS Controls V8: 9.3
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce and update network-based URL filters to limit an enterprise asset from connecting to potentially malicious or unapproved websites. Example implementations include category-based filtering, reputation-based filtering, or through the use of block lists. Enforce filters for all enterprise assets.

CIS Controls V7: 7.1
IG 1, 2, 3
Ensure Use of Only Fully Supported Browsers and Email Clients Ensure that only fully supported web browsers and email clients are allowed to execute in the organization, ideally only using the latest version of the browsers and email clients provided by the vendor.

CIS Controls V7: 7.4
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce network-based URL filters that limit a system’s ability to connect to websites not approved by the organization. This filtering shall be enforced for each of the organization’s systems, whether they are physically at an organization’s facilities or not.

6.3.6 Переконайтеся, що ввімкнено захист конфіденційності реклами в Safari (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 6.3.6 Ensure Advertising Privacy Protection in Safari Is Enabled (Automated)

Apple надає структуру, яка дозволяє рекламодавцям орієнтуватися на користувачів Apple і кінцевих користувачів з рекламою. Хоча багато людей віддають перевагу, коли бачать рекламу актуальна для них та їхніх інтересів детальна інформація, яка є інтелектуальним аналізом даних зібрані, співвіднесені та доступні для рекламодавців у сховищах часто бентежать. Ця інформація є цінною як для рекламодавців, так і для зловмисників, тому її використовували інші метадані для виявлення особи користувачів. Організації повинні керувати налаштуваннями реклами на комп’ютерах, а не дозволяти користувачам щоб налаштувати параметри. Інформація про Apple Слід обмежити відстеження реклами 10.15 і попередніми версіями.

💡 Обґрунтування безпеки:

Організації повинні керувати налаштуваннями конфіденційності користувачів на керованих пристроях, щоб узгодити їх організаційні політики та вимоги щодо захисту даних користувачів.

⚠️ Вплив на робочий процес (Impact):

Користувачі бачитимуть загальну рекламу, а не цільову рекламу. Apple попереджає, що це зменшить кількість релевантних оголошень.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб перевірити, чи ввімкнено вимірювання ефективності реклами із збереженням конфіденційності в Safari:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Керування пристроєм
  4. Переконайтеся, що встановлений профіль має WebKitPreferences.privateClickMeasurementEnabled набір 1
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/sbin/system_profiler SPConfigurationProfileDataType | \
/usr/bin/grep "WebKitPreferences.privateClickMeasurementEnabled" | \
/usr/bin/tr -d ' ' \
"WebKitPreferences.privateClickMeasurementEnabled" = 1;

⚙️ Виправлення (Remediation / Налаштування)
📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType — com.apple.Safari
  2. Ключ, який потрібно включити, це WebKitPreferences.privateClickMeasurementEnabled
  3. Ключ повинен бути встановлений на:
ℹ️ Примітка: Користувач усе ще може зняти позначку з цього параметра в графічному інтерфейсі користувача, але він залишається увімкненим у
у фоновому режимі та відображатиме його ввімкненим під час повторного запуску Safari.

📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.1
IG 1, 2, 3
Ensure Use of Only Fully Supported Browsers and Email Clients Ensure only fully supported browsers and email clients are allowed to execute in the enterprise, only using the latest version of browsers and email clients provided through the vendor.

CIS Controls V7: 7.1
IG 1, 2, 3
Ensure Use of Only Fully Supported Browsers and Email Clients Ensure that only fully supported web browsers and email clients are allowed to execute in the organization, ideally only using the latest version of the browsers and email clients provided by the vendor.

6.3.7 Переконайтеся, що функцію «Показати повну адресу веб-сайту» в Safari ввімкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 6.3.7 Ensure Show Full Website Address in Safari Is Enabled (Automated)

Зловмисники використовують веб-сайти зі зловмисним або небажаним вмістом, щоб використовувати користувача або комп’ютер. Частиною ланцюжка атак є спонукання когось завантажити їхній вміст, а не бажаний вміст. Щоб зменшити ризик взаємодії з небажаним вмістом, у Safari завжди має відображатися повна адреса веб-сайту.

💡 Обґрунтування безпеки:

Повна видимість того, який сайт відвідується, важлива для конфіденційності та безпеки.

