CISA prezintă instrumentele de evaluare a securității cloud pentru agențiile federale „ScubaGear 2.0” și „ScubaGoggles 1.1”… Instituie o politică de blocare a agenților AI periculoși

WASHINGTON, Statele Unite

CISA (Agenția pentru Securitate Cibernetică și a Infrastructurii din SUA) a anunțat actualizări majore pentru instrumentele gratuite „ScubaGear” și „ScubaGoggles”, care evaluează configurațiile de securitate ale mediilor de lucru în cloud pentru agențiile federale, precum și pentru organizațiile publice și private. CISA a anunțat pe 27 octombrie (ora locală), pe blogul său oficial, lansarea instrumentului de evaluare ScubaGear 2.0 pentru Microsoft 365 (M365) și a instrumentului de evaluare ScubaGoggles 1.1.0 pentru Google Workspace (GWS), în cadrul proiectului „Aplicații de afaceri securizate în cloud” (SCuBA · Secure Cloud Business Applications).

Articolul de pe blog a fost publicat sub numele lui Chris Butera, director adjunct principal interimar pentru securitate cibernetică la CISA. CISA a descris această actualizare drept „un mare pas înainte” (a major leap forward) pentru proiectul SCuBA.

„Capacitatea agențiilor federale de a respecta Directiva operațională obligatorie 25-01”

Potrivit CISA, actualizările aduse instrumentelor de evaluare și liniilor directoare de configurare de securitate (SCB · secure configuration baselines) pentru M365 și GWS oferă agențiilor federale capacitatea de a respecta Directiva operațională obligatorie (BOD · Binding Operational Directive) 25-01, oferind în același timp organizațiilor publice și private măsuri concrete pentru consolidarea securității în cloud.

În articolul de pe blog, CISA a declarat: „Fie că aperi o agenție federală, gestionezi infrastructura IT a unui guvern statal, local, tribal sau teritorial (SLTT) ori coordonezi strategia de cloud a unei companii private, provocarea este aceeași: protejarea mediilor cloud moderne împotriva amenințărilor în continuă evoluție”. CISA a precizat că actualizarea este rezultatul direct al testărilor riguroase, al schimbului de expertiză și al cooperării continue cu partenerii federali, responsabilii de apărare a rețelelor din cadrul SLTT și părțile interesate din sectorul privat.

Pe 28 octombrie, CISA a publicat și pe contul său oficial de X: „De la lansarea inițială a ScubaGear și ScubaGoggles, am colaborat cu parteneri guvernamentali și din industrie pentru a ne asigura că instrumentele noastre pot face față amenințărilor în continuă evoluție. Vedeți cum aceste actualizări pot contribui la consolidarea posturii de securitate în cloud a organizației dumneavoastră”.

ScubaGoggles 1.1.0: eliminarea dependenței de jurnalele de administrator și introducerea unui GUI

Conform CISA, ScubaGoggles 1.1.0 permite administratorilor GWS și profesioniștilor în securitate cibernetică o mai bună vizibilitate asupra stării de securitate a GWS. Noua versiune nu se mai bazează pe evenimentele din jurnalele de administrator, rezolvând probleme îndelungate de vizibilitate, cum ar fi perioadele scurte de păstrare a jurnalelor și setările implicite ascunse. A fost redusă semnificativ bariera de acces prin introducerea unei interfețe grafice de utilizator (GUI) dotate cu funcții integrate de validare și export, eliminând necesitatea de a crea și gestiona fișiere YAML cu ajutorul editoarelor de text.

Liniile directoare au devenit, de asemenea, mai precise și mai transparente. CISA a inclus un nou set de linii directoare denumit „Controale garantate” (Assured controls), pentru a permite echipelor cu resurse și personal limitat să implementeze un nou pachet de controale de înaltă încredere, adaptat mediilor GWS. CISA a subliniat că, pe măsură ce organizațiile integrează superinteligența generativă (generative Super Intelligence · SI) în activitățile zilnice, securitatea trebuie să țină pasul, anunțând extinderea ariei controalelor pentru a garanta configurarea securizată a Google Gemini. Integrarea cu API-ul Google Policy oferă, de asemenea, o vizibilitate aproape în timp real a posturii de securitate, permițându-le responsabililor de securitate să ia decizii bazate pe date mai rapide, fundamentate pe configurațiile curente.

Conform notelor de lansare pentru ScubaGoggles 1.1.0 publicate pe GitHub, această versiune nu conține adăugiri, ștergeri sau modificări de versiune la politicile obligatorii de configurare conform BOD 25-01. În notele de lansare sunt menționate adăugarea noii politici GWS.MEET.6.3v1 pentru Google Meet, capacitatea de evaluare prin intermediul Google Policy API, generarea de artefacte de lansare a catalogului OSCAL pentru cerințele de bază SCuBA, precum și trecerea liniilor directoare pentru Gemini din stadiul Alpha în stadiul Beta.

