CISA官方出品：ScubaGear一键评估M365安全基线

ScubaGear是美国CISA开源的一款PowerShell工具，用于自动化评估Microsoft 365租户配置是否符合SCuBA安全基线。它通过PowerShell查询M365 API、调用Open Policy Agent执行Rego策略、最终生成HTML/JSON/CSV报告，覆盖Entra ID、Exchange Online、Teams、SharePoint等七大核心服务，并映射NIST与MITRE ATT&CK框架，是M365管理员不可多得的安全合规利器。

适用人群：1. Microsoft 365管理员与IT运维人员，需要定期检查租户安全配置；2. 企业安全合规团队，负责对接CISA、NIST等安全标准；3. 云安全顾问与渗透测试人员，为客户提供M365安全评估服务。

适用场景：1. 企业定期自查：按季度或月度运行ScubaGear，生成合规报告，发现配置漂移；2. 合规审计准备：在CISA或第三方审计前，用ScubaGear预检并修复不合规项；3. 多租户管理：MSP服务商批量评估客户M365环境，统一输出安全基线对比。

推荐理由：ScubaGear由美国网络安全和基础设施安全局（CISA）官方维护，权威性极高。它把复杂的M365安全基线检查自动化，无需手动逐项核对，几分钟内即可获得详细报告。开源免费、社区活跃、支持YAML配置UI，是M365安全合规领域最值得信赖的工具之一。

项目定位与背景

Microsoft 365已成为企业办公的核心平台，但其安全配置项繁多，管理员很容易因疏忽留下隐患。美国网络安全和基础设施安全局（CISA）发布了Secure Cloud Business Applications（SCuBA）安全配置基线，为M365租户提供了权威的加固指南。然而，手动逐项核对基线既耗时又容易出错。ScubaGear正是为解决这一痛点而生：它是一款开源PowerShell工具，能够自动化评估M365租户配置是否符合SCuBA基线，帮助管理员快速发现并修复不合规项。项目由CISA官方维护，GitHub上已获得2667颗星，380次fork，采用PowerShell编写，遵循开源许可证，社区贡献活跃。

核心功能与技术架构

ScubaGear采用清晰的三步流程。第一步，PowerShell代码调用Microsoft Graph等M365 API，采集租户的各项配置设置，涵盖身份认证、邮件安全、团队协作、数据可视化等多个维度。第二步，工具调用Open Policy Agent（OPA），将采集到的配置与用Rego语言编写的安全策略进行比对。这些Rego策略严格对应SCuBA基线文档，确保评估逻辑权威可靠。第三步，输出HTML、JSON和CSV三种格式的报告，方便不同角色查看与归档。

覆盖范围方面，ScubaGear支持七大核心服务的基线检查：Microsoft Entra ID（身份与访问管理）、Security Suite（高级威胁防护）、Exchange Online（邮件安全与合规）、Power BI（数据可视化安全）、Power Platform（低代码应用安全）、SharePoint（文档协作与访问控制）以及Teams（通信与会议安全）。此外，SCuBA控制项已映射到NIST SP 800-53和MITRE ATT&CK框架，便于企业将评估结果纳入更广泛的安全治理体系。

值得一提的是，ScubaGear近期新增了图形化配置UI，通过Start-ScubaConfigApp命令启动。该UI让管理员可以直观地创建和管理YAML配置文件，大幅降低了手动编辑的复杂度，提升了配置效率。

创新点与亮点

ScubaGear最大的创新在于将权威安全基线、自动化采集与策略引擎三者结合。传统安全评估工具往往只提供通用检查项，而ScubaGear直接以CISA官方基线为标尺，评估结果具有法规遵从意义。其次，采用OPA和Rego作为策略引擎，使得安全策略与代码解耦，策略可读性强、易于审计和定制。第三，输出多格式报告，HTML适合管理层阅读，JSON和CSV便于自动化集成与二次分析。第四，配置UI的加入显著降低了使用门槛，让不熟悉YAML的管理员也能轻松上手。

与同类项目对比

市面上类似的M365安全评估工具有Microsoft Secure Score、Orca Security、CrowdStrike等。Secure Score提供内置评分，但评估维度与CISA基线不完全一致，且无法自定义策略。商业云安全平台功能强大但价格昂贵，且通常不公开评估逻辑。ScubaGear的优势在于：完全开源、免费、评估逻辑透明（Rego策略可审查）、直接对标CISA基线、支持本地运行无需上传敏感配置数据。对于需要合规审计或希望深度定制评估策略的团队，ScubaGear是更优选择。

上手指南或快速开始

使用ScubaGear非常简单。首先，确保系统满足PowerShell 5.1或PowerShell 7环境要求。然后，从PowerShell Gallery安装模块：Install-Module -Name ScubaGear。安装完成后，以管理员身份连接M365租户，运行Invoke-SCuBA命令即可启动评估。工具会自动采集配置、执行策略比对并生成报告。若需自定义配置，可运行Start-ScubaConfigApp打开图形界面，生成YAML配置文件后通过-ConfigFilePath参数传入。详细文档可访问CISA的GitHub Pages页面。

总结与展望

ScubaGear是M365安全合规领域的一颗明珠。它凭借CISA的权威背书、清晰的架构设计、透明的策略逻辑和活跃的社区，成为管理员评估租户安全状态的首选工具。当然，它也有改进空间：目前仅支持PowerShell环境，对Linux/macOS用户不够友好；评估过程需要较高权限，可能触发安全告警；报告的可视化程度还有提升空间。未来若能在跨平台支持、增量评估、实时监控等方面持续演进，ScubaGear有望成为云安全基线管理的行业标准。对于任何使用M365的企业，ScubaGear都值得加入你的安全工具箱。

查看 GitHub 项目 →