CISA تكشف عن أداتي فحص الأمن السحابي للوكالات الفيدرالية «ScubaGear 2.0» و«ScubaGoggles 1.1»... وتستحدث سياسة لحظر وكلاء الذكاء الاصطناعي عالي الخطورة
واشنطن، الولايات المتحدة
أعلنت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) عن تحديثات رئيسية لأداتي «ScubaGear» و«ScubaGoggles»، وهما أداتان مجانيتان لتقييم إعدادات أمان بيئات العمل السحابية للوكالات الفيدرالية والمؤسسات العامة والخاصة. وأعلنت CISA في 27 أكتوبر (بالتوقيت المحلي) عبر مدونتها الرسمية عن إطلاق أداة التقييم ScubaGear 2.0 المخصصة لـ Microsoft 365 (M365) وأداة التقييم ScubaGoggles 1.1.0 المخصصة لـ Google Workspace (GWS)، وذلك ضمن مشروع «تطبيقات الأعمال السحابية الآمنة (SCuBA·Secure Cloud Business Applications)».
نُشرت التدوينة باسم كريس بوتيرا (Chris Butera)، القائم بأعمال النائب الأول لمدير الأمن السيبراني في CISA. ووصفت CISA هذا التحديث بأنه "قفزة كبيرة إلى الأمام (a major leap forward)" لمشروع SCuBA.
"قدرة الوكالات الفيدرالية على الامتثال للتوجيه التشغيلي الملزم 25-01"
وفقًا لـ CISA، يوفر تحديث أداتي التقييم وخطوط الأساس للتكوين الآمن (SCB·secure configuration baselines) لكل من M365 وGWS القدرة للوكالات الفيدرالية على الامتثال للتوجيه التشغيلي الملزم (BOD·Binding Operational Directive) رقم 25-01، ويقدم للمؤسسات العامة والخاصة تدابير لرفع مستوى الأمان السحابي.
وذكرت CISA في مدونتها: "سواء كنت تدافع عن وكالة فيدرالية، أو تدير تكنولوجيا المعلومات لحكومة ولاية أو حكومة محلية أو قبلية أو إقليمية (SLTT)، أو تشرف على الاستراتيجية السحابية لمؤسسة خاصة، فإن التحدي واحد: حماية البيئات السحابية الحديثة من التهديدات المتطورة". وأعلنت CISA أن هذه التحديثات هي نتيجة مباشرة لاختبارات صارمة، وتبادل للخبرات، وتعاون مستمر مع الشركاء الفيدراليين، والمدافعين عن شبكات SLTT، والجهات المعنية في القطاع الخاص.
كما نشرت CISA في 28 أكتوبر عبر حسابها الرسمي على منصة X: "منذ الإصدار الأولي لأداتي ScubaGear وScubaGoggles، تعاونّا مع الشركاء في الحكومة وقطاع الصناعة لضمان قدرة الأدوات على مواجهة التهديدات المتطورة"، مضيفة: "تعرفوا على الكيفية التي يمكن أن تساعد بها هذه التحديثات في رفع مستوى الأمان السحابي لمؤسساتكم".
Since the initial release of ScubaGear and ScubaGoogles, we have collaborated with government and industry partners to ensure our tools are able to meet evolving threats. See how these updates can help elevate your organizations cloud security posture: https://t.co/hQEzpfz4Kg pic.twitter.com/snOPNajdaD
— Cybersecurity and Infrastructure Security Agency (@CISAgov) 2026년 10월 28일
ScubaGoggles 1.1.0… التخلي عن الاعتماد على سجلات المسؤولين وإدخال واجهة مستخدم رسومية (GUI)
بحسب CISA، تتيح أداة ScubaGoggles 1.1.0 لمديري GWS وخبراء الأمن السيبراني رؤية أفضل لحالة أمان GWS. ولا يعتمد الإصدار الجديد على أحداث سجلات المسؤولين، مما يحل مشكلات الرؤية القديمة مثل فترات الاحتفاظ القصيرة بالسجلات والإعدادات الافتراضية المخفية. كما خفض الإصدار الجديد عائق الاستخدام بشكل كبير من خلال إدخال واجهة مستخدم رسومية (GUI) مزودة بميزات التحقق والتصدير المضمنة، دون الحاجة إلى إنشاء ملفات YAML وإدارتها باستخدام محررات النصوص.