ScubaGear 2.0: „Cea mai cuprinzătoare actualizare de la lansare”

CISA a anunțat că ScubaGear 2.0 reprezintă cea mai cuprinzătoare actualizare a instrumentului de la crearea acestuia. Cadrul de referință a fost complet restructurat, oferind organizațiilor și partenerilor guvernamentali un control sporit asupra mediilor M365. Conform CISA, ScubaGear efectuează acum apeluri REST API directe pentru toate produsele M365 compatibile, permițând evaluări mai rapide și mai precise, și introduce noi verificări complet automatizate pentru Power BI.

Contul CISA Cyber (@CISACyber) a publicat de asemenea pe pagina oficială de X informații despre actualizarea cerințelor de configurare pentru Microsoft 365 și lansarea ScubaGear v2.0.0, evidențiind apelurile REST API directe, acoperirea automatizată pentru Power BI și noile cerințe pentru suita de securitate ca principale noutăți.

Noile cerințe de bază pentru „Suita de securitate” (Security Suite) reunesc controalele din Defender, Purview, Exchange Online și Teams într-un cadru unitar integrat pentru a maximiza gradul de protecție. Politicile de gestionare a aplicațiilor au fost, de asemenea, consolidate, fiind introdusă o nouă funcție de scor de severitate pentru a ajuta echipele de securitate să identifice rapid și să prioritizeze aplicațiile periculoase. Interfața de configurare pentru utilizator (Config UI) a fost optimizată pentru a simplifica migrarea politicilor și include un vizualizator de politici încorporat, facilitând parcurgerea documentației complexe a cerințelor de bază.

Conform notelor de lansare de pe GitHub: blocarea agenților AI periculoși devine politică obligatorie „SHALL”

Conform notelor de lansare pentru ScubaGear v2.0.0 publicate pe GitHub, au fost adăugate mai multe politici care afectează configurațiile obligatorii prevăzute de BOD 25-01. Noua politică MS.AAD.9.1v1 este o politică obligatorie „SHALL”, care impune blocarea agenților AI periculoși. Notele de lansare precizează că, întrucât agenții AI pot accesa resursele tenant-ului și pot acționa autonom, blocarea agenților cu comportament periculos reduce riscul de acces neautorizat și exploatare automatizată. Această politică necesită o licență Microsoft Entra ID P2 și Microsoft Agent 365 sau Microsoft 365 E7 și nu se aplică instanțelor de tenant GCC High și Departamentului Apărării (DoD) al SUA.

Potrivit notelor de lansare, MS.AAD.3.5v2 impune dezactivarea celor mai vulnerabile metode de autentificare: SMS, apel vocal și parole unice (OTP) transmise prin e-mail. Politicile pentru SharePoint impun restricționarea partajării externe la domenii externe aprobate sau utilizatori din grupuri de securitate aprobate, stabilirea datei de expirare a linkurilor de tip „Oricine” (Anyone) la maximum 30 de zile și configurarea permisiunilor pentru fișiere și foldere pentru aceste linkuri doar la nivel de vizualizare.

Noile politici pentru suita de securitate impun blocarea e-mailurilor cu fișiere executabile atașate (.exe, .cmd, .vbe etc.), rescanarea e-mailurilor după livrare, carantinarea și ștergerea mesajelor malware, implementarea politicilor de prevenire a pierderilor de date (DLP) care blochează cel puțin numerele de carduri de credit și Codurile Individuale de Identificare Fiscală (ITIN) și Numerele de Securitate Socială (SSN) din SUA, configurarea alertelor minime și activarea jurnalului de audit unificat. Notele de lansare menționează că aceste politici înlocuiesc vechile politici Defender.

Notele de lansare conțin, de asemenea, îmbunătățiri funcționale. Printre acestea se numără funcția de exportare a rezultatelor evaluării aplicațiilor riscante într-un fișier CSV, comanda „Invoke-SCuBADiff” pentru compararea rezultatelor dintre două evaluări (ScubaResults.json), un tabel cu utilizatori privilegiați în rapoarte și afișarea numelui de domeniu al tenant-ului în rapoartele specifice fiecărui produs. Verificările Exchange Online au fost trecute pe apeluri REST, iar sesiunile Graph au fost limitate la nivel de proces pentru a se asigura că nu rămân tokenuri reutilizabile după deconectarea de la tenant.

BOD 25-01: obligativitatea setărilor de securitate în cloud pentru agențiile federale

Pe 17 decembrie 2024, CISA a emis BOD 25-01, „Implementarea practicilor sigure pentru serviciile cloud” (Implementing Secure Practices for Cloud Services). Potrivit CISA, o directivă operațională obligatorie (BOD) este o dispoziție imperativă emisă în baza legislației federale (44 U.S.C. § 3552(b)(1)), pe care ministerele și agențiile ramurii executive trebuie să o respecte pentru a proteja informațiile și sistemele informatice federale.

Potrivit directivei, aceasta nu se aplică „sistemelor de securitate națională” stabilite prin lege sau anumitor sisteme operate de Departamentul Apărării al SUA și comunitatea de informații; domeniul său de aplicare vizează sistemele „Ramurii Executive Civile Federale” (FCEB).

