+SYS.2.4 Clients unter macOS
---+SYS.2.4.G1 Unkontrollierbarer Zugriff auf ausgelagerte Daten
---+SYS.2.4.G2 Missbrauch der Apple-ID als zentrale Zugangsinformation für Apple-Dienste
---+SYS.2.4.G3 Angriffe auf Funkschnittstellen
---+SYS.2.4.G4 Angriffe auf Anwendungen mit Vorschau-Funktion
---+SYS.2.4.G5 Unsichere Protokolle in macOS oder macOS-Anwendungen
---+SYS.2.4.A1 Planung des sicheren Einsatzes von macOS (B)
---+SYS.2.4.A2 Nutzung der integrierten Sicherheitsfunktionen von macOS (B)
---+SYS.2.4.A3 Verwendung geeigneter Konten (B) [Benutzende]
---+SYS.2.4.A4 Verwendung einer Festplattenverschlüsselung (S)
---+SYS.2.4.A5 Deaktivierung sicherheitskritischer Funktionen von macOS (S)
---+SYS.2.4.A6 Verwendung aktueller Mac-Hardware (S)
---+SYS.2.4.A7 Zwei-Faktor-Authentisierung für Apple-ID (S) [Benutzende]
---+SYS.2.4.A8 Keine Nutzung von iCloud für schützenswerte Daten (S) [Benutzende]
---+SYS.2.4.A9 Verwendung von zusätzlichen Schutzprogrammen unter macOS (S)
---+SYS.2.4.A10 Aktivierung der Personal Firewall unter macOS (S)
---+SYS.2.4.A11 Geräteaussonderung von Macs (S)
---+SYS.2.4.A12 Firmware-Kennwort und Boot-Schutz auf Macs (H) [Benutzende]
|
SYS.2.4 Clients unter macOS
EinleitungmacOS ist ein Client-Betriebssystem der Firma Apple. macOS basiert auf Darwin, dem frei verfügbaren Unix-Betriebssystem von Apple, das wiederum auf dem Open-Source-Betriebssystem FreeBSD aufbaut. macOS setzt sich im Wesentlichen aus Darwin sowie der proprietären grafischen Bedienoberfläche „Aqua“ und weiteren Anwendungen und Diensten zusammen. Gemäß den Lizenzbedingungen von Apple darf macOS nur auf IT-Systemen („Macs“) von Apple installiert werden. Aus diesem Grund sind Eigenheiten dieser Systeme ebenfalls Bestandteil dieses Bausteins. ZielsetzungDas Ziel dieses Bausteins ist der Schutz von Informationen, die auf IT-Systemen unter macOS verarbeitet oder mit diesen übertragen werden. Dazu müssen IT-Systeme unter macOS angemessen abgesichert werden. Abgrenzung und ModellierungDer Baustein SYS.2.4 Clients unter macOS ist für alle Client-Systeme anzuwenden, auf denen das Betriebssystem Apple macOS eingesetzt wird. Der Schwerpunkt liegt in diesem Baustein auf der Absicherung eines Macs mit macOS, der als Stand-alone-System oder als Client in einem Client-Server-Netz betrieben wird. Damit ergänzt der Baustein die allgemeinen Aspekte aus dem zusätzlich anzuwendenden Baustein SYS.2.1 Allgemeiner Client. Ein möglicher Einsatz von macOS als Server-Betriebssystem wird im Baustein nicht betrachtet. Im professionellen Einsatz besteht mit dem sogenannten Profilmanager und Mobile Device Management die Möglichkeit, die verwendeten Macs zentral zu verwalten. Diese Lösungen bieten erweiterte Konfigurations- und Verwaltungsfunktionen, werden in diesem Baustein jedoch nicht betrachtet. Entsprechende Sicherheitsaspekte werden im Baustein SYS.3.2.2 Mobile Device Management (MDM) behandelt. Außerdem ist zu beachten, dass die beiden Apple-Betriebssysteme macOS (für Macs) und iOS (für iPhones) bzw. iPadOS (für iPads) eng miteinander verzahnt sind. Daher sollte zusätzlich der Baustein SYS.3.2.3 iOS (for Enterprise) berücksichtigt werden, wenn neben macOS auch Geräte mit iOS oder iPadOS eingesetzt werden. WissenswertesDas National Institute of Standards and Technology (NIST) stellt das Dokument „SP 800-179 Rev. 1 (DRAFT): Guide to Securing Apple macOS 10.12 Systems for IT Professionals: A NIST Security Configuration Checklist“ (Oktober 2018) zur Verfügung.
