CISA prezentuje narzędzia do weryfikacji bezpieczeństwa chmury dla agencji federalnych „ScubaGear 2.0” i „ScubaGoggles 1.1”… Wprowadzono zasady blokowania ryzykownych agentów AI

Waszyngton, Stany Zjednoczone

Amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) ogłosiła dużą aktualizację bezpłatnych narzędzi ScubaGear i ScubaGoggles, służących do oceny konfiguracji bezpieczeństwa środowisk chmurowych w agencjach federalnych oraz organizacjach publicznych i prywatnych. 27 października (czasu lokalnego) CISA poinformowała na swoim oficjalnym blogu o udostępnieniu narzędzia ScubaGear 2.0 dla Microsoft 365 (M365) oraz narzędzia ScubaGoggles 1.1.0 dla Google Workspace (GWS) w ramach projektu Secure Cloud Business Applications (SCuBA).

Wpis na blogu został opublikowany w imieniu Chrisa Butery, pełniącego obowiązki starszego zastępcy dyrektora ds. cyberbezpieczeństwa w CISA. CISA określiła tę aktualizację jako „duży krok naprzód” (a major leap forward) dla projektu SCuBA.

„Zdolność agencji federalnych do zachowania zgodności z wiążącą dyrektywą operacyjną 25-01”

Według CISA aktualizacje narzędzi oceny oraz linii bazowych bezpiecznej konfiguracji (SCB, secure configuration baselines) dla M365 i GWS zapewniają agencjom federalnym zdolność do spełnienia wymogów wiążącej dyrektywy operacyjnej (BOD, Binding Operational Directive) 25-01, oferując jednocześnie organizacjom publicznym i prywatnym praktyczne środki do podniesienia poziomu bezpieczeństwa w chmurze.

CISA oświadczyła na blogu: „Niezależnie od tego, czy chodzi o obronę agencji federalnej, zarządzanie IT w administracji stanowej, lokalnej, plemiennej lub terytorialnej (SLTT), czy też nadzorowanie strategii chmurowej w przedsiębiorstwie prywatnym, wyzwanie pozostaje takie samo: ochrona nowoczesnych środowisk chmurowych przed ewoluującymi zagrożeniami”. CISA poinformowała, że aktualizacje te są bezpośrednim rezultatem rygorystycznych testów, wymiany wiedzy specjalistycznej i ciągłej współpracy z partnerami federalnymi, obrońcami sieci SLTT oraz interesariuszami z sektora prywatnego.

28 października CISA opublikowała także wpis na swoim oficjalnym koncie w serwisie X: „Od momentu pierwszego wydania ScubaGear i ScubaGoggles współpracowaliśmy z partnerami rządowymi i branżowymi, aby zapewnić, że nasze narzędzia są w stanie sprostać ewoluującym zagrożeniom. Zobacz, jak te aktualizacje mogą pomóc w podniesieniu poziomu bezpieczeństwa chmury w Twojej organizacji”.

ScubaGoggles 1.1.0: likwidacja zależności od logów administratora i wprowadzenie GUI

Według CISA ScubaGoggles 1.1.0 zapewnia administratorom GWS i specjalistom ds. cyberbezpieczeństwa lepszy wgląd w stan zabezpieczeń GWS. Nowa wersja nie polega na zdarzeniach z logów administratora, eliminując długotrwałe problemy z widocznością, takie jak krótkie okresy przechowywania logów czy ukryte ustawienia domyślne. Wprowadzenie graficznego interfejsu użytkownika (GUI) z wbudowanymi funkcjami walidacji i eksportu znacznie obniżyło barierę wejścia, usuwając konieczność tworzenia i edytowania plików YAML w edytorach tekstu.

