cisagov/scubagearM365 テナントの状態を CISA のベースラインに照らして評価する自動化
ScubaGear は、Microsoft 365 (M365) テナントの構成が、Secure Cloud Business Applications (SCuBA) のセキュア構成ベースライン文書に記載されたポリシーに準拠しているかを検証するアセスメントツールです。
[!NOTE] このドキュメントは GitHub Pages を使用して読むこともできます。
ScubaGear は、自社のテナント環境を CISA のセキュア構成ベースラインに照らして評価したい M365 管理者を対象としています。
ScubaGear は次の 3 段階のプロセスで動作します:
SCuBA のコントロールは、NIST SP 800-53 と MITRE ATT&CK フレームワークの両方にマッピングされています。
SCuBA には、YAML 構成ファイルの作成と管理をこれまで以上に簡単にするグラフィカルユーザーインターフェイスが新たに含まれています。この直感的なツールは、手動編集の複雑さを軽減し、組織の構成プロセスを効率化するのに役立ちます。 詳細については、Configuration UI のドキュメントを参照してください。
Start-ScubaConfigApp で起動コマンドラインツールよりもビジュアルインターフェイスを好むユーザーに最適です。
ScubaGear を起動する前に、環境が適切に構成されていることを確認することが重要です。これには、必要な依存関係と権限が揃っていることが含まれます。
システムがすべての要件を満たしているかどうかを確認するには、前提条件のセクションを参照してください。これにより、実行中のエラーを回避し、ScubaGear をスムーズに使用できます。
[!NOTE] 環境に ScubaGear をインストールした後は、最新バージョンへの更新が必要な場合、組み込みの更新機能を使用することをお勧めします。詳細については、更新ガイド を参照してください。
ScubaGear は、ベースライン設定を適切に評価するために複数回実行できます。
最初の実行 (構成ファイルなし): 構成ファイルなしで ScubaGear を起動します。この最初の実行では、環境の現在の設定のベースラインテンプレートが生成されます。変更は行われませんが、デフォルトの状態を理解するのに役立ちます。
以降の実行 (構成ファイルあり): 生成された構成ファイルを確認および編集した後、その構成ファイルを入力として ScubaGear を再度実行します。これにより、ScubaGear は意図した設定を実際の環境と比較し、相違点を適切に明示できます。
[!IMPORTANT] ScubaGear には特定の前提条件があり、Microsoft 365 テナントを適切に評価するために定義された構成値に依存します。最初のアセスメント実行後、結果を徹底的に確認してください。特定されたギャップに対処するには、テナント構成を更新するか、除外、注釈、または省略を使用して YAML 構成ファイルにリスク受容を記録します。 詳細なガイダンスについては、以下のセクションを参照してください。
この反復的なアプローチにより、ScubaGear が環境に適合し、すべてのポリシー評価がカスタマイズされたベースラインに基づいて行われることが保証されます。
PSGallery から ScubaGear をインストールするには、Windows コンピューターで PowerShell 5 ターミナルを開き、モジュールをインストールします:
# Install ScubaGear
Install-Module -Name ScubaGear
# Install the minimum required dependencies
Initialize-SCuBA
# Check the version
Invoke-SCuBA -Version
[!IMPORTANT] v2.0.0 を gcc や gcchigh などの非商用テナントに対して対話型ログインで実行する場合は、-M365Environment パラメーター を含めてください。将来のリリースでは、ScubaGear が M365 環境を自動検出するため、これは不要になります。
# Assess all products (basic command)
Invoke-SCuBA -ProductNames *
ScubaGear は YAML 構成ファイルを使用して、環境をどのように評価するかを定義します。このファイルには、次のようないくつかの重要な目的があります:
[!IMPORTANT] 適切に定義された YAML ファイルがない場合、ScubaGear は組織の実際のポリシーやリスク状態を反映しない可能性のあるデフォルト構成を想定します。CISA の拘束力のある運用指令 (BOD) 25-01](https://www.cisa.gov/news-events/directives/bod-25-01-implementation-guidance-implementing-secure-practices-cloud-services) に基づく用途では必須です。
[!TIP] full_config.yaml は、開始に役立つように同梱されています。このファイルは、ScubaGear モジュールで使用する前に、テナント固有の構成を反映するようにカスタマイズする必要があります。
BOD 25-01 の提出物として Invoke-SCuBA を実行する場合:
# Run with a configuration file
Invoke-SCuBA -ConfigFilePath "path/to/your/config.yaml" -Organization 'example.onmicrosoft.com'
それ以外のすべてのケースでは:
# Run with a configuration file (no-BOD)
Invoke-SCuBA -ConfigFilePath "path/to/your/config.yaml" -SilenceBODWarnings
以下で ScubaGear を更新します。
# The following will update ScubaGear to the latest version
Update-ScubaGear
以下で ScubaGear のすべての依存関係をベースライン化します。実行する前に、更新ガイド を詳細に確認してください。
# The follwing will remove and re-install all ScubaGear dependencies
Reset-ScubaGearDependencies
特に記載がない限り、このプロジェクトは Creative Commons Zero ライセンスの下で配布されます。開発者の承認を得た上で、代替の互換性のあるライセンスで貢献を提出することができます。承認された場合、それらの貢献は適切なライセンスとともにここに記載されます。