← До повного змісту CIS Google Chrome Benchmark

CIS Benchmark

CIS Benchmark • Google Chrome v3.0.0

1. Базові обов’язкові параметри безпеки

Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Базові обов’язкові параметри безпеки».


Рекомендацій: 28


Google Chrome v3.0.0

1.1.1 Переконайтеся, що для параметра «Запити HTTP-автентифікації між джерелами» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Cross-origin HTTP Authentication prompts’ is set to ‘Disabled’ (Automated)

Цей параметр визначає, чи може субконтент третьої сторони відкривати базову автентифікацію HTTP і зазвичай вимкнено. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Цей параметр зазвичай вимкнено, щоб допомогти боротися зі спробами фішингу.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:AllowCrossOriginAuthPrompt

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\HTTP authentication\Cross-origin HTTP Authentication prompts

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#AllowCrossOriginAuthPrompt

Page 19

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 20 1.2 Safe Browsing settings

Page 21

1.2.1 Переконайтеся, що для параметра «Налаштувати список доменів, на яких Безпечний перегляд не запускатиме попередження» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Configure the list of domains on which Safe Browsing will not trigger warnings’ is set to ‘Disabled’ (Automated)

Налаштування визначає функціональність безпечного перегляду. • Вимкнено (0): захист безпечного перегляду поширюється на всі ресурси • Увімкнено (1), зі списком із 1 або кількох сайтів: означає, що безпечний перегляд довіряє визначені вами домени. Він не перевірятиме їх на наявність небезпечних ресурсів, таких як фішинг, зловмисне або небажане програмне забезпечення. Рекомендований стан для цього параметра: вимкнено (0) ПРИМІТКА. Служба захисту завантажень Safe Browsing не перевіряє завантаження, розміщені на ці домени, і його служба захисту пароля не перевірятиме повторне використання пароля.

💡 Обґрунтування безпеки:

Google Safe Browsing допоможе захистити користувачів від різних зловмисників і шахраїв сайтів або завантажувати небезпечні файли.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка. ПРИМІТКА. Єдиним реальним впливом є можливе роздратування користувачів, якщо вони йдуть до законного сайт, який помилково вважається шахрайським (рідкісне явище). З цим можна впоратися додавання сайту до білого списку та/або сповіщення Google про помилковий висновок.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей шлях реєстру не існуватиме, якщо для нього встановлено значення Disabled:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\SafeBrowsingAllowlistDomai ns\

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Safe Browsing settings\Configure the list of domains on which Safe Browsing will not trigger warnings

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#SafeBrowsingAllowlistDomains
  2. https://safebrowsing.google.com/

CIS Controls V8: 9.3
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce and update network-based URL filters to limit an enterprise asset from connecting to potentially malicious or unapproved websites. Example implementations include category-based filtering, reputation-based filtering, or through the use of block lists. Enforce filters for all enterprise assets.

CIS Controls V7: 7.4
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce network-based URL filters that limit a system’s ability to connect to websites not approved by the organization. This filtering shall be enforced for each of the organization’s systems, whether they are physically at an organization’s facilities or not.

Page 23

1.2.2 Переконайтеся, що для параметра «Рівень захисту безпечного перегляду» встановлено значення «Увімкнено: безпечний перегляд активний у стандартному режимі». або вище (Вручну)

Level 1Вручну

Оригінал: Ensure ‘Safe Browsing Protection Level’ is set to ‘Enabled: Safe Browsing is active in the standard mode.’ or higher (Manual)

Контролюйте, чи ввімкнено функцію безпечного перегляду Google Chrome і ввімкнено режим якою вона працює. Якщо ви встановите цей параметр як обов’язковий, користувачі не зможуть змінити або замінити налаштування безпечного перегляду в Google Chrome. Якщо це налаштування не встановлено, Безпечний перегляд працюватиме в стандартному режимі захисту, але користувачі можуть змінити це налаштування. • Немає захисту (0): Безпечний перегляд ніколи не активний. • Стандартний захист (1): Безпечний перегляд активний у стандартному режимі. • Покращений захист (2): Безпечний перегляд активний у розширеному режимі. Це режим забезпечує кращу безпеку, але вимагає обміну більшою інформацією про перегляд з Google. Рекомендований стан для цього параметра: безпечний перегляд активний у стандарті режим. (1) або вище

💡 Обґрунтування безпеки:

Google Safe Browsing допоможе захистити користувачів від різних зловмисників і шахраїв сайтів або від завантаження небезпечних файлів. ПРИМІТКА. Google рекомендує використовувати розширений режим безпечного перегляду (2). Включення Розширений безпечний перегляд значно посилить захист від небезпечних веб-сайтів і завантажень, але надсилатиме більше даних Google. Для отримання додаткової інформації зверніться до пунктів у розділі «Посилання» нижче.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка (стандартний захист).

