ScubaGear

[![GitHub Release][github-release-img]][release] [![PSGallery Release][psgallery-release-img]][psgallery] [![CI Pipeline][ci-pipeline-img]][ci-pipeline] [![Functional Tests][functional-test-img]][functional-test] [![GitHub License][github-license-img]][license] [![GitHub Downloads][github-downloads-img]][release] [![PSGallery Downloads][psgallery-downloads-img]][psgallery] [![GitHub Issues][github-issues-img]][github-issues]

ScubaGear は、Microsoft 365 (M365) テナントの構成が、Secure Cloud Business Applications (SCuBA) のセキュア構成ベースラインドキュメントに記載されたポリシーに準拠しているかを検証する評価ツールです。

[!NOTE] このドキュメントは GitHub Pages を使用して閲覧できます。

対象読者

ScubaGear は、自身のテナント環境を CISA セキュア構成ベースラインに照らして評価したい M365 管理者向けのツールです。

概要

ScubaGear は 3 段階のプロセスを使用します。

• ステップ 1 - PowerShell コードが M365 API にクエリを実行し、さまざまな構成設定を取得します。
• ステップ 2 - 次に Open Policy Agent (OPA) を呼び出し、これらの設定をベースラインドキュメントに従って記述された Rego セキュリティポリシーと比較します。
• ステップ 3 - 最後に、比較結果を HTML、JSON、CSV としてレポートします。

主な機能

ベースラインセキュリティカバレッジ

SCuBA コントロールは、NIST SP 800-53 と MITRE ATT&CK フレームワークの両方にマッピングされています。

• ベースライン

  • Microsoft Entra ID: ID およびアクセス管理ポリシー
  • Security Suite: 高度な脅威保護設定
  • Exchange Online: メールセキュリティおよびコンプライアンス構成
  • Power BI: クラウドベースのデータ可視化ツールのセキュリティ設定
  • Power Platform: ローコードアプリケーションのセキュリティ設定
  • SharePoint: ドキュメントコラボレーションおよびアクセス制御
  • Teams: コミュニケーションおよび会議のセキュリティポリシー

• 削除されたポリシー

Scuba 構成 UI

SCuBA には、YAML 構成ファイルの作成と管理がこれまで以上に簡単になるグラフィカルユーザーインターフェースが追加されました。この直感的なツールは、手動編集の複雑さを軽減し、組織の構成プロセスを効率化します。 詳細については、構成 UI のドキュメントを参照してください。

UI の主な機能:

• Start-ScubaConfigApp で起動
• すべての構成オプションを網羅するステップバイステップのセットアップウィザード
• ライブ YAML プレビュー付きのリアルタイム検証
• ユーザーおよびグループ選択のための Microsoft Graph 統合
• 既存の構成ファイルのシームレスなインポート/エクスポート

コマンドラインツールよりもビジュアルインターフェースを好むユーザーに最適です。

ScubaGear の出力

• HTML レポート: インタラクティブでユーザーフレンドリーなコンプライアンスレポート。サンプル BaselineReports.html
• JSON 出力: レポート作成や解析のための構造化された結果。サンプル ScubaResults.json
• CSV エクスポート: 分析用のスプレッドシート互換データ。サンプル ScubaResults.csv

はじめに

ScubaGear を起動する前に、環境が適切に構成されていることを確認することが重要です。これには、必要な依存関係とアクセス許可が整っていることが含まれます。

システムがすべての要件を満たしていることを確認するために、前提条件セクションを確認してください。これにより、実行中のエラーを回避し、ScubaGearを使用する際にスムーズな体験を確保できます。

[!NOTE] 環境にScubaGearをインストールした後、最新バージョンに更新する必要がある場合は、組み込みの更新機能および機能を使用することをお勧めします。詳細については、更新ガイドを参照してください。

クイックスタートガイド

ScubaGearは、ベースライン設定を適切に評価するために複数回実行できます。

1. 初回実行（構成ファイルなし）： 構成ファイルなしでScubaGearを起動します。この初回実行では、環境の現在の設定のベースラインテンプレートが生成されます。変更は行いませんが、デフォルトの態勢を理解するのに役立ちます。

