CISA onthult tools voor cloudbeveiligingscontroles bij federale instanties 'ScubaGear 2.0' en 'ScubaGoggles 1.1'… Nieuw beleid ingevoerd om risicovolle AI-agents te weren

WASHINGTON, Verenigde Staten

CISA (het Amerikaanse agentschap voor cyberveiligheid en infrastructuurbeveiliging) heeft grote updates aangekondigd voor 'ScubaGear' en 'ScubaGoggles', gratis tools die de beveiligingsconfiguraties van cloudwerkomgevingen controleren voor federale instanties en publieke en private organisaties. CISA maakte op 27 oktober (lokale tijd) op haar officiële blog bekend dat in het kader van het project 'Secure Cloud Business Applications' (SCuBA) ScubaGear 2.0 voor Microsoft 365 (M365) en ScubaGoggles 1.1.0 voor Google Workspace (GWS) zijn vrijgegeven.

Het blogbericht werd gepubliceerd onder naam van Chris Butera, waarnemend senior adjunct-directeur voor cyberbeveiliging bij CISA. CISA omschreef deze update als „een grote sprong voorwaarts” (a major leap forward) voor het SCuBA-project.

„Capaciteit voor federale instanties om te voldoen aan bindende operationele richtlijn 25-01”

Volgens CISA bieden de updates van de beoordelingstools en de veilige configuratiebaselines (SCB's) voor M365 en GWS federale instanties de capaciteit om te voldoen aan Binding Operational Directive (BOD) 25-01, terwijl ze publieke en private organisaties maatregelen bieden om hun cloudbeveiligingsniveau te verhogen.

CISA verklaarde op haar blog: „Of u nu een federale instantie verdedigt, de IT van een staats-, lokale, tribale of territoriale (SLTT) overheid beheert, of toezicht houdt op de cloudstrategie van een particuliere onderneming, de uitdaging is hetzelfde: moderne cloudomgevingen beveiligen tegen evoluerende dreigingen.” CISA meldde dat de updates het directe resultaat zijn van rigoureuze tests, het delen van expertise en voortdurende samenwerking met federale partners, SLTT-netwerkverdedigers en belanghebbenden uit de private sector.

CISA plaatste op 28 oktober ook een bericht op haar officiële X-account: „Sinds de eerste release van ScubaGear en ScubaGoggles hebben we samengewerkt met partners uit de overheid en de sector om ervoor te zorgen dat onze tools bestand zijn tegen evoluerende dreigingen. Ontdek hoe deze updates het cloudbeveiligingsniveau van uw organisatie kunnen verbeteren.”

ScubaGoggles 1.1.0: afhankelijkheid van beheerderslogboeken geëlimineerd en GUI geïntroduceerd

Volgens CISA biedt ScubaGoggles 1.1.0 GWS-beheerders en cybersecurityprofessionals beter inzicht in hun GWS-beveiligingsstatus. De nieuwe versie is niet meer afhankelijk van gebeurtenissen in beheerderslogboeken, waardoor langdurige zichtbaarheidsproblemen zoals korte logboekbewaartermijnen en verborgen standaardinstellingen worden opgelost. De drempel is aanzienlijk verlaagd door de introductie van een grafische gebruikersinterface (GUI) met ingebouwde validatie- en exportfuncties, waardoor het niet meer nodig is om YAML-bestanden met teksteditors aan te maken en te beheren.

De baselines zijn ook nauwkeuriger en transparanter geworden. CISA heeft een nieuwe baseline voor „Assured controls” (gegarandeerde controles) opgenomen, zodat teams met beperkte middelen een nieuwe set betrouwbare controles kunnen implementeren die zijn afgestemd op GWS-omgevingen. CISA verklaarde dat naarmate organisaties generatieve superintelligentie (generative Super Intelligence, SI) in hun dagelijkse werkprocessen integreren, beveiliging gelijke tred moet houden. Daarom zijn de controles uitgebreid om ervoor te zorgen dat Google Gemini veilig wordt geconfigureerd. Integratie met de Google Policy API biedt tevens bijna realtime inzicht in de beveiligingsstatus, waardoor beveiligingsverantwoordelijken sneller op data gebaseerde beslissingen kunnen nemen op basis van de huidige configuraties.

Volgens de releaseopmerkingen van ScubaGoggles 1.1.0 op GitHub zijn er in deze versie geen toevoegingen, verwijderingen of versiewijzigingen aangebracht in het verplichte configuratiebeleid van BOD 25-01. De releaseopmerkingen vermelden de toevoeging van een nieuw Google Meet-beleid, GWS.MEET.6.3v1, beoordelingsmogelijkheden met behulp van de Google Policy API, het genereren van OSCAL-catalogusuitgaveartefacten voor SCuBA-baselines en de overgang van de Gemini-baselines van de alfa- naar de bètafase.