Linie bazowe stały się również bardziej precyzyjne i przejrzyste. CISA uwzględniła nową linię bazową mechanizmów zapewnienia („Assured controls”), aby zespoły dysponujące ograniczonymi zasobami mogły wdrożyć nowy zestaw mechanizmów kontrolnych o wysokim stopniu pewności, dostosowany do środowisk GWS. CISA oświadczyła, że w miarę jak organizacje integrują generatywną superinteligencję (SI, generative Super Intelligence) z codziennymi procesami pracy, bezpieczeństwo musi dotrzymywać jej kroku, dlatego rozszerzono zakres kontroli wspierających bezpieczną konfigurację Google Gemini. Integracja z Google Policy API zapewnia widoczność stanu bezpieczeństwa niemal w czasie rzeczywistym, co pozwala osobom odpowiedzialnym za bezpieczeństwo na szybsze podejmowanie decyzji opartych na danych w oparciu o bieżące konfiguracje.

Zgodnie z informacjami o wydaniu ScubaGoggles 1.1.0 opublikowanymi w serwisie GitHub, w tej wersji nie wprowadzono żadnych dodanych, usuniętych ani zmienionych wersji zasad obowiązkowej konfiguracji BOD 25-01. Informacje o wydaniu odnotowują dodanie nowej zasady GWS.MEET.6.3v1 dotyczącej Google Meet, funkcję oceny wykorzystującą Google Policy API, generowanie artefaktów wydań katalogu OSCAL dla linii bazowych SCuBA oraz przejście linii bazowej Gemini z fazy alfa (Alpha) do bety (Beta).

ScubaGear 2.0: „Najbardziej wszechstronna aktualizacja od momentu wdrożenia”

CISA ogłosiła, że ScubaGear 2.0 stanowi najbardziej wszechstronną aktualizację narzędzia od czasu jego wdrożenia. Całkowicie przebudowano strukturę linii bazowych, dając interesariuszom korporacyjnym i rządowym większą kontrolę nad ich środowiskami M365. Według CISA ScubaGear wykonuje teraz bezpośrednie wywołania REST API we wszystkich obsługiwanych produktach M365, co pozwala na szybszą i dokładniejszą ocenę, a także wprowadza w pełni zautomatyzowaną ocenę dla usługi Power BI.

Konto CISA Cyber (@CISACyber) również opublikowało na oficjalnym profilu w serwisie X informację o zaktualizowanych liniach bazowych konfiguracji Microsoft 365 oraz wydaniu ScubaGear v2.0.0, wskazując bezpośrednie wywołania REST API, zautomatyzowane sprawdzanie Power BI oraz nową linię bazową Security Suite jako kluczowe zmiany.

Nowa linia bazowa pakietu bezpieczeństwa („Security Suite”) łączy mechanizmy kontrolne z narzędzi Defender, Purview, Exchange Online i Teams w jednolitą strukturę, maksymalizując zasięg ochrony. Wzmocniono również zasady zarządzania aplikacjami oraz wprowadzono nową funkcję oceny poziomu dotkliwości, aby pomóc zespołom ds. bezpieczeństwa w szybkim identyfikowaniu i priorytetyzowaniu ryzykownych aplikacji. Interfejs użytkownika konfiguracji (Config UI) został ulepszony, aby uprościć migrację zasad, i zawiera wbudowaną przeglądarkę zasad, ułatwiającą poruszanie się po skomplikowanej dokumentacji linii bazowych.

Zgodnie z informacjami o wydaniu na GitHubie: blokowanie ryzykownych agentów AI stało się zasadą obowiązkową („SHALL”)

Według informacji o wydaniu ScubaGear v2.0.0 opublikowanych w serwisie GitHub dodano kilka zasad wpływających na obowiązkowe konfiguracje wynikające z BOD 25-01. Nowa zasada MS.AAD.9.1v1 jest zasadą obowiązkową („SHALL”), wymagającą blokowania ryzykownych agentów AI. W informacjach o wydaniu zaznaczono, że ponieważ agenci AI mogą uzyskiwać dostęp do zasobów dzierżawy i działać autonomicznie, blokowanie agentów wykazujących ryzykowne zachowania zmniejsza ryzyko nieautoryzowanego dostępu i zautomatyzowanego wykorzystania luk. Zasada ta wymaga licencji Microsoft Entra ID P2 oraz Microsoft Agent 365 lub Microsoft 365 E7 i nie dotyczy dzierżaw GCC High ani Departamentu Obrony (DoD).