2. 以降の実行（構成ファイルあり）： 生成された構成ファイルを確認および編集した後、構成ファイルを入力としてScubaGearを再度実行します。これにより、ScubaGearは意図した設定を実際の環境と比較し、それに応じて相違点を浮き彫りにできます。

[!IMPORTANT] ScubaGearには特定の前提条件があり、Microsoft 365テナントを適切に評価するために定義された構成値に依存しています。初回の評価実行後、結果を徹底的に確認してください。特定されたギャップに対処するには、テナント構成を更新するか、除外、注釈、または省略を使用してYAML構成ファイルにリスク受容を文書化します。 詳細なガイダンスについては、以下のセクションを参照してください。

この反復的なアプローチにより、ScubaGearが環境に適合し、すべてのポリシー評価がカスタマイズされたベースラインに基づいていることが保証されます。

1. ScubaGearのインストール

PSGalleryからScubaGearをインストールするには、WindowsコンピューターでPowerShell 5ターミナルを開き、モジュールをインストールします：

# Install ScubaGear
Install-Module -Name ScubaGear

2. 依存関係のインストール

# Install the minimum required dependencies
Install-ScubaDependencies

3. インストールの確認

# Check the version
Invoke-SCuBA -Version

4. 最初の評価を実行する

[!IMPORTANT] gcc や gcchigh などの非商用テナントに対して、対話型ログインを使用して v2.0.0 を実行している場合は、-M365Environment パラメーターを含めてください。将来のリリースでは ScubaGear が M365 環境を自動検出するため、この指定は不要になります。

# Assess all products (basic command)
Invoke-SCuBA -ProductNames *

5. YAML 構成ファイルを作成する

ScubaGear は、環境をどのように評価するかを定義するために YAML 構成ファイルを使用します。このファイルには、いくつかの重要な目的があります:

• カスタマイズ – 環境に適用する製品、ベースライン、ルールを指定します。
• 構成マッピング – ScubaGear のポリシーをテナントの現在の設定に合わせます。
• リスクの受容 – 除外 (exclusions)、注釈 (annotations)、省略 (omissions) を使用して、ベースラインからの意図的な逸脱を文書化します。
• トレーサビリティ – 監査や内部レビューのために、受け入れられたリスクとポリシー決定の明確な記録を維持します。
• 再現性 – 同じ構成を使用して、時間をまたいで、または複数の環境にわたって一貫した評価を実行します。

[!IMPORTANT] 適切に定義された YAML ファイルがない場合、ScubaGear は組織の実際のポリシーやリスク態勢を反映していない可能性がある既定の構成を想定します。CISA の拘束力のある運用指令 (BOD) 25-01 の用途で使用する場合は必須です。

提供されているサンプルファイルを再利用する

• サンプル構成ファイルを表示する
• すべての構成オプションについて学ぶ

[!TIP] 開始の助けとなるよう、full_config.yaml が含まれています。このファイルは、ScubaGear モジュールで使用する前に、テナント固有の構成を反映するようにカスタマイズする必要があります。

6. 構成ファイルを使用して ScubaGear を実行する

BOD 25-01 の提出のために Invoke-SCuBA を実行する場合:

# Run with a configuration file
Invoke-SCuBA -ConfigFilePath "path/to/your/config.yaml" -Organization 'example.onmicrosoft.com'

その他すべてのインスタンスの場合:

# Run with a configuration file (no-BOD)
Invoke-SCuBA -ConfigFilePath "path/to/your/config.yaml" -SilenceBODWarnings

7. ScubaGear を更新する

以下により ScubaGear が更新されます。

# The following will update ScubaGear to the latest version
Update-ScubaGear

以下はすべての ScubaGear 依存関係をベースライン化します。実行する前に Update Guide を詳しく確認してください。

# The follwing will remove and re-install all ScubaGear dependencies
Reset-ScubaGearDependencies

目次

はじめに

インストール