← До повного змісту CIS Google Chrome Benchmark

CIS Benchmark

CIS Benchmark • Google Chrome v3.0.0

3. Конфіденційність та захист даних

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Конфіденційність та захист даних».


Рекомендацій: 17


Google Chrome v3.0.0

3.1.1 Переконайтеся, що для параметра «Налаштування файлів cookie за замовчуванням» встановлено значення «Увімкнено: зберігати файли cookie протягом сеансу» (Автоматизовано)

Level 2Автоматизовано

Оригінал: Ensure ‘Default cookies setting’ is set to ‘Enabled: Keep cookies for the duration of the session’ (Automated)

Якщо залишити налаштування _RestoreOnStartup _unset, у результаті буде використано _DefaultCookiesSetting _для всіх сайтів, якщо його встановлено. Якщо _DefaultCookiesSetting _не встановлено, застосовуються персональні налаштування користувача. • Вимкнено (0, застосовуються особисті налаштування користувача) • Дозволити всім сайтам встановлювати локальні дані (1) • Не дозволяти жодному сайту встановлювати локальні дані (2) • Зберігати файли cookie протягом сеансу (4) Рекомендований стан для цього параметра: увімкнено зі значенням Зберігати файли cookie для тривалість сеансу (4) ПРИМІТКА. Якщо параметр RestoreOnStartup налаштовано на відновлення URL-адрес із попередніх сеансів це налаштування не виконуватиметься, а файли cookie зберігатимуться постійно для цих сайтів. Прикладом таких URL-адрес є SSO або інтранет-сайти.

💡 Обґрунтування безпеки:

Постійно збережені файли cookie можуть використовуватися зі зловмисними намірами.

⚠️ Вплив на робочий процес (Impact):

Якщо цей параметр увімкнено, файли cookie буде видалено після закриття сеансу.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 4:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:DefaultCookiesSetting

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача значення Enabled: Зберігати файли cookie протягом сеансу:

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Content Settings\Default cookies setting

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#DefaultCookiesSetting
  2. https://chromeenterprise.google/policies/#RestoreOnStartup
  3. https://chromeenterprise.google/policies/#CookiesSessionOnlyForUrls

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 191

3.1.2 Переконайтеся, що для параметра «Налаштування геолокації за замовчуванням» встановлено значення «Увімкнено: не дозволяти жодному сайту відстежувати фізичне місцезнаходження користувачів» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Default geolocation setting’ is set to ‘Enabled: Do not allow any site to track the users’ physical location’ (Automated)

Google Chrome підтримує відстеження фізичного місцезнаходження користувача за допомогою GPS, даних про поблизу точок доступу Wi-Fi або сайтів/веж стільникового зв’язку (навіть якщо ви не використовуєте їх) і IP-адресу вашого комп’ютера. • Вимкнено (0, те саме, що 3) • Дозволити сайтам відстежувати фізичне місцезнаходження користувачів (1) • Не дозволяти жодному сайту відстежувати фізичне місцезнаходження користувачів (2) • Запитувати щоразу, коли сайт хоче відстежувати фізичне місцезнаходження користувачів (3) Рекомендований стан для цього параметра: Увімкнено зі значенням Не дозволяти жодному сайту відстежувати фізичне місцезнаходження користувачів (2)

💡 Обґрунтування безпеки:

З точки зору конфіденційності небажано подавати показники щодо розташування пристрою, оскільки обробку цієї інформації неможливо визначити. Крім того, це може призвести до витоку інформації про мережеву інфраструктуру навколо пристрій.

⚠️ Вплив на робочий процес (Impact):

Якщо це налаштування вимкнено, Chrome більше не надсилатиме дані про доступ до Wi-Fi поблизу точки або сайти/вежі стільникового сигналу (навіть якщо ви ними не користуєтеся), і ваші IP-адресу комп’ютера в Google.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 2:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:DefaultGeolocationSetting

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled: Не дозволяти жодному сайту відстежувати фізичне розташування користувачів:

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Content Settings\Default geolocation setting

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#DefaultGeolocationSetting
  2. https://www.w3.org/2010/api-privacy-ws/papers/privacy-ws-24.pdf

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 193 3.2 Google Cast

Page 194

3.2.1 Переконайтеся, що для параметра «Увімкнути Google Cast» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable Google Cast’ is set to ‘Disabled’ (Automated)

Google Cast може надсилати вміст вкладок, сайтів або робочого столу з веб-переглядача на a віддалений дисплей і звукова система. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Google Cast може надсилати вміст вкладок, сайтів або робочого столу з веб-переглядача на ненадійні пристрої в сегменті локальної мережі.

