CISA חושפת את כלי בדיקת אבטחת הענן לסוכנויות פדרליות "ScubaGear 2.0" ו-"ScubaGoggles 1.1"… מדיניות חדשה לחסימת סוכני AI מסוכנים
וושינגטון, ארצות הברית
סוכנות אבטחת הסייבר ואבטחת התשתיות של ארה"ב (CISA) הודיעה על עדכונים משמעותיים ל-ScubaGear ול-ScubaGoggles, כלים חינמיים הבודקים את הגדרות האבטחה של סביבות עבודה בענן עבור סוכנויות פדרליות וכן ארגונים ציבוריים ופרטיים. ב-27 באוקטובר (שעון מקומי), הודיעה CISA בבלוג הרשמי שלה על שחרורם של ScubaGear 2.0, כלי בדיקה עבור Microsoft 365 (M365), ושל ScubaGoggles 1.1.0, כלי בדיקה עבור Google Workspace (GWS), במסגרת פרויקט Secure Cloud Business Applications (SCuBA).
הפוסט בבלוג פורסם תחת שמו של כריס בוטרה (Chris Butera), ממלא מקום סגן מנהל בכיר לאבטחת סייבר ב-CISA. ב-CISA תיארו את העדכון כ-"צעד גדול קדימה (a major leap forward)" עבור פרויקט SCuBA.
"יכולות עבור סוכנויות פדרליות לעמוד בהנחיה המבצעית המחייבת 25-01"
לפי CISA, עדכוני כלי הבדיקה וקווי הבסיס לתצורת אבטחה (SCB · secure configuration baselines) עבור M365 ו-GWS מעניקים לסוכנויות פדרליות את היכולת לעמוד בהנחיה המבצעית המחייבת (BOD · Binding Operational Directive) 25-01, בעוד שהם מספקים לארגונים ציבוריים ופרטיים צעדים מעשיים להעלאת רמת אבטחת הענן שלהם.
ב-CISA ציינו בבלוג: "בין אם מגנים על סוכנות פדרלית, מנהלים IT עבור ממשל מדינתי, מקומי, שבטי או טריטוריאלי (SLTT), או מפקחים על אסטרטגיית ענן של מיזם פרטי, האתגר זהה: הגנה על סביבות ענן מודרניות מפני איומים מתפתחים". CISA הודיעה כי העדכונים הם תוצאה ישירה של בדיקות קפדניות, שיתוף מומחיות ושיתוף פעולה מתמשך עם שותפים פדרליים, מגיני רשתות SLTT ובעלי עניין במגזר הפרטי.
ב-28 באוקטובר פרסמה CISA גם בחשבון ה-X הרשמי שלה: "מאז השחרור הראשוני של ScubaGear ו-ScubaGoggles, שיתפנו פעולה עם שותפים בממשל ובתעשייה כדי להבטיח שהכלים שלנו יוכלו להתמודד עם איומים מתפתחים. ראו כיצד עדכונים אלה יכולים לסייע בהעלאת רמת אבטחת הענן של הארגון שלכם".
Since the initial release of ScubaGear and ScubaGoogles, we have collaborated with government and industry partners to ensure our tools are able to meet evolving threats. See how these updates can help elevate your organizations cloud security posture: https://t.co/hQEzpfz4Kg pic.twitter.com/snOPNajdaD
— Cybersecurity and Infrastructure Security Agency (@CISAgov) 2026년 10월 28일
ScubaGoggles 1.1.0: ביטול התלות ביומני מנהל והטמעת GUI
לפי CISA, גרסת ScubaGoggles 1.1.0 מעניקה למנהלי מערכת ולמומחי אבטחת סייבר של GWS נראות טובה יותר של מצב אבטחת ה-GWS. הגרסה החדשה אינה נסמכת על אירועי יומן מנהל, ובכך פותרת בעיות נראות ותיקות כמו תקופות שמירת יומנים קצרות והגדרות ברירת מחדל נסתרות. היא מפחיתה משמעותית את חסמי הכניסה באמצעות הטמעת ממשק משתמש גרפי (GUI) עם יכולות אימות וייצוא מובנות, ללא צורך ביצירה וניהול של קובצי YAML באמצעות עורכי טקסט.
