Blog do Chesley

ATUALIZAÇÃO TÉCNICA — AGOSTO DE 2026

Correção sobre Execution Policy

Uma versão anterior deste artigo orientava a utilização de:

Set-ExecutionPolicy Unrestricted

Essa recomendação foi removida.

Embora o SCuBA possa exigir a execução de scripts e módulos PowerShell, não é uma boa prática alterar a política de execução do Windows para Unrestricted apenas para executar a ferramenta.

Antes de modificar qualquer configuração, verifique a política efetiva do computador:

Get-ExecutionPolicy -List

Caso seja necessário ajustar a política para o usuário atual e a política organizacional permita essa alteração, uma opção mais restritiva é:

Set-ExecutionPolicy RemoteSigned -Scope CurrentUser

Em ambientes corporativos, a política de execução deve preferencialmente ser controlada por GPO ou pela configuração de segurança institucional.

Importante: Execution Policy não deve ser considerada um mecanismo completo de segurança. Ela fornece uma camada de proteção contra execução acidental de scripts e deve ser utilizada em conjunto com controles de segurança, gerenciamento de privilégios e políticas de execução de código.

A Microsoft documenta RemoteSigned como a política padrão no Windows e alerta explicitamente sobre os riscos de Unrestricted.

O ScuBA é uma rotina executada em PowerShell para analisar o ambiente do Microsoft 365 e recomendar melhorias na defesa cibernetica do ambiente de nuvem. Você também pode executar o ScuBA em outras nuvens, como por exemplo, no Google, mas, por aqui, vamos focar na execução do ambiente do Microsoft 365

Aplicativos de negócios em nuvem seguros (SCuBA)

A Agência de Segurança Cibernética e Infraestrutura (CISA) desenvolveu o projeto Secure Cloud Business Applications (SCuBA) para oferecer diretrizes e recursos destinados à proteção dos ambientes de aplicativos de negócios em nuvem das agências governamentais, visando resguardar as informações federais geradas, acessadas, compartilhadas e armazenadas nessas plataformas.

O SCuBA tem como objetivo salvaguardar os ativos de informações do Poder Executivo Civil Federal (FCEB) que estão hospedados em ambientes de nuvem, através da implementação de configurações de segurança consistentes, eficazes, modernas e gerenciáveis para os produtos listados abaixo:

1. Microsoft Defender para Office 365
2. Entra ID
3. Microsoft Exchange On-line
4. Microsoft Sharepoint e OneDrive
5. Microsoft PowerBI
6. Power Plataform
7. MS Teams

Permissões mínimas de usuário

Os usuários com a função de Administrador Global sempre têm as permissões de usuário necessárias para executar a ferramenta. Se você quiser definir permissões mínimas de usuário para criar um relatório de segurança, poderá fazer isso.

As funções mínimas de usuário necessárias para cada produto são descritas abaixo:

Como obter um relatório de linha de base de segurança do Microsoft 365

Para criar um relatório de recomendações de segurança do Microsoft 365, siga estas etapas:

Passo 1. Instale o módulo ScubaGear

Atualmente, há suporte apenas para o PowerShell 5.1. O PowerShell 7 pode funcionar, mas não foi testado. O suporte completo ao PowerShell 7 será adicionado em uma versão futura.

Execute o PowerShell como administrador e execute o 

Set-ExecutionPolicy como RemoteSigned ou Unrestricted.

Set-ExecutionPolicy Unrestricted

Inicie o Windows PowerShell e instale o módulo ScubaGear.

Install-Module -Name ScubaGear -Force

Execute Initialize-SCuBA após a instalação para instalar suas outras dependências.

Initialize-SCuBA

Etapa 2. Execute o script ScubaGear SetUp.ps1 do PowerShell

Se for necessário configure a execução de scripts no seu ambiente.

Set-ExecutionPolicy Unrestricted

Etapa 3. Executar o script do PowerShell do ScubaGear

Você pode executar o script em todos os produtos ou nos seguintes nomes de produtos e criar um relatório.

Execute o script no Microsoft Entra ID e crie um relatório.

Execute o script em todos os produtos e crie um relatório.

Invoke-SCuBA -OPAPath "C:\Temp\ScubaGear\" -OutPath "C:\Temp\ScubaGear\"

Execute o script na ID do Microsoft Entra e crie um relatório.

Invoke-SCuBA -OPAPath "C:\Temp\ScubaGear\" -ProductNames aad -OutPath "C:\Temp\ScubaGear"

Execute o script em vários produtos e crie um relatório.

Invoke-SCuBA -OPAPath "C:\Temp\ScubaGear\" -ProductNames aad, exo, teams -OutPath "C:\Temp\ScubaGear"

Durante a execução você terá uma tela parecida com a tela abaixo e terá que autenticar algumas vezes com sua credencial de Administrador global.

Etapa 4. Verifique o relatório de linha de base de segurança do Microsoft 365

Um relatório HTML aparecerá automaticamente. Caso contrário, abra o relatório na pasta.

Os relatorios possuem uma qualidade muito boa e com muitas informações.

Não ajuste imediatamente todas as configurações para que os resultados sejam aprovados. Cada organização é diferente e você precisa abordar isso com cuidado.

Desconectar sessão SCuBA

Desconecte-se de todas as sessões da Microsoft após terminar ou se quiser executá-las em outro locatário.

Disconnect-SCuBATenant

Conclusão

Neste texto, discutimos a importância de verificar as recomendações de segurança do Microsoft 365 utilizando o script CISA SCuBA PowerShell. Embora seja possível criar seu próprio script do PowerShell e Graph, isso demanda tempo e esforço contínuo para garantir que ele esteja alinhado com os mais recentes padrões de segurança, os quais estão em constante evolução.

A equipe da CISA trabalha constantemente para aprimorar este script, introduzindo novos recursos e corrigindo eventuais bugs, de modo que os usuários possam manter-se atualizados com as mais recentes alterações de segurança do Microsoft 365 sem custo adicional. Recomendamos fortemente a utilização deste script em seu ambiente do Microsoft 365 para reforçar a segurança da sua organização.

Não deixe de nos seguir e compartilhar nossos artigos.