ScubaGear

ScubaGear 是一款评估工具，用于验证 Microsoft 365 (M365) 租户的配置是否符合安全云商业应用（SCuBA）安全配置基线文档中描述的策略。

[!NOTE] 本文档可通过 GitHub Pages 阅读。

目标受众

ScubaGear 适用于希望根据 CISA 安全配置基线评估其租户环境的 M365 管理员。

概述

ScubaGear 使用三步流程：

• 第一步 - PowerShell 代码查询 M365 API 以获取各种配置设置。
• 第二步 - 随后调用 Open Policy Agent (OPA)，将这些设置与根据基线文档编写的 Rego 安全策略进行比较。
• 第三步 - 最后，以 HTML、JSON 和 CSV 格式报告比较结果。

主要功能

基线安全覆盖

SCuBA 控制项已映射到 NIST SP 800-53 和 MITRE ATT&CK 框架。

• 基线

  • Microsoft Entra ID：身份和访问管理策略
  • 安全套件：高级威胁防护设置
  • Exchange Online：电子邮件安全与合规性配置
  • Power BI：基于云的数据可视化工具安全设置
  • Power Platform：低代码应用安全设置
  • SharePoint：文档协作与访问控制
  • Teams：通信和会议安全策略

• 已移除的策略

Scuba 配置界面

SCuBA 现在包含一个图形用户界面，使创建和管理 YAML 配置文件比以往更加轻松。这一直观的工具有助于降低手动编辑的复杂性，并简化组织的配置流程。 有关更多信息，请参阅 配置界面 文档。

界面主要功能：

• 使用 Start-ScubaConfigApp 启动
• 分步设置向导，涵盖所有配置选项
• 实时验证与 YAML 实时预览
• Microsoft Graph 集成，用于用户和组选择
• 无缝导入/导出现有配置文件

非常适合喜欢可视化界面而非命令行工具的用户。

ScubaGear 输出

• HTML 报告：交互式、用户友好的合规性报告。Sample BaselineReports.html
• JSON 输出：用于报告和解析的结构化结果。Sample ScubaResults.json
• CSV 导出：适用于分析的电子表格兼容数据。Sample ScubaResults.csv

开始使用

在启动 ScubaGear 之前，务必确保您的环境已正确配置，包括具备必要的依赖项和权限。

请查看先决条件部分，确认您的系统满足所有要求。这将有助于避免执行过程中出现错误，并确保顺畅地使用 ScubaGear。

[!NOTE] 在您的环境中安装 ScubaGear 后，建议在需要更新到最新版本时使用内置的更新函数和功能。更多信息请参阅更新指南。

快速入门指南

ScubaGear 可以多次运行，以正确评估基线设置。

1. 首次运行（无配置文件）： 在不使用配置文件的情况下启动 ScubaGear。首次运行会生成环境当前设置的基线模板。它不会进行任何更改，但有助于您了解默认安全态势。

2. 后续运行（使用配置文件）： 查看并编辑生成的配置文件后，再次运行 ScubaGear，并将该配置文件作为输入。这使 ScubaGear 能够将您的预期设置与实际环境进行比较，并相应地提示差异。

[!IMPORTANT] ScubaGear 有特定的先决条件，并依赖已定义的配置值来正确评估您的 Microsoft 365 租户。在完成初始评估运行后，请仔细查看结果。通过更新租户配置，或使用排除项、注释或省略项在 YAML 配置文件中记录风险接受情况，来解决已识别的差距。 请参阅以下各节获取详细指导。

这种迭代方法可确保 ScubaGear 与您的环境保持一致，并使所有策略评估都基于您自定义的基线。

1. 安装 ScubaGear

要从 PSGallery 安装 ScubaGear，请在 Windows 计算机上打开 PowerShell 5 终端并安装该模块：

# Install ScubaGear
Install-Module -Name ScubaGear

2. 安装依赖项

# Install the minimum required dependencies
Initialize-SCuBA

3. 验证安装

# Check the version
Invoke-SCuBA -Version

4. 运行首次评估

[!IMPORTANT] 如果您在 v2.0.0 中使用交互式登录访问 gcc 或 gcchigh 等非商业租户，请包含 -M365Environment 参数。在未来的版本中，ScubaGear 将自动检测 M365 环境，届时将不再需要此参数。

# Assess all products (basic command)
Invoke-SCuBA -ProductNames *

5. 构建 YAML 配置文件

ScubaGear 使用 YAML 配置文件来定义应如何评估您的环境。该文件具有以下几个重要用途：

• 自定义 – 指定哪些产品、基线和规则适用于您的环境。
• 配置映射 – 将 ScubaGear 的策略与您租户的当前设置对齐。
• 风险接受 – 使用排除项、注释或省略项记录有意偏离基线的情况。
• 可追溯性 – 为审计或内部审查维护已接受风险和策略决策的清晰记录。
• 可重复性 – 使用相同的配置在不同时间或不同环境中运行一致的评估。

[!IMPORTANT] 如果没有正确定义的 YAML 文件，ScubaGear 将采用可能无法反映您组织实际策略或风险态势的默认配置。如果用于 CISA 的约束性操作指令 (BOD) 25-01 ，则必须提供该文件。

复用提供的示例文件

• 查看示例配置文件
• 了解所有配置选项

[!TIP] 其中包含 full_config.yaml 以帮助您入门。在与 ScubaGear 模块一起使用之前，应自定义此文件以反映您租户的独特配置。

6. 使用配置文件运行 ScubaGear

当为 BOD 25-01 提交而运行 Invoke-SCuBA 时：

# Run with a configuration file
Invoke-SCuBA -ConfigFilePath "path/to/your/config.yaml" -Organization 'example.onmicrosoft.com'

对于所有其他情况：

# Run with a configuration file (no-BOD)
Invoke-SCuBA -ConfigFilePath "path/to/your/config.yaml" -SilenceBODWarnings

7. 更新 ScubaGear

以下命令将更新 ScubaGear。

# The following will update ScubaGear to the latest version
Update-ScubaGear

以下命令将重置所有 ScubaGear 依赖项，运行前请详细查看更新指南。

# The follwing will remove and re-install all ScubaGear dependencies
Reset-ScubaGearDependencies

目录

开始使用

安装

• 从 PSGallery 安装
• 从 GitHub 下载
• 卸载
• 更新

先决条件

• 依赖项
• 所需权限
  • 交互式权限
  • 非交互式权限

配置与使用

• 配置界面 - 图形界面
• 配置文件 - 基于 YAML 的配置
• 参数参考 - 命令行选项

运行评估

• 执行指南
• 了解报告

故障排除与支持

• 多租户
• 特定产品问题
  • 安全套件
  • Exchange Online
  • Power Platform
  • Microsoft Graph
• 网络与代理
• ScubaCached
• 调试日志

自动化

• ScubaConnect - ScubaConnect 是由 CISA 开发的云原生基础设施，可自动执行评估工具 ScubaGear 和 ScubaGoggles。

其他资源

• 假设
• 映射
• 服务主体协助

项目许可证

除非另有说明，本项目根据知识共享零（Creative Commons Zero）许可证分发。经开发者批准，贡献者可以以其他兼容许可证提交贡献。如果被接受，这些贡献将在此处以相应许可证列出。