Сторінка 24

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 1 або 2:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:SafeBrowsingProtectionLeve l

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача значення Enabled: Безпечний перегляд активний у стандартному режимі.:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Safe Browsing settings\Safe Browsing Protection Level

Значення за замовчуванням: Не встановлено (те саме, що стандартний захист, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#SafeBrowsingProtectionLevel
  2. https://security.googleblog.com/2020/05/enhanced-safe-browsing-protection-
  3. now.html
  4. https://security.googleblog.com/2021/06/new-protections-for-enhanced-safe.html
  5. https://developers.google.com/safe-
  6. browsing?_ga=2.65351149.274800631.1631808382-2031399475.1630502681

CIS Controls V8: 9.3
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce and update network-based URL filters to limit an enterprise asset from connecting to potentially malicious or unapproved websites. Example implementations include category-based filtering, reputation-based filtering, or through the use of block lists. Enforce filters for all enterprise assets.

CIS Controls V7: 7.4
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce network-based URL filters that limit a system’s ability to connect to websites not approved by the organization. This filtering shall be enforced for each of the organization’s systems, whether they are physically at an organization’s facilities or not.

Page 25

1.3 Переконайтеся, що для параметра «Дозволити Google Cast підключатися до пристроїв Cast на всіх IP-адресах» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Allow Google Cast to connect to Cast devices on all IP addresses’ is set to ‘Disabled’ (Automated)

Цей параметр визначає, чи може Google Cast підключатися до всіх чи лише IP-адрес приватні IP-адреси, як визначено в RFC1918 (IPv4) і RFC4193 (IPv6). Зверніть увагу, якщо для параметра EnabledMediaRouter встановлено значення Disabled, позитивного чи негативного ефекту немає для цього налаштування. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Якщо дозволити Google Cast підключатися до загальнодоступних IP-адрес, це може дозволити медіа та інше потенційно конфіденційні дані, які можуть бути відкритими для громадськості. Вимкнення цього параметра забезпечить що Google Cast може підключатися лише до приватних (тобто внутрішніх) IP-адрес.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:MediaRouterCastAllowAllIPs

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Google Cast\Allow Google Cast to connect to Cast devices on all IP addresses

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#MediaRouterCastAllowAllIPs

Page 26

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

Page 27

1.4 Переконайтеся, що для параметра «Дозволити запити до служби часу Google» встановлено значення «Увімкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Allow queries to a Google time service’ is set to ‘Enabled’ (Automated)

Цей параметр визначає, чи може Google Chrome надсилати запити до часу Google служба для точних позначок часу. Ця перевірка допомагає перевіряти сертифікати. Рекомендований стан для цього параметра: увімкнено (1)

💡 Обґрунтування безпеки:

Google Chrome використовує мережеву службу часу для випадкового відстеження часу від довіреного зовнішнє обслуговування. Це дозволяє Google Chrome перевіряти сертифікати дійсність і важливий для перевірки сертифіката.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 1:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:BrowserNetworkTimeQueriesE nabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Allow queries to a Google time service

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#BrowserNetworkTimeQueriesEnabled

Page 28

CIS Controls V8: 8.4
IG 1, 2
Standardize Time Synchronization Standardize time synchronization. Configure at least two synchronized time sources across enterprise assets, where supported.

CIS Controls V7: 6.1
IG 1, 2
Utilize Three Synchronized Time Sources Use at least three synchronized time sources from which all servers and network devices retrieve time information on a regular basis so that timestamps in logs are consistent.

Page 29

1.5 Переконайтеся, що для параметра «Дозволити запуск пісочниці аудіо» встановлено значення «Увімкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Allow the audio sandbox to run’ is set to ‘Enabled’ (Automated)

Цей параметр визначає, чи запускаються аудіопроцеси в Google Chrome у пісочниці. ПРИМІТКА. Налаштування програмного забезпечення безпеки у вашому середовищі можуть заважати пісочниця. Рекомендований стан для цього параметра: увімкнено (1)

💡 Обґрунтування безпеки:

Запуск аудіопроцесів у пісочниці гарантує, що веб-сайт неправильно використовує аудіо обробляє, щоб даними не можна було маніпулювати або викрадати їх із системи.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 1:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:AudioSandboxEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Allow the audio sandbox to run

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#AudioSandboxEnabled

Page 30

CIS Controls V8: 8.3
IG 1, 2, 3
Ensure Adequate Audit Log Storage Ensure that logging destinations maintain adequate storage to comply with the enterprise’s audit log management process.

CIS Controls V7: 10.5
IG 1, 2, 3
Ensure Backups Have At least One Non- Continuously Addressable Destination Ensure that all backups have at least one backup destination that is not continuously addressable through operating system calls.