⚠️ Вплив на робочий процес (Impact):

Багато URL-адрес дуже довгі та складні, особливо для внутрішнього керування вмістом системи. Деякі повні URL-адреси в полі розумного пошуку може бути важко проаналізувати.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте наступні кроки, щоб переконатися, що відображення повних адрес веб-сайтів увімкнено в Safari:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Керування пристроєм
  4. Переконайтеся, що для встановленого профілю ShowFullURLInSmartSearchField встановлено значення 1
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/sbin/system_profiler SPConfigurationProfileDataType | \
/usr/bin/grep ShowFullURLInSmartSearchField | /usr/bin/tr -d ' '
Очікуваний результат у Терміналі:
ShowFullURLInSmartSearchField = 1;

⚙️ Виправлення (Remediation / Налаштування)
📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType — com.apple.Safari
  2. Ключ, який потрібно включити, це ShowFullURLInSmartSearchField
  3. Ключ повинен бути встановлений на:
📋 CIS Controls & Нормативні посилання
  1. https://apple.stackexchange.com/questions/371473/always-show-full-url-in-safari-address-bar
CIS Controls V8: 9.1
IG 1, 2, 3
Ensure Use of Only Fully Supported Browsers and Email Clients Ensure only fully supported browsers and email clients are allowed to execute in the enterprise, only using the latest version of browsers and email clients provided through the vendor.

CIS Controls V7: 7.1
IG 1, 2, 3
Ensure Use of Only Fully Supported Browsers and Email Clients Ensure that only fully supported web browsers and email clients are allowed to execute in the organization, ideally only using the latest version of the browsers and email clients provided by the vendor.

6.3.8 Аудит автозаповнення (Вручну)

• Рівень 2 (L2)Вручну

Оригінал: 6.3.8 Audit AutoFill (Manual)

Можливості автозаповнення у веб-браузері — це функція, яка дозволяє користувачеві уникати повторного введення та сама інформація користувача в будь-якій формі, з якою стикається користувач. Частина сучасного Інтернет складається з постачальників, які встановлюють, здавалося б, тісні стосунки з якомога більшою кількістю користувачів якомога продавати їм, видобувати з них дані та продавати їхні дані третім агрегатори партійних даних. Автозаповнення може бути способом, за допомогою якого користувач надсилає занадто багато інформацію з ненадійними власниками веб-сайтів. Багато спеціалістів із безпеки радять відключити Автозаповнення, щоб зменшити ризик надмірного обміну. Здається, ці професіонали безпеки вважають, що ручне введення даних краще, оскільки заповнення необхідних форм є частим єдиний спосіб підключення до необхідних даних. Найкращий спосіб безпеки – забезпечити що дані, готові до автоматичного заповнення, є прийнятним ризиком для сайтів, з якими взаємодіє користувач. Користувачі повинні переглянути, якими даними вони ризикують поділитися.

💡 Обґрунтування безпеки:

Аудит і прийняття інформації, якою користувач бажає поділитися перед завантаженням бланка форма є найкращим способом управління ризиком.

⚠️ Вплив на робочий процес (Impact):

Користувач може передавати інформацію, оскільки довіряє сайту більше, ніж потрібно.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Щоб перевірити автозаповнення в Safari, виконайте такі дії:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Керування пристроєм
  4. Переконайтеся, що встановлений профіль має safariAllowAutoFill, встановлений відповідно до вимог вашої організації
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/bin/osascript -l JavaScript << EOS
$.NSUserDefaults.alloc.initWithSuiteName('com.apple.applicationaccess').objectForKey('safariAllowAutoFill').js
EOS
Очікуваний результат у Терміналі:
false

⚙️ Виправлення (Remediation / Налаштування)
📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType – це com.apple.applicationaccess
  2. Ключ, який потрібно включити, це safariAllowAutoFill
  3. Ключ повинен бути встановлений на <або/>
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.1
IG 1, 2, 3
Ensure Use of Only Fully Supported Browsers and Email Clients Ensure only fully supported browsers and email clients are allowed to execute in the enterprise, only using the latest version of browsers and email clients provided through the vendor.

CIS Controls V7: 7.1
IG 1, 2, 3
Ensure Use of Only Fully Supported Browsers and Email Clients Ensure that only fully supported web browsers and email clients are allowed to execute in the organization, ideally only using the latest version of the browsers and email clients provided by the vendor.

6.3.9 Аудит спливаючих вікон (Вручну)

• Рівень 1 (L1)Вручну

Оригінал: 6.3.9 Audit Pop-up Windows (Manual)

Спливаючі вікна браузера вже давно є однією з найбільш дратівливих програм механізми небажаного веб-контенту. Контент може бути небажаним, в тому числі Небезпечно для роботи або зловмисний вміст, який покладається на взаємодію користувача зі спливаючим вікном. Safari має вбудовану можливість відключати спливаючі вікна, які слід увімкнути.

💡 Обґрунтування безпеки:

Спливаючі вікна майже завжди є небажаним вмістом і їх слід блокувати.

