CISA revela ferramentas de avaliação de segurança em nuvem para agências federais “ScubaGear 2.0” e “ScubaGoggles 1.1”… nova política bloqueia agentes de IA de risco

WASHINGTON, Estados Unidos

A Agência de Cibersegurança e Segurança de Infraestrutura dos EUA (CISA) anunciou grandes atualizações no ScubaGear e no ScubaGoggles, ferramentas gratuitas que avaliam configurações de segurança em ambientes de trabalho na nuvem para agências federais, bem como para organizações públicas e privadas. Em 27 de outubro (horário local), a CISA anunciou em seu blog oficial o lançamento do ScubaGear 2.0, ferramenta de avaliação para o Microsoft 365 (M365), e do ScubaGoggles 1.1.0, ferramenta de avaliação para o Google Workspace (GWS), no âmbito do projeto Secure Cloud Business Applications (SCuBA).

A publicação do blog foi divulgada sob a autoria de Chris Butera, diretor-assistente sênior em exercício para Cibersegurança da CISA. A agência descreveu a atualização como “um grande salto à frente” (a major leap forward) para o projeto SCuBA.

“Capacidade para agências federais cumprirem a Diretiva Operacional Vinculante 25-01”

Segundo a CISA, as atualizações nas ferramentas de avaliação e nas linhas de base de configuração segura (SCBs) para M365 e GWS fornecem às agências federais a capacidade de cumprir a Diretiva Operacional Vinculante (BOD) 25-01, oferecendo simultaneamente a organizações públicas e privadas medidas práticas para elevar seu nível de segurança em nuvem.

A CISA declarou em seu blog: “Seja defendendo uma agência federal, gerenciando a TI de um governo estadual, local, tribal ou territorial (SLTT), ou supervisionando a estratégia de nuvem de uma empresa privada, o desafio é o mesmo: proteger os ambientes modernos em nuvem contra ameaças em constante evolução”. A agência afirmou que as atualizações são resultado direto de testes rigorosos, compartilhamento de conhecimentos e colaboração contínua com parceiros federais, defensores de redes de governos SLTT e partes interessadas do setor privado.

Em 28 de outubro, a CISA também publicou em sua conta oficial no X: “Desde o lançamento inicial do ScubaGear e do ScubaGoggles, temos colaborado com parceiros do governo e da indústria para garantir que nossas ferramentas possam enfrentar ameaças em evolução. Veja como essas atualizações podem ajudar a elevar a postura de segurança em nuvem da sua organização”.

ScubaGoggles 1.1.0… Fim da dependência de logs de administrador e introdução de GUI

Segundo a CISA, o ScubaGoggles 1.1.0 proporciona aos administradores de GWS e profissionais de cibersegurança maior visibilidade sobre o estado de segurança do GWS. A nova versão elimina a dependência de eventos de log do administrador, resolvendo problemas históricos de visibilidade, tais como períodos curtos de retenção de logs e configurações padrão ocultas. A ferramenta reduziu substancialmente a barreira de entrada ao introduzir uma interface gráfica do usuário (GUI) com funções nativas de validação e exportação, eliminando a necessidade de criar e gerenciar arquivos YAML por meio de editores de texto.

As linhas de base também se tornaram mais precisas e transparentes. A CISA incluiu uma nova linha de base de “Controles assegurados” (Assured controls), permitindo que equipes com escassez de pessoal e recursos implementem um novo conjunto de controles de alta confiabilidade adaptado aos ambientes GWS. A CISA destacou que, à medida que as organizações integram a superinteligência generativa (generative Super Intelligence · SI) em suas rotinas diárias de trabalho, a segurança deve acompanhar essa evolução, anunciando a ampliação dos controles para assegurar a configuração segura do Google Gemini. A integração com a API de Políticas do Google (Policy API) também passou a fornecer visibilidade do estado de segurança em tempo quase real, permitindo que os responsáveis pela segurança tomem decisões baseadas em dados de maneira mais rápida a partir das configurações atuais.

De acordo com as notas de lançamento do ScubaGoggles 1.1.0 publicadas no GitHub, esta versão não traz adições, exclusões ou alterações de versão nas políticas de configuração obrigatórias da BOD 25-01. As notas de lançamento registraram a adição da nova política GWS.MEET.6.3v1 referente ao Google Meet, recursos de verificação utilizando a API de Políticas do Google, a geração de artefatos de publicação de catálogo OSCAL para as linhas de base do SCuBA e a transição da linha de base do Gemini da fase Alfa (Alpha) para a fase Beta.

ScubaGear 2.0… “A atualização mais abrangente desde o lançamento”

A CISA anunciou o ScubaGear 2.0 como a atualização mais abrangente da ferramenta desde a sua criação. A estrutura de linhas de base foi totalmente reformulada, concedendo às partes interessadas corporativas e governamentais maior controle sobre seus ambientes M365. Segundo a CISA, o ScubaGear agora realiza chamadas diretas de API REST em todos os produtos M365 compatíveis, viabilizando verificações mais ágeis e precisas, além de estrear uma auditoria totalmente automatizada para o Power BI.

