CISA: Νέες εκδόσεις ScubaGear v2.0 και ScubaGoggles v1.1.0 για τον έλεγχο ρυθμίσεων ασφαλείας σε Microsoft 365 και Google Workspace

Η αμερικανική Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών (CISA) ανακοίνωσε την Τρίτη 27 Οκτωβρίου ότι κυκλοφόρησαν οι νέες εκδόσεις των εργαλείων της για τον έλεγχο ρυθμίσεων ασφαλείας στο νέφος: το ScubaGear v2.0 για το Microsoft 365 και το ScubaGoggles v1.1.0 για το Google Workspace. Η υπηρεσία τις χαρακτηρίζει «μεγάλο άλμα» για το έργο Secure Cloud Business Applications (SCuBA), στην ανακοίνωσή της στο cisa.gov.

Το SCuBA είναι το έργο της CISA που εκδίδει οδηγίες για την ασφαλή παραμετροποίηση υπηρεσιών νέφους, γνωστές ως «βασικές γραμμές ασφαλούς διαμόρφωσης» (Secure Configuration Baselines). Τα δύο εργαλεία αξιολογούν αν ο λογαριασμός ενός οργανισμού, δηλαδή ο «μισθωτής» (tenant) στο Microsoft 365 ή ο οργανισμός στο Google Workspace, τηρεί αυτές τις οδηγίες. Η CISA απευθύνεται σε ομοσπονδιακές υπηρεσίες, σε κυβερνήσεις πολιτειών, τοπικές αρχές και αρχές των ιθαγενών φυλών και των εδαφών των ΗΠΑ (SLTT) και σε ιδιωτικές επιχειρήσεις.

Για τις ομοσπονδιακές υπηρεσίες των ΗΠΑ οι ενημερώσεις έχουν και πρακτικό λόγο: τους δίνουν τη δυνατότητα να συμμορφωθούν με τη δεσμευτική επιχειρησιακή οδηγία BOD 25-01 για την εφαρμογή ασφαλών πρακτικών στις υπηρεσίες νέφους. Οι υπόλοιποι οργανισμοί, δημόσιοι ή ιδιωτικοί, μπορούν να τις αξιοποιήσουν για να ενισχύσουν τη θωράκισή τους. Οι εκδόσεις είναι διαθέσιμες στα αποθετήρια της CISA στο GitHub, όπου το ScubaGear περιγράφεται ως αυτοματισμός για την αξιολόγηση ενός μισθωτή (tenant) του M365 έναντι των βασικών γραμμών της υπηρεσίας.

Το ScubaGear v2.0 είναι κατά την CISA η πιο ολοκληρωμένη αναβάθμιση του εργαλείου από την αρχή του. Η αρχιτεκτονική των βασικών γραμμών ξαναχτίστηκε και το εργαλείο καλεί πλέον απευθείας διεπαφές REST σε κάθε υποστηριζόμενο προϊόν του M365, με ταχύτερες και ακριβέστερες αξιολογήσεις. Προστέθηκε πλήρως αυτοματοποιημένη κάλυψη για το Power BI. Νέα «βασική γραμμή Security Suite» συγκεντρώνει σε ενιαίο πλαίσιο τους ελέγχους για τα Defender, Purview, Exchange Online και Teams.

Οι σημειώσεις της έκδοσης στο GitHub δείχνουν περισσότερες λεπτομέρειες. Το ScubaGear ελέγχει πλέον και νέα πολιτική της Microsoft Entra ID για τον αποκλεισμό πρακτόρων τεχνητής νοημοσύνης υψηλού κινδύνου, ενώ προστέθηκαν βαθμός σοβαρότητας για τις επικίνδυνες εφαρμογές, έξοδος σε αρχείο CSV για αυτές και η εντολή Invoke-SCuBADiff, που συγκρίνει δύο εκτελέσεις του εργαλείου. Η ανανεωμένη γραφική διεπαφή ρυθμίσεων διευκολύνει τη μεταφορά πολιτικών, διαθέτει ενσωματωμένη προβολή πολιτικών και απλοποιεί την πλοήγηση στην τεκμηρίωση.

Το ScubaGoggles v1.1.0 αφορά το Google Workspace. Η CISA σημειώνει ότι το εργαλείο δεν στηρίζεται πια στα αρχεία καταγραφής των διαχειριστών, γεγονός που λύνει διαχρονικά προβλήματα ορατότητας, όπως η σύντομη διάρκεια διατήρησης των καταγραφών και οι κρυφές προεπιλεγμένες ρυθμίσεις. Μια γραφική διεπαφή με ενσωματωμένο έλεγχο εγκυρότητας και εξαγωγή αντικαθιστά την επεξεργασία αρχείων YAML σε επεξεργαστή κειμένου, ώστε να μειώνονται σημαντικά τα εμπόδια εισόδου.

Η έκδοση φέρνει επίσης «βασική γραμμή εγγυημένων ελέγχων» (assured controls) για ομάδες με περιορισμένους πόρους, ενισχυμένους ελέγχους για το Gemini, το σύστημα τεχνητής νοημοσύνης της Google, και ενσωμάτωση του Policy API της Google, που δίνει εικόνα των ρυθμίσεων σχεδόν σε πραγματικό χρόνο. Στις σημειώσεις έκδοσης στο GitHub αναφέρεται ότι προστέθηκαν ακόμη υλοποίηση σύγκρισης δύο εκτελέσεων, νέα πολιτική GWS.MEET.6.3v1 και κατάλογος OSCAL με τις βασικές γραμμές, ενώ το Gemini προβιβάστηκε από φάση alpha σε beta. Οι ίδιες σημειώσεις αναφέρουν ότι σε αυτή την έκδοση δεν προστέθηκε, δεν αφαιρέθηκε και δεν άλλαξε καμία από τις απαιτούμενες ρυθμίσεις της BOD 25-01.

Η CISA αποδίδει τις αλλαγές σε δοκιμές και συνεργασία με ομοσπονδιακούς εταίρους, αρχές SLTT και τον ιδιωτικό τομέα, και καλεί διαχειριστές και ενδιαφερόμενους να κατεβάσουν τα εργαλεία και να εφαρμόσουν τις βασικές γραμμές. Ερωτήσεις δέχεται η ομάδα SCuBA στο scuba@cisa.dhs.gov.

Για το ευρύτερο πλαίσιο, έχουμε παρουσιάσει τη στρατηγική «CISA 2030» για την προληπτική κυβερνοάμυνα και τη θωράκιση των κρίσιμων υποδομών, καθώς και τις προειδοποιήσεις της CISA για το κόστος και την κατανάλωση tokens της τεχνητής νοημοσύνης. Οι νέοι έλεγχοι για πράκτορες τεχνητής νοημοσύνης στο ScubaGear και για το Gemini στο ScubaGoggles δείχνουν ότι οι βασικές γραμμές επεκτείνονται και σε τεχνολογίες τεχνητής νοημοσύνης.