CISA представило инструменты проверки облачной безопасности для федеральных ведомств «ScubaGear 2.0» и «ScubaGoggles 1.1»… введена политика блокировки опасных ИИ-агентов

Вашингтон, США

Агентство по кибербезопасности и защите инфраструктуры США (CISA) объявило о масштабном обновлении ScubaGear и ScubaGoggles — бесплатных инструментов для проверки параметров безопасности облачных рабочих сред в федеральных ведомствах, а также в государственных и частных организациях. 27 октября (по местному времени) CISA сообщило в своем официальном блоге о выпуске инструмента ScubaGear 2.0 для Microsoft 365 (M365) и инструмента ScubaGoggles 1.1.0 для Google Workspace (GWS) в рамках проекта «Безопасные облачные бизнес-приложения» (SCuBA, Secure Cloud Business Applications).

Запись в блоге была опубликована от имени Криса Бутеры (Chris Butera), исполняющего обязанности старшего помощника директора CISA по кибербезопасности. В CISA охарактеризовали данное обновление как «большой скачок вперед» (a major leap forward) для проекта SCuBA.

«Возможность для федеральных ведомств соблюдать обязательную оперативную директиву 25-01»

По данным CISA, обновление инструментов проверки и базовых показателей безопасной конфигурации (SCB, secure configuration baselines) для M365 и GWS предоставляет федеральным органам возможность соблюдать обязательную оперативную директиву (BOD, Binding Operational Directive) 25-01, а государственным и частным организациям — действенные меры по повышению уровня облачной безопасности.

В публикации блога CISA отмечается: «Защищаете ли вы федеральное ведомство, управляете ли ИТ-системами органов власти штатов, органов местного самоуправления, племенных или территориальных образований (SLTT) либо курируете облачную стратегию частного предприятия — задача остается неизменной: защитить современные облачные среды от эволюционирующих угроз». В CISA подчеркнули, что это обновление стало прямым результатом тщательного тестирования, обмена опытом и непрерывного сотрудничества с федеральными партнерами, специалистами по сетевой защите уровня SLTT и заинтересованными сторонами из частного сектора.

28 октября CISA также опубликовало сообщение в своем официальном аккаунте в сети X: «С момента первоначального выпуска ScubaGear и ScubaGoggles мы сотрудничали с государственными и отраслевыми партнерами, чтобы наши инструменты могли противостоять эволюционирующим угрозам. Узнайте, как эти обновления могут помочь повысить уровень облачной безопасности вашей организации».

ScubaGoggles 1.1.0: отказ от зависимости от журналов администратора и внедрение GUI

По информации CISA, ScubaGoggles 1.1.0 обеспечивает администраторам GWS и специалистам по кибербезопасности улучшенную видимость состояния безопасности GWS. Новая версия устраняет зависимость от событий в журналах администратора, решая давние проблемы с видимостью, такие как короткие сроки хранения журналов и скрытые настройки по умолчанию. Внедрение графического пользовательского интерфейса (GUI) со встроенными функциями валидации и экспорта избавило от необходимости создавать и редактировать файлы YAML в текстовых редакторах, что существенно снизило порог входа.

Базовые требования также стали более точными и прозрачными. CISA включило новый базовый набор «гарантированных мер контроля» (Assured controls), чтобы команды с ограниченными кадровыми и материальными ресурсами могли развернуть новый набор высоконадежных средств контроля, адаптированных под среду GWS. В CISA заявили, что по мере внедрения организациями генеративного сверхинтеллекта (generative Super Intelligence, SI) в повседневные рабочие процессы безопасность должна поспевать за этими изменениями, и объявили о расширении средств контроля, помогающих обеспечить безопасную конфигурацию Google Gemini. Интеграция с Google Policy API также обеспечивает видимость состояния безопасности практически в реальном времени, позволяя руководителям служб безопасности быстрее принимать решения на основе фактических данных текущих настроек.

Согласно примечаниям к выпуску ScubaGoggles 1.1.0, опубликованным на GitHub, в этой версии отсутствуют добавления, удаления или изменения версий обязательных политик конфигурации BOD 25-01. В примечаниях отмечено добавление новой политики Google Meet — GWS.MEET.6.3v1, появление функций проверки с использованием Google Policy API, генерация артефактов каталога OSCAL для базовых показателей SCuBA, а также перевод базовых требований Gemini из стадии Alpha в стадию Beta.