1. Pregled
| Naslov |
Standard |
|
SYS.2.4.A1 Planung des sicheren Einsatzes von macOS (B)
|
Die Einführung von macOS MUSS sorgfältig geplant werden. Es MUSS entschieden werden, wo und wie Daten abgelegt werden. Es MUSS geplant werden, wie die Datensicherung in das institutionsweite Datensicherungskonzept integriert werden kann. Es MUSS geplant werden, wie Sicherheits- und sonstige Aktualisierungen für macOS und Anwendungen systematisch installiert werden können. Es MUSS ermittelt werden, welche Anwendungen bei einem Plattformwechsel zu macOS benötigt werden. Wird der Mac in einem Datennetz betrieben, MUSS zusätzlich berücksichtigt werden, welche Netzprotokolle eingesetzt werden sollen.
|
|
SYS.2.4.A2 Nutzung der integrierten Sicherheitsfunktionen von macOS (B)
|
Die in macOS integrierten Schutzmechanismen „System Integrity Protection“ (SIP), „Xprotect“ und „Gatekeeper“ MÜSSEN aktiviert sein. Gatekeeper DARF NUR die Ausführung signierter Programme erlauben, sofern unsignierte Programme nicht zwingend notwendig sind.
|
|
SYS.2.4.A3 Verwendung geeigneter Konten (B) [Benutzende]
|
Das bei der Erstkonfiguration von macOS angelegte Konto hat Administrationsrechte und DARF NUR zu administrativen Zwecken verwendet werden. Für die normale Verwendung des Macs MUSS ein Konto mit Standard-Berechtigungen angelegt werden. Sollte der Mac von mehreren Benutzenden verwendet werden, MUSS für jeden Benutzenden ein eigenes Konto angelegt werden. Das Gast-Konto MUSS deaktiviert werden.
|
|
SYS.2.4.A4 Verwendung einer Festplattenverschlüsselung (S)
|
Festplatten SOLLTEN, insbesondere bei mobilen Macs (z. B. MacBooks), verschlüsselt werden. Wird dazu die in macOS integrierte Funktion FileVault verwendet, DARF das Schlüsselmaterial NICHT online bei Apple gespeichert werden. Der von FileVault erzeugte Wiederherstellungsschlüssel MUSS an einem sicheren Ort aufbewahrt werden. Es SOLLTE geprüft werden, ob ein institutioneller Wiederherstellungsschlüssel für FileVault verwendet werden soll.
|
|
SYS.2.4.A5 Deaktivierung sicherheitskritischer Funktionen von macOS (S)
|
Die in macOS integrierten Ortungsdienste SOLLTEN deaktiviert werden. Heruntergeladene Daten SOLLTEN NICHT automatisch geöffnet werden. Inhalte von optischen und anderen Medien SOLLTEN NICHT automatisch ausgeführt werden.
|
|
SYS.2.4.A6 Verwendung aktueller Mac-Hardware (S)
|
Werden neue Macs beschafft, SOLLTEN aktuelle Modelle ausgewählt werden. Werden bereits vorhandene Macs eingesetzt, SOLLTE regelmäßig überprüft werden, ob diese sowie das darauf installierte Betriebssystem weiterhin von Apple mit Sicherheits-Updates versorgt werden. Werden die Macs nicht mehr durch Apple unterstützt, SOLLTEN sie nicht mehr verwendet werden.
|
|
SYS.2.4.A7 Zwei-Faktor-Authentisierung für Apple-ID (S) [Benutzende]
|
Die Zwei-Faktor-Authentisierung für die Verwendung des Apple-ID-Kontos SOLLTE aktiviert werden.
|
|
SYS.2.4.A8 Keine Nutzung von iCloud für schützenswerte Daten (S) [Benutzende]
|
Es SOLLTE verhindert werden, dass schützenswerte Daten zwischen mehreren Geräten über iCloud-Dienste synchronisiert werden. Stattdessen SOLLTEN Daten nur über selbst betriebene Dienste synchronisiert werden. Schützenswerte Daten SOLLTEN NICHT in iCloud gespeichert werden. Entwürfe, beispielsweise von E-Mails oder Dokumenten, SOLLTEN NICHT automatisch in iCloud gespeichert werden.
|
|
SYS.2.4.A9 Verwendung von zusätzlichen Schutzprogrammen unter macOS (S)
|
Bei Bedarf, etwa wenn Macs in einem heterogenen Netz betrieben werden, SOLLTEN neben den integrierten Schutzmechanismen von macOS zusätzlich Virenschutz-Lösungen von Drittanbietern eingesetzt werden.
|
|
SYS.2.4.A10 Aktivierung der Personal Firewall unter macOS (S)
|
Die in macOS integrierte Personal Firewall SOLLTE aktiviert und geeignet konfiguriert werden.
|
|
SYS.2.4.A11 Geräteaussonderung von Macs (S)
|
Bei einer Aussonderung des Macs SOLLTEN der nichtflüchtige Datenspeicher NVRAM (Non Volatile Random Access Memory) sowie der SMC (System Management Controller) zurückgesetzt werden.
|
|
SYS.2.4.A12 Firmware-Kennwort und Boot-Schutz auf Macs (H) [Benutzende]
|
Auf älteren Macs SOLLTE die Abfrage eines sicheren Firmware-Kennworts im sogenannten „Command-Modus“ aktiviert werden, um ein unberechtigtes Booten des Macs von einem anderen Startlaufwerk zu verhindern. Es SOLLTE geprüft werden, ob über den „Full-Modus“ ein Kennwort bei jedem Startvorgang abgefragt werden sollte. Auf Macs mit T2-Sicherheitschip SOLLTE ein Firmware-Passwort über das Startsicherheitsdienstprogramm gesetzt werden. Die Option „Sicheres Starten: Volle Sicherheit“ SOLLTE aktiviert werden. Die Option „Starten von externen Medien nicht zulassen“ SOLLTE aktiviert werden.
|
1.1 Sklici
1.2 Ugotovljene zahteve
1.3 Povezani predpisi
2. Ugotovljene zahteve
3. Povezani predpisi
Povezane zadeve
|