CISA發布聯邦機構雲端安全檢測工具「ScubaGear 2.0」與「ScubaGoggles 1.1」…新增封鎖高風險AI代理政策

美國華盛頓

CISA（美國網路安全暨基礎設施安全局）宣佈對「ScubaGear」與「ScubaGoggles」進行大規模更新，這兩項免費工具用於檢測聯邦機構以及公私部門組織的雲端工作環境安全設定。CISA 於 10 月 27 日（當地時間）在官方部落格宣佈，公開「安全雲端商業應用程式（SCuBA，Secure Cloud Business Applications）」專案旗下適用於 Microsoft 365（M365）的檢測工具 ScubaGear 2.0，以及適用於 Google Workspace（GWS）的檢測工具 ScubaGoggles 1.1.0。

該部落格文章是以 CISA 網路安全代理資深助理局長 Chris Butera 的名義發布。CISA 將此次更新形容為 SCuBA 專案的「一大躍進（a major leap forward）」

「使聯邦機構得以遵循具約束力運作指令 25-01 的能力」

根據 CISA 的說法，適用於 M365 與 GWS 的檢測工具及安全組態基準（SCB，secure configuration baselines）更新，為聯邦機構提供了遵循具約束力運作指令（BOD，Binding Operational Directive）25-01 的能力，同時也為公私部門組織提供了提升雲端安全態勢的可行措施。

CISA 在部落格中表示：「無論是防衛聯邦機構、管理州、地方、部落及領地（SLTT）政府的 IT，還是統籌民營企業的雲端策略，挑戰都是相同的：保護現代雲端環境免受不斷演變的威脅侵害。」CISA 宣佈，此次更新是與聯邦合作夥伴、SLTT 網路防護人員以及私營部門利害關係人進行嚴格測試、分享專業知識與持續合作的直接成果。

CISA 亦於 10 月 28 日在其官方 X 帳號發文指出：「自 ScubaGear 與 ScubaGoggles 首次發布以來，我們便與政府及業界夥伴攜手合作，確保我們的工具能夠因應不斷演變的威脅。歡迎瞭解這些更新如何協助提升貴組織的雲端安全態勢。」

ScubaGoggles 1.1.0……擺脫對管理員日誌的依賴並導入 GUI

根據 CISA 的說法，ScubaGoggles 1.1.0 讓 GWS 管理員與網路安全專家能夠更清楚掌握 GWS 的安全狀態。新版本不再依賴管理員日誌事件，解決了日誌保存期限過短及隱藏預設設定等長期存在的可見度問題。它導入了具備內建驗證與匯出功能的圖形使用者介面（GUI），無需使用文字編輯器建立和管理 YAML 檔案，大幅降低了使用門檻。

基準也變得更加精確且透明。CISA 新增了「保證控制（Assured controls）」基準，讓缺乏人力與資源的團隊能夠部署專為 GWS 環境量身打造的高可信度全新控制措施組合。CISA 表示，隨著各組織將生成式超級智能（generative Super Intelligence，SI）整合到日常工作流程中，安全措施也必須與時俱進，因此宣佈擴大控制範圍，以協助確保 Google Gemini 獲得安全組態設定。透過與 Google 政策 API（Policy API）的串接，還提供了近乎即時的安全狀態可見度，使安全主管能根據當前設定更快做出資料驅動的決策。

根據發布在 GitHub 上的 ScubaGoggles 1.1.0 版本資訊，此版本並未對 BOD 25-01 強制組態政策進行任何新增、刪除或版本變更。版本資訊中列出了新增 Google Meet 相關新政策 GWS.MEET.6.3v1，以及利用 Google 政策 API 進行檢測的功能、產生 SCuBA 基準的 OSCAL 目錄發布產出物，以及 Gemini 基準從 Alpha 階段轉入 Beta 階段。