גם קווי הבסיס הפכו למדויקים ושקופים יותר. CISA כללה לאחרונה קו בסיס של "בקרות מובטחות (Assured controls)" כדי לאפשר לצוותים בעלי משאבים דלים לפרוס מערך בקרות חדש ברמת ביטחון גבוהה המותאם לסביבות GWS. ב-CISA ציינו כי ככל שארגונים מטמיעים אינטליגנציית-על יוצרת (generative Super Intelligence · SI) בתהליכי העבודה היומיומיים שלהם, האבטחה חייבת לעמוד בקצב, והודיעו על הרחבת בקרות המסייעות להבטיח כי Google Gemini מוגדר בצורה מאובטחת. אינטגרציה עם ה-Policy API של Google מספקת גם נראות כמעט בזמן אמת של מצב האבטחה, ומאפשרת למובילי אבטחה לקבל החלטות מבוססות-נתונים במהירות רבה יותר על סמך ההגדרות הנוכחיות.
על פי הערות השחרור של ScubaGoggles 1.1.0 שפורסמו ב-GitHub, בגרסה זו אין תוספות, מחיקות או שינויי גרסה למדיניות התצורה המחייבת של BOD 25-01. הערות השחרור ציינו את הוספתה של מדיניות Google Meet חדשה, GWS.MEET.6.3v1, לצד יכולות בדיקה הממנפות את Google Policy API, יצירת תוצרי הפצה של קטלוג OSCAL עבור קווי הבסיס של SCuBA, ומעבר של קווי הבסיס של Gemini משלב Alpha לשלב Beta.
ScubaGear 2.0: "העדכון המקיף ביותר מאז ההשקה"
CISA הודיעה כי ScubaGear 2.0 הוא העדכון המקיף ביותר לכלי מאז השקתו. הוא עיצב מחדש לחלוטין את מסגרת קווי הבסיס, והעניק לבעלי עניין בארגונים ובממשל שליטה רבה יותר בסביבות ה-M365 שלהם. לפי CISA, כעת ScubaGear מבצע קריאות REST API ישירות בכל מוצרי M365 הנתמכים לבדיקות מהירות ומדויקות יותר, וכן מציג לראשונה בדיקות אוטומטיות לחלוטין עבור Power BI.
גם חשבון ה-Cyber של CISA (@CISACyber) פרסם ב-X הרשמי על שחרור קווי בסיס מעודכנים לתצורת Microsoft 365 והשקת ScubaGear v2.0.0, והציג קריאות REST API ישירות, כיסוי בדיקות אוטומטי ל-Power BI וקו בסיס חדש לחבילת אבטחה כשינויים מרכזיים.
We released updated Microsoft 365 configuration baselines and ScubaGear v2.0.0, featuring direct REST API calls, automated Power BI coverage, and a new Security Suite baseline to streamline M365 security.🧑💻🔗 https://t.co/aYB3Hldf66 pic.twitter.com/F2HjBB2k7m
— CISA Cyber (@CISACyber) 2026년 10월 27일
קו הבסיס החדש של "חבילת האבטחה (Security Suite)" מאחד בקרות מ-Defender, Purview, Exchange Online ו-Teams לכדי מסגרת אחידה אחת כדי למקסם את כיסוי ההגנה. מדיניות ניהול האפליקציות שודרגה גם היא, ונוספה תכונת דירוג חומרה חדשה המסייעת לצוותי אבטחה לזהות ולתעדף במהירות אפליקציות מסוכנות. ממשק המשתמש לתצורה (Config UI) שופר כדי לפשט את העברת המדיניות ומשלב מציג מדיניות מובנה המאפשר ניווט קל במסמכי קווי בסיס מורכבים.
לפי הערות השחרור ב-GitHub: חסימת סוכני AI מסוכנים הפכה למדיניות חובה (SHALL)
על פי הערות השחרור של ScubaGear v2.0.0 שפורסמו ב-GitHub, נוספו מספר פוליסות המשפיעות על תצורות החובה של BOD 25-01. המדיניות החדשה MS.AAD.9.1v1 היא מדיניות חובה ("SHALL") הדורשת חסימת סוכני AI מסוכנים. הערות השחרור ציינו כי מכיוון שסוכני AI יכולים לגשת למשאבי הדייר (tenant) ולפעול באופן אוטונומי, חסימת סוכנים המפגינים התנהגות מסוכנת מפחיתה את הסיכון לגישה בלתי מורשית ולניצול אוטומטי לרעה. מדיניות זו דורשת רישוי Microsoft Entra ID P2 ו-Microsoft Agent 365 או Microsoft 365 E7, ואינה חלה על דיירי GCC High ודיירי מחלקת ההגנה (DoD).