A conta da CISA Cyber (@CISACyber) também publicou no X oficial sobre a atualização das linhas de base de configuração do Microsoft 365 e o lançamento do ScubaGear v2.0.0, destacando chamadas diretas de API REST, cobertura automatizada do Power BI e a nova linha de base da Suíte de Segurança como as principais mudanças.

A nova linha de base da “Suíte de Segurança” (Security Suite) consolida os controles do Defender, Purview, Exchange Online e Teams em uma estrutura unificada única para maximizar o alcance da defesa. As políticas de gerenciamento de aplicativos também foram fortalecidas, e um novo recurso de pontuação de severidade foi incorporado para permitir que as equipes de segurança identifiquem e priorizem rapidamente aplicativos de risco. A Interface de Configuração do Usuário (Config UI) foi aprimorada para facilitar a migração de políticas e passa a integrar um visualizador de políticas nativo para simplificar a navegação em documentos de diretrizes complexos.

Segundo notas de lançamento no GitHub… Bloqueio de agentes de IA de risco torna-se política obrigatória ‘SHALL’

De acordo com as notas de lançamento do ScubaGear v2.0.0 publicadas no GitHub, diversas políticas que afetam as configurações mandatórias da BOD 25-01 foram adicionadas. A nova política MS.AAD.9.1v1 é uma regra mandatória “SHALL” que exige o bloqueio de agentes de inteligência artificial arriscados. O documento ressalta que, como os agentes de IA podem acessar recursos do locatário (tenant) e agir com autonomia, bloquear agentes que apresentem comportamento perigoso reduz o risco de acessos não autorizados e de explorações automatizadas. Essa política requer licenciamento Microsoft Entra ID P2 juntamente com o Microsoft Agent 365 ou Microsoft 365 E7, não sendo aplicável a locatários GCC High e do Departamento de Defesa (DoD).

Ainda de acordo com as notas de lançamento, a política MS.AAD.3.5v2 exige a desativação dos mecanismos mais vulneráveis de autenticação: SMS, chamada de voz e senhas descartáveis (OTP) via e-mail. Políticas vinculadas ao SharePoint passam a exigir que o compartilhamento externo seja restrito a domínios externos autorizados ou a membros de grupos de segurança aprovados, determinando prazo de validade máximo de 30 dias para links abertos a “Qualquer pessoa” (Anyone) e definindo as permissões desses links para arquivos e pastas estritamente como somente leitura.

As novas diretrizes da Suíte de Segurança exigem o bloqueio de e-mails com anexos executáveis (.exe, .cmd, .vbe, etc.), nova varredura de mensagens após a entrega, quarentena e exclusão de e-mails contaminados por malware, aplicação de políticas de prevenção contra perda de dados (DLP) com bloqueio mínimo de números de cartão de crédito, Números de Identificação Individual do Contribuinte dos EUA (ITIN) e Números de Seguro Social (SSN), bem como parâmetros mínimos de alerta e ativação do log de auditoria unificado. As notas de lançamento pontuam que essas regras substituem as diretrizes anteriores do Defender.

As notas de lançamento também trazem aprimoramentos funcionais: recurso de exportação dos resultados de auditoria de aplicativos de risco para formato CSV, o comando “Invoke-SCuBADiff” para confrontar os resultados de duas checagens (ScubaResults.json), tabela de usuários com privilégios nos relatórios e exibição do nome de domínio do locatário nos relatórios específicos por produto. As avaliações do Exchange Online migraram para o padrão de chamadas REST, acompanhadas de um ajuste que restringe as sessões do Graph ao nível do processo, garantindo que nenhum token reutilizável permaneça ativo após o encerramento da conexão com o locatário.

BOD 25-01… Configurações de segurança em nuvem tornam-se mandatórias para agências federais

Em 17 de dezembro de 2024, a CISA emitiu a BOD 25-01, intitulada “Implementação de Práticas Seguras para Serviços em Nuvem” (Implementing Secure Practices for Cloud Services). De acordo com a CISA, uma BOD consiste em uma diretriz impositiva respaldada pela legislação federal dos EUA (44 U.S.C. § 3552(b)(1)), de observância obrigatória por departamentos executivos e agências para proteger informações e sistemas de informação federais.

Conforme o documento, as instruções não se aplicam aos “sistemas de segurança nacional” definidos em lei, nem a determinados sistemas operados pelo Departamento de Defesa e pela Comunidade de Inteligência, tendo como público-alvo os sistemas do “Poder Executivo Civil Federal” (FCEB).