⚠️ Вплив на робочий процес (Impact):

Якщо це вимкнено, Google Cast не активується, а піктограма панелі інструментів не відображається.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:EnableMediaRouter

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Google Cast\Enable Google Cast

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#EnableMediaRouter

Page 195

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

Page 196

3.3 Переконайтеся, що для параметра «Дозволити веб-сайтам запитувати доступні методи оплати» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Allow websites to query for available payment methods’ is set to ‘Disabled’ (Automated)

Цей параметр дає змогу вказати, чи може веб-сайт перевіряти, чи має користувач способи оплати збережено. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Збереження платіжної інформації в Google Chrome може призвести до зберігання конфіденційних даних витік і використаний для нелегальних цілей.

⚠️ Вплив на робочий процес (Impact):

Веб-сайти не зможуть запитувати, чи є платіжна інформація в Google Chrome доступний.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:PaymentMethodQueryEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Allow websites to query for available payment methods

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#PaymentMethodQueryEnabled

Page 197

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 198

3.4 Переконайтеся, що для параметра «Блокувати сторонні файли cookie» встановлено значення «Увімкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Block third party cookies’ is set to ‘Enabled’ (Automated)

Chrome дозволяє встановлювати файли cookie елементами веб-сторінки, які не належать до домену в адресний рядок користувача. Увімкнення цієї функції запобігає встановленню сторонніх файлів cookie. Рекомендований стан для цього параметра: увімкнено (1)

💡 Обґрунтування безпеки:

Блокування сторонніх файлів cookie може допомогти захистити конфіденційність користувача, усунувши ряд файлів cookie файли cookie для відстеження веб-сайту.

⚠️ Вплив на робочий процес (Impact):

Увімкнення цього параметра запобігає встановленню файлів cookie елементами веб-сторінки, які не є такими з домену, який знаходиться в адресному рядку браузера. ПРИМІТКА. Для багатьох компаній потрібні сторонні файли cookie та захист від відстеження важливі веб-сайти, зокрема веб-програми Microsoft 365 (Office 365), SalesForce і SAP Analytics Cloud. Якщо ці або подібні послуги потрібні організації, то це налаштування можна вимкнути.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 1:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:BlockThirdPartyCookies

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled:

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Block third party cookies

Значення за замовчуванням: Не встановлено (Те саме, що Вимкнено, але користувач може змінити) Сторінка 199
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#BlockThirdPartyCookies

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 200

3.5 Переконайтеся, що для параметра «Параметри входу у веб-переглядачі» встановлено значення «Увімкнено: вхід у веб-переглядач вимкнено» (Автоматизовано)

Level 2Автоматизовано

Оригінал: Ensure ‘Browser sign in settings’ is set to ‘Enabled: Disabled browser sign-in’ (Automated)

Google Chrome пропонує увійти за допомогою вашого облікового запису Google і використовувати пов’язані з обліковим записом такі служби, як синхронізація Chrome. У Google Chrome можна ввійти за допомогою Google обліковий запис для використання таких послуг, як синхронізація, а також для конфігурації та керування браузером. • Вимкнути вхід у браузер (0) • Увімкнути вхід у браузер (1) • Змусити користувачів входити в систему, щоб використовувати браузер (2) Рекомендований стан для цього параметра: Увімкнено зі значенням Вимкнути браузер увійти (0) ПРИМІТКА. Якщо організація є клієнтом Google Workspace Enterprise, вона захоче це зробити залиште це налаштування увімкненим, щоб користувачі могли входити за допомогою облікових записів Google.

💡 Обґрунтування безпеки:

Оскільки зовнішні облікові записи некеровані та потенційно використовуються для доступу до кількох приватних комп’ютерні системи та багато різних веб-сайтів, підключення облікових записів через пози входу ризик безпеки для компанії. Це заважає корпоративному управлінню механізми, а також допускає небажаний витік корпоративної інформації та можливі поєднання з приватними даними, не пов’язаними з компанією.

⚠️ Вплив на робочий процес (Impact):

Якщо цей параметр налаштовано, користувач не зможе ввійти в браузер і використовувати Google служби на основі облікового запису, як-от синхронізація Chrome.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:BrowserSignin

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача значення Enabled: Вимкнути вхід у браузері

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Browser sign in settings

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено: увімкнути вхід у веб-переглядачі, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#BrowserSignin

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 202

3.6 Переконайтеся, що для параметра «Контролювати, як Chrome Cleanup надсилає дані Google» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Control how Chrome Cleanup reports data to Google’ is set to ‘Disabled’ (Automated)

Chrome пропонує функцію очищення для виявлення небажаного програмного забезпечення. Якщо це налаштування Якщо ввімкнено, результати очищення можуть надсилатися Google (залежно від налаштувань SafeBrowsingExtendedReportingEnabled), щоб допомогти з майбутнім небажаним програмним забезпеченням виявлення. Ці результати міститиме метадані файлів, автоматично встановлені розширення, і ключі реєстру. Якщо параметр вимкнено, результати очищення не надсилатимуться Google незалежно від значення SafeBrowsingExtendedReportingEnabled. Рекомендований стан для цього параметра: вимкнено (0) ПРИМІТКА. Цей параметр недоступний для екземплярів Windows, які не приєднані до a Домен Microsoft® Active Directory®.

💡 Обґрунтування безпеки:

Анонімні дані про збої/використання можна використовувати для ідентифікації людей, компаній і інформацію, яку можна вважати екс-фільтрацією даних із систем компанії.

⚠️ Вплив на робочий процес (Impact):

Програма очищення Chrome виявила небажане програмне забезпечення та більше не повідомлятиме про метадані сканування в Google.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:ChromeCleanupReportingEnab led

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Control how Chrome Cleanup reports data to Google

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#MetricsReportingEnabled
  2. https://www.google.com/chrome/privacy/whitepaper.html
  3. https://chromeenterprise.google/policies/#SafeBrowsingExtendedReportingEnabl
  4. ed

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 204

3.7 Переконайтеся, що для параметра «Вимкнути синхронізацію даних із Google» встановлено значення «Увімкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Disable synchronization of data with Google’ is set to ‘Enabled’ (Automated)

Google Chrome може синхронізувати дані браузера за допомогою синхронізації, розміщеної в Google послуги. Приклади синхронізованих даних включають, але не обмежуються ними, історію та вибране. Рекомендований стан для цього параметра: увімкнено (1) ПРИМІТКА: якщо ваша організація дозволяє синхронізацію даних із Google, то вимкніть це налаштування синхронізує збережені паролі з Google.

💡 Обґрунтування безпеки:

Дані веб-переглядача не повинні синхронізуватися з Google Cloud.

⚠️ Вплив на робочий процес (Impact):

Якщо це налаштування ввімкнено, дані веб-переглядача більше не синхронізуватимуться з Google пристроїв/платформ, що дозволяє користувачам продовжити з того місця, де вони зупинилися.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 1:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:SyncDisabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled:

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Disable synchronization of data with Google

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#SyncDisabled

Page 205

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 206

3.8 Переконайтеся, що для параметра «Увімкнути альтернативні сторінки помилок» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable alternate error pages’ is set to ‘Disabled’ (Automated)

Google Chrome пропонує показати пропозиції для сторінки, яку ви намагалися відкрити він не може підключитися до веб-адреси, наприклад «Сторінка не знайдена». Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Використання навігаційних пропозицій може призвести до витоку інформації про призначений веб-сайт відвідав.

