CISA cung cấp công cụ miễn phí kiểm tra cấu hình bảo mật Microsoft 365 và Google Workspace

• Giải pháp chủ động: CISA cung cấp ScubaGear và ScubaGoggles nhằm giúp quản trị viên phát hiện các cấu hình sai lệch so với tiêu chuẩn bảo mật khuyến nghị.
• Phạm vi hỗ trợ: Công cụ bao phủ các dịch vụ cốt lõi như Microsoft Entra ID, Exchange Online, SharePoint và Google Workspace.
• Cơ chế vận hành: Sử dụng Open Policy Agent để đánh giá cấu hình dựa trên ngôn ngữ chính sách Rego, hỗ trợ xuất báo cáo định dạng HTML, JSON và CSV.
• Lưu ý quan trọng: Các công cụ này tập trung vào việc đánh giá và phát hiện, không tự động thực hiện thay đổi cấu hình trên hệ thống.

Trong bối cảnh các cuộc tấn công mạng nhắm vào dịch vụ đám mây ngày càng gia tăng, Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã đẩy mạnh dự án Secure Cloud Business Applications (SCuBA). Đây là sáng kiến chiến lược được thiết lập từ năm 2022 nhằm giải quyết các lỗ hổng về khả năng hiển thị và bảo mật trong các ứng dụng đám mây phổ biến. Để hỗ trợ các tổ chức, CISA đã cung cấp hai công cụ đánh giá cấu hình miễn phí là ScubaGear và ScubaGoggles.

Phân tích kỹ thuật ScubaGear cho Microsoft 365

ScubaGear là công cụ chuyên dụng được thiết kế để kiểm tra môi trường Microsoft 365 của một tổ chức so với các tiêu chuẩn cấu hình bảo mật nghiêm ngặt của CISA. Công cụ này cung cấp khả năng giám sát toàn diện trên nhiều thành phần quan trọng bao gồm Microsoft Entra ID, Exchange Online, Teams, SharePoint, Power BI và Power Platform.

Về mặt kỹ thuật, ScubaGear vận hành thông qua các bước xử lý dữ liệu tự động:

• Thu thập dữ liệu: Sử dụng PowerShell để truy vấn các API của Microsoft 365 nhằm trích xuất thông tin cấu hình hiện tại của tenant.
• Đánh giá chính sách: Dữ liệu cấu hình được chuyển đến Open Policy Agent (OPA), nơi các quy tắc được định nghĩa bằng ngôn ngữ Rego sẽ đối chiếu với các baseline bảo mật.
• Xuất báo cáo: Kết quả phân tích được trình bày dưới dạng tệp tin HTML, JSON và CSV, cho phép đội ngũ bảo mật dễ dàng xem xét và lập kế hoạch khắc phục.

Để triển khai công cụ này, quản trị viên có thể thực hiện thông qua PowerShell Gallery bằng lệnh sau:

Install-Module -Name ScubaGear

⚠️ Cảnh báo quan trọng: Quản trị viên cần lưu ý rằng ScubaGear chỉ đóng vai trò là công cụ đánh giá (assessment tool). Nó không tự động áp dụng các thay đổi cấu hình. Mọi phát hiện về lỗ hổng hoặc cấu hình sai cần được đội ngũ kỹ thuật xem xét thủ công, đánh giá rủi ro và thực hiện thay đổi theo quy trình quản trị thay đổi của tổ chức.

Đánh giá cấu hình Google Workspace với ScubaGoggles

Tương tự như ScubaGear, ScubaGoggles được phát triển để hỗ trợ các tổ chức sử dụng Google Workspace. Công cụ này tận dụng Google Admin SDK API và các API liên quan khác để thu thập dữ liệu về cài đặt hệ thống, nhật ký (logs), thông tin tổ chức và đặc quyền người dùng.

Cần lưu ý rằng CISA hiện đang gắn nhãn ScubaGoggles là công cụ ở giai đoạn Alpha. Điều này có nghĩa là công cụ vẫn đang trong quá trình phát triển tích cực và có khả năng xảy ra sai sót trong kết quả báo cáo. Do đó, các chuyên gia an ninh mạng khuyến cáo không nên coi báo cáo từ ScubaGoggles là một đánh giá bảo mật hoàn chỉnh mà cần kết hợp với các quy trình kiểm tra thủ công.

Khuyến nghị thực thi và quản trị bảo mật

Việc sử dụng các công cụ từ dự án SCuBA giúp các tổ chức thiết lập một quy trình đo lường khoảng cách cấu hình (configuration gaps) có thể lặp lại. Để đạt hiệu quả tối ưu, các đội ngũ SOC và IT nên tuân thủ quy trình sau:

• Đánh giá định kỳ: Chạy các công cụ đánh giá sau mỗi lần thay đổi cấu hình hệ thống lớn hoặc cập nhật chính sách bảo mật.
• Tài liệu hóa ngoại lệ: Đối với các cấu hình không thể tuân thủ theo baseline do yêu cầu kinh doanh, cần ghi chép lại các ngoại lệ này và thực hiện đánh giá rủi ro định kỳ.
• Kết hợp hướng dẫn bổ sung: Tham khảo thêm tài liệu Hybrid Identity Solutions Guidance của CISA để hiểu rõ cách thức bảo mật các hệ thống định danh cục bộ khi kết nối với dịch vụ đám mây, giúp giảm thiểu rủi ro trong môi trường lai (hybrid environment).

Thông tin chi tiết về các dự án và tài liệu hướng dẫn có thể được tìm thấy tại trang chủ của CISA SCuBA. Việc duy trì cấu hình an toàn là một quá trình liên tục, không phải là một đích đến cố định, và việc sử dụng các công cụ chuẩn hóa là bước đi cần thiết để củng cố tư thế phòng thủ của doanh nghiệp.