לפי הערות השחרור, MS.AAD.3.5v2 דורשת השבתה של שיטות האימות החלשות ביותר: מסרוני SMS, שיחות קוליות ואימות בסיסמה חד-פעמית (OTP) בדוא"ל. מדיניות הקשורה ל-SharePoint דורשת הגבלת שיתוף חיצוני לדומיינים חיצוניים מאושרים או למשתמשי קבוצות אבטחה מאושרות, הגדרת תאריך תפוגה של 30 יום או פחות עבור קישורי "Anyone", והגדרת הרשאות קבצים ותיקיות בקישורים אלה לצפייה בלבד.
פוליסות חבילת האבטחה החדשות דורשות חסימת הודעות דוא"ל עם קבצים מצורפים הניתנים להפעלה (.exe, .cmd, .vbe וכו'), סריקה מחדש של הודעות דוא"ל לאחר מסירה, הכנסה להסגר ומחיקה של הודעות דוא"ל המכילות נוזקות, יישום מדיניות מניעת דליפת מידע (DLP) החוסמת לכל הפחות מספרי כרטיסי אשראי, מספרי זיהוי משלם מס אישיים של ארה"ב (ITIN) ומספרי ביטוח לאומי (SSN), הגדרת התראות מינימליות והפעלת יומן ביקורת מאוחד. הערות השחרור ציינו כי מדיניות זו מחליפה את מדיניות Defender הקיימת.
הערות השחרור כללו גם שיפורים תפקודיים. התווספו תכונות כמו ייצוא תוצאות בדיקת יישומים מסוכנים לקובץ CSV, פקודת "Invoke-SCuBADiff" להשוואת תוצאות בין שתי בדיקות (ScubaResults.json), טבלת משתמשים בעלי הרשאות מיוחדות בדוחות, והצגת שם דומיין הדייר בדוחות ספציפיים למוצר. בדיקות Exchange Online הועברו למתכונת קריאות REST, ונכלל תיקון המגביל הפעלות Graph לרמת התהליך כדי להבטיח שלא יישארו אסימונים הניתנים לשימוש חוזר לאחר ניתוק מדייר.
BOD 25-01: חובת הגדרות אבטחת ענן עבור סוכנויות פדרליות
ב-17 בדצמבר 2024 פרסמה CISA את הנחיית BOD 25-01, "Implementing Secure Practices for Cloud Services" (הטמעת נוהלי אבטחה לשירותי ענן). לפי CISA, הנחיית BOD היא הוראה מחייבת המונפקת על פי החוק הפדרלי (44 U.S.C. §3552(b)(1)), שעל מחלקות וסוכנויות ברשות המבצעת למלא כדי להגן על מידע ומערכות מידע פדרליים.
על פי ההנחיה, היא אינה חלה על "מערכות ביטחון לאומי" המוגדרות בחוק או על מערכות מסוימות המופעלות על ידי מחלקת ההגנה וקהילת המודיעין; תחולתה היא על מערכות של "הרשות המבצעת האזרחית הפדרלית (FCEB)".
כחלק מרקע פרסום BOD 25-01 צוין: "גורמי איום זדוניים מכוונים יותר ויותר לסביבות ענן ופיתחו טכניקות מתוחכמות להשגת גישה ראשונית אליהן", וכי "באירועי סייבר מהעת האחרונה, תצורה לקויה של בקרות אבטחה בסביבות ענן יצרה סיכון משמעותי והובילה לפריצות ממשיות". בהנחיה נכתב כי כדי להתמודד עם איומים אלה יזמה CISA את פרויקט SCuBA, ובאמצעותו פיתחה קווי בסיס עקביים וניתנים לניהול לתצורת אבטחת ענן, לצד כלי בדיקה.
