CISA, 연방기관 클라우드 보안 점검 도구 '스쿠바기어 2.0'·'스쿠바고글스 1.1' 공개…위험 AI 에이전트 차단 정책 신설

미국 워싱턴

CISA(미국 사이버안보·기반시설안보국)가 연방기관과 공공·민간 조직의 클라우드 업무 환경 보안 설정을 점검하는 무료 도구 '스쿠바기어(ScubaGear)'와 '스쿠바고글스(ScubaGoggles)'의 대규모 업데이트를 발표했다. CISA는 10월 27일(현지시간) 공식 블로그에 '보안 클라우드 비즈니스 애플리케이션(SCuBA·Secure Cloud Business Applications)' 프로젝트의 마이크로소프트 365(M365)용 점검 도구 스쿠바기어 2.0과 구글 워크스페이스(GWS)용 점검 도구 스쿠바고글스 1.1.0을 공개한다고 발표했다.

블로그 글은 크리스 부테라(Chris Butera) CISA 사이버안보 담당 수석부국장 대행 명의로 게재됐다. CISA는 이번 업데이트를 SCuBA 프로젝트의 "큰 도약(a major leap forward)"이라고 표현했다.

"연방기관이 구속력 있는 운영 지침 25-01을 준수할 수 있는 역량"

CISA에 따르면 M365와 GWS용 점검 도구와 보안 구성 기준(SCB·secure configuration baselines) 업데이트는 연방기관에는 구속력 있는 운영 지침(BOD·Binding Operational Directive) 25-01을 준수할 수 있는 역량을, 공공·민간 조직에는 클라우드 보안 수준을 높일 수 있는 조치를 제공한다.

CISA는 블로그에서 "연방기관을 방어하든, 주·지방·부족·준주(SLTT) 정부의 IT를 관리하든, 민간 기업의 클라우드 전략을 총괄하든 과제는 같다. 진화하는 위협으로부터 현대 클라우드 환경을 지키는 일"이라고 밝혔다. CISA는 이번 업데이트가 연방 파트너, SLTT 네트워크 방어 담당자, 민간 부문 이해관계자들과의 엄격한 시험과 전문성 공유, 지속적 협력의 직접적인 결과라고 발표했다.

CISA는 10월 28일 공식 X 계정에도 "스쿠바기어와 스쿠바고글스 최초 공개 이후 정부·업계 파트너들과 협력해 도구가 진화하는 위협에 대응할 수 있도록 해 왔다"며 "이번 업데이트가 조직의 클라우드 보안 수준을 어떻게 높일 수 있는지 확인하라"고 게시했다.

스쿠바고글스 1.1.0…관리자 로그 의존 없애고 GUI 도입

CISA에 따르면 스쿠바고글스 1.1.0은 GWS 관리자와 사이버보안 전문가들이 GWS 보안 상태를 더 잘 볼 수 있게 한다. 새 버전은 관리자 로그 이벤트에 의존하지 않아, 짧은 로그 보존 기간과 숨겨진 기본 설정 같은 오랜 가시성 문제를 해결한다. 텍스트 편집기로 YAML 파일을 만들고 관리할 필요 없이 내장 검증·내보내기 기능을 갖춘 그래픽 사용자 인터페이스(GUI)를 도입해 진입 장벽을 크게 낮췄다.

기준도 더 정밀하고 투명해졌다. CISA는 인력과 자원이 부족한 팀이 GWS 환경에 맞춰 설계된 신뢰도 높은 새 통제 세트를 배치할 수 있도록 '보증 통제(Assured controls)' 기준을 새로 담았다. CISA는 조직들이 생성형 초지능(generative Super Intelligence·SI)을 일상 업무에 통합하면서 보안도 이를 따라가야 한다며, 구글 제미나이(Gemini)가 안전하게 구성되도록 돕는 통제 범위를 넓혔다고 발표했다. 구글 정책 API(Policy API) 연동으로 거의 실시간에 가까운 보안 상태 가시성도 제공해, 보안 책임자들이 현재 설정을 바탕으로 더 빠르게 데이터 기반 결정을 내릴 수 있게 했다.

깃허브(GitHub)에 게시된 스쿠바고글스 1.1.0 배포 노트에 따르면 이번 버전에서 BOD 25-01 필수 구성 정책의 추가·삭제·버전 변경은 없다. 배포 노트에는 구글 미트(Google Meet) 관련 새 정책 GWS.MEET.6.3v1 추가와 함께 구글 정책 API를 활용한 점검 기능, SCuBA 기준의 OSCAL 카탈로그 배포 산출물 생성, 제미나이 기준의 알파(Alpha) 단계에서 베타(Beta) 단계로의 전환이 기재됐다.

