CISA提供兩款免費工具，協助檢測M365與Google Workspace的安全設定錯誤

美國網路安全與基礎設施安全局（CISA）提供兩款免費雲端安全評估工具ScubaGear與ScubaGoggles，分別用於檢查Microsoft 365（M365）與Google Workspace的安全設定。兩者皆源自2022年成立的安全雲端商務應用計畫（SCuBA），目的是協助政府機關及企業找出雲端服務設定與安全基準之間的落差。這兩款工具均於2023年推出，並於上週發布新版本ScubaGear 2.0與ScubaGoogles 1.1.0。

其中針對M365平臺的ScubaGear，可涵蓋Microsoft Entra ID、Exchange Online、Teams、SharePoint、Power BI及Power Platform等服務，透過PowerShell呼叫M365 API取得設定資料，再由Open Policy Agent依政策規則進行評估，產出HTML、JSON及CSV等格式的報告。至於針對Google Workspace平臺的ScubaGoggles，則利用Google Admin SDK及其他Google API蒐集Workspace設定、組織資訊與使用者權限，再比對SCuBA安全基準，產出HTML及JSON格式的報告。

前述兩款工具均只用於比對與檢查設定，而不會自動修正設定，管理者仍須檢視報告並自行採取修正措施。CISA也提醒，ScubaGoggles目前仍處於Alpha開發階段，評估結果可能有誤，管理者應進一步驗證。