La agencia estadounidense de ciberseguridad CISA ofrece dos herramientas gratuitas, ScubaGear y ScubaGoggles, que revisan si la configuración de Microsoft 365 y de Google Workspace cumple sus recomendaciones de seguridad y señalan dónde hay huecos. No son nuevas: forman parte del proyecto SCuBA, iniciado en 2022, y se presentaron en 2023. Pero siguen siendo una de las formas más directas de auditar un entorno de ofimática en la nube sin coste, y cualquier empresa puede usarlas.
Las claves de ScubaGear y ScubaGoggles de CISA en 20 segundos
- ScubaGear revisa Microsoft 365: Entra ID, Exchange Online, Teams, SharePoint, Power BI y Power Platform.
- ScubaGoggles hace lo mismo con Google Workspace, a partir de la API de administración de Google.
- Ambas comparan la configuración con las líneas base de CISA y generan informes en HTML y JSON.
- No cambian nada: solo detectan desviaciones, que hay que revisar y corregir a mano.
Muchos incidentes en la nube no empiezan con un fallo de software, sino con una opción mal configurada: una política de acceso condicional que no se aplica, el reenvío de correo abierto o enlaces de SharePoint compartidos con cualquiera. El proyecto SCuBA (Secure Cloud Business Applications) de CISA define líneas base de configuración segura para estos servicios, mapeadas con el catálogo de controles NIST SP 800-53 y el marco MITRE ATT&CK, y estas dos herramientas comprueban automáticamente si un entorno las cumple.
ScubaGear: auditar Microsoft 365
ScubaGear funciona en tres pasos. Un módulo de PowerShell consulta las API de Microsoft 365 para leer la configuración, después el motor Open Policy Agent (OPA) la compara con las políticas escritas en el lenguaje Rego a partir de las líneas base, y por último genera informes en HTML, JSON y CSV. Cubre Microsoft Entra ID, Exchange Online, Teams, SharePoint, Power BI, Power Platform y las opciones de protección avanzada frente a amenazas. Se instala desde la PowerShell Gallery:
Install-Module -Name ScubaGearLa primera ejecución, sin archivo de configuración, genera una plantilla con el estado actual del entorno. A partir de ahí, el administrador puede documentar excepciones y riesgos aceptados en un archivo YAML y volver a ejecutar la evaluación, algo que ahora facilita una interfaz gráfica que se abre con Start-ScubaConfigApp. Antes de lanzarla conviene revisar los permisos que necesita y sus dependencias, porque requiere acceso de lectura amplio al inquilino.
ScubaGoggles: auditar Google Workspace
ScubaGoggles sigue el mismo esquema para Google Workspace. Exporta la configuración, los registros, los datos de la organización y los privilegios de los usuarios mediante la API Admin SDK de Google y otras API, los compara con las líneas base usando OPA y genera informes en HTML y JSON. Se instala como módulo de Python, requiere descargar el ejecutable de OPA y se autentica con OAuth o con una cuenta de servicio. Su documentación recoge problemas conocidos, como fallos en las comprobaciones de SPF, DKIM y DMARC aunque los registros DNS estén publicados. Por eso conviene validar manualmente sus resultados.
Para organizaciones con muchos inquilinos, CISA publica además ScubaConnect, una infraestructura en la nube que automatiza la ejecución periódica de ambas herramientas. Ninguna de ellas modifica la configuración: detectan desviaciones, y la corrección queda en manos del administrador. Por eso son útiles tanto para una revisión puntual como para comprobar que un cambio no ha abierto un hueco nuevo.
Preguntas frecuentes
¿Qué es ScubaGear?
Una herramienta gratuita de CISA que compara la configuración de un inquilino de Microsoft 365 con sus líneas base de seguridad y genera informes en HTML, JSON y CSV.
¿Qué es ScubaGoggles?
La versión para Google Workspace: revisa la configuración de la organización con la API de administración de Google y la compara con las líneas base de CISA.
¿Pueden usarlas empresas privadas?
Sí. Aunque las desarrolla una agencia del Gobierno de Estados Unidos, son gratuitas y cualquier organización puede descargarlas desde GitHub.
¿Cambian la configuración automáticamente?
No. Solo detectan las desviaciones; la corrección la tiene que hacer el administrador.
Fuentes:
