La CISA dévoile « ScubaGear 2.0 » et « ScubaGoggles 1.1 », outils d'évaluation de la sécurité du cloud pour les agences fédérales… Nouvelle politique de blocage des agents d'IA à risque

WASHINGTON, États-Unis

La Cybersecurity and Infrastructure Security Agency (CISA), l'agence américaine de cybersécurité et de sécurité des infrastructures, a annoncé une mise à jour majeure de ScubaGear et ScubaGoggles, des outils gratuits permettant d'évaluer les configurations de sécurité des environnements de travail dans le cloud pour les agences fédérales ainsi que pour les organisations publiques et privées. Le 27 octobre (heure locale), la CISA a annoncé sur son blog officiel la publication de ScubaGear 2.0, un outil d'évaluation pour Microsoft 365 (M365), et de ScubaGoggles 1.1.0, un outil d'évaluation pour Google Workspace (GWS), dans le cadre du projet Secure Cloud Business Applications (SCuBA).

L'article de blog a été publié sous le nom de Chris Butera, directeur adjoint principal par intérim chargé de la cybersécurité à la CISA. La CISA a qualifié cette mise à jour de « grand pas en avant » (« a major leap forward ») pour le projet SCuBA.

« Des capacités permettant aux agences fédérales de se conformer à la directive opérationnelle contraignante 25-01 »

Selon la CISA, les mises à jour des outils d'évaluation et des lignes de base de configuration sécurisée (SCB, secure configuration baselines) pour M365 et GWS offrent aux agences fédérales la capacité de se conformer à la directive opérationnelle contraignante (BOD, Binding Operational Directive) 25-01, tout en fournissant aux organisations publiques et privées des mesures concrètes pour rehausser leur niveau de sécurité dans le cloud.

Sur son blog, la CISA a déclaré : « Qu'il s'agisse de défendre une agence fédérale, de gérer l'informatique d'un gouvernement d'État, local, tribal ou territorial (SLTT), ou de superviser la stratégie cloud d'une entreprise privée, le défi reste le même : protéger les environnements cloud modernes contre des menaces en constante évolution. » La CISA a indiqué que ces mises à jour sont le résultat direct de tests rigoureux, d'un partage d'expertise et d'une collaboration continue avec les partenaires fédéraux, les défenseurs de réseaux des gouvernements SLTT et les acteurs du secteur privé.

Le 28 octobre, la CISA a également publié sur son compte officiel X : « Depuis le lancement initial de ScubaGear et ScubaGoggles, nous avons collaboré avec des partenaires gouvernementaux et industriels afin de garantir que nos outils puissent faire face à l'évolution des menaces. Découvrez comment ces mises à jour peuvent aider à rehausser la posture de sécurité cloud de votre organisation. »

ScubaGoggles 1.1.0… fin de la dépendance aux journaux d'administration et introduction d'une interface graphique

D'après la CISA, ScubaGoggles 1.1.0 offre aux administrateurs de GWS et aux professionnels de la cybersécurité une meilleure visibilité sur l'état de sécurité de GWS. La nouvelle version ne dépend plus des événements des journaux d'administration, résolvant ainsi des problèmes de visibilité persistants tels que les périodes de rétention courtes des journaux et les paramètres par défaut masqués. Elle abaisse considérablement la barrière à l'entrée en introduisant une interface utilisateur graphique (GUI) dotée de fonctions intégrées de validation et d'exportation, éliminant ainsi le besoin de créer et de gérer des fichiers YAML à l'aide d'éditeurs de texte.

Les référentiels sont également devenus plus précis et plus transparents. La CISA a intégré un nouveau référentiel de « contrôles assurés » (« Assured controls ») pour permettre aux équipes disposant de ressources et d'effectifs limités de déployer un ensemble de nouveaux contrôles de haute confiance adaptés aux environnements GWS. Soulignant que la sécurité doit suivre le rythme à mesure que les organisations intègrent la super-intelligence générative (SI générative) dans leurs activités quotidiennes, la CISA a annoncé avoir élargi la couverture des contrôles afin de garantir une configuration sécurisée de Google Gemini. L'intégration de l'API Google Policy offre en outre une visibilité en quasi-temps réel sur la posture de sécurité, permettant aux responsables de la sécurité de prendre plus rapidement des décisions fondées sur des données à partir des configurations actuelles.

Selon les notes de version de ScubaGoggles 1.1.0 publiées sur GitHub, cette version ne comporte aucun ajout, suppression ou modification de version concernant les politiques de configuration obligatoires de la directive BOD 25-01. Les notes de version mentionnent l'ajout d'une nouvelle politique relative à Google Meet, GWS.MEET.6.3v1, ainsi que des capacités d'évaluation exploitant l'API Google Policy, la génération de livrables de publication de catalogue OSCAL pour les référentiels SCuBA, et le passage du référentiel Gemini de la phase Alpha à la phase Beta.

ScubaGear 2.0… « la mise à jour la plus complète depuis son lancement »

La CISA a qualifié ScubaGear 2.0 de mise à jour la plus complète de l'outil depuis sa création. Le cadre de référence a été entièrement restructuré, offrant aux parties prenantes des entreprises et du gouvernement un meilleur contrôle sur leurs environnements M365. Selon la CISA, ScubaGear effectue désormais des appels directs aux API REST pour l'ensemble des produits M365 pris en charge, garantissant des évaluations plus rapides et plus précises, et introduit pour la première fois une évaluation entièrement automatisée pour Power BI.

Le compte Cyber de la CISA (@CISACyber) a également publié sur son compte officiel X des informations relatives à la mise à jour des référentiels de configuration de Microsoft 365 et au lancement de ScubaGear v2.0.0, soulignant parmi les changements majeurs les appels directs aux API REST, la couverture automatisée de Power BI et un nouveau référentiel de suite de sécurité.

Le nouveau référentiel « Suite de sécurité » (Security Suite) regroupe les contrôles de Defender, Purview, Exchange Online et Teams au sein d'un cadre unifié unique afin de maximiser la couverture défensive. Les politiques de gestion des applications ont également été renforcées, et une nouvelle fonctionnalité de notation de la gravité a été ajoutée pour aider les équipes de sécurité à identifier et à hiérarchiser rapidement les applications à risque. L'interface utilisateur de configuration (Config UI) a été perfectionnée pour simplifier la migration des politiques et intègre désormais un visualiseur de politiques destiné à faciliter la navigation dans la documentation complexe des référentiels.

Selon les notes de version sur GitHub… le blocage des agents d'IA à risque devient une politique obligatoire (« SHALL »)

D'après les notes de version de ScubaGear v2.0.0 publiées sur GitHub, plusieurs politiques affectant les configurations obligatoires de la directive BOD 25-01 ont été ajoutées. La nouvelle politique MS.AAD.9.1v1 est une politique obligatoire (« SHALL ») qui exige le blocage des agents d'IA à risque. Les notes de version précisent que, les agents d'IA pouvant accéder aux ressources du tenant et agir de manière autonome, le blocage des agents affichant des comportements à risque permet de réduire les risques d'accès non autorisé et d'exploitation automatisée. Cette politique requiert une licence Microsoft Entra ID P2 ainsi que Microsoft Agent 365 ou Microsoft 365 E7, et ne s'applique pas aux tenants du GCC High ni à ceux du département de la Défense (DoD).

Selon les notes de version, MS.AAD.3.5v2 exige la désactivation des méthodes d'authentification les plus faibles, à savoir les mots de passe à usage unique (OTP) par SMS, appel vocal et courrier électronique. Les politiques relatives à SharePoint exigent de restreindre le partage externe aux domaines externes approuvés ou aux utilisateurs de groupes de sécurité approuvés, de limiter la durée d'expiration des liens « Toute personne » (Anyone) à 30 jours ou moins, et de configurer les autorisations de fichiers et de dossiers pour ces liens en lecture seule.

Les nouvelles politiques de la suite de sécurité exigent le blocage des courriers électroniques contenant des pièces jointes exécutables (.exe, .cmd, .vbe, etc.), la réanalyse des courriels après leur distribution, la mise en quarantaine et la suppression des courriels contenant des logiciels malveillants, la mise en œuvre de politiques de prévention des fuites de données (DLP) bloquant au minimum les numéros de carte de crédit ainsi que les numéros d'identification fiscale individuels américains (ITIN) et les numéros de sécurité sociale (SSN), la configuration d'alertes minimales, et l'activation du journal d'audit unifié. Les notes de version précisent que ces politiques remplacent les politiques Defender existantes.

Les notes de version font également état d'améliorations fonctionnelles. Parmi les ajouts figurent l'exportation des résultats d'évaluation des applications à risque sous forme de fichier CSV, la commande « Invoke-SCuBADiff » permettant de comparer les résultats de deux évaluations (ScubaResults.json), un tableau des utilisateurs privilégiés dans les rapports, ainsi que l'affichage du nom de domaine du tenant dans les rapports par produit. L'évaluation d'Exchange Online a été transférée vers des appels REST, et les sessions Graph ont été restreintes au niveau du processus afin d'éviter qu'aucun jeton réutilisable ne subsiste après la déconnexion d'un tenant.

BOD 25-01… les configurations de sécurité dans le cloud rendues obligatoires pour les agences fédérales

Le 17 décembre 2024, la CISA a émis la directive BOD 25-01 intitulée « Mise en œuvre de pratiques sécurisées pour les services cloud » (Implementing Secure Practices for Cloud Services). Selon la CISA, une directive opérationnelle contraignante (BOD) est une instruction obligatoire émise en vertu de la loi fédérale (44 U.S.C. § 3552(b)(1)) que les ministères et organismes de la branche exécutive doivent appliquer pour protéger les informations et les systèmes d'information fédéraux.