ScubaGear 2.0: „Meest uitgebreide update sinds de introductie”

CISA noemde ScubaGear 2.0 de meest uitgebreide update van de tool sinds de introductie ervan. Het baselinekader is volledig geherstructureerd, waardoor bedrijfs- en overheidsbelanghebbenden meer controle krijgen over hun M365-omgevingen. Volgens CISA voert ScubaGear nu directe REST API-aanroepen uit voor alle ondersteunde M365-producten voor snellere en nauwkeurigere beoordelingen, en introduceert het tevens volledig geautomatiseerde controles voor Power BI.

CISA's Cyber-account (@CISACyber) plaatste op het officiële X-kanaal ook het bericht over de uitrol van bijgewerkte Microsoft 365-configuratiebaselines en ScubaGear v2.0.0, waarbij directe REST API-aanroepen, geautomatiseerde Power BI-dekking en een nieuwe Security Suite-baseline als belangrijkste wijzigingen werden genoemd.

De nieuwe baseline 'Security Suite' bundelt controles van Defender, Purview, Exchange Online en Teams in één enkel geïntegreerd kader om de verdedigingsdekking te maximaliseren. Het applicatiebeheerbeleid is eveneens aangescherpt en er is een nieuwe functie voor ernstscores geïntroduceerd waarmee beveiligingsteams risicovolle applicaties snel kunnen identificeren en prioriteren. De configuratiegebruikersinterface (Config UI) is verbeterd om beleidsmigraties te vereenvoudigen en bevat een ingebouwde beleidsviewer om eenvoudig door complexe baselinedocumentatie te navigeren.

Volgens GitHub-releaseopmerkingen: blokkeren van risicovolle AI-agenten verplicht gesteld als 'SHALL'-beleid

Volgens de op GitHub gepubliceerde releaseopmerkingen van ScubaGear v2.0.0 zijn er verschillende beleidsregels toegevoegd die van invloed zijn op de verplichte configuratie van BOD 25-01. Het nieuwe beleid MS.AAD.9.1v1 is een verplicht 'SHALL'-beleid dat het blokkeren van risicovolle AI-agenten vereist. In de releaseopmerkingen wordt opgemerkt dat AI-agenten toegang hebben tot tenantbronnen en autonoom kunnen handelen, waardoor het blokkeren van agenten die risicovol gedrag vertonen het risico op ongeautoriseerde toegang en geautomatiseerd misbruik vermindert. Dit beleid vereist een Microsoft Entra ID P2-licentie en Microsoft Agent 365 of Microsoft 365 E7, en is niet van toepassing op GCC High- en tenants van het Amerikaanse ministerie van Defensie (DoD).

Volgens de releaseopmerkingen vereist MS.AAD.3.5v2 de deactivering van de zwakste authenticatiemethoden: sms, spraakoproepen en eenmalige wachtwoorden (OTP) per e-mail. Beleidsregels met betrekking tot SharePoint vereisen dat extern delen wordt beperkt tot goedgekeurde externe domeinen of goedgekeurde gebruikers van beveiligingsgroepen, dat de vervaltermijn voor koppelingen naar „Iedereen” (Anyone) wordt ingesteld op maximaal 30 dagen en dat bestands- en mapmachtigingen voor dergelijke koppelingen worden ingesteld op alleen-lezen.

Het nieuwe Security Suite-beleid vereist het blokkeren van e-mails met uitvoerbare bijlagen (.exe, .cmd, .vbe, enz.), het opnieuw scannen van e-mails na aflevering, het in quarantaine plaatsen en verwijderen van malware-e-mails, beleid voor preventie van gegevensverlies (DLP) dat minimaal creditcardnummers en Amerikaanse individuele belastingidentificatienummers (ITIN) en Social Security Numbers (SSN) blokkeert, minimale waarschuwingsinstellingen en het inschakelen van het geïntegreerde auditlogboek. Volgens de releaseopmerkingen vervangen deze beleidsregels het bestaande Defender-beleid.

De releaseopmerkingen bevatten ook functionele verbeteringen. Toegevoegd zijn onder meer de mogelijkheid om beoordelingsresultaten van risicovolle applicaties te exporteren naar een CSV-bestand, de opdracht 'Invoke-SCuBADiff' om resultaten van twee beoordelingen (ScubaResults.json) te vergelijken, een tabel met bevoorrechte gebruikers in rapporten en de weergave van tenantdomeinnamen in productspecifieke rapporten. Beoordelingen van Exchange Online zijn overgezet naar REST-aanroepen en Graph-sessies zijn beperkt tot het procesniveau om ervoor te zorgen dat er na het verbreken van de verbinding met een tenant geen herbruikbare tokens achterblijven.

BOD 25-01: cloudbeveiligingsconfiguraties verplicht voor federale instanties

Op 17 december 2024 vaardigde CISA BOD 25-01 uit, getiteld 'Implementing Secure Practices for Cloud Services'. Volgens CISA is een BOD een bindende richtlijn op grond van federale wetgeving (44 U.S.C. § 3552(b)(1)) die uitvoerende ministeries en instanties moeten volgen om federale informatie en informatiesystemen te beschermen.

Volgens de richtlijn is deze niet van toepassing op wettelijke „nationale veiligheidssystemen” of bepaalde systemen die worden beheerd door het ministerie van Defensie en de inlichtingengemeenschap; het toepassingsgebied betreft systemen van de civiele federale uitvoerende macht (FCEB).