ScubaGear 2.0……「推出以來最全面的更新」

CISA 宣佈，ScubaGear 2.0 是該工具推出以來最全面的更新。它徹底重構了基準架構，使企業與政府利害關係人能更好地掌控其 M365 環境。根據 CISA 的說法，ScubaGear 現在能在所有支援的 M365 產品中直接呼叫 REST API，進行更快、更精確的檢測，並全新導入了針對 Power BI 的全自動化檢測。

CISA 網路帳號（@CISACyber）亦在其官方 X 發布了 Microsoft 365 組態基準更新與 ScubaGear v2.0.0 發布的消息，並將 REST API 直接呼叫、Power BI 自動檢測涵蓋範圍以及全新安全套件基準列為主要變更事項。

全新的「安全套件（Security Suite）」基準將 Defender、Purview、Exchange Online 與 Teams 的控制措施整合至單一體系中，以最大化防禦範圍。應用程式管理政策亦獲得強化，並新增嚴重性評分功能，協助安全團隊迅速識別有風險的應用程式並確立優先順序。組態使用者介面（Config UI）經過改進，簡化了政策遷移流程，並內建政策檢視器，讓使用者能輕鬆查閱複雜的基準文件。

根據 GitHub 版本資訊……將封鎖高風險 AI 代理列為「強制（SHALL）」政策

根據發布在 GitHub 上的 ScubaGear v2.0.0 版本資訊，新增了多項影響 BOD 25-01 強制組態的政策。新政策 MS.AAD.9.1v1 是一項要求封鎖具風險 AI 代理的「強制（SHALL）」政策。版本資訊指出，由於 AI 代理可以存取租戶資源並自主行動，封鎖表現出危險行為的代理可降低未經授權存取與自動化漏洞利用的風險。該政策需要 Microsoft Entra ID P2 授權以及 Microsoft Agent 365 或 Microsoft 365 E7，且不適用於 GCC High 與國防部（DoD）租戶。

根據版本資訊，MS.AAD.3.5v2 要求停用最薄弱的驗證方式：簡訊、語音通話及電子郵件一次性密碼（OTP）驗證方式。SharePoint 相關政策則要求將外部共用限制在已獲准的外部網域或獲准的安全群組使用者，並將「任何人（Anyone）」連結的有效期限設定為 30 天以下，且將該連結的檔案與資料夾權限設定為僅供檢視。

新安全套件政策要求封鎖附帶可執行檔（.exe、.cmd、.vbe 等）的電子郵件、在送達後對電子郵件進行重新掃描、隔離並刪除惡意軟體電子郵件、實施至少封鎖信用卡號碼與美國個人納稅人識別號碼（ITIN）及社會安全號碼（SSN）的資料外洩防護（DLP）政策、設定最低警報組態，以及啟用整合稽核日誌。版本資訊註明這些政策取代了現有的 Defender 政策。

版本資訊中還包含多項功能改進。包括將高風險應用程式檢測結果匯出為 CSV 檔案的功能、用於比對兩次檢測結果（ScubaResults.json）的「Invoke-SCuBADiff」命令、報告中的特權使用者表格，以及產品專屬報告中新增租戶網域名稱顯示。Exchange Online 的檢測轉移為 REST 呼叫方式，並且還修正了將 Graph 連線階段限制在行程層級，以確保中斷租戶連線後不會留下可重複使用的權杖。

BOD 25-01……強制聯邦機構進行雲端安全設定

CISA 於 2024 年 12 月 17 日發布了 BOD 25-01「實施雲端服務安全實務（Implementing Secure Practices for Cloud Services）」。根據 CISA 的說法，BOD 是依據聯邦法律（44 U.S.C. §3552(b)(1)）發布的強制性指令，聯邦行政部門與機構必須遵守以保護聯邦資訊與資訊系統。