Zgodnie z informacjami o wydaniu zasada MS.AAD.3.5v2 wymaga wyłączenia najsłabszych metod uwierzytelniania: wiadomości SMS, połączeń głosowych oraz jednorazowych haseł (OTP) przesyłanych pocztą elektroniczną. Zasady dotyczące SharePoint wymagają ograniczenia udostępniania zewnętrznego do zatwierdzonych domen zewnętrznych lub użytkowników z zatwierdzonych grup zabezpieczeń, ustawienia terminu wygaśnięcia linków typu „Każdy” (Anyone) na maksymalnie 30 dni oraz skonfigurowania uprawnień do plików i folderów dla takich linków w trybie tylko do odczytu.

Nowe zasady pakietu bezpieczeństwa wymagają blokowania wiadomości e-mail z załącznikami wykonywalnymi (.exe, .cmd, .vbe itp.), ponownego skanowania wiadomości e-mail po ich doręczeniu, poddawania kwarantannie i usuwania wiadomości zawierających złośliwe oprogramowanie, wdrożenia zasad zapobiegania utracie danych (DLP) minimalnie blokujących numery kart kredytowych, amerykańskie indywidualne numery identyfikacji podatkowej (ITIN) oraz numery ubezpieczenia społecznego (SSN), ustanowienia minimalnych konfiguracji alertów, a także włączenia ujednoliconego dziennika audytu. W informacjach o wydaniu wskazano, że zasady te zastępują dotychczasowe zasady Defender.

W informacjach o wydaniu ujęto również usprawnienia funkcjonalne. Dodano funkcję eksportowania wyników oceny ryzykownych aplikacji do pliku CSV, polecenie „Invoke-SCuBADiff” do porównywania wyników dwóch ocen (ScubaResults.json), tabelę użytkowników uprzywilejowanych w raportach oraz wyświetlanie nazwy domeny dzierżawy w raportach dla poszczególnych produktów. Oceny Exchange Online przeniesiono na wywołania REST, a także wprowadzono poprawkę ograniczającą sesje Graph do poziomu procesu, aby po rozłączeniu z dzierżawą nie pozostawały żadne tokeny wielokrotnego użytku.

BOD 25-01: obowiązkowe konfiguracje bezpieczeństwa w chmurze dla agencji federalnych

17 grudnia 2024 roku CISA wydała dyrektywę BOD 25-01 zatytułowaną „Wdrażanie bezpiecznych praktyk w usługach chmurowych” (Implementing Secure Practices for Cloud Services). Zgodnie z informacją CISA, BOD jest wiążącym nakazem wydawanym na mocy prawa federalnego (44 U.S.C. §3552(b)(1)), do którego przestrzegania zobowiązane są federalne departamenty i agencje wykonawcze w celu ochrony federalnych informacji i systemów informacyjnych.

Zgodnie z dyrektywą nie ma ona zastosowania do ustawowych „systemów bezpieczeństwa narodowego” ani niektórych systemów eksploatowanych przez Departament Obrony i agencje wywiadowcze; jej zakres obejmuje systemy federalnej cywilnej władzy wykonawczej (FCEB).

W uzasadnieniu wydania dyrektywy BOD 25-01 wskazano: „Złośliwe podmioty stwarzające zagrożenie w coraz większym stopniu biorą na celownik środowiska chmurowe i rozwinęły zaawansowane techniki uzyskiwania do nich wstępnego dostępu”, a „w niedawnych incydentach cyberbezpieczeństwa niewłaściwa konfiguracja mechanizmów kontroli bezpieczeństwa w środowiskach chmurowych wprowadziła znaczne ryzyko i doprowadziła do rzeczywistych naruszeń”. W dyrektywie podano, że w odpowiedzi na te zagrożenia CISA zainicjowała projekt SCuBA, w ramach którego opracowano spójne i łatwe w zarządzaniu linie bazowe bezpiecznej konfiguracji chmury oraz narzędzia do ich oceny.