⚠️ Вплив на робочий процес (Impact):

Якщо це налаштування вимкнено, Chrome більше не використовуватиме веб-службу для вирішення проблеми помилки навігації.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:AlternateErrorPagesEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Enable alternate error pages

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#AlternateErrorPagesEnabled

Page 207

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 208

3.9 Переконайтеся, що для параметра «Увімкнути видалення історії веб-переглядача та завантажень» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable deleting browser and download history’ is set to ‘Disabled’ (Automated)

Google Chrome може видаляти веб-переглядач і історію завантажень за допомогою чіткого перегляду меню даних. Рекомендований стан для цього параметра: вимкнено (0) ПРИМІТКА. Навіть якщо цей параметр вимкнено, журнал веб-перегляду та завантажень – ні гарантовано буде збережено. Користувачі можуть безпосередньо редагувати або видаляти файли бази даних історії, і сам веб-переглядач може видалити (залежно від терміну дії) або заархівувати будь-який або всі елементи історії в будь-який час

💡 Обґрунтування безпеки:

Якщо користувачі можуть видаляти веб-сайти, які вони відвідали, або файли, які вони завантажили, це буде так їм легше приховати докази того, що вони відвідували несанкціоновані або шкідливі сайти.

⚠️ Вплив на робочий процес (Impact):

Якщо цей параметр вимкнено, історію веб-перегляду та завантажень не можна видалити за допомогою очистити меню даних перегляду.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:AllowDeletingBrowserHistor y

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Enable deleting browser and download history

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити) Сторінка 209
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#AllowDeletingBrowserHistory

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 210

3.10 Переконайтеся, що для параметра «Увімкнути передбачення дій мережі» встановлено значення «Увімкнено: не передбачати дії під час будь-якого мережевого підключення» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable predict network actions` is set to ‘Enabled: Do not predict actions on any network connection’ (Automated)

Google Chrome оснащено функцією передбачення мережі, яка забезпечує DNS попередня вибірка, попереднє підключення TCP і SSL і попереднє відтворення веб-сторінок. • Прогнозуйте дії мережі на будь-якому мережевому підключенні (0) або (1) • Не передбачати дії мережі на будь-якому мережевому підключенні (2) Рекомендований стан для цього параметра: увімкнено зі значенням Не передбачати мережеві дії на будь-якому мережевому підключенні (2)

💡 Обґрунтування безпеки:

Відкриття підключень до ресурсів, які можуть не використовуватися, може призвести до непотрібних з’єднання збільшують поверхню атаки та в деяких випадках можуть призвести до відкриття підключення до ресурсів, які користувач не збирався використовувати.

⚠️ Вплив на робочий процес (Impact):

Користувачам не будуть представлені прогнози веб-сторінок.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 2:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:NetworkPredictionOptions

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача значення Enabled: Не передбачати дії мережі для будь-якого мережевого підключення:

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Enable network prediction

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено зі значенням «Передбачати дії мережі під час будь-якого мережевого підключення») Сторінка 211
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#NetworkPredictionOptions

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 212

3.11 Переконайтеся, що для параметра «Увімкнути або вимкнути веб-службу перевірки правопису» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable or disable spell checking web service’ is set to ‘Disabled’ (Automated)

Google Chrome може використовувати веб-службу Google для вирішення орфографічних помилок. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Введена інформація може потрапити до веб-служби перевірки орфографії Google.

⚠️ Вплив на робочий процес (Impact):

Після вимкнення цієї функції Chrome більше не надсилає весь вміст текстових полів Google, коли ви їх вводите. Перевірку орфографії все ще можна виконати за допомогою завантаженого словник. Цей параметр контролює лише використання онлайн-сервісу.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:SpellCheckServiceEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Enable or disable spell checking web service

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#SpellCheckServiceEnabled

Page 213

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 214

3.12 Переконайтеся, що для параметра «Увімкнути звітування про використання та дані, пов’язані з аваріями» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable reporting of usage and crash-related data’ is set to ‘Disabled’ (Automated)

Цей параметр керує анонімним звітуванням про використання та дані про збої Від Google Chrome до Google. Рекомендований стан для цього параметра: вимкнено (0) ПРИМІТКА. Цей параметр недоступний для екземплярів Windows, які не приєднані до a Домен Microsoft® Active Directory®.

💡 Обґрунтування безпеки:

Анонімні дані про збої/використання можна використовувати для ідентифікації людей, компаній і інформацію, яку можна вважати екс-фільтрацією даних із систем компанії.