ההנחיה דורשת מכל סוכנות ליישם את קווי הבסיס לתצורת אבטחה של SCuBA, לפרוס את כלי בדיקת התצורה האוטומטיים שפותחו על ידי CISA, להשתלב במערך הניטור הרציף של CISA, ולתקן הגדרות החורגות מקווי הבסיס. חובות היישום חלות אך ורק על פוליסות המוגדרות כ-"shall" (חובה) במסמכי קווי הבסיס, בעוד שפוליסות המסומנות כ-"should" (מומלץ) נתונות לשיקול דעתה של הסוכנות. לפי ההנחיה, קווי בסיס שלא יחודשו בתוך שנה אחת ייגרעו אוטומטית מתחולת ההנחיה ויוסרו מרשימת קווי הבסיס. ההנחיה דרשה מסוכנויות פדרליות למפות את רשימת דיירי הענן הרלוונטיים עד ל-21 בפברואר 2025, לפרוס את כלי הבדיקה של CISA עד ל-25 באפריל 2025, וליישם את מדיניות החובה עד ל-20 ביוני 2025. יש לעדכן את מלאי הדיירים מדי שנה ברבעון הראשון. יש לדווח על תוצאות הבדיקה באופן אוטומטי באמצעות אינטגרציה עם פתרונות הניטור הרציף של CISA, או לדווח ישירות מדי רבעון באמצעות תוצאות מהגרסה העדכנית ביותר של כלי הבדיקה בפורמט קריא-מכונה שאושר על ידי CISA.
לפי CISA, פרויקט SCuBA הושק בשנת 2022 כדי לגשר על פערי אבטחת סייבר ונראות שנחשפו עקב חדירות ופגיעות סייבר בתוכנה כשירות (SaaS). אף שמטרתו העיקרית היא הגנה על מידע הרשות המבצעת האזרחית הפדרלית בסביבות ענן, כל ארגון יכול להסתייע ב-SCuBA לחיזוק אבטחת ה-SaaS. שני כלי הבדיקה משווים את הגדרות דיירי ה-M365 וה-GWS הנוכחיות של הארגון מול קווי הבסיס של CISA, ומציגים בדוחות חזותיים תחומים הדורשים שיפור באבטחה. CISA אף גיבשה ופרסמה בדף האינטרנט של SCuBA את "הנחיות לפתרונות זהות היברידיים (Hybrid Identity Solutions Guidance)", העוסקות בדרכי פעולה הדדית ואתגרים בין ניהול זהויות מקומי (on-premises) לניהול מבוסס-ענן. CISA מעמידה כלי בדיקה אלה ללא תשלום בדף הפרויקט של SCuBA. CISA המליצה למשתמשי סוכנויות פדרליות, לבעלי עניין באבטחת ענן, למנהלי SLTT ולציבור הרחב הנשען על תשתית דיגיטלית מאובטחת להוריד את כלי הבדיקה המעודכנים וליישם את קווי הבסיס. שאלות וכן משוב לשיפור הנחיות יישום קווי הבסיס או כלי הבדיקה מתקבלים בדוא"ל של צוות SCuBA בכתובת (scuba@cisa.dhs.gov).
מקורות (KST)
- בלוג סוכנות אבטחת הסייבר ואבטחת התשתיות של ארה"ב (CISA), "CISA Publishes Significant Updates to ScubaGear and ScubaGoggles" (2026-10-27): https://www.cisa.gov/news-events/news/cisa-publishes-significant-updates-scubagear-and-scubagoggles
- הנחיה מבצעית מחייבת של סוכנות אבטחת הסייבר ואבטחת התשתיות של ארה"ב (CISA), "BOD 25-01: Implementing Secure Practices for Cloud Services" (2024-12-17): https://www.cisa.gov/news-events/directives/bod-25-01-implementing-secure-practices-cloud-services
- סוכנות אבטחת הסייבר ואבטחת התשתיות של ארה"ב (CISA), "Secure Cloud Business Applications (SCuBA) Project": https://www.cisa.gov/resources-tools/services/secure-cloud-business-applications-scuba-project
- הערות שחרור ב-GitHub של CISA, "ScubaGear v2.0.0": https://github.com/cisagov/ScubaGear/releases/tag/v2.0.0
- הערות שחרור ב-GitHub של CISA, "ScubaGoggles v1.1.0": https://github.com/cisagov/ScubaGoggles/releases/tag/v1.1.0
- פוסט רשמי של סוכנות אבטחת הסייבר ואבטחת התשתיות של ארה"ב (CISA) ברשת X (2026-10-28): https://x.com/CISAgov/status/2115414807931199727
- פוסט רשמי של מערך הסייבר של סוכנות אבטחת הסייבר ואבטחת התשתיות של ארה"ב (CISA Cyber) ברשת X: https://x.com/CISACyber/status/2115069767019077977