스쿠바기어 2.0…"도입 이후 가장 포괄적인 업데이트"

CISA는 스쿠바기어 2.0을 도구 도입 이후 가장 포괄적인 업데이트라고 발표했다. 기준 체계를 완전히 재구성해 기업과 정부 이해관계자들이 M365 환경을 더 잘 통제할 수 있게 했다. CISA에 따르면 스쿠바기어는 이제 지원하는 모든 M365 제품에서 REST API를 직접 호출해 더 빠르고 정확하게 점검하며, 파워 BI(Power BI)에 대한 완전 자동화 점검도 새로 도입했다.

CISA 사이버 계정(@CISACyber)도 공식 X에 마이크로소프트 365 구성 기준 업데이트와 스쿠바기어 v2.0.0 공개 소식을 올리며 REST API 직접 호출, 파워BI 자동 점검 범위, 새 보안 제품군 기준을 주요 변경 사항으로 소개했다.

새 '보안 제품군(Security Suite)' 기준은 디펜더(Defender), 퍼뷰(Purview), 익스체인지 온라인(Exchange Online), 팀즈(Teams)의 통제를 단일 통합 체계로 묶어 방어 범위를 극대화한다. 애플리케이션 관리 정책도 강화됐고, 보안팀이 위험한 애플리케이션을 빠르게 찾아내 우선순위를 정할 수 있도록 심각도 점수 기능이 새로 들어갔다. 구성 사용자 인터페이스(Config UI)는 정책 이전을 간소화하고 정책 뷰어를 내장해 복잡한 기준 문서를 쉽게 탐색할 수 있도록 개선됐다.

깃허브 배포 노트에 따르면…위험 AI 에이전트 차단을 '필수(SHALL)' 정책으로

깃허브에 게시된 스쿠바기어 v2.0.0 배포 노트에 따르면 BOD 25-01 필수 구성에 영향을 주는 정책이 여럿 추가됐다. 새 정책 MS.AAD.9.1v1은 위험한 AI 에이전트를 차단하도록 요구하는 '필수(SHALL)' 정책이다. 배포 노트는 AI 에이전트가 테넌트 자원에 접근해 자율적으로 행동할 수 있어, 위험한 행동을 보이는 에이전트를 차단하면 무단 접근과 자동화된 악용 위험이 줄어든다고 적시했다. 이 정책은 마이크로소프트 엔트라 ID P2 라이선스와 마이크로소프트 에이전트 365 또는 마이크로소프트 365 E7이 필요하며, GCC 하이와 국방부(DoD) 테넌트에는 적용되지 않는다.

배포 노트에 따르면 MS.AAD.3.5v2는 가장 약한 인증 수단인 문자메시지·음성 통화·이메일 일회용 비밀번호(OTP) 인증 방식을 비활성화하도록 요구한다. 셰어포인트(SharePoint) 관련 정책은 외부 공유를 승인된 외부 도메인이나 승인된 보안 그룹 사용자로 제한하고, '누구나(Anyone)' 링크의 만료 기한을 30일 이하로, 링크의 파일·폴더 권한을 보기 전용으로 설정하도록 요구한다.

새 보안 제품군 정책은 실행 파일(.exe, .cmd, .vbe 등)이 첨부된 이메일 차단, 전달 이후 이메일 재검사, 악성코드 이메일 격리·삭제, 신용카드 번호와 미국 개인납세자번호(ITIN)·사회보장번호(SSN)를 최소한으로 차단하는 개인정보 유출 방지(DLP) 정책, 최소 경보 설정, 통합 감사 로그 활성화를 요구한다. 배포 노트는 이 정책들이 기존 디펜더 정책을 대체한다고 기재했다.

배포 노트에는 기능 개선 사항도 담겼다. 위험 애플리케이션 점검 결과를 CSV 파일로 내보내는 기능, 두 차례의 점검 결과(ScubaResults.json)를 비교하는 'Invoke-SCuBADiff' 명령, 보고서의 특권 사용자 표, 제품별 보고서의 테넌트 도메인 이름 표기가 추가됐다. 익스체인지 온라인 점검은 REST 호출 방식으로 옮겨졌고, 그래프(Graph) 세션을 프로세스 단위로 한정해 테넌트 연결을 끊은 뒤 재사용 가능한 토큰이 남지 않도록 하는 수정도 포함됐다.

BOD 25-01…연방기관에 클라우드 보안 설정 의무화

CISA는 2024년 12월 17일 BOD 25-01 '클라우드 서비스의 보안 관행 이행(Implementing Secure Practices for Cloud Services)'을 발령했다. CISA에 따르면 BOD는 연방 법률(44 U.S.C. §3552(b)(1))에 근거해 연방 행정부처와 기관이 연방 정보와 정보시스템을 보호하기 위해 따라야 하는 강제 지시다.

