9.4
IG2 IG3

تقييد إضافات المتصفح وعميل البريد الإلكتروني غير الضرورية أو غير المصرح بها

نوع الأصل: التطبيقات
وظيفة الأمان: حماية

الوصف

تقييد إضافات المتصفح وعميل البريد الإلكتروني غير المصرح بها أو غير المُدارة باستثناء ما هو مسموح به. لا تسمح إلا بالإضافات والإضافات المصرح بها.

قائمة التحقق من التطبيق

1
مراجعة متطلبات الضمانة مقارنة بالوضع الحالي
2
تطوير خطة تنفيذ بجدول زمني ومراحل رئيسية
3
تنفيذ الضوابط والإجراءات المطلوبة
4
التحقق من التنفيذ من خلال الاختبار والتدقيق
5
توثيق التنفيذ وتحديث الإجراءات التشغيلية

التهديدات والثغرات (CIS RAM)

سيناريوهات التهديد

تسريب بيانات إضافة متصفح خبيثة

السرية

تلتقط إضافات المتصفح غير المصرح بها ذات الصلاحيات المفرطة بصمت بيانات النماذج ورموز المصادقة وسجل التصفح وضربات المفاتيح، وتسرب المعلومات الحساسة إلى خوادم يتحكم بها المهاجم عبر حركة HTTPS عادية.

اختراق إضافة عميل البريد الإلكتروني لسرقة بيانات الاعتماد

السرية

تعترض إضافات عميل البريد الإلكتروني الخبيثة أو المعرضة للخطر محتوى البريد الإلكتروني وتجمع بيانات الاعتماد أو تنشئ قواعد إعادة توجيه البريد التي تنسخ بصمت الاتصالات الحساسة إلى عناوين خارجية دون وعي المستخدم.

هجوم سلسلة التوريد عبر تحديث إضافة متصفح مخترقة

السلامة

يتم بيع إضافة متصفح شرعية سابقاً إلى جهة خبيثة أو يتم اختراق آلية تحديثها، مما يدفع أكواداً خبيثة إلى جميع مستخدمي المؤسسة الذين ثبتوها، كما حدث مع إضافات Chrome متعددة.

الثغرات (عند غياب الإجراء الوقائي)

عدم وجود قائمة بيضاء أو سياسة تقييد لإضافات المتصفح

يمكن للمستخدمين تثبيت أي إضافة متصفح بدون قيود، بما في ذلك الإضافات التي تطلب صلاحيات لقراءة جميع بيانات الموقع وتعديل الصفحات والوصول إلى ملفات تعريف ارتباط المصادقة عبر جميع النطاقات.

إضافات وملحقات عميل البريد الإلكتروني غير مُدارة

لا يتم تقييد إضافات وملحقات عميل البريد الإلكتروني من خلال سياسة المجموعة أو إدارة التكوين، مما يسمح للمستخدمين بتثبيت إضافات أطراف ثالثة غير مفحوصة يمكنها الوصول إلى جميع محتوى البريد الإلكتروني والمرفقات.

متطلبات الأدلة

النوع عنصر الدليل تكرار الجمع
وثيقة وثيقة السياسة الحاكمة (حالية، معتمدة، مُبلغة) يُراجع سنوياً

قوالب السياسات ذات الصلة