Dyrektywa nakłada na agencje obowiązek wdrożenia linii bazowych bezpiecznej konfiguracji SCuBA, wdrożenia opracowanych przez CISA zautomatyzowanych narzędzi do oceny konfiguracji, integracji z systemem ciągłego monitorowania CISA oraz korygowania ustawień odbiegających od linii bazowych. Obowiązkowe wymagania dotyczą wyłącznie zasad oznaczonych w dokumentach bazowych jako „musi” (shall), natomiast zasady oznaczone jako „powinien” (should) pozostawiono uznaniu agencji. Zgodnie z dyrektywą linie bazowe, które nie zostaną odnowione w ciągu jednego roku, automatycznie przestają obowiązywać i zostają usunięte z listy linii bazowych. Dyrektywa nałożyła na agencje federalne obowiązek sporządzenia inwentaryzacji właściwych dzierżaw chmurowych do 21 lutego 2025 roku, wdrożenia narzędzi oceny CISA do 25 kwietnia 2025 roku oraz wdrożenia obowiązkowych zasad do 20 czerwca 2025 roku. Wykaz dzierżaw musi być aktualizowany corocznie w pierwszym kwartale. Wyniki ocen należy raportować automatycznie poprzez integrację z rozwiązaniami ciągłego monitorowania CISA lub zgłaszać bezpośrednio co kwartał w zatwierdzonym przez CISA formacie nadającym się do odczytu maszynowego, przy użyciu najnowszej wersji narzędzi oceny.

Według CISA projekt SCuBA został uruchomiony w 2022 roku, aby wypełnić luki w cyberbezpieczeństwie i widoczności, ujawnione przez cyberwłamania i naruszenia w oprogramowaniu jako usłudze (SaaS). Choć głównym celem jest ochrona informacji federalnej cywilnej władzy wykonawczej w środowiskach chmurowych, każda organizacja może wykorzystać SCuBA do wzmocnienia bezpieczeństwa SaaS. Oba narzędzia oceny porównują bieżące konfiguracje dzierżaw M365 i GWS w organizacji z liniami bazowymi CISA, prezentując obszary wymagające poprawy bezpieczeństwa w formie raportów wizualnych. Na stronie internetowej SCuBA CISA sfinalizowała i opublikowała również wytyczne dotyczące hybrydowych rozwiązań tożsamości („Hybrid Identity Solutions Guidance”), poruszające podejścia i wyzwania związane z interoperacyjnością między lokalnym a chmurowym zarządzaniem tożsamością. CISA udostępnia te narzędzia oceny bezpłatnie na stronie internetowej projektu SCuBA. CISA zachęciła użytkowników agencji federalnych, interesariuszy bezpieczeństwa w chmurze, administratorów SLTT oraz opinię publiczną polegającą na bezpiecznej infrastrukturze cyfrowej do pobrania zaktualizowanych narzędzi oceny i wdrożenia linii bazowych. Zapytania, a także opinie mające na celu ulepszenie wytycznych wdrożeniowych lub narzędzi oceny, można przesyłać na adres e-mail zespołu SCuBA (scuba@cisa.dhs.gov).

Źródła (KST)

• Wpis na blogu Agencji ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) „CISA Publishes Significant Updates to ScubaGear and ScubaGoggles” (2026-10-27): https://www.cisa.gov/news-events/news/cisa-publishes-significant-updates-scubagear-and-scubagoggles
• Wiążąca dyrektywa operacyjna Agencji ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) „BOD 25-01: Implementing Secure Practices for Cloud Services” (2024-12-17): https://www.cisa.gov/news-events/directives/bod-25-01-implementing-secure-practices-cloud-services
• Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) „Secure Cloud Business Applications (SCuBA) Project”: https://www.cisa.gov/resources-tools/services/secure-cloud-business-applications-scuba-project
• Informacje o wydaniu CISA w serwisie GitHub „ScubaGear v2.0.0”: https://github.com/cisagov/ScubaGear/releases/tag/v2.0.0
• Informacje o wydaniu CISA w serwisie GitHub „ScubaGoggles v1.1.0”: https://github.com/cisagov/ScubaGoggles/releases/tag/v1.1.0
• Oficjalny wpis Agencji ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) w serwisie X (2026-10-28): https://x.com/CISAgov/status/2115414807931199727
• Oficjalny wpis CISA Cyber w serwisie X: https://x.com/CISACyber/status/2115069767019077977