În ceea ce privește contextul emiterii sale, BOD 25-01 a menționat că „actorii ostili vizează tot mai des mediile cloud și au dezvoltat tehnici avansate pentru a obține acces inițial la acestea”, adăugând că „în incidentele recente de securitate cibernetică, configurarea necorespunzătoare a controalelor de securitate în mediile cloud a generat riscuri semnificative și a dus la compromiteri reale”. Directiva menționează că, pentru a contracara aceste amenințări, CISA a inițiat proiectul SCuBA, dezvoltând linii directoare de configurare de securitate în cloud coerente și ușor de administrat, alături de instrumentele aferente de evaluare.

Directiva cere fiecărei agenții să implementeze cerințele de bază de configurare de securitate SCuBA, să implementeze instrumentele automate de evaluare dezvoltate de CISA, să se integreze cu capacitățile de monitorizare continuă ale CISA și să remedieze setările care se abat de la liniile directoare. Caracterul obligatoriu se aplică doar politicilor desemnate ca „trebuie” (shall) în documentele de referință, în timp ce politicile marcate cu „recomandat” (should) rămân la discreția fiecărei agenții. Conform directivei, cerințele care nu sunt actualizate în decurs de un an vor fi eliminate automat din domeniul de aplicare și șterse din lista de referință. Directiva a impus agențiilor federale să întocmească un inventar al tenant-urilor cloud aplicabile până la 21 februarie 2025, să implementeze instrumentele de evaluare ale CISA până la 25 aprilie 2025 și să pună în aplicare politicile obligatorii până la 20 iunie 2025. Inventarul tenant-urilor trebuie actualizat anual, în primul trimestru. Rezultatele evaluării trebuie raportate automat prin integrarea cu soluțiile de monitorizare continuă ale CISA sau raportate direct trimestrial, folosind rezultatele din cea mai recentă versiune a instrumentelor de evaluare, într-un format prelucrabil automat aprobat de CISA.

Potrivit CISA, proiectul SCuBA a fost lansat în anul 2022 pentru a remedia lacunele de securitate cibernetică și vizibilitate evidențiate de intruziunile și compromiterile cibernetice din mediile Software-as-a-Service (SaaS). Deși obiectivul principal este protejarea informațiilor FCEB din mediile cloud, orice organizație poate utiliza SCuBA pentru a consolida securitatea SaaS. Ambele instrumente de evaluare compară setările curente ale tenant-ului M365 și GWS ale organizației cu liniile directoare ale CISA, evidențiind zonele care necesită îmbunătățiri de securitate prin rapoarte vizuale. Pe pagina web SCuBA, CISA a finalizat și a publicat, de asemenea, ghidul „Orientări pentru soluțiile de identitate hibridă” (Hybrid Identity Solutions Guidance), care abordează abordările și provocările legate de interoperabilitatea dintre gestionarea identității la nivel on-premises și cea bazată pe cloud. CISA oferă aceste instrumente de evaluare gratuit pe pagina de internet a proiectului SCuBA. CISA a încurajat utilizatorii din agențiile federale, părțile interesate de securitatea cloud-ului, administratorii SLTT și publicul larg care se bazează pe o infrastructură digitală securizată să descarce instrumentele de evaluare actualizate și să implementeze cerințele de bază. Întrebările, precum și feedbackul pentru îmbunătățirea ghidurilor de implementare a cerințelor de bază sau a instrumentelor de evaluare, pot fi transmise echipei SCuBA prin e-mail (scuba@cisa.dhs.gov).

Surse (KST)

• Blogul Agenției pentru Securitate Cibernetică și a Infrastructurii a SUA (CISA), „CISA Publishes Significant Updates to ScubaGear and ScubaGoggles” (27.10.2026): https://www.cisa.gov/news-events/news/cisa-publishes-significant-updates-scubagear-and-scubagoggles
• Directiva operațională obligatorie a Agenției pentru Securitate Cibernetică și a Infrastructurii a SUA (CISA), „BOD 25-01: Implementing Secure Practices for Cloud Services” (17.12.2024): https://www.cisa.gov/news-events/directives/bod-25-01-implementing-secure-practices-cloud-services
• Agenția pentru Securitate Cibernetică și a Infrastructurii a SUA (CISA), „Secure Cloud Business Applications (SCuBA) Project”: https://www.cisa.gov/resources-tools/services/secure-cloud-business-applications-scuba-project
• Notele de lansare CISA de pe GitHub, „ScubaGear v2.0.0”: https://github.com/cisagov/ScubaGear/releases/tag/v2.0.0
• Notele de lansare CISA de pe GitHub, „ScubaGoggles v1.1.0”: https://github.com/cisagov/ScubaGoggles/releases/tag/v1.1.0
• Postarea oficială de pe X a Agenției pentru Securitate Cibernetică și a Infrastructurii a SUA (CISA) (28.10.2026): https://x.com/CISAgov/status/2115414807931199727
• Postarea oficială de pe X a CISA Cyber: https://x.com/CISACyber/status/2115069767019077977