⚠️ Вплив на робочий процес (Impact):

Застарілі системи доставки веб-вмісту все ще можуть покладатися на спливаючі вікна у внутрішній мережі портали. Конкретні домени можна налаштувати як дозволені, якщо це абсолютно необхідно. Інтернет Розробники повинні оновлювати вміст, щоб зменшити ризик у середовищі, щоб не було спливаючих вікон дозволені.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб переконатися, що параметри спливаючих вікон у Safari:

  1. Відкрийте Safari
  2. Виберіть Safari на панелі меню
  3. Виберіть Налаштування
  4. Виберіть Веб-сайти
  5. Виберіть «Спливаючі вікна».
  6. Перевірте веб-сайти, перелічені в Дозволити спливаючі вікна на веб-сайті нижче: дозволені відповідно до вимог вашої організації
  7. Переконайтеся, що під час відвідування інших веб-сайтів встановлено параметр Блокувати та сповіщати або Блокувати
⚙️ Виправлення (Remediation / Налаштування)
🖥️ Графічний метод (GUI)

Щоб налаштувати спливаючі вікна в Safari, виконайте такі дії:

  1. Відкрийте Safari
  2. Виберіть Safari на панелі меню
  3. Виберіть Налаштування
  4. Виберіть Веб-сайти
  5. Виберіть «Спливаючі вікна».
  6. Установіть для всіх веб-сайтів значення Блокувати та сповіщати або Блокувати, перелічені в Дозволити спливаючі вікна на веб-сайті нижче: або виберіть Видалити, щоб видалити веб-сайт
  7. Установіть для параметра Під час відвідування інших веб-сайтів значення Блокувати та сповіщати або Блокувати
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.1
IG 1, 2, 3
Ensure Use of Only Fully Supported Browsers and Email Clients Ensure only fully supported browsers and email clients are allowed to execute in the enterprise, only using the latest version of browsers and email clients provided through the vendor.

CIS Controls V7: 7.1
IG 1, 2, 3
Ensure Use of Only Fully Supported Browsers and Email Clients Ensure that only fully supported web browsers and email clients are allowed to execute in the organization, ideally only using the latest version of the browsers and email clients provided by the vendor.

6.3.10 Переконайтеся, що параметр Показати рядок стану ввімкнено (Автоматизовано)

• Рівень 1 (L1)Автоматизовано

Оригінал: 6.3.10 Ensure Show Status Bar Is Enabled (Automated)

Рядок стану в Safari показує повну URL-адресу будь-якого посилання при наведенні. Це захищає користувача від відвідування сайтів, де домен було приховано, дозволивши користувачеві переглянути чи вказує посилання на неочікуване місце.

💡 Обґрунтування безпеки:

Відображення рядка стану дозволяє користувачеві переглянути повну URL-адресу гіперпосилань.

⚠️ Вплив на робочий процес (Impact):

Рядок стану видно лише у самому низу веб-сторінки, якщо є гіперпосилання зависла над. Помітного впливу бути не повинно.

🔍 Аудит (перевірка налаштувань)
🖥️ Графічний метод (GUI)

Виконайте такі дії, щоб переконатися, що рядок стану в Safari увімкнено:

  1. Відкрийте налаштування системи
  2. Виберіть Загальні
  3. Виберіть Керування пристроєм
  4. Переконайтеся, що встановлений профіль має параметр ShowOverlayStatusBar на 1
💻 Метод терміналу (CLI)

Виконайте команду в Терміналі для перевірки:

/usr/bin/sudo /usr/sbin/system_profiler SPConfigurationProfileDataType | \
/usr/bin/grep ShowOverlayStatusBar | /usr/bin/tr -d ' '
Очікуваний результат у Терміналі:
ShowOverlayStatusBar = 1;

⚙️ Виправлення (Remediation / Налаштування)
📱 Метод профілю конфігурації (MDM Profile)

Створіть або оновіть профіль MDM із такими значеннями:

  1. Рядок PayloadType — com.apple.Safari
  2. Ключ, який потрібно включити, це ShowOverlayStatusBar
  3. Ключ повинен бути встановлений на:
📋 CIS Controls & Нормативні посилання
CIS Controls V8: 9.1
IG 1, 2, 3
Ensure Use of Only Fully Supported Browsers and Email Clients Ensure only fully supported browsers and email clients are allowed to execute in the enterprise, only using the latest version of browsers and email clients provided through the vendor.

CIS Controls V7: 7.1
IG 1, 2, 3
Ensure Use of Only Fully Supported Browsers and Email Clients Ensure that only fully supported web browsers and email clients are allowed to execute in the organization, ideally only using the latest version of the browsers and email clients provided by the vendor.

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


До повного змісту CIS Apple macOS Benchmark →