La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha puesto a disposición de agencias gubernamentales y empresas privadas dos herramientas gratuitas para detectar errores de configuración de seguridad. ScubaGear y ScubaGoggles permiten analizar y comparar los ajustes de Microsoft 365 y Google Workspace frente a líneas base de seguridad recomendadas, facilitando así la identificación de vulnerabilidades que requieren atención inmediata.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ofrece dos herramientas gratuitas para ayudarte a encontrar errores de configuración de seguridad en Microsoft 365 y Google Workspace. ScubaGear y ScubaGoggles comparan los ajustes de la nube con líneas base de seguridad recomendadas, dándote una visión más clara de las debilidades que requieren tu atención. Ambas están disponibles para agencias gubernamentales y empresas privadas.

Las herramientas pertenecen al proyecto de Aplicaciones Comerciales de Nube Segura de CISA, conocido como SCuBA. Establecido en 2022, el proyecto aborda las brechas de seguridad y visibilidad expuestas por los ataques contra los servicios en la nube. CISA introdujo las herramientas de evaluación en 2023, por lo que son recursos ya existentes y no productos lanzados recientemente.

Aunque SCuBA apoya principalmente a las agencias de la Rama Ejecutiva Civil Federal, su guía está disponible para cualquier organización. Las líneas base tienen como objetivo proteger la información creada, accedida, compartida o almacenada en aplicaciones en la nube, permitiendo que consideres tus propias necesidades comerciales y niveles de riesgo.

ScubaGear revisa la seguridad de Microsoft 365

ScubaGear revisa un inquilino (tenant) de Microsoft 365, el entorno de nube de tu organización, comparándolo con las líneas base de configuración segura de CISA. Su cobertura incluye Microsoft Entra ID, Exchange Online, Teams, SharePoint, Power BI y Power Platform. Estas comprobaciones te ayudan a revisar la identidad, el correo electrónico, la colaboración y los ajustes de seguridad de las aplicaciones mediante un único proceso de evaluación.

La herramienta utiliza PowerShell para consultar las interfaces de programación de aplicaciones de Microsoft 365 en busca de datos de configuración. Luego pasa esos ajustes a Open Policy Agent, que los evalúa utilizando reglas escritas en el lenguaje de políticas Rego. Los resultados se generan en formatos HTML, JSON y CSV para que los revises y realices análisis posteriores.

Puedes instalar ScubaGear a través de PowerShell Gallery usando Install-Module -Name ScubaGear. Sin embargo, primero debes revisar los permisos y las dependencias requeridas. La evaluación identifica las brechas sin corregir automáticamente los ajustes del inquilino, dejándote a ti la responsabilidad de revisar los hallazgos, realizar los cambios o documentar los riesgos aceptados.

El proyecto también se conecta con los requisitos de seguridad en la nube más amplios de CISA. Anteriormente se cubrió la directiva de seguridad de Microsoft 365 de CISA, que exige a las agencias civiles federales reforzar las configuraciones de la nube y utilizar las evaluaciones de SCuBA.

ScubaGoggles evalúa los ajustes de Google Workspace

ScubaGoggles proporciona una evaluación similar para Google Workspace. Utiliza principalmente la API de Google Admin SDK, junto con otras API de Google, para recopilar ajustes relevantes, registros, detalles de la organización y privilegios de usuario. Open Policy Agent compara los datos recopilados con los requisitos de la línea base, produciendo informes en HTML y JSON.

Hay una limitación importante que debes tener en cuenta. El repositorio de CISA etiqueta a ScubaGoggles como una herramienta alfa en desarrollo activo y advierte que los resultados podrían ser incorrectos. Debes validar cuidadosamente los hallazgos y completar cualquier comprobación manual necesaria, en lugar de tratar un informe automatizado como una revisión de seguridad completa.

CISA también proporciona una Guía de Soluciones de Identidad Híbrida para organizaciones que conectan sistemas de identidad locales con servicios en la nube. Esto complementa las preocupaciones de seguridad de identidad cubiertas en la guía de seguridad de Active Directory de CISA, particularmente donde necesites comprender y reducir las debilidades en entornos conectados.

Para los equipos de seguridad, estas herramientas proporcionan una forma repetible de medir las brechas de configuración. Revisar los hallazgos, registrar las excepciones justificadas y ejecutar evaluaciones después de realizar cambios puede ayudarte a seguir las mejoras sin confundir la alineación con la línea base con una garantía contra intrusiones.