كما أصبحت خطوط الأساس أكثر دقة وشفافية. فقد أدرجت CISA خط أساس جديدًا باسم "عناصر التحكم المضمونة (Assured controls)" لتمكين الفرق التي تعاني من نقص الموظفين والموارد من نشر مجموعة جديدة عالية الموثوقية من عناصر التحكم المصممة خصيصًا لبيئات GWS. وأعلنت CISA أنه مع دمج المؤسسات للذكاء الفائق التوليدي (generative Super Intelligence·SI) في أعمالها اليومية، يجب أن يواكب الأمان ذلك التطور، مشيرة إلى توسيع نطاق عناصر التحكم للمساعدة في تكوين Google Gemini بأمان. كما يوفر التكامل مع واجهة برمجة تطبيقات سياسات Google (Google Policy API) إمكانية رؤية لحالة الأمان في الوقت الفعلي تقريبًا، مما يتيح لمسؤولي الأمان اتخاذ قرارات أسرع قائمة على البيانات استنادًا إلى الإعدادات الحالية.
ووفقًا لملاحظات إصدار ScubaGoggles 1.1.0 المنشورة على GitHub، لا توجد في هذا الإصدار أي إضافات أو عمليات حذف أو تغييرات في الإصدار لسياسات التكوين الإلزامية الخاصة بـ BOD 25-01. وتضمنت ملاحظات الإصدار إضافة سياسة جديدة متعلقة بـ Google Meet وهي GWS.MEET.6.3v1، إلى جانب ميزة التقييم باستخدام واجهة برمجة تطبيقات سياسات Google، وإنشاء مخرجات إصدار كتالوج OSCAL لخطوط أساس SCuBA، والانتقال بخطوط أساس Gemini من مرحلة ألفا (Alpha) إلى مرحلة بيتا (Beta).
ScubaGear 2.0… "التحديث الأكثر شمولاً منذ إطلاق الأداة"
أعلنت CISA أن ScubaGear 2.0 يمثل التحديث الأكثر شمولاً للأداة منذ إطلاقها. فقد أعادت هيكلة إطار عمل خطوط الأساس بالكامل لتمكين الجهات المعنية من الشركات والحكومة من التحكم بشكل أفضل في بيئات M365. ووفقًا لـ CISA، تُجري أداة ScubaGear الآن استدعاءات REST API مباشرة عبر جميع منتجات M365 المدعومة لإجراء تقييمات أسرع وأكثر دقة، كما أدخلت تقييمات مؤتمتة بالكامل حديثًا لـ Power BI.
كما نشر حساب الأمن السيبراني في CISA (@CISACyber) على منصة X الرسمية خبر تحديث خطوط أساس تكوين Microsoft 365 وإطلاق ScubaGear v2.0.0، مسلطًا الضوء على استدعاءات REST API المباشرة، وتغطية الفحص المؤتمت لـ Power BI، وخط أساس جديد لحزمة الأمان باعتبارها التغييرات الرئيسية.
We released updated Microsoft 365 configuration baselines and ScubaGear v2.0.0, featuring direct REST API calls, automated Power BI coverage, and a new Security Suite baseline to streamline M365 security.🧑💻🔗 https://t.co/aYB3Hldf66 pic.twitter.com/F2HjBB2k7m
— CISA Cyber (@CISACyber) 2026년 10월 27일
يجمع خط أساس "حزمة الأمان (Security Suite)" الجديد عناصر التحكم من Defender وPurview وExchange Online وTeams في إطار عمل موحد واحد لتحقيق أقصى قدر من التغطية الدفاعية. كما تم تعزيز سياسات إدارة التطبيقات، وإضافة ميزة جديدة لتقييم درجات الخطورة لمساعدة فرق الأمان على تحديد التطبيقات الخطرة وتحديد أولوياتها بسرعة. وجرى تحسين واجهة مستخدم التكوين (Config UI) لتبسيط نقل السياسات وتضمين عارض للسياسات لتسهيل تصفح وثائق خطوط الأساس المعقدة.
وفقًا لملاحظات إصدار GitHub… حظر وكلاء الذكاء الاصطناعي الخطرين كسياسة "إلزامية (SHALL)"
وفقًا لملاحظات إصدار ScubaGear v2.0.0 المنشورة على GitHub، تمت إضافة العديد من السياسات التي تؤثر على التكوينات الإلزامية لـ BOD 25-01. وتعد السياسة الجديدة MS.AAD.9.1v1 سياسة "إلزامية (SHALL)" تتطلب حظر وكلاء الذكاء الاصطناعي الخطرين. وأوضحت ملاحظات الإصدار أنه نظرًا لأن وكلاء الذكاء الاصطناعي يمكنهم الوصول إلى موارد المستأجر والتصرف بشكل مستقل، فإن حظر الوكلاء الذين يُظهرون سلوكًا خطيرًا يقلل من مخاطر الوصول غير المصرح به والاستغلال المؤتمت. وتتطلب هذه السياسة ترخيص Microsoft Entra ID P2 وMicrosoft Agent 365 أو Microsoft 365 E7، ولا تنطبق على مستأجري GCC High ووزارة الدفاع (DoD).