Page 31

1.6 Переконайтеся, що для параметра «Запитувати, де зберігати кожен файл перед завантаженням» встановлено значення «Увімкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Ask where to save each file before downloading’ is set to ‘Enabled’ (Automated)

Google Chrome пропонує автоматично завантажувати файли в каталог завантаження за замовчуванням без підказки. Якщо цей параметр увімкнено, користувачі завжди запитуватимуть, куди зберегти кожен файл раніше завантаження. Рекомендований стан для цього параметра: увімкнено (1)

💡 Обґрунтування безпеки:

Користувачі мають бути захищені від загрози завантаження за допомогою накопичувачів.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 1:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:PromptForDownloadLocation

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Ask where to save each file before downloading

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#PromptForDownloadLocation
  2. https://www.ghacks.net/2017/05/18/you-should-disable-automatic-downloads-in-chrome-right-now/

Page 32

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 33

1.7 Переконайтеся, що для параметра «Продовжувати роботу фонових програм, коли Google Chrome закрито» встановлено значення «Вимкнено» (Автоматизовано)

Level 2 (L2) – High Security/Sensitive Data Environment (limited functionality)Автоматизовано

Оригінал: Ensure ‘Continue running background apps when Google Chrome is closed’ is set to ‘Disabled’ (Automated)

Chrome дозволяє процесам, запущеним у відкритому браузері, залишатися запущеними один раз браузер закрито. Він також дозволяє фонові програми та поточні сеанс перегляду залишатиметься активним після закриття браузера. Якщо цей параметр вимкнено, браузер закриє свої процеси та припинить роботу фонові програми. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Якщо цей параметр увімкнено, уразливі або шкідливі плагіни, програми та процеси можуть продовжувати працювати навіть після закриття Chrome.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:BackgroundModeEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Continue running background apps when Google Chrome is closed

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#BackgroundModeEnabled

Page 34

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

Page 35 1.8 (L2) Ensure ‘Control SafeSites adult content filtering’ is set to ‘Enabled

1.9 Переконайтеся, що для параметра «Визначити доступність варіантів» встановлено значення «Увімкнути всі варіанти» (Вручну)

Level 1Вручну

Оригінал: Ensure ‘Determine the availability of variations’ is set to ‘Enable all variations’ (Manual)

Налаштування цього параметра дозволяє вказати, до яких варіантів можна застосовувати Google Chrome. Варіанти надають Google можливість пропонувати Google зміни Chrome без доставки нової версії веб-переглядача шляхом вибіркового ввімкнення або відключення вже існуючих функцій. • Увімкнути всі варіанти (0): дозволяє застосовувати всі варіанти до браузера (Значення за замовчуванням). • Увімкнути варіанти лише щодо критичних виправлень (1): дозволяє лише варіанти вважаються критичними виправлення безпеки або стабільності, які слід застосувати до Google Chrome. • Вимкнути всі варіанти (2): заборонити застосування всіх варіантів до браузер. Зверніть увагу, що цей режим потенційно може перешкодити Google Chrome розробники від своєчасного надання критичних виправлень безпеки, і тому не є рекомендований. Рекомендований стан для цього параметра: Увімкнути всі варіанти (0) ПРИМІТКА: Google твердо переконаний, що це не принесе додаткової переваги безпеки критичні виправлення, оскільки, якщо залишити його включеним, підвищується стабільність браузера. Вимкнення варіацій також може запобігти своєчасному отриманню критичних оновлень безпеки.

💡 Обґрунтування безпеки:

Google настійно рекомендує залишити це налаштування за замовчуванням (0 = Увімкнути всі варіанти), тому виправлення поступово вмикаються (або, якщо необхідно, швидко вимикаються) через Фреймворк Chrome Variations.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:ChromeVariations

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для наступного шляху інтерфейсу користувача значення Enabled: Enable all variations:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Determine the availability of variations

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#ChromeVariations
  2. https://support.google.com/chrome/a/answer/9805991?p=Manage_the_Chrome_
  3. variations_framework&_ga=2.161804159.274800631.1631808382-
  4. 1630502681&visit_id=637674174853642930-2644817764&rd=1

CIS Controls V8: 7.4
IG 1, 2, 3
Perform Automated Application Patch Management Perform application updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.

CIS Controls V7: 3.5
IG 1, 2, 3
Deploy Automated Software Patch Management Tools Deploy automated software update tools in order to ensure that third-party software on all systems is running the most recent security updates provided by the software vendor.

CIS Controls V7: 7.4
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce network-based URL filters that limit a system’s ability to connect to websites not approved by the organization. This filtering shall be enforced for each of the organization’s systems, whether they are physically at an organization’s facilities or not.

Page 39

1.10 Переконайтеся, що для параметра «Вимкнути застосування прозорості сертифіката для списку застарілих центрів сертифікації» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Disable Certificate Transparency enforcement for a list of Legacy Certificate Authorities’ is set to ‘Disabled’ (Automated)

Google Chrome може вимкнути застосування вимог щодо прозорості сертифіката для список застарілих центрів сертифікації. Якщо цей параметр вимкнено, сертифікати не розкриваються належним чином, як того вимагає Прозорість сертифіката ненадійна. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Застарілі органи сертифікації повинні дотримуватися політики прозорості сертифікатів.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей шлях реєстру не існуватиме, якщо для нього встановлено значення Disabled:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\CertificateTransparencyEnf orcementDisabledForLegacyCas\

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Disable Certificate Transparency enforcement for a list of Legacy Certificate Authorities

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#CertificateTransparencyEnforcementDi
  2. sabledForLegacyCas

Page 40

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 41

1.11 Переконайтеся, що для параметра «Вимкнути застосування прозорості сертифіката для списку хешів subjectPublicKeyInfo» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Disable Certificate Transparency enforcement for a list of subjectPublicKeyInfo hashes’ is set to ‘Disabled’ (Automated)

Google Chrome може виключати сертифікати за їх хешами subjectPublicKeyInfo дотримання вимог щодо прозорості сертифікатів. Якщо цей параметр вимкнено, ні сертифікати виключені з вимог щодо прозорості сертифікатів. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Вимоги щодо прозорості сертифікатів повинні застосовуватись до всіх сертифікатів.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей шлях реєстру не існуватиме, якщо для нього встановлено значення Disabled:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\CertificateTransparencyEnf orcementDisabledForCas

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Disable Certificate Transparency enforcement for a list of subjectPublicKeyInfo hashes

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#CertificateTransparencyEnforcementDi
  2. sabledForCas

Page 42

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 43

1.12 Переконайтеся, що для параметра «Вимкнути застосування прозорості сертифіката для списку URL-адрес» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Disable Certificate Transparency enforcement for a list of URLs’ is set to ‘Disabled’ (Automated)

Google Chrome може вказати URL-адреси/імена хостів, для яких буде діяти Прозорість сертифіката не виконуватися. Якщо цей параметр вимкнено, жодні URL-адреси не виключаються з сертифіката Вимоги до прозорості. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Сертифікати, які потрібно оприлюднити через Прозорість сертифікатів, повинні бути розглядаються для всіх URL-адрес як ненадійні, якщо вони не розкриваються відповідно до Сертифікату Політика прозорості.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей шлях реєстру не існуватиме, якщо для нього встановлено значення Disabled:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\CertificateTransparencyEnf orcementDisabledForUrls

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Disable Certificate Transparency enforcement for a list of URLs

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#CertificateTransparencyEnforcementDi
  2. sabledForUrls

Page 44

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 45

1.13 Переконайтеся, що для параметра «Вимкнути збереження історії браузера» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Disable saving browser history’ is set to ‘Disabled’ (Automated)

Google Chrome налаштовано на збереження історії браузера. Рекомендований стан для цього параметра: вимкнено (0) ПРИМІТКА. Цей параметр зберігатиме історію веб-перегляду, яка може містити особисті дані користувача історія перегляду. Будь ласка, переконайтеся, що це налаштування відповідає організаційним політики.

💡 Обґрунтування безпеки:

Історію веб-переглядача слід зберігати, оскільки вона може містити ознаки зламу.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:SavingBrowserHistoryDisabl ed

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Disable saving browser history

Значення за замовчуванням: Не встановлено (Те саме, що Вимкнено, але користувач може змінити).
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#SavingBrowserHistoryDisabled

Page 46

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 3.5
IG 1, 2, 3
Deploy Automated Software Patch Management Tools Deploy automated software update tools in order to ensure that third-party software on all systems is running the most recent security updates provided by the software vendor.

Page 47

1.14 Переконайтеся, що для параметра «DNS interception checks enabled» встановлено значення «Enabled» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘DNS interception checks enabled’ is set to ‘Enabled’ (Automated)

Цей параметр визначає, чи локальний комутатор налаштовано на перехоплення DNS чеки. Ці перевірки намагаються виявити, чи веб-переглядач знаходиться за проксі-сервером, який переспрямовує невідомі імена хостів. Рекомендований стан для цього параметра: увімкнено (1) ПРИМІТКА. Це виявлення може не знадобитися в корпоративному середовищі, де конфігурація мережі відома. Його можна вимкнути, щоб уникнути додаткових DNS і HTTP трафік під час запуску та кожної зміни конфігурації DNS.

💡 Обґрунтування безпеки:

Вимкнення цих перевірок потенційно може призвести до викрадення та отруєння DNS.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 1:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:DNSInterceptionChecksEnabl ed

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\DNS interception checks enabled

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#DNSInterceptionChecksEnabled

Page 48

CIS Controls V8: 7.7
IG 1, 2
Remediate Detected Vulnerabilities Remediate detected vulnerabilities in software through processes and tooling on a monthly, or more frequent, basis, based on the remediation process.

CIS Controls V7: 4.9
IG 1, 2
Log and Alert on Unsuccessful Administrative Account Login Configure systems to issue a log entry and alert on unsuccessful logins to an administrative account.

Page 49

1.15 Переконайтеся, що для параметра «Увімкнути оновлення компонентів у Google Chrome» встановлено значення «Увімкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable component updates in Google Chrome’ is set to ‘Enabled’ (Automated)

Програма оновлення компонентів Google Chrome оновлює кілька компонентів Google Chrome на регулярній основі (стосується лише компонентів браузера Chrome). Рекомендований стан для цього параметра: увімкнено (1) ПРИМІТКА. Оновлення будь-якого компонента, який не містить виконуваного коду, не містить суттєво змінити поведінку браузера, або є критичним для його безпеки не буде вимкнено (наприклад, списки відкликаних сертифікатів і дані безпечного перегляду оновлюються незалежно від цього параметра). FYI chrome://components містить список усіх компонентів, але не те, чи є вони на які впливає це налаштування. ПРИМІТКА: Google надав наведений нижче список «деяких компонентів», які контролюються це налаштування: • Компонент відновлення • Pnacl • Floc • Підказки щодо оптимізації • Помічник з помилками SSL • CRL встановлено • Випробування походження • SW репортер • Метадані PKI

💡 Обґрунтування безпеки:

Google Chrome Updater використовується для підтримки компонентів, які входять до Chrome, на сьогоднішній день.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

Сторінка 50

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 1:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:ComponentUpdatesEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Enable component updates in Google Chrome

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#ComponentUpdatesEnabled
  2. Additional Information:
  3. To check the current components versions, navigate to chrome://components.

CIS Controls V8: 7.4
IG 1, 2, 3
Perform Automated Application Patch Management Perform application updates on enterprise assets through automated patch management on a monthly, or more frequent, basis.

CIS Controls V7: 3.5
IG 1, 2, 3
Deploy Automated Software Patch Management Tools Deploy automated software update tools in order to ensure that third-party software on all systems is running the most recent security updates provided by the software vendor.

Page 51

1.16 Переконайтеся, що для параметра «Увімкнути глобальний кеш автентифікації HTTP» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable globally scoped HTTP auth cache’ is set to ‘Disabled’ (Automated)

Цей параметр визначає, чи можна автоматично використовувати облікові дані автентифікації HTTP в контексті іншого веб-сайту, відвіданого в Google Chrome. Рекомендований стан для цього параметра: вимкнено (0) ПРИМІТКА. Цей параметр призначений для надання підприємствам залежно від успадкованої поведінки a можливість оновити свої процедури входу та буде видалено в майбутньому.

💡 Обґрунтування безпеки:

Дозвіл надання доступу до облікових даних автентифікації HTTP без згоди користувача може призвести до доступ користувача до конфіденційної інформації без його відома. Увімкнення цього параметра може також призводять до деяких типів міжсайтових атак, які дозволять відстежувати користувачів на сайтах без використання файлів cookie.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:GloballyScopeHTTPAuthCache Enabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Enable globally scoped HTTP auth cache

Значення за замовчуванням: Не встановлено (Те саме, що Вимкнено, але користувач може змінити) Сторінка 52
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#GloballyScopeHTTPAuthCacheEnable
  2. d

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 53

1.17 Переконайтеся, що для параметра «Увімкнути онлайн-перевірки OCSP/CRL» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable online OCSP/CRL checks’ is set to ‘Disabled’ (Automated)

Google Chrome може повторно ввімкнути перевірку відкликання в режимі м’якої помилки, хоча й може дають певну користь у більшості випадків. Якщо цей параметр вимкнено, незахищені онлайн-перевірки OCSP/CRL більше не виконуються. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

CRLSets – це головним чином засіб, за допомогою якого Chrome може швидко блокувати сертифікати надзвичайні ситуації. Як вторинну функцію вони також можуть містити деяку кількість неекстрені відкликання. Ці останні відкликання отримують шляхом сканування CRL опубліковані ЦС. Онлайн-перевірки (тобто OCSP і CRL) не виконуються Chrome за замовчуванням. The базова системна бібліотека сертифікатів завжди виконує ці перевірки, незважаючи ні на що Chrome робить, тому вмикати його тут зайве. Зловмисник може заблокувати трафік OCSP і спричинити проходження перевірок відкликання, щоб спричинити використання поведінки м’якого збою. Крім того, браузер може розповісти, що таке веб-сайт доступ до нього та хто має доступ до нього на серверах ЦС.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:EnableOnlineRevocationChec ks

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Enable online OCSP/CRL checks

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#EnableOnlineRevocationChecks
  2. https://medium.com/@alexeysamoshkin/how-ssl-certificate-revocation-is-broken-in-practice-af3b63b9cb3
  3. https://dev.chromium.org/Home/chromium-security/crlsets

CIS Controls V8: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

CIS Controls V7: 0.0
IG 1
Explicitly Not Mapped Explicitly Not Mapped

Page 55

1.18 Переконайтеся, що для параметра «Увімкнути попередження безпеки для прапорців командного рядка» встановлено значення «Увімкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable security warnings for command-line flags’ is set to ‘Enabled’ (Automated)

Це налаштування не дозволяє Google Chrome відображати потенційні попередження безпеки під час запуску використовуються небезпечні прапорці командного рядка. Рекомендований стан цього параметра: увімкнено (0)

💡 Обґрунтування безпеки:

Якщо Google Chrome запускається з потенційно небезпечними прапорцями, ця інформація має бути надано користувачеві як попередження. Якщо ні, користувач може бути ненавмисно використання незахищених налаштувань і наражатися на недоліки безпеки.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 1:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:CommandLineFlagSecurityWar ningsEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Enable security warnings for command-line flags

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#CommandLineFlagSecurityWarningsE
  2. nabled

Page 56

CIS Controls V8: 8.3
IG 1, 2, 3
Ensure Adequate Audit Log Storage Ensure that logging destinations maintain adequate storage to comply with the enterprise’s audit log management process.