CISA vermeldde als achtergrond van BOD 25-01 dat „kwaadwillende actoren zich steeds vaker richten op cloudomgevingen en geavanceerde technieken hebben ontwikkeld om initiële toegang te krijgen”, en dat „in recente cyberbeveiligingsincidenten een inadequate configuratie van beveiligingscontroles in cloudomgevingen aanzienlijke risico's heeft veroorzaakt en tot daadwerkelijke inbreuken heeft geleid”. De richtlijn meldde dat CISA ter bestrijding van deze dreigingen het SCuBA-project is gestart en daarmee consistente en beheerbare beveiligingsconfiguratiebaselines en evaluatietools voor de cloud heeft ontwikkeld.

De richtlijn vereist van instanties dat zij de SCuBA-beveiligingsconfiguratiebaselines implementeren, door CISA ontwikkelde geautomatiseerde configuratiebeoordelingstools inzetten, integreren met CISA's continue monitoringsystemen en instellingen corrigeren die afwijken van de baselines. Verplichte vereisten gelden uitsluitend voor beleid dat in baselinedocumenten is aangeduid met 'shall' (moet), terwijl beleid dat is gemarkeerd met 'should' (zou moeten) aan het oordeel van de instantie wordt overgelaten. Volgens de richtlijn vallen baselines die niet binnen één jaar worden vernieuwd automatisch buiten de reikwijdte en worden ze uit de baselinelijst verwijderd. De richtlijn verplicht federale instanties om uiterlijk 21 februari 2025 een inventaris op te maken van hun toepasselijke cloudtenants, uiterlijk 25 april 2025 de beoordelingstools van CISA in te zetten en uiterlijk 20 juni 2025 het verplichte beleid te implementeren. De tenantinventaris moet jaarlijks in het eerste kwartaal worden bijgewerkt. Beoordelingsresultaten moeten automatisch worden gerapporteerd via integratie met continue monitoringsoplossingen van CISA, of elk kwartaal rechtstreeks worden ingediend op basis van resultaten van de nieuwste versie van de beoordelingstools in een door CISA goedgekeurd machineleesbaar formaat.

Volgens CISA werd het SCuBA-project in 2022 gelanceerd om lacunes in cyberbeveiliging en zichtbaarheid aan te pakken die aan het licht kwamen bij inbraken en inbreuken op SaaS-toepassingen (Software as a Service). Hoewel het hoofddoel het beschermen van informatie van de civiele federale uitvoerende macht in cloudomgevingen is, kunnen alle organisaties SCuBA benutten om hun SaaS-beveiliging te versterken. Beide beoordelingstools vergelijken de huidige M365- en GWS-tenantconfiguraties van een organisatie met de CISA-baselines en tonen gebieden die beveiligingsverbetering behoeven in visuele rapporten. Op de SCuBA-webpagina heeft CISA ook de 'Hybrid Identity Solutions Guidance' definitief vastgesteld en gepubliceerd, waarin interoperabiliteitsbenaderingen en uitdagingen tussen lokaal (on-premises) en cloudgebaseerd identiteitsbeheer worden behandeld. CISA stelt deze evaluatietools gratis beschikbaar op de projectwebpagina van SCuBA. CISA adviseert gebruikers van federale instanties, belanghebbenden bij cloudbeveiliging, SLTT-beheerders en het brede publiek dat afhankelijk is van een veilige digitale infrastructuur om de bijgewerkte tools te downloaden en de baselines te implementeren. Vragen en feedback ter verbetering van de baseline-implementatierichtlijnen of de evaluatietools kunnen worden gestuurd naar het e-mailadres van het SCuBA-team (scuba@cisa.dhs.gov).

Bronnen (KST)

• Blog van Cybersecurity and Infrastructure Security Agency (CISA), „CISA Publishes Significant Updates to ScubaGear and ScubaGoggles” (27-10-2026): https://www.cisa.gov/news-events/news/cisa-publishes-significant-updates-scubagear-and-scubagoggles
• Bindende operationele richtlijn van Cybersecurity and Infrastructure Security Agency (CISA), „BOD 25-01: Implementing Secure Practices for Cloud Services” (17-12-2024): https://www.cisa.gov/news-events/directives/bod-25-01-implementing-secure-practices-cloud-services
• Cybersecurity and Infrastructure Security Agency (CISA), „Secure Cloud Business Applications (SCuBA) Project”: https://www.cisa.gov/resources-tools/services/secure-cloud-business-applications-scuba-project
• CISA GitHub-releaseopmerkingen, „ScubaGear v2.0.0”: https://github.com/cisagov/ScubaGear/releases/tag/v2.0.0
• CISA GitHub-releaseopmerkingen, „ScubaGoggles v1.1.0”: https://github.com/cisagov/ScubaGoggles/releases/tag/v1.1.0
• Officieel X-bericht van Cybersecurity and Infrastructure Security Agency (CISA) (28-10-2026): https://x.com/CISAgov/status/2115414807931199727
• Officieel X-bericht van CISA Cyber: https://x.com/CISACyber/status/2115069767019077977