ScubaGear 2.0: «самое масштабное обновление с момента внедрения»

CISA назвало ScubaGear 2.0 наиболее всеобъемлющим обновлением инструмента с момента его создания. Структура базовых показателей была полностью переработана, что позволило корпоративным и государственным структурам получить более эффективный контроль над своими средами M365. По сообщению CISA, ScubaGear теперь осуществляет прямые вызовы REST API во всех поддерживаемых продуктах M365 для более быстрой и точной проверки, а также впервые представляет полностью автоматизированную проверку Power BI.

Кибераккаунт CISA (@CISACyber) также опубликовал в официальной сети X новость об обновлении базовых конфигураций Microsoft 365 и релизе ScubaGear v2.0.0, выделив среди ключевых новшеств прямые вызовы REST API, автоматизированный охват Power BI и новый базовый уровень пакета безопасности Security Suite.

Новый базовый профиль «Пакет безопасности» (Security Suite) объединяет средства контроля Defender, Purview, Exchange Online и Teams в единую интегрированную систему для максимального охвата защиты. Политики управления приложениями также были усилены, а для помощи группам безопасности в быстром выявлении рискованных приложений и определении приоритетов была введена функция оценки критичности. Пользовательский интерфейс конфигурации (Config UI) был улучшен для упрощения переноса политик и теперь включает встроенный инструмент просмотра политик, облегчающий навигацию по сложным базовым документам.

По примечаниям к выпуску на GitHub: блокировка опасных ИИ-агентов стала «обязательной» (SHALL) политикой

Согласно примечаниям к выпуску ScubaGear v2.0.0, опубликованным на GitHub, было добавлено несколько политик, влияющих на обязательные конфигурации BOD 25-01. Новая политика MS.AAD.9.1v1 носит обязательный статус «должно» (SHALL) и требует блокировать рискованных ИИ-агентов. В примечаниях указано, что агенты ИИ могут получать доступ к ресурсам тенанта и действовать автономно, поэтому блокировка агентов с рискованным поведением снижает вероятность несанкционированного доступа и автоматизированной компрометации. Для этой политики требуется лицензия Microsoft Entra ID P2 и Microsoft Agent 365 либо Microsoft 365 E7; она не распространяется на тенанты GCC High и Министерства обороны США (DoD).

Согласно примечаниям, политика MS.AAD.3.5v2 предписывает отключить наиболее уязвимые методы аутентификации: одноразовые пароли (OTP) через SMS, голосовые вызовы и электронную почту. Политики SharePoint требуют ограничить внешний доступ утвержденными внешними доменами или пользователями одобренных групп безопасности, установить срок действия ссылок с доступом «Любой» (Anyone) не более 30 дней, а разрешения для файлов и папок по таким ссылкам ограничить режимом только для чтения.

Новые политики Security Suite требуют блокировать электронные письма с исполняемыми вложениями (.exe, .cmd, .vbe и др.), повторно сканировать сообщения после доставки, изолировать и удалять вредоносные письма, настраивать политики предотвращения утечек данных (DLP), как минимум блокирующие передачу номеров кредитных карт, индивидуальных идентификационных номеров налогоплательщика США (ITIN) и номеров социального страхования (SSN), а также устанавливать минимальные конфигурации оповещений и активировать единый журнал аудита. В примечаниях к выпуску уточняется, что эти правила заменяют прежние политики Defender.

В примечания также вошли функциональные улучшения: экспорт результатов проверки рискованных приложений в формат CSV, команда «Invoke-SCuBADiff» для сопоставления результатов двух проверок (ScubaResults.json), таблица привилегированных пользователей в отчетах и отображение доменного имени тенанта в отчетах по продуктам. Проверки Exchange Online были переведены на REST-вызовы, а сессии Graph были ограничены рамками процесса, чтобы после отключения от тенанта не оставалось пригодных для повторного использования токенов.

BOD 25-01: обязательные параметры облачной безопасности для федеральных органов

17 декабря 2024 года CISA выпустило директиву BOD 25-01 «Реализация безопасных практик для облачных сервисов» (Implementing Secure Practices for Cloud Services). Согласно разъяснениям CISA, BOD представляет собой обязательное к исполнению предписание, основанное на федеральном законодательстве (44 U.S.C. §3552(b)(1)), которому обязаны следовать министерства и ведомства исполнительной власти для защиты федеральной информации и информационных систем.

Как указано в документе, директива не распространяется на законодательно определенные «системы национальной безопасности», а также на ряд систем, эксплуатируемых Министерством обороны и разведывательным сообществом; сферой ее охвата являются системы «гражданских органов исполнительной власти федерального уровня» (FCEB).

