本文主要介紹什么是SCAP，SCAP的產(chǎn)生背景是怎樣的，SCAP有什么用途，有哪些組件，各個組件的用途是什么？
SCAP產(chǎn)生背景
由于計算機和網(wǎng)絡(luò)技術(shù)的快速發(fā)展，越來越多的軟件和系統(tǒng)被應(yīng)用到企業(yè)和機構(gòu)中，這些軟件和系統(tǒng)的安全問題也日益凸顯。傳統(tǒng)的安全措施，如防火墻、入侵檢測等，已經(jīng)無法滿足新的安全需求。因此，需要一種新的方法來管理和驗證軟件和系統(tǒng)的安全性，SCAP應(yīng)運而生。SCAP通過建立安全配置標準庫，對資產(chǎn)進行統(tǒng)一管理，并提供自動化的驗證工具，幫助組織識別、評估和管理其計算機資產(chǎn)（特別是軟件和系統(tǒng)）中的安全風(fēng)險?？偟膩碚f，SCAP的產(chǎn)生背景主要源于以下幾點：
- 大量及復(fù)雜多樣的系統(tǒng)需要保護：一般組織或企業(yè)都會安裝多種操作系統(tǒng)及上千種應(yīng)用軟件，相同的軟件在不同的主機上保護機制各不相同，主機本身的安全配置也有差異，每個系統(tǒng)上需要什么樣的安全策略，如何快速、正確一致地實現(xiàn)這些策略要求，則更為復(fù)雜，SCAP的出現(xiàn)解決了此難題。
- 快速響應(yīng)新的威脅：當(dāng)前 NVD中已經(jīng)披露的漏洞已經(jīng)多達20W+個，SCAP的出現(xiàn)可以解決漏洞檢測問題；
- 安全工具缺乏互操作性：不同安全工具采用了私有的格式、漏洞及組件命名方法，會導(dǎo)致漏洞的檢測和評估不具共享性，難以得到及時有效的修復(fù)。
簡介
SCAP（Security Content Automation Protocol）是一種安全自動化協(xié)議，是由NIST建立的一套規(guī)范，主要用于處理網(wǎng)絡(luò)安全漏洞和安全信息。它提供了一種標準的方法來描述、交換和管理網(wǎng)絡(luò)安全數(shù)據(jù)，以便自動檢測、響應(yīng)和緩解網(wǎng)絡(luò)安全威脅。
SCAP的主要目標是提高網(wǎng)絡(luò)安全自動化程度，促進安全社區(qū)、企業(yè)和政府機構(gòu)之間的協(xié)作，以便更有效地識別、應(yīng)對和預(yù)防網(wǎng)絡(luò)安全威脅。在實際應(yīng)用中，SCAP規(guī)范被廣泛應(yīng)用于安全掃描工具、漏洞管理系統(tǒng)和自動化安全報告等領(lǐng)域。
SCAP組件及定義
SCAP最新版本為1.3（2018年發(fā)布，點擊獲?。?， 主要包括以下12個組件：
| 組件 | 描述 | 維護組織 | 地址 |
|---|---|---|---|
| CCE（Common Configuration Enumeration） | 通用配置枚舉定義了安全相關(guān)的系統(tǒng)配置項的標準標識符與目錄，以便于在多個信息源和工具之間快速準確地關(guān)聯(lián)配置數(shù)據(jù)。 | MITRE | https://nvd.nist.gov/config/cce/index |
| CPE（Common Platform Enumeration） | 通用平臺枚舉定義了平臺及版本的標準名稱與目錄 | MITRE | http://scap.nist.gov/schema/cpe/2.3/cpe-naming_2.3.xsd |
| CVE（Common Vulnerabilities and Exposures | 通用漏洞與披露定義了與軟件缺陷相關(guān)的標準標識符與目錄 | MITRE | http://cve.mitre.org/ |
| CVSS（Common Vulnerability Scoring System） | 通用漏洞評分系統(tǒng)一種對軟件缺陷特征進行分類并根據(jù)這些特征分配嚴重性分數(shù)的方法 | FIRST | https://www.first.org/cvss/specification-document |
| OCIL（Open Checklist Interactive Language） | OCIL是一種用于表示從人員或其他數(shù)據(jù)收集工作所做的現(xiàn)有數(shù)據(jù)存儲中收集信息的檢查的語言 | https://scap.nist.gov/schema/ocil/2.0/ocil-2.0.xsd | |
| SWID（Software Identification） | 用于表示軟件標識符和相關(guān)元數(shù)據(jù)的格式 | ISO | http://standards.iso.org/iso/19770/-2/2015/schema.xsd |
| XCCDF（Extensible Configuration Checklist Description Format） | 擴展配置檢測列表描述格式定義了檢查列表與檢查報告XML描述格式 | NSA、NIST | https://scap.nist.gov/schema/xccdf/1.2/xccdf_1.2.xsd |
| OVAL（Open Vulnerability and Assessment Language） | 開放脆弱性評估描述語言定義了用于檢查列表的低級測試過程 | MITRE | https://github.com/OVALProject/Language/tree/5.11.2/schemas |
| CCSS (Common Configuration Scoring System) | 用于測量系統(tǒng)安全配置問題的相對嚴重性的系統(tǒng) | ||
| AI（Asset Identification） | 用于基于已知標識符和/或關(guān)于資產(chǎn)的已知信息唯一地識別資產(chǎn)的格式 | NIST | https://scap.nist.gov/schema/asset-identification/1.1/asset-identification_1.1.0.xsd |
| ARF (Asset Reporting Format ) | 一種表示資產(chǎn)信息傳輸格式以及資產(chǎn)與報告之間關(guān)系的格式 | NIST | https://scap.nist.gov/schema/asset-reporting-format/1.1/asset-reporting-format_1.1.0.xsd |
| TMSAD (Trust Model for Security Automation Data ) | 在通用信任模型中使用數(shù)字簽名的規(guī)范，適用于其他安全自動化規(guī)范 | NIST | https://scap.nist.gov/schema/tmsad/1.0/tmsad_1.0.xsd |
Note：一句話總結(jié)， 檢查列表用XCCDF來描述評估什么， 用OVAL在目標系統(tǒng)做相應(yīng)的測試， 用CPE標識檢查列表是有效的以及運行測試的平臺， 用CCE標識在檢查列表中被訪問或被評估的安全配置設(shè)置，用CVE參考已知的脆弱性， CVSS用于分級這些脆弱性 。
已經(jīng)支持SCAP的安全工具
1、OpenSCAP
2、McAfee
3、Tenable
4、Qualys
文章來源：http://www.zghlxwxcb.cn/news/detail-818719.html
- 想了解更多關(guān)于CVSS的信息，可參閱【網(wǎng)絡(luò)安全常用術(shù)語解讀】CVSS詳解
- 想了解更多關(guān)于CVSS的信息，可參閱【網(wǎng)絡(luò)安全常用術(shù)語解讀】CWE詳解
- 想了解更多關(guān)于CVSS的信息，可參閱【網(wǎng)絡(luò)安全常用術(shù)語解讀】CPE詳解
- 想了解更多關(guān)于CVSS的信息，可參閱【網(wǎng)絡(luò)安全常用術(shù)語解讀】CVE詳解
參考
[1] https://csrc.nist.gov/Projects/scap-validation-program/validated-products-and-modules
[2] https://www.open-scap.org/features/scap-components/ 文章來源地址http://www.zghlxwxcb.cn/news/detail-818719.html
到了這里，關(guān)于「 網(wǎng)絡(luò)安全常用術(shù)語解讀 」安全自動化協(xié)議SCAP詳解的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