根據該指令，此指令不適用於法律規定的「國家安全系統」以及國防部與情報社群運作的部分系統，適用對象為「聯邦民事行政部門（FCEB）」系統。

BOD 25-01 指出其發布背景：「惡意威脅行為者日益鎖定雲端環境為攻擊目標，並發展出取得雲端初始存取權限的複雜手法」，且「在近期的網路安全事件中，雲端環境安全控制措施的組態設定不當帶來了重大風險，並導致實際的入侵事件」。指令表示，為因應這些威脅，CISA 啟動了 SCuBA 專案，藉此開發出具一致性且易於管理的雲端安全組態基準與檢測工具。

指令要求各機構落實 SCuBA 安全組態基準、部署 CISA 開發的自動組態檢測工具、串接 CISA 的持續監控系統，並修正偏離基準的設定。強制性要求僅適用於基準文件中標註為「應當（shall）」的政策，標註為「建議（should）」的政策則由各機構自行裁量。根據指令，若基準未在一年內更新，將自動移出適用範圍並從基準清單中刪除。指令要求聯邦機構於 2025 年 2 月 21 日前建立適用的雲端租戶清冊，於 2025 年 4 月 25 日前部署 CISA 的檢測工具，並於 2025 年 6 月 20 日前落實強制性政策。租戶清冊必須於每年第一季進行更新。檢測結果必須透過與 CISA 持續監控解決方案的串接自動回報，或每季以 CISA 核准的機器可讀格式，直接提交最新版本檢測工具的檢測結果。

根據 CISA 的說法，SCuBA 專案於 2022 年啟動，旨在彌補軟體即服務（SaaS）網路入侵與外洩事件所暴露的網路安全與可見度漏洞。儘管其主要目標是保護雲端環境中的聯邦民事行政部門資訊，但所有組織皆可利用 SCuBA 來強化 SaaS 安全。這兩款檢測工具會將組織當前的 M365 與 GWS 租戶設定與 CISA 基準進行比對，並以視覺化報告呈現需要進行安全改善的領域。CISA 亦在 SCuBA 網頁上定稿並公布了「混合身分識別處理解決方案指引（Hybrid Identity Solutions Guidance）」，探討地端與雲端身分識別管理之間的互通方法與挑戰。CISA 於 SCuBA 專案網頁上免費提供這些檢測工具。CISA 建議聯邦機構使用者、雲端安全利害關係人、SLTT 管理員以及依賴安全數位基礎設施的社會大眾下載更新後的檢測工具並落實相關基準。若有疑問，或對基準落實指引及檢測工具改進有任何意見回饋，皆可透過電子郵件寄至 SCuBA 團隊（scuba@cisa.dhs.gov）。

來源（KST）

• 美國網路安全暨基礎設施安全局（CISA）部落格〈CISA Publishes Significant Updates to ScubaGear and ScubaGoggles〉（2026-10-27）：https://www.cisa.gov/news-events/news/cisa-publishes-significant-updates-scubagear-and-scubagoggles
• 美國網路安全暨基礎設施安全局（CISA）具約束力運作指令〈BOD 25-01: Implementing Secure Practices for Cloud Services〉（2024-12-17）：https://www.cisa.gov/news-events/directives/bod-25-01-implementing-secure-practices-cloud-services
• 美國網路安全暨基礎設施安全局（CISA）〈Secure Cloud Business Applications (SCuBA) Project〉：https://www.cisa.gov/resources-tools/services/secure-cloud-business-applications-scuba-project
• CISA GitHub 版本資訊〈ScubaGear v2.0.0〉：https://github.com/cisagov/ScubaGear/releases/tag/v2.0.0
• CISA GitHub 版本資訊〈ScubaGoggles v1.1.0〉：https://github.com/cisagov/ScubaGoggles/releases/tag/v1.1.0
• 美國網路安全暨基礎設施安全局（CISA）官方 X 貼文（2026-10-28）：https://x.com/CISAgov/status/2115414807931199727
• 美國網路安全暨基礎設施安全局（CISA）網路官方 X 貼文：https://x.com/CISACyber/status/2115069767019077977