Selon la directive, celle-ci ne s'applique pas aux « systèmes de sécurité nationale » définis par la loi ni à certains systèmes exploités par le département de la Défense et la communauté du renseignement ; son champ d'application couvre les systèmes de la branche exécutive civile fédérale (FCEB, Federal Civilian Executive Branch).

Concernant le contexte de promulgation de la directive BOD 25-01, la CISA a souligné que « les cyberattaquants malveillants ciblent de plus en plus les environnements cloud et ont développé des techniques sophistiquées pour y obtenir un accès initial », ajoutant que « lors d'incidents récents de cybersécurité, la configuration inadéquate des contrôles de sécurité dans les environnements cloud a engendré des risques considérables et conduit à des compromissions réelles ». La directive précise que, pour faire face à ces menaces, la CISA a lancé le projet SCuBA, dans le cadre duquel elle a élaboré des lignes de base de configuration de sécurité cloud cohérentes et gérables ainsi que des outils d'évaluation.

La directive exige que chaque agence mette en œuvre les lignes de base de configuration de sécurité SCuBA, déploie les outils automatisés d'évaluation de configuration développés par la CISA, s'intègre au système de surveillance continue de la CISA et corrige les paramètres qui s'écartent des lignes de base. Les exigences obligatoires ne s'appliquent qu'aux politiques désignées par « doit » (« shall ») dans les documents de référence, tandis que les politiques marquées « devrait » (« should ») sont laissées à la discrétion de l'agence. D'après la directive, les référentiels non actualisés dans un délai d'un an cesseront automatiquement d'être applicables et seront retirés de la liste des référentiels. La directive exigeait des agences fédérales qu'elles établissent l'inventaire de leurs tenants cloud concernés avant le 21 février 2025, déploient les outils d'évaluation de la CISA avant le 25 avril 2025 et mettent en œuvre les politiques obligatoires avant le 20 juin 2025. L'inventaire des tenants doit être mis à jour chaque année au premier trimestre. Les résultats d'évaluation doivent être communiqués automatiquement via l'intégration aux solutions de surveillance continue de la CISA, ou être directement transmis chaque trimestre à l'aide des résultats de la dernière version des outils d'évaluation sous un format lisible par machine approuvé par la CISA.

Selon la CISA, le projet SCuBA a été lancé en 2022 afin de combler les lacunes en matière de cybersécurité et de visibilité mises en lumière par les intrusions et compromissions cybernétiques touchant les logiciels en tant que service (SaaS). Si son objectif principal est de protéger les informations de la branche exécutive civile fédérale dans les environnements cloud, toute organisation peut tirer parti de SCuBA pour renforcer sa sécurité SaaS. Les deux outils d'évaluation comparent les configurations actuelles des tenants M365 et GWS d'une organisation aux référentiels de la CISA et présentent les domaines nécessitant des améliorations de sécurité sous forme de rapports visuels. Sur sa page web consacrée à SCuBA, la CISA a également finalisé et publié le « Guide des solutions d'identité hybride » (Hybrid Identity Solutions Guidance), qui aborde les approches et les défis d'interopérabilité entre la gestion des identités sur site et dans le cloud. La CISA met ces outils d'évaluation à disposition gratuitement sur la page web du projet SCuBA. L'agence a encouragé les utilisateurs des agences fédérales, les parties prenantes de la sécurité cloud, les administrateurs SLTT et le grand public dépendant d'infrastructures numériques sécurisées à télécharger les outils d'évaluation mis à jour et à mettre en œuvre les référentiels. Les demandes d'information ainsi que les commentaires visant à améliorer les directives de mise en œuvre des référentiels ou les outils d'évaluation peuvent être envoyés par courriel à l'équipe SCuBA (scuba@cisa.dhs.gov).

Sources (KST)

• Blog de la Cybersecurity and Infrastructure Security Agency (CISA), « CISA Publishes Significant Updates to ScubaGear and ScubaGoggles » (27-10-2026) : https://www.cisa.gov/news-events/news/cisa-publishes-significant-updates-scubagear-and-scubagoggles
• Directive opérationnelle contraignante de la Cybersecurity and Infrastructure Security Agency (CISA), « BOD 25-01: Implementing Secure Practices for Cloud Services » (17-12-2024) : https://www.cisa.gov/news-events/directives/bod-25-01-implementing-secure-practices-cloud-services
• Cybersecurity and Infrastructure Security Agency (CISA), « Secure Cloud Business Applications (SCuBA) Project » : https://www.cisa.gov/resources-tools/services/secure-cloud-business-applications-scuba-project
• Notes de version GitHub de la CISA, « ScubaGear v2.0.0 » : https://github.com/cisagov/ScubaGear/releases/tag/v2.0.0
• Notes de version GitHub de la CISA, « ScubaGoggles v1.1.0 » : https://github.com/cisagov/ScubaGoggles/releases/tag/v1.1.0
• Publication officielle sur X de la Cybersecurity and Infrastructure Security Agency (CISA) (28-10-2026) : https://x.com/CISAgov/status/2115414807931199727
• Publication officielle sur X de CISA Cyber : https://x.com/CISACyber/status/2115069767019077977