CIS Controls V7: 7.2
IG 1, 2
Disable Unnecessary or Unauthorized Browser or Email Client Plugins Uninstall or disable any unauthorized browser or email client plugins or add- on applications.

Page 57

1.19 Переконайтеся, що для параметра «Увімкнути блокування ін’єкцій стороннього програмного забезпечення» встановлено значення «Увімкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enable third party software injection blocking’ is set to ‘Enabled’ (Automated)

Google Chrome може запобігти впровадженню програмним забезпеченням сторонніх розробників виконуваного коду Процеси Chrome. Рекомендований стан для цього параметра: увімкнено (1)

💡 Обґрунтування безпеки:

Програмне забезпечення сторонніх розробників не має можливості вставляти виконуваний код у Chrome процеси.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, для якого має бути встановлено значення 1:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:ThirdPartyBlockingEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Enabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Enable third party software injection blocking

Значення за замовчуванням: Не встановлено (те саме, що й увімкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#ThirdPartyBlockingEnabled

Page 58

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 10.5
IG 1, 2, 3
Ensure Backups Have At least One Non- Continuously Addressable Destination Ensure that all backups have at least one backup destination that is not continuously addressable through operating system calls.

Page 59

1.20 Переконайтеся, що для параметра «Дозволяє керованим розширенням використовувати Enterprise Hardware Platform API» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Enables managed extensions to use the Enterprise Hardware Platform API’ is set to ‘Disabled’ (Automated)

Цей параметр дозволяє розширенням, установленим політиками підприємства, використовувати Enterprise Hardware Platform API. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Рекомендовано вимкнути цей параметр, якщо інше не вказано підприємством політики.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:EnterpriseHardwarePlatform APIEnabled

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Enables managed extensions to use the Enterprise Hardware Platform API

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#EnterpriseHardwarePlatformAPIEnable
  2. d

Page 60

CIS Controls V8: 4.8
IG 1, 2
Uninstall or Disable Unnecessary Services on Enterprise Assets and Software Uninstall or disable unnecessary services on enterprise assets and software, such as an unused file sharing service, web application module, or service function.

CIS Controls V7: 9.2
IG 1, 2
Ensure Only Approved Ports, Protocols and Services Are Running Ensure that only network ports, protocols, and services listening on a system with validated business needs, are running on each system.

Page 61

1.21 Переконайтеся, що для «Ефемерного профілю» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Ephemeral profile’ is set to ‘Disabled’ (Automated)

Цей параметр контролює, чи перемикаються профілі користувачів у тимчасовий режим. в у тимчасовому режимі дані профілю зберігаються на диску протягом сеансу, а потім дані видаляються після завершення сеансу. Таким чином, дані не зберігаються на пристрої. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Дозвіл на використання ефемерних профілів дозволяє користувачеві використовувати Google Chrome без даних зареєстровані в системі. Видалення даних браузера призведе до видалення інформації, яка може бути важливий для комп’ютерного розслідування та слідчих, таких як комп’ютерна криміналістика Аналітики можуть бути не в змозі отримати інформацію, що має відношення до розслідування.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:ForceEphemeralProfiles

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Ephemeral profile

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#ForceEphemeralProfiles

Page 62

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 63

1.22 Переконайтеся, що для параметра «Імпортувати дані форми автозаповнення з браузера за умовчанням під час першого запуску» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Import autofill form data from default browser on first run’ is set to ‘Disabled’ (Automated)

Цей параметр визначає, чи дозволено користувачам імпортувати дані автозаповнення з інших браузери в Google Chrome. Якщо для цього параметра встановлено значення Disabled, користувачі не зможуть імпортувати автозаповнення дані під час роботи Google Chrome. Це також не дозволить користувачам імпортувати дані після Google Chrome налаштовано. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Якщо дозволити імпортувати дані автозаповнення, це потенційно може привести до конфіденційних даних, як-от ідентифікаційну інформацію (PII) із незахищеного джерела в Google Chrome. Враховуючи, що зберігати конфіденційні дані слід обережно, вимкніть це налаштування рекомендовано.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:ImportAutofillFormData

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Import autofill form data from default browser on first run

Значення за замовчуванням: Не встановлено (Те саме, що Вимкнено, але користувач може змінити) Сторінка 64
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#ImportAutofillFormData

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 65

1.23 Переконайтеся, що для параметра «Імпорт домашньої сторінки з браузера за умовчанням під час першого запуску» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Import of homepage from default browser on first run’ is set to ‘Disabled’ (Automated)

Цей параметр визначає, чи можуть користувачі імпортувати налаштування домашньої сторінки з іншої у Google Chrome, а також чи імпортовано налаштування домашньої сторінки перше використання. Якщо для цього параметра встановлено значення «Відключено», користувачі не зможуть імпортувати домашню сторінку налаштування з інших браузерів у Google Chrome. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Автоматичне імпортування налаштувань домашньої сторінки або дозвіл користувачам імпортувати це налаштування з іншого браузера в Google Chrome дозволяє використовувати потенціал скомпрометовані налаштування імпортуються в Google Chrome.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:ImportHomepage