В качестве предпосылок принятия BOD 25-01 указано следующее: «Злоумышленники все чаще выбирают своей целью облачные среды и разработали изощренные методы получения первоначального доступа к ним», а «в недавних инцидентах кибербезопасности ненадлежащая настройка средств защиты в облачных средах повлекла существенные риски и привела к реальным компрометациям». Для противодействия этим угрозам CISA инициировало проект SCuBA, в рамках которого разработало согласованные и контролируемые базовые стандарты конфигурации облачной безопасности и проверочные инструменты.

Директива предписывает ведомствам внедрить базовые показатели безопасности SCuBA, развернуть созданные CISA автоматизированные инструменты проверки конфигураций, интегрироваться с системой непрерывного мониторинга CISA и устранять отклонения в настройках от базовых стандартов. Обязательными являются только положения, обозначенные в документах термином «должно» (shall), тогда как политики со статусом «следует» (should) оставлены на усмотрение самих ведомств. Согласно директиве, базовые показатели, не обновленные в течение 1 года, автоматически выводятся из сферы действия и удаляются из перечня. Директива обязала федеральные ведомства провести инвентаризацию соответствующих облачных тенантов до 21 февраля 2025 года, развернуть инструменты оценки CISA до 25 апреля 2025 года и реализовать обязательные политики до 20 июня 2025 года. Реестр тенантов должен обновляться ежегодно в первом квартале. Результаты проверок должны автоматически передаваться посредством интеграции с решениями непрерывного мониторинга CISA либо направляться ежеквартально напрямую с использованием актуальной версии инструментов в утвержденном CISA машиночитаемом формате.

По информации CISA, проект SCuBA был запущен в 2022 году для устранения пробелов в сфере кибербезопасности и контроля, вскрытых в ходе вторжений и взломов в сегменте «программное обеспечение как услуга» (SaaS). Хотя его ключевая цель — защита информации FCEB в облачных средах, использовать SCuBA для усиления безопасности SaaS может любая организация. Оба инструмента сопоставляют текущие настройки тенантов M365 и GWS организации с базовыми требованиями CISA и наглядно отображают требующие улучшений области в визуальных отчетах. На веб-странице SCuBA агентство CISA также утвердило и опубликовало «Руководство по гибридным решениям идентификации» (Hybrid Identity Solutions Guidance), в котором рассматриваются подходы и сложности взаимодействия между локальными и облачными системами управления учетными данными. CISA предоставляет данные инструменты проверки бесплатно на веб-странице проекта SCuBA. CISA призвало пользователей из федеральных органов, специалистов по облачной безопасности, администраторов систем SLTT и широкую общественность, зависящую от надежной цифровой инфраструктуры, загрузить обновленные инструменты и внедрить базовые требования. Запросы, а также отзывы по руководствам и предложения по совершенствованию инструментов принимаются по электронной почте команды SCuBA (scuba@cisa.dhs.gov).

Источники (KST)

• Блог Агентства по кибербезопасности и защите инфраструктуры США (CISA) «CISA Publishes Significant Updates to ScubaGear and ScubaGoggles» (27.10.2026): https://www.cisa.gov/news-events/news/cisa-publishes-significant-updates-scubagear-and-scubagoggles
• Обязательная оперативная директива Агентства по кибербезопасности и защите инфраструктуры США (CISA) «BOD 25-01: Implementing Secure Practices for Cloud Services» (17.12.2024): https://www.cisa.gov/news-events/directives/bod-25-01-implementing-secure-practices-cloud-services
• Агентство по кибербезопасности и защите инфраструктуры США (CISA), «Secure Cloud Business Applications (SCuBA) Project»: https://www.cisa.gov/resources-tools/services/secure-cloud-business-applications-scuba-project
• Примечания к выпуску CISA на GitHub «ScubaGear v2.0.0»: https://github.com/cisagov/ScubaGear/releases/tag/v2.0.0
• Примечания к выпуску CISA на GitHub «ScubaGoggles v1.1.0»: https://github.com/cisagov/ScubaGoggles/releases/tag/v1.1.0
• Официальная публикация Агентства по кибербезопасности и защите инфраструктуры США (CISA) в сети X (28.10.2026): https://x.com/CISAgov/status/2115414807931199727
• Официальная публикация подразделения Cyber Агентства по кибербезопасности и защите инфраструктуры США (CISA) в сети X: https://x.com/CISACyber/status/2115069767019077977