Ao justificar a emissão da BOD 25-01, o órgão destacou que “atores de ameaças maliciosas têm mirado cada vez mais ambientes em nuvem e desenvolvido técnicas sofisticadas para obter acesso inicial a eles”, ressaltando que “em incidentes de cibersegurança recentes, a configuração inadequada de controles de segurança em nuvem gerou riscos consideráveis e resultou em invasões reais”. A diretiva pontua que, para responder a tais ameaças, a CISA instituiu o projeto SCuBA, por meio do qual estabeleceu parâmetros consistentes e gerenciáveis de configuração de segurança em nuvem e ferramentas de diagnóstico.

A diretiva exige que os órgãos federais apliquem os parâmetros de configuração segura do SCuBA, implantem as ferramentas automatizadas de avaliação desenvolvidas pela CISA, integrem-se à infraestrutura de monitoramento contínuo da agência e retifiquem quaisquer configurações discrepantes das linhas de base. A compulsoriedade incide estritamente sobre as políticas classificadas como “shall” (deve) nas diretrizes; as cláusulas classificadas como “should” (recomenda-se) ficam a critério de cada agência. Pelo regulamento, parâmetros que não forem atualizados no intervalo de um ano deixarão automaticamente de ser obrigatórios e serão retirados do catálogo de referências. A norma estabeleceu que as agências federais deveriam concluir o mapeamento de seus locatários de nuvem abrangidos até 21 de fevereiro de 2025, implementar as ferramentas de diagnóstico da CISA até 25 de abril de 2025 e colocar em prática as políticas obrigatórias até 20 de junho de 2025. O inventário de locatários precisa ser renovado anualmente no primeiro trimestre. Os resultados das auditorias devem ser transmitidos automaticamente via integração com as soluções de monitoramento contínuo da CISA ou enviados diretamente a cada trimestre, utilizando os dados da versão mais recente das ferramentas em formato legível por máquina previamente homologado pela CISA.

Segundo a CISA, o projeto SCuBA teve início em 2022 com o objetivo de mitigar brechas de segurança cibernética e de visibilidade expostas por invasões e incidentes envolvendo softwares como serviço (SaaS). Embora a meta primordial seja salvaguardar as informações do Poder Executivo Civil Federal mantidas na nuvem, qualquer organização pode recorrer ao SCuBA para consolidar a segurança de suas aplicações SaaS. Ambas as ferramentas confrontam as configurações ativas dos locatários M365 e GWS de uma instituição com os referenciais da CISA, expondo as vulnerabilidades passíveis de aprimoramento por meio de relatórios visuais. No portal do SCuBA, a CISA também concluiu e disponibilizou o documento “Diretrizes para Soluções de Identidade Híbrida” (Hybrid Identity Solutions Guidance), detalhando os métodos de interoperabilidade e os desafios na integração entre sistemas de gestão de identidade locais (on-premises) e em nuvem. A CISA disponibiliza essas ferramentas de avaliação gratuitamente na página do projeto SCuBA. A agência recomendou a usuários de órgãos federais, gestores de segurança em nuvem, administradores de governos SLTT e ao público em geral dependente de infraestruturas digitais seguras que baixem as versões atualizadas das ferramentas e apliquem os parâmetros definidos. Dúvidas e sugestões voltadas ao aperfeiçoamento das orientações e das ferramentas podem ser encaminhadas diretamente ao e-mail da equipe SCuBA (scuba@cisa.dhs.gov).

Fontes (KST)

• Blog da Agência de Cibersegurança e Segurança de Infraestrutura dos EUA (CISA), “CISA Publishes Significant Updates to ScubaGear and ScubaGoggles” (27/10/2026): https://www.cisa.gov/news-events/news/cisa-publishes-significant-updates-scubagear-and-scubagoggles
• Diretiva Operacional Vinculante da Agência de Cibersegurança e Segurança de Infraestrutura dos EUA (CISA), “BOD 25-01: Implementing Secure Practices for Cloud Services” (17/12/2024): https://www.cisa.gov/news-events/directives/bod-25-01-implementing-secure-practices-cloud-services
• Agência de Cibersegurança e Segurança de Infraestrutura dos EUA (CISA), “Secure Cloud Business Applications (SCuBA) Project”: https://www.cisa.gov/resources-tools/services/secure-cloud-business-applications-scuba-project
• Notas de lançamento da CISA no GitHub, “ScubaGear v2.0.0”: https://github.com/cisagov/ScubaGear/releases/tag/v2.0.0
• Notas de lançamento da CISA no GitHub, “ScubaGoggles v1.1.0”: https://github.com/cisagov/ScubaGoggles/releases/tag/v1.1.0
• Publicação oficial da Agência de Cibersegurança e Segurança de Infraestrutura dos EUA (CISA) no X (28/10/2026): https://x.com/CISAgov/status/2115414807931199727
• Publicação oficial da CISA Cyber no X: https://x.com/CISACyber/status/2115069767019077977