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Import of homepage from default browser on first run

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#ImportHomepage

Page 66

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 67

1.24 Переконайтеся, що для параметра «Імпорт пошукових систем із браузера за умовчанням під час першого запуску» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Import search engines from default browser on first run’ is set to ‘Disabled’ (Automated)

Цей параметр визначає, чи можуть користувачі імпортувати налаштування пошукової системи з інший веб-переглядач у Google Chrome, а також те, чи імпортовано це налаштування спочатку використовувати. Якщо для цього параметра встановлено значення «Вимкнено», користувачі не зможуть імпортувати свої дані налаштування пошукової системи з інших браузерів у Google Chrome. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Автоматичний імпорт налаштувань пошукової системи або дозвіл користувачам імпортувати налаштування з іншого веб-переглядача в Google Chrome можуть дозволити зловмисний пошук двигун, який потрібно встановити.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:ImportSearchEngine

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Import search engines from default browser on first run

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#ImportSearchEngine

Page 68

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 69

1.25 Переконайтеся, що для параметра «Список імен, які обходять перевірку політики HSTS» встановлено значення «Вимкнено» (Автоматизовано)

Level 1 (L1) – Corporate/Enterprise Environment (general use)Автоматизовано

Оригінал: Ensure ‘List of names that will bypass the HSTS policy check’ is set to ‘Disabled’ (Automated)

Цей параметр дозволяє вказати список імен, які будуть виключені з HTTP Strict Перевірки політики транспортної безпеки (HSTS), а потім потенційно оновлені з http:// на https://. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Дозвіл звільнення імен хостів від перевірок HSTS може дозволити протокол атаки зниження версії та викрадення файлів cookie.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей шлях реєстру не існуватиме, якщо для нього встановлено значення Disabled:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\HSTSPolicyBypassList

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\List of names that will bypass the HSTS policy check

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#HSTSPolicyBypassList

Page 70

CIS Controls V8: 9.3
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce and update network-based URL filters to limit an enterprise asset from connecting to potentially malicious or unapproved websites. Example implementations include category-based filtering, reputation-based filtering, or through the use of block lists. Enforce filters for all enterprise assets.

CIS Controls V7: 7.4
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce network-based URL filters that limit a system’s ability to connect to websites not approved by the organization. This filtering shall be enforced for each of the organization’s systems, whether they are physically at an organization’s facilities or not.

Page 71 1.26 (L1) Ensure ‘Origins or hostname patterns for which restrictions on insecure origins should not apply’ is set to ‘Disabled’ (Automated) Profile Applicability

1.27 Переконайтеся, що для параметра «Придушувати попередження про схожі домени в доменах» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Suppress lookalike domain warnings on domains’ is set to ‘Disabled’ (Automated)

Цей параметр запобігає відображенню попереджень про схожі URL-адреси на перелічених сайтах. Ці застереження зазвичай відображаються на сайтах, які, на думку Google Chrome, можуть намагатися підробити інший сайт, з яким знайомий користувач. • Вимкнено (0) або встановлено як порожній список: попередження можуть з’являтися на будь-якому сайті користувача відвідування. • Увімкнено (1) і встановлено для одного або кількох доменів: сторінок із застереженнями про схожість не буде відображається, коли користувач відвідує сторінки цього домену. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Схожі домени навмисно вводять в оману, щоб створити у користувачів помилкове враження, що вони взаємодіють із надійними брендами, що завдає значної шкоди репутації, фінансові втрати та компрометація даних для вже створених підприємств. Крім того, ця техніка зазвичай використовується для розміщення фішингових сайтів і часто призводить до атаки захоплення облікового запису. Користувачам пропонується ввести свої облікові дані на підробці веб-сайт, і шахраї захоплюють їхні онлайн-акаунти без зусиль шахрайська діяльність.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка. ПРИМІТКА. Єдиним реальним впливом є можливе роздратування користувачів, якщо вони йдуть до законного сайт, який помилково вважається шахрайським (рідкісне явище). З цим можна впоратися додавання сайту до білого списку та/або сповіщення Google про помилковий висновок.

Сторінка 74

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей шлях реєстру не існуватиме, якщо для нього встановлено значення Disabled:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\LookalikeWarningAllowlistD omains

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\Suppress lookalike domain warnings on domains

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#LookalikeWarningAllowlistDomains
  2. https://safebrowsing.google.com/
  3. https://bugs.chromium.org/p/chromium/issues/entry?template=Safety+Tips+Appe
  4. als
  5. https://krebsonsecurity.com/2018/03/look-alike-domains-and-visual-confusion/
  6. https://www.phishlabs.com/blog/the-anatomy-of-a-look-alike-domain-attack/

CIS Controls V8: 9.3
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce and update network-based URL filters to limit an enterprise asset from connecting to potentially malicious or unapproved websites. Example implementations include category-based filtering, reputation-based filtering, or through the use of block lists. Enforce filters for all enterprise assets.

