ScubaGear v1.5.0 版本深度解析：微软云安全评估工具的重大升级

ScubaGear 是由美国网络安全和基础设施安全局（CISA）开发的一款开源 PowerShell 模块，专门用于评估 Microsoft 365 和 Azure 环境的安全配置合规性。该工具通过自动化收集和分析云环境中的安全配置数据，帮助组织快速识别与 CISA 安全基准（SCB）的偏差，从而提升整体云安全态势。

核心功能增强

高风险应用与服务主体权限识别

本次版本最显著的安全增强是新增了对高风险 Azure AD（现称 Entra ID）注册应用和第三方服务主体的检测能力。在云环境中，过度授权的应用和服务主体是常见的高风险攻击面。v1.5.0 版本通过以下方式强化了这一领域的检测：

• 自动识别机制：工具现在能够扫描租户中所有注册应用和第三方服务主体，标记出具有高风险权限的实体
• 结果呈现：检测结果会存储在 ScubaResults JSON 文件中，分别通过 risky_applications 和 risky_third_party_service_principals 两个键值呈现详细数据
• 安全价值：这一功能使安全团队能够快速发现可疑和过度授权的应用，显著减少这一常见但难以管理的攻击面

特权服务主体报告增强

针对 Azure AD 基准报告，新增了特权服务主体详细表格，使管理员能够更清晰地了解哪些服务主体拥有特权访问权限，便于进行权限审查和最小权限原则的实施。

技术架构改进

模块安装灵活性提升

Initialize-SCuBA 命令新增了 -Scope 参数，支持将模块安装为 AllUsers 范围，这一改进使得在企业环境中部署和管理 ScubaGear 更加灵活，特别是对于需要多用户共享使用的场景。

错误处理与诊断增强

• 堆栈跟踪输出：错误输出现在包含完整的堆栈跟踪信息，显著简化了故障诊断过程
• UNC 路径支持：修复了从 UNC 路径运行 OPA（Open Policy Agent）时可能发生的崩溃问题
• 性能优化：改进了 Defender 查询中用户高级审计状态的计数性能

报告系统升级

• 唯一标识：ScubaResults JSON 文件名现在包含报告 UUID，便于结果文件的追踪和管理
• 数据净化：移除了 JSON 结果文件中的 HTML 元素，使数据更加干净和易于处理
• 版本检查：模块导入时新增版本更新通知功能，帮助用户及时了解新版本发布

安全基准更新

v1.5.0 版本对多个安全基准检查项进行了重要更新：

1. 移除了 MS.SHAREPOINT4.2v1：由于 Microsoft 对自定义脚本设置进行了更新，相关检查项已不再适用
2. 认证器检查修正：修正了 Entra 检查中对 MS.AAD.3.3v1 策略的验证逻辑
3. 条件访问策略：为 MS.AAD.1.1 添加了条件访问策略实施指导
4. Teams 组同意设置：更新了 MS.AAD.5.4v1 检查，以适应已弃用的设置变更

权限要求变更

Microsoft 更新了从 SharePoint Online 获取配置信息所需的权限。在 v1.5.0 中：

• 权限简化：交互式认证时，用户仅需分配全局读取者（Global Reader）角色，不再需要 SharePoint 管理员角色
• 安全优势：这一变更通过限制权限到最低必要级别，减少了不必要访问带来的安全风险

值得注意的是，ScubaGear 始终遵循只读原则，无论运行用户的权限级别如何，都不会对租户进行任何更改操作。

配置与文档改进

1. 配置错误处理：改进了配置文件重复键的错误提示信息，使其更加清晰和有用
2. 文档更新：
   • 新增了服务主体设置的功能测试文档
   • 详细说明了如何通过配置文件添加组织元数据并符合 SCuBA 策略检查
   • 更新了 GCC High 环境、Defender 和 SharePoint 的认证文档
   • 澄清了许可证要求假设
3. 视觉更新：README 文件采用了新的 ScubaGear 图形，提升了项目形象

技术组件升级

• OPA 版本升级：从 v0.69.0 逐步升级到 v1.0.1，带来了性能改进和新功能支持
• PowerApps 模块：更新了 Microsoft.PowerApps.Administration.PowerShell 的最小/最大版本要求

总结

ScubaGear v1.5.0 版本通过多项功能增强和问题修复，显著提升了云安全评估的全面性和准确性。特别是对高风险应用和服务主体的检测能力，为组织提供了识别和缓解这一常见攻击面的有力工具。权限要求的简化和多项用户体验改进，使得工具在企业环境中的部署和使用更加便捷。对于使用 Microsoft 365 和 Azure 的组织，升级到 v1.5.0 版本将能够获得更全面、更精确的安全配置评估能力。