Güvenlik İçerik Otomasyon Protokolü - Security Content Automation Protocol
Güvenlik İçerik Otomasyon Protokolü (SCAP), bir kuruluşta devreye alınan sistemlerin otomatik güvenlik açığı yönetimi, ölçümü ve politika uyumluluk değerlendirmesini etkinleştirmek için belirli standartların kullanılması için bir yöntemdir; FISMA (Federal Bilgi Güvenliği Yönetimi Yasası, 2002) uyma. Ulusal Güvenlik Açığı Veritabanı (NVD), SCAP için ABD hükümeti içerik havuzudur. SCAP uygulamasına bir örnek OpenSCAP'dir.
Amaç
Güvenlik tehditlerine karşı korunmak için, kuruluşların dağıtmış oldukları bilgisayar sistemlerini ve uygulamalarını sürekli olarak izlemeleri, yazılımlara güvenlik yükseltmeleri eklemeleri ve yapılandırmalara güncellemeleri dağıtmaları gerekir. Güvenlik İçerik Otomasyon Protokolü (SCAP), "ess-cap" olarak telaffuz edilir, ancak en yaygın olarak "skap" olarak, yazılım kusurlarını ve güvenlikle ilgili yapılandırma sorunlarını sıralamak için yaygın olarak kullanılan bir dizi açık standardı içerir. Güvenlik izleme gerçekleştiren uygulamalar, güvenlik açıklarını bulmak için sistemleri ölçerken standartları kullanır ve olası etkiyi değerlendirmek için bu bulguları puanlamak için yöntemler sunar. SCAP özellikler paketi, bu otomatik güvenlik açığı yönetimi, ölçümü ve ilke uyumluluk ürünleri tarafından kullanılan isimlendirme ve formatları standartlaştırır.
Bir bilgisayar sistemi yapılandırması tarayıcısının bir satıcısı, ürününü SCAP'ye göre doğrulatabilir ve bu, diğer tarayıcılarla birlikte çalışacağını ve tarama sonuçlarını standart bir şekilde ifade edeceğini gösterebilir.
SCAP, aşağıdaki standartların (SCAP 'Bileşenler' olarak anılır) nasıl birleştirildiğini tanımlar:
SCAP Bileşenleri
SCAP sürüm 1.0'dan başlayarak (Kasım 2009)
- Ortak Güvenlik Açıkları ve Riskler (CVE)
- Ortak Yapılandırma Numaralandırması (CCE) (MITER'deki önceki web sitesi )
- Ortak Platform Numaralandırma (CPE)
- Ortak Güvenlik Açığı Puanlama Sistemi (CVSS)
- Genişletilebilir Yapılandırma Kontrol Listesi Açıklama Formatı (XCCDF)
- Açık Güvenlik Açığı ve Değerlendirme Dili (OVAL)
SCAP sürüm 1.1'den başlayarak (Şubat 2011)
SCAP sürüm 1.2'den başlayarak (Eylül 2011)
- Varlık Kimliği (AID)
- Varlık Raporlama Formatı (ARF)
- Ortak Yapılandırma Puanlama Sistemi (CCSS)
- Güvenlik Otomasyon Verileri için Güven Modeli (TMSAD)
SCAP sürüm 1.3'ten itibaren (Şubat 2018)
SCAP Kontrol Listeleri
Güvenlik İçerik Otomasyon Protokolü (SCAP) kontrol listeleri, bilgisayar güvenlik yapılandırmaları ile bilgisayar güvenlik yapılandırmaları arasındaki bağlantının otomasyonunu standartlaştırır ve etkinleştirir. NIST Özel Yayın 800-53 (SP 800-53) kontrol çerçevesi. Akım[ne zaman? ] SCAP sürümü, güvenlik ayarlarının ve ilgili SP 800-53 kontrollerinin ilk ölçümünü ve sürekli izlenmesini sağlamak içindir. Gelecek sürümler büyük olasılıkla standart hale getirecek ve karşılık gelen SP 800-53 kontrollerinin güvenlik ayarlarını uygulamak ve değiştirmek için otomasyonu etkinleştirecektir. Bu şekilde SCAP, NIST Risk Yönetimi Çerçevesinin uygulanmasına, değerlendirilmesine ve izlenmesine katkıda bulunur. Buna göre SCAP, NIST'in ayrılmaz bir parçasını oluşturur FISMA uygulama projesi.
SCAP Doğrulama Programı
SCAP Doğrulama Programı, ürünlerin SCAP standartlarını kullanma yeteneğini test eder. NIST Ulusal Gönüllü Laboratuvar Akreditasyon Programı (NVLAP), SCAP doğrulamalarını gerçekleştirmek için program kapsamındaki bağımsız laboratuvarları akredite eder.
Bir ürünün doğrulanmasını isteyen bir satıcı, bir NVLAP onaylı SCAP doğrulama laboratuvarı doğrulama sürecinde yardım için.
Tabi olan bir müşteri FISMA bağımsız bir üçüncü şahıs laboratuvarı tarafından SCAP standardına göre test edilmiş ve doğrulanmış güvenlik ürünlerini kullanmak isteyen veya kullanmak isteyenler, SCAP onaylı ürünler web sayfası değerlendirilen ürünün / ürünlerin durumunu doğrulamak için.