⚠️ Вплив на робочий процес (Impact):

Якщо цей параметр вимкнено, ця інформація не надсилається в Google.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:MetricsReportingEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Enable reporting of usage and crash-related data

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#MetricsReportingEnabled

Page 215

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 216

3.13 Переконайтеся, що для параметра «Увімкнути безпечний перегляд для надійних джерел» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable Safe Browsing for trusted sources’ is set to ‘Disabled’ (Automated)

Google Chrome можна налаштувати, щоб дозволити завантаження без перевірки безпечного перегляду коли запитуваний файл надходить із надійного джерела. Довірені джерела можна визначити за допомогою рекомендація «Налаштуйте список доменів, на яких безпечний перегляд не запускатиметься попередження’. Рекомендований стан для цього параметра: вимкнено (0) ПРИМІТКА. У Microsoft® Windows® ця функція доступна лише в тих випадках, коли приєднано до домену Microsoft® Active Directory®, що працює під керуванням Windows 10 Pro, або зареєстровано в Chrome Browser Cloud Management.

💡 Обґрунтування безпеки:

Інформація, яку запитують із надійних джерел, не надсилається до безпечного перегляду Google серверів.

⚠️ Вплив на робочий процес (Impact):

Якщо цей параметр вимкнено, файли, завантажені з ресурсів внутрішньої мережі, не перевірятимуться Сервісами Google.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:SafeBrowsingForTrustedSour cesEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Enable Safe Browsing for trusted sources

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити) Сторінка 217
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#SafeBrowsingForTrustedSourcesEnabl
  2. ed

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 218

3.14 Переконайтеся, що для параметра «Увімкнути пропозиції пошуку» встановлено значення «Вимкнено» (Автоматизовано)

Level 2Автоматизовано

Оригінал: Ensure ‘Enable search suggestions’ is set to ‘Disabled’ (Automated)

Google Chrome пропонує пропозиції в універсальному вікні пошуку Google Chrome, коли користувач вводить текст. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Використання пропозицій пошуку може призвести до витоку інформації, щойно її буде введено/вставлено в універсальне вікно пошуку, напр. паролі, внутрішні веб-сервіси, структури папок тощо.

⚠️ Вплив на робочий процес (Impact):

Користувач повинен активно надіслати пошуковий запит, використовуючи кнопку пошуку або натиснувши “Введіть”.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:SearchSuggestEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Enable search suggestions

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#SearchSuggestEnabled

Page 219

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 220

3.15 Переконайтеся, що для параметра «Увімкнути переклад» встановлено значення «Вимкнено» (Автоматизовано)

Level 2Автоматизовано

Оригінал: Ensure ‘Enable Translate’ is set to ‘Disabled’ (Automated)

Це налаштування вмикає служби перекладу Google у Google Chrome. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Вміст внутрішніх веб-сторінок може просочуватися до служби перекладу Google.

⚠️ Вплив на робочий процес (Impact):

Після вимкнення цієї функції вміст веб-сторінки більше не надсилається в Google для переклад.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:TranslateEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Enable Translate

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#TranslateEnabled

Page 221

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 222

3.16 Переконайтеся, що для параметра «Увімкнути збір анонімних даних за допомогою URL-адреси» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable URL-keyed anonymized data collection’ is set to ‘Disabled’ (Automated)

Google Chrome пропонує функцію збору анонімних даних за допомогою URL-ключа. Це посилає URL-адреси сторінок, які користувач відвідує в Google для оптимізації своїх послуг. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Збір анонімних даних буде вимкнено, оскільки незрозуміло, яка інформація точно надсилається в Google.

⚠️ Вплив на робочий процес (Impact):

Анонімні дані не надсилатимуться в Google для оптимізації її послуг

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:UrlKeyedAnonymizedDataColl ectionEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Administrative Templates\Google\Google Chrome\Enable URL-keyed anonymized data collection

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#UrlKeyedAnonymizedDataCollectionEn
  2. abled

Page 223

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 3.5
IG 1, 2, 3
Deploy Automated Software Patch Management Tools Deploy automated software update tools in order to ensure that third-party software on all systems is running the most recent security updates provided by the software vendor.

Page 224 4 Data Loss Prevention This section contains recommendations to help prevent and protect against unwanted loss of data. Organizations should review these settings and any potential impacts to ensure they make sense within the environment, since they restrict some browser functionality.

Page 225 4.1 Allow or deny screen capture

Page 226

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


До повного змісту CIS Google Chrome Benchmark →