CIS Controls V7: 7.4
IG 1, 2
Maintain and Enforce Network-Based URL Filters Enforce network-based URL filters that limit a system’s ability to connect to websites not approved by the organization. This filtering shall be enforced for each of the organization’s systems, whether they are physically at an organization’s facilities or not.

Page 75

1.28 Переконайтеся, що для параметра «Прибрати попередження про непідтримувану ОС» встановлено значення «Вимкнено» (Автоматизовано)

Level 1Автоматизовано

Оригінал: Ensure ‘Suppress the unsupported OS warning’ is set to ‘Disabled’ (Automated)

Google Chrome покаже попередження, яке з’являється, коли Google Chrome запущено на a комп’ютер або операційна система, яка більше не підтримується. Рекомендований стан для цього параметра: вимкнено (0)

💡 Обґрунтування безпеки:

Користувач повинен бути проінформований, якщо використовуване програмне забезпечення більше не підтримується.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики підтримується таким розташуванням реєстру, яке має бути встановлено на 0:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome:SuppressUnsupportedOSWarni ng

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Polices\Administrative Templates\Google\Google Chrome\Suppress the unsupported OS warning

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#SuppressUnsupportedOSWarning

Page 76

CIS Controls V8: 2.2
IG 1, 2, 3
Ensure Authorized Software is Currently Supported Ensure that only currently supported software is designated as authorized in the software inventory for enterprise assets. If software is unsupported, yet necessary for the fulfillment of the enterprise’s mission, document an exception detailing mitigating controls and residual risk acceptance. For any unsupported software without an exception documentation, designate as unauthorized. Review the software list to verify software support at least monthly, or more frequently.

CIS Controls V7: 2.2
IG 1, 2, 3
Ensure Software is Supported by Vendor Ensure that only software applications or operating systems currently supported by the software’s vendor are added to the organization’s authorized software inventory. Unsupported software should be tagged as unsupported in the inventory system.

Page 77

1.29 Переконайтеся, що для параметра «URL-адреси, для яких локальні IP-адреси надаються в кандидатах WebRTC ICE» встановлено значення «Вимкнено» (Автоматизовано)

Level 1 (L1) – Corporate/Enterprise Environment (general use)Автоматизовано

Оригінал: Ensure ‘URLs for which local IPs are exposed in WebRTC ICE candidates’ is set to ‘Disabled’ (Automated)

Цей параметр визначає список URL-адрес або шаблонів, для яких будуть локальні IP-адреси представлений WebRTC. Рекомендований стан для цього параметра: вимкнено (0) ПРИМІТКА. Якщо цей параметр увімкнено, за потреби послаблюється захист локальних IP-адрес адміністратори.

💡 Обґрунтування безпеки:

Увімкнення цього параметра та дозвіл доступу до IP-адрес може дозволити зловмиснику збирати інформацію про внутрішню мережу, яка потенційно може бути використана для злому і проходити по мережі.

⚠️ Вплив на робочий процес (Impact):

Немає – це типова поведінка.

🔍 Аудит (перевірка налаштувань)
🔍 Системний реєстр Windows (Registry Audit)

Перейдіть до шляху інтерфейсу користувача, сформульованого в розділі Remediation, і переконайтеся, що його встановлено, як зазначено. Цей параметр групової політики не матиме значення реєстру (ключ не існуватиме), якщо для нього встановлено значення Disabled:

Ключ реєстру Windows:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Google\Chrome\WebRtcLocalIpsAllowedUrls

⚙️ Виправлення (Remediation / Налаштування)
🏛️ Групова політика (Group Policy / GPO)

Щоб установити рекомендовану конфігурацію за допомогою групової політики, установіть для такого шляху інтерфейсу користувача значення Disabled:

Шлях групової політики (UI Path):
Computer Configuration\Policies\Administrative Templates\Google\Google Chrome\URLs for which local IPs are exposed in WebRTC ICE candidates

Значення за замовчуванням: Не встановлено (те саме, що вимкнено, але користувач може змінити)
📋 CIS Controls & Нормативні посилання
  1. https://chromeenterprise.google/policies/#WebRtcLocalIpsAllowedUrls

Page 78

CIS Controls V8: 9.2
IG 1, 2, 3
Use DNS Filtering Services Use DNS filtering services on all enterprise assets to block access to known malicious domains.

CIS Controls V7: 4.8
IG 1, 2
Log and Alert on Changes to Administrative Group Membership Configure systems to issue a log entry and alert when an account is added to or removed from any group assigned administrative privileges.

Page 79 2 Attack Surface Reduction This section contains recommendations that help reduce the overall attack surface. Organizations should review these settings and any potential impacts to ensure they make sense within the environment since they restrict some browser functionality.

Page 80 2.1 Update settings (Google section of GPO) These setting are not in the normal \Google\Google Chrome\ section of the GPO.

Page 81 2.1.1 (L1) Ensure ‘Update policy override’ is set to ‘Enabled’ with ‘Always allow updates (recommended)’ or ‘Automatic silent updates’ specified (Automated) Profile Applicability

Потрібні інші розділи стандарту?

Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.


До повного змісту CIS Google Chrome Benchmark →