> ## Content Index > Fetch the complete content index at: https://www.bexus.info/llms.txt > Use this file to discover other available public pages before exploring further. # CISA представило инструменты проверки облачной безопасности для федеральных ведомств «ScubaGear 2.0» и «ScubaGoggles 1.1»… введена политика блокировки опасных ИИ-агентов - URL: https://www.bexus.info/20261027-news-353-ru/ - Published: 2026-10-27T21:00:00.000Z - Updated: 2026-10-31T15:06:25.000Z - Description: Агентство по кибербезопасности и защите инфраструктуры США (CISA) объявило о масштабном обновлении бесплатных инструментов «ScubaGear» и «ScubaGoggles», предназначенных для проверки настроек безопасности облачных рабочих сред в федеральных ведомствах, а также государственных и частных организациях. - Author: Alfred Kim - Tags: russian, US Вашингтон, США Агентство по кибербезопасности и защите инфраструктуры США (CISA) объявило о масштабном обновлении ScubaGear и ScubaGoggles — бесплатных инструментов для проверки параметров безопасности облачных рабочих сред в федеральных ведомствах, а также в государственных и частных организациях. 27 октября (по местному времени) CISA сообщило в своем официальном блоге о выпуске инструмента ScubaGear 2.0 для Microsoft 365 (M365) и инструмента ScubaGoggles 1.1.0 для Google Workspace (GWS) в рамках проекта «Безопасные облачные бизнес-приложения» (SCuBA, Secure Cloud Business Applications). Запись в блоге была опубликована от имени Криса Бутеры (Chris Butera), исполняющего обязанности старшего помощника директора CISA по кибербезопасности. В CISA охарактеризовали данное обновление как «большой скачок вперед» (a major leap forward) для проекта SCuBA. ## «Возможность для федеральных ведомств соблюдать обязательную оперативную директиву 25-01» По данным CISA, обновление инструментов проверки и базовых показателей безопасной конфигурации (SCB, secure configuration baselines) для M365 и GWS предоставляет федеральным органам возможность соблюдать обязательную оперативную директиву (BOD, Binding Operational Directive) 25-01, а государственным и частным организациям — действенные меры по повышению уровня облачной безопасности. В публикации блога CISA отмечается: «Защищаете ли вы федеральное ведомство, управляете ли ИТ-системами органов власти штатов, органов местного самоуправления, племенных или территориальных образований (SLTT) либо курируете облачную стратегию частного предприятия — задача остается неизменной: защитить современные облачные среды от эволюционирующих угроз». В CISA подчеркнули, что это обновление стало прямым результатом тщательного тестирования, обмена опытом и непрерывного сотрудничества с федеральными партнерами, специалистами по сетевой защите уровня SLTT и заинтересованными сторонами из частного сектора. 28 октября CISA также опубликовало сообщение в своем официальном аккаунте в сети X: «С момента первоначального выпуска ScubaGear и ScubaGoggles мы сотрудничали с государственными и отраслевыми партнерами, чтобы наши инструменты могли противостоять эволюционирующим угрозам. Узнайте, как эти обновления могут помочь повысить уровень облачной безопасности вашей организации». > Since the initial release of ScubaGear and ScubaGoogles, we have collaborated with government and industry partners to ensure our tools are able to meet evolving threats. See how these updates can help elevate your organizations cloud security posture: [https://t.co/hQEzpfz4Kg](https://t.co/hQEzpfz4Kg?ref=bexus.info) [pic.twitter.com/snOPNajdaD](https://t.co/snOPNajdaD?ref=bexus.info) > > — Cybersecurity and Infrastructure Security Agency (@CISAgov) [2026년 10월 28일](https://x.com/CISAgov/status/2115414807931199727?ref%5Fsrc=twsrc%5Etfw&ref=bexus.info) ## ScubaGoggles 1.1.0: отказ от зависимости от журналов администратора и внедрение GUI По информации CISA, ScubaGoggles 1.1.0 обеспечивает администраторам GWS и специалистам по кибербезопасности улучшенную видимость состояния безопасности GWS. Новая версия устраняет зависимость от событий в журналах администратора, решая давние проблемы с видимостью, такие как короткие сроки хранения журналов и скрытые настройки по умолчанию. Внедрение графического пользовательского интерфейса (GUI) со встроенными функциями валидации и экспорта избавило от необходимости создавать и редактировать файлы YAML в текстовых редакторах, что существенно снизило порог входа. Базовые требования также стали более точными и прозрачными. CISA включило новый базовый набор «гарантированных мер контроля» (Assured controls), чтобы команды с ограниченными кадровыми и материальными ресурсами могли развернуть новый набор высоконадежных средств контроля, адаптированных под среду GWS. В CISA заявили, что по мере внедрения организациями генеративного сверхинтеллекта (generative Super Intelligence, SI) в повседневные рабочие процессы безопасность должна поспевать за этими изменениями, и объявили о расширении средств контроля, помогающих обеспечить безопасную конфигурацию Google Gemini. Интеграция с Google Policy API также обеспечивает видимость состояния безопасности практически в реальном времени, позволяя