CISA публикува ScubaGear v2.0 и ScubaGoggles v1.1.0 – нови версии на инструментите с отворен код, които агенцията предоставя за проверка на настройките в Microsoft 365 и Google Workspace спрямо нейните базови изисквания за сигурност.
Агенцията определя ScubaGear v2.0 като най-мащабното обновяване на този инструмент от стартирането му през 2022 г. ScubaGoggles, пуснат през 2023 г., получава нова базова линия и подобрени контроли за сигурност при Gemini.
И двата инструмента са част от проекта на CISA за сигурни облачни бизнес приложения (SCuBA), който разработва насоки за конфигуриране на облачните услуги, използвани от федералните цивилни агенции. Системният администратор стартира инструмента срещу съответния тенант (инстанция на организация в облачната услуга) и получава списък с настройки, които не съответстват на базовото ниво на сигурност.
ScubaGear вече прави директни заявки към приложните програмни интерфейси (API) на Microsoft
ScubaGear v2.0 извършва директни REST API заявки за всеки поддържан продукт на Microsoft 365. REST API е уеб интерфейс, към който програма може да отправя заявки – в този случай за извличане на конфигурацията на даден тенант. CISA съобщава, че промяната прави оценките значително по-бързи и по-точни. Този преход започна по-рано: ScubaGear 1.6.0 премина към директни Graph API заявки за Entra ID, а версия 1.8.0 пренасочи SharePoint и Power Platform към REST извиквания.
ScubaGear работи в три стъпки. Той прави запитване към Microsoft 365 за конфигурационните настройки, сравнява ги с политики, написани на Rego (езикът за правила на Open Policy Agent), и записва резултатите под формата на HTML, JSON и CSV файлове. Базовите показатели обхващат Entra ID, Defender for Office 365, Exchange Online, OneDrive for Business, Power BI, Power Platform, SharePoint Online и Teams. През 2024 г. CISA отчете повече от 30 000 изтегляния от дебюта на инструмента през октомври 2022 г.
ScubaGoggles получава базова линия с гарантирани контроли за сигурност
ScubaGoggles изпълнява същата функция за Google Workspace. Той експортира настройки чрез Google Admin SDK и други приложни програмни интерфейси (API) на Google, сравнява ги с базовите изисквания за Workspace посредством същия език за политики и генерира отчети в HTML и JSON формат. Базовите линии обхващат Gmail, Calendar, Chat, Classroom, Drive and Docs, Meet, Sites и Groups for Business, както и набор от общи контроли.
Версия 1.1.0 добавя базова линия с гарантирани контроли. „Екипите с ограничени ресурси вече могат да внедрят нов, високо надежден набор от контроли, съобразен специално със средите на GWS, спестявайки време и намалявайки затрудненията“, заявяват от CISA.
Новото издание добавя също и разширени контроли за Gemini – AI асистента на Google.