وبحسب ملاحظات الإصدار، تتطلب السياسة MS.AAD.3.5v2 تعطيل أضعف وسائل المصادقة: الرسائل النصية القصيرة (SMS)، والمكالمات الصوتية، وكلمات المرور لمرة واحدة (OTP) عبر البريد الإلكتروني. كما تتطلب السياسات المتعلقة بـ SharePoint تقييد المشاركة الخارجية بالمجالات الخارجية المعتمدة أو مستخدمي مجموعات الأمان المعتمدة، وتحديد تاريخ انتهاء صلاحية روابط "أي شخص (Anyone)" بـ 30 يومًا أو أقل، وتعيين أذونات الملفات والمجلدات لهذه الروابط على العرض فقط.
وتتطلب سياسات حزمة الأمان الجديدة حظر رسائل البريد الإلكتروني التي تحتوي على مرفقات قابلة للتنفيذ (.exe و.cmd و.vbe وغيرها)، وإعادة فحص رسائل البريد الإلكتروني بعد تسليمها، وعزل وحذف رسائل البريد الإلكتروني الحاملة للبرمجيات الخبيثة، وتطبيق سياسات منع فقدان البيانات (DLP) لحظر أرقام بطاقات الائتمان وأرقام التعريف الضريبي الفردية الأمريكية (ITIN) وأرقام الضمان الاجتماعي (SSN) كحد أدنى، وضبط الحد الأدنى من التنبيهات، وتمكين سجل التدقيق الموحد. وذكرت ملاحظات الإصدار أن هذه السياسات تحل محل سياسات Defender الحالية.
كما تضمنت ملاحظات الإصدار تحسينات وظيفية؛ منها إضافة ميزة تصدير نتائج فحص التطبيقات الخطرة إلى ملف CSV، وأمر «Invoke-SCuBADiff» للمقارنة بين نتائج عمليتي تقييم (ScubaResults.json)، وجدول المستخدمين ذوي الامتيازات في التقارير، وعرض اسم نطاق المستأجر في التقارير الخاصة بكل منتج. وتم نقل عمليات تقييم Exchange Online إلى أسلوب استدعاءات REST، بالإضافة إلى تعديل يحدد جلسات Graph على مستوى العملية لضمان عدم بقاء رموز مميزة قابلة لإعادة الاستخدام بعد قطع الاتصال بالمستأجر.
BOD 25-01… إلزام الوكالات الفيدرالية بضبط إعدادات الأمان السحابي
أصدرت CISA في 17 ديسمبر 2024 التوجيه التشغيلي الملزم BOD 25-01 بعنوان "تنفيذ الممارسات الآمنة للخدمات السحابية (Implementing Secure Practices for Cloud Services)". ووفقًا لـ CISA، فإن التوجيه التشغيلي الملزم (BOD) هو توجيه إلزامي يستند إلى القانون الفيدرالي (44 U.S.C. §3552(b)(1))، ويجب على الإدارات والوكالات التنفيذية الفيدرالية اتباعه لحماية المعلومات الفيدرالية وأنظمة المعلومات.
ووفقًا للتوجيه، فإنه لا ينطبق على "أنظمة الأمن القومي" المحددة قانونًا وبعض الأنظمة التي تديرها وزارة الدفاع ومجتمع الاستخبارات، وإنما ينطبق على أنظمة "الفرع التنفيذي المدني الفيدرالي (FCEB)".
وأوضح BOD 25-01 خلفية صدوره مشيرًا إلى أن "جهات التهديد الخبيثة تستهدف بشكل متزايد البيئات السحابية وطوّرت أساليب للوصول الأولي إلى السحابة"، و"في حوادث الأمن السيبراني الأخيرة، تسبب التكوين غير السليم لعناصر التحكم في أمان البيئات السحابية في مخاطر كبيرة وأدى إلى اختراقات فعلية". وذكر التوجيه أنه لمواجهة هذه التهديدات، أطلقت CISA مشروع SCuBA، الذي طوّر من خلاله خطوط أساس متسقة وقابلة للإدارة لتكوين الأمان السحابي وأدوات للتقييم.