руководителям служб безопасности быстрее принимать решения на основе фактических данных текущих настроек. Согласно примечаниям к выпуску ScubaGoggles 1.1.0, опубликованным на GitHub, в этой версии отсутствуют добавления, удаления или изменения версий обязательных политик конфигурации BOD 25-01\. В примечаниях отмечено добавление новой политики Google Meet — GWS.MEET.6.3v1, появление функций проверки с использованием Google Policy API, генерация артефактов каталога OSCAL для базовых показателей SCuBA, а также перевод базовых требований Gemini из стадии Alpha в стадию Beta. ## ScubaGear 2.0: «самое масштабное обновление с момента внедрения» CISA назвало ScubaGear 2.0 наиболее всеобъемлющим обновлением инструмента с момента его создания. Структура базовых показателей была полностью переработана, что позволило корпоративным и государственным структурам получить более эффективный контроль над своими средами M365\. По сообщению CISA, ScubaGear теперь осуществляет прямые вызовы REST API во всех поддерживаемых продуктах M365 для более быстрой и точной проверки, а также впервые представляет полностью автоматизированную проверку Power BI. Кибераккаунт CISA (@CISACyber) также опубликовал в официальной сети X новость об обновлении базовых конфигураций Microsoft 365 и релизе ScubaGear v2.0.0, выделив среди ключевых новшеств прямые вызовы REST API, автоматизированный охват Power BI и новый базовый уровень пакета безопасности Security Suite. > We released updated Microsoft 365 configuration baselines and ScubaGear v2.0.0, featuring direct REST API calls, automated Power BI coverage, and a new Security Suite baseline to streamline M365 security.🧑‍💻🔗 [https://t.co/aYB3Hldf66](https://t.co/aYB3Hldf66?ref=bexus.info) [pic.twitter.com/F2HjBB2k7m](https://t.co/F2HjBB2k7m?ref=bexus.info) > > — CISA Cyber (@CISACyber) [2026년 10월 27일](https://x.com/CISACyber/status/2115069767019077977?ref%5Fsrc=twsrc%5Etfw&ref=bexus.info) Новый базовый профиль «Пакет безопасности» (Security Suite) объединяет средства контроля Defender, Purview, Exchange Online и Teams в единую интегрированную систему для максимального охвата защиты. Политики управления приложениями также были усилены, а для помощи группам безопасности в быстром выявлении рискованных приложений и определении приоритетов была введена функция оценки критичности. Пользовательский интерфейс конфигурации (Config UI) был улучшен для упрощения переноса политик и теперь включает встроенный инструмент просмотра политик, облегчающий навигацию по сложным базовым документам. ## По примечаниям к выпуску на GitHub: блокировка опасных ИИ-агентов стала «обязательной» (SHALL) политикой Согласно примечаниям к выпуску ScubaGear v2.0.0, опубликованным на GitHub, было добавлено несколько политик, влияющих на обязательные конфигурации BOD 25-01\. Новая политика MS.AAD.9.1v1 носит обязательный статус «должно» (SHALL) и требует блокировать рискованных ИИ-агентов. В примечаниях указано, что агенты ИИ могут получать доступ к ресурсам тенанта и действовать автономно, поэтому блокировка агентов с рискованным поведением снижает вероятность несанкционированного доступа и автоматизированной компрометации. Для этой политики требуется лицензия Microsoft Entra ID P2 и Microsoft Agent 365 либо Microsoft 365 E7; она не распространяется на тенанты GCC High и Министерства обороны США (DoD). Согласно примечаниям, политика MS.AAD.3.5v2 предписывает отключить наиболее уязвимые методы аутентификации: одноразовые пароли (OTP) через SMS, голосовые вызовы и электронную почту. Политики SharePoint требуют ограничить внешний доступ утвержденными внешними доменами или пользователями одобренных групп безопасности, установить срок действия ссылок с доступом «Любой» (Anyone) не более 30 дней, а разрешения для файлов и папок по таким ссылкам ограничить режимом только для чтения. Новые политики Security Suite требуют блокировать электронные письма с исполняемыми вложениями (.exe, .cmd, .vbe и др.), повторно сканировать сообщения после доставки, изолировать и удалять вредоносные письма, настраивать политики предотвращения утечек данных (DLP), как минимум блокирующие передачу номеров кредитных карт, индивидуальных идентификационных номеров налогоплательщика США (ITIN) и номеров социального страхования (SSN), а также устанавливать минимальные конфигурации оповещений и активировать единый журнал аудита. В примечаниях к выпуску уточняется, что эти правила заменяют прежние политики Defender. В примечания также вошли функциональные улучшения: экспорт результатов проверки рискованных приложений в формат CSV, команда «Invoke-SCuBADiff» для сопоставления результатов двух проверок (ScubaResults.json), таблица привилегированных пользователей в отчетах и отображение доменного имени тенанта в отчетах по продуктам. Проверки Exchange Online были переведены на REST-вызовы, а сессии Graph были ограничены рамками процесса, чтобы после отключения от тенанта не оставалось пригодных для повторного использования токенов. ## BOD 25-01: обязательные параметры облачной безопасности для федеральных органов 17 декабря 2024 года CISA выпустило директиву BOD 25-01 «Реализация безопасных практик для облачных сервисов» (Implementing Secure Practices for Cloud Services). Согласно разъяснениям CISA, BOD представляет собой обязательное к исполнению предписание, основанное на федеральном законодательстве (44 U.S.C. §3552(b)(1)), которому обязаны следовать министерства и ведомства исполнительной власти для защиты федеральной информации и информационных систем. Как указано в документе, директива не распространяется на законодательно определенные «системы национальной безопасности», а также на ряд систем, эксплуатируемых Министерством обороны и разведывательным сообществом; сферой ее охвата являются системы «гражданских органов исполнительной власти федерального уровня» (FCEB). В качестве предпосылок принятия BOD 25-01 указано следующее: «Злоумышленники все чаще выбирают своей целью облачные среды и разработали изощренные методы получения первоначального доступа к ним», а «в недавних инцидентах кибербезопасности ненадлежащая настройка средств защиты в облачных средах повлекла существенные риски и привела к реальным компрометациям». Для противодействия этим угрозам CISA инициировало проект SCuBA, в рамках которого разработало согласованные и контролируемые базовые стандарты конфигурации облачной безопасности и проверочные инструменты. Директива предписывает ведомствам внедрить базовые показатели безопасности SCuBA, развернуть созданные CISA автоматизированные инструменты проверки конфигураций, интегрироваться с системой непрерывного мониторинга CISA и устранять отклонения в настройках от базовых стандартов. Обязательными являются только положения, обозначенные в документах термином «должно» (shall), тогда как политики со статусом «следует» (should) оставлены на усмотрение самих ведомств. Согласно директиве, базовые показатели, не обновленные в течение 1 года, автоматически выводятся из сферы действия и удаляются из перечня. Директива обязала федеральные ведомства провести инвентаризацию соответствующих облачных тенантов до 21 февраля 2025 года, развернуть инструменты оценки CISA до 25 апреля 2025 года и реализовать обязательные политики до 20 июня 2025 года. Реестр тенантов должен обновляться ежегодно в первом квартале. Результаты проверок должны автоматически передаваться посредством интеграции с решениями непрерывного мониторинга CISA либо направляться ежеквартально напрямую с использованием актуальной версии инструментов в утвержденном CISA машиночитаемом формате. По информации CISA, проект SCuBA был запущен в 2022 году для устранения пробелов в сфере кибербезопасности и контроля, вскрытых в ходе вторжений и взломов в сегменте «программное обеспечение как услуга» (SaaS). Хотя его ключевая цель — защита информации FCEB в облачных средах, использовать SCuBA для усиления безопасности SaaS может любая организация. Оба инструмента сопоставляют текущие настройки тенантов M365 и GWS организации с базовыми требованиями CISA и наглядно отображают требующие улучшений области в визуальных отчетах. На веб-странице SCuBA агентство CISA также утвердило и опубликовало «Руководство по гибридным решениям идентификации» (Hybrid Identity Solutions Guidance), в котором рассматриваются подходы и сложности взаимодействия между локальными и облачными системами управления учетными данными. CISA предоставляет данные инструменты проверки бесплатно на веб-странице проекта SCuBA. CISA призвало пользователей из федеральных органов, специалистов по облачной безопасности, администраторов систем SLTT и широкую общественность, зависящую от надежной цифровой инфраструктуры, загрузить обновленные инструменты и внедрить базовые требования. Запросы, а также отзывы по руководствам и предложения по совершенствованию инструментов принимаются по электронной почте команды SCuBA (scuba@cisa.dhs.gov). ## Источники (KST) - Блог Агентства по кибербезопасности и защите инфраструктуры США (CISA) «CISA Publishes Significant Updates to ScubaGear and ScubaGoggles» (27.10.2026): https://www.cisa.gov/news-events/news/cisa-publishes-significant-updates-scubagear-and-scubagoggles - Обязательная оперативная директива Агентства по кибербезопасности и защите инфраструктуры США (CISA) «BOD 25-01: Implementing Secure Practices for Cloud Services» (17.12.2024): https://www.cisa.gov/news-events/directives/bod-25-01-implementing-secure-practices-cloud-services - Агентство по кибербезопасности и защите инфраструктуры США (CISA), «Secure Cloud Business Applications (SCuBA) Project»: https://www.cisa.gov/resources-tools/services/secure-cloud-business-applications-scuba-project - Примечания к выпуску CISA на GitHub «ScubaGear v2.0.0»: https://github.com/cisagov/ScubaGear/releases/tag/v2.0.0 - Примечания к выпуску CISA на GitHub «ScubaGoggles v1.1.0»: https://github.com/cisagov/ScubaGoggles/releases/tag/v1.1.0 - Официальная публикация Агентства по кибербезопасности и защите инфраструктуры США (CISA) в сети X (28.10.2026): https://x.com/CISAgov/status/2115414807931199727 - Официальная публикация подразделения Cyber Агентства по кибербезопасности и защите инфраструктуры США (CISA) в сети X: https://x.com/CISACyber/status/2115069767019077977