Американската агенция за киберсигурност и инфраструктурна сигурност (CISA) предлага два безплатни инструмента, които да помогнат на организациите да откриват грешни конфигурации за сигурност в Microsoft 365 и Google Workspace. ScubaGear и ScubaGoggles съпоставят настройките в облака с препоръчани базови нива за сигурност, предоставяйки на администраторите по-ясна представа за уязвимите места, изискващи внимание. И двата инструмента са достъпни както за държавни институции, така и за частния бизнес.

Инструментите са част от проекта на CISA за сигурни облачни бизнес приложения, известен като SCuBA. Създаден през 2022 г., проектът адресира пропуските в сигурността и видимостта, разкрити при атаки срещу облачни услуги. CISA представи инструментите за оценка през 2023 г., което ги прави вече утвърдени ресурси, а не новостартирани продукти.

Въпреки че SCuBA е насочен предимно към цивилните агенции на федералната изпълнителна власт на САЩ, насоките на проекта са достъпни за всяка организация. Базовите конфигурации имат за цел да защитят информацията, създавана, достъпвана, споделяна или съхранявана в облачни приложения, като същевременно позволяват на организациите да отчетат своите специфични бизнес нужди и нива на риск.

ScubaGear проверява сигурността на Microsoft 365

ScubaGear проверява средата на Microsoft 365 на дадена организация спрямо базовите конфигурации за сигурност на CISA. Обхватът му включва Microsoft Entra ID, Exchange Online, Teams, SharePoint, Power BI и Power Platform. Тези проверки помагат на администраторите да прегледат настройките за идентичност, електронна поща, съвместна работа и сигурност на приложенията чрез един цялостен процес на оценка.

Инструментът използва PowerShell, за да извлича конфигурационни данни от програмните интерфейси (API) на Microsoft 365. След това предава тези настройки на Open Policy Agent, който ги оценява спрямо правила, написани на езика за политики Rego. Резултатите се генерират в HTML, JSON и CSV формати за преглед и последващ анализ.

Администраторите могат да инсталират ScubaGear чрез PowerShell Gallery с командата Install-Module -Name ScubaGear. Преди това обаче те трябва да прегледат необходимите права и зависимости. Оценката идентифицира пропуски, без автоматично да променя или коригира настройките на облачната среда, оставяйки на администраторите отговорността да прегледат констатациите, да приложат промени или да документират приетите рискове.

Проектът е свързан и с по-широките изисквания на CISA за облачна сигурност, включително директивата за сигурност на Microsoft 365, която изисква от федералните цивилни агенции да засилят облачните конфигурации и да използват оценките на SCuBA.

ScubaGoggles оценява настройките на Google Workspace

ScubaGoggles предоставя сходна оценка за Google Workspace. Той използва предимно Google Admin SDK API заедно с други интерфейси на Google за събиране на приложими настройки, логове, данни за организацията и потребителски привилегии. Open Policy Agent съпоставя събраните данни с базовите изисквания и генерира отчети в HTML и JSON формат.

Важно ограничение изисква повишено внимание: в хранилището на CISA инструментът ScubaGoggles е обозначен като алфа версия в активна разработка с предупреждение, че резултатите могат да съдържат неточности. Администраторите трябва внимателно да валидират констатациите и да извършват необходимите ръчни проверки, вместо да разглеждат автоматизирания отчет като цялостен одит на сигурността.

CISA предоставя и насоки за хибридни решения за управление на идентичността (Hybrid Identity Solutions Guidance) за организации, свързващи локални системи за автентикация с облачни услуги. Това допълва препоръките за сигурност на Active Directory, особено когато организациите трябва да разберат и намалят уязвимостите в свързани среди.

За екипите по сигурност тези инструменти предоставят повторяем метод за измерване на пропуските в конфигурациите. Преглеждането на резултатите, документирането на обосновани изключения и стартирането на проверки след промени помагат на организациите да следят напредъка си, без да бъркат съответствието с базовите стандарти с пълна гаранция срещу компрометиране.