ويُلزم التوجيه كل وكالة بتنفيذ خطوط أساس التكوين الآمن لـ SCuBA، ونشر أدوات تقييم التكوين المؤتمتة التي طورتها CISA، والتكامل مع نظام المراقبة المستمرة لـ CISA، وتصحيح الإعدادات التي تنحرف عن خطوط الأساس. وتنطبق المتطلبات الإلزامية فقط على السياسات المحددة بعبارة "يجب (shall)" في وثائق خطوط الأساس، بينما تُترك السياسات المحددة بعبارة "ينبغي (should)" لتقدير الوكالة. ووفقًا للتوجيه، فإن خطوط الأساس التي لا يتم تجديدها في غضون عام واحد تسقط تلقائيًا من نطاق التطبيق وتُحذف من قائمة خطوط الأساس. وألزم التوجيه الوكالات الفيدرالية بإعداد قائمة حصر بمستأجري السحابة المعنيين بحلول 21 فبراير 2025، ونشر أدوات تقييم CISA بحلول 25 أبريل 2025، وتنفيذ السياسات الإلزامية بحلول 20 يونيو 2025. ويجب تحديث قائمة المستأجرين سنويًا في الربع الأول. ويجب الإبلاغ عن نتائج التقييم تلقائيًا من خلال التكامل مع حلول المراقبة المستمرة لـ CISA، أو الإبلاغ عنها مباشرة كل ربع سنة باستخدام نتائج أحدث إصدار من أدوات التقييم بتنسيق قابل للقراءة آليًا ومعتمد من CISA.
وبحسب CISA، أُطلق مشروع SCuBA في عام 2022 لسد ثغرات الأمن السيبراني والرؤية التي كشفت عنها عمليات التسلل والاختراق السيبراني للبرمجيات كخدمة (SaaS). ورغم أن هدفه الرئيسي هو حماية معلومات الفرع التنفيذي المدني الفيدرالي في البيئات السحابية، إلا أنه يمكن لجميع المؤسسات الاستفادة من SCuBA لتعزيز أمان SaaS. وتقارن كلتا أداتي التقييم إعدادات مستأجري M365 وGWS الحالية للمؤسسة مع خطوط أساس CISA، وتستعرضان المجالات التي تحتاج إلى تحسينات أمنية في تقارير مرئية. كما اعتمدت CISA ونشرت على صفحة ويب SCuBA وثيقة "إرشادات حلول الهوية الهجينة (Hybrid Identity Solutions Guidance)"، التي تناولت أساليب وتحديات التشغيل البيني بين إدارة الهوية المحلية والقائمة على السحابة. وتوفر CISA أدوات التقييم هذه مجانًا على صفحة ويب مشروع SCuBA. وأوصت CISA مستخدمي الوكالات الفيدرالية، والجهات المعنية بالأمان السحابي، ومديري SLTT، وعامة الجمهور الذين يعتمدون على بنية تحتية رقمية آمنة بتنزيل أدوات التقييم المحدثة وتنفيذ خطوط الأساس. كما تستقبل CISA الاستفسارات والآراء لتحسين إرشادات تنفيذ خطوط الأساس أو أدوات التقييم عبر البريد الإلكتروني لفريق SCuBA (scuba@cisa.dhs.gov).
المصادر (بتوقيت كوريا KST)
- مدونة وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA)، مقال «CISA Publishes Significant Updates to ScubaGear and ScubaGoggles» (2026-10-27): https://www.cisa.gov/news-events/news/cisa-publishes-significant-updates-scubagear-and-scubagoggles
- التوجيه التشغيلي الملزم لوكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA)، وثيقة «BOD 25-01: Implementing Secure Practices for Cloud Services» (2024-12-17): https://www.cisa.gov/news-events/directives/bod-25-01-implementing-secure-practices-cloud-services
- وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA)، «Secure Cloud Business Applications (SCuBA) Project»: https://www.cisa.gov/resources-tools/services/secure-cloud-business-applications-scuba-project
- ملاحظات إصدار CISA على GitHub، «ScubaGear v2.0.0»: https://github.com/cisagov/ScubaGear/releases/tag/v2.0.0
- ملاحظات إصدار CISA على GitHub، «ScubaGoggles v1.1.0»: https://github.com/cisagov/ScubaGoggles/releases/tag/v1.1.0
- منشور الحساب الرسمي لوكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) على منصة X (2026-10-28): https://x.com/CISAgov/status/2115414807931199727
- منشور الحساب الرسمي للأمن السيبراني في وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) على منصة X: https://x.com/CISACyber/status/2115069767019077977