지침에 따르면 이 지침은 법률상 '국가안보 시스템'과 국방부·정보기관이 운영하는 일부 시스템에는 적용되지 않으며, 적용 대상은 '연방 민간 행정부(FCEB)' 시스템이다.

BOD 25-01은 발령 배경으로 "악의적 위협 행위자들이 점점 더 클라우드 환경을 표적으로 삼고 클라우드에 처음 접근하는 수법을 발전시켜 왔다"며 "최근 사이버보안 사고에서 클라우드 환경의 보안 통제를 부적절하게 구성한 것이 상당한 위험을 불러왔고 실제 침해로 이어졌다"고 적시했다. 지침은 이런 위협에 대응하기 위해 CISA가 SCuBA 프로젝트를 시작했으며, 이를 통해 일관되고 관리 가능한 클라우드 보안 구성 기준과 점검 도구를 개발했다고 기재했다.

지침은 각 기관에 SCuBA 보안 구성 기준을 이행하고, CISA가 개발한 자동 구성 점검 도구를 배치하며, CISA의 지속 감시 체계와 연동하고, 기준에서 벗어난 설정을 바로잡도록 요구한다. 의무 사항은 기준 문서에서 '해야 한다(shall)'로 표기된 정책에만 적용되며, '권고한다(should)'로 표기된 정책은 기관 재량에 맡겨진다. 지침에 따르면 1년 안에 갱신되지 않은 기준은 자동으로 적용 대상에서 빠지고 기준 목록에서 삭제된다. 지침은 연방기관에 2025년 2월 21일까지 해당 클라우드 테넌트 목록을 작성하고, 2025년 4월 25일까지 CISA의 점검 도구를 배치하며, 2025년 6월 20일까지 의무 정책을 이행하도록 요구했다. 테넌트 목록은 매년 1분기에 갱신해야 한다. 점검 결과는 CISA의 지속 감시 솔루션과 연동해 자동으로 보고하거나, 최신 버전 점검 도구의 결과를 CISA가 승인한 기계 판독 형식으로 분기마다 직접 보고해야 한다.

CISA에 따르면 SCuBA 프로젝트는 서비스형 소프트웨어(SaaS) 사이버 침입과 침해로 드러난 사이버보안·가시성 공백을 메우기 위해 2022년 출범했다. 주된 목표는 클라우드 환경의 연방 민간 행정부 정보를 보호하는 것이지만, 모든 조직이 SaaS 보안 강화에 SCuBA를 활용할 수 있다. 두 점검 도구는 조직의 현재 M365·GWS 테넌트 설정을 CISA 기준과 비교해 보안 개선이 필요한 영역을 시각적 보고서로 보여준다. CISA는 SCuBA 웹페이지에서 온프레미스와 클라우드 기반 신원 관리 간 상호운용 방안과 과제를 다룬 '하이브리드 신원 솔루션 지침(Hybrid Identity Solutions Guidance)'도 확정해 공개했다. CISA는 SCuBA 프로젝트 웹페이지에서 이 점검 도구들을 무료로 제공한다. CISA는 연방기관 사용자와 클라우드 보안 이해관계자, SLTT 관리자, 안전한 디지털 인프라에 의존하는 일반 대중에게 업데이트된 점검 도구를 내려받아 기준을 이행하라고 권고했다. 문의와 함께 기준 이행 지침이나 점검 도구 개선을 위한 의견도 SCuBA 팀 이메일(scuba@cisa.dhs.gov)로 받는다.

출처 (KST)

• 미국 사이버안보·기반시설안보국(CISA) 블로그 「CISA Publishes Significant Updates to ScubaGear and ScubaGoggles」(2026-10-27): https://www.cisa.gov/news-events/news/cisa-publishes-significant-updates-scubagear-and-scubagoggles
• 미국 사이버안보·기반시설안보국(CISA) 구속력 있는 운영 지침 「BOD 25-01: Implementing Secure Practices for Cloud Services」(2024-12-17): https://www.cisa.gov/news-events/directives/bod-25-01-implementing-secure-practices-cloud-services
• 미국 사이버안보·기반시설안보국(CISA) 「Secure Cloud Business Applications (SCuBA) Project」: https://www.cisa.gov/resources-tools/services/secure-cloud-business-applications-scuba-project
• CISA 깃허브 배포 노트 「ScubaGear v2.0.0」: https://github.com/cisagov/ScubaGear/releases/tag/v2.0.0
• CISA 깃허브 배포 노트 「ScubaGoggles v1.1.0」: https://github.com/cisagov/ScubaGoggles/releases/tag/v1.1.0
• 미국 사이버안보·기반시설안보국(CISA) 공식 X 게시물(2026-10-28): https://x.com/CISAgov/status/2115414807931199727
• 미국 사이버안보·기반시설안보국(CISA) 사이버 공식 X 게시물: https://x.com/CISACyber/status/2115069767019077977